Telegram Desktop: Sicherheitslücke ermöglicht Datenabfluss über HTML-Exporte

Security · 14.9.2026

Eine Schwachstelle in Telegram Desktop erlaubt es Angreifern, Schadcode in HTML-Exporten zu platzieren und so vertrauliche Chat-Nachrichten zu entwenden.

Eine kürzlich entdeckte Schwachstelle in der Desktop-Anwendung des Messengers Telegram ermöglicht es Angreifern, schädliches JavaScript in exportierten Chatverläufen zu platzieren. Diese präparierten Skripte werden ausgeführt, sobald ein Nutzer den betroffenen Chat als HTML-Datei exportiert und im Browser öffnet. Sicherheitsforscher warnen, dass dadurch sensible Daten wie Chat-Inhalte unbemerkt an Server von Angreifern übertragen werden können.

Warum ist das wichtig?

In vielen Unternehmen im DACH-Raum wird Telegram trotz datenschutzrechtlicher Bedenken für die schnelle interne Kommunikation oder den Austausch mit Kunden genutzt. IT-Verantwortliche stehen oft vor der Herausforderung, dass geschäftliche Informationen über solche Kanäle fließen. Wenn Mitarbeiter Chat-Protokolle zu Dokumentationszwecken als HTML-Datei exportieren, stellt diese Sicherheitslücke ein erhebliches Risiko dar. Da der Schadcode lokal im Kontext des Browsers ausgeführt wird, können Angreifer potenziell auf den Inhalt des spezifischen Chats zugreifen und andere im Browser geöffnete Sitzungen kompromittieren. Dies gefährdet die Vertraulichkeit von Unternehmensdaten und verletzt gängige Compliance-Vorgaben.

Was Nutzer jetzt tun sollten

Sowohl IT-Verantwortliche als auch Privatanwender sollten unverzüglich Maßnahmen ergreifen, um das Risiko zu minimieren:

• Updates installieren: Stellen Sie sicher, dass alle installierten Telegram Desktop-Clients auf die neueste, fehlerbereinigte Version aktualisiert werden. Updates sollten idealerweise zentral über das Software-Management an alle Firmen-Clients verteilt werden.
• Vorsicht bei Exporten: Nutzer sollten vorerst darauf verzichten, Chat-Exporte im HTML-Format zu öffnen, insbesondere wenn diese aus Gruppenchats mit externen Teilnehmern oder Interaktionen mit unbekannten Bots stammen.
• Sicherheitsrichtlinien anpassen: IT-Abteilungen sollten klare Richtlinien für die Nutzung von Instant Messengern im geschäftlichen Umfeld definieren und den Export von sensiblen Daten auf nicht autorisierte Plattformen restriktiv handhaben oder technisch unterbinden.

Fazit

Die Schwachstelle verdeutlicht einmal mehr die Risiken, die mit der Nutzung von Consumer-Messengern im geschäftlichen Kontext einhergehen. Ein proaktives Patch-Management und die Sensibilisierung der Mitarbeiter für die Gefahren beim Umgang mit scheinbar harmlosen Export-Dateien sind essenziell, um die Integrität von Unternehmensdaten nachhaltig zu wahren.

Quelle: The Hacker News