Hilfe

1. ⚠ Wichtig vorab: der Sicherheits-Kompromiss durch Shizuku und ADB

2. Wofür AtlayaSwitch da ist: erst das Tarnprofil, dann – wenn du willst – mehr

AtlayaSwitch ist die erste Stufe eines abgestuften Schutzes für Situationen, in denen jemand dein entsperrtes Handy sehen will – Kontrolle, Nötigung, Diebstahl. Ein Tap auf das App-Icon, und das Gerät wechselt sofort und ohne sichtbares Menü in ein Tarnprofil (z. B. „Unterwegs“). Wer danach aufs Gerät schaut, sieht ein alltägliches, unauffälliges Profil – und zunächst nichts, was auf weitere Profile hindeutet.

Der Kern ist die Reaktion, die zur Lage passt: Du musst nicht sofort den härtesten Schritt gehen. Du kannst erst nur das Tarnprofil zeigen. Nur wenn du selbst entscheidest, dass die Lage es verlangt, gehst du eine Stufe weiter (siehe „Eskalation“). Diese abgestufte Reaktion ist die Hauptfunktion der App.

Grundlage sind drei getrennte GrapheneOS-Profile: „Eigentümer“ (Systemprofil mit Entwickleroptionen und Shizuku), „Privat“ (dein Alltag) und das Tarnprofil. AtlayaSwitch wechselt nur hin zum Tarnprofil. Der Weg zurück bleibt der normale, passwortgeschützte GrapheneOS-Nutzerwechsel.

3. Das Tarnprofil: was hinein gehört – und was nicht

Das Tarnprofil ist das Einzige, was ein Dritter zu sehen bekommt. Es soll glaubwürdig, aber belanglos sein – so, wie das Handy eines Menschen aussieht, der nichts zu verbergen hat. Ein komplett leeres Profil wirkt verdächtig und wirft mehr Fragen auf, als es beantwortet.

Das gehört hinein:

• ein paar harmlose Alltagsfotos und eine überschaubare, belanglose Kontaktliste
• Alltags-Apps ohne Bezug zu deinen echten Konten: Kamera, Karten (bevorzugt FOSS wie OrganicMaps oder OsmAnd – keine Google-Dienste, GrapheneOS ist bewusst „de-googelt“), Wetter, Notizen mit Belanglosem, Musik oder Podcasts, ein Browser mit etwas neutralem Verlauf und Lesezeichen
• Einstellungen, wie sie zu einem normal genutzten Gerät passen (Hintergrund, Klingelton, ein paar Kalendereinträge)

Das gehört nicht hinein:

• echte Konten, Logins oder Chats deiner Hauptidentität; Passwortmanager, Authenticator, Banking-Apps
• echte private Fotos, Dokumente oder Kontakte, die dich oder andere gefährden könnten
• AtlayaSwitch selbst und Shizuku – sie würden den versteckten Wechselmechanismus verraten (die App warnt davor und entfernt sich auf Wunsch mit einem Tap aus dem Zielprofil)
• alles, was auf weitere Profile hindeutet: Notizen, Verknüpfungen, Namen, einen Zettel mit der Duress-PIN
• Synchronisation oder Sicherungen, die mit deinem echten Profil geteilt sind

Kein Schloss im Tarnprofil: Damit der Wechsel ein einziger Tap bleibt, sollte das Tarnprofil keine eigene PIN haben. Wer dort landet, hat dann vollen Zugriff auf alles darin – deshalb darf dort nichts liegen, was nicht jeder sehen dürfte.

Was jemand darin sieht: zunächst nur den Inhalt des Tarnprofils, nichts von deinen anderen Profilen. Eine genauere Prüfung kann mehr verraten: Die Nutzerwechsel-Anzeige von Android kann weitere Profile auflisten, und geräteweite Einstellungen wie gespeicherte WLANs oder gekoppelte Bluetooth-Geräte können profilübergreifend verräterische Namen zeigen. Prüfe deshalb, was aus dem Tarnprofil heraus erreichbar ist.

