AdFection: Wie personalisierte Werbung zum Einfallstor für Staatstrojaner wurde

Wer sich gegen personalisierte Werbung wehrt, erntet oft ein Schulterzucken: „Die wollen Dir doch nur Schuhe verkaufen. Wo ist da die Gefahr?" Seit dieser Woche gibt es darauf eine sehr konkrete Antwort. Forscher des Citizen Lab an der Universität Toronto haben nachgewiesen, dass genau die Technik, die Dir passende Schuhe zeigt, benutzt wurde, um Staatstrojaner gezielt auf die Geräte ausgewählter Menschen zu bringen. Klicken musste niemand. Es reichte, dass die Anzeige auf dem Bildschirm erschien.

Die Forscher nennen die Methode „AdFection", ein Wortspiel aus „Ad" (Anzeige) und „Infection" (Infektion). Ihr Bericht erschien am 15. Oktober 2026, zeitgleich mit einer Untersuchung der Werbesicherheitsfirma Confiant. Der Bayerische Rundfunk und netzpolitik.org konnten ihn vorab einsehen und haben eigene Recherchen beigesteuert.

Was passiert ist

Im Mittelpunkt steht die israelische Firma Discover-Tech, gegründet im März 2020. Nach außen trat sie als gewöhnliches Werbeunternehmen auf. Sie bot bei den Auktionen um Werbeplätze mit und war jahrelang bei Google und beim europäischen Branchenverband IAB Europe als offizieller Werbepartner gelistet. Damit stand sie auch in den Partnerlisten der Cookie-Banner, die Du auf europäischen Websites wegklickst. Nach Einschätzung des Citizen Lab dürften fast sechs Jahre lang „Hunderte Millionen Europäer" Einwilligungsabfragen gesehen haben, die als Erlaubnis für Discover-Tech gelesen werden konnten, ihre Daten zu verarbeiten.

Hinter der Fassade betrieb die Firma laut Bericht eine Plattform namens Controlium. Kunden konnten dort mit wenigen Klicks Zielpersonen anhand ihrer Werbe-ID, ihrer Cookie-Kennung oder ihrer IP-Adresse auswählen, ihre Geräte vermessen und ihnen „kontrollierte Anzeigen" ausspielen. Zu den Kunden zählt der Bericht drei Anbieter von Überwachungssoftware: die israelische Firma Candiru, die die USA 2021 auf eine Exportsperrliste gesetzt haben, sowie Bindecy und Intelos.

Nachweislich erfolgreich waren die Angriffe beim katarischen Nachrichtensender Al Jazeera. Dort wurden 2024 und 2025 mindestens 45 Geräte, überwiegend Windows-Rechner, über Online-Werbung mit Candirus Spionagesoftware angegriffen. Al Jazeera stellte den Forschern dafür interne Netzwerkprotokolle zur Verfügung. Als zweites mutmaßliches Ziel nennen BR und netzpolitik.org das saudische Außenministerium.

So funktioniert der Angriff

Der Trick ist einfach und gerade deshalb so wirksam:

• Die Anzeige sieht harmlos aus. Sie enthält keinen Schadcode, nur ein kleines Skript, das auf einen Server von Discover-Tech verweist. Die automatischen Prüfungen der Werbeplattformen finden deshalb nichts. Der Werbevermittler Eskimi sagte später, die Anzeigen seien „gebaut, um automatische Scans zu umgehen".
• Beim Anzeigen meldet sich das Gerät. Sobald die Anzeige in einer App oder auf einer Website erscheint, schickt das Skript die Kennungen des Geräts an den Server: Werbe-ID, Cookie-Kennung, IP-Adresse.
• Der Server entscheidet. Ist das Gerät kein Ziel, kommt eine leere Antwort zurück, null Bytes. Ist es ein Ziel, liefert der Server JavaScript aus, das eine Infektionskette startet. Bei Al Jazeera folgte auf die Anzeige eine Prüfung durch einen Candiru-Server, dann die Vermessung des Geräts, die Infektion und schließlich der Kontakt zum Steuerserver der Angreifer.

Weil fast alle Empfänger nur eine leere Antwort bekommen, fällt die Kampagne kaum auf. Die Werbebranche sieht eine gewöhnliche Anzeige, der Werbescanner sieht eine gewöhnliche Anzeige, und der Mensch, um den es geht, sieht auch nur eine Anzeige.

