Telegram-Desktop-Lücke: Alte Chat-Exporte bleiben gefährlich

Eine Sicherheitslücke in Telegram Desktop hat es Angreifern über zwei Jahre lang ermöglicht, versteckten JavaScript-Code in Chatverläufe einzuschleusen. Gefährlich wurde er erst beim HTML-Export: Wer einen Chat als HTML-Datei sicherte und später im Browser öffnete, führte den Code aus — und konnte damit den gesamten Inhalt des Exports an einen fremden Server schicken. Telegram hat die Lücke im Juli 2026 geschlossen, die Forscher haben sie am 12. September öffentlich gemacht.

Der eigentliche Haken steckt aber woanders, und deshalb ist diese Meldung auch nach dem Patch noch relevant: Das Update repariert die App, nicht die bereits exportierten Dateien. Wer zwischen März 2024 und Juli 2026 Chats exportiert hat, hat diese Dateien womöglich noch auf der Festplatte — und sie sind weiterhin scharf.

Das Wichtigste in Kürze

• Betroffen: Telegram Desktop 4.15.1 (März 2024) bis 6.9.3 — Windows, macOS und Linux.
• Behoben in 6.9.4 Beta (3. Juli 2026) und 7.0.1 Stable (14. Juli 2026).
• CVSS 8.2, eine CVE-Nummer wurde bislang nicht vergeben.
• Ursache: Der Text von Inline-Schaltflächen wurde beim HTML-Export nicht maskiert — normale Nachrichtentexte dagegen schon.
• Der Code schlummert im Chatverlauf und wird erst aktiv, wenn jemand den Chat exportiert und die Datei im Browser öffnet.
• Das Update schützt alte Exporte nicht. Bereits erzeugte HTML-Dateien bleiben gefährlich.
• Gefunden von Denis und Aleksander Rostilov (ExPatch), gemeldet am 3. Juni 2026.

Was ist passiert?

Telegram Desktop kann komplette Chatverläufe als HTML-Datei exportieren — praktisch, um Unterhaltungen zu archivieren, bevor man sie löscht, oder um Verläufe außerhalb der App aufzubewahren.

Beim Erzeugen dieser Datei hat Telegram fast alles richtig gemacht: Nachrichtentexte, Namen und weitere Felder wurden ordentlich maskiert. Sonderzeichen wie spitze Klammern werden dabei in eine harmlose Schreibweise übersetzt, damit der Browser sie als Text anzeigt und nicht als Befehl ausführt.

Eine Stelle blieb dabei übrig: der Beschriftungstext von Inline-Schaltflächen. Das sind die Knöpfe, die Bots unter ihre Nachrichten setzen — „Weiterlesen“, „Abstimmen“, „Öffnen“. Dieser Text landete unmaskiert in der HTML-Datei.

Damit war klar, was ein Angreifer tun musste: einen Bot bauen, der eine Nachricht mit einer Schaltfläche schickt, deren Beschriftung in Wahrheit ein Stück Programmcode enthält.

So funktioniert der Angriff

Schritt 1: Die harmlose Nachricht

In Telegram selbst sieht die Nachricht völlig unauffällig aus — eine gewöhnliche Bot-Nachricht mit einem Knopf darunter. Der eingebettete Code ist mit unsichtbaren Zeichen aufgefüllt und in der App nicht zu erkennen. In der App passiert auch nichts, der Code liegt dort einfach herum.

Schritt 2: Die Verbreitung

Hier wird es unangenehm: Weitergeleitete Nachrichten behalten ihre Schaltflächen. Leitet also ein Gruppenmitglied die Bot-Nachricht weiter, trägt es den präparierten Knopf mit — ohne etwas davon zu ahnen. In großen Gruppen kann sich so ein einzelner Schadcode über viele Chatverläufe verteilen.

Schritt 3: Der Export

Irgendwann exportiert jemand diesen Chat als HTML. Der unmaskierte Schaltflächentext wandert dabei unverändert in die Datei — und aus dem, was in der App nur Text war, wird jetzt echter Programmcode im Dokument.

Schritt 4: Der Doppelklick

Sobald die Datei im Browser geöffnet wird, läuft der Code sofort los. Es braucht keinen Klick auf den Knopf, keine Bestätigung, keine weitere Interaktion. Das Öffnen genügt.

Was der Code anrichten kann

Zwei Dinge, und beide sind ernst zu nehmen:

Er kann den Export auslesen und verschicken. Alles, was in dieser HTML-Datei steht — Nachrichtentexte, Absender, Zeitstempel — lässt sich an einen Server des Angreifers übertragen. Wer einen längeren Gruppenverlauf exportiert hat, verliert damit unter Umständen tausende Nachrichten auf einen Schlag.

