Ist eine Casino-APK sicher? Play Protect, Quelle und Prüfung

Ob eine Casino-APK sicher ist, hängt zuerst an ihrer Herkunft. Eine APK ist ein Installationspaket für Android, das an Google Play vorbei auf das Gerät kommt, und damit fehlt die Prüfung, die jede App im Store durchläuft. Welche Anbieter überhaupt ein Paket anbieten und woher es stammt, fasst der Überblick zur Casino-App für Android zusammen. Die folgenden Prüfschritte setzen dort an, wo der Store fehlt: bei der Quelle, bei der Datei und bei den Warnungen des Systems.

Eine Antwort aus einem Forum fasst die Ausgangslage nüchtern zusammen: „APKs stellen immer ein Risiko dar gegenüber geprüften Apps aus den Stores.“ Google selbst empfiehlt Downloads über Google Play und warnt, dass Apps aus unbekannten Quellen Gerät und personenbezogene Daten gefährden können, bis hin zu Schäden, Datenverlust und Diebstahl. Von den vier vorgestellten Casinos nennen nur 22Bet und Irwin eine Android-App.

Woran man eine echte Anbieter-APK erkennt

Das erste Merkmal ist der Ort des Downloads. Eine echte Anbieter-APK liegt auf der offiziellen Website des Casinos, nicht auf einer fremden Domain, die nur ähnlich klingt. Für 22Bet nennt goal.com als Quelle ausschließlich die offizielle 22bet-Website. Irwin verweist in einer Antwort an AskGamblers auf Download-Symbole auf der eigenen Startseite; ob dahinter eine APK oder ein anderer Weg steckt, sagt keine Quelle.

Das zweite Merkmal sind die Eckdaten der Datei, und hier weichen die Quellen voneinander ab. Laut goal.com ist die 22Bet-APK 55,36 MB groß und läuft ab Android 6.0; an anderer Stelle steht dort „App Size 156 MB“, ohne dass die Plattform genannt wird. Laut Uptodown hat die Datei 53,19 MB, verlangt 39 Berechtigungen und „Erfordert Android 7.0 oder höher“. Eine Versionsnummer nennt keine der Quellen. Weicht eine Datei deutlich von beiden Größen ab, lohnt sich ein zweiter Blick auf die Herkunft. Quelle, Dateigröße und beide Quellenstände zur 22Bet App stehen gesammelt auf der Markenseite.

Das dritte Merkmal ist die Signatur. Jede APK ist vom Herausgeber digital signiert, und Android installiert ein Update nur, wenn die Signatur zur bereits installierten App passt. Ein Nutzer im Forum beschreibt das Ergebnis eines fremden Pakets knapp: „Die unterschiedliche Signatur blockiert die Installation.“ Scheitert ein Update über eine vorhandene Casino-App mit genau dieser Meldung, stammt die neue Datei nicht vom selben Herausgeber wie die alte.

Bietet statt des Casinos eine fremde APK-Seite die Datei an, lohnt ein Blick auf deren Pflichtangaben. Ein Forennutzer begründet sein Misstrauen gegenüber einer solchen Seite mit „Leere Datenschutzerklärung, kein Impressum, kein Ansprechpartner“. Ein anderer nennt als Merkmal einer Fälschung, dass „die Dateigröße mit 10mb, während das original 200mb aufweist“.

Play Protect: Warnung und Prüfung

Google Play Protect ist auf Android-Geräten standardmäßig aktiviert. Es prüft Apps beim Installieren und das Gerät regelmäßig, und zwar auch Apps aus anderen Quellen. Potenziell schädliche Apps meldet Play Protect, deaktiviert sie oder entfernt sie; ist eine App oder URL als schädlich bekannt, kann Google ihre Installation blockieren. Nicht verifizierte Apps mit sensiblen Berechtigungen, die häufig für Finanzbetrug genutzt werden, können ebenfalls an der Installation gehindert werden.

Zwei Meldungen tauchen in Foren immer wieder auf, und sie bedeuten Unterschiedliches. Die eine lautet sinngemäß: „Android blockt diese App weil diese schädlich ist / sein kann“. Hier hat Play Protect die Datei als schädlich eingestuft, und die Installation sollte an dieser Stelle enden. Die andere lautet „kann nicht geprüft werden“: Play Protect kennt die App nicht, weil sie nie über Google Play verteilt wurde. Das ist keine Aussage über Schadcode, sondern über fehlende Daten. Für solche Apps, die noch nie gescannt wurden, kann Play Protect einen Code-Scan empfehlen.

