Google verschärft die Installation von Android-Apps außerhalb des Play Stores. Wer künftig eine APK installieren will, die keinem registrierten und verifizierten Entwickler zugeordnet ist, muss einen zusätzlichen Freigabeprozess durchlaufen. Dazu gehören mehrere Warnungen, ein Neustart des Smartphones und eine Wartezeit von 24 Stunden.
Das klingt zunächst so, als würde Android jede manuell heruntergeladene APK für einen Tag blockieren. Ganz so weit geht Google allerdings nicht. Die Wartezeit betrifft nur Apps, deren Entwickler beziehungsweise Paketname nicht im neuen Android-System registriert sind. Außerdem wird diese Prüfung in Deutschland noch nicht allgemein durchgesetzt. Warum Google Sideloading trotzdem deutlich stärker kontrolliert, haben wir bereits im Beitrag „Android ab 2026: Warum Google Sideloading nicht abschafft, aber deutlich erschwert“ eingeordnet.
Die Wartezeit betrifft nicht jede APK-Datei
Android prüft künftig, ob eine App einem verifizierten Entwickler zugeordnet ist. Dabei spielt es grundsätzlich keine Rolle, ob die App aus dem Google Play Store, einem alternativen App-Store oder direkt von einer Webseite stammt. Ist der Entwickler verifiziert und die App registriert, soll sich an der Installation für Nutzer nichts ändern.
Der zusätzliche Ablauf wird erst relevant, wenn Android eine App als unregistriert erkennt. Google bezeichnet den dafür vorgesehenen Weg als „Advanced Flow“. Er richtet sich ausdrücklich an erfahrene Nutzer, die bewusst Apps unbekannter Herkunft installieren möchten und das damit verbundene Risiko akzeptieren.
Eine APK-Datei wird also nicht automatisch für 24 Stunden gesperrt, nur weil sie außerhalb des Play Stores heruntergeladen wurde. Auch alternative App-Stores können weiterhin verwendet werden. Entscheidend ist künftig stärker, ob die angebotene App im Verifizierungssystem von Android registriert wurde.
Android verlangt die Freischaltung nur einmal
Die 24-Stunden-Wartezeit soll nach aktuellem Stand nicht für jede einzelne App neu beginnen. Nutzer müssen den erweiterten Installationsmodus einmalig für ihr Google-Konto freischalten. Diese Freigabe soll anschließend auch beim Wechsel auf ein neues Smartphone erhalten bleiben.
Damit unterscheidet sich der Ablauf deutlich von einer klassischen Sicherheitssperre. Android hält nicht jede Installation für einen Tag zurück. Die Pause gehört zur Aktivierung eines Modus, mit dem du anschließend Apps unregistrierter Entwickler installieren kannst.
Nach der Freischaltung kannst du wählen, ob dieser Modus sieben Tage oder dauerhaft aktiviert bleiben soll. Android zeigt vor der Installation weiterhin eine deutliche Warnung an. Die App lässt sich danach trotzdem über eine Schaltfläche wie „Trotzdem installieren“ freigeben.
So läuft der erweiterte Installationsmodus ab
Zunächst musst du die Entwickleroptionen in den Android-Einstellungen aktivieren. Der genaue Pfad kann sich je nach Hersteller und Android-Version unterscheiden. Üblicherweise werden die Entwickleroptionen freigeschaltet, indem du in den Geräteinformationen mehrfach auf die Build-Nummer tippst.
Android fragt anschließend, ob eine andere Person dich gerade dazu auffordert, die Sicherheitseinstellungen zu verändern. Dieser Schritt richtet sich gegen Betrugsfälle, bei denen vermeintliche Bankmitarbeiter, Behörden oder Support-Helfer ihre Opfer durch die Installation einer schädlichen App führen.
Danach muss das Smartphone neu gestartet und erneut entsperrt werden. Dadurch sollen laufende Telefonate und aktive Fernzugriffe unterbrochen werden. Ein Betrüger kann den Vorgang dann nicht mehr ohne Unterbrechung begleiten.
Nach dem Neustart beginnt die eintägige Wartezeit. Erst danach kannst du den erweiterten Modus mit deinem Fingerabdruck, der Gesichtserkennung oder der Geräte-PIN bestätigen. Anschließend erlaubt Android die Installation unregistrierter Apps, zeigt aber weiterhin eine Sicherheitswarnung an.
