Ultimativer Leitfaden: GrapheneOS auf Ihrem Google Pixel installieren

So installieren Sie GrapheneOS auf Ihrem Google Pixel-Gerät

GrapheneOS ist ein quelloffenes, datenschutzorientiertes Betriebssystem auf Android-Basis. Es bietet erheblich verbesserte Sicherheitshärtung und Datenschutzfunktionen und ist damit eine ausgezeichnete Wahl für alle, denen Datenschutz und Sicherheit wichtig sind. Wenn Sie ein unterstütztes Google Pixel besitzen und zu GrapheneOS wechseln möchten, erklärt diese Anleitung sowohl die empfohlene Web-Installer-Methode als auch die klassische Kommandozeilen-Methode (CLI).

Tipp: Bei Problemen während der Installation fragen Sie im offiziellen GrapheneOS-Chat nach Hilfe. Versuchen Sie zunächst, die Anleitung selbständig zu befolgen, und fragen Sie dann gezielt nach, wo Sie nicht weiterkommen.

Voraussetzungen #

Hardware- und Systemanforderungen #

• Ein Computer mit mindestens 2 GB freiem Arbeitsspeicher und 32 GB freiem Speicherplatz.
• Ein hochwertiges USB-C-Kabel, das dem Gerät beiliegt (oder ein USB-C-zu-USB-A-Kabel bei Bedarf). Vermeiden Sie USB-Hubs – verbinden Sie direkt mit einem hinteren Desktop-Port oder Laptop-Port.
• Die Installation aus einer virtuellen Maschine wird nicht empfohlen, da die USB-Weiterleitung unzuverlässig ist.

Aktualisieren Sie Ihr Pixel-Gerät am besten vor der Installation von GrapheneOS, um die neueste Firmware zu haben. GrapheneOS flasht die aktuelle Firmware jedoch ohnehin zu Beginn des Installationsprozesses.

Offiziell unterstützte Betriebssysteme #

Web-Installer #

• Windows 10 / Windows 11
• macOS Sonoma (14), macOS Sequoia (15), macOS Tahoe (26)
• Arch Linux
• Debian 12 (bookworm), Debian 13 (trixie)
• Ubuntu 22.04 LTS, Ubuntu 24.04 LTS, Ubuntu 25.04
• Linux Mint 21 (Ubuntu-22.04-LTS-Anleitung befolgen), Linux Mint 22 (Ubuntu-24.04-LTS-Anleitung befolgen)
• Linux Mint Debian Edition 6 (Debian-12-Anleitung befolgen)
• ChromeOS
• GrapheneOS
• Android 13, 14, 15 und 16 mit Play Protect-Zertifizierung

CLI-Methode #

Alle oben genannten außer ChromeOS, GrapheneOS und Android (diese unterstützen nur den Web-Installer).

Ältere, nicht mehr unterstützte Versionen dieser Plattformen können ebenfalls verwendet werden, sind jedoch nicht offiziell unterstützt. Stellen Sie sicher, dass Ihr Betriebssystem aktuell ist, bevor Sie fortfahren.

Offiziell unterstützte Browser (nur Web-Installer) #

• Chromium (außer Ubuntu – deren Snap-Paket unterstützt WebUSB nicht korrekt)
• Vanadium (GrapheneOS)
• Google Chrome
• Microsoft Edge
• Brave (mit deaktiviertem Brave Shields – er begrenzt die Speichernutzung zur Fingerabdruckvermeidung)

• Auf Android deaktivieren Sie den Desktop-Modus in Ihrem Browser. Der Desktop-Modus verhindert, dass der Web-Installer Android erkennt und nach Reboots die Verbindungserlaubnis anfordert. Auf großen Tablets mit 8 GB+ RAM (z. B. Pixel Tablet) ist er standardmäßig aktiviert.
• Vermeiden Sie Flatpak- und Snap-Browserversionen – diese verursachen Probleme bei der Installation.
• Verwenden Sie keinen Inkognito-/Privatmodus – diese Modi schränken den Speicherplatz ein, der zum Entpacken des Downloads benötigt wird.

Unterstützte Geräte #

Sie benötigen eines der offiziell unterstützten Pixel-Geräte . Vermeiden Sie Carrier-Varianten – Carrier-Pixels haben eine Carrier-ID ab Werk, die das Entsperren des Bootloaders verhindert. Verwenden Sie ein carrierunabhängiges (entsperrtes) Gerät.

