{"id":7319,"date":"2026-10-20T09:21:17","date_gmt":"2026-10-20T07:21:17","guid":{"rendered":"https:\/\/computershop.eu\/blog\/?p=7306"},"modified":"2026-10-20T09:56:39","modified_gmt":"2026-10-20T07:56:39","slug":"adfection-wie-konnen-online-werbung-spyware-verbreiten","status":"publish","type":"post","link":"https:\/\/computershop.eu\/blog\/de\/adfection-wie-konnen-online-werbung-spyware-verbreiten","title":{"rendered":"AdFection: Wie k\u00f6nnen Online-Werbung Spyware verbreiten?"},"content":{"rendered":"Reading Time: <\/span> 8<\/span> minutes<\/span><\/span>\n

Online-Werbung wurde entwickelt, um Werbetreibende mit Nutzern zu verbinden, die an bestimmten Produkten und Dienstleistungen interessiert sind. Eine Untersuchung von Citizen Lab, dem digitalen Sicherheitsforschungslabor der University of Toronto, zeigt jedoch, dass dieselbe Infrastruktur f\u00fcr \u00dcberwachung und ausgekl\u00fcgelte Spyware-Angriffe ausgenutzt werden kann.<\/p>\n\n\n\n

Im offiziellen Bericht, ver\u00f6ffentlicht von Citizen Lab<\/a>, dokumentieren die Forscher eine Technik namens AdFection<\/strong>, bei der gezielte Anzeigen zur Bereitstellung von Spyware verwendet werden k\u00f6nnen, ohne dass das Opfer auf einen Link klicken oder eine Datei \u00f6ffnen muss. <\/p>\n\n\n\n

Die Untersuchung identifiziert eine Infrastruktur, die mit dem israelischen Unternehmen Discover-Tech und seiner Plattform Controlium in Verbindung steht. Laut den Autoren soll diese sowohl die Identifizierung und Profilierung von Nutzern als auch die Verbreitung kommerzieller Spyware, entwickelt von Candiru (sp\u00e4ter bekannt als Integrity Labs), erm\u00f6glicht haben. Ein besonders wichtiges Element ist die technische Best\u00e4tigung von Citizen Lab: Die Forscher geben an, Ger\u00e4te der Medienorganisation Al Jazeera identifiziert zu haben, die \u00fcber gezielte Online-Anzeigen mit Spyware infiziert wurden.<\/p>\n\n\n\n

Der Bericht beschr\u00e4nkt sich nicht auf einen Einzelfall. Die Autoren analysieren Milliarden von Werbedatens\u00e4tzen, Software-Infrastrukturen, Verbindungen zwischen Anbietern und technische Daten, um zu erkl\u00e4ren, wie f\u00fcr Werbung entwickelte Systeme in einen Spionagekanal umgewandelt werden k\u00f6nnen.<\/p>\n\n\n\n

Wie funktioniert ein Zero-Click-Spyware-Angriff \u00fcber Werbung?<\/h2>\n\n\n\n

Um die AdFection-Technik zu verstehen, muss man analysieren, wie Anzeigen auf Websites und in Apps ausgeliefert werden. Die meisten Nutzer sehen Anzeigen als Bilder, Videos oder Banner. In Wirklichkeit umfasst programmatische digitale Werbung eine komplexe Infrastruktur, bestehend aus Gebotsplattformen, Vermittlern, Werbetreibenden und Anbietern von Werbetechnologie.<\/p>\n\n\n\n

Echtzeit-Werbegebote<\/h3>\n\n\n\n

Wenn ein Nutzer eine Webseite oder Anwendung \u00f6ffnet, die Anzeigen anzeigt, kann ein Prozess namens Real-Time Bidding<\/em> (RTB) stattfinden. Innerhalb k\u00fcrzester Zeit bewerten Werbeplattformen die M\u00f6glichkeit, eine bestimmte Anzeige zu schalten. Gebotsanfragen k\u00f6nnen Informationen wie IP-Adresse, Werbe-Identifikatoren, Ger\u00e4teeigenschaften und Daten \u00fcber die aufgerufene Anwendung oder Seite enthalten.<\/p>\n\n\n\n

