:quality(90):no_upscale()){kind=logo}
Über Werbeanzeigen verbreitete Spyware drang in Regierungsnetzwerke der USA und der EU ein – damit steigt der Druck, Richtlinien für Geräte und Browser zu verschärfen
STATUS: Bestätigte Zero-Click-Spyware-Verbreitung SCHWERWIEGENDKEIT: 7/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
6. November 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
Das Citizen Lab hat den ersten „Zero-Click“-Spyware-Angriff durch Söldner bestätigt, der über gezielte Werbeanzeigen durchgeführt wurde: Dabei infizierte die Spyware „Candiru“ mindestens 45 Geräte eines internationalen Nachrichtennetzwerks. Der dahinterstehende Werbeanbieter Discover-Tech schaltete Anzeigen, die Regierungsnetzwerke in den USA und in ganz Europa erreichten, darunter EU-Institutionen und Verteidigungsministerien. Eine Anzeigenimpression allein bedeutet zwar noch keine Infektion, doch angesichts dieser Gefährdung wird die konsequente Durchsetzung und Überprüfung von Geräte- und Browserrichtlinien für Regierungen und Betreiber kritischer Infrastrukturen zu einer unmittelbaren Priorität.
Was ist passiert?
Schon die Anzeige einer gezielten Werbung reichte aus, um ein Gerät zu infizieren, weshalb die Richtlinien für Geräte und Browser die entscheidende Kontrollmaßnahme darstellen.
Am 15. Oktober veröffentlichte das Citizen Lab im Rahmen einer parallelen Untersuchung von Confiant Ergebnisse zu „AdFection“, die es als erste öffentliche technische Bestätigung für „Zero-Click“-Spionagesoftware bezeichnet, die über gezielte Werbung verbreitet wird. Discover-Tech, ein Unternehmen, das sich als Werbeanbieter ausgab, kaufte Anzeigen, die ein Skript enthielten, das eine Verbindung zu seinem eigenen Server herstellte und die Werbe-Identifikatoren der Betrachter weiterleitete. Der Server entschied dann offenbar anhand dieser Identifikatoren und der IP-Adresse des Betrachters, ob ein Code zurückgegeben werden sollte, und gab für die meisten Betrachter nichts zurück. Citizen Lab bringt Angriffe auf mindestens 45 Geräte bei einem internationalen Nachrichtennetzwerk in den Jahren 2024 und 2025 mit hoher Sicherheit mit der auf diese Weise verbreiteten Candiru-Spionagesoftware in Verbindung.1
Das Citizen Lab analysierte fast vier Milliarden Gebotsdatensätze von Discover-Tech und stellte fest, dass dessen Anzeigen innerhalb von vier Monaten auf fast 200.000 Websites und in Apps in Dutzenden von Ländern zu finden waren. Discover-Tech war von 2020 an auf den Listen der zertifizierten und zugelassenen Anbieter von Google und IAB Europe aufgeführt, bis beide das Unternehmen Anfang Oktober 2026 von ihren Listen strichen. Das Citizen Lab betont, dass eine Impression allein noch keinen Hinweis auf gezielte Werbung oder eine Infektion darstellt.1
In den USA ist diese Gefährdung zu einer politischen Frage geworden. Die Analyse von Confiant ergab Hinweise auf die Anzeigen in Netzwerken der US-Regierung, und Citizen Lab stellte in vielen Ländern Aufrufe in Regierungsnetzwerken fest1. Ein US-Senator hat die Behörden aufgefordert, Werbung in Regierungsbrowsern zu deaktivieren und mobile Werbe-IDs zu deaktivieren, und ein zweiter Senator erklärte, der Bericht zeige die Notwendigkeit eines stärkeren Datenschutzes. Mehrere US-Behörden blockieren bereits Werbung oder empfehlen dies2 , und die NSA sowie die CISA warnten bereits 2018 und 2020 davor, dass bösartige Anzeigen Malware verbreiten können, und empfahlen die Blockierung von Werbung.1
