Schritt 2 · Der Umstieg

GrapheneOS installieren – Schritt für Schritt

Keine Sorge: Der Web-Installer macht den Großteil der Arbeit. Plane rund 30–45 Minuten ein. Du brauchst kein Vorwissen – nur ein passendes Pixel, ein USB-Kabel und einen Computer.

Bevor du startest – Voraussetzungen

📱 Ein passendes Pixel

Ein unterstütztes Google Pixel (siehe unten). Wichtig: nicht netz­betreiber-gebrandet/„carrier-locked" kaufen – das blockiert das Entsperren.

💻 Computer + Kabel

Ein Rechner (Linux, Windows oder macOS) mit einem aktuellen Chromium-basierten Browser (z. B. Chrome, Edge, Brave – wegen WebUSB; Firefox geht nicht) sowie ein funktionierendes USB-C-Datenkabel.

⏱️ Etwas Zeit & Ruhe

Folge den Schritten in Ruhe. Lade das Pixel auf über 50 %. Während der Installation nichts abstecken.

Datensicherung & Eigenverantwortung: Bei der Installation wird das Gerät komplett gelöscht – sichere vorher alles Wichtige. Es gilt die alte IT-Weisheit: kein Backup = kein Mitleid. 🙂 Du führst die Schritte auf eigene Verantwortung aus; für Datenverlust oder Schäden am Gerät wird keine Haftung übernommen. Im Zweifel hältst du dich an die offizielle Anleitung auf grapheneos.org.

Unterstützte Geräte (Stand 2026)

GrapheneOS unterstützt ausschließlich Google Pixel – wegen deren Hardware-Sicherheit. Je neuer das Gerät, desto länger bekommst du Sicherheits­updates.

Empfohlen (längster Support) beste Wahl

  • Pixel 10 / 10 Pro / 10 Pro XL / 10a
  • Pixel 9-Reihe (9, 9 Pro, 9a)

Sehr gut & günstiger

  • Pixel 8 / 8 Pro / 8a
  • Pixel 7 / 7 Pro / 7a

Noch möglich (Budget)

  • Pixel 6 / 6 Pro / 6a
  • Support läuft früher aus – prüfe das Enddatum.
Tipp: Prüfe die tagesaktuelle Geräteliste und das jeweilige Update-Enddatum direkt auf grapheneos.org. Ein Pixel a-Modell (z. B. 9a) ist meist das beste Preis-Leistungs-Verhältnis.

Die Installation in 8 Schritten

Der offizielle Weg ist der Web-Installer unter grapheneos.org/install/web. Er führt dich durch fast alles automatisch. Lieber von Hand? Dann springe zur manuellen Installation per Kommandozeile weiter unten.

Pixel vorbereiten & Entwickleroptionen aktivieren

Beim ersten Start einrichten, mit dem WLAN verbinden (für Updates). Dann Einstellungen → Über das Telefon öffnen und 7× auf die Build-Nummer tippen, bis „Du bist jetzt Entwickler" erscheint.

OEM-Entsperrung erlauben

Unter Einstellungen → System → Entwickleroptionen die Option „OEM-Entsperrung" aktivieren. Lässt sie sich nicht einschalten (ausgegraut), ist das Gerät leider carrier-gebrandet und ungeeignet.

In den Bootloader (Fastboot) wechseln

Gerät ausschalten. Dann Lauter + Leiser + Power gleichzeitig halten, bis das Fastboot-Menü erscheint. Jetzt das Pixel per USB mit dem Computer verbinden.

Web-Installer öffnen

Am Computer in einem Chromium-basierten Browser (z. B. Chrome, Edge, Brave) die Seite grapheneos.org/install/web aufrufen. Lies die Schritte dort mit – die Anleitung auf dieser Website ergänzt sie, ersetzt sie aber nicht.

Bootloader entsperren

Im Installer auf „Unlock bootloader" klicken bzw. den angezeigten Befehl ausführen. Am Pixel mit den Tasten bestätigen. Das Gerät wird dabei gelöscht. Danach ist der Bootloader offen für die Installation.

GrapheneOS flashen

Im Installer auf „Download & verify release" und dann „Flash" klicken. Der Installer lädt das passende Werks-Image, prüft es kryptografisch und schreibt es. Das dauert einige Minuten – nichts abstecken.

