AdFection: Citizen Lab dokumentiert Spyware-Auslieferung über Online-Werbung – was Nutzende und IT-Teams tun können

Stellen Sie sich vor, und das ist ausdrücklich ein fiktives Szenario: Sie öffnen eine App auf Ihrem Smartphone. Unten läuft eine Anzeige, ein Banner wie tausend andere. Sie klicken nicht. Sie wischen nicht einmal darüber. Und genau darum geht es, denn bei Zero-Click-Spyware braucht es Ihre Handlung gar nicht.

Laut Citizen Lab (Report vom 15. Oktober) wurden mindestens 45 Geräte beim Sender Al Jazeera mit Candiru-Spyware angegriffen, ausgeliefert über Werbung der Firma Discover-Tech. Es ist laut Citizen Lab die erste öffentliche Bestätigung dieser Art. Die Forschenden nennen die Technik AdFection.

Das klingt nach Drehbuch. Es steht in einem Forschungsbericht. Wir bei digital-magazin.de haben Report und Executive Summary gelesen und sortieren, was belegt ist, was nicht und was Sie tun können.

Was Citizen Lab zur Spyware-Auslieferung dokumentiert

Der Report trägt die Nummer 195 und erschien am Donnerstag, dem 15. Oktober 2026, zusammen mit einer Executive Summary. Verfasst haben ihn Bill Marczak, Wolfie Christl, John Scott-Railton, Astrid Perry, Siena Anstis und Ron Deibert. Citizen Lab gehört zur Universität Toronto. Laut Citizen Lab erschien der Report zeitgleich mit einer Untersuchung der Firma Confiant.

Das Kernzitat, sinngemäß übersetzt: Dies sei die erste öffentliche Bestätigung von Zero-Click-Söldner-Spyware, die über gezielte Anzeigen ausgeliefert wurde. Man nenne die Technik AdFection und zeige, wie sie genutzt wurde, um Geräte bei Al Jazeera mit Candirus Spyware zu infizieren. (Übersetzung der Redaktion.)

Laut Report wurde Al Jazeera 2024 und 2025 mit einer Serie von Zero-Click-Angriffen ins Visier genommen. Citizen Lab verknüpft sie „with high confidence“, also mit hoher Sicherheit, mit Candirus Spyware. Ausgeliefert wurde sie über Anzeigen von Discover-Tech. Mindestens 45 Geräte bei Al Jazeera waren laut Report Ziel dieser Spyware-Angriffe. Laut Executive Summary wurden Geräte angegriffen und infiziert. Al Jazeera stellte Citizen Lab Netzwerk-Logs zur Verfügung.

Candiru ist laut Report eine Söldner-Spyware-Firma, die sich in „Integrity Labs“ umbenannt hat. Laut Executive Summary stand Candiru auf der Entity List des US-Handelsministeriums.

Discover-Tech ist laut Report eine israelische Firma, die sich als legitime Werbefirma präsentiert. Laut Executive Summary fand Citizen Lab keinen Beleg dafür, dass sie legitimen Werbegeschäften nachging. Die Firma betreibt laut Report die Plattform „Controlium“. Darüber können Söldner-Spyware-Firmen Nutzende über Werbung profilieren und Ziele ohne Klick angreifen. Laut Report arbeitet Discover-Tech offenbar mit mehreren Anbietern aus dem Spyware-Umfeld zusammen.

Wer tiefer einsteigen will, findet die Executive Summary und den Volltext von Report 195 bei Citizen Lab.

Discover-Tech: Werbefirma auf dem Papier

Auf dem Papier sah vieles ordentlich aus. Laut Report präsentiert sich Discover-Tech als legitime Werbefirma. Das ist die Fassade, und sie ist für die Geschichte wichtiger, als es zunächst scheint.

Denn die Executive Summary hält fest: Citizen Lab fand keinen Beleg, dass Discover-Tech legitimen Werbegeschäften nachging. Ein Unternehmen, das nach außen Werbung verkauft und nach den Befunden von Citizen Lab als Zugang für Söldner-Spyware dient. Ein deutlicher Gegensatz.

