EU und NATO: Spionage durch Onlinewerbung

Rubrik: Sicherheit
Format: Spezialbericht
Autor: Sinisa Brkic (sb)

Eine internationale Untersuchung enthüllt, wie gewöhnliche Onlineanzeigen für weltweite Überwachung und gezielte Cyberangriffe missbraucht wurden. Die Infrastruktur eines israelischen Unternehmens erreichte auch Netzwerke der NATO, der Europäischen Kommission und weiterer sicherheitsrelevanter Institutionen. Während bei dem Nachrichtensender Al Jazeera tatsächliche Infektionen mit Spionagesoftware nachgewiesen wurden, ist eine erfolgreiche Kompromittierung von EU- oder NATO-Systemen bislang nicht belegt.

Wenn eine Werbeanzeige zum Spionagewerkzeug wird

Eine gewöhnliche Onlineanzeige kann unter bestimmten technischen Voraussetzungen ausreichen, um ein Gerät mit hochentwickelter Spionagesoftware zu infizieren. Weder muss der Nutzer auf die Werbung klicken noch eine verdächtige Datei herunterladen. Dass diese Angriffsmethode nicht nur theoretisch möglich ist, belegt eine am 15. Oktober 2026 veröffentlichte Untersuchung des kanadischen Forschungsinstituts Citizen Lab und des amerikanischen Cybersicherheitsunternehmens Confiant. Im Zentrum steht das israelische Unternehmen Discover-Tech, das nach Erkenntnissen der Forscher seine Stellung innerhalb des internationalen Onlinewerbemarktes für weitreichende Überwachungsaktivitäten genutzt haben soll. Über reguläre Werbenetzwerke konnten Geräte identifiziert, wiedererkannt und gezielt mit zusätzlichen Programmcodes angesprochen werden. Die untersuchte Infrastruktur war zudem mit Systemen kommerzieller Anbieter von Spionagesoftware verbunden. Besonders aufschlussreich ist der Zusammenhang mit der israelischen Spyware-Firma Candiru, die inzwischen unter dem Namen Integrity Labs bekannt ist. Den Forschern gelang es, anhand technischer Netzwerkdaten konkrete Infektionen bei dem internationalen Nachrichtensender Al Jazeera nachzuvollziehen und mit über Discover-Tech ausgelieferter Werbung in Verbindung zu bringen. Die Angriffsmethode erhielt den Namen AdFection. Erstmals liegt damit eine öffentlich dokumentierte technische Untersuchung vor, die zeigt, wie kommerzielle Spionagesoftware über gezielt ausgespielte Onlineanzeigen ohne jede aktive Handlung der betroffenen Person auf Geräte gelangen konnte.

Die unsichtbare Schwachstelle des Werbemarktes

Das Verfahren nutzt eine grundlegende Eigenschaft des modernen Onlinewerbesystems. Sobald ein Nutzer eine Website öffnet oder eine App verwendet, werden verfügbare Werbeplätze häufig innerhalb von Sekundenbruchteilen versteigert. Bei diesen automatisierten Auktionen, dem sogenannten Real-Time Bidding, erhalten beteiligte Unternehmen Informationen, mit denen sie entscheiden können, ob sie für die jeweilige Werbefläche bieten möchten. Zu diesen Informationen können IP-Adressen, Gerätekennungen, technische Eigenschaften des Browsers und weitere Merkmale gehören. Im regulären Werbegeschäft ermöglichen sie die gezielte Ansprache potenzieller Kunden. Dieselben Informationen können allerdings auch dazu verwendet werden, einzelne Geräte über verschiedene Websites und Anwendungen hinweg wiederzuerkennen. Nach den Erkenntnissen von Citizen Lab betrieb Discover-Tech dafür unter anderem eine Plattform namens Controlium. Das System ermöglichte es beteiligten Überwachungsakteuren, technische Informationen über Geräte zusammenzuführen und ausgewählte Ziele mit zusätzlichem Programmcode anzusprechen. Die eigentliche Gefahr entstand beim Laden einer Anzeige. Ein darin eingebundener Programmcode stellte automatisch eine Verbindung zu einem Server von Discover-Tech her und übermittelte verfügbare Geräteinformationen. Das System konnte anschließend entscheiden, ob lediglich Daten erfasst oder weitere technische Schritte eingeleitet werden sollten. Bei ausgewählten Geräten ließ sich auf diesem Weg zusätzlicher Code ausliefern, der Sicherheitslücken ausnutzen und die Installation von Spionagesoftware ermöglichen konnte. Für die betroffene Person musste dieser Vorgang nicht sichtbar sein. Gerade diese Verbindung aus unbemerkter Identifizierung und gezielter technischer Ausnutzung macht das Verfahren besonders schwer erkennbar.

