Android galt lange als das offene System unter den Smartphones. Eine App ließ sich aus Google Play installieren, ebenso direkt als Datei von einer Website, aus einem anderen Store oder aus einer E-Mail. Viele Unternehmen nutzen das, zum Beispiel für eine interne Außendienst-App, eine App für Lagergeräte oder eine Kunden-App, die bewusst nicht im Play Store steht.
Das ändert sich. Google hat im August 2025 angekündigt, dass künftig alle Apps auf zertifizierten Android-Geräten von verifizierten Entwicklern stammen müssen, auch Apps außerhalb von Google Play. Am 30. September 2026 beginnt die Durchsetzung in den ersten Ländern. Deutschland gehört noch nicht dazu, aber der Zeitplan für 2027 steht. Was das für Sie bedeutet, fassen wir hier zusammen.
Worum es geht
Der Kern ist einfach: Wer eine Android-App verteilt, soll seine Identität bei Google nachweisen und seine Apps einem Entwicklerkonto zuordnen. Google begründet das mit dem Schutz vor Schadsoftware, die gezielt über Apps außerhalb der Stores verbreitet wird. Die Prüfung erfolgt auf dem Gerät selbst über die Google-Play-Dienste und gilt laut Googles FAQ für zertifizierte Geräte ab Android 7.
Dafür gibt es zwei Wege:
- Google Play Console. Für alle, die ihre Apps bereits über Google Play anbieten. Dort lassen sich auch Apps registrieren, die zusätzlich außerhalb von Play verteilt werden.
- Android Developer Console. Eine neue Oberfläche für Entwickler, die ausschließlich außerhalb von Google Play verteilen.
Der Zeitplan
Laut der Übersichtsseite von Google und dem Beitrag im Android-Entwicklerblog vom Juni sieht der Ablauf so aus:
| Zeitpunkt | Was passiert |
|---|---|
| März 2026 | Verifizierung steht allen Entwicklern in beiden Konsolen offen |
| August 2026 | Konten für eingeschränkte Verteilung und der erweiterte Ablauf für Nutzer starten |
| 30. September 2026 | Durchsetzung in Brasilien, Indonesien, Singapur und Thailand |
| 2027 | schrittweise Ausweitung auf alle Länder |
Zum Start prüft das System Installationen aus teilnehmenden Stores. Neben Google Play sind das die Stores mehrerer großer Gerätehersteller, darunter der Galaxy Store von Samsung und GetApps von Xiaomi. Google hat angekündigt, die Prüfung bald auf alle Drittanbieter-Stores auszuweiten.
Für Apps in Google Play hat Google zudem eine Frist gesetzt. Laut einem Nachtrag vom Juli sollen Entwickler noch nicht registrierte Apps bis zum 30. September 2026 in der Play Console registrieren, um eine weltweite Entfernung aus Google Play zu vermeiden. Den allergrößten Teil der Play-Apps hat Google nach eigenen Angaben bereits automatisch registriert. Ein Blick auf die Startseite Ihrer Play Console lohnt sich trotzdem, und zwar diese Woche.
Was Nutzer künftig erleben
Wer eine App eines nicht verifizierten Entwicklers installieren möchte, kann das weiterhin tun, aber nicht mehr mit einem Fingertipp. Google hat dafür im März einen „erweiterten Ablauf“ beschrieben. Nutzer müssen den Entwicklermodus aktivieren, eine Abfrage zu möglichem Druck durch Dritte bestätigen, das Gerät neu starten und dann einen Tag warten, bevor sie die Installation freischalten können. Der Ablauf ist einmalig, wirkt aber abschreckend. Er soll vor allem Betrugsanrufe erschweren, bei denen Opfer unter Zeitdruck zur Installation einer App gedrängt werden.
Für Ihre Kunden heißt das: Eine App, die Sie als Datei zum Herunterladen anbieten, wird ohne Verifizierung künftig deutlich schwerer zu installieren sein. Viele werden an dieser Stelle aufgeben.