Dazu kommen die Etiketten. Laut Report stand Discover-Tech von 2020 bis 2026 auf Listen „zertifizierter“ und „genehmigter“ Anbieter, die Google und der Branchenverband IAB Europe führen. Außerdem nutzte die Firma laut Report das Transparency and Consent Framework (TCF) von IAB Europe, um DSGVO-konform zu wirken. Unsere Lesart: Es ging um den Anschein.

Für Sie als Lesende heißt das: Der Hinweis „zertifiziert“ in einer Branchenliste ist kein Qualitätsbeleg. Meiner Einschätzung nach ist das die unbequemste Lehre des Reports. Das System vertraut Etiketten, und Etiketten lassen sich besorgen.

Mehr als diese Fakten ziehen wir bewusst nicht heran. Keine Firmengeflechte, keine Spekulation über Hintergründe. Die Quelle gibt das für unseren Zweck nicht her, und für Ihre Abwehr brauchen Sie es auch nicht.

Warum eine Anzeige bei Spyware mehr ist als ein Bild

Beginnen wir beim Alltäglichen. Gezielte Werbung ist laut Executive Summary meist das Ergebnis einer Gebotsauktion in Sekundenbruchteilen, dem Real-Time Bidding. Dabei werden laut Citizen Lab viele Informationen über Menschen und ihre Geräte verbreitet. Das ist die Grundlage des Geschäfts.

In eigenen Worten und ohne Technik: Eine App oder Website hat einen freien Werbeplatz. Auf der anderen Seite stehen Firmen, die diesen Platz für ihre Botschaft haben wollen. Sie bieten, in einem Wimpernschlag, und wer gewinnt, dessen Anzeige erscheint auf Ihrem Bildschirm. Gebote sind dabei nur Angebote. Erst die Anzeige, die tatsächlich erscheint, ist eine Einblendung.

Entscheidend ist, wie viele Beteiligte in dieser Kette sitzen und wie wenig Zeit bleibt. Wer bietet, sieht Angaben über Gerät und Person. Wer anzeigt, hat selten Einblick, was hinter der gelieferten Anzeige steckt. Das ist unsere Einordnung, keine Aussage aus dem Report.

Dazu kommt ein Detail, das viele nicht auf dem Schirm haben. Laut Report kann eine Online-Anzeige außer Bild oder Video auch Code enthalten, der in der App oder im Browser läuft. Eine Anzeige ist also kein bloßes Poster.

Zum Ablauf gibt die Executive Summary genau diese eine Auskunft: Wird eine scheinbar harmlose Anzeige angezeigt, gehen Werbe-ID und IP-Adresse an Server von Discover-Tech. Nur ausgewählte Ziele erhalten zusätzlichen Code. Die Anzeigen selbst enthalten laut Citizen Lab keinen Exploit-Code. Das half laut Citizen Lab, ihren Zweck vor den ausliefernden Plattformen zu verbergen.

Mehr zur Technik erfahren Sie hier nicht. Aus gutem Grund.

Und was folgt daraus für Ihr Verhalten? Der Klassiker unter den Sicherheitstipps lautet: nicht auf Unbekanntes klicken. Bei Zero-Click-Spyware läuft dieser Rat ins Leere, denn laut Report geschah der Angriff ohne Klick. Meiner Einschätzung nach liegt hier die eigentliche Grenze der Verhaltensregeln. Sie setzen voraus, dass Menschen den Auslöser in der Hand haben.

Unsere Einordnung: Schutz vor Spyware über Werbung muss deshalb früher ansetzen, bevor die Anzeige überhaupt auf dem Gerät landet. Genau darauf zielen die Empfehlungen von Citizen Lab, die wir weiter unten durchgehen. Es geht um weniger Tracking, weniger Anzeigen, weniger Angriffsfläche.

Meiner Einschätzung nach liegt das Brisante im Aufbau. Ein Werbesystem, das auf Tempo und Masse gebaut ist, prüft nicht jede Anzeige so genau, wie es müsste. Wer diese Lücke zwischen Anspruch und Prüfung nutzt, muss nicht an der Haustür klingeln.

75.373 Apps – und was die Zahl nicht bedeutet

Jetzt wird es zahlenlastig, und hier passieren die meisten Missverständnisse. Citizen Lab analysierte laut Report knapp vier Milliarden Gebotsdatensätze, die öffentlich einsehbar auf einer Discover-Tech-Website lagen. Der Zeitraum: März bis Juni 2026.

