Fast schon beiläufig kündigte Android-Sicherheitschef Dave Kleidermacher vor einigen Monaten neue Regeln für Android OEMs an: Künftig würden diese nämlich zu "regelmäßigen" Sicherheitsupdates verpflichtet. Details blieb er in seinem Vortrag auf der Google-Entwicklerkonferenz allerdings schuldig. Diese liefert nun ein neuer Artikel nach.

Minimalvorschriften

Android-Gerätehersteller müssen künftig mindestens zwei Jahre lang Sicherheitsaktualisierungen liefern, berichtet The Verge. Vorgeschrieben werde dies in neuen Android-Lizenzbedingungen, die mit dem 31. Juli in Kraft getreten sind. Auch in Hinblick auf die Frequenz gibt es Vorschriften: Mindestens vier solcher Updates müsse jeder Hersteller im ersten Jahr liefern. Im zweiten Jahr gibt es hingegen keine fix festgelegte Nummer. Allerdings greift hier eine zweite Regel: Am Ende jedes Monats müssen auf sämtlichen Devices jene Sicherheitslücken, die seit 90 Tagen oder länger öffentlich bekannt sind, geschlossen sein.

Allerdings gibt es auch gewisse Ausnahmen: So gilt all dies nur für Geräte, die mehr als 100.000 Nutzer haben. Zudem ist diese Vorschrift derzeit nur für 75 Prozent aller in diese Gruppe fallenden Geräte zwingend. Erst mit dem 1. Jänner 2019 gilt dies für alle Devices – oder genauer jene, die nach diesem Zeitpunkt auf den Markt kommen. Wer sich nicht an diese Vorschrift hält, muss mit schweren Konsequenzen rechnen: Google könnte künftig nämlich die Lizenz für weitere Geräte verweigern.

Android One

Die aktuelle Regelung stellt zwar nur ein absolutes Mindestmaß dar, trotzdem ist sie ein signifikanter Fortschritt. Bisher erhalten viele – vor allem günstige – Android-Smartphones kaum oder gar keine Sicherheitsaktualisierungen. Striktere Vorschriften gibt es derzeit nur im Rahmen des Android-One-Programms: Dort übernehmen die Hersteller die Software weitgehend unverändert von Google, und verpflichten sich zu monatlichen Sicherheitsaktualisierungen über einen Zeitraum von drei Jahren. (Andreas Proschofsky, 25.10.2018)