OEM-Entsperrung aktivieren #

Die OEM-Entsperrung muss vom Betriebssystem aus aktiviert werden, bevor Sie fortfahren können.

1. Öffnen Sie Einstellungen → Über das Telefon/Tablet und tippen Sie wiederholt auf Build-Nummer, bis der Entwicklermodus aktiviert ist.
2. Öffnen Sie Einstellungen → System → Entwickleroptionen und aktivieren Sie OEM-Entsperrung. Bei einigen Carrier-fähigen SKUs ist dafür eine aktive Internetverbindung erforderlich, damit das Standard-OS prüfen kann, ob das Gerät nicht als carrier-gesperrt verkauft wurde.

Hinweis zu Pixel 6a: Die OEM-Entsperrung funktioniert nicht mit der werksseitig vorinstallierten OS-Version. Aktualisieren Sie per OTA auf das Release vom Juni 2022 oder neuer, führen Sie dann einen Werksreset durch, um die OEM-Entsperrung zu beheben.

Installationsmethode 1: Web-Installer (Empfohlen) #

Der GrapheneOS Web-Installer ist für die meisten Benutzer der empfohlene Ansatz. Er nutzt WebUSB direkt im Browser – keine Softwareinstallation erforderlich.

Schritt 1: fwupd-Fehler umgehen (nur Linux) #

Unter Linux ist bekannt, dass fwupd sich fälschlicherweise mit Geräten über das Fastboot-Protokoll verbindet und den Installer blockiert. Stoppen Sie es, bevor Sie Ihr Gerät anschließen:

sudo systemctl stop fwupd.service

Dies wird nach einem Neustart nicht mehr aktiv sein.

Schritt 2: udev-Regeln einrichten (nur Linux) #

Unter Arch Linux:

sudo pacman -S android-udev

Unter Debian und Ubuntu:

sudo apt install android-sdk-platform-tools-common

Schritt 3: Bootloader-Oberfläche starten #

Halten Sie die Lautstärke-runter-Taste gedrückt, während das Gerät startet (entweder aus dem ausgeschalteten Zustand hochfahren oder neu starten und dabei die Taste halten). Das Gerät muss ein rotes Warndreieck und die Aufschrift “Fastboot Mode” anzeigen – drücken Sie nicht die Ein/Aus-Taste, um “Start” zu aktivieren.

Schritt 4: Gerät anschließen #

Schließen Sie das Gerät per USB an Ihren Computer an. Unter Linux schließen Sie das Kabel erneut an, falls die udev-Regeln nicht vor der ersten Verbindung eingerichtet wurden.

Pixel Tablet: Trennen Sie das Tablet vom Ständer, bevor Sie es per USB verbinden – Tablet und Ständer können nicht gleichzeitig verwendet werden.

Windows: Aktuelle Windows-10/11-Versionen enthalten einen generischen Fastboot-Treiber für Pixel 4a (5G) und neuere Modelle. Für ältere Pixels oder veraltetes Windows installieren Sie den Treiber über Windows Update (unter “Optionale Updates anzeigen” → “LeMobile Android Device”).

Schritt 5: Bootloader entsperren #

Öffnen Sie https://grapheneos.org/install/web und klicken Sie auf die Schaltfläche Bootloader entsperren. Bestätigen Sie auf dem Gerät mit den Lautstärketasten zur Auswahl und der Ein/Aus-Taste zur Bestätigung. Dadurch werden alle Daten gelöscht.

Schritt 6: Factory Images herunterladen und flashen #

1. Klicken Sie auf Release herunterladen, um die Factory Images für Ihr Gerät herunterzuladen.
2. Klicken Sie auf Factory Images flashen und warten Sie, bis der Vorgang abgeschlossen ist. Er flasht automatisch die Firmware, startet neu in die Bootloader-Oberfläche und flasht das OS. Interagieren Sie nicht mit dem Gerät, bis der Vorgang abgeschlossen ist.

Schritt 7: Bootloader sperren #

Klicken Sie nach dem Flashen im Web-Installer auf Bootloader sperren. Bestätigen Sie auf dem Gerät. Dadurch werden alle Daten erneut gelöscht – das Sperren des Bootloaders aktiviert den vollständigen Verified Boot.

