Telegram-Schwachstelle gefährdet Aktivisten in Hongkong
Millionen Nutzer halten den Telegram-Messenger für besonders sicher – auch die Aktivisten in Hongkong. Doch nun zeigt sich, dass der Schutz nicht perfekt ist.
Der Messenger Telegram ist nicht so sicher wie von vielen Nutzern erhofft. Dieser Umstand sorgt derzeit in Hongkong für Unsicherheit: Dort haben die Aktivisten und Demonstranten die Messenger-App genutzt, um sich abzusprechen und auszutauschen. Telegram ist dort weit verbreitet und gilt als besonders sicher, weil der Dienst viel Wert auf Privatsphäre und Datenschutz legt. Nun zeigt sich jedoch, dass die Nutzer mit der App keineswegs vollständig anonym chatten.
Mit Telegram können sich auch mehrere Nutzer vernetzen und sich in Gruppenchats austauschen. In der App ist es möglich, unter einem Pseudonym zu schreiben – die anderen Teilnehmer können die Telefonnummer oder den Namen des Einzelnen nicht sehen. Bei WhatsApp zum Beispiel ist das anders: Die Mitglieder einer Gruppen sehen auch die Telefonnummern der anderen. Aus diesem Grund ist Telegram bei den Bürgern in Hongkong sehr beliebt, besonders bei den Demonstrationen, die seit Monaten gegen die chinesische Regierung protestieren. In China wird Telegram blockiert, was sich aber umgehen lässt.
Schwachstelle Telefonbuch
Wie die Süddeutsche Zeitung und Forbes berichten, haben nun aber die Aktivisten bemerkt, dass Angreifer an die Telefonnummern der Protestierenden kommen können. Kompliziert ist das offenbar nicht, es seien lediglich drei Schritte nötig, erklärt die Süddeutsche Zeitung. Ein Angreifer muss ein Telefonbuch mit den Telefonnummern von möglichen Zielpersonen mit seinem eigenen Telegram-Account synchronisieren. Dann tritt der Angreifer einer Gruppe bei, deren Mitglieder er als Protestierer enttarnen will. Ihm werden nun alle Telefonnummern derjenigen Nutzer angezeigt, die sich in seinem Telefonbuch befinden. Damit kann der Angreifer also alle Verdächtigen als tatsächliche Aktivisten enttarnen.
Es hilft auch nicht, in den Privatsphäre-Einstellungen des Messengers die Option "Wer kann meine Telefonnummer sehen" auf "Niemand" zu stellen. Telegram selbst erklärt in einem Hilfetext, dass Nutzer, die die Nummer eines Chat-Partners schon kennen, diese sehen können – egal, ob die Option "Niemand" ausgewählt wurde. Die Süddeutsche Zeitung schreibt, dass dies vielen Aktivisten nicht klar gewesen sei, wie sie in Online-Foren zugaben. Sie hatten geglaubt, ihre Telefonnummer sei komplett geschützt – ein Irrglaube. Dass die Ende-zu-Ende-Verschlüsselung nicht in Gruppenchats funktioniert, dürfte auch nicht jedem klar sein. In Einzel-Chats müssen die Nutzer diese erst aktivieren, zudem wird die Verschlüsselung nur zwischen zwei Geräten unterstützt.
Besonders sicher – ein Irrglaube
Was für Privatpersonen vielleicht ärgerlich wäre, ist für die Aktivisten in Hongkong gefährlich. Privatsphäre und Anonymität können sogar über Leben und Tod entscheiden, erklärt die Hongkonger Aktivistin Chu Ka-cheongin der Süddeutschen Zeitung. Die chinesische Regierung und die Geheimdienste könnten bei Mobilfunk-Providern nachfragen, wer hinter einer Telefonnummer steckt. Die Protestierenden befürchten daher eine Enttarnung. Chu Ka-cheong kritisiert, dass sich Telegram selbst als "besonders sicherer Messenger" auf dem Markt positioniere. Daher hoffen die Aktivisten nun, dass Telegram künftig mehr tun wird, "um die Identität von besonders gefährdeten Gruppen wie uns zu schützen".
Ein Telegram-Sprecher verwies auf Schutzmechanismen, die Angriffe im großen Stil verhindern würden. Ein Algorithmus würde Telegram-Accounts, die massenhaft automatisiert Telefonnummern importieren, stoppen. Weitere Details will Telegram nicht verraten. Es sei aber grundsätzlich möglich, "Tausende Telefonnummern gleichzeitig mit einem Telegram-Account zu importieren", bestätigte ein Telegram-Sprecher. Kommende Funktionen sollen die Privatsphäre der Nutzer besser stärken. Die Aktivisten in Hongkong müssen sich auf Telegrams Aussagen verlassen, bleiben aber verunsichert. Eine Alternative zur populären Messenger-App haben sie allerdings bislang nicht gefunden. Dazu ist die App zu gut für sehr große Gruppen geeignet. (dbe)
