Telegram Update: Widgets-Sicherheitsfix richtig installieren

Welche Telegram-Version behebt die Widget-Lücke?

Der Widgets-Fix steckt in Telegram für Android 13.2.2 oder neuer und in Telegram Desktop 7.4.3 oder neuer; auf iPhone, iPad und Mac installieren Sie die neueste Version aus dem App Store bzw. Mac App Store, weil kein genauer reparierter Build veröffentlicht wurde ^[1][2]. Diese Nummern stammen aus Telegrams Open-Source-Code und Release-Listen, ausgewertet von unabhängigen Berichterstattern, nicht aus einer Telegram-Sicherheitsmeldung: Eine solche gibt es nicht ^[2][7].

Die Lücke steckte in QuickJS, der kleinen JavaScript-Engine, die die interaktiven Widgets ausführt, die Telegram am 9. November 2026 mit Bot API 10.4 für Bots eingeführt hat ^[9]. Am 11. November veröffentlichte das Sicherheitsunternehmen V12 ein Video, in dem eine Widget-Nachricht auf einem Android-Telefon den Taschenrechner startete, das übliche Zeichen dafür, dass fremder Code auf einem Gerät läuft ^[1]. Gram News ordnete diesen Bericht einem QuickJS-Fix vom 10. November zu, 21 Minuten vor Pavel Durovs Ankündigung, Widgets für alle Bots zu öffnen, und schreibt, der Fix sei in Telegram für Android 13.2.2 (Build 7303) ausgeliefert worden ^[1].

Telegram Desktop brauchte zwei Anläufe. Neurocrat, das die Builds verglichen hat, berichtet, dass Version 7.4.2 vom 11. November fünf andere Speicherkorrekturen enthielt, nicht aber den entscheidenden Patch, der erst mit 7.4.3 kam ^[2]. Die öffentliche Release-Liste zeigt 7.4.3 am 12. November und 7.4.4 am 13. November, beide nur mit „Bug fixes and other minor improvements“ beschrieben ^[3].

Für Apple-Geräte ist das Bild weniger genau. Das Archiv der Forscher nennt Telegram für iOS 13.2 und Telegram für macOS 13.1 unter den betroffenen Builds und erklärt, die veröffentlichten Fehler seien in aktuellen Builds behoben ^[8]. Neurocrat fand für iPhone und Mac keine Build-Nummern mit den Patches ^[2]. Die praktische Regel ist einfach: Egal welches Gerät Sie nutzen, die neueste offizielle Version ist die richtige.

Diese Anleitung ist die Schritt-für-Schritt-Ergänzung zum Pouyam-Ratgeber Telegram Widgets Flaw: Is Telegram Safe and How to Update, der die Lücke selbst und den Streit über ihre Gefährlichkeit erklärt.

Wie prüfe ich, welche Telegram-Version ich habe?

Unter Android steht die Versionsnummer ganz unten im Einstellungsbildschirm von Telegram; auf anderen Geräten finden Sie sie in den Einstellungen der App oder in den App-Informationen des Systems ^[1]. Vergleichen Sie sie mit der Tabelle unten. Ist Ihre Nummer niedriger als die angegebene, aktualisieren Sie, bevor Sie einen Chat mit einem Bot öffnen.

In Telegram Desktop für Windows und Linux öffnen Sie Einstellungen und dann Erweitert: Der Bereich zu Version und Updates zeigt die installierte Version und lässt Sie nach einer neuen suchen. Auf iPhone oder iPad zeigt das System die Version einer App unter Einstellungen, Allgemein, iPhone-Speicher (bzw. iPad-Speicher) und dann Telegram. Auf dem Mac öffnen Sie das App-Menü und wählen „Über Telegram“.

Zwei Details sorgen oft für Verwirrung. Erstens sind Build-Nummern und Versionsnummern bei Android verschiedene Dinge: Gram News nennt die reparierte Version 13.2.2 mit der Build-Nummer 7303 in Klammern ^[1]. Das Archiv der Forscher bezeichnet ältere Android-Builds mit längeren Build-Codes wie 72889, 72929, 73029 und 73039 ^[8]. Zweitens gibt es zwei Telegram-Apps für den Mac: Telegram für macOS aus dem Mac App Store, das die Forscher in der betroffenen Version 13.1 nennen, und Telegram Desktop, dieselbe App wie unter Windows, die der Nummerierung 7.4.x folgt ^[3][8].

