Wenn dir eine Webseite wichtig ist, ist es besser, dafür zu bezahlen, als deine Sicherheit einem automatisierten Marktplatz anzuvertrauen.
Von Rick Findlay
Anfang dieser Woche haben wir darüber geschrieben, wie Anzeigen, die von einem Unternehmen namens Discover-Tech ausgeliefert wurden, dazu benutzt wurden, Candiru-Spyware zu verbreiten, und wir haben erste Schritte genannt, mit denen man sich schützen kann: DNS-Blocking verwenden, die Werbe-ID löschen und Apples Lockdown-Modus aktivieren. Dies ist der zweite Teil: Wie man das Beste aus dem Werbeblocker selbst herausholt.
2016 twitterte der Sicherheitsforscher Brian Baskin, dass die Forbes-Webseite ihn gezwungen habe, seinen Werbeblocker auszuschalten – und ihm unmittelbar danach Pop-under-Malware ausgeliefert habe.
Im selben Jahr berichtete Ars Technica, dass bösartige Anzeigen auf Webseiten wie msn.com, nytimes.com, bbc.com und aol.com ausgeliefert wurden und möglicherweise innerhalb von nur 24 Stunden Zehntausende Menschen gefährdeten.
Malwarebytes meldete im Herbst 2023 in den USA einen monatlichen Anstieg der Malvertising-Vorfälle um 42 Prozent.
„Da Werbung manchmal dazu verwendet wird, Malware auszuliefern, empfehlen wir Journalisten häufig Browser-Erweiterungen, die dabei helfen können, ihre Privatsphäre und Sicherheit zu schützen, darunter uBlock Origin“, erklärt die Freedom of the Press Foundation.
Einen Werbe- und Tracker-Blocker zu installieren, ist eine Sache. Ihn so effektiv wie möglich einzusetzen, eine andere.
Selbst uBlock Origin, das laut seinem Entwickler nicht nur ein Werbeblocker, sondern ein „Breitband-Blocker“ ist, wird standardmäßig im Easy Mode ausgeliefert. Das Wiki des Entwicklers beschreibt ihn als „uBOs standardmäßigen, sofort einsatzbereiten Modus“, der neben uBOs eigenen Listen auch EasyList, EasyPrivacy, Peter Lowes Liste und die Online Malicious URL Blocklist aktiviert.
uBlock Origin bewertet auch andere Produkte und kommt zu dem Schluss, dass Adblock Plus mit aktivierten Acceptable Ads – der Standardeinstellung – weniger effektiv ist als der eigene Easy Mode.
Adblock Plus erklärt, Acceptable Ads sei standardmäßig aktiviert, weil dies das beste Ergebnis für die Nutzer sei, räumt aber gleichzeitig ein, dass viele Anzeigen Tracking enthalten und manche sogar Malware. Um die Funktion abzuschalten, müssen Nutzer das Häkchen bei „Acceptable Ads zulassen“ entfernen.
Die Webseite von Acceptable Ads wiederum legt offen, dass nur große Unternehmen eine Gebühr zahlen müssen, um Teil des Programms zu sein. Adblock Plus bezeichnet dies als „Lizenzgebühr“.
Firefox’ Verbesserter Schutz vor Aktivitätenverfolgung verfügt über drei Modi: Standard, Streng und Benutzerdefiniert. Im Standardmodus werden Tracking-Inhalte nur in privaten Fenstern blockiert, während der strenge Modus sie in allen Fenstern blockiert.
Die Einstellungen des Brave-Browsers zeigen dagegen, dass der Browser standardmäßig keine Werbung von Erstanbietern blockiert. Wird jedoch die Option „Aggressiv“ gewählt, werden sämtliche Webseitenanzeigen und Tracker blockiert, einschließlich derjenigen von Erstanbietern.
Der Klarheit halber sollten wir zunächst zwei Arten des „Werbeblockierens“ unterscheiden: jene, die verhindert, dass eine Anzeige überhaupt geladen wird, und jene, die sie lediglich versteckt.
Um es noch deutlicher zu sagen: Nur die erste Variante hat irgendeinen Wert für den Datenschutz. Die zweite? Nicht wirklich. Überhaupt nicht.
Denn die Anzeige mag zwar nicht sichtbar sein – sie befindet sich aber weiterhin auf der Seite und wurde vollständig geladen.
uBlock Origin unterscheidet zwei Arten von Filtern: Netzwerkfilter und kosmetische Filter. Erstere sollen Netzwerkanfragen abbrechen, bevor sie den Browser verlassen, wodurch verhindert wird, dass ein entfernter Server irgendetwas protokolliert.
Kosmetische Filter „verstecken“ lediglich Elemente auf einer Webseite. „Sie haben keinerlei Wert für den Datenschutz“, erklärt uBO.
