Ich ließ mein Android-Handy um 3 Uhr nachts am Ladegerät mit allen geschlossenen Apps. Bildschirm aus. Nicht stören aktiviert. Flugmodus deaktiviert, aber mobile Daten ausgeschaltet, WLAN an. Eine Stunde später prüfte ich die Netzwerk-Logs.

47 Verbindungen. Nicht zu meinen Apps. Zu Google.

Die meisten Leute wissen, dass ihre Handys ständig “nach Hause telefonieren”. Was sie nicht wissen, ist die Präzision dessen, was gesendet wird, wann und warum bestimmte Pings passieren, selbst wenn du nichts getan hast. Der vorherige Post über 900 tägliche Pings gab die Makro-Perspektive. Dies ist die Mikroskop-Ansicht: Wie eine ruhige Stunde Hintergrundverkehr tatsächlich aussieht, wenn du sie Paket für Paket aufschlüsselst.

Das 3-Uhr-Check-in-Muster

Zwischen 3:17 Uhr und 4:17 Uhr nahm mein Pixel 6 (mit Standard-Android 14, keine Custom ROM) 47-mal Kontakt mit Google-Servern auf. Nicht zu Samsungs Servern, nicht zu App-Entwicklern. Zu Google Play Services, genauer gesagt.

Das Muster lässt sich in drei Kategorien einteilen. Erstens gibt es die regelmäßigen Integritätsprüfungen: Pings alle 4,5 Minuten an https://android.clients.google.com/checkin. Diese senden deine Android-ID, einen Zeitstempel und grundlegenden Gerätezustand (Akkustand, ob der Bildschirm an ist, Netzwerktyp). Das passiert, egal ob du kürzlich eine App geöffnet hast oder nicht.

Zweitens gibt es die Firebase Cloud Messaging (FCM) Keepalive-Pings. Selbst ohne ausstehende Benachrichtigungen hält FCM einen offenen Socket aufrecht und sendet alle 15 bis 28 Minuten winzige Heartbeat-Pakete. Das Intervall variiert je nach Akkuzustand und Netzwerkbedingungen. Diese übertragen keine Nachrichteninhalte, aber sie bestätigen, dass dein Gerät erreichbar ist, und aktualisieren Googles Routing-Tabellen.

Drittens gibt es die mysteriösen “Konfigurations-Sync”-Anfragen. Diese passierten 11-mal in meiner Stunde. Sie holen aktualisierte Konfigurationen für Google Play Services Module ab. Die Antwort-Payload ist verschlüsselt, aber die Request-Header verraten, welche Module sich melden: SafetyNet-Attestierungs-Configs, Standortdienst-Parameter, Anzeigenpersonalisierungs-Einstellungen.

Was die Zeitstempel enthüllen

Jeder Ping enthält einen präzisen Zeitstempel. Nicht nur, wann du ihn gesendet hast, sondern wann das Handy denkt, dass es den letzten ähnlichen Ping gesendet hat. Das erstellt ein Bewegungstagebuch.

Wenn Google um 3:22 Uhr einen Checkin-Ping sieht, der sagt “mein letzter Checkin war vor 4 Minuten”, ihr Server aber deinen vorherigen Checkin um 23:47 Uhr am Vorabend protokolliert hat, wissen sie, dass etwas Interessantes passiert ist. Du hast entweder den Flugmodus aktiviert, das Netzwerk gewechselt oder das Handy neu gestartet. Die Lücke zwischen vom Client gemeldeten Intervallen und vom Server protokollierten Intervallen ist eine Verhaltenssignatur.

Das ist wichtig, weil Korrelation zwischen Geräten im selben Haushalt Muster offenbaren kann. Wenn zwei Geräte im selben Zuhause beide 4-Stunden-Lücken in ihren Ping-Mustern zur gleichen Zeit zeigen, kann ein Algorithmus ableiten, dass der WLAN-Router des Haushalts neu gestartet wurde oder das Haus den Strom verloren hat. Wenn nur ein Gerät die Lücke zeigt, ist dieses Gerät vielleicht gereist.

Paranoid? Bedenke, dass Googles Rechenzentren bereits Geräte-Pings korrelieren, um “Netzwerkqualitätskarten” für ihre Dienste zu erstellen. Dieselbe Korrelations-Infrastruktur kann andere Fragen beantworten, wenn sich das Geschäftsmodell ändert oder eine Regierung nachfragt.

