CalyxOS ist zurück – und verlangt eine Neuinstallation

CalyxOS ist zurück. Nach elf Monaten ohne ein einziges Sicherheitsupdate hat das Calyx Institute am 1. Juli 2026 mit Version 7.2.2.0 den vollen Wartungsbetrieb für sein Google-freies Android-Custom-ROM offiziell wieder aufgenommen. Wer unseren Artikel zur ausgesetzten Entwicklung vom August 2025 gelesen hat, kennt die Vorgeschichte: Der Weggang zweier Schlüsselpersonen zwang das Projekt zu einer kompletten Neuaufstellung von Signierprozess und Infrastruktur.

Die gute Nachricht zuerst: CalyxOS gibt es weiterhin, mit einer nach eigenen Angaben robusteren Sicherheitsarchitektur als zuvor. Die schlechte Nachricht folgt sofort: Wer während der Pause auf einem alten Build sass, kommt an einer kompletten Neuinstallation nicht vorbei. Ein einfaches Update über die Luftschnittstelle reicht nicht, und genau dieser Teil geht in den bisherigen Meldungen zum Comeback oft unter.

CalyxOS ist ein von der gemeinnützigen Calyx-Stiftung entwickeltes, Google-freies Custom-ROM für Android, das gezielt Journalisten, Aktivisten und sicherheitsbewusste Privatnutzer adressiert, unter anderem mit integriertem Tor-Zugang über die App Orbot und einer optionalen MicroG-Kompatibilitätsschicht für den Alltag. Gerade für dieses Zielpublikum wiegt eine elfmonatige Lücke bei Sicherheitsupdates besonders schwer, weshalb sich ein genauer Blick auf das Comeback lohnt, statt es nur als erfreuliche Randnotiz abzuhaken.

Was am 1. Juli zurückkam: CalyxOS 7.2.2.0

Mit der Ankündigung vom 1. Juli 2026 erklärt das Calyx Institute die Entwicklungspause für beendet. Version 7.2.2.0 versteht sich laut Projekt nicht als einmaliger Nachzügler, sondern als Rückkehr zum regulären Auslieferungsrhythmus mit voller Wartung, also mit Sicherheitsupdates in gewohnter Kadenz statt einer weiteren Ankündigung ohne Substanz. Nutzer, die bereits den im Mai 2026 veröffentlichten Testbuild 7.2.1.0 installiert hatten, erhielten das Update automatisch über die Luftschnittstelle. Für alle anderen beginnt die Rückkehr mit einer Neuinstallation, dazu weiter unten mehr.

Elf statt sechs Monate: Warum die Pause so lange dauerte

Im Brief an die Community vom 1. August 2025 hatte das Projekt eine Pause von vier bis sechs Monaten angekündigt. Am Ende wurden daraus knapp elf Monate. Eine Begründung für die zusätzliche Verzögerung hat CalyxOS nie im Detail nachgeliefert, weder in weiteren Blogposts noch in der Ankündigung des Comebacks selbst.

Der Weggang von Nicholas Merrill und Chirayu Desai

Auslöser der Pause war der Abgang zweier Schlüsselpersonen. Nicholas Merrill, Präsident und Gründer des Calyx Institute, verliess die Organisation nach eigenen Angaben, um sich anderen Projekten zu widmen, nach mehr als 25 Jahren im Datenschutz-Umfeld. Parallel dazu gab Chirayu Desai, technischer Leiter von CalyxOS, seine Rolle ab. Beide Abgänge trafen das Projekt an neuralgischen Stellen, Merrill auf der institutionellen, Desai auf der technischen Seite. Die Führung des Instituts übernahm im Anschluss Ellen McDermott, zuvor bereits interimistische Geschäftsführerin.

Sicherheitsaudits statt Schnellschuss

Nach dem Abgang von Personen mit weitreichenden Zugriffsrechten ist eine Rotation der Signing Keys und ein Sicherheitsaudit laut dem Brief an die Community "Security Best Practice", nicht Kür. Für ein Betriebssystem, dessen gesamtes Sicherheitsmodell auf einer vertrauenswürdigen Signaturkette beruht, bei der jedes Update gegen den öffentlichen Schlüssel des Projekts verifiziert wird, ist das die einzig verantwortbare Reaktion. Elf statt sechs Monate ohne Sicherheitsupdates bleiben trotzdem eine lange Zeit für ein System, dessen zentrales Versprechen genau darin besteht, Nutzer vor solchen Lücken zu schützen.

