So prüfen Sie die Happ-Quelle und installieren keine gefälschte APK

Woher man Happ tatsächlich bezieht

Happ ist ein Client auf Basis des Xray-Kerns und verfügt über eine vorhersehbare Reihe legaler Vertriebskanäle. Für iOS und macOS ist das der App Store, für Android eine Installations-APK, für Windows ein Desktop-Build. Der Entwickler nutzt GitHub als Plattform für die Dokumentation und die Releases-Seite, auf der signierte Builds für jede Plattform veröffentlicht werden. Genau diese Kombination aus «App-Store + Releases auf GitHub» ist der Punkt, von dem aus Sie herunterladen sollten.

Die Suchanfrage «happ github» geben Menschen meist ein, wenn sie eine APK für Android direkt suchen, am Store vorbei. Das ist zulässig, erfordert aber Sorgfalt: Die Datei sollten Sie von der Releases-Seite eines geprüften Repositorys nehmen und nicht aus Foren, Filehostern oder Aggregatoren von «Spiegeln». Wir geben keine Links zu selbstgebastelten Kopien und benennen keine fremde Ressource als einzig richtige — wichtig ist, dass Sie lernen, die Quelle selbst zu prüfen.

Behalten Sie zudem im Kopf: Der Client Happ selbst und Ihr Zugang zu den Servern sind zwei verschiedene Dinge. Die App installieren Sie aus einer legalen Quelle, den Schlüssel und das Abonnement stellt der Telegram-Bot des Dienstes bereit. Keine APK sollte von Ihnen einen Login, Passwörter zu Konten oder eine Zahlung in sich selbst verlangen — die Konfiguration wird über einen separaten Abonnement-Link verbunden.

So unterscheiden Sie das echte Happ-Repository auf GitHub von einer Fälschung

Gefälschte Repositorys kopieren Name, Beschreibung und sogar Screenshots, deshalb sollte man nicht auf die Gestaltung achten, sondern auf Anzeichen eines lebendigen Projekts. Prüfen Sie den Eigentümer des Repositorys (Organisation oder Konto des Autors), das Erstellungsdatum, die Commit-Historie und die Aktivität im Bereich Issues. Bei einem echten Projekt kommen die Commits regelmäßig und sinnvoll und nicht in einem einzigen Schwung «Initial commit» vor einer Woche.

Achten Sie auf den Bereich Releases. Bei einem legitimen Projekt sind die Releases nach Versionen nummeriert, enthalten eine klare Änderungsliste und einzelne Dateien je Plattform: APK für Android, Installer für Windows und so weiter. Misstrauisch machen sollten ein Release ohne Beschreibung, eine einzige Datei mit seltsamem Namen, ein «Herunterladen»-Link, der auf eine externe Website statt auf ein GitHub-Asset führt, sowie ein Fork mit einer verdächtig hohen Zahl an «Sternen», die in wenigen Tagen gesammelt wurden.

Gleichen Sie Paketname und Version ab. In der App-Karte im Store und im Namen der APK sollte die Version mit der im Release angegebenen übereinstimmen. Wenn ein Fork sich als «verbesserter» oder «freigeschalteter» Happ-Build mit Zusatzfunktionen ausgibt — das ist ein klassischer Köder. Jeder Nachbau verliert die originale Signatur des Entwicklers, und Sie können dem Code darin nicht mehr vertrauen.

Warum unbekannte APKs gefährlich sind

Eine APK ist nicht bloß eine «Programmdatei», sondern ein vollwertiges Installationspaket mit Zugriffsrechten auf das System. Ein von jemandem nachgebautes Happ kann wie das Original aussehen und funktionieren, dabei aber ein eingeschleustes Werbe-SDK, einen versteckten Miner, einen Zwischenablage-Abgreifer oder ein modifiziertes Netzwerkmodul enthalten. Für einen VPN- und Proxy-Client ist Letzteres besonders kritisch: Genau durch ihn läuft Ihr gesamter Traffic.