Dasselbe gilt für die Sicherheit: Wenn das Ziel darin besteht, Malware zu stoppen, bringt eine Anzeige, die man nicht sehen kann, weil sie lediglich versteckt wurde, aber trotzdem vollständig geladen ist, überhaupt nichts.
uBO enthält eine Liste namens „uBlock filters – Badware risks“, die Webseiten umfasst, von denen dokumentiert ist, dass sie schädliche Software oder Anwendungen mit versteckten, unerwünschten Funktionen verbreiten. Eine weitere Liste, die Online Malicious URL Blocklist, ist standardmäßig aktiviert.
In den Einstellungen von uBO kann man außerdem „Hyperlink-Auditing deaktivieren“ aktivieren. Das Wiki der Erweiterung bezeichnet diese Funktion als „nach Hause telefonieren“ – „oder noch genauer: irgendwohin telefonieren“ –, weil Server darüber informiert werden, welche Links man anklickt.
Das Wiki der Erweiterung erklärt außerdem, dass das Blockieren von Content-Security-Policy-Berichten (CSP) unbedenklich ist: „Das Deaktivieren der CSP-Berichterstattung führt nicht dazu, dass Webseiten nicht mehr funktionieren.“
Für diejenigen, die mehr zum Schutz ihrer Privatsphäre und Sicherheit im Internet tun wollen oder ein mögliches Ziel dieser Art von Spyware sein könnten, spricht einiges dafür, uBlock Origin im mittleren Modus zu verwenden.
Die Anzeigen, über die die Spyware verbreitet wurde, funktionierten über ein Script-Tag, das Code vom Server von Discover-Tech abrief – und nur die „richtigen“ Ziele erhielten überhaupt Code zurück.
Der mittlere Modus von uBO blockiert standardmäßig Skripte und Frames von Drittanbietern. Dies geschieht über zwei Regeln: * * 3p-script block und * * 3p-frame block. Der Preis dafür ist, dass Webseiten nicht mehr richtig funktionieren können und man sie durch das Hinzufügen von Ausnahmen „reparieren“ muss.
Genau diesen Mechanismus nutzten die Anzeigen von Discover-Tech – dieser Modus würde sie also blockieren.
uBlock Origin macht daraus kein Geheimnis. Im Wiki erklärt das Projekt, dass die Nutzung des Werbe- und Skriptblockers im mittleren Modus bedeutet, dass eine „hohe Wahrscheinlichkeit besteht, dass Webseiten nicht richtig funktionieren: Man muss bereit und in der Lage sein, sie zu reparieren, wenn dies geschieht“.
uBlock Origin weist außerdem darauf hin, dass die statischen Filterlisten auch im mittleren Modus weiterhin verwendet werden. Damit besteht beim Blockieren von Netzwerkanfragen eine „doppelte Absicherung“.
Das Wiki des Projekts empfiehlt, dass der mittlere Modus für die meisten datenschutzbewussten Nutzer „der optimale Ansatz zu sein scheint“.
Der größte Werbeverkäufer der Welt hat den besten Werbeblocker, uBlock Origin, aus dem meistgenutzten Browser Chrome entfernt. Ob Google dies getan hat, um sein Werbegeschäft zu schützen oder nicht – das Ergebnis ist, dass das Unternehmen nun faktisch bestimmt, wie gut ein Werbeblocker im weltweit meistgenutzten Browser überhaupt sein darf.
Die eigene FAQ von uBO Lite nennt die schlechte Nachricht für diejenigen, die es als Ersatz verwenden: Standardmäßig filtert es keine kosmetischen Elemente aus Webseiten heraus und kann Tracker nicht aufdecken und blockieren, die sich als eigene Inhalte einer Webseite tarnen. uBO kann das.
uBO Lite verfügt über drei Modi: Basic, Optimal und Complete. Der Basic-Modus benötigt keine Berechtigung zum Lesen oder Ändern von Webseitendaten, die beiden anderen dagegen schon – und dabei handelt es sich um eine „weitreichende Berechtigung zum Lesen und Ändern von Daten auf allen Webseiten“.
Das uBO-Wiki erklärt unterdessen, dass die Fähigkeit von uBO, Tracker in Firefox zu enttarnen, die Erweiterung „im Vergleich zu anderen Browser-/Blocker-Kombinationen am effizientesten beim Blockieren von Drittanbieter-Trackern“ mache.
Bei Chromium hingegen könnten „Tracker-/Werbe-Nutzlasten ihren Weg in bereits geöffnete Tabs finden, bevor uBO einsatzbereit ist, während Firefox diese ordnungsgemäß filtert“.
Dass Google, das 2025 mit Werbung 239,5 Milliarden Dollar verdient hat, nun darüber entscheidet, was ein legitimer Werbeblocker ist und was nicht, ist keine gute Nachricht für die Nutzer.
