Telegram bietet viele Social Features und ist als "zensurresistente Twitter Alternative" populär geworden (z. B. bei Protesten in Hongkong und Belarus 2020). Für vertrauliche Kommunikation ist Telegram eher weniger geeignet als Signal App oder Threema aber für den kleinen "Hausgebrauch" ist es besser als WhatsApp, wenn man einige Hinweise beachtet.

Telegram ist kostenlos nutzbar. Entwicklung und Betrieb wurden bisher aus dem Vermögen von Pavel Durov finanziert. Aber das Vermögen von P. Durov ist nicht unendlich und ab 2021 wird Telegram versuchen, eigene Einnahmen zu erwirtschaften, um die Unabhängigkeit zu sichern.

Es soll eine eigene Werbeplattform aufgebaut werden und für die Einblendung von Werbung in öffentlichen Kanälen genutzt werden (private Kommunikation wird werbefrei bleiben). Die Werbung soll Content-sensitiv sein und nicht auf Usertracking basieren. Die Betreiber der Kanäle sollen als Content Ersteller in fairer Weise an den Werbeeinnahmen beteiligt werden.

Registrierung und Tipps für die Konfiguration

Die Registrierung erfolgt mit einer Telefonnummer und erfordert ein Smartphone. Das Einrichten eines Backup wie bei Threema entfällt, da Telegram als Cloud Messenger arbeitet. Die Nachrichten liegen auf den Telegram Servern. Der Betreiber hat Zugriff auf die Chat History und kann Anfragen von Behörden beantworten. Telegram verkauft es als Privacy Feature, dass Anfragen aus einigen Ländern ignoriert werden, aber darauf kann man sich nicht verlassen.

In den FAQ begründet Telegram diese Design Entscheidung. Als Nutzer­gruppe wird der Massen­markt anvisiert und diesen Nutzern muss man die Möglichkeit geben, bei Verlust oder Wechsel des Smartphone die Chat Daten wieder­her­zustellen. Ein (möglicherweise unverschlüsseltes) Backup in der Google Cloud oder iCloud wie bei WhatsApp bis 2018 war für Telegram keine Option. Daher hat sich Telegram selbst als Cloud und Live-Backup als hinreichend vertrauenswürdig definiert…

Nach der Registrierung kann man ein Pseudonym erstellen und muss nur dieses Pseudonym an Kommunikations­partner weiter­gegeben. Die Zuordnung des Pseudonyms zum Account bzw. zur Telefonnummer wird auf einem zentralen Telegram Server gespeichert. Im Gegen­satz zu Threema bietet ein Pseudonym bei Telegram keine Anonymität gegenüber dem Betreiber.

Die Anzeige der eigenen Telefon­nummer beim Gegenüber kann man verbieten. Das schützt in Kombination mit einem Pseudonym gegen Stalking auf anderen Kanälen und kann ein bisschen Anonymität gegenüber Kommunikations­partnern oder in Gruppen­chats bieten.

Da Telegram bei Terrorismus­verdacht mit Behörden kooperiert, ist ein Pseudonym kein Sicherheits­feature für politische Aktivisten, die mit staatlicher Verfolgung rechnen müssen.

If Telegram receives a court order that confirms you're a terror suspect, we may disclose your IP address and phone number to the relevant authorities.

Wenn der Angreifer eine Vermutung hat, zu welcher Gruppe von Personen ein Pseudonym gehört, könnte er bis zu 1.000 Telefon­nummern im Adressbuch eingeben. Wenn die Telefon­nummer im Adressbuch steht, wird sie auch in Chats unter dem Pseudonym angezeigt und über die Adress­buch-API kann der Angreifer sogar den Namen herausfinden.

Den Zugriff auf das Adressbuch zum Finden von neuen Kontakten kann unter "Privatsphäre -> Daten­einstellungen" deaktiviert werden und das ist DRINGEND empfehlenswert.

Zugriff auf Adressbuch deaktivieren

Wenn man den Zugriff auf das Adressbuch erlaubt, werden zusammen mit der Telefon­nummer auch die Namen aus dem Adressbuch auf die Telegram Server hochgeladen. Über eine API können Dritte diese Informationen abfragen und es könnte evtl. peinlich sein, wenn Dritte erfahren, dass man irgendwo unter der Bezeichnung "Schnuckel­schneckchen" gespeichert wurde.