Die 24 Stunden sollen Betrugsanrufe unterbrechen
Google begründet die Verzögerung vor allem mit sogenanntem Social Engineering. Betrüger setzen ihre Opfer dabei unter Zeitdruck und behaupten beispielsweise, ein Bankkonto müsse sofort geschützt oder eine angebliche Sicherheits-App installiert werden. Häufig bleiben sie während des gesamten Vorgangs am Telefon.
Eine normale Android-Warnung hilft in dieser Situation nur begrenzt. Das Opfer wird vom Anrufer gezielt angewiesen, die Warnung zu ignorieren und die Installation trotzdem fortzusetzen. Selbst mehrere Bestätigungsfenster lassen sich unter Druck schnell wegklicken.
Die Kombination aus Neustart und Wartezeit soll diesen Ablauf unterbrechen. Nach 24 Stunden ist der angebliche Notfall meist nicht mehr glaubwürdig. Nutzer haben außerdem Gelegenheit, ihre Bank oder den genannten Anbieter über eine offizielle Telefonnummer zu kontaktieren.
Die Pause ist damit bewusst als zeitliche Hürde gebaut. Google versucht nicht nur, technisch schädliche Apps zu erkennen. Das System soll verhindern, dass Nutzer während eines laufenden Betrugs zur sofortigen Abschaltung von Schutzfunktionen gedrängt werden.
In Deutschland startet die Sperre noch nicht im September
Der neue erweiterte Modus soll im August 2026 weltweit verfügbar werden. Google hat bislang allerdings kein genaues Startdatum innerhalb des Monats genannt. Dass die Funktion global bereitgestellt wird, bedeutet außerdem nicht, dass ab diesem Zeitpunkt jede unregistrierte APK in Deutschland blockiert wird.
Die eigentliche Durchsetzung beginnt am 30. September 2026 zunächst in Brasilien, Indonesien, Singapur und Thailand. Dort beteiligen sich neben Google Play mehrere große App-Stores von Samsung, Xiaomi, Honor, Oppo, Vivo und weiteren Herstellern.
Direkt heruntergeladene APK-Dateien und Apps aus nicht beteiligten Stores sind während dieser ersten Phase noch ausgenommen. Google bestätigt ausdrücklich, dass sich deren Installationsablauf zum 30. September noch nicht ändert. Die weltweite Ausweitung auf zertifizierte Android-Geräte ist ab 2027 vorgesehen. Ein konkretes Datum für Deutschland gibt es bisher nicht.
Wer im August oder September 2026 in Deutschland eine APK aus dem Browser installiert, muss daher nicht automatisch einen Tag warten. Der „Advanced Flow“ wird zwar vorbereitet und global ausgerollt. Praktisch notwendig wird er hierzulande erst, wenn Google die Verifizierung auch bei diesen Installationen durchsetzt.
Bestehende Apps können beim nächsten Update betroffen sein
Die neue Prüfung beschränkt sich nicht auf Erstinstallationen. Auch Updates einer bereits vorhandenen App können scheitern, wenn die App nicht registriert ist und der erweiterte Modus deaktiviert wurde.
Das kann Apps betreffen, die über die Webseite eines Entwicklers, über GitHub oder über kleinere alternative App-Stores aktualisiert werden. Solange Android die Verifizierung in Deutschland noch nicht allgemein durchsetzt, ändert sich daran zunächst wenig. Nach dem späteren Rollout kann ein bisher funktionierendes Update jedoch abgelehnt werden.
In diesem Fall muss der erweiterte Modus wieder aktiviert sein. Alternativ bleibt die Installation über die Android Debug Bridge möglich. Ohne einen dieser beiden Wege können unregistrierte Apps laut Google weder installiert noch aktualisiert werden.
Die Entwickleroptionen müssen nicht dauerhaft aktiviert bleiben
Für den ersten Freigabeprozess verlangt Android aktivierte Entwickleroptionen. Das bedeutet allerdings nicht, dass sie anschließend dauerhaft eingeschaltet bleiben müssen.
