Das Wichtigste in Kürze
Gezielte Online-Werbung ist als funktionierender Auslieferungsweg für Zero-Click-Spyware bestätigt. Der Bericht von Citizen Lab vom 15. Oktober 2026 zeigt, wie die Plattform Controlium von Discover-Tech Candiru-Spyware über ganz normale Werbeauktionen auf mindestens 45 Geräte von Al Jazeera brachte. Spielen Ihre mobilen Apps oder Websites Werbung von Drittanbietern aus, gehört dieser Codepfad jetzt in Ihr Bedrohungsmodell.
Was hat Citizen Lab herausgefunden?
Citizen Lab, die Forschungsgruppe für digitale Rechte an der Universität Toronto, legt nach eigenen Angaben den ersten öffentlichen technischen Nachweis vor, dass Söldner-Spyware über gezielte Online-Werbung ausgeliefert wird. Die Forscher ordneten Infektionen von mindestens 45 Windows-Rechnern beim Sender Al Jazeera in den Jahren 2024 und 2025 dem israelischen Spyware-Hersteller Candiru zu und verfolgten die Auslieferung zu Anzeigen zurück, die über Controlium gebucht wurden – eine Targeting-Plattform des israelischen Unternehmens Discover-Tech.
Geholfen haben dabei Sicherheitsfehler von Discover-Tech selbst. Laut Bericht vertraute Controlium unsignierten Nutzerdaten, statt seine Login-Token zu prüfen, und ein Endpunkt ohne Authentifizierung gab rund vier Monate an Login-Protokollen preis. Über diese Logs konnten die Forscher Plattformkonten Candiru-Mitarbeitenden und einem zweiten Anbieter, Bindecy, zuordnen. „Es wurde viel darüber gesprochen, dass sich mit Online-Werbung Ziele präzise identifizieren und hacken lassen – jetzt haben wir den technischen Beleg“, sagte Senior Researcher Bill Marczak gegenüber TechCrunch.
Wie wird aus einer Anzeige ein Exploit?
Der Angriff nutzt die ganz normale Mechanik des Real-Time Bidding. Hat eine App oder Webseite einen Werbeplatz, geht eine Gebotsanfrage hinaus, die Kennungen wie die mobile Werbe-ID, Cookie-IDs und die IP-Adresse des Geräts enthält. Controlium ließ Kunden die Kennungen ausgewählter Ziele hochladen und nur dann bieten, wenn genau diese Geräte auftauchten.
Die siegreiche Anzeige enthielt ein kleines Skript, das einen Server von Discover-Tech kontaktierte. Dieser prüfte Werbe-ID und IP-Adresse erneut und lieferte allen außer dem Ziel nichts zurück. Dem Ziel lieferte er JavaScript, das einen Browser-Exploit nachladen und das Gerät dem Spyware-Betreiber übergeben konnte. Auf dem Bildschirm passiert nichts Sichtbares, und für einen gewöhnlichen Ad-Quality-Scanner wirkt das Werbemittel sauber, weil der schädliche Teil immer nur an ein einziges Gerät geht.
Wie weit reichten die Anzeigen?
Citizen Lab analysierte knapp 4 Milliarden Gebotsdatensätze der Einkaufsplattform von Discover-Tech zwischen März und Juni 2026. Die Anzeigen gewannen rund 442 Millionen Impressionen und erschienen in 75.373 mobilen Apps und auf 120.768 Websites in 161 Ländern – bei einem Budget von etwa 109.000 US-Dollar und null erfassten Conversions. Ein deutliches Zeichen, dass es bei den Kampagnen nicht ums Verkaufen ging.
Impressionen landeten auch in sensiblen Netzen: bei NATO und UN, in EU-Institutionen, in Regierungs- und Verteidigungsnetzen mehrerer europäischer Länder und Australiens sowie laut Confiant im US-Verteidigungsministerium. Nicht jede Impression war ein Angriff, aber jede brachte den Auslieferungsmechanismus vor ein Gerät in diesen Netzen.