Diese Informationen k\u00f6nnen die Ausrichtung von Anzeigen auf bestimmte Nutzerkategorien oder sogar auf einzelne Ger\u00e4te erm\u00f6glichen, je nach den verf\u00fcgbaren Identifikatoren. Das System ist auf die Personalisierung von Werbung ausgelegt, aber die F\u00e4higkeit, Nutzer zu identifizieren und Code an Ger\u00e4te zu senden, schafft auch M\u00f6glichkeiten f\u00fcr Missbrauch.<\/p>\n\n\n\n

Ausf\u00fchrung des der Anzeige zugeordneten Codes<\/h3>\n\n\n\n

Eine digitale Anzeige enth\u00e4lt nicht immer nur ein Bild oder ein Video. Sie kann Skripte und Komponenten enthalten, die von verschiedenen Vermittlern bereitgestellt und im Browser oder in der Anzeigeumgebung der Anwendung ausgef\u00fchrt werden.<\/p>\n\n\n\n

Laut der Analyse von Citizen Lab konnte die mit Discover-Tech verbundene Infrastruktur Java-Skripte verwenden, um zus\u00e4tzlichen Code von den vom Unternehmen kontrollierten Servern anzufordern. In einem Angriffsszenario kann der zus\u00e4tzliche Code an einen bestimmten Nutzer gerichtet werden, anstatt an alle Personen, die die Anzeige sehen.<\/p>\n\n\n\n

Zielidentifizierung und Spyware-Bereitstellung<\/h3>\n\n\n\n

Laut den Forschern erm\u00f6glichte die Controlium-Plattform die Verwaltung von Benutzer-Identifikatoren, die Konfiguration von Kampagnen und die Beobachtung von Daten im Zusammenhang mit Werbeanfragen. Diese F\u00e4higkeit konnte genutzt werden, um Zielger\u00e4te zu identifizieren und Code zum Zeitpunkt der Anzeigenanzeige zu liefern. Wenn das Ger\u00e4t die notwendigen Bedingungen erf\u00fcllte und die ausgenutzten Schwachstellen vorhanden waren, konnte der Angriff mit der Installation der Spyware fortgesetzt werden.<\/p>\n\n\n\n

Dies ist die Bedeutung des Begriffs Zero-Click<\/strong>: Das Opfer muss nicht explizit mit der Anzeige interagieren, damit der Angriff stattfindet. Es ist wichtig zu betonen, dass die Anzeige einer Werbung nicht automatisch zur Infektion jedes Ger\u00e4ts f\u00fchrt. Der beschriebene Angriff setzt eine speziell entwickelte Infrastruktur, die Auswahl des Ziels und das Vorhandensein technischer Bedingungen voraus, die die Kompromittierung des Systems erm\u00f6glichen.<\/p>\n\n\n\n

Was haben die Forscher \u00fcber Discover-Tech und die Controlium-Plattform herausgefunden?<\/h2>\n\n\n\n

Citizen Lab beschreibt Discover-Tech als ein Unternehmen, das sich als legitimer Anbieter von digitaler Werbung pr\u00e4sentierte, aber eine Rolle als Vermittler zwischen dem Werbe-\u00d6kosystem und mehreren Anbietern von \u00dcberwachungstools gehabt haben soll. Seine Plattform, Controlium, ist eines der zentralen Elemente der Untersuchung.<\/p>\n\n\n\n

Laut dem Bericht hat die Analyse der Schnittstelle und des Codes der Plattform Funktionen zur Kampagnenkonfiguration, zur Verwaltung von Benutzer-Identifikatoren, zur Abfrage von Werbeanfragen und zur \u00dcberpr\u00fcfung von Anzeigenaufrufen gezeigt. Die Forscher identifizierten auch Mechanismen, durch die Code bedingt an bestimmte Ger\u00e4te \u00fcbertragen werden konnte.<\/p>\n\n\n\n

Der Bericht pr\u00e4sentiert auch Beweise f\u00fcr Verbindungen zwischen Discover-Tech und mehreren Unternehmen in der kommerziations\u00fcberwachungsbranche, darunter Candiru\/Integrity Labs, Intelos und Bindecy. Art und Umfang der Beziehungen unterscheiden sich je nach Unternehmen und den analysierten Beweisen; es sollte nicht angenommen werden, dass alle diese Unternehmen in jedem Angriff dieselbe Rolle gespielt haben.<\/p>\n\n\n\n