Eine Versionsprüfung lohnt sich auch dann, wenn Ihr Smartphone Apps automatisch aktualisiert. Automatische Updates können sich durch wenig Speicher, Energiesparmodus, eine getaktete Verbindung oder ein abgemeldetes Store-Konto um Tage verzögern.

Wie aktualisiere ich Telegram unter Android?

Aktualisieren Sie Telegram über Google Play oder – falls Sie es dort installiert haben – über Telegrams eigene Website und stellen Sie sicher, dass danach Version 13.2.2 oder höher angezeigt wird ^[1]. Telegram erklärte am 11. November 2026, der Android-Fix sei „an alle Nutzer verteilt“ worden; das Update sollte im Store also bereits angeboten werden ^[10].

1. Öffnen Sie Google Play, tippen Sie auf Ihr Profilbild, dann auf „Apps und Gerät verwalten“, und suchen Sie Telegram unter den verfügbaren Updates. Tippen Sie auf „Aktualisieren“.
2. Wenn Sie Telegram über die APK von telegram.org installiert haben, laden Sie die neueste APK von derselben offiziellen Seite herunter und installieren Sie sie über die alte; Ihre Chats bleiben erhalten.
3. Öffnen Sie Telegram, gehen Sie zu den Einstellungen und scrollen Sie nach unten, um die Versionsnummer abzulesen ^[1].
4. Starten Sie die App einmal neu, damit die neue Widget-Engine verwendet wird.

Gram News weist darauf hin, dass die fünf weiteren Engine-Korrekturen aus widget-sandbox 0.6.4, die später am 10. November erschienen, offenbar nicht in 13.2.2 selbst eingebunden sind ^[1][5]. Das ist ein Grund, über die Mindestversion hinaus weiter zu aktualisieren: Jeder neuere Build kann mehr der Engine-Korrekturen enthalten, die in Telegrams öffentlichem Änderungsprotokoll stehen ^[5].

Meiden Sie APK-Downloadseiten, modifizierte Clients und inoffizielle „Plus“- oder „Gold“-Versionen. Sie werden nicht nach Telegrams Zeitplan aus dessen aktuellem Code gebaut; ein Fix, der die offizielle App erreicht, kommt dort womöglich spät oder nie an. Der Pouyam-Ratgeber Telegram or WhatsApp for Private Chats in Iran? Encryption and Unofficial App Risks erklärt, warum inoffizielle Versionen schon für sich ein Sicherheitsrisiko sind.

Wie aktualisiere ich Telegram Desktop unter Windows und Linux?

Öffnen Sie Einstellungen und dann Erweitert und suchen Sie im Bereich Version und Updates nach einem Update, oder laden Sie den neuesten Build von telegram.org herunter; Sie brauchen 7.4.3 oder neuer, und 7.4.4 ist mit Stand 15. November 2026 die neueste Version ^[2][3]. Die Desktop-App gehörte in Version 7.4.0 zu den Clients, die die Forscher als betroffen aufgeführt haben ^[8].

1. Öffnen Sie in Telegram Desktop das Menü, dann Einstellungen und Erweitert.
2. Schalten Sie automatische Updates ein, falls die Option aus ist, und wählen Sie dann die Suche nach Updates. Wenn der Download fertig ist, starten Sie Telegram auf Nachfrage neu.
3. Prüfen Sie die Versionsnummer im selben Bereich erneut. Sie sollte 7.4.3 oder höher lauten ^[3].
4. Haben Sie Telegram über den Microsoft Store, einen Linux-Paketmanager, Flatpak oder Snap installiert, aktualisieren Sie es über denselben Weg; diese Builds können etwas später kommen als die Veröffentlichung auf GitHub ^[3].

Windows-Nutzer sollten diese Woche einen zusätzlichen Schritt beachten. Am 13. November behaupteten die Forscher von V12 einen weiteren Weg zur Codeausführung auf dem von ihnen so genannten gepatchten Windows-Client; die Behauptung stammt aus einem einzigen Beitrag, und in den geprüften Quellen fand sich keine unabhängige Bestätigung ^[11]. Telegram Desktop 7.4.4 folgte später am 13. November ohne ausführliche Hinweise ^[3]. Solange diese Frage offen ist, ist der neueste Build der einzige Schutz, den gewöhnliche Nutzer haben.

Wenn Sie Telegram auf einem Arbeitsrechner nutzen, den Sie nicht selbst aktualisieren können, bitten Sie Ihre IT-Abteilung, 7.4.4 oder neuer zu verteilen, und öffnen Sie bis dahin auf diesem Gerät keine Chats mit Bots.