Laut Report wurden Anzeigen mit Skript-Tags der Angreifenden in 75.373 verschiedenen Android- und iOS-Apps sowie auf 120.768 verschiedenen Websites in mobilen und Desktop-Browsern angezeigt. Citizen Lab betont, dass sich diese Zahlen auf tatsächlich angezeigte Anzeigen beziehen, nicht auf bloße Gebote. Laut Report zeigten iOS-Apps weniger dieser Anzeigen als Android-Apps.

Drei Klarstellungen.

• Gebote sind keine Anzeigen. Die knapp vier Milliarden Datensätze sind das Rohmaterial, nicht die Zahl der ausgespielten Anzeigen.
• Anzeigen sind keine Infektionen. Die 75.373 Apps und 120.768 Websites sind Orte, an denen Anzeigen angezeigt wurden. Es sind keine Opfer, keine Betroffenen und keine infizierten Apps.
• Werbeplatz heißt nicht Mittäterschaft. Unsere Einordnung: Eine App, die einen Werbeplatz ausliefert, ist damit nicht automatisch Teil eines Spyware-Angriffs.

Der Report nennt Beispiele für Apps und Dienste, in denen solche Anzeigen angezeigt wurden. Dazu gehören laut Report der Messenger Viber (mehr als 700.000 dieser Anzeigen auf Android), Yahoo Mail, Opera Mini und Duolingo. Außerdem erwähnt der Report eine Zyklus-App, Dating-Apps und Spiele, jeweils ohne Namen in unserer Darstellung.

Ein Hinweis, der uns wichtig ist: Das sind Werbeplätze, nicht kompromittiert (unsere Einordnung). Der Report erhebt nach unserem Verständnis keinen Vorwurf, diese Apps seien selbst gehackt. Die Apps haben Werbung ausgeliefert, mehr nicht.

Keine Rechnung also, die aus 75.373 etwas anderes macht, als sie ist. Eine Zahl über Anzeigeorte.

Spyware-Anzeigen und Deutschland: meist VPN und Server

Wie sieht es hierzulande aus? Im Volltext nennt Citizen Lab eine deutsche Wetter-App, in der solche Anzeigen angezeigt wurden. Auch hier gilt: Werbeplatz, nicht kompromittiert (unsere Einordnung).

Zur Geolokation listet der Report Gebote für Anzeigen in mehreren Ländern auf, darunter Deutschland. Für die Niederlande, Deutschland und die USA hielt Citizen Lab fest, die Geolokation scheine überwiegend von VPNs oder Server-IPs in diesen Ländern zu stammen. (Sinngemäße Übersetzung.) Bei Deutschland heißt das: überwiegend VPN- oder Server-Adressen.

Das bedeutet nicht, dass Menschen in Deutschland angegriffen wurden. Der Report sagt das nicht. Wir sagen es auch nicht.

Anzeigen in Netzen von EU-Institutionen, NATO und UN

Brisant klingt ein anderer Befund. Laut Report fand Citizen Lab Impressionen, also angezeigte Anzeigen, in Netzen von NATO und Vereinten Nationen. Ebenso aus den Netzen des Europäischen Parlaments, der Europäischen Kommission und des Generalsekretariats des Rates der EU.

Laut Executive Summary gab es solche Impressionen außerdem in Netzen verschiedener Verteidigungsministerien, Streitkräfte, nationaler Cyberbehörden, kritischer Infrastruktur und von Medienorganisationen.

Der Haken, den Citizen Lab selbst benennt: Die Sicht beschränkt sich auf die Daten einer Discover-Tech-Plattform. Sie umfasst nur einen begrenzten Zeitraum und ist unvollständig. Citizen Lab sieht Bedarf an weiteren Untersuchungen.

Und noch einmal, weil es zählt: Impressionen sind keine Infektionen. Eine angezeigte Anzeige in einem Netz sagt, dass sie dort ausgespielt wurde. Mehr nicht.

