Kein Klick, kein Download, kein falscher Anhang. Es reichte, dass eine Werbeanzeige auf dem Bildschirm geladen wurde. So beschreibt Citizen Lab am 15. Oktober, wie eine israelische Werbefirma ausgewählte Geräte für die Spyware Candiru markiert hat. Was belegt ist, was nicht und was ein Werbenetz über dein Diensthandy weiß, auch ganz ohne Angriff.
Wenn ich mit Betrieben über Sicherheit rede, geht es meistens um Passwörter und falsche Rechnungen per Mail. Werbung kommt selten vor, Werbung ist ja nur nervig. Der neue Bericht von Citizen Lab, einem Forschungslabor der Universität Toronto, zeigt, dass das zu kurz gedacht ist. Ich habe den Bericht gelesen und trenne hier sauber, was belegt ist und was nicht. Panik brauchst du nicht. Einen Werbeblocker schon.
Im Zentrum steht die israelische Firma Discover-Tech mit ihrer Plattform Controlium. Sie hat ganz normal Werbeplätze über die großen Werbebörsen gekauft. Die Anzeige trug ein kleines Skript, das bei einem Server nachfragte, ob das Gerät „berechtigt“ ist. Kriterien waren unter anderem IP-Adresse und Werbekennungen. Die allermeisten Geräte bekamen danach nichts. Ausgewählte Ziele bekamen Zusatzcode, und die Netzwerkspuren führen von dort zu Servern der Spyware-Firma Candiru, die heute Integrity Labs heißt. Ein Klick war dafür nicht nötig, die Anzeige musste nur geladen werden.
Nachgewiesen sind mindestens 45 angegriffene Geräte bei Mitarbeitern des Senders Al Jazeera in den Jahren 2024 und 2025. Die einzige ausgewertete Schadsoftware stammt von einem Windows-Rechner. An einen einzigen Server von Discover-Tech wurden von Januar bis Juni 2026 3.637.213 „berechtigte“ Nutzer geleitet, für die also Zusatzcode vorgesehen war. Die Anzeigen liefen in 75.373 Apps und 120.768 Websites, laut Bericht etwa in Viber, Duolingo, Yahoo Mail, Opera Mini und Wetter Online. Die Gebote erreichten Nutzer in 161 Ländern, gemessen am Standort der IP-Adresse, den Citizen Lab selbst als ungenau bezeichnet.
Die 3,6 Millionen sind keine Infektionen, sondern Geräte, die für Zusatzcode vorgesehen waren. Eine gesehene Anzeige ist keine Infektion. Bestätigt sind 45 Geräte, und das ist eine Untergrenze. Eine Infektion auf einem Handy ist im Bericht nicht belegt, nur Windows. Opfer in Deutschland, Österreich oder der Schweiz sind nicht bestätigt. Wer die Angriffe in Auftrag gegeben hat, ist laut Citizen Lab nicht bekannt, ein Behördenverfahren ebenfalls nicht. Citizen Lab fordert die Aufsichtsbehörden auf, Discover-Tech und Candiru zu prüfen.
Der eigentlich wichtige Teil für dich ist nicht die Spyware. Es ist der Weg dorthin. Wenn eine App oder Website einen Werbeplatz hat, wird dieser Platz in Millisekunden versteigert. Dabei verschickt die Werbebörse eine Anfrage an viele Bieter. Laut Citizen Lab kann diese Anfrage Gerätekennungen und Gerätemerkmale, den genauen Standort, die IP-Adresse sowie Angaben zur App oder Website enthalten. Das bekommt jeder Bieter, auch der, der am Ende nichts kauft. Discover-Tech hat also keinen Programmfehler ausgenutzt, sondern das ganz normale Verfahren.