4. Eskalation: erst das Tarnprofil, dann – nur wenn du es entscheidest – die Duress-PIN

Die Reaktion soll zur Lage passen. Drei Stufen:

1. Normalzustand: Du nutzt „Privat“ oder „Eigentümer“, das Gerät ist gesperrt.
2. Tarnprofil zeigen: Du wirst aufgefordert, das Gerät zu entsperren oder zu zeigen. Ein Tap – das Tarnprofil erscheint. Oft ist die Lage damit erledigt. Im Modus „Wechseln + Sitzung beenden“ (Standard) wird das bisherige Profil zusätzlich beendet: Seine Apps werden geschlossen und GrapheneOS entfernt seine Schlüssel aus dem Arbeitsspeicher, die Daten sind wieder „at rest“.
3. Duress-PIN als letzte Stufe – nur wenn du es entscheidest: Stellt jemand fest, dass es weitere Profile gibt, und verlangt Zugang, kannst du ihm die Duress-PIN (das Duress-Passwort) von GrapheneOS als angeblichen Entsperrcode nennen. Gibt er sie ein, vernichtet GrapheneOS die Verschlüsselung, die Daten sind unwiederbringlich unlesbar – und du bist geschützt, weil niemand mehr an sie herankommt.

Wichtig: AtlayaSwitch löst die Duress-PIN nicht aus und ersetzt sie nicht. Sie ist eine eigene GrapheneOS-Funktion, die du selbst einrichtest (Verfügbarkeit und Einzelheiten hängen von deiner GrapheneOS-Version ab, siehe die GrapheneOS-Dokumentation). Ob und wann du eskalierst, entscheidest allein du – es gibt keinen Automatismus.

Bedenke: Die Vernichtung ist endgültig. Halte Sicherungen deiner Daten an einem sicheren, getrennten Ort. Bedenke auch die Rechtslage deines Landes: In manchen Rechtsordnungen kann das Verweigern oder Vernichten von Daten gegenüber Behörden Folgen haben. Das ist keine Rechtsberatung.

5. Die Einrichtung im Überblick (in dieser Reihenfolge)

1. Drei GrapheneOS-Profile haben: „Eigentümer“ (ist vorhanden), „Privat“ und das Tarnprofil (z. B. „Unterwegs“).
2. Das Tarnprofil glaubwürdig befüllen (siehe oben) und ohne eigene Sperre lassen.
3. Die Duress-PIN in GrapheneOS einrichten und merken – die letzte Stufe, unabhängig von AtlayaSwitch.
4. Im Profil „Eigentümer“: Entwickleroptionen freischalten, USB-Debugging und Drahtloses Debugging einschalten, Shizuku installieren und starten.
5. AtlayaSwitch in „Eigentümer“ und „Privat“ installieren – nicht im Tarnprofil.
6. AtlayaSwitch einmal öffnen (Einstellungen über App-Info), Shizuku-Berechtigung bestätigen und das Zielprofil wählen.
7. Verhalten wählen („Nur wechseln“ oder „Wechseln + Sitzung beenden“) und optional die Schnelleinstellungen-Kachel aktivieren.
8. Einmal in Ruhe testen – einschließlich des Rückwegs über den normalen Nutzerwechsel.

Danach gilt: Nach jedem Neustart des Handys muss Shizuku neu gestartet werden (siehe unten).

6. Shizuku installieren & starten

AtlayaSwitch führt selbst durch diesen Schritt: In den Einstellungen erscheint ein Banner, das erkennt, ob Shizuku fehlt oder nur nicht läuft, und je nach Profil den passenden Button zeigt – „Shizuku installieren“ (springt zum Play-Store-Eintrag), „Profil wechseln“ (öffnet Androids Mehrbenutzer-Übersicht, falls gerade nicht im Profil „Eigentümer“), „Shizuku öffnen“ oder „Entwickleroptionen öffnen“.

Ablauf ohne PC (auch nach jedem Neustart): Im Profil „Eigentümer“ in den Entwickleroptionen USB-Debugging einschalten (es bleibt dauerhaft an, ein Kabel braucht es dafür nicht) und Drahtloses Debugging einschalten. Dann in Shizuku „Start über Drahtloses Debugging“ antippen (beim ersten Mal einmalige Kopplung per Pairing-Code, komplett auf dem Gerät). Danach schaltet AtlayaSwitch Drahtloses Debugging selbst wieder aus.