Ein weiterer wichtiger Aspekt ist die Serverinfrastruktur, die zur Bereitstellung der Skripte verwendet wird. Citizen Lab beschreibt Server, die entscheiden konnten, ob ein bestimmter Identifikator berechtigt war, zus\u00e4tzlichen Code zu erhalten. In bestimmten Situationen gaben die Server keinen Inhalt zur\u00fcck, was die Beobachtung des Mechanismus durch Personen, die nicht Teil der Zielgruppe waren, erschweren konnte. <\/p>\n\n\n\n

Diese Erkenntnisse zeigen, warum die technische Analyse digitaler Werbung mehr als nur die visuelle Untersuchung eines Banners erfordern kann. Um einen Angriff zu verstehen, m\u00fcssen Forscher Gebotsdaten, Code, Netzwerkinfrastruktur und technische Identifikatoren korrelieren.<\/p>\n\n\n\n

Fast vier Milliarden Werbeaufzeichnungen analysiert<\/h2>\n\n\n\n

Einer der relevantesten Beitr\u00e4ge des Citizen Lab-Berichts ist die Analyse des Volumens der Werbeaktivit\u00e4t, die mit der von Discover-Tech betriebenen MyDSP-Plattform verbunden ist. Die Forscher analysierten fast vier Milliarden Werbegebotsaufzeichnungen f\u00fcr den Zeitraum M\u00e4rz bis Juni 2026. Die Daten deuten darauf hin, dass die mit dem Unternehmen verbundenen Anzeigen auf \u00fcber 120.000 Websites und in \u00fcber 75.000 Android- und iOS-Anwendungen geschaltet wurden.<\/p>\n\n\n\n

Der Bericht unterscheidet zwischen der Anzahl der Gebotsanfragen, der Anzahl der gewonnenen Gebote und den tats\u00e4chlich angezeigten Anzeigen. Diese Kategorien sind nicht gleichwertig und sollten nicht als Anzahl der Opfer oder infizierten Ger\u00e4te interpretiert werden. F\u00fcr denselben Zeitraum zeigten die von den Forschern analysierten MyDSP-Daten etwa 3,77 Milliarden Gebote und etwa 442 Millionen gewonnene Anzeigen an. Die Autoren identifizierten auch ein erhebliches Volumen an Geboten, die mit Anzeigen verbunden waren, die Skripte zu enthalten schienen, die auf NOAS-Server hinwiesen, die im untersuchten Mechanismus verwendet wurden.<\/p>\n\n\n\n

Dem Bericht zufolge wurden solche Anzeigen Nutzern in zahlreichen L\u00e4ndern und \u00fcber eine Vielzahl von Anwendungen und Websites angezeigt. Die geografischen Daten basieren teilweise auf IP-Adressen, und Citizen Lab warnt, dass die IP-Geolokalisierung ungenau sein kann, auch aufgrund von VPNs oder der Netzwerkinfrastruktur.<\/p>\n\n\n\n

Diese Zahlen zeigen das Ausma\u00df der analysierten Werbeinfrastruktur, nicht die Tatsache, dass Hunderte Millionen von Menschen infiziert wurden. Die Exposition gegen\u00fcber einer Anzeige, die Identifizierung eines Nutzers und die Kompromittierung eines Ger\u00e4ts sind unterschiedliche Ereignisse. Dieser Unterschied ist wesentlich f\u00fcr die korrekte Interpretation des Berichts und zur Vermeidung einer \u00dcbertreibung des Risikos.<\/p>\n\n\n\n

Der Fall Al Jazeera: technische Beweise f\u00fcr Spyware-Infektion<\/h2>\n\n\n\n

Citizen Lab gibt an, Ger\u00e4te innerhalb des Al Jazeera-Netzwerks identifiziert zu haben, die mit kommerzieller Spyware infiziert waren, die der Firma Candiru (sp\u00e4ter bekannt als Integrity Labs) zugeschrieben wird. Der Bericht pr\u00e4sentiert technische Beweise, die die Vorf\u00e4lle von 2024 und 2025 mit der untersuchten Werbeinfrastruktur in Verbindung bringen. Die Forscher analysierten unter anderem Infektionsketten, technische Parameter und Daten, die mit den f\u00fcr die Angriffe verwendeten Systemen verbunden sind.<\/p>\n\n\n\n