Wichtig ist auch ein Detail aus der FAQ. Nicht registrierte Apps lassen sich ohne erweiterten Ablauf oder Entwicklerwerkzeuge auch nicht mehr aktualisieren. Eine bereits installierte App bleibt damit unter Umständen auf einem alten Stand stehen.
Die Ausnahmen
Nicht alles ist betroffen. Drei Fälle sind für Unternehmen wichtig:
- Verwaltete Firmengeräte. Apps, die über den Store Ihrer Organisation auf verwaltete Geräte verteilt werden, müssen die Verifizierung laut FAQ nicht durchlaufen, weil Ihre IT sie bereits geprüft hat. Google empfiehlt aber, sie trotzdem zu registrieren.
- Installation per ADB. Über die Android Debug Bridge, ein Werkzeug für Entwickler, lassen sich Apps weiterhin ohne Verifizierung installieren. Das ist für Entwicklung und Tests gedacht, nicht für die Verteilung an Kunden.
- Eingeschränkte Verteilung. Für Lernende und Hobbyentwickler gibt es kostenlose Konten, mit denen Apps auf bis zu 20 Geräte verteilt werden können, ohne amtlichen Ausweis. Für Unternehmen ist das in aller Regel nicht der passende Weg.
Was Unternehmen jetzt tun sollten
Auch wenn die Pflicht in Deutschland erst 2027 greift, sollten Sie die Vorbereitung nicht aufschieben. Einige Schritte brauchen Vorlauf.
- Bestandsaufnahme machen. Welche Android-Apps verteilen Sie, und auf welchem Weg? Google Play, eigener Download, E-Mail, Geräteverwaltung? Oft gibt es ältere Apps, an die niemand mehr denkt.
- Die Signaturschlüssel sichern. Um eine App zu registrieren, müssen Sie nachweisen, dass Sie den Schlüssel besitzen, mit dem sie signiert ist. Ist dieser Schlüssel verloren, lässt sich die App laut FAQ nicht registrieren. Klären Sie, wo der Schlüssel liegt, wer Zugriff hat und ob es eine sichere Kopie gibt.
- Die D-U-N-S-Nummer beantragen. Organisationen brauchen für die Registrierung eine D-U-N-S-Nummer. Sie ist kostenlos, die Ausstellung kann laut Google aber bis zu 28 Tage dauern.
- Das richtige Konto wählen. Haben Sie bereits ein Play-Konto, ist die Play Console meist der einfachste Weg. Sonst kommt die Android Developer Console infrage, deren Konto für volle Verteilung laut FAQ einmalig 25 US-Dollar kostet.
- Den Dienstleister einbeziehen. Hat eine Agentur Ihre App entwickelt, klären Sie, auf wessen Namen das Entwicklerkonto läuft. Die App sollte Ihrem Unternehmen zugeordnet sein, nicht dem Dienstleister. Als Anbieter unter eigenem Namen gelten Sie auch nach dem Cyber Resilience Act als Hersteller.
- Die Verteilung überdenken. Für interne Apps auf Firmengeräten ist eine Geräteverwaltung mit eigenem Store oft der sauberere Weg. Für Kunden-Apps spricht vieles für Google Play, auch wenn Sie sie bisher bewusst außerhalb angeboten haben. Manchmal genügt auch eine Web-App, die ganz ohne Store auskommt.
Unsere Einschätzung
Die Änderung ist umstritten, weil sie ein offenes System ein Stück weit schließt. Für Unternehmen, die ihre Apps ordentlich verwalten, ist der Aufwand aber überschaubar. Kritisch wird es dort, wo niemand mehr weiß, wer eine App einmal gebaut hat und wo der Signaturschlüssel liegt. Diese Fragen sollten Sie jetzt klären, nicht im Frühjahr 2027 unter Zeitdruck.
Wenn Sie Unterstützung bei der Bestandsaufnahme, der Registrierung oder der Umstellung Ihrer Verteilung brauchen, finden Sie mehr unter App-Entwicklung. Für interne Anwendungen, die vielleicht auch als Web-Anwendung funktionieren würden, lesen Sie unter Software-Entwicklung weiter.