Google veröffentlicht Monat für Monat neue Android-Sicherheitsupdates, die normalerweise kurz nach der Veröffentlichung für die aktuellen Pixel-Smartphones ausgerollt werden. In der letzten Zeit ist es einigen Herstellern gelungen, diese Updates noch vor Google auszurollen, was laut einem Entwickler bei Google nicht gut ankommt. Man stellt es so dar, als wenn Google die anderen Hersteller absichtlich bremsen wollen würde – aber was steckt wirklich dahinter?
Die Google-Smartphones werden seit jeher am ersten Tag der Veröffentlichung mit dem Android-Sicherheitsupdate versorgt – das galt schon zu Nexus-Zeiten und ist auch in Zukunft ein zentrales Versprechen. Zwar gibt es derzeit einige Stolpersteine, vor allem für Pixel 6-Nutzer, aber grundsätzlich funktioniert das sehr gut und zuverlässig. Doch mittlerweile hat die Konkurrenz nachgelegt und bietet ihrerseits ebenfalls sehr schnell Updates – vielleicht zu schnell?
Dem Team des Essential Phone PH-1 ist es damals als erstes gelungen, Google zu schlagen und die Updates entweder zur gleichen Zeit oder gar einige Stunden vorher auszurollen. Das war beeindruckend, hat den Verkaufszahlen aber nicht geholfen. Mittlerweile ist es vor allem Samsung, das seine Flaggschiffe regelmäßig mehrere Tage vor Google versorgt. Während Google am ersten Montag eines Monats ausrollt, wählt Samsung den Freitag oder gar Donnerstag zuvor.
Nun hat das Team des Essential-Smartphones, das mittlerweile in einem neuen Startup namens OSOM an einem Smartphone, arbeitet, folgendes Statement zu den damaligen Sicherheitsupdates abgegeben:
Wir wurden buchstäblich von Google angeschrien, weil wir zu schnell waren. Sie sagten dann ‚Wir werden es euch nicht erlauben, eure Updates zu pushen, bevor das Pixel-Team bereit ist.
Oder einfach gesagt: Google will (angeblich) andere Smartphone-Hersteller bremsen, damit die Pixel-Smartphones die Updates zuerst bekommen.
Das wäre natürlich ein starkes Stück, denn es wäre nicht nur ein Eingriff in das offene Ökosystem in Googles Doppelrolle als Entwickler und Teilnehmer, sondern schlussendlich auch ein kurzzeitiges absichtliches Offenlassen von Sicherheitslücken. In dem Statement dürfte viel Wahrheit stecken, auch wenn man es sicherlich absichtlich so formuliert hat, dass es für Google negativ aussieht. In den Kommentaren hat sich eine langjährige Google-Entwicklerin gemeldet, die etwas Licht in die Sache bringt:
Pixel is where we develop and test the platform. Security updates are pushed to those devices when there is sufficient testing showing no problems. If someone is pushing a security update before it appears on Pixel, that is probably happening before it is actually fully tested.
The only case I think someone could deliver a security update before Pixel and be okay is if all of the Pixel devices are suffering from a driver or other hardware-specific security change causing problems… but note that even in that case, if none of the test devices are passing, there is limited confidence that if that driver issues or whatever is fixed they will then pass.
Da sieht die Sache dann schon wieder ganz anders aus. Google stellt den Herstellern die Updates bekanntlich zwei bis drei Wochen vor dem Rollout zur Verfügung, sodass sie zeitnah mit ihren Anpassungen beginnen können. Allerdings handelt es sich dabei um noch nicht ausreichend getestete Versionen. Und weil Google wohl die Pixel-Smartphones als Referenz verwendet, kann man sagen, dass die anderen Hersteller nicht ausreichend getestete Versionen ausrollen. Klar, dass Google als Ökosystem-Betreiber versuchen muss, zu reagieren. Allerdings weiß Google auch nicht, ob und wie umfangreich die externen Hersteller getestet haben und bisher ist der frühzeitige Rollout damals bei Essential und heute bei Samsung immer gutgegangen…