Spyware über Onlinewerbung: 3,6 Millionen Geräte könnten betroffen sein

Sicherheitsforscher des Citizen Lab an der Universität Toronto haben erstmals technisch nachgewiesen, wie Spionagesoftware ohne Zutun der Betroffenen über gewöhnliche Onlinewerbung in Smartphone-Apps verteilt werden kann. Von den Werbeeinblendungen waren auch in Deutschland populäre Anwendungen betroffen.

Gezielte Auslieferung über Werbenetzwerke

Nach gemeinsamen Erkenntnissen des Citizen Lab und des Sicherheitsunternehmens Confiant diente die Werbeplattform Controlium des israelischen Unternehmens Discover-Tech als Vermittlungskanal für die Angriffe. Das Unternehmen trat als regulärer Werbekäufer auf und nutzte eine eigene Plattform namens MyDSP, um über Werbe-IDs und IP-Adressen gezielt bestimmte Geräte auszuwählen.

Beim bloßen Rendern der Werbeanzeige lud ein bösartiger JavaScript-Code Schadcode nach. Für eine Infektion war kein Klick der Nutzer erforderlich, allerdings setzte der Angriff eine ausnutzbare Schwachstelle auf dem Zielgerät voraus. Laut der vom Citizen-Lab-Direktor Ronald J. Deibert geleiteten Untersuchung bot MyDSP auf 3,77 Milliarden Werbeplätze und gewann 442 Millionen Auktionen.

Die Anzeigen wurden in 75.373 Apps und auf 120.768 Websites ausgespielt. Auffällig dabei: Hinter der Plattform standen lediglich drei Werbetreibende mit Gesamtausgaben von rund 109.000 US-Dollar, die keine einzige messbare Conversion erzielten. 67,4 Prozent der Gebote wurden über den Anbieter Yandex ausgeliefert; Maßnahmen von Yandex wurden bisher nicht bekannt.

Für das erste Halbjahr 2026 identifizierte Citizen Lab 3,6 Millionen potenziell in Frage kommende Nutzergeräte, was jedoch nicht mit der Zahl tatsächlicher Infektionen gleichzusetzen ist. Die betroffenen Werbeplätze fanden sich unter anderem in weit verbreiteten Anwendungen wie Wetter Online, Duolingo, Viber, Grindr, Badoo, MX Player, Lark Player, Yahoo Mail sowie Opera Mini.

Wer sich vor derlei unsichtbaren Angriffen auf dem Mobilgerät schützen möchte, erhält in diesem Ratgeber eine einfache Anleitung zur Absicherung. 5 sofort umsetzbare Schutzmaßnahmen für Android entdecken

Hochkarätige Institutionen im Visier

Die mutmaßlichen Angriffsziele erstrecken sich über internationale Organisationen wie die UN, die NATO und die EU-Kommission sowie rund 20 Medienunternehmen. Zudem liefen verdächtige Anzeigen in Netzwerken mit Bezug zu Behörden, Streitkräften sowie Tech- und Halbleiterkonzernen.

Am stärksten betroffen waren Netze von Intel; Spuren fanden sich zudem bei Nvidia, SanDisk, Texas Instruments, Broadcom, Micron und ARM. Geografisch reichten die Angriffe über Länder wie Deutschland, die USA, Frankreich, Israel, Russland, die Vereinigten Arabischen Emirate und Australien.

In Australien stießen die Forscher auf eine erhebliche Häufung bei Energieversorgern, Universitäten, Medien und dem Forschungszentrum ANSTO, das jedoch keine Auswirkungen meldete.

Citizen Lab konnte ein wiedergefundenes Implantat als Windows-Datei identifizieren; ein Smartphone-Implantat wurde bisher nicht bestätigt, weshalb der Einsatz von Spyware für Android oder iOS in diesem Kontext nicht belegt ist.

Beim sender Al Jazeera waren in den Jahren 2024 und 2025 mindestens 45 Geräte Ziel von Zero-Click-Angriffen mit Spionagesoftware der Firma Candiru, die heute als Integrity Labs firmiert und seit 2021 auf der US-Sanktionsliste steht. Al Jazeera verlangt nun eine unabhängige Untersuchung.

Da Cyberkriminelle gezielt nach Schwachstellen suchen, um mobile Endgeräte auszuspähen, ist proaktives Handeln für jeden Nutzer unerlässlich. Dieser kostenlose PDF-Report zeigt auf, wie Sie Datenmissbrauch auf Ihrem Smartphone effektiv verhindern. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Reaktionen der Industrie und Schutzmaßnahmen

Auf die Enthüllungen folgten erste Konsequenzen der Digitalbranche: Google, Beeswax, Vungle sowie Eskimi entzogen Discover-Tech den Zugriff. Der Branchenverband IAB Europe suspendierte die Plattform wegen Verstößen gegen das europäische Transparenzregelwerk von seiner globalen Anbieterliste. Das Sicherheitsunternehmen Corrata gab an, wöchentlich 1.000 bis 2.000 Werbe-Domains vorsorglich zu blockieren.

Citizen-Lab-Direktor Deibert warnte, die Verschmelzung des Werbeökosystems mit Auftragsspionage stelle das denkbar schlimmste Szenario und den Nährboden für erhebliche Gefahren dar. Auch der Verfassungsschutz sieht ein erhebliches Gefährdungspotenzial. Als Schutzmaßnahmen werden zeitnahe Sicherheitsupdates, das Löschen nicht genutzter Apps, der Einsatz von Werbeblockern sowie das Deaktivieren personalisierter Werbe-IDs empfohlen.