Zero-Click-Spionage über digitale Werbeanzeigen - Der AdFection-Fall bei Al Jazeera

Im Oktober 2026 deckte das Citizen Lab einen bislang kaum gesehenen Cyber-Spionage-Fall auf: Über scheinbar legitime digitale Werbeanzeigen wurden Mobilgeräte von Mitarbeitern des arabischen Nachrichtensenders Al Jazeera infiziert, ohne dass die Opfer einen Link anklickten oder eine Datei herunterluden. Der Angriff, den das Forschungsteam "AdFection" nennt, nutzt Zero-Click-Malware - eine Technologie, die über Schwachstellen in Browsern oder mobilen Betriebssystemen direkt beim Laden einer Webseite oder Anzeige Schadcode einschleust. Dieser Artikel erklärt die Funktionsweise der Zero-Click-Spionage, zeigt, wie die Werbe-Infrastruktur missbraucht wurde, und gibt einen Überblick über Gegenmaßnahmen.

Zero-Click-Angriffe: Definition und Gefahr

Zero-Click-Angriffe benötigen keinerlei Interaktion des Nutzers. Stattdessen wird ein Exploit ausgenutzt, der bereits beim Aufruf einer Seite oder beim Ausspielen einer Werbeanzeige aktiv wird. Die Infektion bleibt häufig unbemerkt, bis spezialisierte Sicherheitswerkzeuge den Schaden aufdecken.

• Citizen Lab identifizierte im Jahr 2025 118 Sicherheitslücken in gängigen Webbrowsern, die potenziell für Zero-Click-Malware ausgenutzt werden können.
• Im darauffolgenden Jahr wurden weltweit über 200 Zero-Click-Exploits dokumentiert.

Durch das Fehlen einer Benutzeraktion umgehen Zero-Click-Angriffe klassische Schutzmechanismen wie Phishing-Schulungen oder Klick-basierten Malware-Scanner.

Der AdFection-Angriff auf Al Jazeera-Mitarbeiter

Citizen Lab deckte Spionageangriffe auf Mitarbeiter von Al Jazeera auf. Die Infektionen von iPhones und Android-Geräten erfolgten ohne Klicks. Als Vermittler der Werbeplätze steht die Firma Discover-Tech im Fokus.

Die Schadsoftware für die Angriffe stammte vom Unternehmen Candiru, das inzwischen unter dem Namen Integrity Labs firmiert. Discover-Tech vermittelte die infizierten Anzeigen über seine Demand-Side-Plattform (DSP) und nutzte das Echtzeit-Bidding-System (RTB), um gezielt Geräte von Al Jazeera-Mitarbeitern anzusprechen.

In den Jahren 2024 und 2025 wurden insgesamt 45 Geräte von Al Jazeera-Mitarbeitern infiziert - ein relativ kleiner, aber hochgradig zielgerichteter Befall, der über Millionen von Anzeigen zur Zielidentifizierung führte.

Die Kampagne nutzte JavaScript- und andere Code-Module, die beim Laden einer Anzeige eine direkte Verbindung zu den Kontrollservern von Candiru herstellten. Dort wurde anschließend der Exploit übertragen, der die Malware installierte. Citizen Lab gab nicht preis, welche konkreten Schwachstellen dabei ausgenutzt wurden.

Nach Bekanntwerden der Untersuchung entfernten Google und der europäische Werbeindustrieverband IAB Europe den Anbieter Discover-Tech aus ihren Verzeichnissen und sperrten den Zugang zu ihren Werbebörsen.

Die Anzeigen wurden in mehr als 70.000 Apps und auf über 120.000 Websites zwischen März und Juni 2026 ausgespielt. Dabei wertete das Citizen Lab mehr als vier Milliarden Gebotsdatensätze aus, um die Zielgruppen zu bestimmen.

Citizen Lab deckte Spionageangriffe auf Al Jazeera-Mitarbeiter.

Die Forschungsgruppe Citizen Lab führte ihre Untersuchung über einen Zeitraum von mehr als einem Jahr durch und analysierte dabei über 4 Milliarden gebotsebene Werbeanfragen. Der Kern der Technik lag in einem sogenannten Demand-Side-System, das es ermöglichte, über den normalen Werbemarkt hinauszugehen und gezielt Nutzerprofile zu identifizieren. Zero-Click-Exploits machten Sicherheits- und Awareness-Trainings überflüssig, da keine menschliche Interaktion mehr erforderlich war. Nach Angaben der Forscher enthielten die Anzeigen speziell auf Schadsoftware zugeschnittene JavaScript-Module, die beim Laden von Inhalten direkt Schadcode herunterladen konnten.