Die neue Signing-Infrastruktur: ein HSM statt einzelner Personen

Technisch fasst das Projekt die Lehre aus der Pause in einer neuen, quelloffenen HSM-basierten Signing-Lösung zusammen. Ein Hardware Security Module (HSM) ist ein dediziertes Gerät, das kryptografische Schlüssel physisch abgeschottet erzeugt, speichert und verwendet, ohne sie jemals im Klartext preiszugeben. Anwendungen schicken lediglich eine Signieranfrage, das Schlüsselmaterial selbst verlässt das Modul nie. Der Weggang zweier Personen genügte offenbar, um das gesamte Projekt zum Stillstand zu bringen, was darauf hindeutet, dass ein Teil der Verantwortung für den Signierprozess bislang an einzelnen Personen statt ausschliesslich an Systemen hing. Die neue Lösung soll laut Projekt genau diesen Single Point of Failure beseitigen.

Der Fachbegriff für den zugrundeliegenden Vorgang ist Signing Ceremony: ein protokollierter, oft unter mehreren Zeugen und teils offline durchgeführter Prozess, bei dem die kryptografischen Schlüssel innerhalb des HSM erzeugt werden, ohne dass eine einzelne Person jemals allein Zugriff auf das vollständige Schlüsselmaterial erhält. Solche Zeremonien sind aus dem DNSSEC-Root-Signing oder von Zertifizierungsstellen bekannt, wo sie seit Jahren Standard sind, um genau das Szenario zu verhindern, das CalyxOS im August 2025 in die Pause zwang: den faktischen Verlust der Kontrolle über kritisches Schlüsselmaterial durch den Abgang einzelner Personen.

Trail of Bits hat geprüft, allerdings mit engem Zuschnitt

Ergänzend zur neuen Infrastruktur hat CalyxOS ein Sicherheitsaudit durch Trail of Bits in Auftrag gegeben, eine der bekanntesten unabhängigen Sicherheitsfirmen im Open-Source-Umfeld. Der Bericht vom Januar 2026 ist öffentlich einsehbar, das ist positiv zu vermerken. Er prüft aber nicht CalyxOS als Ganzes, sondern ausdrücklich die Skripte der HSM-Provisioning-Zeremonie, also den Prozess, mit dem die neuen Signierschlüssel überhaupt erst sicher erzeugt wurden. Das ist ein sinnvoller und naheliegender Prüfumfang angesichts des Auslösers der Pause, aber kein Ersatz für ein umfassendes Audit des gesamten Systems. Wer aus der Erwähnung von "Trail of Bits" auf eine Vollprüfung schliesst, überschätzt, was der Bericht tatsächlich abdeckt.

Android 16 statt 17, und was CalyxOS 8 noch nicht kann

CalyxOS 7.2.2.0 basiert auf Android 16, obwohl Google mit Android 17 bereits die nächste Hauptversion veröffentlicht hat. Die Portierung auf Android 17 als CalyxOS 8 läuft laut Projekt, befindet sich aber noch in einer frühen Phase, ein Termin steht nicht fest. Dass ein Custom-ROM der jeweiligen Google-Basis einige Monate hinterherläuft, ist für sich genommen normal. Nach einer elfmonatigen Pause ist der Rückstand aber grösser als sonst, was die Frage aufwirft, wie schnell das Projekt beim nächsten grossen Versionssprung wieder auf Tempo kommt.

Neue Geräte: SHIFTphone 8 kommt, Google Pixel 10 fehlt

Auf der Geräteliste taucht mit dem Comeback erstmals das SHIFTphone 8 auf, ein in Deutschland konzipiertes und auf Reparierbarkeit ausgelegtes Gerät des Herstellers Shift. Damit wächst die Unabhängigkeit von Google-Pixel-Hardware, ein Umstand, den wir bereits im Zusammenhang mit den Verschärfungen bei Custom-ROMs für Pixel-Geräte eingeordnet haben. Auffällig zugleich: Das aktuelle Google Pixel 10 fehlt in der Kompatibilitätsliste. Ob das an fehlendem Entwicklungsstand nach der Pause liegt oder an grundsätzlicheren Hürden, lässt das Projekt offen, ein Punkt, den Kaufinteressenten vor einer Anschaffung gezielt in der aktuellen Geräteliste prüfen sollten, statt sich auf ältere Angaben zu verlassen.