Werbebranche und Spyware: Die Branche in der Pflicht

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptSecurity researcher in a dim lab analyzing abstract network traffic graphs on multiple monitors, several test smartphones laid out on the desk with cables, focused defensive work atmosphere. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Die Etikettenfrage haben wir oben im Abschnitt zu Discover-Tech beschrieben: Listen „zertifizierter“ und „genehmigter“ Anbieter, dazu das TCF. Hier geht es um die Konsequenzen für die Branche.

Citizen Lab kritisiert, die Branche verwende Begriffe wie „zertifiziert“ und „genehmigt“, prüfe Anbieter aber offenbar nicht ernsthaft. Sie verlasse sich auf Selbstauskünfte, bei denen Anbieter ein Kästchen in einem Online-Formular ankreuzen. Das ist die Einschätzung von Citizen Lab.

Zur Reaktion heißt es im Report, übersetzt: Google, IAB Europe, Beeswax, Vungle (Liftoff) und Eskimi hätten Maßnahmen ergriffen, um Discover-Techs Zugang zum digitalen Werbeökosystem zu kappen. (Übersetzung der Redaktion.) Citizen Lab schickte Anfragen an 13 Firmen. Andere beteiligte Werbeanbieter antworteten laut Report nicht innerhalb der gesetzten Frist. IAB Europe gehört laut Report zu den fünf Firmen, die den Zugang gekappt haben; auf die Anfrage von Citizen Lab antwortete der Verband laut Report nicht innerhalb der gesetzten Frist, sondern am 15. Oktober.

Citizen Lab richtet Forderungen an zwei Adressen. An die Werbebranche:

• bösartige Anzeigen in Echtzeit erkennen und blockieren,
• Bedrohungsdaten teilen,
• Partner nach dem Know-your-Customer-Prinzip prüfen,
• verpflichtende externe Audits für „zertifizierte“ oder „genehmigte“ Anbieterlisten.

An die Regulierung: Discover-Tech und Candiru untersuchen, bestehende Gesetze durchsetzen und prüfen, personenbezogene Daten aus Echtzeit-Werbeauktionen zu entfernen.

Ehrlich gesagt ist das der Teil, der Ihnen als Einzelperson wenig hilft, aber am meisten ändern würde. Ein Siegel ohne Prüfung bleibt ein Aufkleber.

Was Sie auf dem eigenen Gerät gegen Spyware über Werbung tun können

Zuerst die ehrliche Ansage: Laut Citizen Lab reduzieren die folgenden Schritte einige AdFection-Risiken, nicht alle. Sie sind keine Garantie. Sie sind ein Anfang. Die Einordnungen unter den Punkten sind unsere eigenen.

1. Personalisierte Anleitungen nutzen. Citizen Lab empfiehlt, die Hinweise des Security Planner zu befolgen. Unsere Einordnung: Das ist der sinnvolle erste Schritt, weil Ihre Lage nicht der Lage anderer gleicht. Wer wenig Zeit hat, beginnt hier.
2. Werbeblocker im Browser. Eine vertrauenswürdige Werbeblocker-Erweiterung ist laut Citizen Lab ein Baustein. Vertrauenswürdig ist das Stichwort: Wir bei digital-magazin.de haben beschrieben, wie gefälschte Browser-Erweiterungen im Alltag zum Problem werden können. Wählen Sie Erweiterungen mit Bedacht. Unsere Einordnung: Eine Erweiterung bekommt weitreichende Einblicke in Ihr Surfen, deshalb zählt die Quelle mehr als die Funktionsliste.
3. Datensparsamer Browser. Citizen Lab rät, einen Browser zu erwägen, der Tracking blockiert. Unsere Einordnung: Das wirkt im Hintergrund und braucht keine tägliche Pflege. Es ersetzt aber nicht die anderen Schritte.
4. Werbe-ID zurücksetzen. Setzen Sie die mobile Werbe-ID regelmäßig zurück, deaktivieren Sie Ad-Tracking und nutzen Sie Opt-out-Funktionen von Apps. Wie Sie Einstellungen und Berechtigungen auf dem Smartphone prüfen, zeigt unsere Anleitung dazu, App-Berechtigungen unter Android zu prüfen. Unsere Einordnung: Laut Executive Summary gehen bei der Anzeige Werbe-ID und IP-Adresse an Server von Discover-Tech. Eine zurückgesetzte oder abgeschaltete Kennung nimmt dem Profiling Material. Ein Termin im Kalender hilft, es nicht zu vergessen.
5. Werbeblocker im Netzwerk. Erwägen Sie einen Blocker am Heimrouter oder einen vertrauenswürdigen kommerziellen VPN-Dienst mit Werbeblocker. Unsere Einordnung: Das schützt alle Geräte im Haushalt, auch jene, auf denen Sie keine Erweiterung installieren können. Auch hier gilt: Der Dienst muss Ihr Vertrauen verdienen, denn er sieht Ihren Datenverkehr.

