Apps aus unbekannten Quellen unter Android: was IT-Verantwortliche wissen müssen

Kurz gesagt: Unter Android 14 und 13 öffnen Sie Einstellungen > Apps > Spezieller App-Zugriff > Unbekannte Apps installieren, wählen die App aus, die installieren darf (Browser, Dateimanager), und aktivieren „Aus dieser Quelle zulassen". Bis einschließlich Android 12 liegt der Schalter unter Einstellungen > Sicherheit > Unbekannte Herkunft und gilt für das gesamte Gerät.

Das ist die Antwort für ein einzelnes Gerät. Wenn Sie diesen Artikel allerdings lesen, weil eine interne App auf 200 Diensthandys soll, hören Sie hier auf. Der Schalter ist keine Verteilmethode, und er flottenweit zu öffnen ist die Art von Entscheidung, die Sie im nächsten Audit erklären müssen.

Unten: was der Schalter genau tut, warum Google ihn seit Jahren verengt, und wie interne Android-Apps heute sauber auf die Geräte kommen.

Was „unbekannte Quellen" technisch bedeutet

Android vertraut Google Play. Jede APK-Datei, die aus einer anderen Richtung kommt, ob Browser-Download, Dateimanager, Anhang in Teams oder USB-Übertragung, gilt als unbekannte Herkunft. Damit sie überhaupt installiert werden kann, muss der Nutzer genau der App die Berechtigung erteilen, die den Installationsvorgang auslöst.

Seit Android 8 ist diese Berechtigung feingranular: Sie erlauben Chrome, APKs zu installieren, oder Ihrem Dateimanager, nicht dem ganzen System. Davor gab es einen einzigen Schalter unter Sicherheit. Beide Modelle funktionieren, aber das ältere ist das, was Sicherheitsverantwortliche nachts wachhält, weil ein Klick sämtliche Installationswege gleichzeitig öffnet.

Wichtig für die Einordnung: der Schalter deaktiviert Google Play Protect nicht. Die Signaturprüfung und der Malware-Scan laufen weiter. Was wegfällt, ist die Herkunftsgarantie, also das stärkste Signal, das Android überhaupt hat.

Google verengt diesen Pfad Version für Version

Sideloading ist kein stabiler Bauplan, weil sich die Regeln unter ihm bewegen. Drei Schritte der letzten Jahre zeigen die Richtung:

• Android 13 führte die eingeschränkten Einstellungen ein. Eine per APK installierte App bekommt Zugriff auf Bedienungshilfen oder den Benachrichtigungszugriff nur noch über einen zusätzlichen, versteckten Freigabeschritt. Genau die Berechtigungen, die viele interne Apps brauchen.
• Android 14 blockiert die Installation von APKs, deren Ziel-API-Level zu alt ist. Ältere interne Builds, die jahrelang liefen, scheitern seitdem ohne brauchbare Fehlermeldung.
• Google hat 2025 zusätzlich angekündigt, dass Apps auf zertifizierten Android-Geräten künftig auch außerhalb von Play von einem verifizierten Entwicklerkonto stammen müssen, mit gestaffelter Einführung ab 2026. Wer heute auf anonymes Sideloading baut, plant gegen die Plattform.

Der Schalter bleibt für Rückwärtskompatibilität und für erfahrene Nutzer erhalten. Als Verteilweg für Unternehmen ist er erkennbar nicht mehr gemeint.

Warum das in einer Geräteflotte an der Prüfung scheitert

Angenommen, Sie verwalten 500 Android-Geräte und aktivieren unbekannte Quellen, um Ihre interne Außendienst-App auszurollen. Was Sie damit tatsächlich beschließen:

• Jedes Gerät darf APKs aus jeder Quelle installieren, nicht nur aus Ihrer.
• Aktualisierungen passieren nicht mehr von selbst. Jede neue Version heißt: erneut verteilen, erneut anleiten, erneut nachfassen.
• Sie haben kein Inventar. Wer hat welche Version installiert, wann, und hat sie beim Austritt jemand entfernt?
• Die Deinstallation beim Austritt eines Mitarbeiters ist Vertrauenssache statt Prozess.
• Im Fragebogen der Wirtschaftsprüfung steht die Frage nach der Kontrolle über installierte Software. „Der Nutzer lädt sich die Datei herunter" ist dort keine Antwort.

Für Unternehmen im Anwendungsbereich von NIS2 kommt das Dokumentationsproblem dazu. Die Risikomanagementmaßnahmen nach Artikel 21 verlangen einen nachvollziehbaren Umgang mit Software auf Endgeräten. Ein flottenweit geöffneter Installationspfad ist genau die Stelle, an der ein Prüfer nachhakt, und die Antwort „historisch gewachsen" trägt dort nicht.

Der Weg, den Android für interne Apps gebaut hat

Android Enterprise kennt zwei saubere Wege, private Apps zu verteilen, ohne den Schalter jemals anzufassen.

1. Private Apps in managed Google Play

Sie laden Ihre APK in der Play Console als private App hoch und beschränken die Sichtbarkeit auf Ihre Organisation. Geräte, die über Android Enterprise registriert sind, sehen die App in ihrem verwalteten Play Store neben den öffentlichen Apps, installieren sie mit einem Tippen und bekommen Aktualisierungen automatisch. Kein Schalter, kein Sicherheitshinweis, keine Signaturverwaltung auf Ihrer Seite.

Das ist für die meisten Unternehmen der richtige Weg. Ihre interne App verhält sich dabei wie eine normale Play-App, nur eben unsichtbar für alle anderen.

