diff --git a/src/frontends/android/app/src/main/AndroidManifest.xml b/src/frontends/android/app/src/main/AndroidManifest.xml
index 3f6302d07..0fd8f45d9 100644
--- a/src/frontends/android/app/src/main/AndroidManifest.xml
+++ b/src/frontends/android/app/src/main/AndroidManifest.xml
@@ -24,6 +24,9 @@
     <uses-permission android:name="android.permission.FOREGROUND_SERVICE" />
     <uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE" />
     <uses-permission android:name="android.permission.REQUEST_IGNORE_BATTERY_OPTIMIZATIONS" />
+    <!-- necessary to allow users to select ex-/included apps and EAP-TNC -->
+    <uses-permission android:name="android.permission.QUERY_ALL_PACKAGES"
+        tools:ignore="QueryAllPackagesPermission" />
 
     <application
         android:name=".logic.StrongSwanApplication"
diff --git a/src/frontends/android/app/src/main/play/listings/de-DE/full-description.txt b/src/frontends/android/app/src/main/play/listings/de-DE/full-description.txt
index 948e8ef30..07f17ca21 100644
--- a/src/frontends/android/app/src/main/play/listings/de-DE/full-description.txt
+++ b/src/frontends/android/app/src/main/play/listings/de-DE/full-description.txt
@@ -15,11 +15,18 @@ Dies ist die offizielle Android-Portierung der populären strongSwan VPN-Lösung
  <li>Per-App VPN erlaubt die VPN-Verbindung nur bestimmten Apps zur Verfügung zu stellen bzw. ausgewählte Apps von der Nutzung des VPN auszuschliessen</li>
  <li>Die IPsec-Implementierung unterstützt derzeit die AES-CBC, AES-GCM, ChaCha20/Poly1305 und SHA1/SHA2-Algorithmen</li>
  <li>Passwörter werden zurzeit als Klartext in der Datenbank gespeichert (nur wenn diese mit einem Profil gespeichert werden)</li>
- <li>VPN Profile können von Dateien importiert werden (dies ist der einzige Grund weshalb die App android.permission.READ_EXTERNAL_STORAGE verlangt)</li>
+ <li>VPN Profile können von Dateien importiert werden</li>
 </ul>
 
 Details und ein Changelog sind auf unserem Wiki zu finden: https://wiki.strongswan.org/projects/strongswan/wiki/AndroidVPNClient
 
+# PERMISSIONS #
+
+<ul>
+ <li>READ_EXTERNAL_STORAGE: Erlaubt den Import von VPN Profilen und CA Zertifikaten von externen Speichern unter bestimmten Android-Versionen</li>
+ <li>QUERY_ALL_PACKAGES: Benötigt unter Android 11+ für die Auswahl von Apps in VPN Profilen und den optionalen EAP-TNC Anwendungsfall</li>
+</ul>
+
 # BEISPIEL-SERVERKONFIGURATION #
 
 Sie finden in unserem Wiki Beispiel-Serverkonfigurationen: https://wiki.strongswan.org/projects/strongswan/wiki/AndroidVPNClient#Server-Configuration
@@ -31,4 +38,4 @@ Beachten Sie bitte, dass der im VPN Profil konfigurierte Hostname (bzw. die IP-A
 Bitte senden Sie uns Ihre Bug-Reports und Feature-Requests über GitHub: https://github.com/strongswan/strongswan/issues/new/choose
 Falls Sie dies tun, so fügen Sie bitte Informationen über Ihr Gerät bei (Hersteller, Modell, OS Version usw.).
 
-Die Log-Datei des Schlüsselaustausch-Dienstes kann direkt aus der Anwendung heraus via E-Mail versendet werden.
\ No newline at end of file
+Die Log-Datei des Schlüsselaustausch-Dienstes kann direkt aus der Anwendung heraus via E-Mail versendet werden.
diff --git a/src/frontends/android/app/src/main/play/listings/en-US/full-description.txt b/src/frontends/android/app/src/main/play/listings/en-US/full-description.txt
index dfc8dd359..71848f185 100644
--- a/src/frontends/android/app/src/main/play/listings/en-US/full-description.txt
+++ b/src/frontends/android/app/src/main/play/listings/en-US/full-description.txt
@@ -15,11 +15,18 @@ Official Android port of the popular strongSwan VPN solution.
  <li>Per-app VPN allows limiting the VPN connection to specific apps, or exclude them from using it</li>
  <li>The IPsec implementation currently supports the AES-CBC, AES-GCM, ChaCha20/Poly1305 and SHA1/SHA2 algorithms</li>
  <li>Passwords are currently stored as cleartext in the database (only if stored with a profile)</li>
- <li>VPN profiles may be imported from files (this is the only reason why the app requests android.permission.READ_EXTERNAL_STORAGE)</li>
+ <li>VPN profiles may be imported from files</li>
 </ul>
 
 Details and a changelog can be found on our wiki: https://wiki.strongswan.org/projects/strongswan/wiki/AndroidVPNClient
 
+# PERMISSIONS #
+
+<ul>
+ <li>READ_EXTERNAL_STORAGE: Allows importing VPN profiles and CA certificates from external storage on some Android versions</li>
+ <li>QUERY_ALL_PACKAGES: Required on Android 11+ to select apps to ex-/include in VPN profiles and the optional EAP-TNC use case</li>
+</ul>
+
 # EXAMPLE SERVER CONFIGURATION #
 
 Example server configurations may be found on our wiki: https://wiki.strongswan.org/projects/strongswan/wiki/AndroidVPNClient#Server-Configuration
@@ -31,4 +38,4 @@ Please note that the host name (or IP address) configured with a VPN profile in
 Please post bug reports and feature requests via GitHub: https://github.com/strongswan/strongswan/issues/new/choose
 If you do so, please include information about your device (manufacturer, model, OS version etc.).
 
-The log file written by the key exchange service can be sent directly from within the application.
\ No newline at end of file
+The log file written by the key exchange service can be sent directly from within the application.