Telegram galt lange Zeit als moderner und sicherer Messenger, doch aktuelle Erkenntnisse werfen ernste Zweifel an seiner Vertrauenswürdigkeit auf. Untersuchungen von Experten und investigative Recherchen belegen, dass Telegram technisch und infrastrukturell so aufgebaut ist, dass es einer Überwachungsfalle des russischen Geheimdienstes FSB ähnelt. Diese Problematik betrifft nicht nur Nutzer innerhalb Russlands, sondern weltweit, denn die Art und Weise, wie Telegram seine Kommunikationsprotokolle gestaltet und seine Serverinfrastruktur verwaltet, ermöglichen es, Personen global zu identifizieren und zu verfolgen. Zentraler Aspekt dabei ist die sogenannte auth_key_id, eine langzeitige Gerätekennung, die Telegram auf jedem Endgerät erstellt. Im Gegensatz zu anonymisierten Verbindungen bleibt diese Kennung über Zeit und verschiedene Netzwerkstandorte hinweg konstant.
Das bedeutet, dass sämtliche über das Netzwerk gesendeten Nachrichten mit diesem eindeutigen Schlüssel verbunden sind, der im Datenverkehr jedoch unverschlüsselt oder nur sehr schwach geschützt übertragen wird. Selbst wenn verschlüsselte Nachrichten vorliegen, hilft diese auth_key_id bei der Zuordnung von Datenpaketen zu einem bestimmten Nutzergerät. Im Gegensatz zu Messengern wie Signal oder WhatsApp, die bewährte Transportverschlüsselungsverfahren verwenden und auf End-to-End-Verschlüsselung setzen, verlässt sich Telegram auf das firmeneigene Protokoll namens MTProto in Version 2. Dieses Protokoll macht die Übertragung anfällig für das sogenannte Metadatenproblem, bei dem zwar der Inhalt der Nachrichten verschlüsselt sein mag, aber die begleitenden Informationen – wie eben die Geräte-Identifikatoren – in Klartext mitgeschickt werden. Das stellt eine enorme Schwachstelle für die Privatsphäre dar.
Diese technische Eigenheit wurde lange Zeit von Beobachtern lediglich als ungewöhnlicher Designfehler eingestuft. Doch neuere Enthüllungen von investigativen Medien und die Analyse von Netzwerkverkehr deuten darauf hin, dass dieses Design nahezu gezielt gewählt wurde. Die Tatsache, dass Telegram viele seiner Server über einen Betreiber laufen lässt, der enge Verbindungen zum russischen Geheimdienst FSB hat, erklärt ebenfalls, warum dieser Schwachpunkt genutzt werden kann. Diese Verknüpfung ermöglicht es, Telegram-Nutzer weltweit auszuspionieren, indem der FSB die Metadaten einsehen und nachvollziehen kann, welcher Nutzer welche IP-Adresse und welche Kommunikationsmuster aufweist. Das Thema ist nicht nur technisch interessant, sondern hat auch gesellschaftliche Auswirkungen.
Telegram erfreut sich großer Beliebtheit in Russland und in vielen osteuropäischen Ländern, wo er von Dissidenten, Aktivisten, Journalisten und oppositionellen Kräften genutzt wird. Die Gefahr, dass ihre Kommunikation – trotz angeblicher Verschlüsselung – überwacht wird, stellt daher eine ernsthafte Bedrohung für Meinungsfreiheit und persönliche Sicherheit dar. Was Telegram besonders kritisch macht, ist die Diskrepanz zwischen seinem öffentlichen Werbeversprechen und der tatsächlichen Praxis. Telegram wirbt mit dem Slogan der „starken Verschlüsselung“ und suggeriert, dass die Nachrichten extrem sicher sind. Tatsächlich aber sind nur wenige Chats via „Secret Chats“ vollständig Ende-zu-Ende verschlüsselt.
