Was hat sich bei der Installation von Apps außerhalb des Stores unter Android geändert?

Seit dem 30. September 2026 verweigern zertifizierte Android-Smartphones in Brasilien, Indonesien, Singapur und Thailand die Installation jeder App aus sieben Stores, darunter Google Play und der Samsung-Store, sofern ihr Entwickler seine Identität nicht bei Google registriert hat. Google wird die Pflicht 2027 weltweit auf jede App auf zertifizierten Geräten ausweiten, einschließlich Apps, die über einen direkten Download-Link installiert werden. Für Ihr Unternehmen in Saudi-Arabien heißt das: Wenn Sie eine App über einen direkten Link an Mitarbeiter oder Kunden verteilen oder nicht bestätigt haben, dass Ihre Store-App registriert ist, kann das Smartphone des Nutzers die Installation nach dem Stichtag verweigern. Die Registrierung außerhalb des Stores kostet einmalig 25 Dollar (etwa 94 Riyal), setzt aber den digitalen Signaturschlüssel der App voraus, und dieser Schlüssel liegt womöglich beim Entwickler, der die App gebaut hat, und nicht bei Ihnen.

Was begann am 30. September 2026?

Laut Googles offizieller Ankündigung im Android Developers Blog startete die Identitätsverifizierung für Entwickler in nur vier Ländern und nur auf zertifizierten Geräten mit Android 7 oder neuer. Die sieben Stores, die an dieser Phase teilnehmen, sind:

  • Google Play, von Google.
  • Galaxy Store, von Samsung.
  • GetApps, von Xiaomi.
  • OPPO App Market, von OPPO.
  • V-Appstore, von vivo.
  • HONOR App Market, von HONOR.
  • Palm Store, von Transsion.

Google begründet den Schritt damit, dass sich Betrüger hinter anonymen Namen verstecken, um schädliche Apps zu verbreiten, die sich als bekannte Unternehmen ausgeben. In seiner ersten Ankündigung im August 2025 erklärte das Unternehmen, seine Analyse habe in Apps, die aus dem Internet per Sideloading installiert wurden, über fünfzigmal mehr Schadsoftware gefunden als bei Google Play. Seit die Registrierung im März 2026 geöffnet wurde, haben Entwickler nach Angaben des Unternehmens Millionen von Apps registriert.

Wann gilt die Pflicht in Saudi-Arabien?

Google hat keinen konkreten Monat genannt; angekündigt ist nur, dass die weltweite Ausweitung 2027 beginnt. Bis dahin ändert sich für Nutzer in Saudi-Arabien nichts: Google schreibt auf seiner offiziellen FAQ-Seite, dass eine direkt oder aus einem nicht teilnehmenden Store installierte App der neuen Pflicht noch nicht unterliegt, empfiehlt Entwicklern aber, die Verifizierung vor Beginn der weltweiten Einführung abzuschließen.

DatumWas geschah oder geschehen wird
August 2025Google kündigt die Pflicht zur Identitätsverifizierung von Entwicklern an
März 2026Die Registrierung öffnet für Entwickler, und Google erläutert den erweiterten Installationsablauf für erfahrene Nutzer
August 2026Kostenlose Konten für eingeschränkten Vertrieb und der erweiterte Ablauf starten
30. September 2026Durchsetzung beginnt in 4 Ländern und in 7 Stores; letzter Termin, um verbleibende Google-Play-Apps zu registrieren
2027Ausweitung auf jede App auf zertifizierten Geräten weltweit, einschließlich Saudi-Arabien

Welche Apps Ihres Unternehmens sind betroffen?

  • Ihre App bei Google Play: Google sagt, dass mehr als 99 % der Store-Apps automatisch registriert wurden und dass bei Apps, die den App-Signaturdienst von Play nutzen, die Inhaberschaft automatisch nachgewiesen ist. Google bat Entwickler aber, alle verbleibenden Apps vor dem 30. September 2026 zu registrieren, damit die App nicht in allen Ländern aus Google Play entfernt wird. Öffnen Sie die Startseite Ihres Entwicklerkontos (Play Console) und prüfen Sie den Status noch heute.
  • Eine App, die Sie über einen direkten Link verteilen: etwa eine App für Außendienstmitarbeiter, Fahrer oder Servicetechniker oder eine App, deren Link Sie Kunden per WhatsApp schicken. Das ist der am stärksten betroffene Fall, und er erfordert eine Registrierung in der Android Developer Console vor 2027.
  • Eine interne App auf vom Unternehmen verwalteten Geräten: Apps, die aus dem privaten Store Ihrer Organisation auf zentral verwaltete Geräte verteilt werden, brauchen keine Verifizierung, weil Ihr IT-Administrator sie geprüft hat. Google empfiehlt dennoch, sie zu registrieren, damit sie sich problemlos installieren lassen, falls jemand sie auf ein nicht verwaltetes Gerät lädt.
  • Test-Builds auf den Rechnern der Entwickler: Die Installation über das Entwicklerwerkzeug ADB ändert sich nicht.
  • Ein Test auf wenigen Geräten: Das kostenlose eingeschränkte Konto erlaubt es, eine App mit bis zu 20 Geräten zu teilen, deren Besitzer zustimmen, ohne amtlichen Ausweis und ohne Gebühr, so die Seite zum eingeschränkten Vertrieb. Google hat es aber für Studierende und Hobbyentwickler konzipiert, bauen Sie also keine operative Unternehmens-App darauf auf.

