Google SafetyCore Android sorgt seit einigen Tagen für Diskussionen in Admin-Foren und auf Twitter. Grund ist ein stiller System-App-Eintrag, der plötzlich in der App-Liste vieler Android-Geräte auftaucht, ohne dass Nutzer aktiv etwas installiert haben. Für Intune-Admins stellt sich sofort die Frage, was diese App tut, ob sie kontrollierbar ist und welche Auswirkungen sie auf die Geräteflotte hat.
Was ist Google SafetyCore Android und warum taucht die App plötzlich auf?
Android System SafetyCore ist ein Systemdienst, den Google per Update auf Geräten ab Android 9 ausrollt. Laut Google-Support-Dokumentation unterstützt der Dienst die Erkennung sensibler Inhalte und zeigt bei Bedarf Warnmeldungen direkt auf dem Gerät an. Die Installation erfolgt automatisch im Hintergrund, deshalb stolpern viele Nutzer erst zufällig in den Android-Einstellungen darüber.
Das Paket trägt den technischen Namen com.google.android.safetycore und erscheint in der App-Liste als „Android System SafetyCore“. Berichte aus der Praxis zeigen zudem: Die App kommt nicht auf allen Geräten gleichzeitig an. Manche Nutzer mit Android 13 oder 14 finden sie gar nicht, andere mit denselben Versionen schon, weshalb sich ein systematischer Blick auf die eigene Flotte lohnt.
Technischer Hintergrund: On-Device Content Classification statt Cloud-Scan
Anders als viele zunächst befürchten, handelt es sich bei Google SafetyCore Android nicht um einen dauerhaft aktiven Scanner. Der Dienst wird laut Google nur aktiv, wenn eine andere App gezielt eine Klassifizierung anfordert, etwa im Rahmen der Funktion Nudity Protection in Messaging-Apps. Die Auswertung findet dabei direkt auf dem Gerät statt, nicht in der Cloud.
Google betont laut eigener Support-Dokumentation, dass weder identifizierbare Daten noch die klassifizierten Inhalte selbst an Google-Server übertragen werden. Allerdings bleibt unklar, nach welchen Regeln die Klassifizierung genau abläuft und wie die anfragende App mit dem Ergebnis umgeht. Diese fehlende Transparenz ist einer der Hauptkritikpunkte an diesem Systemdienst, gerade im professionellen Umfeld.
Das Paket com.google.android.safetycore im Detail
Für die technische Identifikation reicht der Paketname com.google.android.safetycore aus, um die App per Skript oder MDM-Abfrage zu erkennen. Sie zählt zu den System-Apps und lässt sich daher nicht wie eine gewöhnliche Nutzer-App im Play Store bewerten oder verwalten. Für Sysadmins ist genau das relevant, denn System-Apps unterliegen anderen Regeln als klassische verwaltete Apps.
Warum Google SafetyCore Android für Intune-Admins relevant ist
Wer Android-Geräte über Intune und Android Enterprise verwaltet, sollte diesen Systemdienst nicht ignorieren. Die App taucht in Compliance-Reports und Inventarlisten auf, was bei Audits oder Kundenanfragen zu Rückfragen führen kann. Betroffen sind sowohl privat genutzte Geräte im Homeoffice als auch vollständig verwaltete Firmengeräte.
Zudem zeigt der Fall exemplarisch, wie wenig Kontrolle Unternehmen über Hersteller-Updates auf Android-Geräten haben, selbst wenn diese über ein MDM verwaltet werden. Das betrifft besonders Unternehmen, die bereits Prozesse für App-Updates über den Company Portal etabliert haben, denn System-Apps wie SafetyCore laufen komplett außerhalb dieser Mechanismen.
Work Profile vs. Fully Managed Device: Wo Google SafetyCore Android erscheint
Bei BYOD-Geräten mit Work Profile landet die App in der Regel im privaten Bereich des Geräts, da es sich um eine System-App des zugrunde liegenden Android-Betriebssystems handelt. Auf vollständig verwalteten Geräten erscheint sie hingegen direkt im verwalteten Profil und taucht damit in der Inventarliste des MDM auf.
Ein aus der Praxis gemeldeter Fall zeigt: Auf Geräten mit Android 13, 14, 15 und 16, die vollständig über MDM verwaltet wurden, war die App bereits vorinstalliert. Eine Deaktivierung war dabei nicht möglich, eine Deinstallation hingegen schon. Anschließend stellt sich für Admins die Frage, wie sich das steuern lässt.
Kann man Google SafetyCore Android per Intune oder Play Managed Configuration steuern?
Eine gezielte Steuerung der App über Intune App Configuration Policies oder Google Play Managed Configuration ist aktuell nicht vorgesehen, da es sich um eine Systemkomponente und keine reguläre, über den Play Store verwaltete App handelt. Managed Configurations greifen nur bei Apps, die entsprechende Konfigurationsschlüssel anbieten, was bei System-Apps in der Regel nicht der Fall ist.
