"Werbeblocker obligatorisch": Handys lassen sich ohne Klick per Werbeanzeige hacken

Es beginnt mit einer Werbeanzeige, die völlig harmlos aussieht. Zum Beispiel ein Angebot für kabellose Kopfhörer: „SALE“. Solche und ähnliche Anzeigen gehören längst zum Grundrauschen, wenn man durch werbefinanzierte Apps und Websites scrollt. Nun zeigt eine Untersuchung, dass Online-Anzeigen weitaus mehr können als nur zu nerven: Sie können die Sicherheit von Nutzer*innen gefährden.

Erstmals konnten IT-Forscher*innen des Citizen Lab von der Universität Toronto technisch nachvollziehen, wie Angreifer Geräte per Online-Werbung hacken – ohne dass Opfer einen Klick machen müssen. Sobald eine bösartige Werbeanzeige auf dem Bildschirm eines Handys oder Rechners erscheint, soll es bereits zu spät sein, und das Gerät wird mit Spionage-Software infiziert. Die Forschenden nennen diese Art des Angriffs „AdFection“, ein Kofferwort aus „Ad“ (Werbung) und Infektion.

Im Fokus der Untersuchung steht die israelische Firma Discover-Tech Ltd. Sie soll sich jahrelang als harmlose Werbe-Tech-Firma ausgegeben haben. Bis vor Kurzem hatte sie bei Google den Status als „zertifizierter“ externer Anbieter. Tatsächlich soll Discover-Tech jedoch als Brücke zwischen dem Ökosystem für Online-Werbung und der Industrie für Staatstrojaner gedient haben.

Die Forschenden des Citizen Lab gehen „mit hoher Sicherheit“ davon aus, dass Angreifer*innen mit Hilfe von Discover-Tech Trojaner der Firma Candiru über bösartige Werbeanzeigen verteilt haben sollen. Mindestens ein Ziel solcher Zero-Click-Angriffe waren demnach mehrere Geräte beim katarischen Nachrichtensender Al Jazeera. Eine Presseanfrage von netzpolitik.org und dem Bayerischen Rundfunk an Discover-Tech blieb unbeantwortet.

„Die Online-Werbung ist kaputt“, sagt der Wiener Tracking Forscher Wolfie Christl, Co-Autor der Untersuchung des Citizen Lab. „Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko – für Staaten, den privaten Sektor, Zivilgesellschaft und für alle anderen.“

Ein scheinbar unauffälliges Unternehmen

Discover-Tech Ltd. erscheint auf den ersten Blick wie einer von Tausenden anderen Akteuren der Werbe-Branche. Auf seiner Website spricht das Unternehmen etwa von maßgeschneiderter Werbung, von Impact und Brands.

Doch wie aus der Untersuchung hervorgeht, befasst sich Discover-Tech anscheinend nur vordergründig mit dem Ausspielen von Online-Werbung. Zusätzlich soll das Unternehmen eine Plattform namens „Controlium“ betreiben. Mithilfe dieser Plattform sollen Anbieter von Spionage-Software demnach gezielt Geräte von Opfern ins Visier nehmen können, um sie beim Ausspielen einer Werbeanzeige zu infizieren.

Das Citizen Lab stützt seine Untersuchungen auf umfassende technische Analysen sowie auf eine Recherche zum Firmennetzwerk rund um Discover-Tech. Unter anderem haben die Forschenden nach eigenen Angaben Zugang zu internen Log-Dateien von rund 3,8 Milliarden Geboten auf Werbeplätze („bids“) durch das Unternehmen. Die Forschenden haben dabei mit der auf Betrugsabwehr in der Werbewelt spezialisierten Firma Confiant zusammengearbeitet, die parallel eigene Untersuchungen vorgenommen und heute einen eigenen Bericht zu Discover-Tech veröffentlicht hat.

Ein Recherche-Team von netzpolitik.org und dem Bayerischem Rundfunk hat vor der Veröffentlichung Einblick in die Untersuchung erhalten und die wichtigsten Beteiligten um Stellungnahme gebeten.

