Die Infrastruktur für gezielte Werbeanzeigen lässt sich offenbar auch für gezielte Cyberangriffe missbrauchen. Forschende des Citizen Lab von der Universität Toronto und des Ad-Security-Anbieters Confiant haben nach eigenen Angaben erstmals technisch nachgewiesen, dass kommerzielle Zero-Click-Spyware über Onlinewerbung auf einzelne Geräte gelangt ist. So soll das israelische Unternehmen Discover-Tech reguläre Adtech-Plattformen und Werbe-IDs für die Identifikation und Ansprache einzelner Geräte genutzt haben.
Discover-Tech betrieb laut Citizen Lab unter anderem eine eigene Demand-Side-Plattform (DSP). Darüber nahm das Unternehmen an Auktionen teil und sammelte Signale wie Werbe-IDs und IP-Adressen, mit denen sich potenzielle Zielgeräte herausfiltern ließen. Netzpolitik beschreibt die Werbedaten deshalb als eine Art Filter für mögliche Opfer.
Für die gezielte Auswahl betrieb Discover-Tech zudem die Plattform Controlium. Darüber konnten nach Erkenntnissen von Citizen Lab bestimmte Geräte für manipulierte Anzeigen ausgewählt werden. Erreichte eine solche Anzeige das vorgesehene Gerät, konnte beim Rendern der Ad zusätzlicher Javascript-Code von Servern des Unternehmens geladen werden. Ein Klick auf die Werbung war dafür nicht erforderlich.
Eine erfolgreiche Infektion setzte allerdings voraus, dass sich auf dem Zielgerät eine passende Schwachstelle ausnutzen ließ. Bei Al Jazeera dokumentierte Citizen Lab für 2024 und 2025 Zero-Click-Angriffe auf mindestens 45 Geräte. Für einzelne kompromittierte Windows-Systeme konnten die Forschenden anschließend Spyware des israelischen Anbieters Candiru technisch nachweisen, der laut Tagesschau Überwachungssoftware an Regierungen und staatliche Stellen verkauft. Für Android und iOS ist eine erfolgreiche Infektion in diesem Fall bislang nicht belegt.
Milliarden Gebote über reguläre Adtech-Kanäle
Citizen Lab wertete fast vier Milliarden öffentlich zugängliche Datensätze über Gebote von Discover-Tech aus. Zwischen März und Juni 2026 wurden Anzeigen mit den entsprechenden Angriffsskripten demnach in mehr als 75.000 Android- und iOS-Apps sowie auf mehr als 120.000 Websites ausgespielt. Zu den betroffenen Apps gehörten laut Recherchen von BR und Netzpolitik unter anderem Wetter Online, Duolingo, Viber sowie die Dating-Apps Grindr und Badoo.
Dass solche Anzeigen innerhalb einer App oder Website ausgespielt wurden, bedeutet natürlich allerdings weder, dass der jeweilige Anbieter an den Aktivitäten beteiligt war, noch dass die Geräte der Nutzenden automatisch mit Spyware infiziert wurden. Die Anzeigen dienten zunächst der Identifikation und Profilbildung. Für einen erfolgreichen Angriff musste das betreffende Gerät zusätzlich als Ziel ausgewählt werden und eine bestimmte Schwachstelle aufweisen.
Mehrere Player aus dem Adtech-Ökosystem haben inzwischen reagiert. Google entzog Discover-Tech den Zugang zu seinen Ad-Exchange-Plattformen. Beeswax entfernte den Anbieter, Liftoff pausierte den Zugang und Eskimi sperrte dessen Accounts und Domains. Das IAB Europe hat Discover-Tech zudem von seiner Global Vendor List suspendiert. Der Verband erklärte, ein eigenes Audit habe bereits Verstöße gegen die Regeln des Transparency and Consent Framework (TCF) festgestellt.
EVENT-TIPP ADZINE Live - ADZINE CONNECT VIDEO 2026 am 12. November 2026, 09:30 Uhr
ADZINE CONNECT VIDEO ist die Fachkonferenz für digitale Video und (C)TV- Werbung im deutschsprachigen Markt. Hier treffen sich Marketing-Entscheider:innen, Medien, Technologiespezialisten und Branchenexpert:innen seit 2016 zum Business-Networking und den fachlichen Austausch. Jetzt anmelden!
