Is Telegram veilig in 2026? Versleuteling, politie, hackers

Telegram noemt zichzelf een berichtenapp "die veel waarde hecht aan veiligheid en snelheid", en meer dan een miljard mensen gebruiken het. Of het veilig is, hangt af van het soort chat waarin je zit, en de meeste mensen zitten nooit in het versleutelde soort. Alles hieronder komt uit de eigen veelgestelde vragen en het privacybeleid van Telegram, gepubliceerd cryptografisch onderzoek, cijfers over gegevensverstrekking tot halverwege 2026 en de beveiligingsupdates die Telegram tot en met september 2026 uitbracht.

Is Telegram veilig?

Telegram is veilig tegen vreemden op je netwerk, maar de gewone chats zijn niet end-to-end versleuteld. Berichten, groepen en kanalen worden op de servers van Telegram opgeslagen, en Telegram heeft de sleutels. Alleen geheime chats, die je met de hand start met één persoon op één apparaat, zijn end-to-end versleuteld. Bij een geldig gerechtelijk bevel kan Telegram je IP-adres en telefoonnummer afgeven.

Voor gewone gesprekken en openbare kanalen zijn oplichting en accountdiefstal de grootste risico's, en een paar instellingen verkleinen ze allebei. Op een computer werk je Telegram Desktop bij naar versie 7.2.9 of hoger: in 2026 zijn er twee ernstige lekken in Desktop gedicht. Alles wat je niet wilt laten lezen door een bedrijf of een rechter, hoort niet in een gewone Telegram-chat. De inhoud van geheime chats is buiten bereik van Telegram, met beperkingen op waar ze werken.

Is Telegram versleuteld? Per soort chat

"Versleuteld" kan twee dingen betekenen. Versleuteling tussen jou en een server voorkomt dat mensen op de wifi meelezen, maar de server kan het bericht lezen. End-to-end-versleuteling betekent dat alleen de mensen in het gesprek de sleutels hebben.

De veelgestelde vragen van Telegram zeggen het duidelijk: "Bij cloudchats (privégesprekken en groepschats) wordt het verkeer tussen de server en gebruiker versleuteld. Bij geheime chats is er ook een extra laag versleuteling tussen eindgebruikers."

Drie beperkingen van geheime chats doen er in de praktijk toe:

• Je start ze met de hand. Je opent het profiel van een contact, tikt op "..." en kiest Geheime chat starten. Niets schakelt vanzelf over op een geheime chat.
• Ze zijn één op één. Er is geen geheime chat voor groepen of kanalen.
• Ze zitten vast aan één apparaat. Telegram zegt dat een geheime chat "alleen op dat apparaat beschikbaar" is, en uitloggen wist hem. De mobiele apps en Telegram voor macOS hebben ze. Telegram Desktop, de app die de meeste gebruikers van Windows en Linux draaien, heeft ze niet: het verzoek om de functie staat sinds 2014 open op de issuetracker van het project.

Kan Telegram mijn berichten lezen?

Bij cloudchats heeft Telegram daar de technische mogelijkheid toe, want het slaat de berichten op en heeft de sleutels. Het privacybeleid (in het Engels) beschrijft twee gevallen waarin die mogelijkheid wordt gebruikt: moderatoren "kunnen berichten controleren die aan hen zijn gemeld door de ontvangers ervan", en Telegram "kan ook geautomatiseerde algoritmen gebruiken om berichten in cloudchats te analyseren om spam en phishing te stoppen." Volgens hetzelfde beleid wordt de inhoud van cloudchats niet gebruikt om advertenties te richten.

Telegram verdedigt dit ontwerp door te zeggen dat de gegevens van cloudchats in datacenters in meerdere rechtsgebieden staan en dat "de nodige decoderingssleutels in meerdere delen gesplitst zijn en niet opgeslagen worden in hetzelfde gebied als de gegevens die ermee worden beschermd", zodat er meerdere gerechtelijke bevelen uit verschillende landen nodig zouden zijn om toegang af te dwingen. Dat legt de juridische lat hoger, maar het verandert niet wie de sleutels heeft.

