Symbolbild: Smartphone ohne angezeigte Inhalte. Pexels / KATRIN BOLOVTSOVA / Foto-ID 6373077 / CC0-Lizenz.

Wer auf verdächtige Werbung nicht klickt, vermeidet einen häufigen Angriffsweg. Bei einer jetzt offengelegten Spionagekampagne genügte nach Erkenntnissen des Citizen Lab jedoch bereits das Anzeigen einer präparierten Werbung. Die Forschungsgruppe der Universität Toronto beschreibt, wie Geräte beim Nachrichtensender Al Jazeera über Online-Anzeigen mit Spionagesoftware von Candiru infiziert wurden. Für Unternehmen betrifft der Bericht eine alltägliche Situation: Auf einem Dienstgerät läuft eine werbefinanzierte App oder Website, während dort auch geschäftliche Daten verarbeitet werden.

Das Citizen Lab hat seine Untersuchung am 15. Oktober veröffentlicht. Die dokumentierten Angriffe liegen zurück; die Veröffentlichung belegt keine neue Infektionswelle an diesem Tag. Im Mittelpunkt steht das israelische Unternehmen Discover-Tech. Nach den Erkenntnissen der Forschenden stellte es über seine Plattform Controlium die Verbindung zwischen gezielter Werbeauslieferung und Anbietern von Spionagesoftware her. Die Forschenden nennen diesen Angriffsweg AdFection.

Vom Werbeprofil zum ausgewählten Zielgerät

Beim Aufruf vieler Apps und Websites wird in Sekundenbruchteilen versteigert, wer eine Anzeige ausspielen darf. Solche Werbeauktionen heißen Real-Time Bidding. Die beteiligten Unternehmen erhalten dafür Informationen über das Gerät und seinen Nutzer, etwa eine Werbekennung oder die IP-Adresse. Wer diese Angaben über längere Zeit zusammenführt, kann Geräte wiedererkennen und ihre Nutzung verfolgen.

Discover-Tech soll dieses Verfahren genutzt haben, um Geräte für seine Partner aufzufinden. Die Werbeauslieferung brachte anschließend Programmcode auf das ausgewählte Gerät. Eine Anzeige besteht häufig aus mehr als einem Bild: Ihr Code kann im Browser oder innerhalb einer App ausgeführt werden. Bei den beschriebenen Angriffen brauchte die Zielperson deshalb weder einen Link zu öffnen noch eine Datei herunterzuladen. Die Infektion erfolgte über ausgenutzte Sicherheitslücken.

Die Untersuchung erfasst knapp vier Milliarden Gebotsdatensätze aus vier Monaten. Diese Zahl beschreibt die ausgewerteten Werbeauktionen, nicht die Anzahl infizierter Geräte. Auch eine ausgespielte Anzeige oder ein Kontakt zu einem verdächtigen Server beweist für sich genommen keine erfolgreiche Infektion. Diese Unterscheidung ist für die Bewertung im Betrieb wichtig: Aus der Nutzung einer im Bericht erwähnten App lässt sich kein konkreter Datenabfluss ableiten.

Einwilligungsbanner sind keine Sicherheitsprüfung

Der europäische Datenschutzbezug reicht über die betroffenen Geräte hinaus. Nach Angaben des Citizen Lab nutzte Discover-Tech auch die Verfahren, mit denen die Werbebranche in der EU Einwilligungen verwaltet. Das Unternehmen war bei Google und beim Branchenverband IAB Europe als Anbieter gelistet. Solche Einträge erleichtern den Zugang zu Werbeplätzen und Nutzerdaten. Eine Listung besagt jedoch weder, dass jeder ausgeführte Code sicher ist, noch dass jede spätere Verarbeitung rechtmäßig erfolgt.

netzpolitik.org berichtet gemeinsam mit dem Bayerischen Rundfunk über den Fall und hat beteiligte Unternehmen um Stellungnahmen gebeten. Google bestätigte dem Rechercheteam den Ausschluss von Discover-Tech wegen systematischer Richtlinienverstöße. IAB Europe erklärte, den Anbieter nach einer Prüfung suspendiert zu haben. Discover-Tech und Candiru antworteten auf die dort beschriebenen Presseanfragen nicht.

Die Forschenden fordern Untersuchungen durch Aufsichtsbehörden. Ein rechtskräftig festgestellter DSGVO-Verstoß oder ein neues Bußgeld wird damit nicht berichtet. Für Verantwortliche bleibt aber eine konkrete Prüfaufgabe: Welche Werbepartner erhalten Daten aus den eigenen Angeboten, und wie wird geprüft, was diese Partner darüber hinaus an Empfänger weitergeben?

Was Unternehmen an ihren Dienstgeräten prüfen sollten

Die Empfehlung des Citizen Lab, Werbung auf dienstlichen Geräten möglichst zu blockieren, lässt sich in die bestehende Geräteverwaltung aufnehmen. IT-Verantwortliche sollten prüfen, welche Browser Werbe- und Trackingschutz bieten und welche zusätzlichen Filter im Unternehmensnetz eingesetzt werden können. Bei Apps ist gesondert zu klären, ob deren Anzeigen überhaupt von diesen Filtern erfasst werden. Ein Browser-Werbeblocker schützt nicht automatisch die anderen Apps auf demselben Telefon.

Aktuelle Betriebssysteme und zeitnah eingespielte Sicherheitsupdates bleiben erforderlich. Für besonders gefährdete Beschäftigte, etwa in Redaktionen oder bei vertraulichen Verhandlungen, sollten werbefinanzierte Anwendungen auf Arbeitsgeräten gesondert bewertet werden. Werbeblocker senken die Angriffsfläche; eine Garantie gegen Spionagesoftware sind sie nicht.

Unternehmen mit eigener Werbefinanzierung haben eine zweite Aufgabe. Sie sollten ihre eingebundenen Werbedienste mit den Verträgen und Datenschutzhinweisen abgleichen und beim Anbieter nachfragen, wie manipulierte Anzeigen erkannt und gesperrt werden. Ein Einwilligungsbanner beantwortet diese Sicherheitsfrage nicht. Bei einem konkreten Verdacht auf kompromittierte Geräte müssen IT-Sicherheit und Datenschutz gemeinsam untersuchen, welche Daten erreichbar waren und ob Meldepflichten entstehen. Allein die Lektüre des Berichts löst noch keine Meldung einer eigenen Datenschutzverletzung aus.

Stand: 15.10.2026.