Der falsche Werbeblocker ist selbst eine Bedrohung: Er liest jede Seite. Um Werbung blockieren zu können, muss ein Werbeblocker jede Webseite lesen – und genau diese Fähigkeit hätten auch böswillige Akteure gern. Und sie haben sie auch: durch gefälschte Werbeblocker, die Teil eines Botnetzes wurden, wenige Tage nach ihrer Installation ihr Verhalten änderten oder deren Entwickler sie an andere verkauft hatten.
AdGuard, ein Unternehmen, das Software zum Blockieren von Werbung entwickelt, entdeckte im April 2018 gefälschte Werbeblocker im Chrome Web Store, darunter „AdRemover for Google Chrome“ mit zehn Millionen Nutzern und „uBlock Plus“ mit acht Millionen Nutzern.
AdGuard bezeichnete diese als „ein Botnetz aus Browsern, die mit den gefälschten Adblock-Erweiterungen infiziert waren“.
Am folgenden Tag berichtete AdGuard, dass alle fünf von ihm identifizierten gefälschten Werbeblocker aus dem Chrome Store entfernt worden seien.
Doch im September 2019 erklärte AdGuard, zwei weitere gefälschte Werbeblocker mit „mehr als 1,6 Millionen wöchentlich aktiven Nutzern“ gefunden zu haben. Die Veränderung ihres Verhaltens wurde 55 Stunden nach der Installation sichtbar.
Im Februar 2025 hieß es in einem Beitrag auf GitLab, dass „mindestens 16 bösartige Chrome-Erweiterungen“ entdeckt worden seien, darunter Erweiterungen für „Bildschirmaufnahmen, Werbeblockierung und Emoji-Tastaturen“, die „mindestens 3,2 Millionen Nutzer betreffen“.
Dem Bericht zufolge hatte der dahinterstehende Angreifer Zugang zu zumindest einigen dieser Erweiterungen von deren ursprünglichen Entwicklern erworben, anstatt sie zu hacken.
Im Juni 2026 berichtete Island über „Adblock for YouTube“ mit „mehr als elf Millionen Installationen und einer Bewertung von 4,4 Sternen“. Dem Bericht zufolge hatte Island zwar nicht beobachtet, dass bösartige Nutzlasten an Nutzer ausgeliefert wurden, jedoch die Fähigkeit dazu entdeckt.
uBlock Origin hingegen ist kostenlose Open-Source-Software, entwickelt von Raymond Hill. Das bedeutet, dass jeder den Quellcode überprüfen und zur Weiterentwicklung beitragen kann.
Die Lösung? Verwende einen einzigen Werbeblocker von einem Entwickler, dessen Namen du kennst und der transparent erklärt, was die Erweiterung tut. Und stelle sicher, dass sie Open Source ist.
Wenn du eine Webseite, die du magst, auf eine Ausnahmeliste setzt, hilfst du ihr damit nicht wirklich – du gibst ihre Werbeplätze lediglich wieder an eine automatisierte Auktion zurück, über die die Webseite selbst keine Kontrolle hat. Genau so gelang es Forbes 2016, seinen Lesern für das Abschalten ihrer Werbeblocker zu „danken“, indem ihnen Pop-under-Malware ausgeliefert wurde.
Die Auktion, die darüber entscheidet, welche Werbung dir angezeigt wird, findet laut Citizen Lab „hunderte Milliarden Mal pro Tag“ statt – und die von dir besuchte Webseite hat dabei kein Mitspracherecht.
Die Anzeigen von Discover-Tech liefen auf einer Reihe bekannter Webseiten, darunter Weather.com, nytimes.com, foxnews.com, cbc.ca und haaretz.co.il, sowie in Apps wie Viber, Truecaller, Duolingo und Yahoo Mail. Und wie Citizen Lab herausgefunden hat, konnte das Unternehmen dies tun, obwohl es von Google und IAB Europe „zertifiziert“ worden war.
uBlock Origin verfügt in seinen Einstellungen über einen Bereich namens „Vertrauenswürdige Webseiten“. Doch gleich zu Beginn steht dort: „Wenn uBO auf einer Seite deaktiviert wird, findet auf dieser Seite keinerlei Filterung statt.“
Die Lehre aus all dem lautet: Wenn du eine Webseite unterstützen möchtest, solltest du dafür bezahlen, statt das einzige Werkzeug abzuschalten, das verhindert, dass dir die Werbeauktion irgendetwas Beliebiges zusendet.
Wer sein gesamtes Heimnetzwerk vor Trackern und Werbung schützen möchte, kann einen DNS-Dienst auf dem Router verwenden oder auf einem eigenen Gerät einen Pi-hole einrichten – ein sogenanntes „DNS-Sinkhole“.
