Ein israelisches Werbeunternehmen hat nach Erkenntnissen des Citizen Lab jahrelang als Brücke zwischen der Online-Werbebranche und der Spionage-Software-Industrie fungiert. Über manipulierte Anzeigen wurde Zero-Click-Spyware auf Geräte von Journalisten und Behörden gespielt – ohne jede Interaktion der Betroffenen. Die Recherche legt strukturelle Schwächen eines Werbemarkts offen, der täglich Hunderte Milliarden Auktionen abwickelt.
Ein neuer Angriffsweg namens AdFection
Wer eine Nachrichtenseite öffnet oder eine App startet, löst im Hintergrund eine Auktion aus. Innerhalb von Sekundenbruchteilen bieten Dutzende Werbevermittler auf die Einblendung einer Anzeige; die Gebote enthalten Angaben zu Gerät, IP-Adresse und Werbe-ID. Diese Infrastruktur ist nach Einschätzung des Citizen Lab an der University of Toronto nun erstmals nachweislich für Spionage missbraucht worden. Die Forscher nennen die Technik AdFection und bezeichnen ihren Bericht vom 15. Oktober 2026 als ersten öffentlichen technischen Nachweis, dass kommerzielle Zero-Click-Spyware über gezielte Werbung verbreitet wird 1.
Das Muster ist in allen dokumentierten Fällen gleich. Eine Anzeige der israelischen Firma Discover-Tech wird ausgeliefert. Sie enthält ein Skript, das beim Rendern eine Verbindung zu einem firmeneigenen „NOAS-Server“ aufbaut und die Werbe-ID des Geräts übermittelt. Der Server prüft anhand von IP-Adresse und Kennung, ob der Nutzer ein Ziel ist. Ist er es, liefert er JavaScript zurück, das eine Schwachstelle im Browser ausnutzt und Spyware installiert – ohne Klick, ohne Download, oft ohne sichtbare Spur. Ist er es nicht, antwortet der Server mit einer leeren Antwort 1.
Entscheidend ist die Trennung der Zuständigkeiten: Die Werbenetzwerke, über die die Anzeigen ausgeliefert werden, sehen den schädlichen Code nie. Er wird erst zur Laufzeit nachgeladen. Genau diese Konstruktion hat die Aufdeckung über Jahre erschwert.
„Das Werbeökosystem wird in massivem Umfang als Waffe eingesetzt, um Millionen Nutzer zu profilieren und Ziele still mit Zero-Click-Spyware zu infizieren“, heißt es in dem Bericht 1 2.
Al Jazeera: 45 Geräte im Visier
Der bislang konkreteste Fall betrifft den katarischen Sender Al Jazeera. Nach Auswertung von Netzwerkprotokollen, die der Sender den Forschern zur Verfügung stellte, wurden 2024 und 2025 mindestens 45 Geräte ins Visier genommen, ein Teil davon infiziert 1 3. Die Protokolle zeigen eine charakteristische Abfolge: erst Kontakt zu Discover-Tech-Infrastruktur, dann zu einem „Validator“-Server von Candiru, schließlich zu einem Kommando- und Kontrollserver 1.
Die Zuordnung stützt sich auf eine aus einem kompromittierten Gerät isolierte Windows-DLL mit hartcodierten Serveradressen. Deren Funktionsweise – eine bestimmte Form der Persistenz, eine wiederkehrende XOR-Verschleierung, identische Konnektivitätstests – deckt sich mit einer Candiru-Kette, die das Citizen Lab bereits 2021 dokumentiert hatte 1. Der Sender berichtete selbst über die Ergebnisse 5.
Candiru, zwischenzeitlich in „Integrity Labs“ umbenannt, steht seit November 2021 auf der Entity List des US-Handelsministeriums. Zur Begründung hieß es damals, das Unternehmen habe Spyware an ausländische Regierungen geliefert, die damit unter anderem Journalisten, Aktivisten und Regierungsbeamte ins Visier genommen hätten 1. 2025 übernahm laut israelischen Medienberichten die US-Firma Integrity Partners die Geschäfte für 30 Millionen Dollar 1.
Al Jazeera ist nicht der einzige Medienbetrieb, in dessen Netzwerken die Anzeigen ausgespielt wurden. Die Forscher fanden Einblendungen in den Netzen von Medienhäusern in Australien, Dänemark, Frankreich, Mexiko, Israel, Italien, Norwegen und Schweden. Die Anzeigen erschienen zudem auf reichweitenstarken Websites wie nytimes.com, bbc.com, cbc.ca, foxnews.com und haaretz.co.il 1. Wichtig ist die Unterscheidung: Eine Einblendung belegt zunächst nur ein Profiling, nicht zwingend eine Infektion.
Wer hinter Discover-Tech steckt
Discover-Tech tritt als gewöhnliche Werbefirma mit eigener Nachfrageplattform (DSP) auf. Laut israelischem Handelsregister wurde die Firma im März 2020 von Dekel Boni gegründet, der zuvor bei Werbeunternehmen wie Digital Turbine und Taptica tätig war. Kurz nach der Gründung trat Eric Banoun in den Verwaltungsrat ein, der als Mitgründer der Überwachungsfirmen Circles und Senpai Technologies gilt; er verließ das Gremium im Januar 2025 1.
