Android-Entwicklerverifizierung startet am 30. September

Die meisten Gründer antworten auf die Frage, wem ihre Android-App gehört, mit dem Namen ihres Unternehmens. Ab dem 30. September 2026 hängt Googles Antwort von zwei Dingen ab: in wessen Entwicklerkonto die App liegt und wer ihren Signaturschlüssel hält.

Google verlangt jetzt, dass jede App auf zertifizierten Android-Geräten auf einen verifizierten Entwickler registriert ist. Das Programm startet in vier Ländern und gilt ab 2027 weltweit.

Jetzt vier Länder, 2027 jedes zertifizierte Smartphone

Google vergleicht die Android-Entwicklerverifizierung mit der Ausweiskontrolle am Flughafen. Sie bestätigt, wer der Entwickler ist, nicht, was die App enthält. Google hat das Programm im August 2025 angekündigt. Im November 2025 startete der Early Access, seit März 2026 steht es allen Entwicklern offen.

Die Pflicht gilt für zertifizierte Android-Geräte mit Android 7 oder höher. Zertifizierte Geräte sind Smartphones und Tablets, die mit Google-Diensten und Play Protect ausgeliefert werden. Laut F-Droid machen sie mehr als 95 % der Android-Hardware außerhalb Chinas aus.

Nach eigenen Angaben hat Google die vier Startländer gewählt, weil sie besonders stark von App-Betrug betroffen sind. Für den Vertrieb außerhalb von Play gilt die Pflicht ab September für die Formfaktoren Smartphone und Tablet. Play-Entwickler müssen ihre Apps für alle Formfaktoren registrieren. Stores, die nicht auf der Liste stehen, sind am 30. September nicht betroffen. Auch direktes Sideloading von Websites bleibt vorerst unberührt.

Google empfiehlt, die Verifizierung vor dem weltweiten Rollout abzuschließen. Der Rollout 2027 gilt für alle Apps auf zertifizierten Geräten weltweit.

Auf einem Gerät, auf dem die Pflicht greift, lässt sich eine App eines nicht verifizierten Entwicklers nicht mehr neu installieren. Eine nicht registrierte App lässt sich nur noch über ADB oder über den erweiterten Ablauf installieren oder aktualisieren. Dieser erweiterte Ablauf ist seit August 2026 weltweit aktiv. Es handelt sich um eine einmalige Einrichtung für Power-User. Dafür muss der Entwicklermodus aktiviert werden, und der Nutzer muss bestätigen, dass ihn dabei niemand anleitet.

Der Nutzer muss das Gerät neu starten und sich erneut authentifizieren. Dann wartet er einen Tag und bestätigt die Entscheidung schließlich per Biometrie oder PIN. Anschließend kann er nicht verifizierte Apps für sieben Tage oder unbefristet installieren, weiterhin mit Warnhinweis. Ihre Kunden werden das nicht tun. Für eine geschäftliche App ist der erweiterte Ablauf keine Vertriebsstrategie.

F-Droid und die Kampagne Keep Android Open lehnen die Pflicht zum Identitätsnachweis ab. Hinter der Kampagne stehen mehr als 70 Organisationen aus 23 Ländern. Dieser Artikel konzentriert sich auf die geschäftliche Seite.

Die App wird auf den registriert, der Konto und Schlüssel hält

Für die Verifizierung braucht es zwei Nachweise. Erstens weist der Entwickler seine Identität nach, etwa mit offiziellem Namen, Adresse und Kontaktdaten. Unter Umständen ist zusätzlich ein amtlicher Ausweis nötig. Unternehmen, die sich als Organisation registrieren, brauchen eine D-U-N-S-Nummer von Dun & Bradstreet. Die Nummer ist kostenlos, ihre Vergabe kann aber bis zu 28 Tage dauern.

Ein Konto für den vollständigen Vertrieb in der Android Developer Console kostet einmalig 25 US-Dollar. Ein Konto für eingeschränkten Vertrieb ist kostenlos und erfordert keinen amtlichen Ausweis. Damit können Hobbyentwickler und Studierende Apps auf bis zu 20 Geräten teilen.

Zweitens weist der Entwickler nach, dass ihm jede einzelne App gehört. Dazu reicht er eine APK ein, die mit seinem privaten Schlüssel signiert ist. Pro Paket lassen sich mehrere Signaturschlüssel im Register hinterlegen.

