Telegrams „geheime Chats" sind nicht da, wo du denkst

Man kennt das Gefühl: Man hat eine App gewählt, von der alle sagen, sie sei die sichere. Man schreibt, was man sonst nirgends schreiben würde, und fühlt sich dabei gut aufgehoben. Der Name der App wirkt wie ein Versprechen. Erst wenn man genauer hinsieht, merkt man: Das Versprechen galt für etwas anderes als das, was man täglich benutzt.

Bei Telegram ist dieser Unterschied besonders deutlich — und besonders lehrreich. Nicht, weil Telegram etwas Verbotenes täte. Sondern weil die Architektur der App offen dokumentiert ist, und trotzdem kaum jemand sie wirklich kennt. Die meisten Nutzer leben in der normalen Chatansicht. Und die normale Chatansicht ist etwas anderes als das, wofür Telegram seinen Ruf hat.

Ruf und Voreinstellung sind zwei verschiedene Dinge

Telegram hat seinen Ruf als sicheres Werkzeug nicht zuletzt durch die „geheimen Chats" erworben: Chats mit Ende-zu-Ende-Verschlüsselung, die nur auf einem einzigen Gerät existieren und nicht zwischen Geräten synchronisiert werden. Das ist ein reales Merkmal, und es ist öffentlich beschrieben.

Aber: Diese geheimen Chats sind nicht die Voreinstellung. Sie müssen von Hand gestartet werden, für jeden Kontakt einzeln, und sie funktionieren nur auf dem Gerät, auf dem sie begonnen wurden. Wer Telegram öffnet und einfach losschreibt, schreibt nicht in einem geheimen Chat. Er schreibt in einem Cloud-Chat — und der liegt, wie der Name schon sagt, in der Cloud: auf den Servern von Telegram, damit er auf Handy, Tablet und Desktop gleichzeitig verfügbar ist.

Das ist kein Fehler und keine Täuschung. Es ist eine bewusste Architekturentscheidung zugunsten von Bequemlichkeit: überall verfügbar, alles synchron. Nur: Bequemlichkeit hat einen Preis, und der Preis ist eine Kopie. Wer synchronisiert, verteilt. Wer auf mehreren Geräten lesen will, legt seine Nachrichten an mehreren Orten ab — und auf einem Server, der nicht der eigene ist.

Was „in der Cloud" wirklich heißt

Telegram selbst beschreibt es offen: Cloud-Chats werden verschlüsselt auf den Servern des Dienstes gespeichert. Das klingt beruhigend, und es ist auch nicht gelogen. Aber es ändert nichts an der entscheidenden Tatsache: Es gibt ein Exemplar der Daten auf einem Server, der jemand anderem gehört. Die Verschlüsselung schützt die Übertragung und den Speicher — sie hebt nicht auf, dass die Daten dort liegen.

Diese Unterscheidung ist der Kern der Sache. Es geht nicht darum, ob eine App „sicher" oder „unsicher" ist. Es geht darum, wo die Daten physisch existieren. Solange ein Exemplar auf einem fremden Server liegt, ist es über diesen Server erreichbar: durch den Betreiber, durch eine rechtliche Anordnung an den Betreiber, durch jeden, der Zugang zu diesem System erlangt. Ein Login, ein Server, ein Exemplar — das ist eine Tür, und Türen lassen sich öffnen.

Wer Wert darauf legt, dass etwas von niemandem gefunden wird, muss deshalb anders fragen als „Ist diese App sicher?" Die richtige Frage lautet: „Gibt es überhaupt ein Exemplar außerhalb meiner Kontrolle?" Bei einem Cloud-Chat lautet die Antwort immer: ja.

„Verschwindende Nachrichten" verschwinden nur auf dem eigenen Bildschirm

Der zweite weitverbreitete Irrtum hängt mit den Selbstzerstörungs-Timern zusammen. Man stellt ein, dass eine Nachricht nach einigen Sekunden verschwindet, und fühlt sich danach sauber. Aber was da verschwindet, ist die Anzeige — nicht die Tatsache, dass die Nachricht gelesen wurde, und nicht das, was der Empfänger damit bereits getan hat.

