Die Werbeanzeigen sehen harmlos aus: Sie zeigen etwa elektronische Geräte wie ein Handy oder Kopfhörer, darüber steht in Neon-Schrift "Sale". Doch über Anzeigen wie diese sollen Spionagefirmen unbemerkt Schadsoftware installiert haben. Dafür mussten betroffene Personen die Anzeigen in Apps oder Webseiten nicht anklicken. Allein das automatische Laden reichte offenbar aus, um Spionagesoftware auf Smartphones und Laptops zu installieren.
Dass solche Zero-Click-Attacken über Werbeanzeigen tatsächlich durchgeführt wurden, belegt ein Forschungsbericht des Citizen Lab von der Universität Toronto, der BR und netzpolitik.org vorab vorlag. "Wir dokumentieren in unserer Studie zum ersten Mal konkrete technische Belege für so einen Spyware-Angriff über Online-Werbung", sagt Wolfie Christl, Forscher am Citizen Lab und Mitautor des Berichts im BR-Interview.
Manipulierte Werbeanzeigen auf Millionen Geräten
Im Mittelpunkt des Berichts steht die israelische Firma Discover-Tech. Sie soll im großen Stil das Online-Werbesystem ausgenutzt haben, um manipulierte Anzeigen an Millionen Endgeräte auszuspielen, zum Beispiel über beliebte Apps. Damit soll es Anbietern von Spionagesoftware ermöglicht worden sein, detaillierte Profile von Nutzern zu bilden und ausgewählte Ziele zu infizieren. Laut eigenen Angaben untersuchte das Forscherteam des Citizen Lab ungesicherte interne Daten und Systeme von Discover-Tech und kombinierte dies mit öffentlich einsehbaren Informationen zu bekannter Schadsoftware.
Manipulierte Werbeanzeigen seien dem Bericht zufolge auf Millionen Geräten angezeigt worden. Darunter laut Citizen Lab auch solche, die mit der UN, der NATO, der EU sowie Regierungen, Behörden und Einrichtungen der kritischen Infrastruktur in einer Vielzahl von Ländern in Verbindung stehen. Auch Unternehmen sind dem Bericht nach ins Visier geraten: 20 internationale Medien sowie einige der weltweit größten Technologieunternehmen und Chiphersteller. Dass Werbeanzeigen auf Geräten in deren Netzwerken angezeigt wurden, bedeute der Einschätzung der Forschenden nach nicht zwangsläufig eine Infektion mit Spionagesoftware. Es seien aber mindestens Daten gesammelt worden, um Profile von Nutzern zu bilden.
Al Jazeera mit Spionagesoftware von Candiru angegriffen
Erfolgreiche Angriffe mit Spionagesoftware konnten die Forschenden nach eigenen Angaben beim katarischen Nachrichtensender Al Jazeera nachweisen. Dort sollen zwischen 2024 und 2025 mindestens 45 Geräte über Online-Werbung mit der Spionagesoftware des Unternehmens Candiru infiziert worden sein. Al Jazeera habe dem Citizen Lab interne Logdaten zur Verfügung gestellt, über die sich die Angriffe nachvollziehen ließ. Ein zweites mutmaßliches Angriffsziel der Spionagesoftware soll das Außenministerium Saudi-Arabiens gewesen sein. Darauf deuten technische Spuren hin, die BR und netzpolitik.org nachvollziehen konnten. Die Botschaft Saudi-Arabiens ließ eine Anfrage hierzu unbeantwortet.
Bei Candiru handelt es sich um eine Firma, die Überwachungssoftware an Regierungen und staatliche Stellen verkauft. 2025 wurde Candiru von der US-Investmentfirma Integrity Partners übernommen. In der Vergangenheit wurde das Unternehmen mit Sitz in Israel bereits mit Spionage-Aktivitäten in Verbindung gebracht. Unter anderem wurde 2024 versucht, den EU-Parlamentarier der Grünen Daniel Freund mit Candiru-Software über einen Link in einer E-Mail auszuspähen. Freund klickte den Link damals nicht an und konnte sich so schützen. Eine Attacke über Online-Werbung, die ohne Klick auskommt, sei "noch mal perfider", sagte Freund im Interview mit BR und netzpolitik.org.