Die Geräteunterstützung von CalyxOS war schon vor der Pause breiter als bei den meisten anderen Custom-ROMs. Neben mehreren Google-Pixel-Generationen zählen dazu diverse Fairphone-Modelle und eine wachsende Zahl an Motorola-Geräten, die das Projekt bereits im Mai 2025 um vier zusätzliche, vergleichsweise günstige Modelle erweiterte, namentlich das Moto G 5G (2024), G34 5G, G45 5G und G84 5G. Mit dem SHIFTphone 8 kommt nun erstmals ein in Deutschland konzipiertes Gerät hinzu, das sein Hersteller Shift ausdrücklich modular und reparierbar auslegt. Für Nutzer, die weder Google-Hardware noch ein Fairphone wollen, ist das die erste echte CalyxOS-Option ausserhalb dieser beiden Ökosysteme. Die Auswahl der Motorola-Modelle begründete das Projekt seinerzeit ausdrücklich mit vergleichsweise günstigen Preisen und einer deutlich breiteren weltweiten Verfügbarkeit als bei Pixel-Geräten, die in vielen Ländern nur eingeschränkt oder gar nicht offiziell erhältlich sind, ein Kriterium, das beim SHIFTphone 8 in ähnlicher Form gelten dürfte.

Das August-Update zeigt: der reguläre Rhythmus ist zurück

Bereits am 7. August 2026, gut fünf Wochen nach dem Comeback, folgte mit CalyxOS 7.2.4.20 das erste reguläre Sicherheitsupdate nach der Rückkehr. Für ein Projekt, dessen zentrales Versprechen zuletzt gerade die Verlässlichkeit von Sicherheitsupdates war, ist das ein wichtigeres Signal als das Comeback selbst. Ein einzelner Release ist eine Ankündigung, ein zweiter im gewohnten Rhythmus ist ein erster Beleg dafür, dass die neue Infrastruktur im Alltag trägt.

Community-Neustart: neue Rollen, neue Matrix-Infrastruktur

Auch personell und kommunikativ hat sich das Projekt während der Pause neu sortiert. Laut der Newsseite übernahm Habib die Verantwortung für die Infrastruktur von Nat, während Aayush, bislang zuständig für den Aurora Store innerhalb des Projekts, das Team verlassen hat. Neu hinzugekommen ist zudem ein dedizierter Systemadministrator, dessen Aufgabe erkennbar direkt aus der Pause folgt: eine Infrastruktur, die nicht mehr von einzelnen Freiwilligen nebenbei mitbetreut wird. Die Matrix-Kanäle der Community wurden auf Version 12 des Protokolls angehoben, und für den direkten Austausch mit dem Projekt entstand ein neuer, zentraler Matrix Space. Für Nutzer, die Bugs melden oder den Fortschritt bei CalyxOS 8 auf Android-17-Basis verfolgen wollen, ist das seit dem Comeback der naheliegendste Anlaufpunkt.

Die unbequeme Wahrheit für Alt-Nutzer: Neuinstallation statt Update

Die Versionsgrenze: 6.10.10/20 und älter

Der Teil, der in den bisherigen Meldungen zum Comeback oft zu kurz kommt: Wer aktuell CalyxOS 6.10.10/20 oder älter nutzt, oder ein beliebiges anderes Android-Betriebssystem, kommt nicht mit einem Update auf 7.2.2.0, sondern muss laut offizieller Ankündigung eine komplette Neuinstallation durchführen. Wörtlich heisst es dort, wer eine alte Version oder ein anderes Android-Betriebssystem nutze, benötige eine "clean install". Ein Update über die Luftschnittstelle erhalten ausschliesslich Nutzer, die bereits den Testbuild 7.2.1.0 installiert hatten. Der Grund liegt in der neuen Signing-Infrastruktur: Alte Builds sind gegen den alten Schlüssel signiert, neue Builds gegen den neuen, und einen Verifizierungspfad zwischen beiden gibt es nicht.

Seedvault als Rettungsanker vor dem Wipe

Eine Neuinstallation bedeutet ein vollständiges Löschen des Geräts. Wer seine Daten vorher nicht sichert, verliert sie. CalyxOS bringt mit Seedvault ein eigenes Backup-Werkzeug mit, das wir bereits in einer eigenen Anleitung zur lokalen Sicherung und Wiederherstellung beschrieben haben, inklusive der Einschränkung, dass Backups nur zwischen Geräten derselben ROM-Familie funktionieren. Wer stattdessen von einem Stock-Android- oder iPhone-Gerät kommt oder ganz allgemein Daten übertragen will, findet den passenden Weg in unserer Anleitung zum Datentransfer auf ein Custom-ROM. Für die eigentliche Ersteinrichtung nach dem Flashen, inklusive der einmaligen und später nicht mehr nachholbaren Entscheidung für oder gegen MicroG, verweisen wir auf unseren CalyxOS-Einsteiger-Guide, der das Setup Schritt für Schritt begleitet.