Auch in Europa ist die Bedrohung unmittelbar spürbar. Das Citizen Lab stellte Anzeigenaufrufe in den Netzwerken des Europäischen Parlaments, der Europäischen Kommission und des Generalsekretariats des Rates der EU sowie beim schwedischen Netzbetreiber und bei den schwedischen Streitkräften fest. Confiant fand Hinweise auf die Anzeigen in Netzwerken, zu denen unter anderem das niederländische Wirtschaftsministerium, die estnische Behörde für Informationssysteme und das spanische Ministerium für digitale Transformation gehören.1 Discover-Tech nutzte zudem das Transparenz- und Einwilligungs-Framework von IAB Europe, um den Anschein der DSGVO-Konformität zu erwecken, während es Nutzer in der EU ansprach; Citizen Lab fordert die Regulierungsbehörden auf, Ermittlungen einzuleiten. IAB Europe erklärt, die Ergebnisse deuteten auf einen Missbrauch von Technologien hin, die dem Internet innewohnen, und nicht auf eine mangelhafte Werbeinfrastruktur, und dass die Untersuchung von Spyware Sache der Behörden sei.1,2
Das Citizen Lab empfiehlt als Schutzmaßnahmen Richtlinien für Geräte und Browser. Es stuft das Blockieren gezielter Werbung am Gateway als den praktikabelsten Schutz ein und empfiehlt, Werbung und Tracking auf dienstlich bereitgestellten Geräten zu blockieren, verwaltete Geräte mithilfe der Geräteverwaltung von der gezielten Werbung auszuschließen und eindeutige Werbe-IDs auf mobilen Geräten der Regierung zu deaktivieren.1,3 Discover-Tech wird über Werbe-IDs, Browser-Cookie-IDs und IP-Adressen ins Visier genommen; die Deaktivierung von Werbe-IDs verschließt daher nur einen Weg, während die anderen offen bleiben, was mehrschichtige, konsequent durchgesetzte Richtlinien erforderlich macht. Es handelt sich hierbei um Empfehlungen, die nur die Geräte und Browser schützen, bei denen eine Organisation diese tatsächlich durchsetzt.
Was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
AdFection verbreitete Spyware, wenn eine gezielte Anzeige angezeigt wurde, ohne dass ein Klick erfolgte, und die Anzeigen von Discover-Tech erreichten Netzwerke von Regierungsstellen, Verteidigungsministerien und EU-Institutionen. | Die Vorsicht der Mitarbeiter und das Vermeiden von Links bieten keinen Schutz vor einem Angriff, der keine Aktion des Benutzers erfordert. | Der Schutz muss durch die Konfiguration der Geräte und Browser gewährleistet werden, auf denen die Anzeige dargestellt wird. | Welche Geräte in einem Unternehmen zeigen derzeit Anzeigen aus Werbenetzwerken an und für welche gelten derzeit Maßnahmen zur Steuerung von Werbung oder Tracking? |
Discover-Tech hat seine Opfer anhand von IDs für mobile Werbung, Browser-Cookies und IP-Adressen ausgewählt. | Wird ein Identifikationspfad geschlossen – beispielsweise durch die Deaktivierung von Werbe-IDs –, bleiben die anderen offen. | Die Maßnahmen müssen mehrschichtig sein: Deaktivierung von Werbe-IDs, Blockierung von Werbung und Trackern in Browsern sowie Filterung auf Gateway- oder DNS-Ebene. | Ob eine Organisation überprüfen kann, ob jede Ebene auf jedem verwalteten Gerät durchgesetzt wird. |
Die Empfehlungen des Citizen Lab für behördliche Geräte haben beratenden Charakter, und bei privaten Geräten, die in behördlichen Räumlichkeiten genutzt werden, bietet es Orientierungshilfen, übt jedoch keine direkte Kontrolle aus. | Der Schutz endet an der Grenze dessen, was die Organisation verwaltet. | Mitarbeiter, die an Geräten arbeiten, die nicht von der Organisation verwaltet werden, oder die vertrauliche Unterhaltungen in Verbraucher-Apps verlagern, fallen nicht unter die geltenden Richtlinien, es sei denn, ihre Arbeit beschränkt sich auf eine kontrollierte Umgebung. | Wie viele Mitarbeiter nutzen private Geräte oder Verbraucher-Apps für dienstliche Zwecke, und welche verwalteten Kanäle stehen ihnen stattdessen zur Verfügung? |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Werbung auf Arbeitsgeräten ist ein Ärgernis und eine Frage des Datenschutzes, kein Sicherheitsaspekt. | Anzeigen können Code enthalten, und die Anzeige einer Werbung kann dazu führen, dass ein bestimmtes Gerät profiliert oder infiziert wird; daher stellt der Anzeigenpfad einen Angriffspfad dar. | BlackBerry®UEM setzt auf verwalteten Geräten Richtlinien für Geräte und Browser durch, einschließlich Einstellungen zur Einschränkung des Werbe-Trackings, und meldet, ob jedes Gerät diese einhält. |
