Stärkere Bedrohungserkennung, einfachere Integration: Schützen Sie Ihr Wachstum mit der Play Integrity API

Im mobilen Ökosystem kann Missbrauch Ihren Umsatz, Ihr Wachstum und das Vertrauen der Nutzer gefährden. Damit Entwickler erfolgreich sein können, bietet Google Play mit der Play Integrity API einen zuverlässigen Dienst zur Erkennung von Bedrohungen. Mit der Play Integrity API können Sie prüfen, ob Interaktionen und Serveranfragen echt sind – also von einer unveränderten Instanz Ihrer App auf einem zertifizierten Android-Gerät stammen, die über Google Play installiert wurde.

Die Auswirkungen sind erheblich: Bei Apps, die Play Integrity-Funktionen nutzen, wird im Vergleich zu anderen Apps durchschnittlich 80% weniger unautorisierte Nutzung beobachtet. Heute wird es von führenden Unternehmen aus verschiedenen Branchen wie Uber, TikTok, Stripe, Kabam, Wooga, Radar.com, Zimperium, Paytm und Remini zum Schutz ihrer Unternehmen eingesetzt.

Wir verbessern die Play Integrity API kontinuierlich, um die Integration zu vereinfachen, die Widerstandsfähigkeit gegen komplexe Angriffe zu erhöhen und die Wiederherstellung von Nutzern zu verbessern, die die Integritätsstandards nicht erfüllen oder Fehler mit neuen In-App-Abhilfeaufforderungen von Google Play erhalten.

Bedrohungen für Ihr Unternehmen erkennen

Die Play Integrity API bietet Ergebnisse, mit denen bestimmte Bedrohungen erkannt werden können, die sich bei kritischen Interaktionen auf Ihr Geschäftsergebnis auswirken.

• Unautorisierter Zugriff: Mit dem Ergebnis accountDetails können Sie ermitteln, ob der Nutzer Ihre App oder Ihr Spiel bei Google Play installiert oder dafür bezahlt hat.
• Codemanipulation: Mit dem Ergebnis appIntegrity können Sie feststellen, ob Sie mit Ihrem unveränderten Binärprogramm in der Form interagieren, die Google Play bekannt ist.
• Risikobehaftete Geräte und emulierte Umgebungen: Mit dem Ergebnis deviceIntegrity können Sie feststellen, ob Ihre App auf einem echten, Play Protect-zertifizierten Android-Gerät oder einer echten Instanz von Google Play Games auf dem PC ausgeführt wird.
• Geräte ohne Patch: Bei Geräten mit Android 13 und höher können Sie anhand der Antwort MEETS_STRONG_INTEGRITY im deviceIntegrity-Ergebnis feststellen, ob auf einem Gerät aktuelle Sicherheitsupdates installiert wurden. Sie können auch deviceAttributes aktivieren, um die bestätigte Android SDK-Version in die Antwort aufzunehmen.
• Risikoreicher Zugriff durch andere Apps:Mit dem appAccessRiskVerdict können Sie ermitteln, ob Apps ausgeführt werden, die möglicherweise den Bildschirm aufnehmen, Overlays einblenden oder das Gerät steuern können (z. B. durch Missbrauch der Bedienungshilfe-Berechtigung). Apps, die tatsächlich der Barrierefreiheit dienen, sind von diesem Urteil automatisch ausgenommen.
• Bekannte Malware:Mit dem playProtectVerdict können Sie prüfen, ob Google Play Protect aktiviert ist und ob auf dem Gerät installierte Apps gefunden wurden, die als riskant oder gefährlich eingestuft werden.
• Hyperaktivität:Mit der Ebene „recentDeviceActivity“ können Sie feststellen, ob ein Gerät in letzter Zeit eine ungewöhnlich hohe Anzahl von Integritätstoken-Anfragen gesendet hat. Dies könnte auf automatisierten Traffic hindeuten und ein Zeichen für einen Angriff sein.
• Wiederholter Missbrauch und wiederverwendete Geräte:Mit deviceRecall (Beta) können Sie feststellen, ob Sie mit einem Gerät interagieren, das Sie zuvor gekennzeichnet haben, auch wenn Ihre App neu installiert oder das Gerät zurückgesetzt wurde. Mit der Funktion „Gerätewiedererkennung“ kannst du die wiederholten Aktionen anpassen, die du aufzeichnen möchtest.

