Der Telegram-Link, der „sperren lässt“: was tg://msg_url wirklich macht

Am 24. Oktober verbreiteten sich in Telegram-Kanälen Warnungen vor einem Link, der mit tg://msg_url beginnt. Wer ihn öffne, verschicke automatisch eine vorbereitete Phishing-Nachricht und werde dann von Telegram wegen Spam gesperrt. Die Beiträge berufen sich auf Telegram, eine Stellungnahme von Telegram selbst haben wir aber nicht gefunden. Die Beiträge schreiben selbst, dass die Information nicht bestätigt ist.

Was ist das für ein Link?

Es ist keine neue Sicherheitslücke. tg://msg_url ist Telegrams normaler Teilen-Link, beschrieben in der Dokumentation der Telegram-API. Er besteht aus einem Link und optional einem Text. Beim Öffnen zeigt die App eine Liste Ihrer Chats. Nach der Auswahl stehen Link und Text im Eingabefeld.

Im Beispiel, das am 24. Oktober kursiert, wirbt dieser Text für ein Sammlergeschenk (ein Link auf t.me/nft/…) für 1500 Sterne, eine typische Geschenk-Masche.

Wird die Nachricht von selbst gesendet?

Laut Telegrams Dokumentation nicht. Sie müssen einen Chat wählen, und die Nachricht geht erst raus, wenn Sie auf Senden tippen. Wir haben nicht jede App-Version getestet und können daher nicht ausschliessen, dass sich eine anders verhält.

Das eigentliche Risiko ist ein eiliger oder müder Fingertipp: Sie wählen einen Chat, der Text steht schon da, und Sie senden ihn. Wer den Betrug von Ihnen erhält, meldet ihn, und Telegrams Moderatoren schränken gemeldete Konten wegen Spam ein, wie die Spam-FAQ erklärt. Wiederholte Fälle führen zu längeren Sperren.

So schützen Sie sich

• Öffnen Sie keine Links von Unbekannten, die mit tg://msg_url, t.me/share oder t.me/msg/url beginnen.
• Öffnet sich unerwartet eine Chatliste, schliessen Sie sie. Senden Sie nie einen Text, den Sie nicht selbst geschrieben haben.
• Seien Sie misstrauisch bei Angeboten von Geschenken, NFTs oder Sternen. Echte Geschenke kommen in Telegram selbst an, nicht über einen Link.
• Aktivieren Sie die zweistufige Bestätigung und prüfen Sie unter Einstellungen, Geräte, ob unbekannte Sitzungen offen sind.
• Wurde Ihr Konto zu Unrecht eingeschränkt, schreiben Sie an @SpamBot, wie Telegram es empfiehlt.

Was wir nicht wissen

Wir haben weder die ursprüngliche Quelle der Warnung gefunden noch einen bestätigten Fall, in dem eine Nachricht ohne Tippen auf Senden verschickt wurde. Wir aktualisieren diesen Artikel, falls Telegram sich äussert.