Telegram: Sitzung beenden geht nicht, und der Grund steht in Telegrams eigener Doku
Wer eine fremde Sitzung sofort nach der Anmeldung beenden will, bekommt einen Fehler. Das ist kein Bug, sondern eine Sperre von 24 Stunden. Was daraus für die Reihenfolge folgt, und wie das Löschen wirklich läuft.
Michael Chen
„telegram sitzung beenden geht nicht“ ist ein deutscher Suchvorschlag, und anders als bei den meisten solcher Sätze gibt es dafür eine dokumentierte, eindeutige Ursache. Sie steht in der Schnittstellendokumentation von Telegram, sie ist keine Störung, und sie ändert die Reihenfolge, in der man ein Konto sinnvoll absichert.
Die Sperre von 24 Stunden
Telegram lässt eine Sitzung eine andere Sitzung erst dann abmelden, wenn sie selbst mindestens 24 Stunden alt ist. Das gilt für beide Wege gleichermaßen: für das einzelne Gerät in der Liste und für „alle anderen Sitzungen beenden“. Die Schnittstelle gibt in beiden Fällen denselben Fehler zurück, mit der Begründung, dass Sie andere Sitzungen nicht abmelden können, solange seit der Anmeldung der aktuellen Sitzung weniger als 24 Stunden vergangen sind.
Der Sinn dahinter ist leicht zu sehen, sobald man ihn einmal umdreht. Wäre es anders, könnte jemand, der sich gerade mit einem abgefangenen Code angemeldet hat, in derselben Minute den echten Inhaber von allen seinen Geräten werfen und ihn aus dem eigenen Konto aussperren. Die Sperre kostet den Angreifer einen Tag, und in diesem Tag sieht der Inhaber die fremde Sitzung in seiner Liste und kann selbst handeln, weil seine Sitzung alt genug ist.
Für Sie heißt das: Auf einem Gerät, auf dem Sie sich gerade erst angemeldet haben, ist der Knopf wirkungslos. Auf Ihrem seit Monaten laufenden Telefon funktioniert er sofort. Wenn also etwas beendet werden muss, tun Sie es von dem Gerät aus, das am längsten angemeldet ist, nicht von dem, das Sie eben für diesen Zweck eingerichtet haben.
Was daraus für ein übernommenes Konto folgt
Zahlreiche Anleitungen, auch englischsprachige, empfehlen bei einem übernommenen Konto, unmittelbar nach der Anmeldung alle fremden Geräte abzumelden. In genau diesem Moment geht das nicht, und wer es trotzdem versucht, hält den Fehler für ein Problem der Lieferung.
Die Reihenfolge, die tatsächlich funktioniert, sieht deshalb anders aus:
- Sofort: Geräteliste öffnen und aufschreiben, was dort steht. Anzahl, Gerätetyp, ungefähre Region, letzte Aktivität. Das ist die Bestandsaufnahme, die Sie später brauchen, und sie ist auch die Grundlage einer Reklamation, falls dort ein Dutzend fremder Sitzungen liegt.
- Sofort: Das Cloud-Passwort auf ein eigenes ändern und eine eigene Wiederherstellungsadresse eintragen. Das geht ohne Wartezeit und schließt neue fremde Anmeldungen aus.
- Nach 24 Stunden: Von demselben Gerät aus die fremden Sitzungen einzeln beenden.
Wichtig ist der zweite Schritt, weil er das leistet, was der dritte am ersten Tag nicht kann. Eine bestehende Sitzung endet durch eine Passwortänderung nicht, das stimmt. Aber eine neue Anmeldung mit der Telefonnummer verlangt nach der Änderung Ihr Passwort, und damit ist der Weg zu, auf dem sonst jederzeit eine weitere Sitzung dazukommen könnte.
Das prüfbare Fenster dafür ist knapp: Das Garantiefenster eines Angebots läuft ab der Lieferung, nicht ab der Zahlung, und wie lang es ist, entscheidet der Verkäufer je Angebot. Die Bestandsaufnahme und die Passwortänderung gehören in dieses Fenster. Das Abmelden der Fremdgeräte fällt naturgemäß dahinter, und das ist ein weiterer Grund, den Zustand der Liste am ersten Tag schriftlich zu haben.
Die Geräteliste lesen, ohne sich zu erschrecken
Die Liste steht in den Einstellungen unter Geräte beziehungsweise Datenschutz und Sicherheit, je nach Client. Drei Dinge werden dort regelmäßig missverstanden.
