Zero-Click-Spyware in Anzeigen verändert die Art und Weise, wie Sie Geräte verwalten

Am 15. Oktober 2026 veröffentlichte das Citizen Lab „Exposing AdFection“veröffentlicht, das es als erste öffentliche technische Bestätigung für Söldner-Spionagesoftware beschreibt, die über gezielte Online-Anzeigen verbreitet wird, ohne dass ein Klick erforderlich ist. Die Forscher bringen Angriffe auf mindestens 45 Geräte von Al Jazeera in den Jahren 2024 und 2025 mit Spionagesoftware von Candiru in Verbindung, einem Anbieter, der sich inzwischen in Integrity Labs umbenannt hat. Wenn bereits das bloße Anzeigen einer Werbung ausreicht, um ein Smartphone zu infizieren, reicht es nicht aus, die Mitarbeiter lediglich zur Vorsicht zu mahnen. Die Gerätesicherheit bleibt die erste Verteidigungslinie, doch Regierungen und Betreiber kritischer Infrastrukturen müssen zudem sicherstellen, dass vertrauliche Gespräche auf verwalteten Geräten und über kontrollierte Kommunikationskanäle stattfinden.

Was der Bericht des Citizen Lab belegt

Der Bericht zeigt auf, wie eine Anzeige zu einem Angriffsweg werden kann. Das israelische Unternehmen Discover-Tech schaltete Anzeigen, die ein Script-Tag enthielten. Beim Laden einer Anzeige stellte das Tag eine Verbindung zu einem Server von Discover-Tech her. Der Server nutzte offenbar die IP-Adresse des Nutzers sowie Werbe-Identifikatoren, um zu entscheiden, ob er Daten zurücksenden sollte. War der Nutzer nicht zur Zielgruppe gehörend, gab er eine leere Antwort zurück.

Die Aktion hatte eine große Reichweite. Das Citizen Lab analysierte fast vier Milliarden Gebotsdatensätze von Discover-Tech und stellte fest, dass dessen Anzeigen über einen Zeitraum von vier Monaten auf fast 200.000 Websites und in Apps in Dutzenden von Ländern zu finden waren. Discover-Tech blieb von 2020 an auf den Listen der „zertifizierten“ und „zugelassenen“ Anbieter von Google und IAB Europe, bis beide Organisationen das Unternehmen Anfang Oktober 2026 von den Listen strichen.

Was der Bericht nicht belegt

Eine Anzeigeneinblendung ist kein Beweis für eine Infektion. Laut Citizen Lab bestätigt eine Einblendung „an sich noch keine gezielte Ansprache oder Infektion“, auch wenn sie zu einer Profilerstellung geführt hätte. Der Bericht nennt zudem nicht, welche Regierungen diese Möglichkeiten nutzen. TechCrunchs Berichterstattung konzentriert sich auf Regierungen, doch diese Darstellung sollte anhand des Berichts überprüft werden, bevor sie weiterverbreitet wird.

Der Bericht belegt zwar die Reichweite. „Discover-Tech“-Anzeigen erschienen in Netzwerken, die von Verteidigungsministerien, Streitkräften, nationalen Cyberbehörden, der NATO und Organisationen kritischer Infrastrukturen genutzt werden, darunter auch der schwedische Netzbetreiber. Dies zeigt lediglich eine Exposition, nicht jedoch eine bestätigte Kompromittierung.

Operative Auswirkungen auf die Regierung und kritische Infrastrukturen

Schädliche Werbeanzeigen können Apps und Websites erreichen, die von Angehörigen der Streitkräfte, politischen Entscheidungsträgern und Personen genutzt werden, die kritische Infrastrukturen betreuen. Ein kompromittiertes Smartphone kann die darauf gespeicherten Informationen und die darüber abgewickelte Kommunikation offenlegen. Der übliche Rat, verdächtige Links zu meiden, bietet kaum Schutz, wenn kein Klick erforderlich ist.

Beschaffungsteams sollten Lieferanten fragen, wie sie mit Werbung auf Geräten umgehen, die mit staatlichen Programmen verbunden sind. Compliance-Teams müssen zudem das Dokumentenmanagement berücksichtigen, da Nachrichten, die über private Apps ausgetauscht werden, möglicherweise nicht unter die üblichen Aufbewahrungs- und Prüfkontrollen fallen.