USB-Debugging nicht ausschalten: Android beendet Shizuku, sobald der Debugging-Dienst ganz stoppt. Wer es strenger will, startet Shizuku stattdessen per USB vom PC (den Befehl zeigt die Shizuku-App unter „Befehl anzeigen“) und braucht Drahtloses Debugging gar nicht.

Der Dienst läuft danach systemweit weiter und wird von den anderen Profilen automatisch erkannt. Ohne Root übersteht er aber keinen Geräte-Neustart. Zwei Taps bleiben unvermeidbar (Android-Sicherheitsmodell): der Profilwechsel selbst und die letzte Bestätigung im Installationsdialog.

7. AtlayaSwitch installieren

APK von der Download-Seite herunterladen und in den gewünschten Profilen installieren (üblicherweise "Eigentümer" und "Privat", nicht im Zielprofil selbst). Android fragt bei APKs außerhalb des Play Store nach einer Bestätigung ("Installation aus unbekannten Quellen erlauben").

8. Zielprofil wählen

AtlayaSwitch beim ersten Start öffnen: Shizuku-Berechtigung bestätigen, gewünschtes Profil (z. B. "Unterwegs") antippen -> "Zielprofil gespeichert". Danach wechselt ein Tap auf das App-Icon direkt dorthin.

9. Einstellungen später ändern

AtlayaSwitch hat absichtlich kein eigenes Menü. Zielprofil und Verhalten beim Wechsel ("Nur wechseln" oder "Wechseln + Sitzung beenden") ändern: Android-Einstellungen → Apps → AtlayaSwitch → App-Info → "Einstellungen". Dort lässt sich oben rechts auch die Sprache umstellen (Deutsch/Englisch/Französisch/Italienisch/Spanisch) und über den "?"-Button eine Erklärung zum Sinn der drei Profile aufrufen.

10. So arbeitet die App im Betrieb

Was beim Tap auf das App-Icon passiert:

1. Die App öffnet ohne sichtbare Oberfläche (transparent, nicht in der Liste der letzten Apps) und schließt sich danach selbst.
2. Zwei Taps kurz hintereinander werden abgefangen (kurze Sperre), damit nichts doppelt ausgelöst wird.
3. Ist noch kein Zielprofil gewählt, öffnen sich die Einstellungen.
4. Läuft Shizuku nicht (z. B. nach einem Neustart), öffnet sich still der normale Android-Nutzerwechsel – keine Fehlermeldung, damit nichts verräterisch wirkt. Das Zielprofil wählst du dann von Hand.
5. Andernfalls wechselt die App über den privilegierten Dienst direkt ins Zielprofil – ohne Auswahl, ohne Passwortabfrage im Zielprofil. Im Modus „Wechseln + Sitzung beenden“ wartet sie, bis der Wechsel bestätigt ist, und beendet dann das bisherige Profil (aus „Eigentümer“ verweigert Android das Stoppen des Systemnutzers, dann wird still nur gewechselt).
6. Ist die Option an, schaltet sie dabei Drahtloses Debugging aus, falls es noch an ist.

Die Schnelleinstellungen-Kachel (optional, standardmäßig aus) löst denselben Wechsel aus, auch vom Sperrbildschirm aus. Sie zeigt nie eine Meldung und öffnet nichts, wenn Shizuku fehlt. Symbol und Name sind bewusst neutral („Profil“).

Zurück geht es nie über AtlayaSwitch, sondern nur über den regulären GrapheneOS-Nutzerwechsel (Power-Taste lang drücken, Profil wählen, PIN oder Fingerabdruck). So bleibt dein echtes Profil durch seine eigene Sperre geschützt.

Die App speichert nur lokal: Zielprofil, Wechselmodus, Sprache und Schalter. Es gibt kein Konto, keinen Server und keine Analyse. Die einzige Netzwerkverbindung ist der optionale Update-Check (manuell oder – wenn eingeschaltet – beim Öffnen der Einstellungen).

