"Werbeblocker obligatorisch": Handys lassen sich ohne Klick per Werbeanzeige hacken

Was geschehen ist: Die Gefahr durch unsichtbare Infektionen

Eine bahnbrechende Untersuchung des Citizen Lab an der Universität Toronto hat eine neue, hochgefährliche Methode der digitalen Spionage aufgedeckt. IT-Sicherheitsexperten konnten erstmals detailliert nachweisen, wie Angreifer Mobilgeräte und Computer mittels Online-Werbeanzeigen mit Staatstrojanern infizieren, ohne dass die Nutzer auch nur eine einzige Interaktion vornehmen müssen. Dieser Vorgang, von den Forschenden als „AdFection“ bezeichnet – ein Kofferwort aus „Ad“ für Werbung und „Infektion“ –, stellt eine erhebliche Bedrohung für die digitale Sicherheit dar. Sobald eine manipulierte Werbeanzeige auf dem Bildschirm eines Endgeräts erscheint, kann der Infektionsprozess bereits eingeleitet sein. Da diese Anzeigen oft in völlig alltäglichen Kontexten wie beim Scrollen durch Nachrichten-Apps oder Wetter-Anwendungen auftauchen, ist das Risiko für die breite Öffentlichkeit massiv gestiegen. Die Untersuchung zeigt auf, dass das Ökosystem der Online-Werbung, das eigentlich für den Handel mit Aufmerksamkeit konzipiert wurde, von Akteuren der Überwachungsindustrie instrumentalisiert wird, um gezielt Spionage-Software auf die Geräte von Zielpersonen zu schleusen. Diese Entwicklung markiert eine neue Eskalationsstufe im Bereich der sogenannten Zero-Click-Angriffe, bei denen die Verteidigungsmöglichkeiten der Endanwender nahezu vollständig ausgehebelt werden.

Die Einzelheiten: Akteure, Zahlen und technische Hintergründe

Im Zentrum der Analyse steht das Unternehmen Discover-Tech Ltd. mit Sitz in Israel, das sich nach außen hin als gewöhnlicher Dienstleister für Werbetechnologie präsentierte. Die Forschenden des Citizen Lab arbeiteten bei dieser Untersuchung eng mit der auf Betrugsabwehr spezialisierten Firma Confiant zusammen. Gemeinsam werteten sie interne Log-Dateien aus, die rund 3,8 Milliarden Gebote für Werbeplätze umfassten. Diese Daten belegen, dass Discover-Tech zwischen März und Juni 2026 massiv am globalen Werbemarkt teilnahm. Dabei wurden Gebote für Werbeplätze in etwa 70.000 verschiedenen Apps und auf rund 120.000 Websites abgegeben. Die Analyse zeigt, dass etwa drei Viertel dieser Gebote mobile Applikationen betrafen, während ein Viertel auf Browser-Werbung entfiel. Zu den genannten Apps, über die potenziell schädliche Werbung ausgespielt wurde, zählen unter anderem Wetter Online, die Dating-Plattformen Grindr und Badoo, die Sprachlern-App Duolingo sowie der Messenger Viber. Besonders alarmierend ist der Fund, dass diese Anzeigen auch in hochsensiblen Netzwerken auftauchten, etwa bei Verteidigungsministerien, Streitkräften und Organisationen wie der NATO. Die Zielgenauigkeit der Angriffe soll durch die Plattform „Controlium“ ermöglicht worden sein, über die Kunden gezielt Geräte für die Infektion mit Schadsoftware auswählen konnten.