Typische Folgen der Installation eines fremden Builds sind aufgezwungene Werbung über der Oberfläche, das Abfließen der Liste Ihrer Abonnements und Server, das Ersetzen der Konfiguration durch fremde Knoten und die Überwachung des Traffics. Im schlimmsten Fall leitet der modifizierte Client die Verbindungen über den Server eines Angreifers, wo die Daten protokolliert werden können. Äußerlich funktioniert alles, die Geschwindigkeit ist da — aber einem solchen Kanal kann man nicht mehr vertrauen.

Ein weiteres Risiko sind veraltete Kopien. Jemand hat einmal eine alte Version hochgeladen, sie verbreitete sich über die Spiegel und lebt seit Jahren weiter. Sie erhalten einen Client ohne aktuelle Sicherheits- und Kompatibilitätskorrekturen zum aktuellen Xray-Kern. Deshalb ist nicht nur die Echtheit der Datei wichtig, sondern auch ihre Aktualität.

Sichere Installation der Happ-APK: Schritt für Schritt

1. Öffnen Sie die Releases-Seite eines geprüften Happ-Repositorys auf GitHub und wählen Sie die neueste stabile Version. Laden Sie die APK als Asset des Releases selbst herunter und nicht über einen externen Link aus der Beschreibung.

2. Gleichen Sie vor der Installation die Prüfsumme ab. Wenn im Release SHA-256-Werte veröffentlicht sind, berechnen Sie den Hash der heruntergeladenen Datei (unter Windows mit dem Befehl certutil -hashfile happ.apk SHA256, unter Android über eine Hash-Rechner-App) und vergleichen Sie ihn Zeichen für Zeichen. Eine Übereinstimmung bestätigt, dass die Datei nicht ausgetauscht wurde und beim Download nicht beschädigt ist.

3. Prüfen Sie die Paketsignatur, falls Sie mit apksigner aus dem Android SDK umgehen können: Die Signatur der Original-Builds ist von Version zu Version stabil, und ihr Wechsel ist ein Grund, innezuhalten. Vergleichen Sie zumindest Paketname und Versionsnummer mit dem, was im Release angegeben ist.

4. Installieren Sie die APK und deaktivieren Sie sofort in den Android-Systemeinstellungen die Berechtigung «Installation aus unbekannten Quellen» für die App, über die Sie installiert haben. Öffnen Sie danach Happ, fügen Sie Ihren im Telegram-Bot des Dienstes erhaltenen Abonnement-Link hinzu und stellen Sie sicher, dass genau Ihre Server geladen werden. Der Client sollte keine überflüssigen Berechtigungen wie Zugriff auf Kontakte, SMS oder Anrufe anfordern.

Wenn eine zweifelhafte APK bereits installiert ist

Wenn Sie Happ aus einer unklaren Quelle installiert und Werbung, selbsttätige Verbindungen oder unbekannte Server in der Liste bemerkt haben — gehen Sie davon aus, dass dem Client nicht zu trauen ist. Entfernen Sie die App vollständig und «leeren» Sie nicht nur den Cache: Zusammen mit ihr werden die gespeicherten Konfigurationen entfernt, die ausgetauscht worden sein könnten.

Wechseln Sie nach der Deinstallation den Abonnement-Link: Wenden Sie sich an den Telegram-Bot des Dienstes und stellen Sie den Zugang neu aus, damit der alte kompromittierte Schlüssel nicht mehr gültig ist. Wenn Sie über dieses Gerät andere Dienste aufgerufen haben, während der verdächtige Client aktiv war, ändern Sie die Passwörter der wichtigen Konten von einem sauberen Gerät aus.

Installieren Sie Happ danach erneut — aus dem App Store auf Apple-Geräten oder aus einem geprüften Release auf GitHub für Android und Windows, mit obligatorischem Abgleich der Prüfsumme. Machen Sie es sich zur Regel, aus derselben Quelle zu aktualisieren: So vermeiden Sie nicht nur Fälschungen, sondern erhalten auch rechtzeitig Sicherheitskorrekturen.