Spyware über die Ad-Tech-Kette: Citizen Lab dokumentiert Zero-Click-Auslieferung von ‚AdFection'
Ein am 15. Oktober 2026 veröffentlichter Bericht von Citizen Lab, der Forschungsgruppe der Universität Toronto, beschreibt eine Methode zur Auslieferung von Spionagesoftware mit ungewöhnlich niedriger Hürde für das Opfer: Die Ausspielung einer zielgerichteten Online-Werbung genügte. Der Angriff, den die Forscher AdFection nennen, erforderte keinen Klick, keinen Download und keinen Bestätigungsdialog. Laut dem sechsköpfigen Team hinter dem Bericht gelangte die bezahlte Spionagesoftware über dieselbe Werbeinfrastruktur zu ihren Zielen, von der sich auch etablierte Websites finanzieren.
Der Befund ist für alle relevant, die bekannte Nachrichtenseiten und andere etablierte Domänen von vornherein als sichere Oberflächen betrachten. Die Infektionen ereigneten sich nicht auf einer unseriösen Seite und nicht über eine Phishing-Nachricht. Sie geschahen in den Werbeplatzierungen gewöhnlicher Webseiten, platziert über Netzwerke, die die meisten Publisher nie prüfen und die die meisten Leser nicht sehen können. Ein Werbeplatz ist einer der wenigen Orte, an denen fremde Inhalte automatisch in eine Seite geladen werden – was ihn zu einem naheliegenden Untersuchungsgegenstand für alle macht, die Angriffsfläche statt Reputation betrachten. Wie ein Werbeplatz zur Auslieferungspipeline wurde
Der Bericht, ‚Exposing AdFection', dokumentiert, wie Discover-Tech, ein israelisches Ad-Tech-Unternehmen, die bösartigen Werbeanzeigen in Auftrag gab und bezahlte und sie gezielt zu ausgewählten Zielen steuerte. Hinter der Kampagne stand Candiru, der Anbieter bezahlter Spionagesoftware, der nach Angaben von Citizen Lab heute verdeckt unter dem Namen ‚Integrity Labs' operiert. Indem sich die Operation in das Werbeökosystem einkaufte, verband sie einen Spyware-Lieferanten mit einem Kanal, dem Publisher und ihr Publikum kaum einen Grund hatten zu misstrauen. Citizen Lab bestätigte Infektionen auf Geräten von Mitarbeitenden von Al Jazeera, deren eigene Berichterstattung den Fall stützt. Nach Angaben des Committee to Protect Journalists waren mindestens 45 Geräte betroffen. Die Forscher schreiben weiter, es gebe Hinweise darauf, dass auch das saudische Außenministerium zu den Zielen gehörte; dieser Teil ist unbestätigt und sollte als Behauptung und nicht als gesicherte Tatsache gelesen werden. Das definierende Merkmal von AdFection ist, dass das Sehen der Werbung und die Infektion zusammenfielen. Die Opfer klickten nichts an und installierten nichts. Im üblichen Modell ist das Urteil der Nutzer die letzte Kontrollinstanz, die versagen muss; bei diesem Angriff war diese Kontrollinstanz gar nicht Teil der Kette. Die Browser-Sicherheitsforschung hat die Vorstellung, dass bereits die Konfrontation mit Webinhalten ein Gerät kompromittieren könnte, jahrelang als theoretischen Worst Case behandelt; der Bericht zeigt, wie das in der Praxis gegen konkrete Personen über eine kommerzielle Pipeline vollzogen wird. Die Reaktion der Branche
Sobald die Ergebnisse öffentlich waren, begannen Teile der Werbebranche, dem Unternehmen die Anbindung zu entziehen. Wie die deutsche Tech-Seite Tarnkappe berichtet, beendete Google den Zugang von Discover-Tech zu seiner Werbeplattform, und IAB Europe strich das Unternehmen aus seinen Verzeichnissen. Beeswax/FreeWheel und Eskimi lösten die Partnerschaft mit Discover-Tech, und Vungle/Liftoff setzte den Zugang vorläufig aus. Al Jazeera, deren Mitarbeitende zu den Infizierten gehören, hat den Fall unabhängig aufgearbeitet, und Fachportale für IT-Sicherheit wie The Record haben die Ergebnisse aufgegriffen. Die Breite der Reaktion ist selbst bemerkenswert: Innerhalb weniger Tage nach Veröffentlichung veränderte ein einziger Forschungsbericht die kommerzielle Position eines Ad-Tech-Unternehmens auf mehreren zentralen Plattformen der Branche. Was das für die operative Sicherheit bedeutet
Für Menschen, die operative Sicherheit ernst nehmen, ist die Lektion unbequem. Die meisten persönlichen Empfehlungen drehen sich darum, was man nicht anklicken darf, und sie setzen voraus, dass Vorsicht im Moment der Interaktion genügt. Ein Auslieferungskanal, der keine Interaktion benötigt, hebt diese Voraussetzung auf. Was bleibt, sind Patches, Werbeblocker und Filter auf Netzwerkebene – Kontrollen, die viele Menschen, auch technisch versierte Nutzer, nicht durchgängig betreiben. Eine vertrauenswürdige Seite ist nur so sauber wie die Inhalte von Drittanbietern, die sie einbindet, und Werbung ist der am weitesten verbreitete Inhalt von Drittanbietern im Netz. Wir haben uns bereits den Datenschutz-Preis eingebetteter Widgets von Drittanbietern angesehen; AdFection zeigt, dass es bis zur vollständigen Kompromittierung des Geräts gehen kann. Der Fall klingt zudem an ältere Geschichte an. In den späten 2000er-Jahren machten Drive-by-Downloads bösartige Seiten allein schon durch einen Besuch gefährlich, und der übliche Rat lautete, sich von zweifelhaften Seiten fernzuhalten und Software aktuell zu halten. AdFection gehört in diese Reihe, kehrt die Geometrie aber um: Der bösartige Inhalt reiste über seriöse Publisher zum Opfer statt umgekehrt. Ein Werbenetzwerk ist funktional betrachtet ein globales System zur Verbreitung von Inhalten mit begrenzter Transparenz darüber, wer für eine Platzierung bezahlen kann und wer das Ergebnis zu sehen bekommt. Diese Intransparenz ist kein Zufall des Systems; sie ist Teil des Marktdesigns. Bis sich das ändert, ist es der vernünftige Standard, jede eingebettete Werbung auf jeder Seite als nicht vertrauenswürdigen Inhalt zu behandeln.