Die Bedeutung dieses Falls liegt darin, dass die Untersuchung nicht nur die theoretische M\u00f6glichkeit beschreibt, Werbung f\u00fcr Cyberangriffe zu nutzen; die Autoren geben zudem an, den technischen Einsatz dieses Mechanismus zur Kompromittierung tats\u00e4chlicher Ger\u00e4te dokumentiert zu haben. F\u00fcr Medienorganisationen k\u00f6nnen solche Angriffe schwerwiegende Folgen haben. Der unbefugte Zugriff auf die Ger\u00e4te von Journalisten kann Quellen, vertrauliche Kommunikation und Informationen \u00fcber laufende Ermittlungen gef\u00e4hrden.<\/p>\n\n\n\n

Der Fall sollte jedoch nicht als Beweis daf\u00fcr interpretiert werden, dass jeder Journalist oder Nutzer einer im Bericht genannten Anwendung infiziert wurde. Das Vorhandensein einer Anzeige in einer Anwendung ist nicht gleichbedeutend mit der Infektion aller ihrer Nutzer.<\/p>\n\n\n\n

Welche Daten k\u00f6nnen gesammelt werden und welche Risiken bestehen f\u00fcr die Privatsph\u00e4re?<\/h2>\n\n\n\n

Der Citizen Lab-Bericht analysiert zwei unterschiedliche Bedrohungskategorien: \u00dcberwachung durch Daten des Werbe-\u00d6kosystems und Kompromittierung von Ger\u00e4ten durch Spyware. Ersteres kann auch ohne die Installation eines b\u00f6sartigen Programms auftreten. Die durch Werbegebote generierten Daten k\u00f6nnen die Korrelation von Identifikatoren mit IP-Adressen, ungef\u00e4hren Standorten, verwendeten Anwendungen und Aktivit\u00e4tsmustern erm\u00f6glichen. Diese Praxis ist relevant f\u00fcr das, was die Branche als Advertising Intelligence<\/em> oder ADINT bezeichnet: die Nutzung von Werbedaten f\u00fcr Analyse- und \u00dcberwachungszwecke.<\/p>\n\n\n\n

Die zweite Kategorie birgt ein schwerwiegenderes Risiko. Wenn es einem Angreifer gelingt, Spyware auf einem Ger\u00e4t zu installieren, h\u00e4ngen die zug\u00e4nglichen Informationen vom Programm, den ausgenutzten Schwachstellen und dem erlangten Zugriffslevel ab. Je nach den F\u00e4higkeiten des Tools k\u00f6nnen Kommunikationen, Dateien, Fotos und andere pers\u00f6nliche Daten offengelegt werden.<\/p>\n\n\n\n

Citizen Lab beschreibt auch eine separate Operation, von den Forschern DARK CARTOGRAPHER genannt, die Schwachstellen in mobilen Netzwerken ausnutzen soll, um Werbe-Identifikatoren mit Telefonnummern zu verkn\u00fcpfen. Die Autoren geben an, dass die Untersuchung dieses Akteurs noch l\u00e4uft und dass weitere Analysen ver\u00f6ffentlicht werden sollen.<\/p>\n\n\n\n

Das Risiko beschr\u00e4nkt sich daher nicht auf b\u00f6sartige Werbung. Es umfasst auch die M\u00f6glichkeit, die f\u00fcr die Personalisierung von Anzeigen gesammelten Daten in ein Instrument zur Identifizierung und Verfolgung von Personen umzuwandeln.<\/p>\n\n\n\n

Wie kann man sich vor \u00fcber Werbung verbreiteter Spyware sch\u00fctzen?<\/h2>\n\n\n\n

Ein Zero-Click-Angriff erfordert keine offensichtliche Aktion des Benutzers. Aus diesem Grund reicht das blo\u00dfe Vermeiden verd\u00e4chtiger Links nicht aus, um alle Risiken zu eliminieren. Es gibt jedoch Ma\u00dfnahmen, die die Exposition reduzieren und die Ger\u00e4tesicherheit verbessern k\u00f6nnen.<\/p>\n\n\n\n

