Sicherheitsforscher haben ein Verhalten der mobilen Telegram-Apps fuer Android und iOS analysiert, das es Angreifern ermoeglicht, mit nur einem Klick auf eine speziell praepaprierte URL die reale IP-Adresse eines Nutzers zu ermitteln. Ausgeloest wird dies durch die Art und Weise, wie Telegram MTProto-Proxy-Links des Formats t.me/proxy?… verarbeitet.
Telegram-Sicherheitsluecke: IP-Leak ueber MTProto-Proxy-Links
MTProto-Proxys dienen in Telegram dazu, Netzsperren und Zensur zu umgehen. Ueber spezielle Proxy-Konfigurationslinks laesst sich ein Proxy mit einem Klick im Client einrichten: Die App liest Serveradresse, Port und Secret aus der URL aus und bietet anschliessend an, den Proxy in den Einstellungen zu speichern.
Die Analyse zeigt jedoch, dass Telegrams Android- und iOS-Clients beim Oeffnen eines solchen Links sofort ein Testverbindungsaufbau zum angegebenen MTProto-Server durchfuehren – noch bevor der Nutzer die Konfiguration bestaetigt. Diese Netzverbindung geht direkt vom Endgeraet aus, sodass der Betreiber des Proxy-Servers die echte oeffentliche IP-Adresse des Nutzers einsehen kann.
Automatischer Verbindungstest ohne Nutzerinteraktion
Wird ein Link im Format t.me/proxy?server=…&port=…&secret=… in der App geoeffnet, prueft der Client zunaechst automatisch, ob der Server erreichbar ist und korrekt auf MTProto-Anfragen reagiert. Aus Usability-Sicht ist dieses Verhalten nachvollziehbar, da fehlerhafte oder tote Proxys fruehzeitig erkannt werden sollen.
Sicherheitsrelevant wird dies, weil dieser Test ohne Rueckfrage erfolgt. In dem Moment, in dem die App den Reachability-Check startet, landen IP-Adresse, Provider-Informationen und eine ungefaehre Geoposition (ueber Standard-IP-Geolokation) beim Betreiber des Proxys. Dienste wie MaxMind und aehnliche Datenbanken erreichen laut Studien auf Landesebene Genauigkeiten von ueber 95 Prozent, auf Stadtebene je nach Region 50–70 Prozent – ausreichend, um kritische Rueckschluesse zu ziehen.
Tarnung als scheinbar harmloser Username-Link
Zusatzrisiko entsteht dadurch, dass sich derartige Proxy-Links als gewoehnliche Telegram-Links tarnen lassen, etwa als Verweis auf einen Nutzernamen. In der Oberflaeche wird beispielsweise @beispieluser angezeigt, waehrend sich dahinter technisch ein t.me/proxy?… -Link verbirgt, der auf einen vom Angreifer kontrollierten Server zeigt.
Bereits der erste Klick genuegt: Telegram baut unmittelbar die Verbindung zum MTProto-Server auf, und der Angreifer erhaelt die reale IP-Adresse – selbst dann, wenn der Nutzer im naechsten Schritt den Proxy verwirft. Damit reicht ein einmaliges Interagieren mit einer manipulierten Telegram-URL, um ein IP-Leak auszuloesen.
Warum die reale IP-Adresse im Messenger-Bedrohungsmodell kritisch ist
Einzelne IP-Adressen liefern zwar keine vollstaendigen Personenprofile, sind aber ein zentrales Element im Tracking und in der Deanonymisierung. Die Europaeische Datenschutz-Grundverordnung (DSGVO) stuft IP-Adressen explizit als personenbezogene Daten ein. In der Praxis ergeben sich mehrere Angriffsszenarien:
1. Geolokalisierung und physische Risiken. Ueber Geolokationsdienste laesst sich der ungefaehre Aufenthaltsort (Land, Region, oft auch Stadt) bestimmen. Fuer Journalisten, Aktivisten oder Oppositionelle, die Telegram gezielt zur Umgehung von Zensur nutzen, kann diese Standortnahelegung bereits ein Sicherheitsrisiko darstellen.