Die Ortsangabe ist grob und stammt aus der Adresse. Sie wird aus der IP-Adresse abgeleitet, nicht aus dem Standort des Geräts. Ein Mobilfunkzugang, der über einen zentralen Knoten geführt wird, zeigt regelmäßig eine andere Stadt an, gelegentlich ein anderes Land. Eine unerwartete Stadt allein ist noch kein Befund.
Der Web-Client zählt als eigene Sitzung, und zwar je Browser. Wer sich einmal im Browser angemeldet hat, findet dort auf Dauer einen Eintrag, den er nicht mehr zuordnet. Das ist der häufigste harmlose Fund.
Eine Sitzung endet nicht dadurch, dass die App gelöscht wird. Das alte Telefon, das seit einem Jahr in der Schublade liegt, steht weiter in der Liste und ist weiter berechtigt. Deswegen lohnt sich die Durchsicht auch ohne konkreten Verdacht, und deswegen ist ein Eintrag mit langem Stillstand kein Beweis für einen Angriff, sondern meistens einfach ein altes Gerät.
Was dagegen wirklich auffällt: ein Eintrag, dessen letzte Aktivität aktuell ist, während Sie das betreffende Gerät gerade nicht benutzen. Nicht der fremde Ort, sondern die gleichzeitige Aktivität ist das Signal.
Löschen: nicht in der App, und mit einer Frist
Die deutschen Vorschläge zum Löschen zielen auf „link“ und „ohne app“, und das trifft die Sache. Auf den meisten Clients gibt es keinen Löschknopf in der App. Der Vorgang läuft über die Deaktivierungsseite von Telegram im Browser, dort mit Telefonnummer und einem Bestätigungscode, der in die App zugestellt wird. „zu viele Versuche“, der andere deutsche Vorschlag, entsteht fast immer dort: mehrere Anläufe kurz hintereinander sperren den Vorgang zeitweise, und die einzige Abhilfe ist Warten.
Wie schnell gelöscht wird, hängt am Passwort. Ohne zweistufige Bestätigung, oder wenn Sie das richtige Passwort angeben, wird sofort gelöscht. Ist ein Passwort gesetzt und unbekannt, greift eine Frist von sieben Tagen, sofern das Passwort älter als sieben Tage ist und zuletzt innerhalb dieser Woche benutzt wurde. In dieser Frist bekommt der eigentliche Inhaber eine Nachricht mit einem Bestätigungslink und kann die Löschung abwenden.
Zwei Dinge vorher erledigen, weil sie nachher nicht mehr gehen. Erstens: die Inhaberschaft an Kanälen und Gruppen an jemand anderen übertragen. Sie fällt sonst mit dem Konto weg. Zweitens: Chats exportieren, wenn Sie etwas davon behalten wollen, denn es liegt nicht lokal, sondern in der Wolke, und die geht mit.
Eine Alternative, die viele übersehen: Telegram löscht ein Konto ohnehin selbsttätig nach einer wählbaren Zeit ohne Anmeldung. Wer sich nur von einem Nebenkonto trennen will, kann diese Frist auf den kürzesten Wert stellen und es einfach liegen lassen. Beachten Sie dabei, dass jede Anmeldung die Uhr wieder auf null stellt.
Wenn Sie die Nummer behalten und das Konto neu wollen
„account löschen und neu anmelden“ ist ein eigener deutscher Vorschlag, und der Weg funktioniert: dieselbe Telefonnummer lässt sich nach der Löschung wieder registrieren. Was Sie dabei bekommen, ist ein leeres Konto, kein zurückgesetztes. Verläufe, Mitgliedschaften, Inhaberschaften und der Ruf, den die Nummer bei den Sperrmechanismen von Telegram hatte, sind entweder weg oder eben nicht: eine Nummer, die vorher auffällig war, ist es nach der Neuanmeldung tendenziell weiterhin, weil die Nummer dieselbe ist.
Deshalb löst dieser Weg zwei verschiedene Probleme unterschiedlich gut. Gegen ein vollgelaufenes, unübersichtliches Konto hilft er zuverlässig. Gegen Einschränkungen, die an der Nummer hängen, hilft er kaum. Wer aus dem zweiten Grund neu anfangen will, braucht eine andere Nummer, und die Angebote auf dem Regal für Telegram-Konten unterscheiden sich genau darin erheblich; welche Angaben dort was bedeuten, steht im Vergleich der Kontotypen.