Er kann die Anzeige fälschen. Der weniger beachtete Teil: Das Script kann verändern, was die Seite darstellt. Ein exportierter Chat könnte also Nachrichten zeigen, die so nie geschrieben wurden. Das ist überall dort heikel, wo solche Exporte als Beleg dienen — bei Streitfällen, in Ermittlungen oder schlicht, wenn man sich später selbst darauf verlässt.

Eine wichtige Einschränkung zur Einordnung: Der Code läuft im Kontext dieser einen lokalen Datei. Er übernimmt nicht den Rechner und liest auch nicht andere Dateien auf der Festplatte aus. Was er sieht, ist der Export selbst — was schlimm genug ist, aber kein vollständiger Systemeinbruch.

Warum das Update allein nicht reicht

Das ist der Punkt, an dem sich diese Meldung von den üblichen unterscheidet. Normalerweise gilt: aktualisieren, fertig. Hier nicht — und das ist die Umkehrung des Falls, den wir kürzlich bei den VLC-Sicherheitslücken hatten: Dort gab es ein Problem, aber kein Update. Hier gibt es ein Update, das aber nicht alles erreicht.

Telegram hat den Fehler in der App behoben — neue Exporte sind sauber. Aber eine HTML-Datei, die 2025 erzeugt wurde, bleibt genau so, wie sie ist. Sie liegt im Downloads-Ordner, auf einer externen Platte oder in einem Backup, und niemand fasst sie mehr an. Öffnet man sie in drei Jahren, läuft der Code so bereitwillig wie am ersten Tag.

Dazu kommt das Zeitfenster: Die Lücke existierte seit Version 4.15.1 vom März 2024. Das sind gut zwei Jahre, in denen präparierte Nachrichten in Chats gelangt und Exporte entstanden sein können.

Bin ich betroffen?

Die Frage lässt sich erfreulich klar beantworten, weil es auf genau eine Sache ankommt: Hast du jemals einen Telegram-Chat als HTML exportiert?

• Nein, nie exportiert: Dann bist du auf der sicheren Seite. Aktualisiere die App, und das Thema ist für dich erledigt.
• Ja, aber erst nach Juli 2026: Diese Exporte stammen aus einer gepatchten Version und sind sauber.
• Ja, vor Juli 2026: Diese Dateien solltest du dir ansehen — dazu unten die konkreten Schritte.

Besonders aufmerksam sollte sein, wer in großen öffentlichen Gruppen unterwegs war oder Chats mit vielen Bot-Nachrichten exportiert hat. Genau dort ist die Wahrscheinlichkeit am höchsten, dass eine präparierte Nachricht mitgelaufen ist.

Das solltest du jetzt tun

• Telegram Desktop auf 7.0.1 oder neuer aktualisieren. Das verhindert, dass künftige Exporte betroffen sind.
• Alte HTML-Exporte aufspüren. Sie heißen üblicherweise messages.html und liegen im gewählten Exportordner, oft unter „Telegram Desktop“ im Downloads-Verzeichnis.
• Alte Exporte nicht einfach doppelklicken. Wenn du den Inhalt brauchst, öffne die Datei mit deaktiviertem JavaScript — oder in einem Browserprofil, in dem JavaScript generell aus ist.
• Besser: neu exportieren. Wenn der Chat noch existiert, erzeuge den Export einfach mit der aktuellen Version neu und lösche die alte Datei. Das ist der sauberste Weg.
• Ältere Exporte als nicht vertrauenswürdig behandeln — insbesondere solche aus großen Gruppen.

Ein Hinweis zum Verfahren: Wer nur nachsehen will, was in der Datei steht, kann sie auch in einem Texteditor öffnen statt im Browser. Dort wird nichts ausgeführt, und ein eingebettetes <script> fällt beim Durchsehen sogar auf.

Wie ernst ist das wirklich?

Eine nüchterne Abwägung, wie immer an dieser Stelle.

Was dagegen spricht, sich zu sorgen:

• Der Angriff braucht mehrere Bedingungen: eine präparierte Bot-Nachricht im Chat, einen HTML-Export daraus und das Öffnen dieser Datei im Browser.
• Die meisten Menschen exportieren ihre Chats nie.
• Es ist nicht bekannt, dass die Lücke tatsächlich ausgenutzt wurde. Die Forscher haben sie gemeldet, bevor sie öffentlich wurde.
• Der Schaden bleibt auf den Inhalt der jeweiligen Exportdatei begrenzt.