Die Reichweite: 75.000 Apps, 120.000 Websites

Discover-Tech hat nicht nur ein paar Zielpersonen beliefert. Von März bis Juni 2026 erschienen ihre Anzeigen laut Citizen Lab in mehr als 75.000 Apps für iPhone und Android und auf mehr als 120.000 Websites. Confiant schätzt das Volumen auf rund 10 Millionen Einblendungen pro Tag. Zu den betroffenen Apps gehören nach Angaben von BR und netzpolitik.org die deutsche Wetter-App WetterOnline, die Sprachlern-App Duolingo, der Messenger Viber und die Dating-Apps Grindr und Badoo. Bei WetterOnline stand Discover-Tech bis Februar 2025 in der Datenschutzerklärung, als einer von damals mehr als 800 Partnern. Den App-Anbietern wird nicht vorgeworfen, von den Angriffen gewusst zu haben. Sie haben ihre Werbeplätze über die üblichen Kanäle verkauft.

Manipulierte Anzeigen tauchten auch auf Geräten in den Netzwerken der UNO, der NATO, der EU, von Regierungen, Militär, kritischer Infrastruktur, 20 internationalen Medienhäusern und großen Technologie- und Chipkonzernen auf. Eine Einblendung bedeutet nicht automatisch eine Infektion, betonen die Forscher. Aber mindestens wurden Daten gesammelt, aus denen sich Profile bilden lassen.

Neu ist die Idee nicht. Schon 2023 berichtete die israelische Zeitung Haaretz über das System „Sherlock" der Firma Insanet, das Spionagesoftware über Werbenetzwerke verteilen sollte. Ende 2025 zeigten die „Intellexa Leaks", dass der Hersteller des Staatstrojaners Predator mit „Aladdin" einen ähnlichen Weg gebaut hatte. Neu ist, dass nun erstmals technische Belege für erfolgreiche Infektionen auf diesem Weg öffentlich vorliegen.

Die wichtigste Lehre: Das Werbeprofil ist das Zielfernrohr

Personalisierte Werbung wird gern als lästig, aber harmlos abgetan. AdFection zeigt, warum das ein Irrtum ist. Damit Dir eine Anzeige „passend" ausgespielt werden kann, muss das Werbesystem Dich wiedererkennen: an Deiner Werbe-ID, an Deinen Cookies, an Deiner IP-Adresse, an Deinem Standort, an den Apps, die Du nutzt. Bei jeder einzelnen Werbeeinblendung werden diese Daten an Hunderte Firmen verschickt, die um den Platz mitbieten. Mitbieten kann jeder, der als Werbepartner zugelassen ist, und die Daten bekommt er auch dann, wenn er die Auktion verliert.

Genau diese Infrastruktur haben die Angreifer benutzt. Sie mussten Dich nicht hacken, um Dich zu finden. Die Werbebranche hatte Dich schon gefunden, vermessen und adressierbar gemacht. Der Unterschied zwischen „Zeig dieser Person Laufschuhe" und „Schick dieser Person einen Trojaner" ist in diesem System nur eine Einstellung im Kundenmenü.

Wolfie Christl, Forscher am Citizen Lab und Mitautor des Berichts, sagt es deutlich: „Die Online-Werbung ist kaputt. Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko." Das Bundesamt für Verfassungsschutz sieht ein „erhebliches Gefährdungspotenzial" und spricht von einer weiteren Vorgehensweise, die staatlich gesteuerten Cyberakteuren zur Verfügung steht. Der Bericht selbst kommt zu dem Schluss, es gebe derzeit „keinen durchgängig sicheren Weg", Nutzer und Netzwerke gezielter Werbung auszusetzen.

Wer jetzt denkt „Ich bin ja kein Journalist bei Al Jazeera": Dieselben Werbeprofile werden längst auch anders verwertet. Standortdaten aus Werbe-Apps sind käuflich, und Behörden kaufen sie, statt einen richterlichen Beschluss einzuholen. Darüber haben wir in unserem Beitrag Wie Behörden den richterlichen Beschluss zur Überwachung umgehen berichtet. Und wie trickreich Werbetracking werden kann, zeigt der Fall AliExpress und das Tracking per unhörbarem Ton.

Wie reagiert wurde

Google hat Discover-Tech nach der gemeinsamen Untersuchung mit Citizen Lab und Confiant von seinen Werbeplattformen ausgeschlossen, wegen „systematischer Verstöße" gegen seine Richtlinien. IAB Europe hat die Firma am 8. Oktober von seiner Partnerliste gestrichen und erklärt, man könne nicht feststellen, ob über Discover-Tech Spionagesoftware auf Geräte gelangt sei. Auch die Werbeplattformen Beeswax und Eskimi haben die Firma gesperrt, Vungle hat den Zugang vorläufig ausgesetzt. Discover-Tech und Candiru haben auf Anfragen nicht geantwortet.

Das Grundproblem bleibt. Discover-Tech fiel jahrelang niemandem auf, obwohl die Firma bei den wichtigsten Stellen der Branche zugelassen war. Laut Citizen Lab prüft die Branche ihre Partner offenbar kaum. Die nächste Tarnfirma braucht nur einen neuen Namen.

