Telegram: Benachrichtigungen über inoffizielle Clients

# # Telegram warnt in Chats vor Risiken inoffizieller Clients

Telegram führt Benachrichtigungen ein, wenn dein Chat-Partner einen inoffiziellen Client verwendet. In dem Code der offiziellen iOS-App wurden Strings gefunden, die eine Warnung neben dem Benutzernamen anzeigen: „[Username] verwendet einen inoffiziellen Telegram-Client – Nachrichten an diesen Benutzer könnten weniger sicher sein.“ Dies schärft das Bewusstsein für potenzielle Sicherheitslücken in deinen Chats.

Benachrichtigungsmechanismus und seine Auswirkungen

Die Warnung wird im offiziellen iOS-Client getestet. Sie erscheint in Chats, in denen mindestens ein Teilnehmer eine Drittanbieter-App nutzt. Experten loben einen ausgewogenen Ansatz: Es gibt keine direkten Sperren, aber die Risiken werden optisch hervorgehoben. Unklar ist, ob die Funktion alle alternativen Clients oder nur unzuverlässige trifft. Eine pauschale Anwendung könnte zu übermäßigem optischen Ballast in der Oberfläche führen.

Bisher berichteten Nutzer von Sitzungsresets in offiziellen Clients, die eine erneute Authentifizierung erfordern und das Versenden von Nachrichten blockieren. Die Ursache sind häufige IP-Wechsel über VPNs oder inoffizielle Clients, die Telegram als verdächtige Aktivität einstuft.

Sicherheitsanalyse alternativer Clients

Die Untersuchung von RKS Global umfasste acht beliebte Android-Telegram-Clients:

• Telegram Official
• Telegram X
• Plus Messenger
• Nekogram
• Graph Messenger
• Telega
• iMe
• F-Droid (Forkgram, Mercurygram)

Wichtige Risiken:

• Telega, Graph Messenger und iMe senden Daten an russische Server.
• Plus Messenger, Graph Messenger und iMe enthalten Firebase Analytics; Nekogram deaktiviert es nicht. Der offizielle Client schaltet die Google-Datensammlung ab.
• Werbe-SDKs erhöhen die Risiken: Graph Messenger (6 SDKs), iMe (15+ SDKs), Plus Messenger (1 SDK). Spuren von VK Group in Telega (MyTracker, OK.ru) und iMe (ad.mail.ru).
• Telega ist am anfälligsten: Am 18. März 2026 wurde ein MITM-Angriff aktiviert. MTProto-Verkehr wird über Telegas Proxy nach Russland umgeleitet und interceptiert alle Daten zwischen Client und Telegram-Servern.

Eine anonyme Analyse mit dem Titel „Technical Analysis of MITM Attack in Telega Client“ bestätigt das Server-Spoofing.

Neuer Open-Source-Client Monogram

Im März 2026 veröffentlichten Enthusiasten Monogram – einen inoffiziellen Android-Client, der mit Kotlin, Jetpack Compose und Material Design 3 entwickelt wurde. Er nutzt TDLib für die Kompatibilität mit dem Telegram-Protokoll. Unter GPLv3-Lizenz steht das Projekt in aktiver Entwicklung: Erwarte Updates, Refactorings und Bugs.

Monogram setzt auf native UI und Performance, vermeidet Werbe-SDKs und externe Analysen.

Wichtige Erkenntnisse

• Benachrichtigungen in Telegram iOS kennzeichnen Nutzer inoffizieller Clients, um Chat-Risiken zu mindern.
• Telega setzt MITM über russische Proxies um und spoofed MTProto-Verkehr.
• Drei von acht Android-Clients senden Daten nach Russland; die meisten enthalten Firebase.
• Sitzungsresets in offiziellen Clients hängen mit VPNs und Drittanbieter-Apps zusammen.
• Monogram – eine Open-Source-Option mit Jetpack Compose und TDLib, ohne Tracker.

Empfehlungen für Entwickler

Beim Entwickeln oder Auswählen von Clients solltest du den Netzwerkverkehr auf Server-Spoofing prüfen. Nutze Tools wie Wireshark zur Analyse von MTProto. Vermeide Apps mit aktiven SDKs (Firebase, MyTracker). Für eigene Lösungen greife wie bei Monogram auf TDLib zurück und sorge für transparente Code-Veröffentlichung auf GitHub.

— Editorial Team