Ein Forschungsbericht von Citizen Lab legt offen, wie tief sich kommerzielle Überwachung in die globale Werbeinfrastruktur eingeschlichen hat. Demnach nutzte das israelische Werbetechnologie-Unternehmen Discover-Tech gezielte Online-Anzeigen, um Geräte zu identifizieren, zu profilieren und in bestimmten Fällen mit Zero-Click-Spyware des israelischen Anbieters Candiru zu infizieren. Ein Klick war dafür nicht erforderlich. Citizen Lab spricht von der ersten öffentlich dokumentierten technischen Bestätigung, dass hochentwickelte kommerzielle Spionagesoftware über zielgerichtete Internetwerbung ausgeliefert wurde.
Die Anzeige allein konnte genügen
Das Grundprinzip ist so simpel wie brisant.
Wer heute eine Webseite oder App öffnet, auf der Werbung eingebunden ist, löst im Hintergrund meist eine automatisierte Auktion aus. Innerhalb von Millisekunden werden dabei Informationen über das Gerät, die IP-Adresse, den Standort, das Nutzungsverhalten und weitere Merkmale an verschiedene Werbepartner weitergegeben.
Genau diese Infrastruktur soll Discover-Tech mit seiner Plattform Controlium genutzt haben.
Nach Angaben von Citizen Lab konnte das System Geräte deanonymisieren, Fingerabdrücke erstellen und ausgewählte Ziele mit speziell präparierten Anzeigen versorgen. In bestimmten Fällen konnte darüber anschließend Spyware eingeschleust werden, ohne dass der Nutzer auf die Anzeige klicken oder eine Datei öffnen musste.
Der entscheidende Punkt: Nicht eine dubiose Download-Seite, nicht eine gefälschte E-Mail und nicht ein Messenger-Link waren der Angriffsweg – sondern die normale Werbeinfrastruktur des Internets.
Mindestens 45 Geräte bei Al Jazeera nachweislich infiziert
Citizen Lab konnte zwischen 2024 und 2025 mindestens 45 Geräte von Mitarbeitern des Nachrichtensenders Al Jazeera identifizieren, die über solche Zero-Click-Angriffe kompromittiert worden seien.
Nach Darstellung der Forscher wurden die gezielten Anzeigen von Discover-Tech ausgespielt. Anschließend nahmen die Geräte Kontakt zu Infrastruktur auf, die mit dem israelischen Spyware-Entwickler Candiru in Verbindung gebracht wird.
Candiru gehört zu den bekannten Anbietern sogenannter Söldner-Spyware. Das Unternehmen wurde bereits 2021 von der US-Regierung sanktioniert beziehungsweise auf eine schwarze Liste gesetzt.
Citizen Lab bezeichnet die jetzt veröffentlichte Untersuchung als erste öffentliche technische Bestätigung, dass Zero-Click-Söldnerspyware tatsächlich über zielgerichtete Werbung auf reale Geräte verteilt wurde.
Mehr als 120.000 Webseiten und Zehntausende Apps
Das Ausmaß der zugrunde liegenden Werbeinfrastruktur ist enorm. Laut WIRED erschienen mit Discover-Tech verbundene Anzeigen zwischen März und Juni 2026 auf mehr als 120.000 Webseiten und in mehr als 70.000 mobilen Apps. Reuters nennt rund 75.000 Apps.
Citizen Lab schätzt zudem, dass Millionen Geräte an mit Candiru verknüpfte Server weitergeleitet wurden, wo sie analysiert oder profiliert werden konnten. Das bedeutet nicht, dass Millionen Geräte nachweislich mit Spyware infiziert wurden. Belegt ist jedoch, dass Discover-Tech über das globale Werbesystem eine riesige Zahl von Geräten erreichen und technisch unterscheiden konnte.
Damit entsteht ein völlig neues Angriffsszenario: Ein Angreifer muss sein Ziel nicht mehr mit einer auffälligen Nachricht ködern. Er kann versuchen, die Person dort zu erreichen, wo sie sich ohnehin täglich bewegt – auf normalen Webseiten und in gewöhnlichen Apps.
NATO, UN und Regierungsnetze tauchten im Werbeverkehr auf
Besonders brisant ist, wo Discover-Tech-Anzeigen laut den Forschern auftauchten.
Citizen Lab dokumentierte Werbeeinblendungen in Netzwerken mit Bezug zu NATO, Vereinten Nationen, europäischen Gesetzgebungsorganen, kritischer Infrastruktur sowie Regierungs- und Militärstellen in mehreren Ländern. Das bedeutet nicht, dass diese Einrichtungen automatisch gehackt wurden.
Es zeigt jedoch, dass die Infrastruktur in der Lage war, Geräte selbst in sicherheitspolitisch hochsensiblen Netzwerken zu erreichen und zu erfassen.
Gerade darin liegt die eigentliche Tragweite des Falls: Die gleiche Werbetechnik, die normalerweise genutzt wird, um Menschen möglichst präzise mit kommerziellen Anzeigen anzusprechen, kann auch dazu verwendet werden, einzelne Geräte und Nutzer zu identifizieren und für Überwachungsoperationen auszuwählen.
Die Werbeindustrie als globale Ortungsinfrastruktur
Citizen Lab richtet seine Kritik deshalb nicht nur gegen Discover-Tech und Candiru. Im Zentrum steht das gesamte sogenannte Real-Time-Bidding-System.