Konkrete Angriffe auf Al Jazeera nachgewiesen

Den entscheidenden technischen Beleg liefert die Untersuchung von Angriffen auf den Nachrichtensender Al Jazeera in den Jahren 2024 und 2025. Nach Angaben von Citizen Lab wurden mindestens 45 Geräte innerhalb des Medienunternehmens mit der untersuchten Methode angegriffen. Die Forscher konnten darüber hinaus tatsächliche Infektionen mit der Spionagesoftware von Candiru nachweisen. Grundlage waren Netzwerkaufzeichnungen, die Al Jazeera den Forschern zur Verfügung gestellt hatte. Darin ließ sich eine charakteristische Abfolge feststellen: Zunächst kontaktierten betroffene Geräte die Werbeinfrastruktur von Discover-Tech, anschließend technische Prüfsysteme von Candiru und im Fall erfolgreicher Infektionen schließlich Server, über die die Spionagesoftware gesteuert werden konnte. Zusätzliche Hinweise lieferte die Analyse einer auf einem betroffenen Windows-Gerät gefundenen Schadsoftwarekomponente. Ihre technischen Merkmale stützten die Zuordnung zu Candiru, einem Anbieter kommerzieller Überwachungstechnologie, der bereits zuvor im Zusammenhang mit gezielten Cyberangriffen untersucht worden war. Die Zahl von mindestens 45 angegriffenen Geräten darf allerdings nicht automatisch mit 45 vollständig kompromittierten Systemen gleichgesetzt werden. Die Untersuchung bestätigt konkrete Infektionen, lässt jedoch offen, wie viele der angegriffenen Geräte insgesamt erfolgreich übernommen wurden. Für Medienunternehmen besitzt dieser Befund besondere Bedeutung. Journalisten, Rechercheteams und Redaktionen arbeiten regelmäßig mit vertraulichen Informationen und sensiblen Kontakten. Eine Angriffsmethode, die bereits beim gewöhnlichen Aufrufen einer Website wirksam werden kann, schafft zusätzliche Risiken für den Schutz journalistischer Kommunikation.

Auch NATO und europäische Institutionen wurden erreicht

Die Auswertung der Werbedaten zeigt, dass sich die Aktivitäten von Discover-Tech keineswegs auf gewöhnliche Internetnutzer beschränkten. Anzeigen des Unternehmens wurden auch innerhalb von Netzwerken ausgespielt, die staatlichen Einrichtungen, Sicherheitsorganisationen und international bedeutenden Institutionen zugeordnet werden konnten. Citizen Lab dokumentierte entsprechende Werbeausspielungen unter anderem in Netzwerken der NATO, der Vereinten Nationen, der Europäischen Kommission, des Europäischen Parlaments und des Generalsekretariats des Rates der Europäischen Union. Confiant identifizierte darüber hinaus Aktivitäten in besonders sensiblen Netzwerken, darunter solche des amerikanischen Verteidigungsministeriums, der Internationalen Atomenergieorganisation und des Internationalen Strafgerichtshofs. Diese Ergebnisse sind sicherheitspolitisch erheblich, müssen jedoch präzise eingeordnet werden. Dass Anzeigen von Discover-Tech innerhalb solcher Netzwerke erschienen, bedeutet nicht, dass die jeweiligen Institutionen gezielt mit Spionagesoftware angegriffen oder ihre Systeme erfolgreich kompromittiert wurden.

Für eine erfolgreiche Spyware-Infektion bei NATO, Europäischer Kommission oder anderen genannten EU-Institutionen liegt bislang kein entsprechender Nachweis vor. Die Untersuchung dokumentiert zunächst den Zugang der Werbeinfrastruktur zu den betreffenden Netzwerken und die damit verbundenen Möglichkeiten zur Geräteidentifizierung und technischen Überwachung.