Bootloader wieder verriegeln (wichtig!)

Nach dem Flashen den Schritt „Lock bootloader" ausführen. Das aktiviert den verifizierten Boot mit deinem System und schützt vor Manipulation. Diesen Schritt nicht überspringen.

Neu starten & einrichten

„Reboot" wählen, USB abziehen. GrapheneOS startet. Folge der Ersteinrichtung, vergib eine starke PIN/Passphrase. Fertig – du hast ein gehärtetes, Google-freies System.

Sicherheits-Hinweis: Lade GrapheneOS ausschließlich über den offiziellen Installer von grapheneos.org. Niemals über fremde Spiegel, YouTube-Links oder „fertige" Geräte aus unbekannten Quellen.

Alternative: Manuelle Installation per Kommandozeile (CLI)

Der Web-Installer oben ist für fast alle der beste Weg. Wer lieber volle Kontrolle hat, kein WebUSB nutzen kann oder eigene Builds flasht, nimmt die manuelle Installation per Terminal. Das Ergebnis ist identisch – nur tippst du die Schritte selbst.

Was du brauchst: einen Rechner mit Linux, macOS oder Windows (mind. 2 GB freier RAM, 32 GB Speicher), das passende Pixel, ein gutes USB-C-Kabel (kein Hub) und ein Terminal. Schritt 1 (Entwickleroptionen + OEM-Entsperrung aktivieren) ist identisch zum Web-Weg oben – erledige ihn zuerst.

Terminal öffnen

Nutze für die gesamte Installation dasselbe Terminalfenster. Unter Windows eine normale (nicht-administrative) PowerShell öffnen – nicht die alte Eingabeaufforderung. Einmalig den störenden curl-Alias entfernen:

Nur Windows (PowerShell) 
Remove-Item Alias:Curl

fastboot besorgen (platform-tools)

Du brauchst ein aktuelles fastboot (mind. Version 35.0.1). Auf Arch genügt das Paket, sonst die offiziellen Standalone-platform-tools von Google verwenden.

Arch Linux 
sudo pacman -S android-tools android-udev
Debian / Ubuntu 
sudo apt install libarchive-tools android-sdk-platform-tools-common
curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-linux.zip
bsdtar xvf platform-tools_r35.0.2-linux.zip
export PATH="$PWD/platform-tools:$PATH"
macOS 
curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-darwin.zip
tar xvf platform-tools_r35.0.2-darwin.zip
export PATH="$PWD/platform-tools:$PATH"
Windows (PowerShell) 
curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-win.zip
tar xvf platform-tools_r35.0.2-win.zip
$env:Path = "$pwd\platform-tools;$env:Path"

Tipp: Prüfe die aktuelle Version & Prüfsummen auf der offiziellen CLI-Anleitung – die Versionsnummer hier ist ein Beispiel.

fastboot-Version prüfen

Muss mindestens 35.0.1 sein:

fastboot --version

In den Bootloader booten & Gerät verbinden

Gerät ausschalten, dann beim Einschalten die Leiser-Taste gedrückt halten, bis „Fastboot Mode" mit rotem Warndreieck erscheint. Nicht auf „Start" drücken. Jetzt per USB direkt an einen Port (kein Hub) anschließen.

Linux-Hinweis: Falls die Verbindung blockiert ist, kann fwupd dazwischenfunken – vorübergehend stoppen mit sudo systemctl stop fwupd.service.

Bootloader entsperren

Am Gerät mit den Lautstärke-Tasten bestätigen, mit Power auswählen. Löscht alle Daten.

fastboot flashing unlock

Factory-Images laden & verifizieren

Erst den Signaturschlüssel laden, dann das Image deines Geräts samt Signatur. Ersetze GERÄT (z. B. tegu für Pixel 9a) und VERSION mit den Werten von der Releases-Seite.

curl -O https://releases.grapheneos.org/allowed_signers
curl -O https://releases.grapheneos.org/GERÄT-install-VERSION.zip
curl -O https://releases.grapheneos.org/GERÄT-install-VERSION.zip.sig

Signatur prüfen (sehr wichtig!):

Linux / macOS 
ssh-keygen -Y verify -f allowed_signers -I contact@grapheneos.org \
  -n "factory images" -s GERÄT-install-VERSION.zip.sig < GERÄT-install-VERSION.zip

Erfolgreich, wenn Good "factory images" signature for contact@grapheneos.org erscheint. Erscheint das nicht: nicht weitermachen und neu herunterladen.