Over geheime chats zegt het beleid: "Er is voor ons of wie dan ook zonder directe toegang tot je apparaat geen manier om te weten welke inhoud in die berichten wordt verstuurd."

Geeft Telegram je gegevens aan de politie of aan overheden?

Ja, accountgegevens. Dit is het deel dat het meest veranderde, en het heeft een datum.

Augustus 2024. Oprichter Pavel Durov werd op het vliegveld Le Bourget bij Parijs gearresteerd en in staat van beschuldiging gesteld in een onderzoek naar criminele activiteiten op het platform en het gebrek aan medewerking van Telegram met de autoriteiten.

September 2024. Telegram herschreef sectie 8.3 van zijn privacybeleid. Die is sindsdien niet veranderd; de laatste wijziging van het beleid, op 21 augustus 2026, ging over advertenties. De oude versie gold alleen voor terreurverdachten. De huidige luidt: "Als Telegram een geldig bevel ontvangt van de bevoegde rechterlijke autoriteiten dat bevestigt dat je een verdachte bent in een zaak over criminele activiteiten die de Servicevoorwaarden van Telegram schenden, voeren we een juridische analyse van het verzoek uit en kunnen we je IP-adres en telefoonnummer aan de bevoegde autoriteiten verstrekken."

De cijfers sindsdien. Telegram publiceert ze alleen via zijn @transparency-bot, land voor land. Voor de Verenigde Staten meldde BleepingComputer (in het Engels) 14 ingewilligde verzoeken over 108 gebruikers van januari tot en met september 2024, en 900 verzoeken over 2.253 gebruikers over het hele jaar. Een door vrijwilligers verzameld archief van de rapporten van de bot (in het Engels), voor het laatst bijgewerkt op 5 oktober 2026, toont voor de VS het volgende:

Wereldwijd telde 404 Media alleen al in de eerste drie maanden van 2025 gegevens van 22.777 gebruikers die werden overgedragen. Het archief wordt door vrijwilligers bijgehouden, dus zie de totalen per land als een minimum.

Wat er niet in die cijfers zit. De veelgestelde vragen van Telegram zeggen: "Tot op de dag van vandaag hebben we 0 bytes aan berichten van gebruikers met derden (waaronder overheden) gedeeld." Wat hierboven is verstrekt, zijn telefoonnummers en IP-adressen, en die zijn genoeg om de houder van een account te identificeren. Volgens het beleid van Telegram kan het IP-adressen, apparaatgegevens en de geschiedenis van gebruikersnamen tot 12 maanden bewaren.

De Franse zaak, stand oktober 2026. Het onderzoek loopt nog. Durov mocht Frankrijk in maart 2025 verlaten, en onderzoekers hieven zijn reisverbod in november 2025 volledig op (in het Engels). In juli 2026 werd hij volgens berichtgeving van AFP voor de vierde keer verhoord door onderzoeksrechters (in het Engels). Zijn advocaten zeggen dat er geen bewijs is voor de beschuldigingen.

Is het eigen versleutelingsprotocol van Telegram veilig?

Telegram gebruikt een eigen protocol, MTProto, waar de meeste apps TLS gebruiken voor de verbinding met de server. De huidige versie is MTProto 2.0, gebouwd op AES-256, SHA-256 en 2048-bit Diffie-Hellman. Het is meer dan eens openbaar onderzocht:

• 2015, Jakobsen en Orlandi. Toonden aan dat de oorspronkelijke MTProto niet voldeed aan een standaarddefinitie van veiligheid (IND-CCA). Ze vonden geen manier om berichten te achterhalen, en MTProto 2.0 verving later het ontwerp dat ze onderzochten.
• 2020, Miculan en Vitacolonna. Controleerden MTProto 2.0 automatisch met de tool ProVerif en bewezen de eigenschappen voor authenticatie, geheimhouding en forward secrecy, maar vonden één theoretische zwakte in de stap waarin sleutels worden vernieuwd.
• 2022, Albrecht, Mareková, Paterson en Stepanovs. "Four Attacks and a Proof for Telegram" (in het Engels), gepresenteerd op het IEEE Symposium on Security and Privacy, vond vier zwakke plekken, waaronder één waarmee een aanvaller op het netwerk berichten in een andere volgorde kon zetten. Telegram loste ze halverwege 2021 op in app-updates. De auteurs schreven dat "voor de meeste gebruikers het directe risico laag is", en bewezen dat het gecorrigeerde protocol een vertrouwelijk kanaal met beschermde integriteit biedt, met kanttekeningen bij de ongebruikelijke bouwstenen.
• 2026, Symbolic Software. Een review die in 2025 werd besteld en in mei 2026 openbaar werd (in het Engels), ontdekte dat de apps voor Android en desktop een langlevende apparaat-ID, auth_key_id, versturen in een vorm die elke waarnemer op het netwerk kan lezen. Het legt geen berichtinhoud bloot, maar een internetprovider of een netwerkwaarnemer op staatsniveau zou er één apparaat mee kunnen volgen over netwerken en locaties heen. Telegram vertelde journalisten dat de ID regelmatig verandert en niets over gebruikers of berichten prijsgeeft. De reviewers betwisten dat voor de versies die ze testten.

Niemand heeft een manier gepubliceerd om Telegram-verkeer te ontsleutelen. De grotere blootstelling is het opslagmodel hierboven.

Is Telegram veilig om te downloaden?

Ja, uit de officiële bronnen: de App Store, Google Play of telegram.org/apps (in het Engels). De apps van Telegram zijn open source, en Telegram ondersteunt reproduceerbare builds (in het Engels), zodat iedereen kan controleren dat de versie in de winkel uit de gepubliceerde code is gebouwd. Telegram X voor Android is ook een officiële app van Telegram.

Het risico zit in kopieën die eruitzien als Telegram. In september 2023 vond Kaspersky Telegram-apps met een trojan op Google Play (in het Engels) die berichten, contacten en bestanden van gebruikers naar de aanvallers kopieerden. Google haalde ze weg. Controleer de naam van de ontwikkelaar voordat je installeert, en sla "snellere" of "ontgrendelde" Telegram-versies van welke site dan ook over.

Is Telegram veilig tegen hackers en oplichters?

De meeste mensen die hun Telegram-account kwijtraken, worden misleid, niet gehackt.

Accountovername. Telegram logt je in met een code die je per sms of in de app krijgt. Wie die code in handen krijgt, door je te phishen of door je telefoonnummer over te nemen, krijgt je cloudchats. De veelgestelde vragen van Telegram zeggen dat inlogcodes binnenkomen in de geverifieerde servicechat met de naam 'Telegram', en: "Deel deze codes nooit met iemand anders, ook niet met een dienstverlener of app."

Nepaccounts en beleggingsfraude. Nepaccounts van de klantenservice, nepbeheerders in cryptogroepen en vacatures die je betalen voor kleine taakjes en daarna om een storting vragen, komen allemaal veel voor. Een vreemde kan je een bericht sturen als hij je nummer heeft, je gebruikersnaam vindt of in een groep met je zit.

Kwaadaardige bestanden. Telegram staat bestanden tot 2 GB toe, en aanvallers maken daar gebruik van. In juli 2024 beschreef ESET "EvilVideo", een exploit waarmee een kwaadaardige Android-app in een chat op een video leek. Telegram dichtte het in versie 10.14.5.