Gegenmaßnahmen: So schützt Du Dich

Die gute Nachricht: Ein Angriff über Werbung braucht eine Werbeanzeige. Wo kein Werbeskript geladen wird, gibt es auch kein Einfallstor. Die Forscher des Citizen Lab empfehlen ausdrücklich, Werbung zu blockieren.

• Werbeblocker im Browser: Installiere uBlock Origin, am besten in Firefox. In Chrome gibt es nur noch die abgespeckte Fassung uBlock Origin Lite. Ein Werbeblocker ist keine Bequemlichkeit, sondern Sicherheitswerkzeug.
• Werbung im ganzen Netzwerk filtern: Apps laufen am Browser vorbei. Ein DNS-Filter wie Pi-hole oder AdGuard Home im Heimnetz, ein Router mit Blocklisten oder ein DNS-Dienst mit Werbefilter hält Werbeserver auch von Apps, Smart-TVs und Gästegeräten fern. Auf Android lässt sich ein solcher Dienst unter „Privates DNS" eintragen.
• Werbe-ID löschen: Sie ist die Kennung, über die Discover-Tech Ziele ausgewählt hat. Auf Android löschst Du sie in den Einstellungen unter Datenschutz bzw. Google, Abschnitt „Werbung" → „Werbe-ID löschen". Auf dem iPhone schaltest Du unter Einstellungen → Datenschutz & Sicherheit → Tracking die Option „Apps erlauben, Tracking anzufordern" aus.
• Weniger werbefinanzierte Apps: Jede kostenlose App mit Werbung ist ein Fenster, durch das fremder Code auf Dein Gerät kommt. Lösche, was Du nicht brauchst. Zahle für werbefreie Versionen, nutze die Web-Version mit Werbeblocker oder werbefreie Alternativen, etwa aus dem App-Store F-Droid.
• Cookie-Banner konsequent ablehnen: Discover-Tech stand in genau diesen Partnerlisten. Klicke „Alle ablehnen" und schalte auch das „berechtigte Interesse" ab. Die Browser-Erweiterung Consent-O-Matic erledigt das automatisch.
• Sofort aktualisieren: Am Ende braucht jede Infektion eine Sicherheitslücke im Browser oder Betriebssystem. Updates schließen sie. Wer Updates aufschiebt, lässt die Tür länger offen.
• Für besonders gefährdete Menschen: Journalisten, Aktivisten, Anwälte, Politiker und Mitarbeiter sensibler Einrichtungen sollten auf dem iPhone den Blockierungsmodus und auf Android den erweiterten Schutz einschalten. Beide schränken gerade die Browser-Techniken ein, die solche Angriffe nutzen. Ein alternatives Betriebssystem wie GrapheneOS geht noch weiter. Das Citizen Lab rät Regierungen, Werbeblocker auf Dienstgeräten vorzuschreiben und Werbe-IDs dort abzuschalten. Das gilt sinngemäß für jedes Arbeitsgerät mit vertraulichen Daten.
• Tor Browser für heikle Recherchen: Er kennt keine Werbe-ID, lässt alle Nutzer gleich aussehen und schaltet in der Stufe „Am sichersten" JavaScript ganz ab. Mehr Grundlagen stehen in unserem 10-Punkte-OPSEC-Programm für anonymes Surfen.

Ausführlich zu Werbeblockern, Tracking und sicherem Surfen schreiben wir in unserem E-Book „Anonym im Netz – Der praktische Guide 2026".

Offen ist noch vieles: wer die Kunden von Bindecy und Intelos waren, ob auch Menschen in Deutschland infiziert wurden und ob Datenschutzbehörden gegen Discover-Tech und die beteiligten Werbefirmen vorgehen. Das Citizen Lab hat bereits einen Folgebericht zu einem weiteren Akteur angekündigt, der Werbe-IDs mit Telefonnummern verknüpft. Wir bleiben dran und aktualisieren diesen Artikel, sobald es belastbare Neuigkeiten gibt.

Quellen: Citizen Lab – Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (15.10.2026) · tagesschau.de / BR Recherche – Spionagesoftware per Onlinewerbung · netzpolitik.org – Angriff auf Al Jazeera: Der Trojaner kam per Online-Werbung (15.10.2026) · heise online – AdFection: Wie Online-Werbung zum Einfallstor für Staatstrojaner wird (15.10.2026) · CyberScoop – AdFection: How mercenary spyware invades victims' devices through targeted advertising · Amnesty International Security Lab – To Catch a Predator: Intellexa Leaks (12/2025) · The Register – Insanet „Sherlock": Spyware über Werbenetzwerke (09/2023)