Entpacken & flashen

Archiv entpacken, hineinwechseln, Flash-Skript starten. Das Skript flasht Firmware + OS und startet das Gerät mehrfach automatisch neu – nichts abstecken.

Linux 
bsdtar xvf GERÄT-install-VERSION.zip
cd GERÄT-install-VERSION
bash flash-all.sh
macOS 
tar xvf GERÄT-install-VERSION.zip
cd GERÄT-install-VERSION
bash flash-all.sh
Windows (PowerShell) 
tar xvf GERÄT-install-VERSION.zip
cd GERÄT-install-VERSION
./flash-all.bat

Bootloader wieder verriegeln (wichtig!)

Aktiviert den verifizierten Boot mit deinem System. Am Gerät bestätigen – löscht erneut alle Daten. Diesen Schritt niemals überspringen.

fastboot flashing lock

Booten & absichern

Mit Power und gewähltem „Start" GrapheneOS booten. Bei der Ersteinrichtung den vorausgewählten Schalter „OEM-Entsperrung deaktivieren" aktiviert lassen – das schließt den Bootloader gegen erneutes Entsperren ab. Optional kannst du die Installation mit der Auditor-App (Hardware-Attestierung) oder über den angezeigten Verified-Boot-Schlüssel-Hash prüfen.

Maßgeblich ist die Originalanleitung. Befehle, Versionsnummern und Gerätecodenamen ändern sich. Folge im Zweifel Schritt für Schritt der offiziellen CLI-Installationsanleitung – ohne Schritte umzustellen, wegzulassen oder hinzuzufügen.
Wieder zurück zu Android? Geht genauso – mit den Stock-Factory-Images. Vorher im entsperrten Zustand den eigenen Schlüssel entfernen: fastboot erase avb_custom_key.

Erste Einrichtung – die wichtigsten Handgriffe

Updates prüfen

System-Updates laufen automatisch im Hintergrund. Einmal unter Einstellungen → System → Updates nachsehen schadet nicht.

Starke Sperre setzen

Eine 6-stellige PIN ist Minimum, eine Passphrase besser. Sie schützt auch die Geräte­verschlüsselung beim Neustart.

Browser: Vanadium nutzen

Der mitgelieferte Browser Vanadium ist gehärtet und die empfohlene Standard­wahl.

App-Quellen einrichten

Jetzt entscheidest du, woher Apps kommen: F-Droid, Aurora oder Obtainium. → Zur Software-Seite

Brauchst du Google-Apps? Dann installiere die Sandboxed Google Play nicht im Hauptprofil, sondern in einem separaten Profil. Warum und wie – das erklärt die nächste Seite.
Weiter: Profile einrichten → Oder direkt zur Software

Probleme? Kurzes Troubleshooting

„OEM-Entsperrung" ist ausgegraut

Das Gerät ist mit hoher Wahrscheinlichkeit carrier-/netzbetreiber-gebrandet. Solche Modelle lassen sich nicht entsperren. Lösung: ein offenes (SIM-/Netz-unabhängiges) Pixel verwenden.

Der Computer erkennt das Pixel im Fastboot nicht

Anderes USB-Kabel und einen direkten USB-Port am Rechner (kein Hub) probieren. Unter Windows ggf. den Browser neu starten. Chrome/Edge benötigt WebUSB – Firefox funktioniert für den Web-Installer nicht zuverlässig.

Nach dem Flashen bleibt ein Warnhinweis beim Start

Solange du den Bootloader wieder verriegelt hast (Schritt 7), ist alles korrekt. Ein kurzer GrapheneOS-Startbildschirm ist normal.

Ich habe „Lock bootloader" vergessen

Kein Datenverlust nötig: Du kannst den Installer erneut öffnen und nur den Lock-Schritt ausführen. Aus Sicherheits­gründen unbedingt nachholen.