Die API kann für alle Android-Formfaktoren verwendet werden, einschließlich Smartphones, Tablets, Foldables, Android Auto, Android TV, Android XR, ChromeOS, Wear OS und Google Play Games auf dem PC.

Play Integrity API optimal nutzen

Apps und Spiele haben mit der Play Integrity API Erfolg, wenn sie die Sicherheitsempfehlungen befolgen und ihre Strategie gegen Missbrauch schrittweise umsetzen.

Schritt 1: Festlegen, was geschützt werden soll: Entscheiden Sie, welche Aktionen und Serveranfragen in Ihren Apps und Spielen wichtig sind und überprüft und geschützt werden sollen. Sie können beispielsweise Integritätsprüfungen durchführen, wenn ein Nutzer die App startet, sich anmeldet, einem Mehrspieler-Spiel beitritt, KI-Inhalte generiert oder Geld überweist.

Schritt 2: Antworten zum Integritätsergebnis erfassen: Führen Sie in wichtigen Momenten Integritätsprüfungen durch, um Daten zum Ergebnis zu erfassen, ohne dass zunächst Maßnahmen ergriffen werden. So können Sie die Antworten für Ihre Installationsbasis analysieren und sehen, wie sie mit Ihren vorhandenen Missbrauchssignalen und Verlaufsdaten zu Missbrauch korrelieren.

Schritt 3: Durchsetzungsstrategie festlegen: Legen Sie Ihre Durchsetzungsstrategie basierend auf Ihrer Analyse der Antworten und dem, was Sie schützen möchten, fest. Sie können beispielsweise riskanten Traffic in wichtigen Momenten ändern, um sensible Funktionen zu schützen. Die API bietet eine Reihe von Antworten, sodass Sie eine mehrstufige Strategie implementieren können, die auf dem Vertrauensgrad basiert, den Sie jeder Kombination von Antworten zuweisen.

Schritt 4: Erzwingung schrittweise einführen und Nutzer unterstützen:Führen Sie die Erzwingung schrittweise ein. Sie sollten eine Wiederholungsstrategie für den Fall haben, dass es Probleme mit den Ergebnissen gibt oder diese nicht verfügbar sind. Außerdem sollten Sie darauf vorbereitet sein, Nutzern mit Problemen zu helfen. Mit den neuen, unten beschriebenen Google Play-In-App-Aufforderungen zur Problembehebung ist es einfacher denn je, Nutzer mit Problemen wieder auf den richtigen Weg zu bringen.

NEU: Nutzer mit Problemen automatisch von Google Play zurückgewinnen lassen

Die Entscheidung, wie auf verschiedene Integritätssignale reagiert werden soll, kann komplex sein. Sie müssen verschiedene Integritätsantworten und API-Fehlercodes (z. B. Netzwerkprobleme oder veraltete Play-Dienste) verarbeiten. Wir vereinfachen dies mit neuen In-App-Aufforderungen zur Fehlerbehebung in Google Play. Sie können Ihren Nutzern eine Google Play-Aufforderung anzeigen lassen, um eine Vielzahl von Problemen direkt in Ihrer App automatisch zu beheben. Das reduziert die Komplexität der Integration, sorgt für eine einheitliche Benutzeroberfläche und hilft, mehr Nutzer wieder in einen guten Zustand zu versetzen.

GET_INTEGRITY erkennt das Problem (in diesem Beispiel einen Netzwerkfehler) automatisch und behebt es.

Sie können das Dialogfeld  GET_INTEGRITY, das in der Play Integrity API-Bibliothek ab Version 1.5.0 verfügbar ist, nach einer Reihe von Problemen auslösen, um den Nutzer automatisch durch die erforderlichen Korrekturen zu führen, darunter:

• Unautorisierter Zugriff : GET_INTEGRITY leitet den Nutzer zurück zu einer von Google Play lizenzierten Antwort in „accountDetails“.
• Codemanipulation:GET_INTEGRITY leitet den Nutzer zu einer von Google Play erkannten Antwort in „appIntegrity“ weiter.
• Probleme mit der Geräteintegrität:GET_INTEGRITY führt den Nutzer durch die Schritte, die erforderlich sind, um den Status MEETS_DEVICE_INTEGRITY in deviceIntegrity wiederherzustellen.
• Behebbare Fehlercodes:GET_INTEGRITY behebt behebbare API-Fehler, z. B. indem der Nutzer aufgefordert wird, die Netzwerkverbindung zu reparieren oder die Google Play-Dienste zu aktualisieren.