Wie aktualisiere ich Telegram auf iPhone, iPad und Mac?

Installieren Sie das neueste Telegram aus dem App Store oder Mac App Store; laut den Forschern sind die Fehler, die sie in Telegram für iOS 13.2 und Telegram für macOS 13.1 gefunden haben, in aktuellen Builds behoben, eine genaue reparierte Build-Nummer ist aber nicht öffentlich ^[2][8]. Weder Telegram noch die unabhängigen Berichte nannten eine sichere Mindestversion für Apple-Geräte, und CryptoSlate stellt fest, dass das Forschungsarchiv nicht für jeden Client eine solche festlegt ^[2][4].

1. iPhone und iPad: Öffnen Sie den App Store, tippen Sie oben auf Ihr Accountbild, scrollen Sie zur Liste der Updates und tippen Sie neben Telegram auf „Aktualisieren“. Damit Sie das künftig nicht mehr tun müssen, aktivieren Sie in den App-Store-Einstellungen automatische App-Updates.
2. Mac, Telegram für macOS: Öffnen Sie den Mac App Store, wählen Sie „Updates“ und aktualisieren Sie Telegram.
3. Mac, Telegram Desktop: Das ist dieselbe App wie unter Windows; aktualisieren Sie sie über Einstellungen, Erweitert, und prüfen Sie, dass 7.4.3 oder neuer angezeigt wird ^[3].
4. Schließen Sie die App nach dem Update vollständig und öffnen Sie sie erneut.

Meldet der App Store, Telegram sei aktuell, haben Sie bereits den neuesten öffentlichen Build. Mehr können gewöhnliche Nutzer nicht installieren; der verbleibende Schutz ist Ihr Verhalten: Starten Sie keine Bots, die Sie nicht kennen ^[6].

Wer stärkeren Schutz braucht, etwa Journalisten und Aktivisten, sollte auch iOS auf dem iPhone aktuell halten. Ein Update des Betriebssystems begrenzt, was ein App-Fehler erreichen kann, gleich in welchem Messenger er steckt.

Was hat sich in Telegram für Android 13.2.2 geändert?

Neben dem Engine-Fix verlagert Telegram für Android 13.2.2 den gesamten Widget-Code in einen separaten, abgeschotteten Prozess; ein künftiger Fehler dieser Art würde damit an einer Stelle landen, die keinen Zugriff auf Ihr Konto, Ihre Chats oder Schlüssel hat ^[1]. Laut Gram News berührt der Release-Commit 96 Dateien und etwa 6.800 Zeilen, das meiste davon für diese neue Grenze ^[1].

Nach der Dokumentation im Code des Clients, wie Gram News sie zusammenfasst, führt der neue Prozess namens :widgets das JavaScript des Widgets, seinen Validator und seinen Renderer aus ^[1]. Er hat keine Android-Berechtigungen, kein Netzwerk und keinen Zugriff auf die Dateien der App ^[1]. Der Hauptprozess von Telegram lädt die Engine-Bibliothek überhaupt nicht mehr, und alles, was der Widget-Prozess zurückmeldet, gilt als nicht vertrauenswürdig und wird erneut geprüft – erlaubt ist zum Beispiel ein Link pro echtem Tippen ^[1].

Darüber liegt ein Systemaufruf-Filter namens seccomp. Er läuft vorerst überwiegend im Protokollmodus und zeichnet verbotene Aufrufe auf, statt sie zu blockieren, doch das Starten von Programmen und das Erzeugen neuer Prozesse werden bereits abgelehnt ^[1]. Ein Prozess bedient alle Widgets statt eines Prozesses pro Bot; laut Gram News wurde ein eigener Prozess pro Bot verworfen, weil jeder etwa 25 MB Speicher belegen würde ^[1].

Das ist wichtig dafür, wie viel die Versionsnummer schützt. Vor der Änderung wies der Forscher Joel Eriksson darauf hin, dass die Engine im Telegram-Prozess selbst lief, sodass ein Engine-Exploit die Rechte der App erhielt ^[7]. Das Archiv der Forscher meldet Codeausführung auf App-Ebene bei einigen älteren Android-Builds, bei späteren Builds wie 72979 und 72989 aber Ergebnisse, die in einem isolierten Widget-Prozess eingeschlossen blieben ^[4]. Kurz gesagt: Neuere Builds entfernen die veröffentlichten Fehler und begrenzen zugleich den Schaden, den ein neuer anrichten könnte.

Können Bots nach dem Fix noch Widgets senden?