Lekken in Telegram Desktop gedicht in 2026. Twee werden in september en oktober 2026 openbaar. Met het ene kon een bot JavaScript in een chat verstoppen, dat werd uitgevoerd als je een HTML-export van een chat in een browser opende en dat de hele export naar een aanvaller kon sturen; het trof de versies 4.15.1 tot en met 6.9.3 en werd in juli 2026 gedicht in 7.0.1, volgens The Hacker News (in het Engels). Met het andere kon één klik op een speciaal gemaakte link in een browser een Telegram Desktop-account op Windows zonder lokale codevergrendeling overnemen, en het leunde op instellingen waarmee iedereen je aan een groep kon toevoegen; het werd op 17 september 2026 gedicht in versie 7.2.9, volgens Cyber Security News (in het Engels). Daarnaast kopieert macOS-malware waarover in juli 2026 werd bericht de sessiebestanden van Telegram Desktop om elders in te loggen zonder code of wachtwoord voor tweestapsverificatie, en ook dat blokkeert een lokale codevergrendeling. Werk Desktop bij en zet een codevergrendeling aan (stap 2 hieronder).

Privéfoto's. In een gewone chat wordt een foto net als elk ander bericht op de servers van Telegram opgeslagen, en de ontvanger kan hem bewaren of doorsturen. In een geheime chat is hij end-to-end versleuteld en kan hij zichzelf vernietigen, maar Telegram waarschuwt zelf dat er geen waterdichte manier is om screenshots te herkennen.

Kunnen mensen mijn telefoonnummer of locatie zien op Telegram?

Telegram vraagt een telefoonnummer om je aan te melden. Volgens de veelgestelde vragen is "je nummer standaard alleen zichtbaar voor mensen die als contact aan je adresboek zijn toegevoegd." Een aparte instelling bepaalt of iemand die je nummer al heeft, je account daarmee kan vinden, en zo koppelen vreemden nummers aan profielen. Beide staan in stap 3 hieronder. Je weergavenaam, profielfoto's en gebruikersnaam zijn altijd openbaar.

Telegram laat je locatie aan niemand zien, tenzij je die deelt. Een locatie die je in een chat stuurt, wordt volgens sectie 3.5 van het privacybeleid opgeslagen zoals elk ander bericht in die chat, en een live locatie blijft bijwerken voor de mensen met wie je hem deelt tot je stopt. Telegram zelf ziet je IP-adres, dat naar een globaal gebied wijst, en kan dat tot 12 maanden bewaren.

Een controle van twee minuten die je zelf kunt doen

1. Open Instellingen > Apparaten. Elke telefoon, computer en browser die op je account is ingelogd, staat erin. Beëindig elke sessie die je niet herkent.
2. Log op een tweede apparaat in bij Telegram. Je gewone chats verschijnen volledig, want ze stonden altijd al op de server. Een geheime chat ontbreekt, want die stond er nooit.
3. Open de bot @transparency (die gelinkt wordt vanuit sectie 8.3 van het privacybeleid van Telegram) om het rapport over gegevensverstrekking voor je eigen land te zien.

Telegram veiliger maken: 8 instellingen om aan te passen

De namen van instellingen komen uit de Nederlandse veelgestelde vragen en blog van Telegram, stand november 2026. Ze kunnen per platform wat verschillen.