2. Privat gehostete APKs über den Verwaltungskanal

Manche Builds passen nicht in Play. Weil die APK von einem Dritten signiert ist, weil sie sich zu schnell ändert für den Prüfzyklus, oder weil sie proprietäre Hardware ansteuert. Für diese Fälle hostet eine App-Verwaltung wie Appaloosa die Datei und schiebt sie über den Verwaltungskanal auf die registrierten Geräte.

Auf dem Gerät kommt das als verwaltete Installation an, nicht als Sideload. Der Schalter bleibt aus, der Nutzer sieht keine Warnung, Sie sehen den Installationsstatus in der Konsole, verteilen Aktualisierungen auf demselben Weg und nehmen die App beim Austritt wieder zurück.

Beide Wege lösen das eigentliche Problem: private Apps in großer Zahl verteilen, nachvollziehbar und ohne den Installationspfad des Geräts zu öffnen.

Unbekannte Quellen in der Geräteflotte sperren

Wenn Sie Geräte über Android Enterprise registrieren, können Sie die Installation aus unbekannten Quellen von vornherein unterbinden. Die Einstellung gehört zu den Richtlinien, die bei der Zero-Touch-Registrierung gesetzt werden, also bevor das Gerät beim Nutzer ankommt.

• Auf vollständig verwalteten Geräten und im Kiosk-Modus gilt die Sperre für das gesamte Gerät.
• Im Arbeitsprofil auf einem privaten Gerät gilt sie für das Arbeitsprofil.
• Als Quelle bleiben managed Google Play und die vom Verwaltungssystem angestoßenen Installationen.

Der Nutzer sieht die Einstellung weiterhin im Betriebssystem, aber sie ist ausgegraut, und der Installationsversuch scheitert.

Ein Punkt, der in BYOD-Szenarien regelmäßig durcheinandergeht und den Sie gegenüber dem Betriebsrat sauber trennen müssen: die Handhabung unbekannter Quellen lässt sich auf einem privaten Android-Gerät auch für die private Seite einschränken. Das ist eine Beschränkung, kein Einblick. Die Admin-Konsole listet ausschließlich die im Arbeitsprofil installierten Anwendungen; Apps, die auf der privaten Seite installiert sind, erscheinen dort nicht. Wer private Geräte einbindet, sollte genau diese Unterscheidung in die Betriebsvereinbarung schreiben. Nach § 87 Abs. 1 Nr. 6 BetrVG ist die Mitbestimmung ohnehin verpflichtend, und die Frage, was die IT sieht und was sie nur verbietet, ist dort der Kern der Diskussion.

Wann der Schalter trotzdem eine Rolle spielt

Testgeräte in der Entwicklung. Wenn Ihr Team Ad-hoc-Builds vom Build-Server installiert, braucht die installierende App die Berechtigung. Das ist eine bewusste, benannte Ausnahme auf einer abgegrenzten Gerätegruppe. Dokumentieren Sie sie, sonst wird sie zur Regel.

Einzelne private Installationen. Ein Mitarbeiter will eine Nischen-App aus F-Droid auf seinem eigenen Telefon. Das ist seine Entscheidung auf seinem Gerät. Auf einem Firmengerät entscheidet Ihre Richtlinie.

Der Klickpfad, für den Einzelfall

Hier der Vollständigkeit halber. Nutzen Sie das auf einem privaten Gerät oder einem abgegrenzten Testgerät.

Android 8 und neuer

1. Einstellungen öffnen, dann Apps (je nach Hersteller: Apps & Benachrichtigungen).
2. Menü mit den drei Punkten, dann Spezieller Zugriff oder Erweitert > Spezieller App-Zugriff.
3. Unbekannte Apps installieren auswählen.
4. Die App wählen, die als Installationsquelle dienen soll, etwa Chrome oder den Dateimanager.
5. „Aus dieser Quelle zulassen" aktivieren.

Jede Quelle braucht ihre eigene Freigabe. Nach der Installation schalten Sie sie wieder aus.

Android 7 und älter

1. Einstellungen > Sicherheit (bei Samsung: Sperrbildschirm und Sicherheit).
2. Unbekannte Herkunft aktivieren.
3. Den Sicherheitshinweis bestätigen.

Das ist ein globaler Schalter. Solange er an ist, darf alles auf dem Gerät installieren.

Wenn die Installation scheitert

„App nicht installiert". Meist ein Signaturkonflikt mit einer bereits vorhandenen Version, oder zu wenig Speicher. Alte Version deinstallieren, dann erneut versuchen.

Parse-Fehler. Die Datei ist unvollständig, beschädigt oder für eine andere Architektur gebaut. Erneut herunterladen und prüfen, ob die APK zur CPU passt (armeabi-v7a, arm64-v8a, x86_64).

Play Protect blockiert. Play Protect arbeitet unabhängig vom Schalter. Wenn eine signierte interne App gemeldet wird, ist die Ursache häufig ein abgelaufenes oder gewechseltes Signaturzertifikat. Klären Sie das, statt die Warnung wegzuklicken.

Was Sie mitnehmen sollten

Unbekannte Quellen sind ein Notausgang für ein einzelnes Gerät und eine bestimmte Datei. Als Verteilweg für ein Unternehmen taugen sie nicht, und der Abstand zwischen beiden wird mit jeder Android-Version größer. Für den Regelfall nehmen Sie private Apps in managed Google Play, für die Sonderfälle eine verwaltete Android-Geräteverwaltung, die die APK selbst ausliefert. Beide Wege lassen den Schalter aus, geben Ihnen ein Inventar und überstehen die nächste Prüfung.