Das Akkustand-Leak

Jeder Checkin-Ping von Google Play Services enthält deinen aktuellen Akkuprozentsatz. Nicht auf die nächsten 10% gerundet. Exakter Prozentsatz.

Um 3:17 Uhr meldete mein Handy 67% Akku. Um 3:54 Uhr meldete es 64%. Um 4:17 Uhr meldete es 63%. Daraus weiß Google, dass ich mein Handy an einem Ladegerät habe, das entweder langsam lädt oder das Handy noch Hintergrundaufgaben ausführt. Sie wissen, dass ich wahrscheinlich schlafe (stationäres Gerät, keine Bildschirm-an-Ereignisse). Sie kennen meine Ladegewohnheiten.

Über Monate hinweg enthüllen Akkuentladungsmuster App-Nutzung, selbst wenn die Apps nicht pingen. Wenn dein Akku drei Nächte pro Woche zwischen Mitternacht und 1 Uhr um 8% sinkt, läuft etwas. Google kann dies aggregiert über alle Play Services Geräte sehen. Sie müssen die App nicht fragen, was sie tut. Die Akku-Telemetrie impliziert es.

Die stillen SafetyNet-Attestierungen

Sechs der 47 Pings waren SafetyNet API Aufrufe. Keine meiner Apps waren offen. Ich hatte sie nicht ausgelöst.

SafetyNet ist Googles Geräteintegritäts-API. Apps rufen sie auf, um zu prüfen, ob dein Handy gerootet ist oder eine Custom ROM läuft. Aber Google Play Services selbst führt auch regelmäßige Attestierungen im Hintergrund aus, wahrscheinlich um einen internen Vertrauens-Score für dein Gerät zu aktualisieren.

Jede Attestierungs-Anfrage enthält eine Nonce (eine eindeutige Zufallszahl) und gibt ein signiertes JSON Web Token (JWT) zurück. Das JWT enthält ein Urteil: BASIC_INTEGRITY bestanden oder nicht bestanden, CTS_PROFILE_MATCH wahr oder falsch. Das Token wird von Googles Servern signiert, nicht lokal generiert, was bedeutet, dass jede Attestierung das Senden von Gerätezustand an Google und das Warten auf ein Urteil beinhaltet.

Die Hintergrund-Attestierungen passierten in unregelmäßigen Abständen: 3:29 Uhr, 3:41 Uhr, 3:52 Uhr, 4:03 Uhr, 4:11 Uhr, 4:16 Uhr. Nicht alle 15 Minuten, nicht zufällig. Etwas löste sie aus, aber ich weiß nicht was. Meine Theorie: Play Services prüfte, ob ich Systemdateien manipuliert oder eine neue App aus unbekannter Quelle installiert hatte, während der Bildschirm aus war (hatte ich nicht).

Was du dagegen tun kannst

Du kannst Google Play Services nicht komplett deaktivieren, ohne die meisten Apps zu zerstören. Du kannst das Ping-Volumen reduzieren, indem du bestimmte Berechtigungen deaktivierst: Widerrufe Hintergrund-Standortzugriff, schalte “Google-Standortgenauigkeit” aus, deaktiviere Anzeigenpersonalisierung in den Google-Kontoeinstellungen.

Du kannst auch zu einer entgoogelten Android-ROM wie GrapheneOS oder LineageOS ohne Play Services wechseln, aber das ist extrem und zerstört Banking-Apps, manche Fahrscheine und alles, was von SafetyNet abhängt.

Der Mittelweg ist Blockieren auf Netzwerkebene: Nutze ein VPN oder einen DNS-Filter (wie NextDNS oder AdGuard), um Google-Domains zu protokollieren und selektiv zu blockieren. Du wirst sehen, welche Pings essenziell sind und welche nur Telemetrie. Play Services wird fehlgeschlagene Verbindungen wiederholen, also bekommst du doppelte Versuche, aber wenigstens weißt du, wonach es fragt.

Die ehrliche Antwort ist, dass die 3-Uhr-Pings weitergehen, solange du Standard-Android mit Play Services nutzt. Die Frage ist, ob du mit diesem Trade-off einverstanden bist: Bequemlichkeit und App-Kompatibilität im Austausch dafür, Google alle paar Minuten deinen Akkustand, Netzwerkzustand und Geräteintegritätsstatus wissen zu lassen, selbst während du schläfst.