Werbesystem ausgenutzt, Betroffene merken nichts

Wer verstehen will, wie Discover-Tech einem Zielgerät nicht nur Werbung, sondern auch einen Staatstrojaner unterjubelt, muss einen Blick in den Maschinenraum der Online-Werbebranche werfen. So unterhält Discover-Tech laut Untersuchung unter anderem eine sogenannte Demand-Side-Plattform (DSP), über die Werbekund*innen Anzeigen für Apps und Websites schalten können.

Für die Angriffe soll sich Discover-Tech zwei Eigenschaften der Online-Werbewelt zunutze gemacht haben. Erstens soll das Unternehmen das System des Real-Time-Bidding ausgenutzt haben. Dahinter steckt die Auktion um freie Werbeplätze. Werbefinanzierte Apps und Websites verschicken zu diesem Zweck bei jedem Besuch Informationen über Nutzer*innen an ein unübersichtliches Netzwerk mitbietender Unternehmen.

Mit der eigenen DSP soll Discover-Tech an Auktionen teilgenommen und auf diese Weise reichlich Daten gesammelt haben, mit denen sich Geräte potenzieller Zielpersonen aufspüren lassen sollen, darunter zum Beispiel Werbe-IDs und IP-Adressen. So werden die Werbedaten zu einer Art Filter, im potenzielle Opfer herauszusieben. Wie zielgenau die Methode funktioniert, und wie hoch die Streuverluste sind, also wie viele Unbeteiligte so ins Visier geraten sind, lässt sich von außen nicht beurteilen.

Zweitens soll sich Discover-Tech zunutze gemacht haben, dass Werbeanzeigen häufig nicht einfach nur Bilder oder Videoclips sind. Mit ihnen kann oft auch Programm-Code ausgeführt werden. Beim sogenannten Malvertising nutzen Online-Kriminelle genau das aus, um breit gestreut Schadsoftware zu verbreiten. Eine Methode zur gezielten Infektion beschreibt dagegen das Citizen Lab bei der Untersuchung von Discover-Tech.

Demnach habe das Unternehmen dafür die Plattform „Controlium“ betrieben. Dort hätten Kund*innen gezielt Geräte auswählen können, die nicht nur schnöde Online-Werbung erhalten, sondern auch schädlichen Programmcode.

Das Perfide: Die Zielpersonen müssten dafür weder auf die manipulierte Anzeige klicken, noch könnten sie die Infektion bemerken. Auch die Apps und Websites, wo die Werbung anzeigt wird, können laut Citzen Lab nicht nachvollziehen, was genau Anbieter mit ihren Werbeanzeigen auf die Geräte der Nutzer*innen spielen.

Gefahr für Journalist:innen, Opposition und Zivilgesellschaft

Bereits im Vorfeld der Untersuchung gab es erste Berichte, dass Hersteller von Staatstrojanern auch das Ökosystem der Online-Werbung nutzen, um Zielpersonen zu finden und ohne Klicks zu hacken. Es ist bezeichnend, dass mit Al Jazeera der wohl erste öffentlich dokumentierte Fall von „AdFection“ ausgerechnet Medienschaffende getroffen haben soll.

Mehrfach schon wurden etwa Aktivist*innen, Oppositionelle oder Journalist*innen zum Ziel von Staatstrojanern. Zum Einsatz kommen sie aber nicht nur in autoritären Regimen, auch Behörden in Deutschland und der EU setzen sie ein.

Die israelische Firma Candiru, deren Trojaner dem Bericht zufolge gegen Geräte des Nachrichtensenders Al Jazeera eingesetzt worden sein soll, ist keine Unbekannte. Gefunden wurde der Staatstrojaner unter anderem auf Geräten in Usbekistan, Saudi-Arabien, Spanien, Ungarn, dem Jemen und Palästina. Auch der deutsche EU-Abgeordnete Daniel Freund (Grüne) wurde Ziel eines Angriffs mit Candirus Software, der allerdings erfolglos blieb. Mindestens seit 2018 interessierten sich auch deutsche Sicherheitsbehörden für das Programm. Einem Bericht der israelischen Zeitung Haaretz aus dem Jahr 2021 zufolge stand Deutschland sogar auf der Kundenliste. Die Bundesregierung wollte dazu keine Auskunft geben.

