Die israelische Firma Discover-Tech soll manipulierte Werbeanzeigen an Millionen Smartphones und Laptops ausgespielt haben. Damit soll es mehreren Anbietern von Spionagesoftware möglich gewesen sein, Nutzerprofile zu erstellen und Geräte zu infizieren, ohne dass die Betroffenen selbst klicken mussten. Das geht aus einem Bericht des Citizen Lab der Universität Toronto hervor, den der Bayerische Rundfunk (BR) und netzpolitik.org vorab einsehen konnten.

„Wir dokumentieren in unserer Studie zum ersten Mal konkrete technische Belege für so einen Spyware-Angriff über Onlinewerbung“, sagt Wolfie Christl, Forscher am Citizen Lab und Mitautor des Berichts.

Zero-Click-Angriff über Werbeanzeigen

Bei einem sogenannten Zero-Click-Angriff wird der Angriffscode ausgeführt, ohne dass Betroffene etwas tun müssen. Es muss kein Link angeklickt, keine Datei geöffnet und nichts bestätigt werden. Laut Bericht reicht die bloße Ausspielung der Anzeige, um Schadcode und eine Spionage-App zu installieren, die von einem fremden Server gesteuert wird. Das Citizen Lab nennt das Verfahren „AdFection“, zusammengesetzt aus „Ad“ (Werbung) und „Infektion“.

Die Forschenden weisen darauf hin, dass eine auf einem Gerät angezeigte Anzeige nicht zwangsläufig eine Infektion bedeutet. Mindestens seien aber Daten gesammelt worden, um detaillierte Nutzerprofile zu bilden.

Wie Discover-Tech vorgegangen sein soll

Laut Citizen Lab untersuchte das Forscherteam ungesicherte interne Daten und Systeme von Discover-Tech und kombinierte diese mit öffentlich einsehbaren Informationen zu bekannter Schadsoftware. Demnach soll das Unternehmen das Online-Werbesystem im großen Stil ausgenutzt und millionenfach manipulierte Anzeigen ausgespielt haben, zum Beispiel über beliebte Apps.

Discover-Tech trat dem Bericht zufolge nach außen als legitimer Teilnehmer des Werbesystems auf. Personalisierte Onlinewerbung beruht auf einem permanenten Datenaustausch Hunderter beteiligter Firmen. Das Unternehmen betrieb demnach eine Plattform, auf der sich mit wenigen Klicks Zielpersonen anhand ihrer Werbe-Identifikationsnummern oder IP-Adressen auswählen ließen. Neben Candiru bringt der Bericht Discover-Tech mit zwei weiteren Anbietern von Spionagesoftware in Verbindung.

Mutmaßliche Ziele der Spionagesoftware : UN, NATO, EU und Medien

Manipulierte Anzeigen seien auch auf Geräten ausgespielt worden, die mit der UN, der NATO, der EU sowie mit Regierungen, Behörden und Einrichtungen der kritischen Infrastruktur in einer Vielzahl von Ländern in Verbindung stehen. Dem Citizen Lab zufolge gab es Angriffsversuche auf Netzwerke der NATO und der UN, des Europäischen Parlaments und der Europäischen Kommission sowie auf nordische Staaten, kritische Infrastrukturen und Universitätsnetzwerke. Auch staatliche Netzwerke in Italien, Tschechien und den USA nennt der Bericht.

Ins Visier geraten sein sollen außerdem 20 internationale Medien sowie einige der weltweit größten Technologieunternehmen und Chiphersteller. Für deutsche Behörden oder Konzerne sehen die Forschenden bislang keinen belegten Fall. Mit Wetter Online ist allerdings ein deutscher App-Anbieter betroffen.

Al Jazeera: Mindestens 45 Geräte infiziert

Erfolgreiche Angriffe durch die Spionagesoftware konnten die Forschenden nach eigenen Angaben beim katarischen Nachrichtensender Al Jazeera nachweisen. Zwischen 2024 und 2025 sollen dort mindestens 45 Geräte über Onlinewerbung mit der Spionagesoftware des Unternehmens Candiru infiziert worden sein. Al Jazeera stellte dem Citizen Lab interne Logdaten zur Verfügung, anhand derer sich die Angriffe nachvollziehen ließen.

Als weiteres mutmaßliches Ziel nennt der Bericht das Außenministerium Saudi-Arabiens. Darauf deuten technische Spuren hin, die BR und netzpolitik.org nachvollziehen konnten. Die Botschaft Saudi-Arabiens ließ eine Anfrage unbeantwortet.

Candiru verkauft Überwachungssoftware an Regierungen und staatliche Stellen. Das Unternehmen wurde 2025 von der US-Investmentfirma Integrity Partners übernommen und in der Vergangenheit bereits mit Spionageaktivitäten in Verbindung gebracht.

Tausende Apps und Webseiten betroffen

Laut Citizen Lab waren von Discover-Tech ausgespielte Anzeigen zwischen März und Juni 2026 in mehr als 75.000 Apps für Apple- und Android-Geräte sowie auf mehr als 120.000 Webseiten zu sehen. Der Bericht enthält keine vollständige App-Liste, nennt aber Beispiele: die Wetter-App Wetter Online, die Sprachlern-App Duolingo, den Messengerdienst Viber, die Dating-Apps Grindr und Badoo, die Anruf-App Truecaller, die Yahoo-Mail-App, eine Sudoku-App für Android sowie mehrere Apps zum Periodentracking.

Als potenziell betroffene Webseiten führt der Bericht neben Al Jazeera die Nachrichtenseiten von CBC, Fox News, „New York Times“, BBC und „Haaretz“ sowie AccuWeather auf.

Wetter Online führte Discover-Tech laut Recherchen von BR und netzpolitik.org bis Februar 2025 in der Datenschutzerklärung als einen von damals mehr als 800 Partnern auf, mit denen Daten ausgetauscht werden. Die Anbieter der genannten Apps ließen Anfragen unbeantwortet.

Jahrelang als Werbepartner gelistet

Discover-Tech war jahrelang bei Google und der Branchenorganisation IAB Europe offiziell als Werbepartner gelistet. Google gibt an, das Unternehmen wegen systematischer Verstöße gegen die Richtlinien von seinen Werbeplattformen entfernt zu haben. IAB Europe erklärte, Discover-Tech von der Liste der Anzeigenvermarkter genommen zu haben, könne aber nicht feststellen, ob über das Unternehmen Spionagesoftware auf Geräte gelangt sei. Discover-Tech und Candiru ließen Anfragen von BR und netzpolitik.org unbeantwortet.

Verfassungsschutz sieht „erhebliches Gefährdungspotenzial“

Das Bundesamt für Verfassungsschutz sagte dem BR, es sehe in den Vorfällen ein „erhebliches Gefährdungspotenzial“. Bei den manipulierten Anzeigen handle es sich „um eine weitere Vorgehensweise, die staatlich gesteuerten Cyberakteuren zur Verfügung steht, um deren Ziele anzugreifen“.

Christl sagt: „Die Online-Werbung ist kaputt. Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko – für Staaten, den privaten Sektor, Zivilgesellschaft und für alle anderen.“