Wie hat die Werbebranche reagiert?
Discover-Tech stand seit 2020 auf den Listen zertifizierter Anbieter von Google und IAB Europe. Nachdem die Ergebnisse geteilt wurden, beendete Google den Zugang des Unternehmens zu seinen Ad Exchanges, und IAB Europe entfernte es aus seiner globalen Anbieterliste; Beeswax nahm es heraus, Vungle (Liftoff) setzte den Zugang bis zur Prüfung aus. Discover-Tech, Candiru und Bindecy beantworteten Anfragen von Citizen Lab und Journalisten nicht.
Confiant-CTO Jerome Dangu brachte die Lücke auf den Punkt: Die Branche habe sich gegen Cyberkriminelle optimiert, nicht gegen Überwachung. Betrugsfilter suchen nach massenhaftem Malvertising; eine Kampagne, die ihre Nutzlast an ein einziges Gerät ausliefert, ist genau darauf ausgelegt, unter dieser Schwelle zu bleiben.
Was das für Software-Teams in den USA und der EU bedeutet
Für die meisten Unternehmen ist das direkte Spyware-Risiko gering – Werkzeuge der Candiru-Klasse zielen auf Journalisten, Amtsträger und besonders exponierte Mitarbeitende. Die eigentliche Lehre ist architektonisch. Jedes Werbe-SDK in einer App und jedes Ad-Tag auf einer Website führt Code aus, den Parteien zur Auktionszeit auswählen, mit denen Sie nie einen Vertrag geschlossen haben. Das ist ein Lieferkettenproblem und sollte auch so behandelt werden: mit einem bekannten Inventar der Werbepartner, isoliertem Rendern von Anzeigen und Grenzen dafür, worauf Werbecode zugreifen kann.
Hinzu kommt der Datenschutz. Der Angriff funktioniert, weil Gebotsanfragen stabile Gerätekennungen und IP-Adressen massenhaft verbreiten. In der EU, wo Aufsichtsbehörden und Gerichte Real-Time Bidding unter der DSGVO bereits geprüft haben, dürfte AdFection die Fragen verschärfen, welche Kennungen Apps in den Bid-Stream geben und auf welcher Einwilligungsgrundlage. Für Unternehmen sind die Diensthandys und Laptops von Geschäftsführung, Rechtsabteilung, Security und Mitarbeitenden mit Behördenkontakt der naheliegende Ausgangspunkt.
Was bedeutet AdFection für Unternehmen im DACH-Raum?
Im deutschsprachigen Raum trifft AdFection auf eine Debatte, die längst juristisch geführt wird. Der Europäische Gerichtshof hat 2024 entschieden, dass der Einwilligungs-String des Transparency & Consent Framework von IAB Europe personenbezogene Daten sein kann – also genau jenes Systems, auf dessen Anbieterliste Discover-Tech jahrelang stand. In Deutschland verlangt zudem § 25 TDDDG (vormals TTDSG) grundsätzlich eine Einwilligung, bevor Informationen auf einem Endgerät gespeichert oder ausgelesen werden. Wer Werbe-SDKs in Apps einbindet, sollte die Consent-Logik jetzt nicht nur rechtlich, sondern auch technisch prüfen: Geht die Werbe-ID wirklich erst nach Einwilligung in den Bid-Stream?
Für Verlage, Medienhäuser und App-Anbieter, die sich stark über programmatische Werbung finanzieren, ist die Erkenntnis unbequem: Zertifizierungen und Anbieterlisten ersetzen keine eigene Prüfung der Partner. Behörden, Kommunen und KRITIS-Betreiber, deren Mitarbeitende Diensthandys nutzen, sollten über ihr Mobile Device Management Werbe-IDs deaktivieren oder zurücksetzen und Werbedomains für besonders exponierte Nutzergruppen sperren. Hinweise des BSI zur sicheren Konfiguration mobiler Endgeräte sind dafür ein guter Ausgangspunkt.