Das Unternehmen wurde 2021 wegen seiner Spionage-Aktivitäten auf eine Liste der US-Regierung für Exportbeschränkungen gesetzt. 2025 wurde Candiru an die US-Investmentfirma Integrity Partners verkauft. Auf eine Presseanfrage von netzpolitik.org und dem BR reagierte Candiru nicht.

Werbung in beliebten Apps geschaltet

Die Forschenden des Citizen Lab haben interne Log-Dateien über Gebote für Werbeplätze von Discover-Tech ausgewertet. Das erlaubte ihnen grobe Annahmen darüber, welche Reichweite und Ziele das Unternehmen möglicherweise hatte.

Knapp vier Milliarden Mal soll Discover-Techs eigene Werbeplattform im Zeitraum von März bis Juni 2026 an Auktionen um Online-Werbeplätze teilgenommen und dazugehörige Daten verarbeitet haben. Das entspricht mehreren Hundert Geboten pro Sekunde – und ist laut Untersuchung nur ein Ausschnitt der Aktivitäten von Discover-Tech im genannten Zeitraum.

Rund drei Viertel der Gebote hätten demnach Werbeplätze in Handy-Apps betroffen, knapp ein Viertel Werbeplätze im Browser. Insgesamt zählten die Forschenden Daten zu Geboten für Werbeplätze in rund 70.000 Apps und auf rund 120.000 Websites. Selbst überprüfen konnte netzpolitik.org diese Zahlen nicht.

Der Bericht nennt mehrere bekannte Apps, über die potenziell infizierte Werbung von Discover-Tech ausgespielt worden sein soll, darunter die in Deutschland ansässige Wetter-App Wetter Online, die Dating-Apps Grindr und Badoo, die Sprachlern-App Duolingo und der Messenger Viber. Wir haben die Pressestellen der jeweiligen Apps gefragt, ob ihnen die Möglichkeit von werbebasierten Attacken bekannt ist, und welche Konsequenz sie daraus ziehen. Eine Antwort erhielten wir nicht. Discover-Tech war in der Datenschutzerklärung von Wetter Online bis zum Februar 2025 als einer von damals mehr als 800 Werbe-Partnern gelistet.

Kostbarer Zugang zu Handys weltweit

Üblicherweise hoffen Werbetreibende darauf, dass ihre Anzeigen Menschen etwa zum Shopping oder zum Download einer App animieren. Für solche und andere Werbe-Erfolge haben die Forschenden laut Untersuchung jedoch kaum Hinweise gefunden. Anhand der untersuchten Daten sehen sie deshalb keine belastbaren Belege dafür, dass das Unternehmen mit den Werbeanzeigen Geld verdiene.

Das Mitmischen beim globalen Werbegeschäft verschafft einem Unternehmen wie Discover-Tech jedoch einen kostbaren Zugang zu Handys weltweit – und damit auch zu potenziellen Zielgeräten, die zahlende Kund*innen per Staatstrojaner hacken könnten. Dem Bericht zufolge wurden Werbeanzeigen von Discover-Tech auch auf Geräten angezeigt, die sich in sicherheitsrelevanten Netzwerken weltweit befanden.

„Dazu gehören die Netzwerke verschiedener Verteidigungsministerien, Streitkräfte, nationaler Cyberbehörden, zwischenstaatlicher Organisationen einschließlich der NATO sowie Netzwerke im Zusammenhang mit kritischer Infrastruktur“, heißt es im Bericht. Betroffen seien auch staatliche Stellen von europäischen Länder wie Norwegen, Schweden und Dänemark sowie Israel, Russland und den USA.

Selbst wenn mit den erwähnten Anzeigen keine Infektion einher gegangen sein sollte: Den Forschenden zufolge ermöglichten sie mindestens das Sammeln von Daten, um Profile von Nutzenden zu bilden.

Über weitere technische Beobachtungen konnten die Forschenden zudem eingrenzen, welche Länder anhand der Daten aus Werbeauktionen offenbar besonders ins Visier geraten sind. Gewichtet nach Bevölkerung seien das im genannten Zeitraum vor allem Montenegro, Jemen, Armenien, Lettland und die Seychellen.

Eng vernetzt mit der digitalen Werbeindustrie

Dem Citizen Lab zufolge war Discover-Tech bis vor Kurzem nicht nur mit zahlreichen Akteuren der Überwachungsindustrie eng vernetzt, sondern auch ein etablierter Player der Online-Werbe-Welt.

