Spyware kommt über ganz normale Werbebanner
Das Citizen Lab belegt erstmals, dass Staatstrojaner ohne Klick über gezielt ausgespielte Online-Werbung auf Geräte gelangen. Der Vermittler stand fast sechs Jahre auf der Anbieterliste von IAB Europe. Warum Werbeblocker auf Dienstgeräten jetzt Sicherheitsthema sind.
Kein Klick, kein Anhang, kein verdächtiger Link: Es reicht, dass auf einer Website oder in einer App eine Werbeanzeige erscheint. Das kanadische Citizen Lab der Universität Toronto hat am 15. Oktober 2026 einen Bericht veröffentlicht, der genau das belegt. Die Forscher nennen die Technik „AdFection“: Spyware, die über gezielt ausgespielte Online-Werbung auf die Geräte ihrer Opfer gelangt.
This is the first-ever public confirmation of zero-click mercenary spyware delivered via targeted ads.
Bisher galt das als theoretisch möglich. Jetzt gibt es dokumentierte Fälle.
Ein Werbedienstleister als Vermittler
Im Mittelpunkt steht die israelische Firma Discover-Tech. Nach außen trat sie als gewöhnlicher Anbieter im Werbegeschäft auf. Laut Citizen Lab vermittelte sie tatsächlich zwischen Spyware-Herstellern und dem Werbemarkt, darunter Candiru. Über eine eigene Plattform konnten Kunden ihre Zielpersonen anhand der Werbe-ID eines Handys, einer Cookie-ID oder einer IP-Adresse auswählen und ihnen präparierte Anzeigen ausspielen, die auf dem Gerät Code ausführen.
Konkret belegt sind Angriffe auf mindestens 45 Geräte beim Sender Al Jazeera in den Jahren 2024 und 2025. Das Citizen Lab ordnet sie „with high confidence“ der Spyware von Candiru zu, ausgeliefert über Anzeigen von Discover-Tech. Wer hinter den Angriffen steckt, lässt sich laut den Forschern nicht benennen.
Die Größenordnung
Für den Bericht wertete das Citizen Lab fast vier Milliarden Gebotsdatensätze aus Werbeauktionen von März bis Juni 2026 aus. Die beteiligte Werbeplattform bot in diesem Zeitraum auf rund 3,77 Milliarden Werbeplätze und gewann rund 442 Millionen davon. Mindestens 719 Millionen Gebote, etwa 19 Prozent, betrafen Anzeigen mit einem Skript, das auf einen Server der Angreifer verwies.
Diese Anzeigen liefen in 75.373 Apps und auf 120.768 Websites, die Empfänger saßen in 161 Ländern. Das heißt nicht, dass all diese Geräte infiziert wurden. Es zeigt aber, wie unauffällig sich eine solche Infrastruktur in den normalen Werbemarkt einfügt. Viele Infektionen liefen laut Bericht ohne jedes sichtbare Anzeichen ab.
Fast sechs Jahre mit Einwilligung
Für Unternehmen mit eigener Website ist ein Detail besonders unangenehm. Discover-Tech stand vom 2. Juli 2020 bis zum 8. Oktober 2026 auf der Anbieterliste von IAB Europe. Diese Liste steckt hinter vielen Cookie-Bannern in Europa. Das Citizen Lab schreibt dazu, fast sechs Jahre lang hätten „hundreds of millions of Europeans“ eine Einwilligungsabfrage gesehen, die man als Erlaubnis für Discover-Tech zur Datenverarbeitung nach DSGVO auslegen könnte.
Inzwischen haben die Plattformen reagiert: IAB Europe hat die Firma aus dem Register genommen, Google hat den Zugang zu seinen Werbebörsen beendet, Beeswax hat sie entfernt, Liftoff (Vungle) den Zugang während einer Prüfung ausgesetzt und Eskimi Konten und Domains gesperrt. Dass ein solcher Akteur jahrelang als zertifizierter Anbieter durchging, zeigt aber, wie wenig die Kontrolle im Werbemarkt taugt. Dass sich Einwilligungen im Werbemarkt nicht einfach einkaufen lassen, hatte zuletzt auch das Rekordbußgeld gegen Xandr gezeigt.
Was die Forscher empfehlen
Das Citizen Lab richtet sich ausdrücklich auch an Organisationen:
- Werbung möglichst schon am Netzzugang des Unternehmens sowie auf Dienstgeräten blockieren
- Werbe-Tracking auf Firmengeräten abschalten, etwa über die Geräteverwaltung (MDM)
- Browser mit eingebautem Tracking-Schutz, Werbeblocker und Unterstützung für Global Privacy Control nutzen
- Datenverkehr rund um Werbeeinblendungen auf verdächtige Anfragen überwachen
Für Behördengeräte empfehlen die Forscher, die Werbe-IDs verpflichtend abzuschalten.
Was das für Ihr Unternehmen heißt
- Werbeblocker sind Sicherheitsmaßnahme: Wer auf Dienstgeräten Werbung filtert, reduziert eine echte Angriffsfläche. Das lässt sich per DNS-Filter am Router oder Proxy zentral umsetzen und per Richtlinie im Browser ergänzen.
- Werbe-ID auf Diensthandys abschalten: In iOS und Android lässt sich die Werbe-ID über die Geräteverwaltung deaktivieren oder einschränken. Das kostet nichts und nimmt Angreifern ein Zielmerkmal.
- Besonders exponierte Personen schützen: Geschäftsführung, Einkauf und Entwicklung sind lohnende Ziele. Für sie lohnt sich eine strengere Konfiguration als für den Rest.
- Eigene Website prüfen: Welche Anbieter fragt Ihr Cookie-Banner ab? Viele Seiten übernehmen ungeprüft lange Listen von Werbepartnern. Weniger Partner heißt weniger Risiko für Ihre Besucher und weniger Erklärungsbedarf gegenüber der Datenschutzaufsicht.
- Updates zügig einspielen: Zero-Click-Angriffe nutzen Lücken in Browsern und Betriebssystemen. Wie groß die Menge an Lücken gerade ist, zeigt der jüngste Rekord-Patchday von Microsoft.
Fazit
Online-Werbung ist nicht nur ein Datenschutzproblem, sondern nachweislich ein Einfallstor für Spyware. Die gute Nachricht: Die wirksamsten Gegenmaßnahmen sind einfach und günstig, vom DNS-Filter bis zur abgeschalteten Werbe-ID. Wenn Sie Ihre Geräte, Ihr Netz oder das Cookie-Banner Ihrer Website darauf prüfen lassen möchten, sprechen Sie mich gern an.