Pi-hole selbst warnt, dass es „der einzige DNS-Server sein muss, weil es Anfragen abfängt und entscheidet, ob sie blockiert werden sollen oder nicht. Wenn andere DNS-Server eingerichtet sind, kann man zur korrekten Domain weitergeleitet werden und Pi-hole vollständig umgehen.“
Eine Möglichkeit, Pi-hole zu umgehen, besteht darin, einen Browser mit eigenem verschlüsseltem DNS zu verwenden. Mozilla erklärt, dass diese Funktion, wenn sie aktiviert ist, „den lokalen DNS-Resolver umgeht und diese speziellen Richtlinien außer Kraft setzt“. Firefox erlaubt es Organisationen beispielsweise, dies über „Unternehmensrichtlinien und eine Canary-Domain-Abfrage“ zu deaktivieren – und die Domain use-application-dns.net ist eine Domain, auf die Pi-hole antworten kann.
Ein Pi-hole einzurichten ist also eine Möglichkeit, alle Geräte im Haus mit einer einzigen Lösung abzudecken – solange sichergestellt wird, dass kein Gerät einen anderen DNS-Server benutzt.
Der nächste Schritt besteht darin, eine Blockliste auszuwählen. Eine der beliebtesten ist HaGeZi, die in fünf verschiedenen „Stärken“ angeboten wird: Light, Normal, Pro, Pro++ und Ultimate. HaGeZi empfiehlt, mit Pro zu beginnen: „Das ist die Standardempfehlung für soliden Schutz, ohne dass zu viel kaputtgeht.“
HaGeZi bietet außerdem eine Bedrohungsliste an, die nach eigenen Angaben „eine Ergänzung ist, die Malware, Phishing und andere aktuelle Bedrohungen abdeckt und sich zusätzlich zu jeder Stufe zu verwenden lohnt“.
Quad9 ist eine weitere Möglichkeit, allerdings „blockiert es Abfragen bösartiger Hostnamen anhand einer ständig aktualisierten Liste von Bedrohungen“ und hat keine Pläne, Inhaltsfilterung anzubieten. Das bedeutet: Es blockiert Malware-Domains, aber keine Werbung.
Ein weiterer weitverbreiteter DNS-Dienst, der auf einem Router eingerichtet werden kann, ist NextDNS. Mullvad hingegen erklärt, dass sein öffentlicher DNS-Dienst „am 2. November 2026 eingestellt wird“.
Ein zentraler Punkt beim DNS-Blocking ist zu verstehen, was es kann und was nicht. Deshalb weisen selbst diejenigen, die es als nützliches Werkzeug gegen Tracking und Werbung empfehlen, gleichzeitig ausdrücklich auf seine Grenzen hin.
Im Pi-hole-Forum gibt es beispielsweise einen Beitrag, der klarstellt, dass das Werkzeug „niemals URLs sieht – es sieht immer nur die Domain, die ein Client anfordert“. Das bedeutet: Wenn eine Webseite und die von ihr ausgelieferte Werbung dieselbe Domain verwenden, kann Pi-hole die Werbung nicht blockieren.
NextDNS, ebenfalls ein DNS-basierter Blocker, erklärt zu YouTube-Werbung, es sei „derzeit leider unmöglich, sie mittels DNS-Werbeblockierung zu blockieren“.
Dann gibt es noch Apps, die „ihre eigenen DNS-Abfragen durchführen, anstatt die APIs des Systems zu verwenden“, wie die Android-Entwickler es formulieren. Mit anderen Worten: Sie führen die Abfragen selbst aus.
Das Beste, was DNS-Blocker tun können, ist die Domain zu blockieren – was bedeutet, dass die gesamte Webseite blockiert wird. Doch das ist nicht die einzige Möglichkeit, Werbung und Tracker zu blockieren. Genau deshalb können DNS-Blocker trotz ihrer Einschränkungen weiterhin nützlich sein, wenn sie zusammen mit anderen Werkzeugen wie browserbasierten Blockern wie uBlock Origin eingesetzt werden.
Der beste Rat lautet, einen Werbeblocker zu verwenden. Und der beste Werbeblocker ist einer, den du selbst überprüfst, denn der Branche kann man diese Aufgabe offensichtlich nicht anvertrauen.
Schließlich wurde Discover-Tech – jenes Unternehmen, dessen Anzeigen zur Verbreitung von Spyware an Journalisten genutzt wurden – von der Branche überprüft und hatte sämtliche richtigen Kästchen angekreuzt.
Die Art und Weise, wie die Werbeindustrie die Unternehmen „überprüft“, mit denen sie zusammenarbeitet, besteht unterdessen darin, dass diese „ein Kästchen in einem Onlineformular ankreuzen“ – eine Selbsterklärung.
Die einzige Überprüfung, die wirklich funktioniert, ist also diejenige, die du auf deinen eigenen Geräten selbst durchführst.