Brücke zwischen Online-Werbung und Spionage-Software
Als Brücke zwischen Spionagefirmen wie Candiru und der Online-Werbeindustrie soll Discover-Tech fungiert haben. Personalisierte Onlinewerbung funktioniert über einen permanenten Datenaustausch hunderter beteiligter Firmen. Discover-Tech trat nach außen hin als legitimer Teilnehmer an diesem System auf und hatte so die Möglichkeit, Nutzenden personalisierte Anzeigen in Apps und auf Webseiten auszuspielen. Das Unternehmen betrieb dem Bericht zufolge eine Plattform, auf der mit wenigen Klicks Zielpersonen anhand von deren Werbe-Identifikationsnummern oder IP-Adressen ausgewählt werden konnten. Neben Candiru bringt der Bericht das Unternehmen mit zwei weiteren Anbietern von Spionagesoftware in Verbindung.
Anzeigen erschienen in deutscher Wetter-App
Die Forschenden des Citizen Lab stellten fest, dass von Discover-Tech ausgespielte Anzeigen im Zeitraum von März bis Juni 2026 in mehr als 75.000 Apps für Apple- und Android-Geräte sowie auf mehr als 120.000 Webseiten zu sehen waren. Zu den Apps mit diesen manipulierten Werbeanzeigen gehören demnach unter anderem die deutsche Wetter-App Wetter Online, die Sprachlern-App Duolingo, der Messengerdienst Viber sowie die Dating-Apps Grindr und Badoo. Recherchen von BR und netzpolitik.org zufolge war Discover-Tech bei Wetter Online bis zum Februar 2025 als einer von damals mehr als 800 Partnern, mit denen Daten ausgetauscht werden, in der Datenschutzerklärung aufgeführt. Die Anbieter der genannten Apps ließen Anfragen von BR und netzpolitik.org ebenfalls unbeantwortet.
Bei Google über Jahre als Werbepartner gelistet
Discover-Tech war jahrelang bei Google und der Werbe-Branchenorganisation IAB Europe offiziell als Werbepartner gelistet und fiel dabei offenbar nicht auf. Google gab an, man habe Discover-Tech von seinen Werbeplattformen entfernt, da das Unternehmen systematisch gegen deren Richtlinien verstoßen habe. Auch IAB gab auf Anfrage an, man habe Discover-Tech von der Liste seiner Anzeigenvermarkter entfernt. Man sei nicht in der Lage, festzustellen, ob durch Discover-Tech Spionage-Software auf die Geräte der Nutzer gelangt sei.
"Die Online-Werbung ist kaputt", sagt Wolfie Christl vom Citizen Lab. "Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko - für Staaten, den privaten Sektor, Zivilgesellschaft und für alle anderen." Discover-Tech und Candiru ließen Anfragen von BR und netzpolitik.org unbeantwortet.
Das Bundesamt für Verfassungsschutz, das in Deutschland für die Spionageabwehr zuständig ist, sieht ein "erhebliches Gefährdungspotenzial": Im Kontext der Spionageabwehr handle es sich bei manipulierten Werbeanzeigen "um eine weitere Vorgehensweise, die staatlich gesteuerten Cyberakteuren zur Verfügung steht, um deren Ziele anzugreifen", teilte das Bundesamt für Verfassungsschutz auf Anfrage mit.
"Hier ist Bayern": Der BR24 Newsletter informiert Sie immer montags bis freitags zum Feierabend über das Wichtigste vom Tag auf einen Blick – kompakt und direkt in Ihrem privaten Postfach. Hier geht’s zur Anmeldung!