Telegram-Anruflücke zeigt: Messenger sind das eigentliche Einfallstor

Welcher App auf dem Smartphone würde man zutrauen, auf Fremde vorbereitet zu sein? Vermutlich derjenigen, die dafür gebaut wurde, den ganzen Tag mit Fremden zu kommunizieren. Genau darin liegt das Problem: Ein Messenger muss Anrufe, Dateien und Daten von Menschen annehmen, denen man nie begegnet ist – und diese Woche hat Telegram gezeigt, was passiert, wenn diese Tür einen Spalt offen bleibt.

Laut The Hacker News hat die Sicherheitsfirma NebuSec die Ausführung von Code über einen angenommenen Sprachanruf in Telegram für Android demonstriert; behoben wurde die Lücke in Version 12.10.4. Andere Berichte, etwa von Total Security, nennen die Möglichkeit, den Fehler mit zwei weiteren Schwachstellen zu verketten, um nach dem Annehmen die volle Kontrolle über das Smartphone des Opfers zu übernehmen. Das portugiesische Portal Tugatech ergänzt, der Fehler habe vier Jahre unentdeckt in der App gesteckt.

Man sollte genau darauf achten, was die Unterlagen nicht sagen. Aus den vorliegenden Auszügen geht nicht hervor, ob jemand die Lücke tatsächlich in freier Wildbahn ausgenutzt hat, und das wollen wir nicht vermuten. Beschrieben wird ein Proof of Concept, bei dem die Person laut Space Money nichts weiter tun musste, als den Anruf anzunehmen.

Am beunruhigendsten ist, wie alltäglich der Auslöser ist

Die meisten haben ein Bild vom Hacken von Smartphones, das mit einem Fehler des Nutzers beginnt: ein zweifelhafter Link, eine dubiose APK, ein Passwort auf einer gefälschten Seite. Diese Schwachstelle sprengt dieses Bild. Einen Anruf anzunehmen ist die natürlichste Geste, die ein Smartphone kennt, und keine noch so große „Vorsicht“ schützt vor einer Taste, die man ohnehin drücken soll.

Damit ändert sich der Rat. Jahrelang liefen Sicherheitstipps auf die Wachsamkeit der Nutzer hinaus. Hier ist Wachsamkeit nahezu nutzlos, und die einzige echte Verteidigung liegt auf der Softwareseite: der Patch.

Messenger sind der neue Perimeter – ob es gefällt oder nicht

Man bedenke, was ein moderner Messenger alles verarbeitet: Bilder, Links, Sprachströme und Daten zum Verbindungsaufbau, vieles davon von nicht vertrauenswürdigen Absendern. Jedes dieser Elemente ist Code, der einen Fehler enthalten kann. Aus unserer Sicht macht das Chat-Apps zu einem attraktiveren Ziel als das Betriebssystem selbst, denn sie sind überall installiert, immer aktiv und für jeden offen, der die eigene Nummer oder den Benutzernamen kennt.

Es gibt außerdem einen größeren Hintergrund. InfoMoney berichtet, dass KI Softwarefehler so schnell zutage fördert, dass Entwickler sie beheben müssen, bevor Hacker sie ausnutzen; Google habe in diesem Jahr mehr schwere Fehler behoben als in den acht Jahren davor zusammen. Ob eine KI den Telegram-Fehler gefunden hat, können wir nicht sagen, und nichts in den Unterlagen deutet darauf hin. Es ist aber vernünftig, mit mehr solcher Veröffentlichungen zu rechnen, nicht mit weniger – und ein vier Jahre alter Fehler, der jetzt ans Licht kommt, kann ein Zeichen dafür sein, dass alter Code so genau geprüft wird wie nie zuvor.

Jetzt aktualisieren und Apps nicht mehr nach ihrem Ruf beurteilen

Die Support-Seite von Telegram beschreibt den Dienst selbst als cloudbasierten Messenger mit Fokus auf Sicherheit und Geschwindigkeit. Das ist das Verkaufsargument, und ein Fehler wie dieser hat damit wenig zu tun. Der Ruf zeigt, wie ein Unternehmen auftritt; die Versionsnummer zeigt, ob man gefährdet ist.

Die andere Seite der Geschichte sind die Update-Gewohnheiten bei Android. Android Authority weist darauf hin, dass 43,6 Prozent der aktiven Geräte noch mit Android 13 oder älter laufen. Diese Korrektur kam allerdings in der App selbst (Version 12.10.4) und nicht mit einer Betriebssystemversion. Nach unserer Lesart bedeutet das: Das Einzige, was in der eigenen Hand liegt, sind ein paar Fingertipps – nicht das Warten auf den Smartphone-Hersteller.

Unsere Empfehlung ist daher einfach. Prüfen, ob Telegram für Android auf Version 12.10.4 oder neuer ist. Automatische Updates für Messenger aktivieren, denn sie sind den Fremden am stärksten ausgesetzt. Und wer in einer bestimmten App keine Sprachanrufe braucht, sollte überlegen, ob diese Funktion überhaupt Verbindungen annehmen soll.

Unser Fazit: Die Lehre lautet nicht „Telegram ist unsicher“. Jeder Messenger mit Anruffunktion könnte einen solchen Fehler haben. Die Lehre ist, dass Vertrauen in eine Marke eine schwächere Strategie ist als das Update am ersten Tag. Erst patchen, den guten Ruf bewundern kann man danach.