Immer wieder ist Telegram als Alternative zu Whatsapp im Gespräch. Als großer Pluspunkt galt lange die Cloudbasis, die eine nahtlose Synchronisierung zwischen Geräten ermöglicht.

Mittlerweile häufen sich aber auch die Kritikpunkte: Es fehlt die standardmäßige Ende-zu-Ende-Verschlüsselung, das Unternehmen hinter dem Messenger ist mehr als undurchsichtig und der Servercode nicht via Open-Source offengelegt. Heise-Sicherheitsexperte Jürgen Schmidt nannte Telegram schon 2020 „in Bezug auf Privatsphäre eine Katastrophe“, zudem bietet der Messenger eine Plattform für dubiose sowie kriminelle Strukturen.

Hier kommen die wichtigsten Details, die du über die App kennen solltest.

Der wohl größte Kritikpunkt bezüglich der Sicherheit von Telegram ist die Verschlüsselung von Nachrichten. Anders als beispielsweise bei Whatsapp sind Konversationen beim cloud-basierten Dienst von Telegram nicht automatisch Ende-zu-Ende verschlüsselt. Wer diese Sicherheitseinstellung nutzen möchte, muss sie manuell für den jeweiligen Chat einstellen und bußt dafür dann (teils durchaus technisch begründet) einige der gewohnten Funktionen ein.

Das heißt nicht, dass Nachrichten außerhalb der sogenannten „geheimen Chats“ bei Telegram grundsätzlich komplett unverschlüsselt verschickt werden – hier erfolgt laut den Herstellern eine Server-Client-Verschlüsselung. Anrufe via Telegram sind automatisch Ende-zu-Ende verschlüsselt, für Gruppenchats gibt es die Variante der „geheimen“ Chats hingegen gar nicht.

Insgesamt arbeitet Telegram laut eigenen Angaben mit einer Kombination aus „2.048-Bit-RSA-Verschlüsselung, einer symmetrischen 256-Bit-AES-Verschlüsselung“ und Diffie-Hellman-Schlüsselaustausch.

Gerade bei den nicht Ende-zu-Ende verschlüsselten Konversationen und Verläufen, die auf den Servern von Telegram mit unbekanntem Standort und dementsprechend unbekannten Datenschutzgesetzen gespeichert werden, befürchten Kritiker:innen, dass die Informationen von Angreifern oder aber von Telegram selbst ausgelesen, weitergegeben und für unterschiedlichste Zwecke genutzt werden könnten.

Wer die App nutzt, muss sich darüber bewusst sein, dass theoretisch nicht nur die am Chat beteiligten Parteien, sondern auch die App-Betreiber Zugriff auf den kompletten Nachrichtenverlauf samt Dateien haben. Ob Telegram diese Konversationen tatsächlich so verwaltet, wie versprochen, ist nicht gerade transparent – hier müssen Nutzerinnen und Nutzer abwägen, ob und inwiefern sie dem Dienst und seinen teils widersprüchlichen Aussagen vertrauen. Gerade sensible Daten sollten dementsprechend aber keinesfalls in den normalen Chats verschickt werden.

Telegram selbst schreibt zum Thema Datenanfragen von Drittparteien: „Bis zum heutigen Tag haben wir 0 Byte Nutzerdaten an Dritte weitergegeben, einschließlich aller Regierungen.“ Die Daten aus den Cloud-Chats würden „in mehreren Rechenzentren rund um den Globus gespeichert, die von verschiedenen juristischen Personen verteilt auf mehrere Gerichtsbarkeiten gesteuert werden“. Schlüssel und zugehörige Daten würden nie am selben Standort gespeichert. Um Telegram zu einer Offenlegung von Daten zu zwingen, müssten demnach Gerichtsbeschlüsse aus mehreren Ländern einheitlich die Herausgabe anordnen, so die Anbieter.

Auch die Weitergabe von Daten beispielsweise zu Werbezwecken streitet das Unternehmen ab: „Wir nutzen deine Daten nicht für die Ausrichtung von Werbung und wir verkaufen sie nicht an andere.“ Telegram sei insgesamt DSGVO-konform. Beschwerden zu öffentlichen Beiträgen wie Bots, Kanälen oder Sticker-Paketen würden allerdings auf Anfrage überprüft und gegebenenfalls entfernt.

Was die postulierte „0-Byte-Weitergabe“ angeht, muss der Messenger mittlerweile aber eigentlich ein Stück zurückrudern. Seit 2019 arbeitet die Plattform mit Europol zusammen, eine Spiegel-Recherche von 2022 zeigte außerdem, dass der Messenger Nutzerdaten an das BKA weitergegeben hat. Konkret sollen dabei Informationen über User geflossen sein, die im Bereich Kindesmissbrauch und Terrorismus verdächtig waren.

Gegründet wurde Telegram bereits 2013 von den beiden russischen Brüdern Nikolai und Pawel Durow. Zuvor hatte sich vor allem Pawel Durow bei den russischen Behörden unbeliebt gemacht, weil er sich als Kopf der russischen Facebook-Alternative VKontakte geweigert hatte, kremlkritische Seiten zu löschen – allerdings nicht aus gesellschaftlichen, sondern aus geschäftlichen Gründen.