Das ist vor allem bei Banking-Apps relevant. Einige Anwendungen reagieren empfindlich auf aktivierte Entwickleroptionen oder USB-Debugging. Nach abgeschlossener Freischaltung kannst du die Entwickleroptionen wieder deaktivieren, ohne dadurch automatisch den erweiterten Installationsmodus zu verlieren.
Die Freigabe wird laut Google mit dem Konto verbunden. Sie muss nicht bei jeder App und auch nicht nach jedem Gerätewechsel erneut durchgeführt werden.
Über ADB bleibt die Installation ohne Wartezeit möglich
Entwickler können unregistrierte Apps weiterhin über ADB installieren. Dabei wird die APK über einen Computer und die Android Debug Bridge auf das Smartphone übertragen. Die 24-Stunden-Wartezeit gilt für diesen Installationsweg nicht.
Google begründet diese Ausnahme mit der App-Entwicklung. Entwickler müssen eigene, noch nicht registrierte Anwendungen testen können, bevor sie veröffentlicht werden. Auch veränderte oder selbst kompilierte APK-Dateien lassen sich auf diesem Weg weiter installieren.
Für normale Nutzer ist ADB allerdings keine bequeme Alternative. Der Vorgang erfordert einen Computer, USB-Debugging und entsprechende Befehle. Außerdem gibt es derzeit keinen unterstützten ADB-Befehl, mit dem sich die Wartezeit des normalen Freigabeprozesses einfach überspringen lässt. ADB bleibt ein eigener Installationsweg.
Der Download aus dem Play Store bleibt unverändert
Die große Mehrheit der Android-Nutzer dürfte von der Änderung wenig merken. Wer seine Apps aus dem Google Play Store lädt, installiert fast ausschließlich Anwendungen registrierter Entwickler. Google gibt an, bereits 99 Prozent der dort angebotenen Apps automatisch registriert zu haben.
Auch eine APK von der offiziellen Webseite eines bekannten Entwicklers kann künftig ohne Wartezeit installiert werden, sofern diese Version korrekt registriert und signiert wurde. Die Herkunft außerhalb des Play Stores allein löst den erweiterten Modus nicht aus.
Problematischer werden anonyme APK-Portale, veränderte Premium-Apps, ältere Hobbyprojekte und Anwendungen, deren Entwickler die Registrierung nicht durchführen. Genau dort soll die zusätzliche Reibung entstehen.
Eine registrierte App ist nicht automatisch sicher
Die Entwickler-Verifizierung ist kein vollständiger Sicherheitstest der App. Sie bestätigt vor allem, dass hinter einer Anwendung eine überprüfte Person oder Organisation steht und dass der verwendete Paketname diesem Entwickler zugeordnet wurde.
Eine registrierte App kann weiterhin Fehler enthalten, übermäßige Berechtigungen verlangen oder betrügerische Funktionen verstecken. Nutzer sollten deshalb auch künftig auf die Downloadquelle, Berechtigungen, Bewertungen und Warnungen von Google Play Protect achten.
Der Vorteil der Registrierung liegt an einer anderen Stelle. Anbieter schädlicher Apps können nach einer Sperrung nicht mehr so leicht unter einem neuen anonymen Konto und mit einer fast identischen Anwendung zurückkehren. Google schafft eine stärkere Verbindung zwischen App und Anbieter.
Für Nutzer wird Sideloading umständlicher
Google schafft die manuelle Installation von APK-Dateien nicht ab. Du kannst auch künftig Anwendungen aus alternativen Stores, von Webseiten oder aus Open-Source-Projekten beziehen. Apps registrierter Entwickler sollen sich dabei weitgehend wie bisher installieren lassen.
Bei unregistrierten Apps wird der Vorgang deutlich aufwendiger. Die einmalige Wartezeit ist keine technische Notwendigkeit, sondern eine bewusst eingebaute Schutzbarriere. Sie soll spontane Installationen während eines Betrugs verhindern.
Für erfahrene Nutzer bleibt Android damit offen. Der direkte Weg von der heruntergeladenen APK zur installierten App wird allerdings stärker kontrolliert. In Deutschland ist diese Änderung noch nicht akut, sie ist mit dem geplanten weltweiten Rollout ab 2027 aber absehbar.