Betriebssystem und Anwendungen aktualisieren<\/h3>\n\n\n\n

Installieren Sie Sicherheitsupdates f\u00fcr Android, iOS, Windows, macOS und die verwendeten Browser. Diese k\u00f6nnen Schwachstellen beheben, die zur Kompromittierung von Ger\u00e4ten ausgenutzt werden k\u00f6nnten. Updates bieten keinen absoluten Schutz vor fortschrittlichen \u00dcberwachungstools, sind aber ein wesentlicher Bestandteil der Verteidigung.<\/p>\n\n\n\n

Reduzieren Sie die Exposition gegen\u00fcber Werbe-Tracking<\/h3>\n\n\n\n

\u00dcberpr\u00fcfen Sie die Datenschutzeinstellungen Ihres Telefons und Browsers<\/a>. Beschr\u00e4nken Sie Werbe-Identifikatoren und Berechtigungen f\u00fcr Anwendungen, die keinen Zugriff auf den Standort oder andere sensible Informationen ben\u00f6tigen.<\/p>\n\n\n\n

Anti-Tracking-Schutz und Werbeblocker k\u00f6nnen bestimmte Formen der Datenerfassung reduzieren und die Exposition gegen\u00fcber einigen b\u00f6sartigen Anzeigen begrenzen. Diese Tools garantieren jedoch nicht die Verhinderung von Zero-Click-Angriffen.<\/p>\n\n\n\n

Erweiterte Sicherheitsfunktionen nutzen<\/h3>\n\n\n\n

Benutzer mit hohem Risiko, wie Journalisten, Aktivisten und Personen, die vertrauliche Informationen verwalten, sollten die erweiterten Schutzfunktionen ihrer Betriebssysteme bewerten. In organisatorischen Umgebungen k\u00f6nnen Ma\u00dfnahmen die Ger\u00e4te\u00fcberwachung, strenge Aktualisierungsrichtlinien, zentralisiertes Sicherheitsmanagement und Verfahren zur Reaktion auf Vorf\u00e4lle umfassen.<\/p>\n\n\n\n

Interpretieren Sie gew\u00f6hnliche Symptome nicht als Beweis f\u00fcr Spyware-Infektion<\/h3>\n\n\n\n

Ein schnell entladender Akku, ein sich erw\u00e4rmendes Telefon oder ein ungew\u00f6hnlicher Datenverbrauch beweisen an sich nicht die Existenz von Spyware. Wenn es konkrete Hinweise auf einen ausgekl\u00fcgelten Angriff gibt, wird empfohlen, das Ger\u00e4t von einem Cybersicherheitsexperten bewerten zu lassen.<\/p>\n\n\n\n

In solchen Situationen sollte das Zur\u00fccksetzen des Telefons nicht automatisch als ausreichende L\u00f6sung betrachtet werden, insbesondere wenn Beweise f\u00fcr eine Untersuchung aufbewahrt werden m\u00fcssen.<\/p>\n\n\n\n

Welche Ma\u00dfnahmen wurden nach der Untersuchung von Citizen Lab ergriffen?<\/h2>\n\n\n\n

Der Bericht zeigt, dass die Forscher ihre Ergebnisse an Anbieter von Werbetechnologie und Branchenorganisationen weitergeleitet haben. Laut Citizen Lab haben Google und IAB Europe Discover-Tech aus ihren Listen der zugelassenen Anbieter entfernt, und Beeswax hat dem Unternehmen den Zugang zu seiner Plattform entzogen. Vungle (Liftoff) und Eskimi haben ebenfalls Ma\u00dfnahmen zur Aussetzung oder Blockierung des Zugangs ergriffen.<\/p>\n\n\n\n

Diese Interventionen sind wichtig, da sie zeigen, dass die Verhinderung von Missbrauch nicht ausschlie\u00dflich den Nutzern \u00fcberlassen werden kann. Werbeanbieter spielen eine direkte Rolle bei der \u00dcberpr\u00fcfung von Partnern, der \u00dcberwachung ihres Verhaltens und der Unterbrechung des Zugangs, wenn glaubw\u00fcrdige Beweise f\u00fcr Missbrauch vorliegen.<\/p>\n\n\n\n