Insgesamt wird beispielsweise bei der vergeblichen Suche nach einem Impressum auf der deutschsprachigen Website klar, dass Telegram ganz offensichtlich nicht gefunden werden möchte. Das Impressum wäre in Deutschland eigentlich Pflicht und würde das Unternehmen auch für die Nutzerinnen und Nutzer transparenter machen. 2016 hatte beispielsweise die Redaktion der Welt den Versuch gestartet, das damals in Berlin ansässige Firmenquartier ausfindig zu machen – allerdings ohne Erfolg.

Laut den unternehmenseigenen FAQ sitzt Telegram mittlerweile in Dubai, man sei aber bereit, den Standort zu wechseln, wenn die dortigen Gesetze sich (ungünstig) ändern würden. „Das Telegram-Team musste Russland aufgrund lokaler IT-Vorschriften verlassen und hat eine Reihe von Standorten ausprobiert, darunter Berlin, London und Singapur.“ Diese durchaus geringe Transparenz bezüglich der Strukturen und Standorte von Telegram wird von Kritiker:innen als Manko empfunden – so wissen nicht nur die von Telegram angeblich gemiedenen Drittparteien, sondern auch die Nutzerinnen und Nutzer nicht allzu genau, wo ihre Daten landen und verwaltet werden.

Diese Frage kann mit einem Jein beantwortet werden. Für die Öffentlichkeit ist vor allem der Code der Telegram-Clients verfügbar und als GNU General Public License lizensiert. Der Code des Servers hingegen ist nicht Open Source, sondern proprietär, es wird aber eine offene Programmierschnittstelle (API) angeboten.

Telegrams Umgang mit Fehlerhinweisen scheint in Teilen unterschiedlich auszufallen: Im Juli 2021 wurden von einem internationalen Expert:innenteam mehrere kryptographische Schwachstellen im Protokoll gefunden. Telegram reagierte daraufhin und besserte nach. Weniger glatt lief hingegen die Interaktion mit einem anderen Forscher, der im Frühjahr 2021 eine massive Lücke bei der Löschung von selbst-zerstörenden Fotos in der App meldete. Nach seinen Angaben habe er zunächst monatelang im Austausch mit dem Telegram-Team gestanden, bis diese ihm schließlich eine Prämie für seinen Fund boten – unter der Bedingung, dass er über die Vorgänge nicht, beziehungsweise nur mit einer schriftlichen Genehmigung von Telegram sprechen würde.

Durch Gruppenchats mit bis zu 200.000 Mitglieder und offene Kanäle ermöglicht Telegram seinen Usern, sich mit zahlreichen Menschen mit den gleichen Interessen auszutauschen. Kombiniert mit den wenig ausgeprägten Eingriffen durch Telegram ergibt sich ein zweischneidiges Schwert: Die Plattform bietet sowohl Zuflucht für Aktivist:innen – beispielsweise bei den Hongkong-Demonstrationen 2019,– als auch ein ungestörtes Sammelbecken für Verschwörungstheorien, Desinformation, kriminelle, terroristische und rechtsextreme Gruppen.

Immer wieder wird deutlich, dass der Messenger als Umschlagplatz für gewaltverherrlichende Inhalte, Darstellungen von Kindesmissbrauch, Hass und Hetze fungiert. Telegram bleibt hier weitgehend untätig und spielt die eigenen undurchsichtigen Strukturen ganz bewusst als Markenzeichen aus.

Von staatlicher Seite wird die fehlende Moderation immer wieder heftig kritisiert. Ende August 2024 nimmt die französische Polizei Pawel Durow auf dem Flughafen Le Bourget in Paris fest, als der gerade mit seinem Privatjet gelandet ist. Dem Telegram-Gründer werden unter anderem die Beihilfe zu Drogenhandel und Bandenbetrug sowie zur Verbreitung von Kindesmissbrauchsmaterial und Schadsoftware vorgeworfen. Dass entsprechende Prozesse und Inhalte auf Telegram stattfinden, wurde nachgewiesen – fraglich ist allerdings, inwiefern Durow als Unternehmenschef für die Inhalte auf seiner Plattform belangt werden kann.

Als besonders sichere Messenger-Alternative kann sich Telegram vor allem durch das Fehlen der standardmäßigen Ende-zu-Ende-Verschlüsselung nicht rühmen. Für den Komfort der cloud-basierten Chats, die von überall her abrufbar sind, müssen Nutzerinnen und Nutzer das Risiko eingehen, dass die kompletten Konversationen inklusive Dateien auf international verteilten Servern gespeichert werden – das bietet Potenzial für Missbrauch und Angriffe sowohl von externer, als auch von interner Seite.

Grundsätzlich müssen Nutzerinnen und Nutzer abwägen, ob sie den Versprechungen des Unternehmens zur Sicherung der nicht Ende-zu-Ende-verschlüsselten Daten vertrauen. Mehr Sicherheit gibt es beispielsweise bei Signal, auch selbst gehostete Dienste wären eine Alternative. Gerade bei letzteren dürfte allerdings die Massentauglichkeit, die etablierte Messenger-Dienste mit sich bringen, stark eingeschränkt sein.

Insgesamt lohnt es sich, bei Messenger-Diensten kritisch zwischen Komfort, Sicherheit und den eigenen Überzeugungen abzuwägen und genauer hinzusehen. Einen Überblick über die verschiedenen Dienste wie Threema, Ginlo oder Wickr gibt es dafür beispielsweise hier. Auch spannend: Unsere Anleitung, wie du deinen Telegram-Account löschen kannst.