Der Signaturschlüssel: die Voraussetzung, an der Ihre App scheitern kann

Jede Android-App wird vor der Veröffentlichung mit einem privaten Schlüssel digital signiert, und mit diesem Schlüssel weisen Sie Google bei der Registrierung nach, dass die App Ihnen gehört. Google sagt es auf seiner FAQ-Seite deutlich: Wenn Sie Ihren Signaturschlüssel verlieren, können Sie Ihre App nicht registrieren. Und wenn der Paketname, die eindeutige Kennung der App wie com.company.app, bereits verwendet wird, wird Ihr Schlüssel möglicherweise nicht akzeptiert, der Antrag braucht eine zusätzliche Prüfung, und Sie müssen eventuell einen neuen Paketnamen verwenden. In der Praxis bedeutet ein neuer Paketname eine neue App: Jeder Nutzer muss die alte löschen und sie erneut installieren.

Das ist das typische Problem in Unternehmen: Ein freiberuflicher Entwickler oder eine frühere Agentur hat die App gebaut, und der Schlüssel ist auf deren Rechner geblieben. Fordern Sie den Schlüssel und sein Passwort noch heute an und bewahren Sie beides an einem sicheren Ort auf, der dem Unternehmen gehört. Wenn Ihr Vertrag keine Herausgabe vorschreibt, lesen Sie unseren Artikel darüber, wem die Rechte an Software nach dem Urheberrechtsgesetz gehören.

Was passiert, wenn jemand eine nicht registrierte App installieren will?

Google hat die Tür nicht vollständig geschlossen. Laut seiner Erläuterung des erweiterten Ablaufs kann ein erfahrener Nutzer eine App eines nicht verifizierten Entwicklers nach einer bewusst langen Abfolge von Schritten installieren: den Entwicklermodus in den Einstellungen aktivieren, bestätigen, dass ihn niemand am Telefon anleitet, das Smartphone neu starten, einmalig 24 Stunden warten und dann mit Fingerabdruck oder Geräte-PIN bestätigen. Danach wählt er, ob die Funktion für 7 Tage oder unbegrenzt aktiviert wird, und bei jeder Installation einer nicht verifizierten App erscheint weiterhin eine Warnung.

Diese Schritte sollen Betrüger ausbremsen, die mit einem Opfer am Telefon bleiben und es anleiten, Schutzfunktionen abzuschalten. Verlangen Sie also nicht von Ihren Kunden oder Mitarbeitern, sie zu durchlaufen: Das bedeutet einen ganzen Tag Wartezeit, eine Warnung, die Zweifel an Ihrer App weckt, und es gewöhnt Menschen daran, Sicherheitswarnungen zu ignorieren.

Was sollten Sie jetzt tun?

  1. Erfassen Sie Ihre Apps: Listen Sie jede Android-App auf, die Ihr Unternehmen verteilt, und wie sie verteilt wird: über den Store, einen direkten Link oder verwaltete Geräte.
  2. Prüfen Sie Ihr Google-Play-Konto: Stellen Sie sicher, dass alle Ihre Apps registriert sind und das Konto auf das Unternehmen läuft, nicht auf einen Mitarbeiter.
  3. Registrieren Sie Apps, die über einen direkten Link verteilt werden: Eröffnen Sie ein Konto in der Android Developer Console auf den Namen des Unternehmens. Die Gebühr für das vollständige Vertriebskonto beträgt 25 Dollar, und die Registrierung als Organisation erfordert eine 9-stellige D-U-N-S-Nummer, die Sie kostenlos von Dun & Bradstreet erhalten; es ist dieselbe Nummer, die die Kontoanforderungen von Google Play von Organisationskonten verlangen.
  4. Sichern Sie den Signaturschlüssel: vom Entwickler oder der Agentur, die die App gebaut hat, samt Passwort, bevor Sie ihn brauchen.
  5. Verlagern Sie interne Apps auf verwaltete Geräte, wenn sie auf den eigenen Geräten des Unternehmens laufen, oder registrieren Sie sie wie jede andere App.

Und wenn Sie Ihre App im Store veröffentlichen möchten, statt einen direkten Link zu nutzen, lesen Sie zuerst die acht Gründe, warum Apps bei der Store-Prüfung abgelehnt werden.

Was wir für jede Android-App empfehlen

Bei Origami empfehlen wir drei Dinge schon mit der ersten Veröffentlichung jeder Android-App: das Entwicklerkonto auf den Namen der Organisation eröffnen, den Signaturschlüssel bei der Projektübergabe zusammen mit dem Code an den Kunden übergeben und den Paketnamen von Anfang an bei Google registrieren. Diese Schritte kosten zu Beginn eines Projekts ein paar Stunden und können Ihnen Wochen der Neuveröffentlichung ersparen, wenn Sie sie bis 2027 aufschieben würden. Wenn Sie eine bestehende App haben und nicht wissen, wo ihr Schlüssel liegt oder auf wessen Namen ihr Konto läuft, beginnen Sie mit dieser Frage, bevor Sie etwas neu entwickeln.

Quellen