Empfehlungen des Citizen Lab für Menschenrechtsverteidiger

Das Citizen Lab betrachtet die Blockierung gezielter Werbung auf Gateway-Ebene als die praktikabelste Abwehrmaßnahme, bis die Werbebranche in der Lage ist, diese Art von Angriffen zuverlässig zu unterbinden. Es empfiehlt, Werbung und Tracking auf dienstlich bereitgestellten Geräten sowie auf Gateway-Ebene zu blockieren. Zudem empfiehlt es den Einsatz von Mobile Device Management (MDM), um unternehmensbereitgestellte Geräte von gezielter Werbung auszuschließen. Für behördliche Geräte fordert es die Deaktivierung eindeutiger Werbe-IDs sowie die Entwicklung von Leitlinien für private Geräte, die in behördlichen Räumlichkeiten genutzt werden.

Es handelt sich hierbei um Empfehlungen, nicht um gesetzliche Vorschriften. In dem Bericht wird zudem darauf hingewiesen, dass die US-amerikanische National Security Agency (NSA) und die Cybersecurity and Infrastructure Security Agency (CISA) bereits 2018 und 2020 davor gewarnt haben, dass bösartige Werbeanzeigen Malware verbreiten können, und die Nutzung von Werbeblockern empfohlen haben.

Warum der Kanal genauso wichtig ist wie das Gerät

Die Steuerungsfunktionen für verwaltete Geräte gelten nur für Geräte, die von der Organisation verwaltet werden. Wenn der offizielle Kanal langsam, nicht verfügbar oder schwer zu nutzen ist, greifen Mitarbeiter möglicherweise auf private Geräte oder Messenger-Apps für Endverbraucher zurück. Genau dort lässt sich über Werbung verbreitete Spyware am schwersten kontrollieren. Die strengsten Maßnahmen des Berichts gelten für Geräte im Besitz der Regierung; für private Geräte bietet er eher Leitlinien als direkte Kontrollmöglichkeiten.

Richtlinien müssen diese Lücke schließen. Die Mitarbeiter benötigen einen verwalteten Kommunikationskanal, der praktisch genug ist, um private Alternativen zu ersetzen. Bewerten Sie Anbieter anhand von fünf Kriterien: Kontrolle über die Infrastruktur und die Verschlüsselungsschlüssel; unabhängige Zertifizierung, einschließlich ihres Geltungsbereichs und der abgedeckten Version; verifizierte Identitäten der Teilnehmer; Out-of-Band-Betrieb, der nicht vom primären Netzwerk abhängig ist; sowie Nachweisdokumente, die eine Nachbetrachtung nach einem Vorfall ermöglichen. BlackBerry® Secure Communications wurde anhand dieser Kriterien entwickelt und ist nach den NIAP- und NATO-Restricted-Standards zertifiziert.

Ein Kommunikationsprodukt kann ein kompromittiertes Gerät nicht reparieren. Die Gerätesteuerung bleibt die erste Verteidigungslinie; ein geregelter Kanal schränkt die weiteren Ereignisse ein.

Maßnahmen für dieses Quartal

Erstellen Sie in diesem Quartal eine Bestandsaufnahme der Apps und Kanäle, die Mitarbeiter für dienstliche Zwecke nutzen, einschließlich derer, die auf privaten Geräten und in privaten Messaging-Apps verwendet werden. Vergewissern Sie sich über MDM, dass Werbe-IDs auf mobilen Geräten im Besitz der Regierung deaktiviert sind, und prüfen Sie, ob die Blockierung von Werbung und Trackern am Gateway und auf dienstlich ausgegebenen Geräten aktiviert ist. Erstellen Sie Leitlinien für private Geräte, die in Büros und Einsatzzentralen genutzt werden, wie vom Citizen Lab empfohlen. Legen Sie den verwalteten Kanal fest, den die Mitarbeiter für sensible Abstimmungen nutzen müssen, und testen Sie diesen anschließend unter Bedingungen mit eingeschränkter Verfügbarkeit des Primärnetzes. Rechts- und Compliance-Berater sollten zudem zwischen verbindlichen Verpflichtungen und empfehlendem Charakter unterscheiden, da dieser Beitrag keine Rechtsberatung darstellt.

Der wirksamste Schutz gegen einen Zero-Click-Angriff ist ein kontrolliertes Gerät, das verifizierte Kommunikation über einen regulierten Kanal überträgt.