KIAdFection: Wenn schon das Anzeigen einer Werbung zur Infektion führt
Citizen Lab weist erstmals Spyware über gezielte Online-Werbung nach, ganz ohne Klick. Was AdFection bedeutet und wie Kommunen und Firmen sich schützen.
- Security
- Cyber Crime
- Kommunen
Am 15. Oktober 2026 hat das Citizen Lab der Universität Toronto einen Bericht veröffentlicht, der in der IT-Sicherheit für Aufsehen sorgt. Die Forscher weisen erstmals technisch nach, dass staatlich eingesetzte Spionagesoftware über ganz normale Online-Werbung auf Geräte gelangt ist. Die Opfer mussten dafür weder auf einen Link klicken noch eine Datei öffnen. Es genügte, dass die Anzeige auf einer Webseite oder in einer App angezeigt wurde. Die Forscher nennen diese Technik AdFection.
Was ist passiert?
Im Zentrum steht das israelische Werbetechnik-Unternehmen Discover-Tech. Laut Citizen Lab hat es über seine Plattform gezielt Anzeigen an ausgewählte Personen ausgespielt, die Schadcode nachgeladen haben. Nachgewiesen wurde dies unter anderem bei Mitarbeitenden des Nachrichtensenders Al Jazeera. Dort waren in den Jahren 2024 und 2025 mindestens 45 Geräte betroffen, einige davon wurden mit Spyware des Herstellers Candiru infiziert.
mind. 45 Geräte
120.000+ Webseiten
70.000+ Apps
Unter den Webseiten und Apps waren auch große und seriöse Angebote. Ausgespielt wurden die Anzeigen über etablierte Werbeplattformen. Google hat Discover-Tech inzwischen von seinen Werbediensten ausgeschlossen. Bemerkenswert ist auch, wer die Anzeigen zu sehen bekam: Laut den Berichten gehörten dazu Personen aus Militär, Verwaltung, kritischer Infrastruktur und Cybersicherheitsbehörden.
Wie funktioniert der Angriff?
Online-Werbung wird in Echtzeit-Auktionen verkauft, die in Sekundenbruchteilen ablaufen. Bei jeder dieser Auktionen werden Informationen über das Gerät mitgeschickt, etwa die Werbe-ID, die IP-Adresse und häufig auch der ungefähre Standort. Für Werbetreibende ist das praktisch, denn so lassen sich Zielgruppen sehr genau ansprechen. Für Angreifer bedeutet es, dass sich damit auch eine einzelne Person gezielt erreichen lässt. Der Ablauf bei AdFection ist vereinfacht so:
- Der Angreifer kauft Werbeplätze, die nur für das gewünschte Zielgerät ausgespielt werden.
- Die Anzeige enthält ein kleines Skript, das beim Anzeigen weiteren Code nachlädt.
- Dieser Code nutzt eine Schwachstelle im Browser oder in der App aus und installiert die Spyware.
Für den Nutzer sieht die Anzeige völlig unauffällig aus. Er bemerkt nichts.
Betrifft das auch uns?
Ehrlich gesagt: Ein gezielter Angriff mit staatlicher Spionagesoftware ist für die meisten Kommunen und mittelständischen Unternehmen kein realistisches Szenario. Diese Werkzeuge sind teuer und werden gegen ausgewählte Ziele eingesetzt. Trotzdem ist der Bericht aus zwei Gründen wichtig:
- Werbung ist ein Angriffsweg. Bösartige Werbung (Malvertising) ist seit Jahren bekannt. Neu ist der Nachweis, dass sie zielgenau und ganz ohne Zutun des Nutzers funktioniert. Techniken, die heute Spyware-Herstellern vorbehalten sind, werden erfahrungsgemäß früher oder später auch von Kriminellen eingesetzt.
- Führungskräfte und Entscheider stehen im Fokus. Bürgermeisterinnen und Bürgermeister, Amtsleitungen oder Geschäftsführer sind durchaus Personen, für die sich Angreifer interessieren können.
Die Kernaussage
Für eine Infektion über AdFection reicht es, dass eine Werbeanzeige auf dem Gerät dargestellt wird. Ein Klick ist nicht nötig, und die Anzeige kann auch auf seriösen Webseiten erscheinen.
Was können Sie tun?
Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind weder teuer noch aufwendig.
Wirksame Schutzmaßnahmen
Werbung im Firmennetz blockieren
Viele Firewalls können Werbenetzwerke über ihren Webfilter sperren. In der Praxis ist diese Funktion oft deaktiviert, weil sie in Einzelfällen stört, etwa beim Klick auf Anzeigen in Suchergebnissen. Mit einer gezielten Ausnahme lässt sich das lösen, ohne auf den Schutz zu verzichten.
Werbeblocker zentral verteilen
Über Gruppenrichtlinien oder eine Geräteverwaltung lässt sich ein Werbeblocker auf allen Arbeitsplätzen einheitlich ausrollen. Das schützt auch Laptops, die außerhalb des Firmennetzes genutzt werden.
Browser und Apps aktuell halten
Der eigentliche Angriff nutzt Sicherheitslücken. Je schneller Updates installiert werden, desto kleiner ist das Zeitfenster für Angreifer.
Diensthandys absichern
Die Werbe-ID lässt sich auf Smartphones zurücksetzen oder das App-Tracking einschränken. In verwalteten Umgebungen geht das zentral über die Geräteverwaltung.
Schutz auch unterwegs
Geräte im Mobilfunknetz oder im Homeoffice laufen nicht über die Firmen-Firewall. Hier sollte ein Webschutz direkt auf dem Gerät greifen.