Ist halt aber genau die Malware, die du erwartest. Ich glaube bei dem Ratschlag wird davon ausgegangen, dass die installierte App vertrauenswürdig ist. Aber point taken.

Nothing OS hebt sich nicht von anderen Stock Roms ab. Wenn du das so werten willst, kommt jedes Android Gerät mit einer fork (was ja auch mehr oder weniger stimmt). Diese Stock Roms sind aber mit wenigen Ausnahmen (ein paar chinesische Hersteller aus rechtlichen Gründen) alle mit Google Apps mit Systemzugriff versehen, haben also genau das was zum Kernproblem hier führt.

F-Droid, auch wenn da ein paar fragwürdige Entscheidungen bei der Verwaltung von signing Keys gibt, ist deutlich besser gefiltert als der Play Store. Wenn es dir um kommerzielle Apps geht, wird es die eh immer nur da geben, wo du ein gro der User erreichen kannst.

Die Alternativen gibt es bereits, was fehlt ist der Wille und das Wissen der Konsumenten, diese auch zu nutzen.

Was Google hier tut ist zwar BS, aber das zeigt in meinen Augen nur, dass eine ROM zu nutzen, auf der Google solche Kontrolle über das System hat, ein Holzweg ist.

Ich benutze Aurora zwar auch, aber allgemein rät das die Graphene Community meines Wissens dazu, den Play Store zu benutzen, weil der deutlich mehr Sicherheitsmaßnahmen hat, um zu prüfen, dass das heruntergeladene Package auch tatsächlich das gewünschte ist. Deswegen wird auch oft von F-Droid abgeraten, weil das F-Droid Projekt allein die signing keys für alle Apps verwaltet, was als größerer Atack Vector gesehen wird.