Admins können die App über Intune allerdings identifizieren und dokumentieren, etwa über die Geräteinventarisierung oder per Remote-Skript. Eine zentrale Deaktivierung per Richtlinie ist nach aktuellem Kenntnisstand nicht möglich, eine manuelle Deinstallation je Gerät hingegen schon.
adb shell pm list packages | findstr safetycore
adb shell pm uninstall -k --user 0 com.google.android.safetycoreDer zweite Befehl deinstalliert die App nur für den aktuellen Nutzer, nicht systemweit, da SafetyCore Bestandteil des Android-Betriebssystems ist. Nach einem Systemupdate kann die App daher erneut installiert werden, weshalb eine einmalige Deinstallation keine dauerhafte Lösung darstellt.
Ist com.google.android.safetycore sicher oder lässt es sich entfernen?
Ob com.google.android.safetycore sicher ist, hängt vom Vertrauen in Googles Aussage ab, dass die Verarbeitung ausschließlich lokal erfolgt. Sicherheitsrelevante Vorfälle sind bisher nicht bekannt, allerdings kritisieren Datenschützer die fehlende Transparenz bei den Klassifizierungsregeln. Entfernen lässt sich die App laut mehreren Nutzerberichten problemlos, ein erneutes Erscheinen nach Updates ist jedoch nicht ausgeschlossen.
Google SafetyCore Android und die DSGVO: Was gilt für BYOD und Unternehmensgeräte?
Aus datenschutzrechtlicher Sicht ist entscheidend, dass laut Google keine personenbezogenen Daten oder Klassifizierungsergebnisse an Google-Server übertragen werden. Solange diese Aussage zutrifft, bewegt sich Google SafetyCore Android datenschutzrechtlich in einem eher unkritischen Bereich, da keine Übermittlung an Dritte stattfindet.
Für Unternehmen mit BYOD-Geräten bleibt dennoch ein Restrisiko, da die App außerhalb der eigenen Kontrolle installiert wird und sich nicht per Richtlinie steuern lässt. Wer nach einem Vorfall ohnehin Meldepflichten prüfen muss, findet Details im Artikel zur DSGVO-Meldepflicht nach einem Datenleck. Für die Dokumentationspflicht reicht in der Regel ein Vermerk in der Geräte- und App-Inventarisierung.
Praxis-Checkliste: So dokumentierst du Google SafetyCore Android in deiner Geräteflotte
- Geräteinventar per Intune oder ADB auf com.google.android.safetycore prüfen
- Android-Version und Verwaltungsmodus (Work Profile oder Fully Managed) je Gerät notieren
- Datenschutzhinweis in interne BYOD-Richtlinie aufnehmen
- Prüfen, ob Nudity-Protection-Funktionen in genutzten Apps aktiv sind
- Änderungen nach künftigen Android-Updates regelmäßig neu prüfen
Wer sich grundsätzlich mit Android-Verwaltung im Unternehmen beschäftigt, findet ergänzend Hintergründe im Artikel Android: Ende der anonymen App-Downloads. Beide Themen zeigen, dass Google zunehmend eigene Kontrollmechanismen tief im System verankert, unabhängig von unternehmenseigenen MDM-Richtlinien.
Zusammengefasst bleibt Google SafetyCore Android für Intune-Admins vor allem ein Dokumentations- und Transparenzthema, weniger ein akutes Sicherheitsrisiko. Wer die App in seiner Flotte identifiziert, sauber dokumentiert und die Datenschutzaussagen von Google im Auge behält, ist ausreichend vorbereitet. Weitere Hintergründe liefert der Originalbeitrag im Born-IT-Blog.
FAQ zu Google SafetyCore Android
Was ist com.google.android.safetycore genau?
Es handelt sich um den Paketnamen von Android System SafetyCore, einem Google-Systemdienst zur lokalen Erkennung sensibler Inhalte auf Android-Geräten ab Version 9.
Ist com.google.android.safetycore safe to remove?
Nach bisherigen Berichten lässt sich die App ohne bekannte negative Auswirkungen deinstallieren, da sie nur aktiv wird, wenn eine andere App gezielt eine Klassifizierung anfordert.
Kann ich Google SafetyCore Android dauerhaft deaktivieren?
Eine dauerhafte Deaktivierung per Richtlinie ist aktuell nicht bekannt. Deinstallation ist zwar möglich, nach einem Systemupdate kann die App aber erneut erscheinen.
Sendet Google SafetyCore Android Daten an Google-Server?
Laut Google-Dokumentation nicht. Die Klassifizierung läuft komplett lokal auf dem Gerät, ohne Übertragung identifizierbarer Daten oder Inhalte an Google.