AdFection: Spyware durch Werbung ohne Klick

Wer eine verdächtige Werbung nicht anklickt, hat bei vielen Betrugsversuchen schon viel richtig gemacht. Bei den nun dokumentierten AdFection-Angriffen brauchte es diesen Klick allerdings gar nicht. Das Citizen Lab der Universität Toronto beschreibt in seinem Bericht vom 15. Oktober 2026, wie Geräte beim Nachrichtensender Al Jazeera über gezielt ausgelieferte Werbeanzeigen mit Spionagesoftware von Candiru infiziert wurden. Discover-Tech stellte dafür den Zugang über die Werbeinfrastruktur bereit.

Die untersuchten Angriffe fanden 2024 und 2025 statt. Mindestens 45 Geräte wurden laut Bericht ins Visier genommen; diese Zahl darf nicht pauschal als Zahl bestätigter Infektionen gelesen werden. Als Belege führen die Forschenden unter anderem Netzwerkprotokolle und eine auf einem kompromittierten Windows-Gerät gesicherte Schadsoftware-Datei an.

Eine Werbeanzeige kann bereits beim Laden Code ausführen

Der begleitende technische Bericht der Sicherheitsfirma Confiant zeigt, wie ein Werbebanner zusätzliche Programme nachlud. In einem winzigen eingebetteten Webseitenbereich lief JavaScript, also Programmcode für den Browser. Dieser erfasste Gerätemerkmale und konnte weiteren Code vom Angreifer entgegennehmen. Dafür war kein Anklicken der sichtbaren Anzeige nötig.

JavaScript in einer Werbung bedeutet für sich genommen noch keine Übernahme des Geräts. Confiant hält ausdrücklich fest, dass der untersuchte Code zunächst nur die Rechte seiner jeweiligen Browserumgebung hat. Für die Installation von Spionagesoftware braucht es zusätzlich eine passende ausnutzbare Sicherheitslücke beziehungsweise Angriffskette. Confiant konnte die vollständige Kette zur Ausnutzung solcher Lücken nicht sichern. Welche konkreten heutigen Geräteversionen auf diesem Weg erfolgreich infizierbar wären, lässt sich daraus nicht vollständig bestimmen.

Werbung gesehen zu haben, beweist keine Infektion

Die deutlich grössere, im Citizen-Lab-Bericht beschriebene Werbeverbreitung von Discover-Tech ist deshalb von den belegten Infektionen zu trennen. Eine allgemeine Infektionswelle in Österreich, Deutschland oder der Schweiz ist damit nicht nachgewiesen.

Für Leserinnen und Leser heisst das: Aus einer eingeblendeten Werbung lässt sich der Zustand des eigenen Geräts nicht ablesen. Umgekehrt kann die Erinnerung, nichts angeklickt zu haben, einen Angriff dieses Typs nicht ausschliessen.

Mehrere Anbieter haben Discover-Tech gesperrt

Netzpolitik.org hat beteiligte Unternehmen selbst befragt. Google bestätigte dem Medium den Ausschluss von Discover-Tech von seinen Werbeplattformen wegen systematischer Richtlinienverstösse. IAB Europe bestätigte eine Suspendierung nach einer Prüfung. Eskimi erklärte, sämtliche zugehörigen Konten und Domains dauerhaft gesperrt zu haben; die letzte dortige Kampagne sei bereits am 6. August 2026 beendet worden.

Discover-Tech und Candiru antworteten dem Citizen Lab innerhalb der gesetzten Frist nicht. Die gemeldeten Sperren unterbrechen Zugänge eines konkreten Anbieters. Dass damit die Angriffsmethode insgesamt beseitigt wäre, ist durch diese Reaktionen nicht belegt.

Was ein Werbeblocker leisten kann – und wo seine Grenzen liegen

Wer Werbung vor dem Laden herausfiltert, kann damit auch das Nachladen von darin eingebettetem Code verhindern. Netzpolitik.org berichtet entsprechend von der Empfehlung der Forschenden, Werbung im Browser und möglichst auch im Netzwerk zu blockieren. Ob ein bestimmtes Produkt eine konkrete Angriffskette stoppt, muss allerdings gesondert geprüft werden. Ein eingeblendetes Schutzsymbol liefert diesen Nachweis noch nicht.

Schon die Produktbeschreibung verdient einen genauen Blick. Mozilla erläutert für den Werbeblocker in Firefox auf iPhone und iPad, dass er viele Anzeigen und zugehörige Verbindungen blockiert, aber nicht jede Werbung erfasst. Manche Auslieferungswege stehen ausserhalb seiner Filterlisten; Suchmaschinenwerbung bleibt bei dieser Funktion beispielsweise sichtbar. Das ist eine konkrete Produktgrenze, keine Aussage, dass jede verbleibende Anzeige gefährlich wäre.

Auch der Geltungsbereich zählt. AdGuard weist für seinen Content Blocker darauf hin, dass dieser nur in Browsern mit der entsprechenden Unterstützung arbeitet. Ein Schutz im verwendeten Browser deckt daher nicht automatisch die Werbung in einer anderen App ab. Wer am Handy vor allem Apps verwendet, sollte prüfen, ob die gewählte Lösung auch dort Verbindungen filtert.

Netzwerkfilter sind ebenfalls keine lückenlose Garantie: Confiant beschreibt im untersuchten Code einen Mechanismus mit verschlüsselter Namensauflösung und anschliessendem Zugriff über eine IP-Adresse. Solche Verbindungen können einer blossen Sperrliste für gewöhnliche DNS-Anfragen entgehen.

Updates bleiben Teil des Schutzes

Werbeblocker ersetzen auch keine Sicherheitsupdates. Google erklärt für Chrome, dass Aktualisierungen Sicherheitskorrekturen ausliefern und kritische Updates Softwarelücken schliessen. Es lohnt sich daher, automatische Updates zuzulassen und zu prüfen, ob eine Aktualisierung noch aussteht. Bei Chrome findet sich diese Prüfung am Computer unter „Über Google Chrome“, am Handy im jeweiligen App-Store.

Daraus folgt jedoch keine pauschale Entwarnung für AdFection: Ein Update kann eine Lücke nur dann schliessen, wenn eine entsprechende Korrektur vorliegt. Die hier geprüften Untersuchungen liefern keinen vollständigen Nachweis, dass eine bestimmte aktuelle Version sämtliche beschriebenen Angriffe verhindert. Der vernünftige Schutz besteht deshalb darin, die Werbeauslieferung soweit möglich einzuschränken und verfügbare Sicherheitskorrekturen einzuspielen. Vorsicht beim Anklicken bleibt sinnvoll; sie erfasst den automatischen Ladevorgang einer Anzeige nicht.

Stand: 16. Oktober 2026.