Was ihr tun könnt

• Nutzt ihr den Testbuild 7.2.1.0, prüft in den Systemeinstellungen, ob das Update auf 7.2.2.0 bereits angekommen ist, notfalls manuell nach Updates suchen.
• Nutzt ihr CalyxOS 6.10.10/20 oder älter, erstellt zuerst ein Seedvault-Backup und plant danach eine komplette Neuinstallation gemäss offizieller Anleitung ein.
• Lief euer Gerät seit der Pause ungepatcht, verzichtet bis zur Neuinstallation auf sensible Nutzung wie Online-Banking oder Zwei-Faktor-Codes auf diesem Gerät.
• Sucht ihr ein neues Gerät, prüft die aktuelle Geräteliste inklusive SHIFTphone 8 vor dem Kauf, statt euch auf ältere Kompatibilitätsangaben zu verlassen, insbesondere weil das Pixel 10 aktuell fehlt.
• Seid ihr unsicher, ob CalyxOS die richtige Wahl bleibt, wartet die nächsten ein bis zwei Update-Zyklen ab, bevor ihr produktive Daten auf das System verlagert.
• Wollt ihr Fehler melden oder den Fortschritt bei CalyxOS 8 verfolgen, nutzt den neuen zentralen Matrix Space des Projekts statt veralteter Kanäle aus der Zeit vor der Pause.

Einordnung: Ist CalyxOS nach diesem Jahr noch die richtige Wahl?

Die Fakten sprechen für einen vorsichtigen Vertrauensvorschuss, nicht für eine bedingungslose Empfehlung. Positiv: Das Projekt hat die Pause genutzt, um eine strukturelle Schwäche zu beheben, statt einfach weiterzumachen wie zuvor. Eine HSM-basierte Signing-Infrastruktur, die nicht mehr an einzelne Personen gebunden ist, ist eine echte Verbesserung gegenüber dem Zustand vor August 2025, und genau die Art von Fehler, die einem Open-Source-Projekt mit begrenzten Ressourcen passieren kann, ohne dass böser Wille dahintersteckt. Das zweite Sicherheitsupdate innerhalb weniger Wochen ist ein weiteres gutes Zeichen, ebenso die Entscheidung, den HSM-Prozess auditieren und den Bericht öffentlich zugänglich zu lassen.

Negativ: Elf Monate ohne Sicherheitsupdates sind für ein sicherheitsorientiertes Betriebssystem ein Zeitraum, den man nicht relativieren sollte, nur weil das Projekt ihn am Ende sauber gelöst hat. Wer in dieser Zeit ein Gerät mit sensiblen Daten weiterbetrieben hat, war real exponiert, unabhängig davon, wie überzeugend die Lösung im Nachhinein aussieht. Und das Audit deckt, wie oben beschrieben, nur einen Ausschnitt ab, nicht das Gesamtsystem. Beides zusammen ergibt kein Bild von Sorglosigkeit, aber auch keinen Freifahrtschein.

Für Nutzer, die primär auf Pixel-Hardware setzen, bleibt GrapheneOS mit seinem durchgehend gepflegten Update-Zyklus während der gesamten CalyxOS-Pause die robustere Wahl. Wer wie SHIFTphone-Nutzer keine praktikable Alternative zu CalyxOS auf seiner Hardware hat, oder wer CalyxOS aus anderen Gründen, etwa der MicroG-Unterstützung, bevorzugt, kann nach dem Comeback zurückkehren, sollte die Entwicklung in den kommenden Monaten aber aktiv beobachten statt sie auf Autopilot zu stellen.