1. Zet tweestapsverificatie aan. Instellingen > Privacy en veiligheid > Tweestapsverificatie. Daarmee komt er een wachtwoord bovenop de inlogcode, dus een gestolen sms is niet genoeg. Voeg een herstel-e-mailadres toe dat je zelf beheert.
2. Zet een codevergrendeling op de app. Die vind je ook onder Instellingen > Privacy en veiligheid. Hij vergrendelt de app zelf op een gedeelde of ontgrendelde telefoon. In Telegram Desktop beschermt hij ook de sessie die op je computer is opgeslagen, en daar leunden het lek met de link op Windows en de diefstal van sessies op macOS hierboven op. Werk de app meteen bij als je daar toch bent.
3. Verberg je nummer. Instellingen > Privacy en veiligheid > Telefoonnummer. Stel in dat niemand je nummer kan zien, en dat alleen je contacten je via je nummer kunnen vinden.
4. Gebruik geheime chats voor alles wat gevoelig is. Profiel van het contact > "..." > Geheime chat starten. Vergelijk de afbeelding van de encryptiesleutel met die van de ander, en stel een zelfvernietigingstimer in.
5. Beperk wat vreemden zien. Bepaal in Privacy en veiligheid wie je laatst gezien-tijd en profielfoto kan zien, wie je kan bellen en wie je aan groepen kan toevoegen.
6. Stel een standaardtimer voor automatisch wissen in. Instellingen > Privacy en veiligheid > Berichten Automatisch Wissen. Nieuwe chats wissen zichzelf dan na de periode die je kiest.
7. Controleer Apparaten elke maand. Instellingen > Apparaten. Je kunt ook een passkey toevoegen onder Privacy en veiligheid > Toegangscodes (zo noemt de Nederlandse Telegram passkeys), en volgens Telegram is dat veiliger dan sms-codes.
8. Ruim gesynchroniseerde contacten op. In de gegevensinstellingen onder Privacy en veiligheid kun je het synchroniseren van contacten stoppen en de contacten verwijderen die al zijn geüpload.

Geen enkele instelling haalt een groep of kanaal van de servers van Telegram. Schrijf daar alsof het bericht later gelezen kan worden.

Dezelfde vraag geldt voor je inbox

Bij de cloudchats van Telegram gaat het erom wie de sleutels van opgeslagen berichten heeft, en bij e-mail werkt dat net zo. De meeste inboxen staan op de servers van de provider in een vorm die de provider kan lezen. Secria Mail gebruikt zero-access-versleuteling voor elk bericht in je mailbox: je sleutels worden op je apparaat gemaakt en komen alleen versleuteld op onze servers. Onze gids over whether Signal is safer than email (in het Engels) behandelt welke taken in een messenger horen en welke in een inbox.

Veelgestelde vragen

Is Telegram standaard end-to-end versleuteld?

Nee. Gewone chats, groepen en kanalen gebruiken versleuteling tussen je apparaat en de servers van Telegram, en de berichten worden daar opgeslagen. Alleen geheime chats zijn end-to-end versleuteld, en elke geheime chat moet je zelf starten.

Kan de politie mijn Telegram-berichten lezen?

Het beleid van Telegram staat toe dat het bij een geldig gerechtelijk bevel een IP-adres en telefoonnummer verstrekt, en Telegram zegt nooit berichtinhoud te hebben verstrekt. Telegram kan de inhoud van geheime chats niet lezen. Politie die je ontgrendelde telefoon heeft, kan lezen wat erop staat.

Zijn groepschats op Telegram versleuteld?

Ze zijn versleuteld tijdens het verzenden en in de opslag, met sleutels die Telegram beheert. Ze zijn niet end-to-end versleuteld, en voor groepen bestaat geen geheime chat.

Is Telegram X veilig?

Telegram X is een officiële Telegram-app voor Android, vermeld op telegram.org/apps. Hij gebruikt dezelfde accounts, servers en versleuteling als de gewone app, dus alles op deze pagina geldt ook daarvoor. Installeer hem via Google Play of telegram.org, niet via een site van derden.

Is Telegram veilig om met vreemden te gebruiken?

Behandel elk onverwacht bericht als niet gecontroleerd. Verberg je telefoonnummer, deel nooit een inlogcode, open geen bestanden waar je niet om vroeg en stuur geen geld of crypto naar iemand die je in een chat hebt leren kennen.

Telegram is een middel om te zenden en gemeenschappen te bouwen, met één privémodus eraan vast. Gebruik die modus als het ertoe doet, zet je account goed op slot en kijk met Secria Mail net zo kritisch naar je inbox.