Das kanadische Citizen Lab an der Universität Toronto hat am Donnerstag den ersten technischen Beleg dafür vorgelegt, dass Online-Werbenetzwerke systematisch als Lieferweg für staatliche Spyware genutzt wurden. In dem unter dem Namen AdFection veröffentlichten Bericht dokumentieren die Forscher einen zero-click-Angriff: Betroffene mussten weder einen Link anklicken noch einen Anhang öffnen - es genügte, dass eine manipulierte Werbeanzeige in einer App oder im Browser geladen wurde.
Zwischen 2024 und 2025 wurden auf diesem Weg mindestens 45 Geräte des katarischen Nachrichtensenders Al Jazeera - überwiegend Windows-Rechner - mit der Candiru-Spyware infiziert, wie der Spiegel-Mitbewerber heise unter Berufung auf die Citizen-Lab-Analyse berichtet. Candiru, inzwischen umbenannt in Saito Tech, ist eine Tel Aviver Firma, die 2021 auf die US-Exportsperrliste gesetzt wurde. Als Mittler zwischen Werbemarkt und Spyware-Industrie identifiziert der Bericht die israelische Firma Discover-Tech, die mit ihrer Plattform Controlium Werbeplätze für mehrere Spionagesoftware-Anbieter wie Candiru, Bindecy und Intelos bespielte.
120.000 Websites, 70.000 Apps
Für die Analyse werteten die Forscher knapp vier Milliarden Datensätze aus dem Ad-Bidding-Verfahren aus. Zwischen März und Juni 2026 fanden sie Discover-Tech-Anzeigen auf mehr als 120.000 Websites und 70.000 mobilen Apps, darunter populäre Dienste wie Wetter Online, Duolingo und den Messenger Viber. Zu den Netzwerken, auf denen Impressionen registriert wurden, zählen laut Bericht das US-Verteidigungsministerium, die Internationale Atomenergiebehörde, der Internationale Strafgerichtshof sowie Infrastruktur der NATO und der Vereinten Nationen.
Google reagierte nach eigener Darstellung umgehend: Der Konzern entzog Discover-Tech den Status eines zertifizierten Werbepartners, sperrte das Unternehmen von den eigenen Ad-Exchange-Plattformen aus und aktivierte Safe-Browsing-Schutz gegen den im Angriff verwendeten Code. Der europäische Branchenverband IAB Europe strich die Firma Anfang Oktober wegen „systemischer Richtlinienverstöße“ von seiner Zuliefererliste, wie heise dokumentiert.
Es war ein fürchterliches Gefühl.
Deutschland in der Kundenliste
Für Deutschland ist der Fall doppelt heikel. Deutsche Sicherheitsbehörden setzen zwar seit Jahren Staatstrojaner ein, legen aber nicht offen, um welche Produkte es sich konkret handelt, wie netzpolitik.org in seiner Analyse der Citizen-Lab-Papiere betont. Nach einer Recherche der israelischen Tageszeitung Haaretz aus dem Jahr 2021 gehörte auch die Bundesrepublik zum Kundenkreis von Candiru. Der Grünen-Europaabgeordnete Daniel Freund, der 2024 selbst Ziel eines Spionageangriffs geworden war, nannte die Erfahrung gegenüber netzpolitik.org ein „fürchterliches Gefühl“.
Discover-Tech, Candiru und die Bundesregierung haben die Vorwürfe bislang nicht öffentlich kommentiert. Al Jazeera, der auf den eigenen Geräten die Spuren entdeckt und das Citizen Lab eingeschaltet hatte, veröffentlichte parallel zur Studie einen eigenen Bericht. Für Datenschützer und IT-Sicherheitsforscher verschiebt sich damit die Debatte um gezielte Werbung von einer reinen Privatsphäre-Frage hin zu einer sicherheitspolitischen: Wenn ein globaler Werbeplatz zum Einfallstor für Staatstrojaner werden kann, trifft das nicht nur Journalisten in Doha, sondern jeden Smartphone-Nutzer, der eine Anzeige im Hintergrund lädt.