Spyware über Werbung: Wie eine Anzeige Geräte ohne Klick infizierte

Die schnelle Antwort: Das Citizen Lab der Universität Toronto hat am 15. Oktober 2026 erstmals technisch nachgewiesen, dass Spyware über ganz normale Werbeanzeigen verteilt wurde, ohne dass jemand klicken musste. Die Anzeigen der israelischen Firma Discover-Tech liefen in über 75.000 Apps, darunter Wetter Online. Bestätigt infiziert wurden gezielt ausgewählte Geräte, nicht die breite Masse der Nutzer.

Was das Citizen Lab herausgefunden hat

Das Citizen Lab ist eine Forschungsgruppe der Universität Toronto, die seit Jahren staatliche Überwachungssoftware aufspürt. Bekannt wurde sie unter anderem durch Analysen zur Spyware Pegasus. Im am 15. Oktober 2026 veröffentlichten Bericht, der zeitgleich mit einer Untersuchung der Werbesicherheitsfirma Confiant erschien, beschreiben die Forscher eine Methode, die sie „AdFection“ nennen: Infektion per Anzeige.

Im Mittelpunkt steht die Discover-Tech Ltd, eine 2020 gegründete Firma aus Israel. Nach außen tritt sie als Anbieter von Werbetechnik auf, mit einer Plattform namens Controlium. Laut Citizen Lab lassen sich damit Internetnutzer über Werbe-IDs, IP-Adressen und weitere Gerätedaten identifizieren, einzelne Geräte auswählen und gezielt weiter ausspähen oder infizieren. Die Forscher kommen zu dem Schluss, dass die Firma vor allem als Brücke zwischen Werbebranche und Spyware-Herstellern dient. Auftraggeber war demnach Candiru, ein israelischer Hersteller sogenannter Söldner-Spyware, der inzwischen als Integrity Labs auftritt und seit 2021 auf der schwarzen Liste des US-Handelsministeriums steht.

Bestätigt ist die Infektion von Geräten mit Bezug zum Nachrichtensender Al Jazeera. Mindestens 45 Geräte wurden laut Bericht 2024 und 2025 angegriffen, Al Jazeera hat die Angriffe auf seine Beschäftigten verurteilt. Wer darüber hinaus ins Visier geriet, ist offen. Wie The Record berichtet, erschienen die Anzeigen auch in Netzen von Regierungsstellen und internationalen Organisationen. Google und IAB Europe haben Discover-Tech Anfang Oktober aus ihren Anbieterverzeichnissen entfernt, auch mehrere Werbenetzwerke haben die Zusammenarbeit beendet.

So funktioniert ein Angriff über eine Werbeanzeige

Um zu verstehen, warum eine Anzeige gefährlich werden kann, hilft ein Blick auf das sogenannte Real-Time Bidding. Jedes Mal, wenn Sie eine kostenlose App öffnen oder eine Nachrichtenseite laden, wird der freie Werbeplatz in Sekundenbruchteilen versteigert. Ihr Gerät schickt dabei Angaben wie Werbe-ID, ungefähren Standort und Gerätetyp an die Bieter. Das ist wie eine Auktion, bei der jeder Interessent vorher einen Steckbrief des Publikums bekommt. Discover-Tech hat in diesen Auktionen ganz regulär mitgeboten.

Der entscheidende Moment ist das Laden der Anzeige. Eine Werbeanzeige ist technisch gesehen ein kleines Programm, das beim Anzeigen Code ausführt. Laut Bericht führte die Anzeige automatisch jeden JavaScript-Code aus, den der Server von Discover-Tech zurückschickte. War ein Gerät nicht ausgewählt, kam eine leere Antwort zurück, und nichts geschah. Das macht den Angriff so schwer zu entdecken: Die Werbenetzwerke selbst bekamen den Schadcode nie zu sehen. Ein Exploit ist dabei ein Stück Code, das eine Sicherheitslücke im Browser oder Betriebssystem ausnutzt, gewissermaßen ein Dietrich für ein bestimmtes Schloss. Zero-Click heißt, dass Sie dafür nichts tun müssen, weder tippen noch etwas herunterladen.

Genau an dieser Stelle setzt ein DNS-Filter an. DNS ist das Telefonbuch des Internets: Bevor Ihr Gerät einen Server erreicht, fragt es nach dessen Adresse. Sperrt der DNS-Dienst die Namen von Werbenetzwerken und Spähservern, bekommt das Gerät keine Adresse zurück, die Anzeige lädt nicht und das Skript kann sich nirgends melden. Wie DatenputzerDNS Werbung und Tracker auf iPhone, Android, Windows und im WLAN-Router sperrt.

Wetter Online und Co.: Was bedeutet das für normale Nutzer?

Für die meisten Menschen gibt es zunächst Entwarnung. Das Citizen Lab schreibt ausdrücklich, dass eine angezeigte Anzeige von Discover-Tech für sich genommen noch keine gezielte Auswahl und keine Infektion bedeutet. In den allermeisten Fällen wurde der Nutzer, der die Anzeige sah, nicht ausgewählt. Die betroffenen Apps waren auch nicht selbst manipuliert. Wetter Online, MX Player, Viber, Duolingo oder weather.com haben lediglich Werbeplätze über Werbenetzwerke vermarktet, und dort kaufte Discover-Tech ein wie jeder andere Werbekunde.

Beruhigend ist das nur zum Teil. Zum einen wurden laut Bericht Hunderttausende bis Millionen Geräte zumindest an Server von Candiru weitergeleitet. Zum anderen nutzt laut Citizen Lab ein weiterer Akteur, den die Forscher „Dark Cartographer“ nennen, die Infrastruktur von Discover-Tech, um Werbe-IDs mit Telefonnummern zu verknüpfen. Wer so verknüpft ist, ist nicht mehr anonym. Ihre Werbe-ID wird dann zur Hausnummer, unter der Fremde Sie wiederfinden.

