Angriff auf Al Jazeera: Der Trojaner kam per Online-Werbung

Was geschehen ist – die Kernmeldung

Einem aktuellen Bericht des Citizen Lab der Universität Toronto zufolge ist der katarische Nachrichtensender Al Jazeera Ziel eines hochkomplexen Hacking-Angriffs geworden. Unbekannte Akteure nutzten dabei eine neuartige Methode, die von den Forschenden als „AdFection“ bezeichnet wird. Dabei handelt es sich um eine Kombination aus den Begriffen „Ad“ für Werbung und „Infektion“. Bei diesem Angriffsweg wird die Infrastruktur der digitalen Werbeindustrie instrumentalisiert, um Schadsoftware direkt auf die Endgeräte der Zielpersonen zu übertragen. Das Besondere an diesem Vorgehen ist, dass die Opfer keinerlei Interaktion wie etwa einen Mausklick ausführen müssen, um die Infektion auszulösen. Der Schadcode wird im Hintergrund geladen, während die betroffenen Geräte – nach aktuellem Kenntnisstand vor allem Windows-Rechner – reguläre Werbeanzeigen im Browser oder in Applikationen anzeigen. Insgesamt konnten die IT-Sicherheitsexperten mindestens 45 infizierte Geräte im Umfeld des Senders identifizieren. Es ist das erste Mal, dass eine solche Form der Werbe-basierten Einschleusung von Staatstrojanern öffentlich dokumentiert wurde, was die Sicherheitslage für Medienschaffende weltweit verschärft.

Die Einzelheiten der Untersuchung

Die Untersuchung des Citizen Lab, veröffentlicht am 15. Oktober 2026, legt dar, wie die Angreifer das israelische Unternehmen Discover-Tech Ltd. als operative Basis nutzten. Dieses Unternehmen tritt nach außen hin als gewöhnlicher Akteur im Bereich der Online-Werbung auf und nimmt an regulären Auktionen für Werbeplätze teil. Hinter dieser Fassade verbirgt sich jedoch laut den Forschenden eine Plattform, die gezielt dazu dient, Spionage-Software zu verbreiten. Die Angreifer nutzen die Mechanismen der personalisierten Werbung, um spezifische Nutzerprofile zu erstellen und die Zielpersonen exakt zu identifizieren. Sobald das Ziel lokalisiert ist, wird über die Werbe-Infrastruktur der Staatstrojaner Candiru auf das Gerät übertragen. Die Analyse der technischen Spuren zeigt, dass neben Al Jazeera auch das Außenministerium Saudi-Arabiens ins Visier der Angreifer geriet. Während Al Jazeera sich zu den Vorfällen bislang nicht öffentlich geäußert hat, blieben auch Presseanfragen an Discover-Tech Ltd. sowie an das Unternehmen hinter Candiru, Integrity Partners, unbeantwortet. Die technische Komplexität und die Ausnutzung der Werbe-Infrastruktur machen diesen Angriff zu einem besonders schwer zu entdeckenden Ereignis.

Hintergrund und bisheriger Verlauf

Dies ist nicht das erste Mal, dass der Nachrichtensender Al Jazeera in den Fokus von Spionage-Aktivitäten gerät. Bereits im Jahr 2020 war der Sender Ziel von Angriffen durch Staatstrojaner. Der aktuelle Vorfall markiert jedoch eine neue Qualität der Bedrohung durch die Nutzung der AdTech-Infrastruktur. Die Entwicklung steht in einem größeren Kontext: Seit Jahren warnen Experten und Organisationen wie das Committee to Protect Journalists vor den Gefahren der werbebasierten Massenüberwachung. Recherchen von netzpolitik.org und dem Bayerischen Rundfunk hatten bereits zuvor aufgezeigt, wie leicht Standortdaten, die eigentlich für Werbezwecke erhoben werden, bei Datenhändlern erworben werden können. In einem Fall konnte so das Bewegungsprofil einer ägyptischen Exil-Journalistin nachvollzogen werden. Der aktuelle Angriff auf Al Jazeera zeigt nun, dass diese Infrastruktur nicht mehr nur zur passiven Überwachung durch Datenhandel genutzt wird, sondern aktiv als Einfallstor für gezielte Hacking-Attacken dient. Die Verbindung zwischen der Werbebranche und der Spionage-Industrie scheint damit eine neue, gefährliche Stufe erreicht zu haben.

