AuthMiddleware hat /api/telegram/webhook komplett von der Auth ausgeschlossen – unabhängig von der HTTP-Methode. Dadurch hatte DELETE /api/telegram/webhook kein IsAdmin gesetzt → 403. Fix: Nur POST auf diesen Pfad (= eingehender Telegram-Webhook) wird von der Auth ausgenommen.