Eine zentrale Rolle spielte hierbei wohl Google, das unter anderem mit seinem Werbemarktplatz eine wichtige Infrastruktur der Industrie betreibt. Die israelische Firma war bei Google als externer Anbieter (External Vendor) und als Anbieter von Werbetechnologie (Ad Technology Provider) gelistet. Das bedeutet dem Bericht zufolge, dass Discover-Tech Werbung über Googles Ad-Manager-Plattform ausspielen und über Google Daten von App- und Website-Nutzer*innen beziehen konnte.

Nach eigenen Angaben prüft Google Unternehmen, bevor der Konzern sie an die eigenen Systeme anschließt, und bezeichnet die externen Anbieter als „zertifiziert“. Dem Citzen Lab zufolge haben diese Label Discover-Tech nicht nur beim Datenzugang geholfen, sondern auch dabei, sich als legitimes Werbeunternehmen darzustellen. Nachdem die Forschenden Google über ihre Funde informierten hatten, verlor Discover-Tech den Status.

Google habe „Discover-Tech wegen systematischer Verstöße gegen unsere Richtlinien von unseren Werbeplattformen ausgeschlossen“, bestätigt die Pressestelle auf Anfrage.

Auch beim europäischen Dachverband für die digitale Werbebranche IAB Europe hatte Discover-Tech bis vor Kurzem noch einen Status als „zertifizierter“ Anbieter. Die Organisation stellt mit dem „Transparancy and Consent Framework“ den technischen Standard, über den in Europa Einwilligungen von Nutzer*innen zum Werbe-Tracking eingeholt werden. Die Listung bei IAB Europe habe dem Unternehmen geholfen, die eigenen Dienste als kompatibel mit der Datenschutzgrundverordnung zu vermarkten, so der Bericht.

Auf Anfrage bestätigt IAB Europe, Discover-Tech nach einem Audit suspendiert zu haben. Der Verband betont aber auch, er sei „nicht für forensische oder kriminalistische Untersuchungen ausgestattet und habe dazu auch kein Mandat“.

Werbung ausgespielt haben soll Discover-Tech auch über Plattformen anderer Anbieter wie Eskimi aus Litauen und Beeswax, das zum US-Kabel-Konzern Comcast gehört. Ob dabei auch infizierte Werbung verbreitet wurde, konnten die Forschenden nicht prüfen.

Eskimi bestätigt auf Anfrage von netzpolitik.org und BR, dass Discover-Tech seit 2022 an die Werbeplattform des Unternehmens angeschlossen war. Die Aktivität dort habe jedoch nur einen kleinen Umfang von mehreren Hundert US-Dollar gehabt. „Sobald das Verhaltensmuster des Werbetreibenden in seiner Gesamtheit erkennbar war, haben wir alle seine Konten, Nutzer und zugehörigen Domains dauerhaft gesperrt“, schreibt Eskimi-Chef Vytas Paukstys. Die letzte Kampagne von Discover-Tech sei am 6. August beendet worden.

Beeswax äußerte sich auf eine Presseanfrage bisher nicht.

„Es ist desaströs“

Die Enthüllungen des Citizen Lab sind ein weiterer Beleg dafür, dass das Online-Werbe-Ökosystem in seiner aktuellen Form eine Gefahr darstellt – nicht nur für die Privatsphäre aller Internetnutzer*innen, sondern auch für die Sicherheit von Menschen und Staaten. Um zielgenaue Werbung ausspielen zu können, haben private Firmen den wohl größten Überwachungsapparat der Menschheitsgeschichte errichtet. Ihr Geschäftsmodell basiert darauf, das Verhalten von Menschen möglichst umfassend in Datenform zu erfassen und auszuwerten.

Dass diese Daten längst nicht nur für Werbezwecke genutzt werden, zeigen seit 2024 unter anderem Recherchen von netzpolitik.org und dem Bayerischen Rundfunk. Die Databroker Files haben aufgedeckt, wie Datenhändler unter anderem metergenaue Standortdaten verkaufen, die beliebte Smartphone-Apps angeblich nur für Werbung sammeln. Einige Überwachungsfirmen haben sich darauf spezialisiert, diese und weitere Daten aus der Online-Werbeindustrie für staatlichen Kunden aufzubereiten, etwa Geheimdienste und Sicherheitsbehörden.