Google hat Discover-Tech den Zugang zu seinen Werbebörsen entzogen und aus dem Anbieterregister von IAB Europe entfernt, Beeswax und Eskimi haben die Konten gesperrt, Vungle hat den Zugang für eine Prüfung pausiert. Gesperrt wurde ein Teilnehmer, nicht der Weg. Für einen Betrieb heißt das: Das Risiko einer gezielten Infektion ist gering, solange du nicht Journalist oder Regierungsstelle bist. Das Risiko der Profilbildung ist real. Die Werbekennung deines Diensthandys bleibt über Wochen gleich, und Citizen Lab kündigt bereits einen Folgebericht an, wie sich Werbekennungen über Schwachstellen im Mobilfunk mit Telefonnummern verknüpfen lassen. Auf meinen eigenen Seiten läuft deshalb kein Werbenetz, nur eine cookiefreie Statistik, und die Rechner in unseren Läden stelle ich gerade auf Werbeblocker um.
Die Maßnahmen unten sind gegen Massenprofilbildung gebaut, nicht gegen einen staatlich finanzierten Angreifer, der dich persönlich will. Wer in einem Beruf mit erhöhtem Risiko arbeitet, braucht Fachleute und eine eigene Beratung. Für alle anderen gilt: Was ein Werbenetz nie bekommt, kann es auch nicht weitergeben. Und keine dieser Maßnahmen ist eine Rechtsberatung.
Eins: Werbeblocker im Browser, auf jedem Firmenrechner. Zwei: Werbe-ID auf dem Diensthandy zurücksetzen oder löschen, bei Android meist unter Einstellungen, Datenschutz, Werbung, beim iPhone „Apps erlauben, Tracking anzufragen“ ausschalten. Drei: im Cookie-Banner konsequent „Nur notwendige“ wählen. Vier: Apps löschen, die keiner mehr nutzt. Fünf: Betriebssystem und Browser aktuell halten. Sechs: einen DNS-Filter im Firmennetz, der Werbe- und Tracking-Adressen blockiert. Sieben: keine werbefinanzierten Gratis-Apps auf Dienstgeräten. Acht: die Anbieterliste im Cookie-Banner deiner eigenen Website prüfen und kürzen, denn jeder Eintrag dort bekommt Daten deiner Besucher.
Mich beunruhigt an diesem Bericht weniger die Spyware als die Selbstverständlichkeit. Ein Werbeplatz in einer Wetter-App reicht, damit fremde Firmen erfahren, welches Gerät gerade wo ist. Das ist kein Hackerangriff, das ist das Geschäftsmodell. Ein Teilnehmer ist jetzt gesperrt, das Verfahren läuft weiter wie vorher.
Deshalb halte ich es für meinen Betrieb einfach: Was die Werbung nicht sieht, kann sie nicht verkaufen. Werbeblocker auf die Rechner, Werbe-ID auf den Diensthandys weg, Gratis-Apps runter und auf der eigenen Website kein Werbenetz. Gegen einen gezielten staatlichen Angriff hilft davon wenig. Gegen die Massenprofilbildung hilft alles zusammen, und das kostet dich einen Nachmittag.
Quellen: Citizen Lab (Munk School, Universität Toronto), Bericht Nr. 195 „Exposing AdFection“ (15. Oktober 2026, gelesen am 19. Oktober 2026, Zitate aus dem Englischen übersetzt). Committee to Protect Journalists, Stellungnahme (15. Oktober 2026). BleepingComputer, Bill Toulas, „Zero-click attacks used targeted ads to deliver Candiru spyware“ (16. Oktober 2026, Zahl der Gebote). Die Zahl 3.637.213 bezieht sich laut Citizen Lab auf einen einzigen Server, andere Kunden von Discover-Tech könnten dieselbe Funktion genutzt haben. Die Länderzahl beruht auf IP-Standorten. Die Maßnahmen sind unsere Einordnung und keine Rechtsberatung. Stand: 19.10.2026.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Wir schauen uns mit dir dein Cookie-Banner, deine eingebundenen Dienste und deine Diensthandys an und sagen dir in einer Stunde, welche Daten wohin gehen und was du ohne Verlust abschalten kannst.