Jedes Mal, wenn eine Werbefläche geladen wird, werden Daten über Nutzer und Geräte an zahlreiche Marktteilnehmer übertragen. Das System wurde entwickelt, um Werbekunden möglichst genaue Zielgruppen zu liefern.
Doch genau dieselbe technische Logik kann für Überwachung genutzt werden.
Standort, Gerätetyp, IP-Adresse, Werbe-ID, Nutzungsverhalten und weitere Merkmale können dabei helfen, eine bestimmte Person aus Millionen Nutzern herauszufiltern.
Citizen-Lab-Forscher Bill Marczak beschreibt das Problem so: Die Fähigkeit, einzelnen Nutzern individuell beliebige Inhalte auszuliefern, sei ein grundlegendes Merkmal moderner Online-Werbung – und genau deshalb für die Spyware-Industrie besonders geeignet.
Zero-Click: Das Opfer muss nichts mehr falsch machen
Zero-Click-Angriffe gelten als besonders gefährlich, weil der Betroffene selbst keinen Fehler begehen muss.
Bei klassischen Phishing-Angriffen muss das Opfer meist auf einen Link klicken, einen Anhang öffnen oder Zugangsdaten eingeben. Bei Zero-Click-Angriffen entfällt dieser Schritt.
Die Schadsoftware nutzt eine technische Schwachstelle aus und kann sich installieren, ohne dass der Nutzer etwas bemerkt.
Im Fall von AdFection kommt ein weiterer Faktor hinzu: Selbst die Anzeige muss nach Angaben der Forscher nicht unbedingt sichtbar sein. Entscheidend ist, dass sie technisch auf dem Gerät ausgeliefert beziehungsweise verarbeitet wird.
WIRED bezeichnet dieses Szenario deshalb als „Nightmare Scenario“ – ein Albtraum-Szenario.
Google und andere Plattformen ziehen die Reißleine
Nach der Veröffentlichung der Untersuchung reagierten mehrere große Unternehmen.
Google erklärte, Discover-Tech nach einer gemeinsamen Untersuchung mit Citizen Lab und dem Sicherheitsunternehmen Confiant von seinen Werbeplattformen ausgeschlossen zu haben.
Auch Beeswax, ein Werbetechnologie-Unternehmen von Comcast, entfernte Discover-Tech aus seiner Plattform. IAB Europe suspendierte das Unternehmen aus seiner globalen Anbieterliste.
Mehrere Unternehmen bestritten zugleich, von möglichen Spyware-Aktivitäten gewusst oder daran mitgewirkt zu haben. Andere Anbieter erklärten, interne Untersuchungen eingeleitet beziehungsweise den Zugang von Discover-Tech vorsorglich gesperrt zu haben.
Hunderte Millionen Infizierte? Dafür gibt es keinen Beleg
In sozialen Netzwerken wird inzwischen behauptet, Hunderte Millionen Menschen könnten bereits israelische Spyware auf ihren Smartphones haben.
Incase you missed it yesterday, an Israeli marketing firm used website ads to distribute spyware created by Israeli developer Candiru and all it took for it to infect people’s phone was visiting a website with the infected ads on it and then allowing the ad to load on the page. There are potentially hundreds of millions of people with Israeli spyware on their phones right now and they have no clue.
— Mel (@Villgecrazylady) October 16, 2026
Dafür liefert die Untersuchung keinen Beleg.
Citizen Lab bestätigt bislang mindestens 45 tatsächliche Infektionen bei Al Jazeera. Gleichzeitig sprechen die Forscher von Millionen Geräten, die mit der Discover-Tech- beziehungsweise Candiru-Infrastruktur in Berührung kamen oder dort profiliert werden konnten. Das ist ein wichtiger Unterschied.
Millionen erreichbare oder analysierte Geräte sind nicht automatisch Millionen infizierte Geräte.
Doch auch ohne diese Übertreibung bleibt die Enthüllung gravierend.
Das eigentliche Problem ist größer als ein einzelnes Spyware-Unternehmen
Der Fall zeigt, dass kommerzielle Online-Werbung inzwischen weit mehr ist als ein System zum Verkauf von Produkten. Sie ist gleichzeitig eine globale Infrastruktur zur Identifizierung, Klassifizierung und Verfolgung von Geräten und Nutzern.
Solange Werbenetzwerke große Mengen personenbezogener und technischer Daten in Echtzeit verteilen, können diese Informationen nicht nur von normalen Werbekunden genutzt werden.
Sie können auch für Überwachung, Geheimdienstoperationen und gezielte Cyberangriffe missbraucht werden.
Citizen Lab bringt die Gefahr auf einen zentralen Punkt: Solange diese Architektur bestehen bleibt und Werbeunternehmen ihre Kunden nicht wesentlich strenger kontrollieren, wird diese Art des Missbrauchs weiter möglich bleiben.
Die Enthüllung über AdFection zeigt damit, wie weit sich digitale Überwachung inzwischen in alltägliche Internetnutzung hineinbewegen kann.
Nicht mehr nur eine verdächtige Nachricht oder ein schädlicher Link kann zur Gefahr werden.
Im schlimmsten Fall kann schon das bloße Laden einer ganz normalen Webseite oder App genügen.
Quellen:
Citizen Lab – Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware
WIRED – “Nightmare Scenario”: Zero-Click Spyware Is Infecting Phones via Targeted Ads
Reuters – Israeli firm used online ads to run vast spy operation, researchers say
