Telegram ist nicht sicher – und das ist jetzt bewiesen

Von /
📖 4 Min. Lesezeit

Telegram ist nicht sicher – und das ist jetzt bewiesen

Eine unabhängige Analyse von Symbolic Software bestätigt: Telegram überträgt eine persistente Device-ID im Klartext. Jeder Netzwerkbeobachter kann Nutzer tracken – auch bei Secret Chats und Ende-zu-Ende-Verschlüsselung.

Telegram gilt bei vielen als sichere Alternative zu WhatsApp. Journalisten, Aktivisten und Unternehmen nutzen es für vertrauliche Kommunikation. Doch ein aktueller 95-seitiger Forschungsbericht von Dr. Nadim Kobeissi (Symbolic Software) zeigt: Diese Sicherheit ist ein Trugschluss.

Was wurde entdeckt?

Im Kern geht es um eine einzige technische Schwachstelle – die aber massive Auswirkungen hat:

Telegram verwendet für sein hauseigenes Protokoll MTProto eine sogenannte auth_key_id – eine 64-Bit-Gerätekennung, die bei jeder einzelnen Nachricht mitgesendet wird. Das Problem: Diese ID wird über unverschlüsselte TCP-Verbindungen übertragen. Im Klartext. Für jeden sichtbar, der im Netzwerk mitlesen kann.

Warum ist das so gefährlich?

  • Persistenz: Die auth_key_id bleibt konstant – über App-Neustarts, Netzwerkwechsel, IP-Änderungen und sogar Ländergrenzen hinweg. Einmal erfasst, immer verfolgbar.
  • Breite Angriffsfläche: Nicht nur Geheimdienste können mitlesen. Jeder Internet-Provider, jeder Netzwerkadministrator, jeder Betreiber eines öffentlichen WLANs hat potenziell Zugriff.
  • Secret Chats schützen nicht: Die Ende-zu-Ende-Verschlüsselung von Secret Chats schützt den Nachrichteninhalt – aber nicht vor dem Tracking über die auth_key_id. Die Schwachstelle liegt eine Protokollschicht darunter.
  • Perfect Forward Secrecy hilft nicht: Auch Telegrams PFS-Feature bietet keinen Schutz, da temporäre Schlüssel durch Timing-Korrelation verknüpft werden können.
  • VPNs sind wirkungslos: Die auth_key_id wird innerhalb der Telegram-Verbindung übertragen – ein VPN ändert daran nichts.

Das Praxis-Szenario: So funktioniert Deanonymisierung

Der Report beschreibt ein erschreckend realistisches Szenario:

  1. Ein Journalist nutzt Telegram, um mit einer vertraulichen Quelle zu kommunizieren.
  2. Er loggt sich einmalig in ein Konferenz-WLAN ein – sein Name steht in der Registrierung.
  3. Das WLAN loggt routinemäßig den Netzwerkverkehr. Die auth_key_id wird erfasst.
  4. Ab diesem Moment kann rückwirkend jede vergangene Telegram-Nutzung mit diesem Gerät zugeordnet werden – überall dort, wo ISP-Logs existieren.
  5. Keine Spezialtools nötig. Standard-Netzwerk-Logs reichen aus.

Das bedeutet: Ein einziger Identifikationspunkt reicht aus, um die gesamte Kommunikationshistorie eines Geräts offenzulegen.

Was sagt die unabhängige Analyse?

Dr. Kobeissi hat die Behauptungen der OCCRP-Recherche (Juni 2025) systematisch geprüft. Das Ergebnis:

Behauptung Bewertung
auth_key_id ermöglicht User-Tracking ✅ Voll bestätigt
Netzwerkzugang ermöglicht Metadaten-Überwachung ✅ Im Kern bestätigt
Ende-zu-Ende-Verschlüsselung schützt nicht vor Tracking ✅ Voll bestätigt
Infrastruktur-Kontrolle ermöglicht Überwachung ⚠️ Technisch korrekt, Attribution überzogen
Router-Kontrolle reicht für Tracking ✅ Voll bestätigt

Warum macht Telegram das nicht einfach anders?

Das Frustrierende: Die Lösung wäre trivial. Jeder andere große Messenger – WhatsApp, Signal, iMessage, Threema – verschlüsselt die Transportschicht mit TLS. Das ist Industriestandard. Der Performance-Impact ist vernachlässigbar.

Telegram hat sich bewusst dagegen entschieden. Der Report ist hier eindeutig: Die Verantwortung liegt bei Telegram, nicht bei den Infrastruktur-Anbietern.

„Telegram bears responsibility for the privacy implications of exposing persistent device identifiers to network observers.“
— Dr. Nadim Kobeissi, Symbolic Software

Was bedeutet das für Unternehmen?

Für Unternehmen, die Telegram intern oder für Kundenkommunikation nutzen, ergeben sich konkrete Risiken:

  • Compliance: Die DSGVO fordert technische Maßnahmen zum Schutz personenbezogener Daten. Ein Messenger, der Geräte-IDs im Klartext überträgt, erfüllt diese Anforderung nicht.
  • Geschäftsgeheimnisse: Metadaten verraten, wer mit wem kommuniziert – auch ohne den Inhalt zu kennen. Für Wettbewerber oder Angreifer sind diese Informationen Gold wert.
  • Awareness: Viele Mitarbeiter halten Telegram für sicher. Diese Fehleinschätzung muss in Schulungen adressiert werden.

Unsere Empfehlung

Wir raten Unternehmen dringend:

  1. Telegram nicht für vertrauliche Geschäftskommunikation einsetzen.
  2. Auf geprüfte Alternativen umsteigen – Signal, Threema oder Plattformen mit nachweislicher Transport-Verschlüsselung.
  3. Mitarbeiter sensibilisieren: „Verschlüsselt“ bedeutet nicht automatisch „sicher“. Die Transportschicht ist genauso wichtig wie die Inhalts-Verschlüsselung.
  4. Kommunikationsrichtlinien aktualisieren: Welche Messenger sind für welche Vertraulichkeitsstufe zugelassen?

Fazit

Telegram hat ein fundamentales Architekturproblem, das alle Nutzer betrifft – unabhängig von Sicherheitseinstellungen. Die Schwachstelle ist keine theoretische Möglichkeit, sondern ein reproduzierbares, dokumentiertes Sicherheitsrisiko.

Solange Telegram keine TLS-Verschlüsselung für alle MTProto-Verbindungen erzwingt, bleibt jeder Nutzer für passive Netzwerkbeobachter identifizierbar und verfolgbar. Das ist keine Frage von „ob“, sondern von „wer schaut gerade hin“.

Quelle: „Telegram’s MTProto: Assessing Deanonymization Potential for a Network Attacker“ (GNMX-01), Dr. Nadim Kobeissi, Symbolic Software, Mai 2026. 95 Seiten, unabhängige technische Analyse im Auftrag von Global Network Solutions, Inc.

Sie möchten wissen, wie sicher die Kommunikationskanäle Ihres Unternehmens wirklich sind? Kontaktieren Sie uns für eine unverbindliche Beratung.

Nach oben scrollen