Wir bieten auch spezielle Dialogfelder an, darunter  GET_STRONG_INTEGRITY (funktioniert wie GET_INTEGRITY, versetzt den Nutzer aber auch wieder in den Status MEETS_STRONG_INTEGRITY ohne bekannte Malware-Probleme in der playProtectVerdict), GET_LICENSED (versetzt den Nutzer wieder in einen von Google Play lizenzierten und erkannten Status) sowie CLOSE_UNKNOWN_ACCESS_RISK und CLOSE_ALL_ACCESS_RISK (fordert den Nutzer auf, potenziell riskante Apps zu schließen).

Moderne Integritätslösungen auswählen

Neben der Play Integrity API bietet Google mehrere andere Funktionen, die Sie im Rahmen Ihrer Strategie gegen Missbrauch in Betracht ziehen können. Sowohl die Play Integrity API als auch der automatische Schutz von Google Play bieten Vorteile für Nutzer und Entwickler, um die App-Bereitstellung zu schützen. Wir empfehlen, bestehende Apps zu diesen modernen Integritätslösungen zu migrieren, anstatt die alte Google Play-Lizenzierungsbibliothek zu verwenden.

Automatischer Schutz : Mit dem automatischen Schutz von Google Play kannst du nicht autorisierten Zugriff verhindern und dafür sorgen, dass Nutzer weiterhin deine offiziellen App-Updates erhalten. Wenn Sie die Funktion aktivieren, fügt Google Play dem Code Ihrer App automatisch eine Prüfung des Installationsprogramms hinzu, ohne dass Sie als Entwickler etwas tun müssen. Wenn Ihre geschützte App über einen anderen Kanal weitergegeben oder geteilt wird, wird der Nutzer aufgefordert, Ihre App bei Google Play herunterzuladen. Berechtigte Google Play-Entwickler haben außerdem Zugriff auf den erweiterten Manipulationsschutz von Google Play. Dieser nutzt Verschleierung und Laufzeitprüfungen, um es Angreifern zu erschweren und zu verteuern, geschützte Apps zu modifizieren und weiterzugeben.

Schlüsselattestierung der Android-Plattform : Die Play Integrity API ist die empfohlene Methode, um von der hardwaregestützten Schlüsselattestierung der Android-Plattform zu profitieren. Die Play Integrity API übernimmt die zugrunde liegende Implementierung im gesamten Geräte-Ökosystem. Play behebt automatisch Probleme und Ausfälle im Zusammenhang mit Schlüsseln und Sie können die API verwenden, um andere Bedrohungen zu erkennen. Entwickler, die die Schlüsselattestierung direkt implementieren, anstatt die Play Integrity API zu verwenden, sollten sich auf die bevorstehende Rotation des Root-Zertifikats der Android-Plattform im Februar 2026 vorbereiten, um Unterbrechungen zu vermeiden. Entwickler, die die Play Integrity API verwenden, müssen nichts weiter tun.

Firebase App Check: Entwickler, die Firebase verwenden, können mit Firebase App Check auf zertifizierten Android-Geräten ein von der Play Integrity API generiertes Ergebnis zur App- und Geräteintegrität sowie Antworten von anderen Anbietern von Plattformattestierungen erhalten. Wenn Sie alle anderen Bedrohungen erkennen und andere Play-Funktionen verwenden möchten, binden Sie die Play Integrity API direkt ein.

reCAPTCHA Enterprise: Unternehmenskunden, die eine umfassende Lösung für die Betrugs- und Bot-Verwaltung suchen, können reCAPTCHA Enterprise für Mobilgeräte erwerben. reCAPTCHA Enterprise nutzt einige der Signale der Play Integrity API zum Schutz vor Missbrauch und kombiniert sie standardmäßig mit reCAPTCHA-Signalen.

Schützen Sie Ihr Unternehmen noch heute

Die Play Integrity API basiert auf hardwaregestützter Sicherheit und bietet neue automatisierte Dialogfelder zur Problembehebung, die die Integration vereinfachen. Sie ist ein wichtiges Tool, um das Wachstum Ihrer App zu schützen.

Erste Schritte mit der Play Integrity API-Dokumentation