Zu den Anteilseignern zählte zeitweise die auf den Britischen Jungferninseln registrierte Chaia Services Ltd. Deren Direktorin Sara Hamou war laut einer Recherche der Zeitung Haaretz für das Firmengeflecht des Spyware-Konzerns Intellexa tätig und wurde von einem griechischen Gericht im Zusammenhang mit dem Predator-Skandal zu acht Jahren Haft verurteilt, das Verfahren läuft in der Berufung 1.
Die Forscher beschreiben Discover-Tech als „Brücke“ zwischen Werbeindustrie und Spyware-Ökosystem. Neben Candiru nennen sie die israelischen Firmen Bindecy und Intelos sowie einen bislang nicht identifizierten Akteur namens DARK CARTOGRAPHER, der über Werbe-IDs Telefonnummern von Nutzern zuordnen soll. Ein Folgebericht dazu ist angekündigt 1. Die israelische Herkunft der beteiligten Firmen betont auch die Berichterstattung von Forbes 6.
Milliarden Gebote, Hunderttausende Websites
Die Dimension wird an den Zahlen deutlich. Auf einer offen zugänglichen Datenbank von Discover-Tech werteten die Forscher knapp vier Milliarden Gebotsdatensätze aus. Zwischen März und Juni 2026 bot die firmeneigene Plattform MyDSP auf 3,77 Milliarden Anzeigenplätze und gewann 441,9 Millionen davon – rund 11,7 Prozent. 76,7 Prozent der Gebote galten mobilen Apps, 23,3 Prozent dem Browser 1.
Anzeigen mit angreifbarem Skript-Tag wurden in 75.373 Android- und iOS-Apps sowie auf 120.768 Websites ausgespielt. Zu den Apps zählten unter anderem MX Player, Viber, Truecaller, Duolingo, Opera Mini und die Wetter-App von Wetter Online 1.
Bemerkenswert ist die Reichweite in sicherheitsrelevante Netze. Die Forscher identifizierten Einblendungen in Netzwerken von NATO und Vereinten Nationen, des Europäischen Parlaments, der EU-Kommission und des Ratssekretariats sowie in Behörden- und Infrastrukturnetzen in Norwegen, Schweden, Dänemark und Australien. Auch Netzwerke von Halbleiter- und Rüstungsunternehmen wie Intel, Nvidia, ARM, Raytheon und Elbit Systems tauchen in den Daten auf 1. Die parallel veröffentlichte Analyse der Werbesicherheitsfirma Confiant fand Hinweise auf Einblendungen in Netzen der Internationalen Atomenergiebehörde und des Internationalen Strafgerichtshofs 4.
Konsequenzen für die Werbeindustrie
Für die Branche ist der Fall ein Reputationsproblem. Discover-Tech stand von 2020 bis Anfang Oktober 2026 auf Listen, die Google und der europäische Werbeverband IAB Europe als Ausweis von Seriosität führen – bei Google als „Certified External Vendor“ und „Ad Technology Provider“, bei IAB Europe im „Global Vendor List“ des Consent-Frameworks 1. Beide Organisationen strichen das Unternehmen nach den Recherchen aus ihren Verzeichnissen.
Google teilte mit, es habe Discover-Tech den Zugang zu seinen Werbebörsen entzogen und Safe-Browsing-Warnungen für bekannte Domains aktiviert. Beeswax (FreeWheel/Comcast) entfernte das Unternehmen von seiner Einkaufsplattform, Vungle (Liftoff) pausierte den Zugang, Eskimi sperrte Konten und Domains 1. Eskimi räumte ein, die Tags hätten je nach Betrachter unterschiedlichen Code geladen und so die automatische Prüfung umgangen 1.
Die Forscher kritisieren, die Zertifizierungen beruhten weitgehend auf Selbstauskunft. Sie fordern verpflichtende Audits, Know-your-Customer-Prüfungen und eine Untersuchung durch Aufsichtsbehörden. Für Behörden empfehlen sie, Werbung auf Dienstgeräten zu blockieren 1. Zwei US-Behörden, NSA und CISA, hatten bereits 2018 und 2020 auf die Gefahr durch Malvertising hingewiesen 1.
Discover-Tech, Candiru, Bindecy, Intelos, Xandr (Microsoft Advertising), Sunteng und Affle antworteten nicht innerhalb der gesetzten Frist. Die Firmen Adtimizer und Volasim wiesen eine Beteiligung an Spyware-Aktivitäten zurück 1.
Einordnung
Der Fall markiert eine Zäsur, weil er zwei bislang getrennte Probleme verbindet: die kaum regulierte Überwachungsindustrie und den intransparenten programmatischen Werbemarkt. Bislang galt Malvertising vor allem als Vehikel für Kriminelle, die Erpressungssoftware oder Krypto-Diebstahl verbreiten. Dass nun staatlich beauftragte Spyware über dieselbe Infrastruktur ausgeliefert wird, verschiebt die Risikolage.
Auch für Medienhäuser ist die Botschaft unangenehm. Werbetreibende Systeme sind Teil ihrer Lieferkette – und damit potenziell Teil der Angriffsfläche. Das Citizen Lab empfiehlt Redaktionen, ihre Protokolle systematisch auf AdFection-Muster zu prüfen 1. Ob Discover-Tech ein Einzelfall war, ist offen. Bill Marczak vom Citizen Lab sagte abschließend, das Unternehmen sei „sicher nur die Spitze des Eisbergs“ 3. Da könnte er Recht behalten.
Ähnliche Artikel