Installationsmethode 2: Kommandozeile (CLI) #

Schritt 1: Terminal öffnen #

Öffnen Sie unter Windows ein normales (kein Administrator-) PowerShell-Fenster. Entfernen Sie den alten curl-Alias:

Remove-Item Alias:Curl

Schritt 2: fastboot installieren #

Sie benötigen fastboot Version ≥ 35.0.1.

Arch Linux:

sudo pacman -S android-tools

Debian / Ubuntu – deren Pakete sind veraltet. Verwenden Sie das eigenständige Release:

# Debian / Ubuntu
sudo apt install libarchive-tools
curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-linux.zip
echo 'acfdcccb123a8718c46c46c059b2f621140194e5ec1ac9d81715be3d6ab6cd0a  platform-tools_r35.0.2-linux.zip' | sha256sum -c
bsdtar xvf platform-tools_r35.0.2-linux.zip
export PATH="$PWD/platform-tools:$PATH"

macOS:

curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-darwin.zip
echo 'SHA256 (platform-tools_r35.0.2-darwin.zip) = 1820078db90bf21628d257ff052528af1c61bb48f754b3555648f5652fa35d78' | shasum -c
tar xvf platform-tools_r35.0.2-darwin.zip
export PATH="$PWD/platform-tools:$PATH"

Windows:

curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-win.zip
(Get-FileHash platform-tools_r35.0.2-win.zip).hash -eq "2975a3eac0b19182748d64195375ad056986561d994fffbdc64332a516300bb9"
tar xvf platform-tools_r35.0.2-win.zip
$env:Path = "$pwd\platform-tools;$env:Path"

Version prüfen:

fastboot --version
# Erwartet: fastboot version 35.0.2-12147458

Schritt 3: udev-Regeln einrichten (nur Linux) #

Arch Linux:

sudo pacman -S android-udev

Debian / Ubuntu:

sudo apt install android-sdk-platform-tools-common

Schritt 4: fwupd-Fehler umgehen (nur Linux) #

sudo systemctl stop fwupd.service

Schritt 5: Bootloader-Oberfläche starten #

Halten Sie Lautstärke runter beim Starten gedrückt, bis das Gerät “Fastboot Mode” mit dem roten Warndreieck anzeigt.

Schritt 6: Gerät anschließen und Bootloader entsperren #

Verbinden Sie das Gerät per USB, dann führen Sie aus:

fastboot flashing unlock

Bestätigen Sie auf dem Gerät (Lautstärketasten zur Auswahl, Ein/Aus-Taste zur Bestätigung). Dadurch werden alle Daten gelöscht.

Schritt 7: OpenSSH installieren (zur Image-Verifizierung) #

macOS und Windows enthalten OpenSSH standardmäßig.

Arch Linux:

sudo pacman -S openssh

Debian / Ubuntu:

sudo apt install openssh-client

Schritt 8: Factory Images herunterladen und verifizieren #

Signierschlüssel herunterladen:

curl -O https://releases.grapheneos.org/allowed_signers

Erwarteter Inhalt:

[email protected] ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIUg/m5CoP83b0rfSCzYSVA4cw4ir49io5GPoxbgxdJE

Factory Images herunterladen (ersetzen Sie DEVICE_NAME und VERSION durch die tatsächlichen Werte):

curl -O https://releases.grapheneos.org/DEVICE_NAME-install-VERSION.zip
curl -O https://releases.grapheneos.org/DEVICE_NAME-install-VERSION.zip.sig

Signatur verifizieren (Linux / macOS):

ssh-keygen -Y verify -f allowed_signers -I [email protected] -n "factory images" \
  -s DEVICE_NAME-install-VERSION.zip.sig < DEVICE_NAME-install-VERSION.zip

Windows:

cmd /c 'ssh-keygen -Y verify -f allowed_signers -I [email protected] -n "factory images" -s DEVICE_NAME-install-VERSION.zip.sig < DEVICE_NAME-install-VERSION.zip'

Erwartete Ausgabe:

Good "factory images" signature for [email protected] with ED25519 key SHA256:AhgHif0mei+9aNyKLfMZBh2yptHdw/aN7Tlh/j2eFwM

Schritt 9: Factory Images flashen #

Images entpacken:

# Linux
bsdtar xvf DEVICE_NAME-install-VERSION.zip

# macOS / Windows
tar xvf DEVICE_NAME-install-VERSION.zip

In das Verzeichnis wechseln und das Flash-Skript ausführen:

cd DEVICE_NAME-install-VERSION

# Linux / macOS
bash flash-all.sh

# Windows
./flash-all.bat

Warten Sie, bis der Vorgang abgeschlossen ist. Er erledigt das Flashen der Firmware, Bootloader-Neustarts und das Flashen des OS automatisch. Interagieren Sie nicht mit dem Gerät, bis der Vorgang abgeschlossen ist.