Einen vollständigen Schutz vor Spyware gibt es nicht, so unsere Einordnung. Citizen Lab selbst spricht davon, dass die Schritte einige Risiken reduzieren. Jede Maßnahme verkleinert die Angriffsfläche, keine schließt sie. Wer mehrere Schritte kombiniert, steht besser da als jemand, der nur auf einen setzt.

Für Menschen mit erhöhtem Risiko, etwa wegen der eigenen Person oder Tätigkeit, sagt Citizen Lab klar: Suchen Sie Hilfe von Fachleuten.

Was IT-Teams und Behörden gegen Werbe-Spyware tun können

Die Überschrift im Report lautet sinngemäß: Werbeblockierung ist eine bewährte Sicherheitspraxis. (Übersetzung der Redaktion.) Laut Report gibt es derzeit keinen durchgängig sicheren Weg, Nutzende und Netze gezielter Werbung auszusetzen. Starker Satz. Unbequem obendrein.

Für Organisationen empfiehlt Citizen Lab:

• Werbung und Tracking wo möglich am Gateway der Organisation sowie auf Dienst- und Endgeräten blockieren,
• Opt-out aus personalisierter Werbung auf Firmengeräten, zum Beispiel per MDM,
• Anleitungen und leicht nutzbare Werkzeuge für Mitarbeitende bereitstellen,
• auf Browser mit eingebautem Anti-Tracking, Werbeblocker und Unterstützung für Global Privacy Control (GPC) umsteigen,
• Datenverkehr rund um Werbeeinblendungen auf Anzeichen bösartiger Anfragen beobachten.

Wo anfangen, wenn alles gleichzeitig dringend wirkt? Unsere Einordnung, nicht die des Reports, für eine Reihenfolge:

1. Zuerst das Gateway. Eine Blockade an zentraler Stelle wirkt für alle Geräte im Netz auf einmal und braucht keine Mitarbeit der Einzelnen.
2. Danach das Gerätemanagement. Per MDM lassen sich Opt-outs und Einstellungen auf Firmengeräten durchsetzen, statt sie zu erbitten.
3. Dann die Browserwahl. Anti-Tracking, Werbeblocker und GPC-Unterstützung gehören in die Auswahlkriterien.
4. Anschließend die Anleitung für Mitarbeitende. Kurz, verständlich, mit Werkzeugen, die ohne Fachwissen funktionieren.
5. Zuletzt die Beobachtung. Der Blick auf Datenverkehr rund um Werbeeinblendungen ergänzt die Blockade, er ersetzt sie nicht.

Für Behörden gehen die Empfehlungen weiter:

• Werbeblocker auf Behördengeräten und am Gateway verpflichtend machen,
• eindeutige Werbe-IDs auf allen dienstlichen Mobilgeräten deaktivieren, etwa per MDM, und Leitlinien für private Geräte in Behördenräumen aufstellen,
• Sicherheitsrisiken von Browsern mit nicht abschaltbarem Tracking bewerten und deren vorläufigen Ausschluss aus Behördennetzen erwägen.

Wie solche Kampagnen gegen Organisationen aussehen können, haben wir in unserem Beitrag zu Angriffen auf Organisationen mit Star Blizzard und RedFlick beschrieben. Ein anderer Weg, ein ähnliches Muster, so unsere Einordnung: Organisationen sind das Ziel, ihre Geräte der Zugang.

