Spionagesoftware, die über gewöhnliche Werbung eindringt, ganz ohne Klick: Citizen Lab zeigt auf die israelische Firma Discover-Tech

Das Opfer muss nichts öffnen und nichts anklicken: Es genügt, dass auf seinem Bildschirm eine Anzeige erscheint. Das ist das Fazit eines neuen Berichts von Citizen Lab, der Abteilung für digitale Rechte an der Universität Toronto. Demnach missbrauchen Hersteller von Spionagesoftware für Regierungen globale Werbenetzwerke, um Geräte zu hacken.

Im Mittelpunkt steht Discover-Tech, eine israelische Firma, die sich als Werbeunternehmen ausgibt. Laut den Forschern ermöglichte ihre Plattform Spyware-Herstellern, gezielt bestimmte Personen oder Geräte fast überall auf der Welt anzugreifen - mit Programmen, die ein Gerät infizieren, ohne dass das Opfer eine Nachricht öffnet oder einen Link anklickt. Als Nutzer der Plattform werden Candiru und Bindecy genannt.

Der konkreteste Fall ist Al Jazeera. Mindestens 45 Windows-Computer des Medienhauses wurden 2024 und 2025 höchstwahrscheinlich mit Candirus Spionagesoftware gehackt, nachdem auf ihnen bösartige Anzeigen ausgespielt worden waren.

Die Forscher stießen auch auf offen zugängliche Daten: Quellcode, Anmeldeprotokolle, darunter von Candiru-Mitarbeitern, und Milliarden Datensätze aus Werbeauktionen. Daraus geht hervor, dass die Anzeigen zwischen März und Juni 2026 über Zehntausende Apps und Websites liefen, auch auf Geräten von Armeen, Regierungen und kritischer Infrastruktur. Ob diese Anzeigen in einem Hack endeten, ist unklar.

Die Firma Confiant, die die Qualität von Werbung prüft und mit Citizen Lab zusammenarbeitete, fand Spuren potenziell bösartiger Anzeigen auch in den Netzen der Internationalen Atomenergiebehörde und des Internationalen Strafgerichtshofs. Wenn Werbung das Netz des Gerichts für Kriegsverbrechen erreicht, wohin kommt sie dann nicht?

Welche Regierungen hinter den Angriffen stehen, konnte Citizen Lab nicht feststellen. Bill Marczak, leitender Forscher im Labor, sagt, es gebe „konkrete technische Beweise“, dass das Verfahren in der Praxis funktioniert, und Discover-Tech sei „sicher nur die Spitze des Eisbergs“. Sein Rat an Menschen, die Ziel sein könnten: das Werbe-Tracking abschalten oder Werbung ganz blockieren. Al Jazeera und Discover-Tech reagierten nicht auf Anfragen, Integrity Labs, das Unternehmen hinter Candiru, war nicht erreichbar.

Mazedonien erinnert sich, was es heißt, wenn jemand massenhaft fremde Gespräche abhört - die Abhöraffäre prägte einen ganzen politischen Zyklus. Heute braucht man dafür weder eine Leitung noch einen Kontakt in den Diensten, ein Werbebudget reicht. Wer kontrolliert, wer solche Anzeigen kauft und wem sie angezeigt werden?