A. Navalny hat diese Funktion im Dez. 2020 in einem Interview demonstriert. Er hat die Telefon­nummer eines Co-Travellers bei einem Telegram Bot eingegeben und als Antwort wurde u.a. "FSB Vladimir Alexandrovich Panyaev" angezeigt - echt peinlich für den FSB.

Eine inverse Suche nach Telefonnummern um den Inhaber einer Nummer zu ermitteln, ist auch in Telefonbüchern möglich. Allerdings findet man dort nur Personen bzw. Firmen, die gefunden werden möchten. Gegen die inverse Suche bei Telegram gibt es wenig Schutz und es betrifft nicht nur Telegram Nutzer sondern alle, die ein Telefon oder Smartphone benutzen und einen Telegram Nutzer kennen, der sein Adressbuch hochgeladen hat.

Nach der Registrierung kann man die zweistufige Bestätigung für das Hinzufügen neuer Geräte aktivieren. Es wurden bereits mehrfach staatliche Angriffe nach­gewiesen, welche die Multi-Device Unterstützung ausnutzten, um unbemerkt Gruppenchats mitzulesen.

Die zweistufige Registrierung aktiviert man in den Einstellungen unter "Privatsphäre und Sicherheit". Es wird ein zusätzliches Passwort für die Registrierung von Desktop Clients festgelegt.

Zweistufige Registrierung aktivieren

Features von Telegram

Für 1:1 Chats kann die Ende-zu-Ende Verschlüsselung aktiviert werden (nicht für Gruppen­chats). Um diesen "geheimen Chat" zu starten öffnet man einen Kontakt und tippt auf den Button "…".

Geheimen Chat starten

Die "geheimen Chats" werden nicht in der Cloud gespeichert sondern nur auf dem Smartphone (unverschlüsselt). Die unverschlüsselte Speicherung von verschlüsselter Kommunikation ist als "Mannings Bug" bekannt und ein Security Bug. Ein Angreifer mit physischem Zugriff auf das Smartphone kann die geheimen Chats auslesen. Elcomsoft oder Cellbrite liefern die Tools.

Für besonders brisante geheimen Chats bietet Telegram "selbst­löschende Nachrichten". Wenn diese Option für einen geheimen Chat aktiviert wird, werden die Nachrichten in einer einstellbaren Zeit nach dem Lesen auf beiden Seiten gelöscht.

Die Audio- und Videotelefonie ist immer Ende-zu-Ende verschlüsselt. Zur Verifizierung der Verschlüsselung werden oben rechts vier Emojis angezeigt. Wenn beide Seiten die gleichen Emojis sehen, ist die Verschlüsselung sicher. 

Verschlüsselung verifizieren

Telegram Gruppen können bis zu 200.000 Miglieder enthalten. Teilnehmer mit Admin Status können mit einem Klick ein Telefon­konferenz mit den Gruppen­teilnehmern starten und kontrollieren, wer sprechen darf. Teilnehmer können mit "Handzeichen" auf sich aufmerksam machen.

Es gibt keine Ende-zu-Ende Verschlüsselung für Telegram Gruppenchats. Trotzdem ist das Mitlesen für externe Dritte ohne Unter­stützung des Betreibers nicht trivial, wie die Versuche des BKA bei der Infiltrierung rechts­extremer Gruppen­chats zeigen.

Hinweis: Wenn man den Zugriff auf das Adress­buch für Telegram blockiert hat, muss man Bekannte zuerst zur Telegram Kontakt­liste hinzufügen, bevor man sie in eine Gruppe einladen kann.

Telegram Kanäle sind eines der besondern Social Media Features des Messengers. Man kann diese Kanäle nutzen, um einem breiten Publikum seine Meinung vorstellen oder um Millionen Follower bei Protesten zu informieren. Man ist dabei nicht auf 200 Zeichen beschränkt.

Kanäle können auch Audiostreaming senden, so dass man eine Radiokanal oder Live Talks ähnlich wie bei der Clubhouse App anbieten kann. Die Audiostreams können aufgezeichnet werden.