Gruppen und Kanäle sind davon ausgenommen, und die Nutzeroberfläche ist so gestaltet, dass die sicheren Optionen kaum genutzt werden. Dadurch entsteht beim Endnutzer ein trügerisches Gefühl von Sicherheit, während die Metadaten ungeschützt bleiben. Die technische Betrachtung zeigt zudem, dass Telegram auf ein eigenes Verschlüsselungsprotokoll setzt und dabei bekannte und erprobte Standards wie TLS (Transport Layer Security) weitestgehend vermeidet. Das hat zur Folge, dass die Verbindungen zu den Servern auf Basis von MTProto 2 nicht durch die gleichen Mechanismen geschützt sind, die etwa im HTTPS-Standard zum Einsatz kommen. Dadurch sind einzelne Nachrichten und Verbindungsdaten im Netzwerk gut erkennbar und für Dritte leichter zugänglich.
Zusätzlich kommt eine relativ einfache Obfuskation (Verschleierung) des Datenverkehrs zum Einsatz, die den Zweck erfüllt, einfache Filter oder Blockaden zu umgehen, ohne jedoch echte Sicherheit zu bieten. Dies macht den Datenstrom bei genauer Betrachtung noch eindeutig zu identifizieren und erkennbar – beispielsweise über das sogenannte auth_key_id. In Netzwerken mit ausreichender Überwachungskapazität, wie sie dem FSB zugeschrieben wird, kann so der komplette Nachrichtenverkehr lückenlos überwacht und Personen weltweit geortet werden. Weiterhin zeigt die Analyse, dass auch die Implementierung der Perfect Forward Secrecy (PFS) bei Telegram keinen wirklichen Schutz bietet. PFS dient grundsätzlich dazu, dass bei Kompromittierung eines Schlüssels vergangene Kommunikation nicht entschlüsselbar ist.
Telegram nutzt temporäre Schlüssel, die etwa alle 24 Stunden gewechselt werden und mit eigenen temporären auth_key_ids gekennzeichnet sind. Diese temporären Kennungen sind jedoch eindeutig mit der langzeitigen auth_key_id verbunden und können für einen globalen Beobachter leicht einander zugeordnet werden, da sie nahtlos aufeinanderfolgen und meist aus derselben IP-Region stammen. Alles in allem entsteht durch diese Kombination aus ungeschützten Metadaten, eigenem Protokoll, verhinderter Nutzung etablierter Standards und tracebarer Nutzerkennung ein Szenario, in dem Telegram nahezu wie eine Überwachungsfalle, ein sogenannter Honeypot, des russischen Sicherheitsapparats fungiert. Die Benutzer werden dadurch einer umfangreichen, globalen Überwachung ausgesetzt – ohne dass sie dies ahnen oder einfach verhindern können. Die Konsequenzen sind weitreichend.
Wer Telegram aktiv nutzt oder empfiehlt, sollte sich der inhärenten Risiken bewusst sein. Insbesondere Menschen, die sensible oder sicherheitskritische Kommunikation führen, sind durch diese technischen Schwachstellen einem erheblichen Risiko ausgesetzt. Es empfiehlt sich daher, alternative Plattformen mit echter End-to-End-Verschlüsselung und bewährten Sicherheitsstandards zu bevorzugen, wie Signal oder Threema, die auch infrastrukturell weniger angreifbar sind. Neben der technischen Analyse offenbart sich auch ein ethisches Problem. Telegrams Gründer und Management haben immer wieder Kritik an Konkurrenten wie Signal geäußert, ohne selbst substanzielle Belege für die Sicherheit des eigenen Systems zu liefern.
Gleichzeitig wurden problematische Designentscheidungen nicht korrigiert, sondern teilweise geheim gehalten oder heruntergespielt. Somit entsteht der Eindruck, dass Nutzer durch Marketing und PR in trügerischer Sicherheit gehalten werden. Aus Sicht von Informationssicherheitsfachleuten ist das Fehlen transparenter, nachvollziehbarer und offener Sicherheitsarchitekturen bei Telegram ein großer Nachteil. Vertrauliche Kommunikation kann nur dann wirklich sicher sein, wenn sie sowohl inhaltlich als auch metadataseitig geschützt ist und die Infrastruktur nicht in potenzieller Hand von gegnerischen Akteuren liegt. Telegram fehlt es hier an Vertrauen und überprüfbarer Unabhängigkeit.