Was diese Woche zu tun ist
- Werbecode inventarisieren. Erfassen Sie jedes Werbe-SDK, jeden Mediation-Adapter und jedes Ad-Tag in Ihren Apps und Websites samt der Exchanges und DSPs, die sie erreichen.
- Werbeplätze isolieren. Rendern Sie Web-Anzeigen in Sandbox-iframes mit strikter Content Security Policy; halten Sie in Apps Werbeansichten von authentifizierten Web-Views und sensiblen Daten getrennt.
- Kennungen reduzieren. Geben Sie Werbe-IDs, genaue Standorte oder andere stabile Kennungen nur dann in den Bid-Stream, wenn Geschäftszweck und Einwilligungsgrundlage eindeutig sind.
- Diensthandys härten. Deaktivieren oder setzen Sie per MDM mobile Werbe-IDs zurück, sperren Sie Werbe- und Tracking-Domains für Hochrisiko-Nutzer und halten Sie Browser und Betriebssystem aktuell.
- Werbepartner prüfen. Entfernen Sie etwaige Endpunkte mit Bezug zu Discover-Tech und nehmen Sie Werbepartner in Ihr Third-Party-Risikomanagement auf, statt sich auf Zertifizierungslisten zu verlassen.
Häufige Fragen
Was ist AdFection?
AdFection ist der Name, den Citizen Lab einer Technik gegeben hat, bei der Spyware über gezielte Online-Werbung ausgeliefert wird. Eine scheinbar normale Anzeige enthält ein kleines Skript, das Werbe-ID und IP-Adresse des Geräts an einen Server meldet; passt das Gerät zu einem ausgewählten Ziel, liefert der Server JavaScript, das einen Browser-Exploit nachladen kann. Das Opfer muss nichts anklicken.
Wer steckte hinter der Kampagne?
Laut dem Bericht von Citizen Lab vom 15. Oktober 2026 wurden die Anzeigen über Controlium gebucht, eine Plattform des israelischen Unternehmens Discover-Tech. Citizen Lab ordnete mindestens 45 in den Jahren 2024 und 2025 angegriffene Geräte von Al Jazeera mit hoher Sicherheit der Spyware Candiru zu und verband die Plattform zudem mit dem Anbieter Bindecy. Die Unternehmen antworteten Journalisten nicht.
Wie groß war die Reichweite der Anzeigen?
Citizen Lab analysierte knapp 4 Milliarden Gebotsdatensätze von März bis Juni 2026. Anzeigen von Discover-Tech erschienen in 75.373 mobilen Apps und auf 120.768 Websites in 161 Ländern, darunter Impressionen in Regierungs- und Verteidigungsnetzen in Europa, den USA und Australien.
Was haben die Werbeplattformen unternommen?
Google beendete den Zugang von Discover-Tech zu seinen Ad Exchanges, und IAB Europe entfernte das Unternehmen von seiner Anbieterliste, nachdem die Forschung geteilt wurde. Andere im Bericht genannte Ad-Tech-Firmen haben die Firma entfernt oder pausiert oder bis zur Veröffentlichung nicht reagiert.
Was sollten Unternehmen in Deutschland jetzt tun?
Inventarisieren Sie Werbe-SDKs und Ad-Tags, isolieren Sie Werbeplätze und prüfen Sie technisch, ob Werbe-IDs wirklich erst nach Einwilligung nach § 25 TDDDG und DSGVO weitergegeben werden. Auf Diensthandys sollten Werbe-IDs per MDM deaktiviert und Werbedomains für exponierte Mitarbeitende gesperrt werden. Behandeln Sie Werbepartner wie jeden anderen Drittanbieter-Code in Ihrer Lieferkette.
Quellen
Citizen Lab — Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (October 15, 2026)
TechCrunch — Citizen Lab says governments are abusing online ads to hack people with ‘zero-click’ spyware (October 15, 2026)
CyberScoop — AdFection: How mercenary spyware invades victims’ devices through targeted advertising (October 15, 2026)
The Record — Zero-click spyware infecting devices through online ads, researchers say (October 15, 2026)