Im Unterschied zu Gruppen bleiben die passiven Teilnehmer (Leser bzw. Zuhörer) in einem Kanal anonym. Man kann nicht sehen, wer einem Kanal folgt. Nur die Anzahl der Follower wird angezeigt.

Für die steigende Verbreitung der Telegram Kanäle als Social Media Tool zur Mobilisierung von (mehr oder weniger großen) Massen gibt es mehrere Gründe. Einerseits wird Telegram von Mio. Menschen bereits für die tägliche Kommunikation genutzt und sie sind mit dem Tool vertraut. Anderseits gilt Telegram als zensur­resistent (technisch und inhaltlich).

Telegrams Nearby ist ein Social Feature, das man eher bei Dating Apps wie Tinder vermuten würde. Man kann unter "Kontakte - Leute in der Nähe finden" nach Personen und lokalen Gruppen suchen, die ihren Standort für diese Funktion freigegen haben, um gefunden zu werden.

Telegram Nearby

(In den Gruppen bieten fliegende Händler oft Waren an, die sonst schwer zu bekommen sind.)

Wenn man selbst seinen Standort für die Leute in der Nähe freigibt, dann können Leute in der Umgebung auch den Standort ermitteln. Telegram zeigt nur die Entfernung an, aber mittels Triangulation (ein paar Meter nach rechts gehen und dann nach links) kann man den Standort interpolieren. Für Heise.de ist das ein Security Bug aber Telegram kommentierte:

People in the Nearby section intentionally share their location, and this feature is disabled by default. It's expected that determining the exact location is possible under certain conditions.
 

Telegram Bots sind ein weiteres, populäres Feature des Messengers. Ein Bot ist ein Chat­partner, der auf simple Kommando reagieren kann oder automatisiert Informationen liefert. Es ist keine grandiose, neue Erfindung, das gab es schon im letzten Jahrhundert bei IRC, aber aktuell sind Bots vor allem bei Telegram wieder populär geworden.

Ein einfaches, simples Beispiel für eine Demonstration ist der Bot der ARD Tagesschau:

  1. Einen Bot findet man über die Suche nach Kontakten in der Telegram App oder als Link auf Webseiten und man startet einen Chat, wie mit jedem anderen Chatpartner.
  2. /start ist das erste Kommando, das jeder Bot kennt und bei Beginn des Chats ausführt. Es zeigt eine kurze Einführung und am unteren Rand Buttons für weitere Kommandos:
    Tagesschau Bot start
  3. /help ist ein weiteres Kommando, das jeder Bot kennen muss und dass man ihm immer schicken kann, wenn man nicht weiter weiß:
    Tagesschau Bot Einstellungen
    Dieser einfache Bot versteht also die Kommandos "/news", "/push" und "/feedback", die unter der Hilfe auch als Buttons angeboten werden, damit man sie nicht abtippen muss.

Der Bot der ARD Tagesschau ist ein sehr einfaches Beispiel. Es gibt wesentlich ausgefeiltere Bots, die komplette Shopsysteme emulieren inklusive Auswahl aus den Angeboten, Bewertung der Verkäufer, Bezahlung usw. In den Shops kann man auch Dinge finden, die illegal sind (Drogen, gefälschte Dokumente, Waffen…) man muss nur suchen und darf nicht auf Fakes hereinfallen.

Es bildet sich ein neues Darknet ähnlich wie bei den illegalen Marktplätzen auf Tor Onion Services, welches allerdings auch zukünftig von der Policy der Telegram Betreiber abhängig ist. 

Die Sicherheit illegaler Handelsplätze für Drogen oder Waffen ist bei Telegram wesentlich geringer als im Darknet (beispw. Tor Onion Services), da ein zentraler Ansprechpartner als Betreiber existiert, der unter Umständen auch mit der Strafverfolgung kooperiert.

Im Okt. 2020 wurden mehrere Chat Kanäle der Drogenszene mit mehr als 8.000 Nutzern vom BKA über­nommen. Die Chatverläufe konnten analysiert werden, es gab mehrere Festnahmen. Danach hat das BKA folgende Seite in den übernommenen Kanälen anzeigen lassen:

BKA Seite in übernommenen Telegram Kanälen

Telegram Passport wurde 2018 als Ende-zu-Ende verschlüsselter Cloud Speicher eingeführt. Man kann Dokumente hochladen (Ausweis­kopie, Führer­schein… o.ä.) Diese Dokumente können von einem Web­dienst angefragt werden und der Nutzer hat die Möglichkeit, die angeforderten Daten mit wenigen Klicks via Telegram zu verschicken. (In Deutschland ist das ein eher unüblicher Vorgang.)