Eine Richtlinie, in der die Mitarbeiter angewiesen werden, das Tracking durch Werbung zu deaktivieren oder werbefinanzierte Apps zu meiden, reicht aus. | Der Angriff erfordert keine Benutzeraktion, daher schützt eine Richtlinie ein Gerät nur dann, wenn sie durchgesetzt und überprüft wird, und hängt nicht davon ab, dass jeder Benutzer eine Einstellung ändert. | BlackBerry „ UEM “ wendet die Richtlinie zentral an und kennzeichnet Geräte, die nicht mehr den Vorgaben entsprechen, sodass die Durchsetzung nicht vom Verhalten der Benutzer abhängt. |
Die Gerätesteuerung umfasst alles, was die Mitarbeiter für dienstliche Zwecke nutzen. | Die Kontrollmaßnahmen gelten nur für verwaltete Geräte; Mitarbeiter, die private Geräte oder Verbraucher-Apps für vertrauliche Gespräche nutzen, fallen nicht darunter. | BlackBerry® SecuSUITE® bietet Mitarbeitern einen kontrollierten Kanal für vertrauliche Gespräche, der die Risiken durch ein kompromittiertes Gerät begrenzt, auch wenn ein Kommunikationsprodukt ein kompromittiertes Gerät nicht reparieren kann. |
Empfohlene Maßnahmen
SOFORT | Stellen Sie über die Geräteverwaltung sicher, dass die Werbe-IDs deaktiviert und die Nachverfolgung durch Apps auf allen mobilen Geräten, die sich im Besitz der Regierung befinden oder von der Organisation verwaltet werden, eingeschränkt sind, und melden Sie jedes Gerät, das diese Vorgaben nicht erfüllt. |
SOFORT | Setzen Sie die Blockierung von Werbung und Trackern in verwalteten Browsern durch und blockieren Sie Werbe- und Tracking-Domains auf Gateway- oder DNS-Ebene. |
KURZFRISTIG | Wenden Sie die strengsten Richtlinien zunächst auf Mitarbeiter an, die Zugang zu sensiblen Informationen haben, darunter Führungskräfte, Mitarbeiter aus den Bereichen Verteidigung und Politik sowie Verwaltungsangestellte. |
KURZFRISTIG | Stellen Sie sicher, dass Auftragnehmer, Partner und Mitarbeiter, die Geräte nutzen, die nicht von der Organisation verwaltet werden, über einen regulierten Browser auf Arbeitsanwendungen zugreifen, wobei die Richtlinien zu Werbung und Trackern zentral durchgesetzt werden und Arbeitsdaten vom Rest des Geräts isoliert sind. |
LAUFEND | Stellen Sie den Mitarbeitern einen verwalteten Kanal für vertrauliche Gespräche zur Verfügung, der so praktisch ist, dass er Verbraucher-Apps ersetzen kann, und erstellen Sie Richtlinien für private Geräte, die in Büros und Einsatzzentralen genutzt werden. |
BlackBerry-Position
Die Erkenntnisse des Citizen Lab zeigen, dass eine gezielte Werbeanzeige auf dieselbe Weise in die Netzwerke von Verteidigungsministerien, EU-Institutionen und US-Regierungsbehörden gelangen kann und dass bereits die Anzeige einer Werbeanzeige ausreichen kann, um ein Gerät zu infizieren. Da Nutzer nicht auf die Anzeigen klicken müssen, um mit Schadsoftware infiziert zu werden, hängt der Schutz davon ab, wie Geräte und Browser konfiguriert sind, und eine Richtlinie schützt ein Gerät nur dann, wenn sie auch durchgesetzt wird. Regierungen und Betreiber kritischer Infrastrukturen in den USA und Europa sollten auf jedem verwalteten Gerät Kontrollen für Anzeigen-Tracking, Browser und Gateways durchsetzen, einen kontrollierten Browser auch auf nicht verwaltete Rechner ausweiten, damit Arbeitsdaten vom Rest des Rechners isoliert bleiben, sicherstellen, dass Richtlinien eingehalten werden, und den Mitarbeitern einen kontrollierten Kanal zur Verfügung stellen, damit sensible Unterhaltungen nicht in Apps verlagert werden, auf die die Richtlinie keinen Zugriff hat.
Quellenangaben:
1. AdFection aufgedeckt: Wie Discover-Tech gezielte Werbung zu einer Pipeline für Zero-Click-Spionagesoftware machte (The Citizen Lab, Bericht 195, mit paralleler Untersuchung von Confiant, 15. Oktober 2026).
2. Senatoren bezeichnen gezielte Werbung als Sicherheitsrisiko. Werbeverbände halten die Kritik für unbegründet (CyberScoop, 23. Oktober 2026).
3. „AdFection“ verwandelt Online-Anzeigen in ein Werkzeug zur Verbreitung von Spyware (Dark Reading, 19. Oktober 2026).
:quality(90):no_upscale())