Zweistufige Bestätigung bei Telegram: drei Namen, ein Passwort, und was es nicht kann

Telegram nennt eine einzige Funktion je nach Stelle „zweistufige Bestätigung“, „Cloud-Passwort“ oder schlicht 2FA. Das klingt nach einer Kleinigkeit, hat aber eine praktische Folge: Wer auf Deutsch nach der Sache sucht, landet je nach Wortwahl in einer anderen Welt. „zweistufige Bestätigung“ führt zu deutschen Anleitungen, „2fa“ führt zu englischsprachigen Foren, und „zwei Schritt Verifizierung“, die naheliegende wörtliche Übersetzung, führt zu gar nichts. Deshalb zuerst die Zuordnung, dann die Sache.

Ein Passwort, das kein Anmeldepasswort ist

Der häufigste Denkfehler steckt schon im Wort Passwort. Bei Telegram melden Sie sich nicht mit Benutzername und Passwort an, sondern mit Ihrer Telefonnummer und einem Code. Das Cloud-Passwort kommt danach, als zweiter Schritt, und nur wenn es gesetzt ist.

Daraus folgt der ganze Nutzen und die ganze Grenze der Funktion:

• Es schützt gegen jemanden, der Ihren Code hat. Genau dafür ist es gebaut. Eine abgefangene SMS, eine weitergegebene Nummer, eine übernommene Rufnummer beim Anbieter: all das reicht ohne das Passwort nicht mehr aus.
• Es schützt nicht gegen jemanden, der bereits angemeldet ist. Eine bestehende Sitzung wird durch das Setzen oder Ändern des Passworts nicht beendet. Das ist kein Versäumnis, sondern die logische Folge daraus, dass das Passwort nur beim Hinzukommen eines Geräts abgefragt wird.

Wer also glaubt, mit einem neuen Passwort die Altlasten eines Kontos loszuwerden, irrt sich. Das eine hilft gegen künftige Anmeldungen, das andere gegen bestehende, und beides muss getrennt erledigt werden. Warum das Abmelden fremder Geräte am ersten Tag zusätzlich nicht funktioniert, steht im Beitrag zu Sitzungen.

Setzen und ändern

Beides sitzt in den Einstellungen unter Datenschutz und Sicherheit. Drei Dinge, die dort regelmäßig schiefgehen:

Der Hinweis, den kaum jemand ausfüllt. Telegram bietet beim Anlegen einen Erinnerungshinweis an. Er ist optional, wird meist übersprungen, und er ist der einzige Anhaltspunkt, den Sie in einem halben Jahr noch haben. Formulieren Sie ihn so, dass er Ihnen etwas sagt und einem Fremden nichts.

Die Wiederherstellungsadresse gehört in denselben Vorgang. Ohne sie dauert ein Zurücksetzen sieben Tage, mit ihr eine Minute. Der Unterschied ist so groß, dass die Adresse kein Zubehör ist, sondern Teil der Einrichtung; die Einzelheiten stehen im Beitrag zur hinterlegten Adresse.

Nach dem Setzen einmal neu anmelden, bevor Sie etwas anderes schließen. Und zwar auf einem zweiten Gerät, nicht auf demselben. Ein Tippfehler in einem Passwort, das Sie ab jetzt nur noch bei neuen Anmeldungen brauchen, fällt sonst erst in dem Moment auf, in dem er am teuersten ist.

Zum technischen Unterbau, weil er einen praktischen Punkt hat: Telegram speichert nicht das Passwort, sondern einen daraus abgeleiteten Wert, gebildet mit PBKDF2 über hunderttausend Runden SHA-512, und prüft es über ein Verfahren, bei dem das Passwort den Server nie erreicht. Praktisch heißt das: Es gibt niemanden bei Telegram, der es Ihnen sagen könnte. Anfragen an den Support in dieser Sache laufen ins Leere, und jeder, der behauptet, ein solches Passwort auslesen zu können, verkauft etwas anderes.

