AdFection: Wie Online-Werbung zum Einfallstor für Staatstrojaner wird

Die digitale Werbeindustrie steht vor einem neuen schwarzen Kapitel. Forschende des renommierten Citizen Lab der Universität Toronto haben in einer großangelegten Untersuchung nachgewiesen, dass die Infrastruktur für personalisierte Online-Werbung systematisch für Angriffe mit hochentwickelter Spionagesoftware ausgenutzt worden ist. Die unter dem Namen AdFection dokumentierte Methode bricht mit gängigen Mustern von Cyberangriffen: Opfer müssen keine Links anklicken oder Anhänge öffnen, um ihre Geräte zu infizieren („Zero Click“). Allein das Laden einer manipulierten Werbeanzeige in einer App oder auf einer Webseite reicht aus, um im Hintergrund verheerenden Schaden anzurichten.

Als wichtiges Bindeglied zwischen der Werbeindustrie und den Anbietern von Staatstrojanern fungierte dem Bericht zufolge ein israelisches Unternehmen namens Discover-Tech. Die Recherchen ergeben ein detailliertes Bild der technischen Verflechtungen. Discover-Tech trat demnach jahrelang als unauffälliger Teilnehmer im komplexen System der programmatischen Online-Werbung auf. Das Unternehmen war bei Branchenverbänden wie IAB Europe und Tech-Riesen wie Google offiziell als Werbepartner gelistet und versorgte im Frühjahr Hunderttausende Webseiten und Apps mit Anzeigen. Darunter befanden sich populäre Anwendungen wie die deutsche App Wetter Online, Duolingo, Viber sowie diverse Dating-Plattformen.

Das Forschungsteam legt Wert auf die Feststellung, dass nicht jede Anzeige automatisch schädlich war. Vielmehr nutzte Discover-Tech das umfangreiche Tracking-Ökosystem generell zunächst, um detaillierte Profile von Millionen potenzieller Opfer anzulegen und Werbebanner gezielt auf deren Endgeräten auszuspielen.

Controlium und JavaScript im Hintergrund

Kern der technischen Infrastruktur war der Analyse zufolge die von Discover-Tech betriebene Plattform Controlium. Sie fungierte als zentrale Steuereinheit für Söldner-Spionagesoftwarefirmen wie Candiru, Bindecy und Intelos. Wenn einem Nutzer eine scheinbar harmlose, zielgerichtete Werbung angezeigt wurde, die von Discover-Tech platziert war, wurden die Werbe-ID des Geräts sowie dessen IP-Adresse an Server des Unternehmens übermittelt.

Sollten Geräte einer Zielperson gehackt werden, schickte das System schädlichen JavaScript-Code dorthin. Dieser wurde vom Browser oder der jeweiligen App im Hintergrund ausgeführt, nutzte Schwachstellen aus und infizierte das Zielgerät, ohne dass die betroffenen Personen einen Klick ausführen mussten. Der Clou für die Angreifer bestand darin, dass die ausgespielten Werbeanzeigen selbst keinen Exploit-Code enthielten. Dadurch konnten sie den schädlichen Zweck vor den werbeproduzierenden Plattformen und deren automatisierten Schutzmechanismen erfolgreich verschleiern.

Massenhaftes Tracking und Al-Jazeera-Hack

Im Zentrum der Angriffe stand die berüchtigte Spionagesoftware der israelischen Firma Candiru, die bereits mehrfach wegen des Verkaufs von Überwachungswerkzeugen an autoritäre Regierungen in die Schlagzeilen geraten und von den USA mit Exportbeschränkungen belegt worden ist. Den Forschern gelang es erstmals, technische Belege für diese Attacken zu sichern.

Besonders schwer traf es laut dem Citizen Lab den katarischen Nachrichtensender Al Jazeera. Interne Logdaten der Mediengesellschaft belegten, dass dort zwischen 2024 und 2025 mindestens 45 Geräte – vor allem Windows-Rechner – über manipulierte Werbeanzeigen mit der Candiru-Spyware infiziert worden seien. Auch das Außenministerium Saudi-Arabiens geriet offenbar ins Visier der Angreifer. Ferner analysierten die Experten Daten, wonach manipulierte Anzeigen auf Geräten angezeigt worden sein sollen, die mit internationalen Organisationen wie der NATO, der UN und der EU verbunden sind. Auch bei globalen Tech-Konzernen und Chip-Herstellern wurden sie fündig.

Die Tragweite des Angriffsvektors ruft nationale Sicherheitsbehörden auf den Plan. Das Bundesamt für Verfassungsschutz bewertet die neue Masche laut dem Bayerischen Rundfunk als erhebliches Gefährdungspotenzial für die Bundesrepublik. In Kreisen der Spionageabwehr gilt die Technik als hochgradig tückisch, da sie staatlich gesteuerten Akteuren völlig neue Wege eröffne, um sensible Ziele anzugreifen. Auf eine Kooperation oder Unachtsamkeit der Opfer seien sie dabei nicht angewiesen. Der EU-Abgeordnete Daniel Freund, der bereits ins Visier von Candiru geraten war, zeigte sich gegenüber Netzpolitik.org tief besorgt. Der Grüne spricht von einer neuen, extrem „perfiden“ Qualität der Überwachung.

Das Werbe-Ökosystem als Sicherheitsrisiko

Reaktionen der betroffenen Tech-Giganten ließen nach Bekanntwerden der Studie nicht lange auf sich warten. Google und IAB Europe gaben an, Discover-Tech umgehend von ihren Plattformen und Vermarkterlisten entfernt zu haben. Es seien systemische Richtlinienverstöße festgestellt worden.

Dennoch bleibt bei Sicherheitsexperten ein Gefühl der Verunsicherung. Wolfie Christl, Forscher am Citizen Lab und Mitautor des Berichts, bringt das Dilemma auf den Punkt: Die Art und Weise, wie Online-Werbung heute weltweit funktioniert, sei ein einziges, kaum beherrschbares Sicherheitsrisiko für Staaten, den privaten Sektor und die gesamte Zivilgesellschaft. Solange die gigantischen intransparenten Datenströme der Werbeindustrie nicht grundlegend reformiert würden, bleibe dieses digitale Ökosystem anfällig für solche unterschwelligen und massenhaften Spionageangriffe.