Vorerst nicht: Am 13. November 2026 bestätigte ein Mitwirkender im Bot-API-Repository von Telegram, dass allgemeine Bots keine Widgets verwenden dürfen, auch nicht in privaten Chats ^[4]. Entwickler, die zuvor Widgets gesendet hatten, erhielten laut CryptoSlate die Fehlermeldung INPUT_MEDIA_WIDGET_NOT_ALLOWED ^[4].

Telegram-Gründer Pavel Durov sagte am 13. November: „No one could be hacked just by receiving a message“ (niemand könne allein durch den Empfang einer Nachricht gehackt werden), ein Nutzer habe „had to actively start a third-party service first“, und „Even that is fully patched server-side“ ^[6]. Die serverseitige Sperre und seine Aussage weisen in dieselbe Richtung: Laut Durov setzte der Weg einen Drittanbieter-Dienst voraus, den der Nutzer zuvor gestartet hatte ^[4][6].

Das macht das App-Update nicht überflüssig. CryptoSlate merkt an, dass die Sperre offenlässt, wie bereits zugestellte Widgets angezeigt werden, warum der Zugang eingeschränkt wurde und wann er zurückkehren könnte ^[4]. Wenn Widgets wieder für Bots geöffnet werden, enthält nur eine aktualisierte App die reparierte Engine. Widget-Code kann außerdem mehr als Inhalte anzeigen: Telegrams dokumentiertes Design erlaubt Widgets, die TON-Wallet-Karte eines Nutzers abzufragen oder um mit der Wallet signierte Daten zu bitten – ein weiterer Grund, den Client aktuell zu halten ^[4].

Auch der gemeinsame Widget-Code ändert sich weiter. Telegrams Projekt widget-sandbox veröffentlichte am 10. November Version 0.6.4 mit fünf Korrekturen der Speichersicherheit und am 12. November Version 0.6.5, die die Verschachtelungstiefe der Elemente eines Widgets auf 1.024 Ebenen begrenzt ^[5]. Jeder Client übernimmt diese Änderungen erst mit einer neuen App-Version ^[5].

Was tun, wenn ich Telegram nicht sofort aktualisieren kann?

Wenn Sie die reparierte Version noch nicht installieren können, öffnen Sie keine Chats mit Bots, die Sie nicht kennen, und starten Sie keinen neuen Bot, bis Sie aktualisiert haben ^[1][6]. Gram News rät, Chats zu meiden, in denen unbekannte Bots Widgets senden, bis die App aktualisiert ist, weil der Code eines Widgets läuft, sobald seine Sprechblase auf dem Bildschirm erscheint ^[1].

• Prüfen Sie zuerst den Speicher: Ein volles Smartphone ist der häufigste Grund, warum ein Update unbemerkt scheitert. Schaffen Sie Platz und versuchen Sie es erneut.
• Wenn Google Play auf Ihrem Smartphone oder in Ihrem Land nicht verfügbar ist, nutzen Sie die offizielle APK von telegram.org statt einer Spiegelseite.
• Auf einem gemeinsam genutzten oder dienstlichen Computer, den Sie nicht aktualisieren können, nutzen Sie Telegram stattdessen auf einem aktualisierten Smartphone und melden die alte Desktop-Sitzung ab.
• Öffnen Sie Einstellungen und dann Geräte und beenden Sie jede Sitzung, die Sie nicht kennen. Das repariert die Engine nicht, begrenzt aber den Schaden, falls ein Konto auf anderem Weg bereits offenlag.
• Aktivieren Sie die zweistufige Bestätigung mit einem starken Passwort, damit ein gestohlener Anmeldecode allein nicht reicht, um das Konto zu übernehmen.

Stand 15. November 2026 sagt CryptoSlate, die Demonstrationen der Forscher belegten weder gestohlene Werte noch eine weit verbreitete böswillige Ausnutzung, und die Forscher erklären, ihre veröffentlichten Fehler hätten ältere Builds betroffen, die in den aktuellen Builds inzwischen behoben sind ^[4][8]. Das ist beruhigend, aber keine Garantie, denn Telegram hat nicht gesagt, ob die Lücke vor dem Fix ausgenutzt wurde ^[7].

Wenn Sie glauben, dass Ihr Konto übernommen wurde, folgen Sie dem Pouyam-Ratgeber WhatsApp or Telegram Account Hacked? How to Recover It and Lock It Down. Falls Sie beim Absichern Ihr Cloud-Passwort vergessen haben, lesen Sie Forgot Your Telegram Two-Step Password? Recovery With or Without Email.