2. Netzwerkangriffe auf Endnutzer. Mit der oeffentlichen IP-Adresse lassen sich zielgerichtete Denial-of-Service-Angriffe (DDoS) ausloesen, die die Internetverbindung eines Betroffenen lahmlegen oder Heimrouter und kleinere Unternehmensnetze stoeren koennen. Botnetze, wie sie etwa aus IoT-Geraeten bekannt sind, werden regelmaessig genau fuer solche Szenarien eingesetzt.
3. Deanonymisierung durch Korrelation. IP-Adressen werden haeufig mit weiteren Merkmalen kombiniert – Logins, Zeitstempeln, Bewegungsprofilen oder Aktivitaetsmustern. In der Summe laesst sich so relativ praezise auf reale Identitaeten schliessen, insbesondere wenn Angreifer mehrere Plattformen parallel auswerten.
Entdeckung der Schwachstelle und Reaktion von Telegram
Auf das auffaellige Verhalten der Proxy-Links wurde zunaechst im Telegram-Kanal chekist42 hingewiesen. Weitere Forscher, darunter der Sicherheitsanalyst 0x6rss, fuehrten anschliessend eine detaillierte Analyse durch und veroeffentlichten Videodemos, die den IP-Leak beim Klick auf t.me/proxy-Links belegen.
Gegenueber dem Sicherheitsportal BleepingComputer betonte Telegram, dass Betreiber von Webseiten und Proxys grundsaetzlich die IP-Adressen ihrer Besucher sehen – ein Verhalten, das nicht spezifisch fuer Telegram sei, sondern auch bei anderen Messengern und Webdiensten auftritt. Zugleich stellte das Unternehmen in Aussicht, kuenftig deutlichere Warnhinweise beim Oeffnen von Proxy-Links einzublenden, um das Bewusstsein der Nutzer fuer moegliche Risiken zu schaerfen.
Schutzmassnahmen: So sichern Sie Ihre IP-Adresse in Telegram
Vor allem Nutzergruppen mit erhoehtem Bedrohungsprofil sollten ihre Nutzung von Telegram entsprechend anpassen. Die folgenden Massnahmen reduzieren das Risiko eines IP-Leaks ueber MTProto-Proxy-Links signifikant:
1. Vorsicht bei unbekannten Links. Klicken Sie keine URLs an, die von unbekannten Kontakten, neu erstellten Kanaelen oder in zweifelhaften Gruppen stammen – insbesondere dann, wenn sie wie ein Username oder ein verkuerzter Link wirken.
2. Realen Ziel-URL genau pruefen. Vor dem Tippen auf einen Link sollte die tatsaechliche Adresse kontrolliert werden. Wenn statt eines Profils oder Kanals t.me/proxy sichtbar ist, handelt es sich nicht um eine normale Telegram-Ressource, sondern um die Konfiguration eines Proxys.
3. VPN oder Tor konsequent nutzen. Ein vertrauenswuerdiger VPN-Dienst oder Anonymisierungsnetzwerke wie Tor kapseln die reale IP-Adresse vom Zielserver ab. Selbst wenn eine Verbindung zu einem boesartigen MTProto-Proxy zustande kommt, sieht der Angreifer nur die IP des VPN- oder Exit-Knotens, nicht die des Endgeraets.
4. Einsatz von Drittanbieter-Proxys begrenzen. Verwenden Sie fuer die Umgehung von Sperren vorzugsweise offizielle Zugangswege oder gut bekannte, vertrauenswuerdige Proxy-Anbieter. Zufalls-Konfigurationen aus Foren, Oeffentlich-Listen oder unbekannten Kanaelen bergen ein erhoehtes Risiko.
Der geschilderte Fall fuehrt exemplarisch vor Augen, dass Komfortfunktionen wie die automatische Proxy-Konfiguration unbeabsichtigte Privacy-Implikationen haben koennen, wenn Hintergrundverbindungen ohne ausdrueckliche Einwilligung aufgebaut werden. Wer Messenger wie Telegram in sensiblen Kontexten einsetzt, sollte Sicherheitsmeldungen ernst nehmen, das eigene Klickverhalten kritisch hinterfragen und technische Schutzschichten wie VPN oder Tor als Standard etablieren.