Hintergrund: Die Verflechtung von Werbung und Überwachung

Die Geschichte hinter dieser Entdeckung ist eng mit der Struktur des modernen Online-Werbemarktes verknüpft. Das sogenannte Real-Time-Bidding, bei dem in Millisekunden um Werbeplätze geboten wird, bildet das Fundament für das Geschäftsmodell von Discover-Tech. Ursprünglich dient dieses System dazu, personalisierte Werbung an Nutzer auszuspielen, doch die Untersuchung zeigt, dass genau diese Infrastruktur auch als Filter für Spionagezwecke missbraucht werden kann. Discover-Tech nutzte die bei Auktionen anfallenden Daten wie Werbe-IDs und IP-Adressen, um Zielpersonen präzise zu identifizieren. Das Unternehmen agierte dabei nicht als isolierter Akteur, sondern war tief in das Ökosystem etablierter Werbeplattformen integriert. Bis vor Kurzem war Discover-Tech sogar als zertifizierter externer Anbieter bei Google gelistet, was es dem Unternehmen ermöglichte, über Googles Ad-Manager-Plattform Werbung auszuspielen und Nutzerdaten zu beziehen. Die Forschenden gehen mit hoher Sicherheit davon aus, dass Discover-Tech als Brücke zwischen der Werbeindustrie und der Industrie für Staatstrojaner fungierte, wobei insbesondere die Software der Firma Candiru zur Infektion der Geräte eingesetzt wurde. Diese Verflechtung macht es für Sicherheitsbehörden und Plattformbetreiber extrem schwierig, bösartige Aktivitäten von legitimen Werbeprozessen zu unterscheiden.

Die Beteiligten: Wer ist betroffen und wer agiert im Hintergrund?

Die Liste der Betroffenen ist lang und umfasst sowohl staatliche Stellen als auch zivilgesellschaftliche Akteure. Ein prominentes Beispiel für einen Angriff ist der katarische Nachrichtensender Al Jazeera, dessen Geräte nachweislich Ziel solcher Attacken wurden. Auch der EU-Abgeordnete Daniel Freund wurde bereits mit Candiru-Software angegriffen, wenngleich dieser Versuch laut Berichten erfolglos blieb. Die israelische Firma Candiru selbst ist für ihre umstrittenen Produkte bekannt, die in Ländern wie Saudi-Arabien, Usbekistan und Ungarn zum Einsatz kamen. Auf der anderen Seite steht Discover-Tech als mutmaßlicher Verbreiter der Schadsoftware. Das Unternehmen hat auf Presseanfragen von netzpolitik.org und dem Bayerischen Rundfunk nicht reagiert. Auch die Betreiber der betroffenen Apps, wie Wetter Online, haben sich zu den Vorwürfen nicht geäußert. Google, als zentraler Akteur der Werbeindustrie, wird im Bericht als Infrastrukturgeber genannt, über dessen Plattformen die schädliche Werbung verbreitet wurde. Die US-Regierung hat Candiru bereits 2021 auf eine Liste für Exportbeschränkungen gesetzt, was die internationale Tragweite der Überwachungstechnologie unterstreicht. Im Jahr 2025 wurde Candiru zudem an die US-Investmentfirma Integrity Partners verkauft, was die komplexen Eigentumsverhältnisse in diesem Sektor verdeutlicht.

Einordnung: Das Ende der Sicherheit im Werbenetzwerk

Einzuordnen ist das so: Die Online-Werbebranche hat sich zu einem unkontrollierbaren Sicherheitsrisiko entwickelt. Der Tracking-Forscher Wolfie Christl bezeichnet das System der Online-Werbung als „kaputt“. Die Untersuchung verdeutlicht, dass die technische Komplexität des Werbemarktes – insbesondere die Möglichkeit, über Werbeanzeigen Programmcode auszuführen – für Angriffe missbraucht wird, die weit über das bloße Tracking hinausgehen. Während Werbetreibende normalerweise auf Klicks hoffen, um ihre Produkte zu verkaufen, dienen die Anzeigen von Discover-Tech laut den Forschenden nicht primär der wirtschaftlichen Generierung von Werbeeinnahmen. Stattdessen dient das Mitmischen im Werbemarkt als Fassade, um den kostbaren Zugang zu Millionen von Endgeräten weltweit zu erlangen. Den Berichten zufolge ermöglichten die Anzeigen selbst dann, wenn keine direkte Infektion stattfand, das Sammeln umfangreicher Daten zur Profilbildung. Dass selbst Verteidigungsministerien und kritische Infrastrukturen über Werbe-IDs in den Datensätzen auftauchen, offenbart eine eklatante Lücke in der digitalen Sicherheit. Die Tatsache, dass staatliche Stellen sowie die Zivilgesellschaft gleichermaßen gefährdet sind, unterstreicht die systemische Natur des Problems. Es handelt sich nicht mehr nur um vereinzelte Angriffe, sondern um eine methodische Ausnutzung der globalen Werbe-Infrastruktur.