Die digitale Werbebranche verzeichnet weltweit eine tägliche Anzeigenauslieferung von über 300 Milliarden Mal. Solch ein riesiges System ist schwer zu überwachen, wenn Anbieter wie Discover-Tech zugleich als Teil einer autorisierten Infrastruktur agieren. Die Analyse des Citizen Lab belegt, dass selbst verifizierte Anbieter für digitale Werbung Spionage-Aktivitäten über reguläre Technologiefunktionen durchführen können.

Missbrauch der Programmatic-Advertising-Infrastruktur

Discover-Tech operierte als regulärer Ad-Tech-Dienstleister, nutzte jedoch die automatisierte "Ad Auction", um gezielt Werbung an Geräte mit bestimmten Merkmalen zu liefern. Die Technologie-Stack bestand aus einer Demand-Side-Plattform (DSP), die in Echtzeit Gebote abgab und Anzeigen ausspielte.

Automatisierte Ad-Bidding-Vorstellungen - ein globales Ausmaß

• Im Jahr 2026 wurden über 300 Milliarden Ad-Bidding-Anfragen täglich global verarbeitet (Quelle S6).
• Im AdFection-Fall wurden 45 Zielgeräte konkret infiziert, obwohl Millionen von Anzeigen ausgespielt wurden.

Durch die Nutzung von mobilen Werbe-IDs, Standortdaten, IP-Adressen und anderen Meta-Informationen konnte Discover-Tech die gewünschten Zielgruppen präzise bestimmen. Die Kampagne zeigte, dass das standardisierte Werbenetzwerk - bisher als relativ harmlos angesehen - als Vektor für hochentwickelte Spionage-Software fungieren kann.

Reaktionen von Plattformen und mögliche Gegenmaßnahmen

Google und der europäische Werbeindustrieverband IAB Europe reagierten, indem sie Discover-Tech aus ihren Verzeichnissen ausschlossen und den Zugang zu ihren Werbebörsen sperrten. Weitere Plattformen schränkten die Zusammenarbeit ein oder blockierten den Anbieter vollständig.

Um zukünftige Zero-Click-Angriffe zu erschweren, werden folgende Gegenmaßnahmen empfohlen:

• Einsatz von Ad-Blockern, die nicht nur Anzeigen entfernen, sondern auch Bidding-Anfragen blockieren.
• Integration von Firewalls und Echtzeit-Sicherheitsmodulen, die verdächtige JavaScript-Module erkennen.
• Regelmäßige Updates von Browsern und mobilen Betriebssystemen, um bekannte Schwachstellen zu schließen.
• Strengere Zertifizierungsprozesse für Ad-Tech-Anbieter, um Missbrauch zu verhindern.

FAQ - Häufig gestellte Fragen

Wie können Cyber-Angriffe über digitale Werbeanzeigen abgeblockt werden?Mit Ad-Blockern, die nicht nur Anzeigen entfernen, sondern zukünftige Bidding-Anfragen direkt unterbinden. Zudem unterstützen Firewalls und Echtzeit-Sicherheitsmodule bei Bedrohungserkennung.Welche Vorfälle gab es vor AdFection in ähnlicher Form?Ad-Malware-Angriffe wie der "Malvertising"-Angriff auf macOS im Jahr 2026 oder der "ToxicPanda"-Android-Trojaner zeigen, dass digitale Werbekanäle seit längerem ausgenutzt werden.

Risiken und Gegenmaßnahmen im Überblick

• Risk: Zero-Click-Exploits benötigen keine Nutzerinteraktion - schwer zu erkennen.
• Risk: Nicht jede Anzeige führt zu einer Infektion, jedoch dienen Anzeigen primär der Zielidentifizierung.
• Risk: Der Ad-Tech-Markt bleibt weitgehend unüberwacht, sodass missbräuchliche Nutzung möglich ist.
• Gegenmaßnahme: Einführung regulatorischer Schritte und besserer Sicherheits-Overlays für Ad-Tech-Plattformen.
• Gegenmaßnahme: Verstärkte Überprüfung von zertifizierten Anbietern und transparente Lieferketten.

Fazit

Der AdFection-Fall verdeutlicht, dass Zero-Click-Malware über reguläre Werbenetzwerke strategisch eingesetzt werden kann, um hochsensible Zielgruppen zu kompromittieren, ohne dass die Opfer etwas davon merken. Die Kombination aus programmatischer Werbung, automatisierter Echtzeit-Bietung und ausnutzbaren Browser- bzw. OS-Schwachstellen schafft ein beunruhigendes Angriffsszenario, das traditionelle Verteidigungsmechanismen übersteigt. Die rasche Reaktion von Google und IAB Europe zeigt, dass die Branche das Problem erkennt, doch langfristige Sicherheit erfordert strengere Zertifizierungen, kontinuierliche Updates und proaktive Sicherheitsarchitekturen, um die Integrität des globalen Werbe-Ökosystems zu schützen.