Der Fachbegriff dafür ist ADINT („Advertising-based Intelligence“), auf Deutsch: werbebasierte Aufklärung. Die neue Untersuchung des Citizen Lab belegt nun, dass sich Online-Werbung nicht nur für passive Überwachung etwa durch Geheimdienste, sondern auch für aktive Angriffe auf Geräte nutzen lässt.

„Es ist desaströs, dass große Firmen und Organisationen in der Online-Werbung offenbar jahrelang nicht in der Lage waren, diese bösartigen Werbeaktivitäten zu verhindern – oder auch nur zu erkennen“, kommentiert Co-Autor Wolfie Christl die Untersuchung. „Aufsichtsbehörden von Cybersicherheit bis Datenschutz und die Politik in Europa, den USA und in anderen Regionen müssen dringend aktiv werden.“

Bereits vor drei Jahren, im November 2023, warnte Christl gemeinsam mit der Irish Civil Liberties Union in einem Bericht vor der unkontrollierten Online-Werbe-Industrie als „Europas versteckter Sicherheitskrise“.

Selbstverteidigung per Ad-Blocker

„Es ist schwierig, wenn nicht fast unmöglich, sich zuverlässig vor bösartigen Werbeanzeigen zu schützen“, schreibt Christl heute. „Unsere Forschung bestätigt einmal mehr: Das Blockieren von Online-Werbung ist für die IT-Sicherheit obligatorisch.“

Um kurzfristig Abhilfe zu schaffen empfiehlt der Bericht insbesondere Sicherheitsbehörden und allen, die für IT-Sicherheit zuständig sind, Online-Werbeanzeigen möglichst zu blockieren. Auf dienstlichen Geräten sollten überall Ad-Blocker und möglichst Tracking-arme Browser installiert sein. Auch gewöhnlichen Nutzer*innen empfehlen die Forschenden Werbe-Blocker im Browser und wenn möglich auch netzwerkseitig.

Auf Anfrage von netzpolitik.org und BR schreibt das Bundesamt für Verfassungsschutz, die „Infektionsmöglichkeit“ durch Online-Werbung ohne weitere Klicks sei bekannt. Weiter schreibt der Inlandsgeheimdienst: „Da die Gefahr in Bezug auf Privatsphäre und Datensicherheit bei jeglicher Nutzung von Online-Diensten gegeben ist, sollte sich nach Auffassung des BfV jedermann mit dem Thema auseinandersetzen und das eigene Nutzungsverhalten (kritisch) reflektieren bzw. dahingehend anpassen.“

Die Forschenden des Citizen Lab fordern allerdings auch politische Lösungen. Demnach müssten Aufsichtsbehörden umgehend Untersuchungen zur AdFection-Problematik einleiten und insbesondere die genannten Firmen ins Visier nehmen. Sie müssten außerdem das digitale Werbe-Ökosystem als Ganzes in den Blick nehmen und bestehende Gesetze durchsetzen, etwa im Bereich Datenschutz.

Wohl auch im Bewusstsein, dass Sicherheitsbehörden AdFection für das eigene Arsenal an Cyber-Waffen interessant finden könnten, fordern die Forschenden eine größtmögliche Ächtung der Angriffsmethode. „Zu diesen Maßnahmen können der Einsatz von Sanktionen (…) gegen Unternehmen gehören, die Spionagesoftware nutzen und Spionage über gezielte Werbung betreiben, sowie gegen die Unternehmen, die dies ermöglichen, und die Personen, die im Bereich von AdFection tätig sind.“

In der Pflicht sehen die Forschenden auch Anbieter für die Infrastruktur der Werbebranche, etwa Google oder IAB Europe. Sie müssten endlich ernst machen gegen den Missbrauch von Online-Werbung. Dazu gehöre ein eigenes Screening von Werbeanzeigen auf gefährliche Inhalte und das Teilen von Daten mit IT-Sicherheitsforscher*innen. Außerdem müssten sie Werbefirmen, die sie als zertifizierte Partner listen, regelmäßig prüfen.