Der Vergleich mit GrapheneOS macht dabei einen Unterschied im Ansatz deutlich, nicht nur einen Unterschied im Marktanteil. GrapheneOS verzichtet bewusst auf jede Google-Kompatibilitätsschicht und auf Support für Nicht-Pixel-Hardware, wodurch sich das Projekt auf eine einzige, eng kontrollierte Gerätefamilie konzentrieren kann. CalyxOS verfolgt mit MicroG-Option, breiterer Geräteunterstützung und eingebautem Tor-Zugang über Orbot einen bewusst offeneren, alltagstauglicheren Ansatz, der aber auch mehr bewegliche Teile und damit mehr potenzielle Fehlerquellen mit sich bringt. Die elfmonatige Pause zeigt, dass dieser breitere Zuschnitt nicht nur softwareseitig, sondern auch organisatorisch seinen Preis hat: Mehr Zielgruppen und mehr unterstützte Geräte bedeuten auch mehr Abhängigkeit von einzelnen Personen, wenn die Organisation dahinter nicht entsprechend robust aufgestellt ist.

Warum das Vertrauensproblem über CalyxOS hinausreicht

Die Pause bei CalyxOS ist kein Einzelfall im Ökosystem der Custom-ROMs, sondern das Symptom eines strukturellen Problems: Die meisten dieser Projekte werden von kleinen, teils ehrenamtlichen Teams getragen, die gegen einen Konzern antreten, der über ungleich mehr Ressourcen verfügt. Wir haben das bereits im Zusammenhang mit Googles schrittweiser Schliessung von Android eingeordnet: Je mehr Hürden Google für alternative Systeme aufbaut, etwa bei Zertifizierung oder beim Zugriff auf Sicherheitspatches, desto weniger Spielraum bleibt Projekten wie CalyxOS, um den Ausfall von Schlüsselpersonen abzufedern. Das gilt umso mehr, seit Google auch die technischen Voraussetzungen für Custom-ROMs auf eigener Pixel-Hardware verschärft hat, wie wir weiter oben bereits verlinkt haben. Ein Team, das ohnehin am Limit arbeitet, hat keine Redundanz übrig, wenn ausgerechnet Gründer und technischer Leiter gleichzeitig gehen.

Für Nutzer bedeutet das: Die Wahl eines Custom-ROMs ist nie nur eine technische Entscheidung, sondern auch eine Wette auf die organisatorische Stabilität eines kleinen Teams. CalyxOS hat diese Wette in den vergangenen elf Monaten sichtbar gemacht und, nach aktuellem Stand, für sich entschieden. Ob das auch beim nächsten unerwarteten Weggang gilt, lässt sich aus einem einzelnen erfolgreichen Comeback nicht ableiten, und genau deshalb bleibt eine gesunde Portion Wachsamkeit angebracht, auch nach diesem an sich guten Nachrichtentag für das Projekt.

Diese Verfügbarkeit ist dabei kein Nischenthema für Bastler. In einem politischen Klima, das mit Debatten um Chatkontrolle, dem Going-Dark-Paket und wiederkehrenden Vorstössen zur Ausweispflicht im Netz eher auf weniger als auf mehr Kontrolle über das eigene Gerät hinausläuft, ist die Existenz unabhängiger, vertrauenswürdiger Custom-ROMs Teil der Handlungsfähigkeit gegenüber genau solchen Vorhaben. Ein Comeback wie das von CalyxOS betrifft deshalb nicht nur dessen bestehende Nutzerbasis, sondern die Frage, wie viele ernstzunehmende Alternativen zu Googles Vorgaben am Ende überhaupt übrig bleiben.

Fazit: CalyxOS ist zurück, aber Vertrauen ist kein Versionssprung

CalyxOS 7.2.2.0 ist mehr als eine Formsache. Das Projekt hat eine echte strukturelle Schwäche behoben und liefert mit dem August-Update bereits einen ersten Beweis, dass der neue Prozess im Alltag trägt. Wer während der Pause gewartet hat, bekommt dafür aber keine bequeme Rückkehr geschenkt, sondern eine Neuinstallation mit allem, was dazugehört: Backup, Zeitaufwand und im Zweifel eine neue Entscheidung über MicroG. Das ist der Preis für ein Projekt, das seine Fehler ernst genommen hat, statt sie zu vertuschen. Genau deshalb verdient CalyxOS nach diesem Jahr keinen bedingungslosen Vertrauensvorschuss, aber eine faire zweite Chance, mit wachsamem Blick auf die nächsten Update-Zyklen.

Quellen und weiterführende Links

• CalyxOS: "CalyxOS is back" (1. Juli 2026)
• CalyxOS: "A letter to our community" (1. August 2025)
• Calyx Institute: Statement on Leadership Change
• CalyxOS News-Übersicht (u. a. August-Sicherheitsupdate 7.2.4.20)
• CalyxOS Device Support Guide
• Trail of Bits: Security Review, HSM Provisioning Ceremony Scripts (Januar 2026)