Telegram greift vermehrt durch. Die längere Lebensdauer von Untergrund-Kanälen in diesem Netzwerk trifft auf viel höhere Sperrquoten.
Eine Analyse von Kaspersky Digital Footprint Intelligence zu mehr als 800 zwischen 2021 und 2024 gesperrten Kanälen auf Telegram, die Cyberkriminelle genutzt haben, zeigt, dass illegale Aktivitäten auf der Plattform für Cyberkriminelle immer schwieriger werden. Zwar hat sich der Anteil der Kanäle, die länger als neun Monate aktiv bleiben erhöht. 2023/2024 hat sich die Anzahl im Vergleich zu 2021/2022 sogar mehr als verdreifacht. Gleichzeitig liegen die seit Oktober 2024 verzeichneten monatlichen Sperrzahlen jedoch auf dem Niveau früherer Höchststände aus dem Jahr 2023 und steigen im Jahr 2025 rasant weiter.
Entsprechend verlagern Cyberkriminelle ihre Aktivitäten hin zu anderen Plattformen, da Telegram ihnen nicht länger die infrastrukturellen Vorteile bietet wie in der Vergangenheit. Dieses soziale Netzwerk ist aufgrund der vermehrten Moderation schlichtweg kein sicherer Hafen mehr für sie.
Telegramr war einst ideal für Cyberkriminelle
Moderne Messenger wie WhatsApp, Telegram oder Signal nutzen reguläre Anwender gleichermaßen wie Cyberkriminelle. Dabei bietet gerade Telegram mit seiner Bot-Infrastruktur und anderen eingebauten Funktionen eine weitgehend automatisierte Schattenökonomie, die Cyberkriminelle gerne einsetzen. So kann beispielsweise ein einzelner Bot Kundenanfragen und Kryptowährungszahlungen automatisiert abwickeln und dabei gestohlene Daten oder Malware-Dienste an viele Käufer pro Tag ausliefern.
In Kombination mit dem unbegrenzten Dateispeicher und hohen Übertragungsraten für große Leaks ist Telegram vor allem für standardisierte Massenangebote attraktiv. Komplexere, vertrauensabhängige Geschäfte finden laut Kaspersky aber weiterhin überwiegend in reputationsbasierten Foren im Darknet statt. Allerdings zeigt die aktuelle Analyse, dass dieses Modell der Telegram-Nutzung zunehmend unter Druck gerät und viele Untergrund-Akteure die notwendige Planungssicherheit nicht mehr bieten. Einmal eingerichtet geschieht dies komplett automatisch ohne zusätzlichen Aufwand des Täters.
Zwischenzeitlich haben bereits mehrere etablierte Untergrund-Communitys damit begonnen, ihre Aktivitäten zu verlagern. Dazu gehören unter anderem die Gruppe BFRepo mit nahezu 9.000 Mitgliedern. Dazu kommt die Malware-as-a-Service-Operation „Angel Drainer”. Allerdings haben die Moderatoren von Telegram ihre Aktivitäten immer wieder gestört. Weiterhin klagen Cyberkriminelle laut Kasperky beim Thema Telegram über:
- das Fehlen einer durchgängig aktivierten Ende-zu-Ende-Verschlüsselung für Standardchats,
- die zentralisierte Infrastruktur. Sie bietet ihnen keine eigene Kontrolle über die Server ihrer Kommunikation,
- den geschlossenen serverseitigen Code, den sie nicht prüfen können. Open Source sind nur die Messenger für Android und andere Betriebssysteme.
Moderatoren greifen stärker durch
Das sind allerdings nicht die einzigen Gründe, warum sich Cyberkriminelle zunehmend von der Nutzung von Telegram verabschieden. Hauptgrund dürfte das Vorgehen von Telegram gegen illegale Aktivitäten sein. Denn laut der aktuellen Kaspersky-Analyse ist die durchschnittliche Lebensdauer von Untergrund-Kanälen zwar gestiegen. Der Anteil der Kanäle, die länger als neun Monate aktiv bleiben, hat sich in den Jahren 2023 und 2024 im Vergleich zu 2021 und 2022 mehr als verdreifacht. Gleichzeitig hat Telegram seit Oktober 2024 seine Aktivitäten zur Blockierung solcher Kanäle deutlich verstärkt.
Einer der Gründe dürfte das Verfahren der französischen Behörden gegen Pawel Durow und seine Verhaftung im August sein. Die monatlichen Sperrzahlen entsprechen heute den früheren Höchstständen aus dem Jahr 2023 oder übertreffen diese sogar. Die Entwicklung hat sich im Jahr 2025 fortgesetzt. In der Kombination erschwert dies schädliche Aktivitäten, da sie sich über längere Zeiträume hinweg schlechter aufrechterhalten lassen.
Die Vorzüge von Telegram haben für Kriminelle abgenommen
„Für viele Cyberkriminelle ist Telegram ein bequemes Tool für diverse schädliche Machenschaften, aber das Verhältnis von Risiko und Ertrag verschiebt sich“, erklärt Vladislav Belousov, Digital-Footprint-Analyst bei Kaspersky. „Kanäle bleiben heute zwar oft länger online als noch vor einigen Jahren, doch die deutlich aggressivere Blockierung macht es schwer, cyberkriminelle Aktivitäten zu planen. Wenn ein Storefront-Kanal oder ein schädlicher Service ohne Vorwarnung verschwindet und kurz nach seinem Wiederauftauchen erneut blockiert wird, lässt sich darauf nur schwer ein verlässliches Geschäft aufbauen. Die Tendenz, dass Untergrund-Communitys nach Alternativen suchen, ist eine direkte Reaktion auf diesen Druck.“