Gerade dieser Zugang ist jedoch problematisch. Er zeigt, dass die technischen Mechanismen eines kommerziellen Werbemarktes auch Geräte erreichen können, die innerhalb diplomatischer, militärischer oder staatlicher Einrichtungen verwendet werden. Ob dabei im Einzelfall weitergehende Angriffe stattgefunden haben, bleibt Gegenstand möglicher weiterer Untersuchungen.

Vier Milliarden Datensätze offenbaren die Reichweite

Welches Ausmaß die Aktivitäten von Discover-Tech erreichten, verdeutlicht eine Auswertung von nahezu vier Milliarden Datensätzen über Werbegebote. Die Informationen stammen aus dem Zeitraum März bis Juni 2026 und waren auf öffentlich zugänglichen Systemen des Unternehmens gespeichert. Nach den Untersuchungsergebnissen wurden Anzeigen von Discover-Tech auf mehr als 120.000 Websites und in über 70.000 mobilen Anwendungen ausgespielt. Reuters berichtete unter Berufung auf die Forscher von rund 75.000 betroffenen Apps. Die Reichweite erstreckte sich über zahlreiche Länder und unterschiedlichste digitale Angebote. Confiant bezifferte das tägliche Anzeigenvolumen des Unternehmens auf ungefähr zehn Millionen Ausspielungen. Damit verfügte Discover-Tech über eine Infrastruktur, die potenziell große Mengen an Informationen über Geräte und deren Internetaktivitäten erfassen konnte. Die Größenordnung bedeutet allerdings nicht, dass Millionen Geräte mit Spionagesoftware infiziert wurden. Werbegebote, tatsächlich angezeigte Werbung, erfasste Geräte und erfolgreiche Infektionen sind unterschiedliche technische Vorgänge. Die Gesamtzahl tatsächlich kompromittierter Geräte lässt sich anhand der bisherigen Erkenntnisse nicht bestimmen. Dennoch machen die Daten deutlich, weshalb der internationale Werbemarkt für Überwachungsunternehmen interessant ist. Wer auf umfangreiche Werbeinformationen zugreifen kann, erhält unter bestimmten Bedingungen Einblicke in Gerätekennungen, Netzwerkverbindungen und digitale Verhaltensmuster, ohne selbst Betreiber der besuchten Websites oder Anwendungen sein zu müssen.

Google und europäische Werbebranche ziehen Konsequenzen

Nach Bekanntwerden der Untersuchungsergebnisse haben mehrere Unternehmen und Branchenorganisationen Maßnahmen gegen Discover-Tech ergriffen. Google bestätigte, das Unternehmen wegen systematischer Verstöße gegen seine Richtlinien von den eigenen Werbeplattformen ausgeschlossen zu haben. Auch IAB Europe, der europäische Branchenverband für digitale Werbung, entfernte Discover-Tech Anfang Oktober aus seiner Liste zugelassener Anbieter. Die zum amerikanischen Comcast-Konzern gehörende Werbeplattform Beeswax beendete ebenfalls die Zusammenarbeit. Weitere beteiligte Plattformen schränkten die Zugänge des Unternehmens ein oder sperrten entsprechende Konten. Besonders bemerkenswert ist die Vorgeschichte. Discover-Tech war seit 2020 in Verzeichnissen zugelassener beziehungsweise zertifizierter Werbepartner vertreten und konnte dadurch an etablierten Systemen des internationalen Werbemarktes teilnehmen. Die Zulassung durch solche Systeme soll gewährleisten, dass Unternehmen bestimmte technische und organisatorische Voraussetzungen erfüllen. Dass eine nach den Forschungsergebnissen für Spionagezwecke eingesetzte Infrastruktur über Jahre hinweg Zugang zu wichtigen Werbenetzwerken hatte, wirft erhebliche Fragen zur Wirksamkeit dieser Kontrollen auf. Daraus lässt sich nicht ableiten, dass Google oder andere Plattformbetreiber bewusst an den dokumentierten Überwachungsaktivitäten beteiligt waren. Der Fall macht jedoch deutlich, wie stark das gesamte System von der Kontrolle externer Geschäftspartner und der Überprüfung jener Programme abhängt, die über Werbeanzeigen auf fremden Geräten ausgeführt werden können. Discover-Tech reagierte nach Angaben von Reuters nicht auf entsprechende Anfragen. Auch die Eigentümer von Candiru konnten für eine Stellungnahme nicht erreicht werden. Eine abschließende rechtliche Bewertung möglicher Verantwortlichkeiten liegt bislang nicht vor.

