Wohl Millionen Nutzer betroffen

„Erhebliches Gefährdungspotenzial“ – Firma verbreitet Spionagesoftware über Apps und Webseiten

Kanadische Forscher finden Unglaubliches heraus. Spionagesoftware kann durch Onlinewerbung verbreitet werden – Nutzer müssen diese nicht einmal anklicken.

Ein Handy mit Apps. Viele davon können Einfallstor für Spionage sein.

Von Christian Gottschalk

Harmloser können Apps kaum sein. Wetter-Online dient dazu, um zu checken, ob man am nächsten Tag einen Regenschirm braucht, mit Duolingo werden die Sprachkenntnisse getestet und voran gebracht, auf französisch oder norwegisch. Diese vermeintliche Harmlosigkeit hat sich die israelische Firma Discover-Tech zunutze gemacht.

Millionen von Endgeräten betroffen

Das Unternehmen soll manipulierte Werbeanzeigen an Millionen von Endgeräte ausgespielt haben, an Smartphones ebenso wie an Laptops. Damit soll es mehreren Anbietern von Spionagesoftware ermöglicht worden sein, detaillierte Profile von Nutzern zu bilden und Geräte zu infizieren – ohne dass die betroffenen Personen selbst klicken mussten. Auch die Apps und Websites, auf denen die Werbung anzeigt wird, können nicht nachvollziehen, was genau Anbieter mit ihren Werbeanzeigen auf die Geräte der Nutzer spielen.

Das alles geht aus einem Bericht des Citizen Lab der Universität Toronto hervor, den der Bayerische Rundfunk und das Portal netzpolitik.org vorab einsehen konnten. „Wir dokumentieren in unserer Studie zum ersten Mal konkrete technische Belege für so einen Spyware-Angriff über Onlinewerbung“, sagt Wolfie Christl, ein Forscher am Citizen Lab und Mitautor des Berichts, nach Angaben der beiden Medien.

Auch die Apps und Websites, wo die Werbung anzeigt wird, können laut Citzen Lab nicht nachvollziehen, was genau Anbieter mit ihren Werbeanzeigen auf die Geräte der Nutzer spielen. Auch die Anzahl der infizierten Geräte steht noch nicht fest. Allein die Sprachapp Duolingo wird aktiv von knapp 60 Millionen Menschen genutzt, und das täglich.

Auch die UN und die Nato sollen betroffen sein

Manipulierte Werbeanzeigen seien dem Bericht zufolge auch auf Geräten angezeigt worden, die mit der UN, der Nato, der EU sowie Regierungen, Behörden und Einrichtungen der kritischen Infrastruktur in einer Vielzahl von Ländern in Verbindung stehen. Auch internationale Medien, Technologieunternehmen und Chiphersteller sollen ins Visier geraten sein. Beim katarischen Nachrichtensender Al Jazeera sollen zwischen 2024 und 2025 mindestens 45 Geräte über Online-Werbung mit der Spionagesoftware des Unternehmens Candiru infiziert worden sein. Auch das Außenministerium in Saudi-Arabien soll betroffen sein.

Als Bindeglied zwischen Spionagefirmen wie Candiru und der Online-Werbeindustrie soll Discover-Tech fungiert haben. Personalisierte Onlinewerbung funktioniert über einen permanenten Datenaustausch Hunderter beteiligter Firmen. Discover-Tech war jahrelang bei Google und der Werbe-Branchenorganisation IAB Europe offiziell als Werbepartner gelistet und fiel dabei offenbar nicht auf. Google gab an, man habe das Unternehmen inzwischen von seinen Werbeplattformen entfernt, da es gegen Richtlinien verstoßen habe.

„Die Online-Werbung ist kaputt“, sagt Forscher Wolfie Christl vom Citizen Lab zum Ergebnis seiner Untersuchungen. „Die Art, wie Online-Werbung heute funktioniert, ist ein einziges Sicherheitsrisiko. Das gelte für Staaten, den privaten Sektor, die Zivilgesellschaft „und für alle anderen.“

Das Bundesamt für Verfassungsschutz, das in Deutschland für die Spionageabwehr zuständig ist, sieht ein „erhebliches Gefährdungspotenzial“. Die manipulierten Werbeanzeigen seien „eine weitere Vorgehensweise, die staatlich gesteuerten Cyberakteuren zur Verfügung steht, um deren Ziele anzugreifen“, so die Behörde gegenüber dem Bayerischen Rundfunk.