11. Sicherheit: was geschützt ist – und was nicht

Was die App schützt und begrenzt:

• Kein Root. Der privilegierte Teil läuft über Shizuku mit Shell-Rechten und führt nur die wenigen nötigen Befehle aus (Profil wechseln, Profil beenden, Profile auflisten, die eigene App im Zielprofil prüfen und entfernen). Er wirkt nur auf die App selbst und akzeptiert nur gültige Profil-IDs.
• Keine Hintergrunddienste, kein Autostart, kein Konto, keine Analyse, kein Server. Netzwerkzugriff nur für den optionalen Update-Check; Links werden nur von der eigenen Domain geöffnet.
• Drahtloses Debugging schaltet sich nach dem Shizuku-Start selbst wieder aus (Standard), sodass kein Debugging-Zugang im Netzwerk offen bleibt.
• Ein gefälschter oder unbefugt ausgelöster Trigger führt im schlimmsten Fall nur ins unwichtige Tarnprofil.
• Die App warnt, wenn sie selbst im Zielprofil installiert ist, und entfernt sich dort auf Wunsch mit einem Tap.
• Der Rückweg zu deinen echten Profilen bleibt hinter der normalen GrapheneOS-Sperre.

Was sie nicht kann – ehrlich gesagt:

• Sie braucht Entwickleroptionen, USB-Debugging und nach jedem Neustart kurz Drahtloses Debugging. Das ist mehr Angriffsfläche als bei einem Gerät ohne – ein echter Kompromiss. USB-Debugging muss an bleiben, weil Shizuku sonst endet.
• Nach einem Neustart läuft Shizuku nicht, bis du es neu startest. Bis dahin wechselt die App nicht selbst (stiller Rückfall auf den Nutzerwechsel).
• Das Tarnprofil kann bei genauer Prüfung als „nicht das Hauptprofil“ erkannt werden. AtlayaSwitch ist kein Schloss, sondern Teil eines abgestuften Vorgehens.
• Jede App im selben Profil kann den Wechsel anstoßen (das Icon muss startbar sein). Im Modus „Sitzung beenden“ beendet das auch das Quellprofil.
• Ist das Tarnprofil ohne Sperre, hat dort jeder vollen Zugriff auf seinen Inhalt.
• Die Duress-PIN ersetzt die App nicht und löst sie nicht aus.

Kann sich ein fremder Rechner einfach per ADB verbinden?

Nein, nicht ohne Weiteres. USB-Debugging verlangt ein Kabel und einen am Gerät bestätigten Rechner (RSA-Schlüssel) – ein unbekannter Rechner am Kabel bekommt zuerst einen Bestätigungsdialog auf dem Bildschirm, ohne Antippen keine Verbindung. Drahtloses Debugging verlangt zusätzlich entweder denselben einmaligen Pairing-Code (am Handy angezeigt, am anderen Gerät eingegeben) oder einen schon vorher autorisierten Schlüssel im selben Netzwerk. Ein Unbekannter im selben WLAN kommt darüber also nicht automatisch rein.

Der eigentliche Risikopunkt ist kein Fremder, sondern ein bereits autorisierter Rechner: Einmal mit "Immer erlauben" bestätigt, ist dessen Schlüssel ein dauerhafter Generalschlüssel – jede künftige Verbindung von diesem Rechner läuft ohne erneute Bestätigung durch, auch bei gesperrtem Bildschirm (solange das Profil seit dem letzten Neustart schon einmal entsperrt wurde). Ein kompromittierter eigener Rechner (bzw. dessen ADB-Schlüsseldatei) wäre also ein dauerhafter Zugang ohne PIN.

Was das begrenzt: nur den eigenen, abgesicherten Rechner autorisieren; "USB-Debugging-Berechtigungen zurücksetzen" in den Entwickleroptionen widerruft bei Bedarf alle auf einen Schlag; GrapheneOS' eigene "Auto-Reboot"-Funktion (Einstellungen → Sicherheit) versetzt das Gerät nach einigen Stunden Inaktivität automatisch in den "Before First Unlock"-Zustand zurück – dann hilft auch ein autorisierter Rechner nichts mehr ohne die echte PIN. Der Modus "Wechseln + Sitzung beenden" verstärkt das zusätzlich: ein beendetes Profil bleibt verschlüsselt, solange es nicht neu entsperrt wurde – auch gegenüber ADB.