Offene Fragen: Was bleibt im Dunkeln?

Trotz der umfassenden Analyse durch das Citizen Lab bleiben einige Fragen unbeantwortet. Der Quelltext macht deutlich, dass das Ausmaß der Infektionen nur schwer exakt zu beziffern ist. Es lässt sich von außen nicht präzise beurteilen, wie zielgenau die Methode tatsächlich funktionierte und wie hoch die sogenannten Streuverluste waren – also wie viele unbeteiligte Personen ungewollt mit Schadsoftware in Kontakt kamen. Ebenso bleibt unklar, welche konkreten Gegenmaßnahmen die betroffenen App-Anbieter nach Bekanntwerden der Vorwürfe ergreifen werden, da bisher keine Stellungnahmen vorliegen. Auch das genaue Ausmaß der Zusammenarbeit zwischen Discover-Tech und den Anbietern von Staatstrojanern wie Candiru ist in seinen letzten Details noch nicht vollständig aufgeklärt. Es bleibt zudem offen, ob und in welchem Umfang Sicherheitsbehörden weltweit bereits Kenntnis von dieser spezifischen Infektionsmethode hatten, bevor die Untersuchung veröffentlicht wurde. Die Frage, wie viele weitere Firmen mit ähnlichen Geschäftsmodellen existieren, die bisher unter dem Radar der Sicherheitsforschung geblieben sind, kann der Bericht ebenfalls nicht abschließend beantworten. Die technische Lücke, die das Ausführen von Code durch Werbeanzeigen erlaubt, bleibt ein grundlegendes Problem der Internet-Architektur.

Wie es weitergeht: Konsequenzen und ausstehende Schritte

Die Veröffentlichung des Berichts durch das Citizen Lab und die parallele Untersuchung von Confiant setzen die Branche und die Regulierungsbehörden unter Druck. Die Empfehlung der Forschenden an die Nutzer ist eindeutig: Zum eigenen Schutz sollten Werbeblocker eingesetzt werden, um die Ausführung von schädlichem Programmcode über Werbeanzeigen zu unterbinden. Ob und welche regulatorischen Schritte gegen Discover-Tech oder vergleichbare Unternehmen eingeleitet werden, ist derzeit noch nicht absehbar. Die US-Exportbeschränkungen gegen Candiru zeigen zwar, dass es Versuche gibt, die Überwachungsindustrie einzudämmen, doch die technische Natur der „AdFection“-Angriffe macht eine effektive Kontrolle schwierig. Für die betroffenen App-Entwickler und Werbenetzwerke stellt sich die dringende Aufgabe, ihre Sicherheitsvorkehrungen bei der Einbindung von Drittanbietern grundlegend zu überdenken. Zukünftige Entwicklungen werden davon abhängen, ob Plattformbetreiber wie Google ihre Zertifizierungsprozesse für Werbepartner verschärfen und ob die Sicherheitsforschung weitere Netzwerke dieser Art aufdecken kann. Es ist zu erwarten, dass das Thema der Sicherheit in der Online-Werbung in den kommenden Monaten verstärkt in den Fokus von Datenschutzbeauftragten und IT-Sicherheitsbehörden rücken wird, um den Schutz von Zivilgesellschaft und staatlichen Institutionen zu gewährleisten.