Vor fast einem Jahr veröffentlichte die Publikation „Wichtige Geschichten“ eine Recherche über die Verbindungen von Telegram zum FSB; die englischsprachige Version erschien auf der Website von OCCRP. Die Autoren behaupteten, der Geheimdienst könne ein Netzwerk von Verbindungen zwischen den Nutzern des Messengers weltweit aufbauen. Grundlage waren zwei Argumente: das Vorhandensein einer unverschlüsselten Gerätekennung (auth_key_id) im Datenverkehr und die Verbindungen von Wladimir Wedenejew – dem Eigentümer der Firma Global Network Management (GNM), die laut Recherche einen erheblichen Teil der Serverinfrastruktur von Telegram betreibt.
Was das Gutachten zeigte
Im Jahr 2025 reichte Wedenejew Klagen gegen den Chefredakteur von „Wichtige Geschichten“, Roman Anin, in der Schweiz und gegen OCCRP in den USA ein. Zur Untermauerung seiner Position beauftragte er ein Gutachten der Firma Symbolic Software, das deren Gründer Nadim Kobeissi erstellte – ein französisch-libanesischer Forscher für angewandte Kryptographie und öffentlicher Kritiker des Sicherheitsmodells von Telegram. Kobeissi reproduzierte die technische Untersuchung des polnischen Experten Michał Woźniak, auf den sich „Wichtige Geschichten“ berufen hatten, und bestätigte die wesentlichen Schlussfolgerungen: auth_key_id ist faktisch eine Gerätekennung, im Datenverkehr sichtbar, bleibt bei einem Neustart der App und einem Wechsel der IP-Adresse erhalten, und die wechselnden Kennungen lassen sich bei kontinuierlicher Beobachtung leicht einander zuordnen. Laut Kobeissi ermöglicht dies, die Bewegungen der Geräteinhaber zu verfolgen, selbst wenn sie das WLAN oder die SIM-Karte wechseln.
Doch wie „Medusa“ schreibt, zweifelte der Experte andere Schlussfolgerungen der Recherche an. Er wies darauf hin, dass es praktisch unmöglich sei, den sozialen Graphen eines Nutzers – wer mit wem korrespondiert – zu rekonstruieren, und zwar wegen der zentralisierten Architektur von Telegram: Der Server entschlüsselt die Nachricht mit einem Schlüssel, verschlüsselt sie mit einem anderen und übermittelt sie zusammen mit anderen Daten an den Adressaten, was die Suche nach dem Empfänger erschwert. Jede Schlussfolgerung über Verbindungen allein auf der Grundlage einer Analyse des Datenverkehrs sei probabilistisch, behauptet Kobeissi. Eine Ausnahme seien Offline-Treffen, bei denen das regelmäßige Zusammentreffen von Ort und Zeit eine Verbindung herstellen lasse.
Kritik an der Methodik
Kobeissi kritisiert zudem die Methodik der Recherche: Die Verbindung des Infrastrukturanbieters mit den russischen Geheimdiensten sei seiner Meinung nach durch Indizien hergestellt. Er nannte das „Schuld durch Assoziation“: Die Kette baue darauf auf, dass das Unternehmen von Wedenejew einen Teil der Infrastruktur von Telegram verwalte, dass das von ihm gegründete GlobalNet staatliche Kunden habe und folglich die Geheimdienste Zugang zum Datenverkehr haben könnten. Zum Vergleich führte der Experte Signal an, das die Infrastruktur von Amazon nutze, das Verträge mit der CIA und der NSA habe, was aber keine besonderen Möglichkeiten zur Überwachung von Signal-Nutzern bedeute.
Dabei betonte Kobeissi, dass die Kritik an der geopolitischen Darstellung die Realität der Schwachstelle nicht aufhebe: „Die technische Schwachstelle ist real und betrifft alle Nutzer von Telegram, unabhängig davon, welche Angreifer sie genau ausnutzen können. Infrastrukturanbieter in jedem Land – ob Russland, die USA, China oder andere Staaten – sind potenziell in der Lage, diese Schwachstelle bei Zugang zum Netz auszunutzen.“
Was der FSB kann und wie man sich schützt
Nach Einschätzung von „Medusa“ kann der FSB theoretisch Nutzer anhand der Kennung zumindest auf dem Territorium Russlands verfolgen, doch das Ausmaß der massenhaften Überwachung sei schwer einzuschätzen. Eine gezielte Beobachtung einzelner Geräte sei möglich: Telekommunikationsanbieter seien nach dem „Jarowaja-Gesetz“ verpflichtet, den Datenverkehr ein halbes Jahr lang zu speichern und Mitarbeitern der Geheimdienste Zugang zu gewähren. Ein VPN ersetze die IP-Adresse, verberge aber nicht die auth_key_id bei der Übertragung zwischen dem VPN-Server und dem Telegram-Server. Wenn der Geheimdienst keinen Zugang zu den Daten der Infrastrukturanbieter habe, helfe ein VPN; wenn er Zugang habe, wie „Wichtige Geschichten“ vermuten, dann nicht. Kobeissi behauptet, nur die Entwickler von Telegram könnten die Schwachstelle schließen.
Die Entwickler von Telegram haben die Schwachstelle nicht anerkannt. In einem Beitrag, der einige Wochen vor dem Artikel veröffentlicht wurde, erklärten sie: „Jeder Beobachter, der Ihre auth_key_id sehen kann, sieht auch Ihre IP-Adresse, die Namen der Server, mit denen Sie sich verbinden, die Art Ihres Datenverkehrs, DNS-Anfragen und vieles mehr. Eine häufig wechselnde Kennung zu verbergen, ist so, als würde man ein Fenster in einem Gebäude schließen, das fast vollständig aus Glas besteht.“
1