Was dafür spricht, es ernst zu nehmen:

• Das Zeitfenster war mit über zwei Jahren sehr lang.
• Wer exportiert, tut das meist aus einem Grund — die Verläufe sind ihm wichtig. Das erhöht den Wert der Daten.
• Die technischen Einzelheiten sind jetzt öffentlich, das Nachbauen ist nicht schwer.
• Alte Dateien verschwinden nicht von selbst. Dieses Risiko altert nicht weg, es wartet.

Unterm Strich: kein Grund zur Panik, aber ein guter Anlass, einmal im Downloads-Ordner nachzusehen.

Eine Randnotiz zum Bug-Bounty

Telegram hat den Fehler bestätigt und den Findern 500 US-Dollar gezahlt. Für eine Schwachstelle mit CVSS 8.2, die über zwei Jahre in einer Anwendung mit hunderten Millionen Nutzern steckte, ist das eine bemerkenswert schmale Anerkennung.

Das ist keine reine Geschmacksfrage: Wie viel ein Anbieter für Fehlermeldungen zahlt, beeinflusst, ob Forscher den Weg über den Hersteller wählen — oder den über andere Abnehmer, die für solche Funde deutlich mehr bezahlen und kein Interesse an einem Patch haben. In diesem Fall ist alles gut gegangen. Man sollte sich nicht darauf verlassen, dass das immer so ausgeht.

Fazit

Der Fehler selbst ist ein Lehrbuchfall: An einer einzigen Stelle wurde vergessen, Benutzereingaben zu maskieren — und zwar ausgerechnet an der, die von fremden Bots gefüllt wird. Behoben ist er.

Interessanter ist, was daraus folgt. Exportierte Dateien sind eingefrorene Momentaufnahmen, die von Sicherheitsupdates nicht erreicht werden. Das gilt nicht nur für Telegram: Jedes HTML-Archiv, jeder gespeicherte Seitenexport, jede offline abgelegte Kopie trägt den Stand ihrer Entstehungszeit mit sich, samt aller damaligen Fehler.

Die praktische Lehre ist unspektakulär: Wer Verläufe archiviert, sollte sie gelegentlich neu erzeugen statt jahrelang mitzuschleppen — und HTML-Archive aus unbekannter Quelle nicht einfach doppelklicken.

Und für alle, die aus solchen Meldungen die Grundsatzfrage ableiten: Telegram ist in der Standardeinstellung kein Ende-zu-Ende-verschlüsselter Messenger, anders als etwa Threema. Diese konkrete Lücke hat damit zwar nichts zu tun — sie saß im Export, nicht in der Übertragung. Wer seine Chatverläufe aber für archivierungswürdig hält, sollte sich die Frage nach der Verschlüsselung ohnehin einmal stellen.

Häufige Fragen

Welche Telegram-Version ist sicher?

7.0.1 und neuer, bei den Vorabversionen 6.9.4 Beta und aufwärts. Betroffen waren alle Versionen von 4.15.1 (März 2024) bis 6.9.3.

Betrifft das auch die Handy-App?

Die Meldung bezieht sich auf Telegram Desktop für Windows, macOS und Linux. Der HTML-Export, an dem die Lücke hängt, ist eine Funktion der Desktop-Anwendung.

Kann der Code meinen Rechner übernehmen?

Nein. Er läuft im Browser im Kontext dieser einen lokalen Datei. Er kann deren Inhalt auslesen, verschicken und die Anzeige verändern — aber nicht auf andere Dateien zugreifen oder Programme starten.

Wie finde ich alte Exporte auf meinem Rechner?

Suche nach Dateien namens messages.html oder nach einem Ordner „Telegram Desktop“, meist im Downloads-Verzeichnis. Telegram legt Exporte standardmäßig dort ab, sofern beim Export kein anderer Ort gewählt wurde.

Reicht es, die App zu aktualisieren?

Für künftige Exporte ja. Bereits erzeugte HTML-Dateien werden durch das Update nicht verändert — die bleiben so gefährlich, wie sie am Tag ihrer Erstellung waren.

Wurde die Lücke ausgenutzt?

Dafür gibt es keine Hinweise. Die Forscher meldeten sie im Juni 2026 an Telegram, der Patch kam im Juli, die Veröffentlichung erst im September — also nachdem die Korrektur längst verfügbar war.

Warum gibt es keine CVE-Nummer?

Eine wurde bislang nicht vergeben. Das ist bei Lücken, die direkt beim Hersteller gemeldet und ohne öffentlichen Druck behoben werden, nicht ungewöhnlich — es sagt nichts über den Schweregrad aus.

Quellen: Veröffentlichung der ExPatch Vulnerability Research (Denis und Aleksander Rostilov) vom 12.09.2026 sowie die Berichterstattung von The Hacker News und CyberInsider. Abgerufen am 15.09.2026.