Deaktivieren, der zweite große Teil der deutschen Nachfrage

„deaktivieren“ steht direkt neben „vergessen“ in den Vorschlägen, und die beiden hängen zusammen: Wer das Passwort kennt, schaltet die Funktion in denselben Einstellungen einfach ab. Wer es nicht kennt, kann sie nicht abschalten, sondern nur zurücksetzen, und dafür gelten die Fristen aus dem verlinkten Beitrag.

Es gibt einen Fall, in dem das Abschalten vernünftig ist, und er wird selten genannt: ein Konto, das mehrere Personen betreiben, bei dem das Passwort ohnehin herumgereicht wird. Ein Geheimnis, das vier Leute kennen, kostet nur noch Ärger, ohne zu schützen. Die ehrliche Lösung ist dann nicht das gemeinsame Passwort, sondern ein Konto pro Person und ein Bot für die gemeinsame Aufgabe.

Nicht vernünftig ist das Abschalten dagegen bei einem Konto, das an einer Nummer hängt, die Sie nicht dauerhaft kontrollieren, etwa einer beruflichen oder einer gemieteten. Dort ist das Passwort die einzige Sperre zwischen der Nummer und dem Konto.

Anmeldung über API ID und Hash

„api id and hash“ ist einer der stärksten deutschen Vorschläge zum Stichwort Telegram-API, und dahinter steht eine Anmeldeform, die neben der App existiert und anders funktioniert.

Eine solche Anmeldung braucht zwei verschiedene Dinge, die oft verwechselt werden. Das Paar aus API ID und Hash identifiziert die Anwendung, nicht das Konto; man erzeugt es einmal im Entwicklerbereich von Telegram. Die eigentliche Berechtigung liegt in dem, was daraus entsteht, wenn sich ein Konto damit erstmals anmeldet: eine gespeicherte Autorisierung, die ohne weitere Codeeingabe weiterläuft.

Vier Punkte, die daraus folgen und die in der Praxis Geld kosten:

1. Diese Autorisierung erscheint in Ihrer Geräteliste wie jedes andere Gerät. Ein Eintrag mit einem Anwendungsnamen, den Sie nicht zuordnen können, ist deshalb kein Rätsel, sondern in aller Regel genau das.
2. Sie überlebt eine Passwortänderung. Aus demselben Grund wie jede andere Sitzung.
3. Sie ist so viel wert wie das Konto selbst. Wer sie hat, handelt als das Konto, ohne Nummer, ohne Code und ohne Passwort. Behandeln Sie eine solche Datei nicht wie eine Konfiguration, sondern wie den Schlüssel.
4. Wer sie abmeldet, hält damit auch die eigene Automatisierung an. Erst die Ersatzberechtigung erzeugen, dann die alte beenden, nicht umgekehrt.

Und eine Abgrenzung, die häufig fehlt: Für einen Bot brauchen Sie das alles nicht. Ein Bot bekommt vom BotFather ein eigenes Token und hängt an keinem Nutzerkonto; der Weg dorthin steht im Beitrag zum Bot. Der Umweg über ein Nutzerkonto ist nur nötig, wenn etwas als Person auftreten muss, und dieser Unterschied entscheidet auch darüber, wie streng Telegram das Verhalten beurteilt.

Ein Wort zum Authenticator

„2fa authenticator“ und „google authenticator“ stehen in den Vorschlägen, und beides führt bei Telegram in die Irre. Die zweistufige Bestätigung von Telegram ist ein Passwort, kein zeitbasierter Code. Es gibt hier nichts, was man in eine Authenticator-App einträgt.

Sechsstellige Codes aus einer solchen App begegnen Ihnen bei Telegram nur an einer Stelle, nämlich bei anderen Konten, die Sie über Telegram verwalten, und bei Geheimnissen aus einer Übernahme. Wie diese Codes entstehen und warum eine falsch gestellte Uhr sie unbrauchbar macht, steht im Beitrag zum TOTP-Generator.