Google Play registriert 99 % der Apps automatisch. Play-Apps mit Play App Signing werden automatisch zugeordnet, und zwar dem Play-Entwicklerkonto, in dem sie liegen. Über ein Konto in der Play Console lässt sich die Verifizierung auch für Apps verwalten, die außerhalb von Play vertrieben werden. Hat Ihre Agentur die App über ihr eigenes Konto veröffentlicht, wird die App auf die Agentur registriert.

Außerhalb von Play ist für die Registrierung der Signaturschlüssel nötig. In Googles eigener FAQ heißt es, dass ein Entwickler, der den Signaturschlüssel verliert, die Pakete nicht registrieren kann.

Ist ein Paketname bereits vergeben und berechtigt Ihr Schlüssel nicht dazu, ihn zu beanspruchen, rät Google zu einem anderen Paketnamen. Andernfalls ist eine zusätzliche Prüfung nötig, und derselbe Paketname kann dann auch von anderen Entwicklern verwendet werden. Für Android ist ein neuer Paketname eine eigenständige App. Bestehende Nutzer erhalten darüber keine Updates. Sie müssen die App erneut installieren.

Für Apps, die unter NDA entwickelt wurden, gibt es eine gute Nachricht. Die Verifizierung erfasst keine Informationen über Inhalt oder Funktionen der App. Durch die Registrierung werden keine vertraulichen Informationen offengelegt.

Wir veröffentlichen Kunden-Apps im eigenen Entwicklerkonto des Kunden bei Google Play, und der Kunde behält den Signaturschlüssel. Wir haben auch schon eine App übernommen, deren Play-Konto oder Keystore bei einer früheren Agentur oder einem Freelancer lag. Das zurückzuholen gehörte zum Auftrag. Mit der Verifizierung ist so eine offene Baustelle kein bloßes Ärgernis mehr, sondern eine harte Abhängigkeit.

Ein Eigentums-Check in sechs Punkten für diese Woche

Gehen Sie diese kurze Liste mit Ihrem Entwickler durch, um sicherzustellen, dass die Eigentumsrechte an Ihrer App gesichert sind.

1. Sehen Sie nach, welcher Entwicklername in Ihrem Eintrag bei Google Play steht. Ist es nicht Ihr Unternehmen, bitten Sie Ihren Entwickler, die App in Ihr eigenes Play-Entwicklerkonto zu übertragen (die Play Console unterstützt die Übertragung von Apps zwischen Konten).
2. Fragen Sie Ihren Entwickler, ob die App Play App Signing nutzt und wer den Upload-Schlüssel sowie alle weiteren Signaturschlüssel hält. Lassen Sie sich die Antwort schriftlich geben.
3. Listen Sie jeden Kanal auf, über den die APK Ihre Nutzer erreicht: Play, Galaxy Store, Xiaomi, Ihre Website, Kiosk-Terminals, verwaltete Geräte. Alles außerhalb von Play und außerhalb eines verwalteten Stores muss vor 2027 registriert werden.
4. Wenn Sie sich als Organisation registrieren, sollten Sie oder Ihr Team die D-U-N-S-Nummer jetzt beantragen. Das kann bis zu 28 Tage dauern.
5. Prüfen Sie den Status. Die Play Console zeigt ihn auf der Seite zur Android-Entwicklerverifizierung an. Die Android Developer Console zeigt im Tab „Package names“ pro Paket „Registered“, „Not registered“ oder „Draft“ an. Android Studio Panda 4 und höher zeigt ihn an, wenn Sie ein signiertes Bundle oder eine APK erstellen. Zwei APIs, die Android Developer ID Status API und die Android Developer Console API, unterstützen die Massenregistrierung aus CI/CD-Pipelines.
6. Halten Sie es im Vertrag fest: Entwicklerkonto, Signaturschlüssel und Paketnamen gehören dem Auftraggeber.

Liegt Ihre App ausschließlich bei Google Play und in Ihrem eigenen Konto, bleibt nur noch, das zu bestätigen. Alle anderen haben bis zum Rollout 2027 Zeit. Die Punkte oben sind heute an einem Nachmittag erledigt.