Exklusiv
Eine israelische Firma soll Onlinewerbung genutzt haben, um Spionagesoftware zu verbreiten. Das geht aus einem Bericht hervor, den BR und netzpolitik.org vorab einsehen konnten. Im Visier standen mutmaßlich internationale Organisationen, Staaten, Medien und Unternehmen.
Die israelische Firma Discover-Tech soll manipulierte Werbeanzeigen an Millionen Endgeräte wie Smartphones und Laptops ausgespielt haben. Damit soll es mehreren Anbietern von Spionagesoftware ermöglicht worden sein, detaillierte Profile von Nutzern zu bilden und Geräte zu infizieren – ohne dass die betroffenen Personen selbst klicken mussten.
Das geht aus einem Bericht des Citizen Lab der Universität Toronto hervor, den BR und netzpolitik.org vorab einsehen konnten. „Wir dokumentieren in unserer Studie zum ersten Mal konkrete technische Belege für so einen Spyware-Angriff über Onlinewerbung“, sagt Wolfie Christl, Forscher am Citizen Lab und Mitautor des Berichts.
Internationale Organisationen und staatliche Stellen im Visier
Laut eigenen Angaben untersuchte das Forscherteam des Citizen Lab ungesicherte interne Daten und Systeme von Discover-Tech und kombinierte dies mit öffentlich einsehbaren Informationen zu bekannter Schadsoftware. Dem Bericht zufolge soll Discover-Tech das Online-Werbesystem im großen Stil ausgenutzt haben, um millionenfach manipulierte Anzeigen auszuspielen, zum Beispiel über beliebte Apps.
Manipulierte Werbeanzeigen seien auch auf Geräten angezeigt worden, die mit der UN, der NATO, der EU sowie Regierungen, Behörden und Einrichtungen der kritischen Infrastruktur in einer Vielzahl von Ländern in Verbindung stehen. Auch Unternehmen sollen ins Visier geraten sein: 20 internationale Medien sowie einige der weltweit größten Technologieunternehmen und Chiphersteller.
Dass Werbeanzeigen auf Geräten in deren Netzwerken angezeigt wurden, bedeute der Einschätzung der Forschenden nach nicht zwangsläufig eine Infektion mit Spionagesoftware. Es seien aber mindestens Daten gesammelt worden, um Profile von Nutzern zu bilden.
Mindestens 45 Geräte von Al Jazeera angegriffen
Erfolgreiche Angriffe mit Spionagesoftware konnten die Forschenden nach eigenen Angaben beim katarischen Nachrichtensender Al Jazeera nachweisen. Dort sollen zwischen 2024 und 2025 mindestens 45 Geräte über Online-Werbung mit der Spionagesoftware des Unternehmens Candiru infiziert worden sein. Al Jazeera habe dem Citizen Lab interne Logdaten zur Verfügung gestellt, über die sich die Angriffe nachvollziehen ließ.
Ein zweites mutmaßliches Angriffsziel der Spionagesoftware soll das Außenministerium Saudi-Arabiens gewesen sein. Darauf deuten technische Spuren hin, die BR und netzpolitik.org nachvollziehen konnten. Die Botschaft Saudi-Arabiens ließ eine Anfrage hierzu unbeantwortet.
Unternehmen bereits mit Spionageaktivitäten in Verbindung gebracht
Bei Candiru handelt es sich um eine Firma, die Überwachungssoftware an Regierungen und staatliche Stellen verkauft. 2025 wurde Candiru von der US-Investmentfirma Integrity Partners übernommen. In der Vergangenheit wurde das Unternehmen mit Sitz in Israel bereits mit Spionageaktivitäten in Verbindung gebracht.
Unter anderem wurde 2024 versucht, den EU-Parlamentarier der Grünen Daniel Freund mit Candiru-Software über einen Link in einer E-Mail auszuspähen. Freund klickte den Link damals nicht an und konnte sich so schützen. Eine Attacke über Onlinewerbung, die ohne Klick auskommt, sei „noch mal perfider”, sagte Freund im Interview mit BR und netzpolitik.org.
Bindeglied zwischen Werbeindustrie und Spionagesoftware
Als Bindeglied zwischen Spionagefirmen wie Candiru und der Online-Werbeindustrie soll Discover-Tech fungiert haben. Personalisierte Onlinewerbung funktioniert über einen permanenten Datenaustausch Hunderter beteiligter Firmen.
Discover-Tech trat nach außen hin als legitimer Teilnehmer an diesem System auf und hatte so die Möglichkeit, Nutzenden personalisierte Anzeigen in Apps und auf Webseiten auszuspielen. Das Unternehmen betrieb dem Bericht zufolge eine Plattform, auf der mit wenigen Klicks Zielpersonen anhand von deren Werbe-Identifikationsnummern oder IP-Adressen ausgewählt werden konnten. Neben Candiru bringt der Bericht das Unternehmen mit zwei weiteren Anbietern von Spionagesoftware in Verbindung.
Manipulierte Anzeigen auch bei Wetter Online
Die Forschenden des Citizen Lab stellten fest, dass von Discover-Tech ausgespielte Anzeigen im Zeitraum von März bis Juni 2026 in mehr als 75.000 Apps für Apple- und Android-Geräte sowie auf mehr als 120.000 Webseiten zu sehen waren. Zu den Apps mit diesen manipulierten Werbeanzeigen gehören demnach unter anderem die deutsche Wetter-App Wetter Online, die Sprachlern-App Duolingo, der Messengerdienst Viber sowie die Dating-Apps Grindr und Badoo.
Recherchen von BR und netzpolitik.org zufolge war Discover-Tech bei Wetter Online bis zum Februar 2025 als einer von damals mehr als 800 Partnern, mit denen Daten ausgetauscht werden, in der Datenschutzerklärung aufgeführt. Die Anbieter der genannten Apps ließen Anfragen von BR und netzpolitik.org ebenfalls unbeantwortet.
Firma war jahrelang offizieller Werbepartner von Google
Discover-Tech war jahrelang bei Google und der Werbe-Branchenorganisation IAB Europe offiziell als Werbepartner gelistet und fiel dabei offenbar nicht auf. Google gab an, man habe Discover-Tech von seinen Werbeplattformen entfernt, da das Unternehmen systematisch gegen deren Richtlinien verstoßen habe.
Auch IAB gab auf Anfrage an, man habe Discover-Tech von der Liste seiner Anzeigenvermarkter entfernt. Man sei nicht in der Lage, festzustellen, ob durch Discover-Tech Spionagesoftware auf die Geräte der Nutzer gelangt sei.
„Die Online-Werbung ist kaputt“, sagt Wolfie Christl vom Citizen Lab. „Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko – für Staaten, den privaten Sektor, Zivilgesellschaft und für alle anderen.“ Discover-Tech und Candiru ließen Anfragen von BR und netzpolitik.org unbeantwortet.
Verfassungsschutz sieht „erhebliches Gefährdungspotenzial“
Das Bundesamt für Verfassungsschutz, das in Deutschland für die Spionageabwehr zuständig ist, sieht ein „erhebliches Gefährdungspotenzial“: Im Kontext der Spionageabwehr handle es sich bei manipulierten Werbeanzeigen „um eine weitere Vorgehensweise, die staatlich gesteuerten Cyberakteuren zur Verfügung steht, um deren Ziele anzugreifen“, teilte das Bundesamt für Verfassungsschutz auf Anfrage mit.