Auf die zweite Meldung folgt in Foren meist der Rat, „Programme aus unsicheren Quellen zulassen“. Diese Freigabe betrifft eine andere Stelle im System: Sie entscheidet, ob Browser oder Dateimanager überhaupt Pakete installieren dürfen, und sie schaltet Play Protect nicht ab. Wo die Einstellung je nach Android-Version sitzt und wie Sie sie danach wieder entziehen, beschreibt die Anleitung, um unbekannte Quellen erlauben zu können, bis Android 7.1.1 und ab Android 8 getrennt. Ob Play Protect läuft, zeigt der Play Store unter Profil › Play Protect › Einstellungen am Schalter „Apps mit Play Protect scannen“; Google empfiehlt, ihn immer aktiviert zu lassen.

APK-Portale statt Anbieterseite

Viele Nutzer laden APKs nicht beim Anbieter, sondern bei Portalen wie APKMirror, Uptodown oder F-Droid. Im Forum heißt es dazu, wer „keinen Play Store hast und deine Apps nun als APK installierst“, müsse eine verlässliche Seite wählen. Für Casino-Apps ist der Hintergrund ein anderer: Google Play lässt in Deutschland als Glücksspiel-Apps nur Sportwetten, Pferderennen und Lotterien zu, Online-Casinospiele fehlen in der Liste. Wer eine Casino-App mit Echtgeld sucht und im Store nur Spielgeld-Angebote findet, landet deshalb schnell auf einem Portal.

Ein Portal ist eine Kopie, nicht das Original. Wer die Datei hochgeladen hat, welche Version es ist und wann sie aktualisiert wurde, entscheidet das Portal, nicht das Casino. Dass Portal und Anbieterangaben auseinanderlaufen können, zeigen die abweichenden Eckdaten der 22Bet-APK weiter oben. Eine abweichende Angabe ist noch kein Zeichen für eine manipulierte Datei, aber sie zeigt, dass zwei Quellen nicht denselben Stand beschreiben. Liegt die APK auch beim Anbieter, ist dessen Seite die kürzere Kette, und spätere Updates kommen dann vom selben Herausgeber.

Datei prüfen vor der Installation

Ein Rat aus einem Forum lautet, „immer jede App out of the wild vor der Installation über“ VirusTotal zu prüfen, also jede APK, die nicht aus einem Store kommt, vor dem ersten Antippen dort hochzuladen. Zusammen mit der Adresse, von der die Datei kam, und dem Abgleich der Dateigröße mit den bekannten Angaben ergibt das die Prüfung, die bei einer APK an die Stelle des Stores tritt.

Einen eigenen „APK Installer“ aus dem Netz brauchen Sie dafür nicht. Im Forum lautet die Antwort knapp: „Du brauchst aber auch keinen eigenen APK Installer.“ Android öffnet die Datei mit dem eigenen Paketinstaller. Die vollständige Reihenfolge aus Download, Freigabe, Installation und Update zeigt die Schritt-für-Schritt-Anleitung, wie Sie eine Casino-App installieren, inklusive der typischen Fehlermeldungen.

Ab Android 13 kommt eine weitere Sperre hinzu: Beim Installieren einer App können sensible Geräteeinstellungen wie die Bedienungshilfen eingeschränkt werden. Freigeben lassen sie sich nur über „Eingeschränkte Einstellungen zulassen“ in der App-Info, und Google rät davon ab, sofern Sie dem Entwickler nicht vertrauen.

Was nach einer verdächtigen Installation zu tun ist

Die häufigste Sorge im Forum folgt auf eine blockierte Installation: „Ist damit auch der Virus abgewehrt worden“, fragt ein Nutzer, nachdem sein Telefon die APK wegen Virusgefahr gestoppt hatte. Hat Play Protect die Installation blockiert, ist die App nicht auf dem Gerät gelandet. Übrig bleibt die heruntergeladene Datei im Download-Ordner; sie lässt sich dort löschen, damit sie nicht später versehentlich geöffnet wird.

Ähnlich liegt der Fall eines Nutzers, der nach eigener Aussage jede APK prüft: „Jedes Mal, wenn ich ein APK herunterlade, überprüfe ich die App über VirusTotal.“ Bei einer heruntergeladenen, aber nicht installierten Datei meldete der Dienst 12 Treffer, und seine Folgefrage lautete „Soll ich mein Telefon zurücksetzen?“. In einem anderen Thread zur gleichen Sorge lautet die Antwort: „Nur durch einen Download kann nichts geschehen, keine Angst.“

Ist die App bereits installiert, bleibt die regelmäßige Prüfung durch Play Protect aus dem Abschnitt oben. Ob eine installierte APK überhaupt Anlass zur Sorge gibt, beantwortet ein Forennutzer mit „Kommt auf die Quelle an.“

Nicht jede Sorge nach der Installation betrifft die Datei selbst, manche betrifft das Geld. Bei AskGamblers beschwert sich ein Spieler, dass 22Bet seine Einzahlung in der App nicht einmal als „in Bearbeitung“ anzeigt. Welche Zahlungswege und Limits die vier Casinos führen, steht auf der Seite zur Ein- und Auszahlung in der App.