Diesen Steckbrief füttern auch Datenhändler, die Werbe-IDs, Interessen und Standortmuster zu Profilen zusammenführen und an die Werbeindustrie weitergeben. Je weniger dort über Sie gespeichert ist, desto weniger lässt sich bei der nächsten Auktion mit Ihnen anfangen. Ihre Werbeprofile bei über 100 Datenbrokern löschen lassen.

Was Sie jetzt konkret tun sollten

Das Citizen Lab empfiehlt Privatpersonen einen seriösen Werbeblocker, einen datenschutzfreundlichen Browser und das regelmäßige Zurücksetzen der Werbe-ID. Wir haben diese Empfehlungen in Schritte übersetzt, die Sie heute in wenigen Minuten erledigen:

• 1. Updates sofort installieren: Spyware wie die von Candiru braucht eine Sicherheitslücke im Browser oder im Betriebssystem. Jedes Update schließt solche Lücken. Aktivieren Sie automatische Updates für System, Browser und Apps, gerade auf älteren Handys, die nur noch selten Aktualisierungen bekommen.
• 2. Werbe-ID löschen oder sperren: Unter Android finden Sie die Option unter Einstellungen, Datenschutz, Werbung, „Werbe-ID löschen“. Auf dem iPhone schalten Sie unter Einstellungen, Datenschutz und Sicherheit, Tracking den Schalter „Apps erlauben, Tracking anzufordern“ aus. Welche Einstellungen es je nach Hersteller sonst noch gibt, zeigt unsere Schritt-für-Schritt-Anleitung zum Löschen der Werbe-ID auf Android und iPhone.
• 3. Werbung systemweit blockieren, nicht nur im Browser: Ein Werbeblocker als Browser-Erweiterung erreicht die Anzeigen in Apps nicht, und genau dort liefen über 75.000 der betroffenen Werbeplätze. Ein DNS-Filter wirkt dagegen für alle Apps des Geräts oder, im Router eingerichtet, für jedes Gerät im WLAN. DNS-Schutz für Handy, PC und Router einrichten.
• 4. Browser mit Trackingschutz nutzen: Firefox, Brave oder Safari blockieren viele Werbe- und Trackingskripte schon ab Werk. Im Browser ergänzt eine seriöse Erweiterung wie uBlock Origin den Schutz.
• 5. Bei erhöhtem Risiko den Härtungsmodus einschalten: Arbeiten Sie als Journalist, in einer Behörde, für eine Menschenrechtsorganisation oder in einem sensiblen Unternehmen, aktivieren Sie auf dem iPhone den Blockierungsmodus (Lockdown Mode) und unter Android den Erweiterten Schutz. Beide Modi schränken genau die Funktionen ein, über die Exploits typischerweise eindringen.
• 6. Werbefreie Versionen erwägen: Viele beliebte Apps, auch Wetter-Apps, bieten eine werbefreie Bezahlversion an. Wer eine App täglich nutzt, entzieht sich damit der Werbeauktion in dieser App vollständig.

Was ein DNS-Filter leisten kann und was nicht

Wir möchten an dieser Stelle ehrlich sein, denn falsche Sicherheit ist gefährlicher als gar keine. DatenputzerDNS sperrt bereits im Schutzgrad Standard die großen Werbenetzwerke, über die Anzeigen in Apps typischerweise ausgeliefert werden, darunter auch Netzwerke, über die laut Bericht Anzeigen von Discover-Tech liefen. Am 16. Oktober 2026 haben wir zusätzlich die zentralen Server von Discover-Tech, Controlium und Candiru aus dem Citizen-Lab-Bericht in unsere Sperrlisten aufgenommen, denn in den von uns genutzten Listen fehlten sie bislang. Eine Anzeige, die nicht lädt, kann kein Skript ausführen.

Zwei Grenzen bleiben. Erstens kann ein Angreifer neue Servernamen registrieren, und jede Sperrliste hinkt einer neuen Kampagne zunächst hinterher. Zweitens schließt ein DNS-Filter keine Sicherheitslücke. Gelangt ein Exploit auf einem anderen Weg auf das Gerät, hilft nur ein aktuelles System. DNS-Schutz senkt also die Angriffsfläche erheblich, ersetzt aber keine Updates. Für die meisten Menschen ist diese Kombination der wirksamste Schutz, der im Alltag ohne Aufwand funktioniert. Warum klassische Werbeblocker am Handy oft scheitern, erklärt unser Beitrag über Werbeblocker auf dem Handy und den Umweg über DNS.

Häufige Fragen zu Spyware über Werbeanzeigen

Warum Werbung jetzt eine Sicherheitsfrage ist

Der Fall Discover-Tech verschiebt die Debatte. Bisher ging es bei Werbeblockern um Komfort und Datenschutz, nun geht es um die Frage, welcher fremde Code auf Ihrem Gerät laufen darf. Jede Anzeige, die Sie sehen, wurde von jemandem ausgewählt, den Sie nicht kennen, und bringt Code mit, den niemand vorher geprüft hat. Das Citizen Lab rät Regierungen sogar, Werbung auf Dienstgeräten und am Netzzugang grundsätzlich zu blockieren. Was für Behörden gilt, ist für Privathaushalte nicht falsch. Mit DatenputzerDNS sperren Sie Werbenetzwerke, Tracker und bekannte Spähserver auf Ihren Geräten und im WLAN, ohne App und ohne dass wir aufzeichnen, welche Seiten Sie aufrufen. Werbung und Tracker für den ganzen Haushalt sperren.