Linux-tmpfs-Fehlersuche: Wenn /tmp nicht genug Speicher hat, verwenden Sie:

mkdir tmp && TMPDIR="$PWD/tmp" ./flash-all.sh

Schritt 10: Bootloader sperren #

fastboot flashing lock

Bestätigen Sie auf dem Gerät. Dadurch werden alle Daten erneut gelöscht. Das Sperren aktiviert den vollständigen Verified Boot und verhindert, dass Fastboot Partitionen modifiziert.

Nach der Installation #

Starten #

Drücken Sie die Ein/Aus-Taste mit der standardmäßig ausgewählten Option Start in der Bootloader-Oberfläche, um GrapheneOS zu starten.

OEM-Entsperrung deaktivieren #

Beim ersten Setup enthält der letzte Bildschirm einen Schalter für die OEM-Entsperrung (standardmäßig aktiviert – aktiviert lassen deaktiviert die OEM-Entsperrung). Dies wird empfohlen. Sie können es später in den Entwickleroptionen ändern.

Installation verifizieren #

GrapheneOS nutzt Verified Boot und Hardware-Attestierung. Verified Boot prüft bei jedem Start alle Firmware- und OS-Images anhand von Schlüsseln, die in die SoC-Sicherungen gebrannt sind. GrapheneOS flasht seinen eigenen Verified-Boot-Schlüssel in das Sicherheitselement – bei jedem Start verifiziert dieser Schlüssel das OS.

Verified Boot Key Hashes #

Wenn ein alternatives OS geladen wird, zeigt das Gerät einen gelben Hinweis mit der OS-Kennung (sha256 des Verified-Boot-Schlüssels). Pixel der 4. und 5. Generation zeigen nur die ersten 32 Bits; Pixel der 6. Generation und neuer zeigen den vollständigen Hash. Vergleichen Sie mit den offiziellen Hashes:

Hardware-basierte Attestierung mit Auditor #

GrapheneOS stellt die Auditor-App bereit, um Hardware, Firmware und OS-Integrität mittels Verified Boot und Remote-Attestierung zu verifizieren. Ergebnisse werden auf einem zweiten Android-Gerät mit Auditor angezeigt (nicht auf dem zu verifizierenden Gerät), oder über den optionalen Geräte-Integritäts-Überwachungsdienst für automatische geplante Überprüfungen mit E-Mail-Benachrichtigungen.

GrapheneOS durch das Standard-OS ersetzen #

Die Installation des Standard-OS über Googles Web-Flash-Tool ähnelt dem obigen Prozess. Bevor Sie jedoch flashen und sperren, müssen Sie den GrapheneOS Verified Boot Key löschen, um vollständig zum Standard zurückzukehren:

Web-Installer: Verwenden Sie die Schaltfläche “Nicht-Standard-Schlüssel löschen” im GrapheneOS Web-Installer.

CLI:

fastboot erase avb_custom_key

Flashen Sie dann die Standard-Factory-Images und sperren Sie den Bootloader.

Fazit #

Die Installation von GrapheneOS auf Ihrem Google Pixel bietet branchenführende Datenschutz- und Sicherheitsfunktionen. Verwenden Sie den Web-Installer unter grapheneos.org/install/web für die einfachste Erfahrung, oder folgen Sie den CLI-Schritten oben für einen klassischen Ansatz. Sperren Sie den Bootloader nach dem Flashen immer, um den vollständigen Verified Boot zu aktivieren, und verwenden Sie optional die Auditor-App, um die Integrität Ihrer Installation zu bestätigen.

Referenzen #

1. GrapheneOS-Website
2. GrapheneOS Web-Installer
3. GrapheneOS CLI-Installationsanleitung
4. GrapheneOS Releases
5. GrapheneOS Nutzungsanleitung
6. GrapheneOS FAQ
7. Auditor App
8. Android Platform Tools