Citizen Lab fordert auch die Untersuchung m\u00f6glicher Verst\u00f6\u00dfe gegen geltende Gesetze durch Discover-Tech und Candiru\/Integrity Labs. Dieser Aufruf ist von einem Gerichtsurteil zu unterscheiden: Der Bericht pr\u00e4sentiert Forschungsergebnisse und Empfehlungen, stellt aber nicht die endg\u00fcltige rechtliche Verantwortung der Unternehmen fest.<\/p>\n\n\n\n

Warum stellt diese Art von Spyware ein Problem f\u00fcr die gesamte Werbebranche dar?<\/h2>\n\n\n\n

Die Untersuchung beleuchtet ein strukturelles Problem: Die Werbeinfrastruktur erm\u00f6glicht den Umlauf sehr gro\u00dfer Datenmengen und involviert zahlreiche Vermittler, ohne dass der Nutzer alle technischen Komponenten sehen oder kontrollieren kann, die an der Anzeige einer Werbung beteiligt sind. Ein Anbieter, der Zugriff auf Werbe-Identifikatoren und Mechanismen zur Code-Bereitstellung hat, kann die M\u00f6glichkeit haben, diese Funktionen \u00fcber den deklarierten kommerziellen Zweck hinaus zu nutzen.<\/p>\n\n\n\n

Im Fall von AdFection behauptet Citizen Lab, dass diese Infrastruktur f\u00fcr \u00dcberwachung, Profilierung und die Bereitstellung von Spyware ausgenutzt wurde. Die Forscher sind der Ansicht, dass die Situation systemische M\u00e4ngel in der Art und Weise aufzeigt, wie die Werbebranche die an Geboten teilnehmenden Akteure \u00fcberpr\u00fcft und \u00fcberwacht.<\/p>\n\n\n\n

Zur Risikoreduzierung sind strengere Anbieter\u00fcberpr\u00fcfungen, unabh\u00e4ngige technische Audits, die Beschr\u00e4nkung des Datenzugriffs, effiziente Melde- und Interventionsmechanismen sowie eine sorgf\u00e4ltige Bewertung der Art und Weise erforderlich, wie Drittanbietercode in Anwendungen und Browsern ausgef\u00fchrt werden kann. Diese Ma\u00dfnahmen sind nicht nur f\u00fcr Werbeunternehmen relevant, sondern auch f\u00fcr Anwendungsentwickler, Website-Administratoren, \u00f6ffentliche Institutionen und Organisationen, die sensible Daten verwalten.<\/p>\n\n\n\n

Digitale Werbung muss als Cybersicherheitsrisiko behandelt werden<\/h2>\n\n\n\n

Der Citizen Lab-Bericht \u00fcber AdFection dokumentiert, wie die Infrastruktur der Online-Werbung f\u00fcr \u00dcberwachung und die Verbreitung von Zero-Click-Spyware ausgenutzt werden kann. Die Analyse von Discover-Tech, der Controlium-Plattform und der Verbindungen zu Anbietern kommerzieller Spyware zeigt, dass die Risiken des Werbe-\u00d6kosystems \u00fcber den Bereich des Datenschutzes und des Trackings zu Marketingzwecken hinausgehen.<\/p>\n\n\n\n

F\u00fcr Nutzer sind die Aktualisierung von Ger\u00e4ten, die Begrenzung des Werbe-Trackings und die Nutzung geeigneter Sicherheitsfunktionen wichtige Ma\u00dfnahmen, auch wenn sie nicht alle Risiken eliminieren k\u00f6nnen. F\u00fcr die Branche ist die Hauptlehre, dass die \u00dcberpr\u00fcfung von Anbietern, die \u00dcberpr\u00fcfung der Infrastruktur und schnelles Eingreifen bei Missbrauch zentrale Bestandteile der Sicherheit digitaler Werbung werden m\u00fcssen.<\/p>\n\n\n\n

Wenn eine Anzeige in ein Spionagetool umgewandelt werden kann, h\u00e4ngt die Online-Sicherheit nicht mehr nur davon ab, was der Nutzer tut, sondern wird zur Verantwortung des gesamten technologischen \u00d6kosystems.<\/p>\n\n\n\n

Quelle: citizenlab.ca<\/a><\/p>\n\n\n\n

Hinweis: Bild generiert von KI<\/em><\/p>\n\t

\r\n\t