Was der Report nicht sagt

Jetzt kommt unsere Einordnung. Sie gehört ausdrücklich nicht zu den Aussagen von Citizen Lab, sondern beschreibt, was wir im Report nicht finden:

• Der Report nennt keine Zahl mit Spyware infizierter Geräte außerhalb von Al Jazeera.
• Er nennt keine Infektionen in Deutschland.
• Er erhebt nach unserem Verständnis keinen Vorwurf, die genannten Apps seien kompromittiert.
• Er nennt nicht, welche Regierungen die Fähigkeiten nutzen. Laut Report ist das derzeit nicht bekannt.

Wer daraus mehr macht, überdehnt die Quelle. Wer daraus weniger macht, ignoriert den Kern: Ein Ausspielweg für Spyware, der als Werbung getarnt war, hat laut Citizen Lab Geräte bei einem Medienhaus erreicht.

Meiner Einschätzung nach ist die Zurückhaltung des Reports ein Qualitätsmerkmal. Es stehen Fakten drin, wo Fakten sind, und Lücken, wo Lücken sind.

Häufige Fragen zu AdFection und Spyware

Sind die 75.373 Apps mit Spyware infiziert?

Nein. Die 75.373 Apps sind laut Report Orte, an denen Anzeigen mit Skript-Tags der Angreifenden tatsächlich angezeigt wurden. Das sind keine Infektionen, keine Opfer und keine infizierten Apps. Unsere Einordnung: Die Apps haben Werbeplätze ausgeliefert, mehr nicht.

Was heißt Zero-Click?

Zero-Click bedeutet, dass ein Angriff, etwa mit Spyware, ohne Klick der betroffenen Person abläuft. Laut Report wurde Al Jazeera 2024 und 2025 mit einer Serie solcher Zero-Click-Angriffe ins Visier genommen. Unsere Einordnung: Ratschläge wie „nicht klicken“ greifen hier nicht, weshalb Citizen Lab auf Werbeblockierung und weniger Tracking setzt.

Wurden Menschen in Deutschland angegriffen?

Der Report sagt das nicht. Laut Citizen Lab stammte die Geolokation für Deutschland überwiegend von VPNs oder Server-IPs. Im Volltext nennt Citizen Lab eine deutsche Wetter-App als Werbeplatz.

Wer wurde nachweislich angegriffen?

Laut Report wurden mindestens 45 Geräte bei Al Jazeera angegriffen, in einer Serie von Zero-Click-Angriffen 2024 und 2025. Citizen Lab verknüpft sie mit hoher Sicherheit mit Candirus Spyware.

Wer hat reagiert?

Laut Report haben Google, IAB Europe, Beeswax, Vungle (Liftoff) und Eskimi Maßnahmen ergriffen, um den Zugang von Discover-Tech zum digitalen Werbeökosystem zu kappen. IAB Europe gehört laut Report zu diesen fünf Firmen; auf die Anfrage von Citizen Lab antwortete der Verband nicht innerhalb der Frist, sondern am 15. Oktober. Citizen Lab schickte Anfragen an 13 Firmen. Andere beteiligte Werbeanbieter antworteten laut Report nicht innerhalb der gesetzten Frist.

Helfen Werbeblocker gegen AdFection?

Citizen Lab nennt Werbeblockierung eine bewährte Sicherheitspraxis. Die empfohlenen Schritte reduzieren laut Citizen Lab einige AdFection-Risiken, aber nicht alle.

Und jetzt?

Gegen Spyware über Werbung prüfen Sie zuerst Ihr Smartphone: Setzen Sie die Werbe-ID zurück und schalten Sie Ad-Tracking aus. Danach schauen Sie auf den Browser. Ein Werbeblocker aus vertrauenswürdiger Quelle und ein Browser mit Anti-Tracking sind die nächsten Schritte.

Dann kommt das Netzwerk: Ein Blocker am Router oder ein vertrauenswürdiger VPN-Dienst mit Werbeblocker ergänzt die Geräteebene. Wer beruflich oder persönlich exponiert ist, holt sich Hilfe von Fachleuten. IT-Teams setzen die Blockierung am Gateway und per MDM um.

Und die Frage, ob Sie jetzt jede Anzeige fürchten sollten? Nein. Aber ein Werbebanner ist eben doch mehr als ein Bild. Das Banner bleibt, der Blocker auch.