Ein Screenshot ist in einer Sekunde gemacht. Eine Bildschirmaufnahme ebenso. Und was der andere bereits gespeichert, weitergeleitet oder abfotografiert hat, löscht kein Timer der Welt. „Verschwinden" heißt hier: Es wird auf dem eigenen Gerät nicht mehr gezeigt. Über das andere Gerät hat man keine Gewalt, und über das, was dort bereits gesichert wurde, erst recht nicht.

Das gilt nicht nur für Telegram. Dasselbe Muster findet sich überall, wo Bequemlichkeit die Architektur bestimmt: WhatsApp-Backups, die in einer Cloud landen und damit außerhalb der Ende-zu-Ende-Verschlüsselung des Chats selbst liegen; Fotos, die automatisch synchronisiert werden, bevor man überhaupt entschieden hat, ob sie synchronisiert werden sollen. Überall heißt „verschwunden" nur: „nicht mehr sichtbar". Nicht: „nicht mehr vorhanden".

Der Unterschied zwischen Ruf und Architektur

Ein erfahrener Nutzer lernt irgendwann, nicht auf Namen zu hören, sondern auf Architektur. Wie eine App heißt, was sie verspricht, wofür sie bekannt ist — das alles ist Marketing, ob gut gemeint oder nicht. Was zählt, ist allein: Wo liegen die Daten? Wie viele Exemplare gibt es? Wer kann sie erreichen, ohne mich zu fragen?

Gemessen daran ist die Lage bei den alltäglichen Chat-Apps klar: Die Voreinstellung ist Synchronisation, und Synchronisation bedeutet Kopien. Die sichere Variante existiert — aber sie muss bewusst gewählt, manuell gestartet und auf ein Gerät beschränkt werden. Wer das nicht tut, lebt mit der Architektur der Bequemlichkeit, nicht mit der Architektur der Geheimhaltung. Das ist kein Vorwurf an den Anbieter. Es ist eine Feststellung über den eigenen Umgang mit der Voreinstellung.

Die einzige Architektur ohne „ein Exemplar auf einem Server"

Für das, was wirklich niemand finden darf, folgt daraus eine einfache Konsequenz: Es darf nicht in einer Architektur leben, in der ein Server-Exemplar zum System gehört. Nicht, weil man dem Anbieter misstraut. Sondern weil ein Exemplar auf einem fremden Server prinzipiell erreichbar ist — und weil „prinzipiell erreichbar" für etwas, das niemand sehen darf, bereits zu viel ist.

Die Alternative ist ein Ort ohne Server, ohne Login, ohne Synchronisation: ein Datenträger, den der Eigentümer selbst gesichert hat und der dann in professionelle Verwahrung gegeben wird — empfangen, nummeriert, versiegelt, von zwei Personen geprüft, dokumentiert verwahrt. Die regelmäßige Kontrolle beschränkt sich auf das von außen Sichtbare: Siegel und äußerer Zustand werden halbjährlich in Augenschein genommen und fotografiert, ohne dass der Inhalt berührt wird. Alles darüber hinaus geschieht nur mit schriftlicher Zustimmung des Eigentümers.

Der Wert liegt auch hier nicht in einer Technik. (Dass der Inhalt zuvor vom Eigentümer selbst verschlüsselt wurde, ist eine Selbstverständlichkeit, keine Verkaufsbotschaft.) Der Wert liegt in der Architektur: Wo kein Server existiert, gibt es auch kein Server-Exemplar. Wo kein Login existiert, gibt es keine Tür, die jemand anderes öffnen könnte. Wo nichts synchronisiert wird, gibt es keine zweite Kopie, die man vergessen könnte.

Telegram ist ein gutes Werkzeug für vieles. Aber wer etwas besitzt, das niemand finden darf, sollte es nicht der Voreinstellung einer Chat-App anvertrauen — egal, wie gut ihr Ruf ist. Ruf ist kein Aufbewahrungsort. Ein versiegelter, nummerierter, von Menschen bewachter Ort schon.