Europas Datenschutz steht vor einem grundlegenden Problem

Die Enthüllungen betreffen nicht ausschließlich die Cybersicherheit. Sie stellen auch die bestehenden Kontrollmechanismen des europäischen Datenschutzes vor eine schwierige Frage: Wie wirksam können personenbezogene Informationen geschützt werden, wenn zahlreiche technische Dienstleister am Austausch und an der Verarbeitung von Werbedaten beteiligt sind? Die europäische Datenschutz-Grundverordnung legt fest, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Der digitale Werbemarkt arbeitet jedoch mit komplexen technischen Beziehungen zwischen Plattformen, Werbenetzwerken, Datenanbietern und den Betreibern einzelner Websites oder Apps. Discover-Tech nutzte nach Erkenntnissen der Forscher auch Mechanismen, die im europäischen Werbemarkt zur Verwaltung von Einwilligungen und zur Weitergabe entsprechender Informationen eingesetzt werden. Die Untersuchung wirft damit die Frage auf, ob bestehende Zulassungs- und Kontrollverfahren ausreichend verhindern, dass derartige Zugänge für verdeckte Überwachungszwecke missbraucht werden. Ein formal zugelassener Werbepartner ist nicht zwangsläufig ein technisch unbedenklicher Akteur. Entscheidend ist vielmehr, welche Daten tatsächlich erhoben, an wen sie übermittelt und welche Programme auf den Geräten der Nutzer ausgeführt werden können. Für europäische Aufsichtsbehörden ergibt sich daraus ein Untersuchungsbedarf, der über mögliche Verstöße eines einzelnen Unternehmens hinausreicht. Im Mittelpunkt steht die Frage, ob der regulatorische und technische Schutz einer Infrastruktur ausreicht, deren Funktionen sich sowohl für kommerzielle Werbung als auch für gezielte Überwachung einsetzen lassen.

Eine neue Dimension der digitalen Spionage

Die Untersuchung von Citizen Lab und Confiant zeigt, wie eine alltägliche Funktion des Internets zu einem Instrument kommerzieller Cyberüberwachung werden konnte. Onlinewerbung diente dabei nicht allein der Verbreitung manipulierter Inhalte, sondern auch der Identifizierung einzelner Geräte und der gezielten Auslieferung von Spionagesoftware. Die nachgewiesenen Angriffe bei Al Jazeera belegen, dass diese Methode bereits praktisch eingesetzt wurde. Die Werbeausspielungen innerhalb von NATO-Netzwerken, europäischen Institutionen und weiteren sicherheitsrelevanten Einrichtungen verdeutlichen zugleich, wie weit die technische Reichweite einer solchen Infrastruktur gehen kann. Der entscheidende Befund liegt deshalb nicht in der unbewiesenen Annahme, NATO oder EU seien erfolgreich gehackt worden. Er liegt in der dokumentierten Möglichkeit, gewöhnliche Werbesysteme als Zugang zu Geräten zu verwenden, deren Nutzer häufig keinen unmittelbaren Einfluss darauf haben, welche externen Programme beim Besuch einer Website geladen werden. Damit erhält die seit Jahren geführte Diskussion über die Risiken personalisierter Onlinewerbung eine zusätzliche sicherheitspolitische Dimension. Es geht nicht mehr ausschließlich um Datenschutz, Nutzerprofile oder unerwünschte Verfolgung im Internet. Es geht auch um die Frage, ob die internationale Werbeinfrastruktur ausreichend gegen ihre Nutzung als Werkzeug gezielter Cyberangriffe geschützt ist. Der Fall Discover-Tech zeigt, wie gefährlich die Verbindung aus umfangreicher Datenerfassung, automatisierter Geräteidentifizierung und kommerzieller Spionagetechnologie werden kann. Solange die beteiligten Plattformen und Aufsichtsbehörden solche Aktivitäten nicht zuverlässig erkennen und unterbinden können, bleibt der digitale Werbemarkt ein potenzieller Zugangskanal für Überwachung, die weit über den ursprünglichen Zweck von Onlineanzeigen hinausgeht.