Außerdem kann Telegram Passport als Identity Provider für den Login genutzt werden:

Signup with Telegram

Seit Herbst 2020 kursieren viel Fake News über Telegram in den deutschen Medien. Ein Beispiel ist der Beitrag vom Redaktions­netzwerk Deutschland, das sich selbst als "Blaupause für schlag­kräftigen Journalismus im 21. Jahr­hundert" bezeichnet. Die typischen Muster sind oft ähnlich:

  1. FAKE: Telegram verbreitet Gewalt- und Hasspropaganda:
    Bei Telegram hingegen konnte die volle IS-Propaganda verbreitet werden, oftmals sogar mit Hinrichtungsvideos und allerhand anderen Grausamkeiten.
    WAHR: Dem gegenüber steht die Einschätzung von Europol (2018), dass Telegram sich erfolgreich bemüht, Terror- und Hasspropaganda sowie Aufrufe zu Straftaten zu entfernen:

    Telegram is no place for violence, criminal activity and abusers. The company has put forth considerable effort to root out the abusers of the platform by both bolstering its technical capacity in countering malicious content and establishing close partnerships with international organisations such as Europol.

    Im Nov. 2020 wurden 17.975 Kanäle und Bots gelöscht, im Dez. 2020 waren es 17.279…

  2. FAKE: Sitz des Unternehmens und Server Standorte sind unbekannt.
    Auch der Sitz des Unternehmens und der Standort der Server ist weitestgehend unklar - das Entwicklungsteam befindet sich nach eigenen Angaben in Dubai.

    WAHR: Der offizielle Hauptsitz ist derzeit in Dubai, nachdem Telegram St. Petersburg wegen der russischen Gesetze gegen Krypto-Messenger verlassen musste und Berlin sowie London sich ebenfalls als ungeeignet erwiesen hatten.

    3. Das die Datenzentren von Google und Facebook weltweit verteilt sind, ist für jeden Journalisten normal - warum hat das bei Telgram eine negative Konotation? Die wichtigsten Datenzentren von Telegram stehen in den Niederlanden (für europäische Nutzer), in San Francisco (für amerikanische Nutzer) und in Singapur (für asiatische Nutzer), was kein Geheimnis ist.

  3. FAKE: Die Verschlüsslung ist unsicher und kann nicht überprüft werden.
    Doch selbst bei aktivierter Ende-zu Ende Verschlüsselung ist völlig unklar, wie gut die Verschlüsselung des Dienstes wirklich ist: Sie basiert nämlich, anders als bei anderen Messengern, nicht auf einem vorgefertigten Standard, bei dem sich dies überprüfen ließe.

    WAHR: Bei der Einführung der Ende-zu-Ende Verschlüsselung gab es 2013 viel Kritik von Experten. Mit MTProto 2.0 wurde auf die Kritik reagiert und die Verschlüsselung überarbeitet.

    MTProto 2.0 ist vollständig dokumentiert und basiert auf den anerkannten Standards RSA mit 2048 Bit, SHA-256 und AES256-IGE. (Der Countermode IGE für AES wird zwar selten verwendet, ist aber keine Erfindung von Telegram sondern seit 2006 in der kryptografischen Literatur beschrieben. AES-IGE wurde entwickelt, um Schwächen von AES-CBC auszubügeln.) Das Protokoll wurde analysiert (PDF) und für gut befunden.

  4. Wer Telegram benutzt, wird früher oder später zum Rechtsextremen oder Corona-Leugner?
    Die allerwenigsten dieser neuen Nutzer dürften Verschwörungs­theoretiker oder radikale Rechts­extreme sein. Doch einmal auf der Platt­form angemeldet, ist der Weg in ihre Gruppen nicht mehr weit.
    ALSO: dazu fällt mir wirklich keine Antwort ein, das ist echt schlagkräftiger Journalismus!