Die Beteiligten und Akteure

Im Zentrum der Analyse stehen das Citizen Lab der Universität Toronto, das die Untersuchung leitete, und das israelische Unternehmen Discover-Tech Ltd., welches als mutmaßliche Drehscheibe für die Infektionen fungiert. Das Unternehmen Integrity Partners, welches hinter dem Staatstrojaner Candiru steht, wird als Lieferant der Schadsoftware benannt. Betroffen ist primär der Nachrichtensender Al Jazeera, dessen Mitarbeiter ins Visier gerieten. Zudem wird das Außenministerium Saudi-Arabiens als weiteres mögliches Ziel genannt. Politisch relevante Akteure wie der EU-Abgeordnete Daniel Freund (Grüne) werden im Kontext der Bedrohung durch Candiru erwähnt, da er 2024 selbst Ziel eines Angriffs wurde, hinter dem er den ungarischen Geheimdienst vermutet. Auch die US-Regierung spielt eine Rolle, da sie Candiru bereits 2021 auf eine Liste für Exportbeschränkungen setzte, mit der Begründung, dass die Software gegen Journalisten, Regierungsbeamte und Aktivisten eingesetzt werde. Die deutsche Bundesregierung wird ebenfalls als Nutzer von Staatstrojanern genannt, hält sich jedoch über die genauen eingesetzten Produkte bedeckt.

Einordnung der Bedrohungslage

Einzuordnen ist das Vorgehen als eine hochgradig zielgerichtete Form der digitalen Spionage, die das Vertrauen in die digitale Werbe-Infrastruktur untergräbt. Den Berichten zufolge ist die Methode „AdFection“ besonders perfide, da sie die Architektur des Internets selbst – das Ausspielen von Werbung – als Waffe gegen die Nutzer verwendet. Dass Medienschaffende wie bei Al Jazeera gezielt angegriffen werden, unterstreicht die politische Dimension der Spionage-Software. Die Tatsache, dass ein Unternehmen wie Discover-Tech Ltd. als legitimer Werbe-Akteur agiert, um dann im Hintergrund Staatstrojaner zu verbreiten, verdeutlicht die Schwierigkeit für Sicherheitsbehörden und IT-Abteilungen, solche Angriffe frühzeitig zu erkennen. Die Einordnung durch die Forschenden legt nahe, dass die Grenzen zwischen kommerzieller Datennutzung und staatlicher Überwachung zunehmend verschwimmen. Es ist ein systemisches Problem, bei dem die Mechanismen, die eigentlich zur Finanzierung von Inhalten dienen, nun zur Infiltration von Geräten umfunktioniert werden. Die Gefahr für die Pressefreiheit ist dabei als besonders kritisch einzustufen, da Journalisten auf eine sichere digitale Kommunikation angewiesen sind.

Offene Fragen zur Untersuchung

Der vorliegende Bericht des Citizen Lab lässt einige Fragen unbeantwortet, die für das Verständnis des gesamten Ausmaßes wichtig wären. So ist unklar, wie viele weitere Organisationen oder Einzelpersonen weltweit von der „AdFection“-Methode betroffen sind, da die Untersuchung sich primär auf Al Jazeera und das saudische Außenministerium konzentriert. Es bleibt offen, welche spezifischen Sicherheitslücken in den Windows-Systemen genau ausgenutzt wurden, um die Infektion ohne Nutzerinteraktion zu ermöglichen. Zudem ist nicht geklärt, welche staatlichen Akteure letztlich die Auftraggeber hinter den Angriffen auf Al Jazeera waren. Während Candiru als Lieferant der Software feststeht, bleibt die Identität derjenigen, die den Angriff über Discover-Tech Ltd. in Auftrag gegeben haben, im Dunkeln. Auch die Frage, ob und welche Daten von den infizierten Geräten abgeflossen sind, wird im Quelltext nicht detailliert beantwortet. Ebenso bleibt offen, ob die Infrastruktur von Discover-Tech Ltd. nach der Veröffentlichung der Untersuchung durch die Forschenden bereits abgeschaltet oder durch Sicherheitsbehörden sanktioniert wurde.

Wie es weitergeht

Die Untersuchung des Citizen Lab dient als Grundlage für weitere Debatten über die Regulierung der digitalen Werbeindustrie und den Export von Überwachungstechnologie. Da die US-Regierung bereits Exportbeschränkungen gegen den Hersteller Candiru verhängt hat, stellt sich die Frage, ob weitere internationale Sanktionen folgen werden, um die Verbreitung solcher Spionage-Tools zu unterbinden. Für die Betroffenen bei Al Jazeera und anderen Organisationen steht nun die technische Aufarbeitung und Absicherung der IT-Infrastruktur im Vordergrund. Der Bericht liefert zudem Anhaltspunkte für Nutzer, wie sie sich gegen solche Angriffe schützen können. Es ist zu erwarten, dass IT-Sicherheitsbehörden weltweit ihre Warnungen bezüglich der Gefahren durch infizierte Online-Werbung verschärfen werden. Da der EU-Abgeordnete Daniel Freund und andere Betroffene die politische Debatte über den Einsatz von Staatstrojanern durch europäische Regierungen vorantreiben, dürfte das Thema „AdFection“ auch in den kommenden Monaten auf der politischen Agenda bleiben. Die ausstehende Reaktion der betroffenen Unternehmen und die weitere Analyse der technischen Spuren durch Sicherheitsforscher werden zeigen, ob diese neue Angriffsmethode langfristig eingedämmt werden kann.