Nicht die Gratis-Apps sind das Problem, sondern das Werbe-SDK in ihnen

Was, wenn das Gefährlichste auf dem Smartphone gar nicht eine installierte App ist, sondern die Anzeige, die eine kostenlose App für eine halbe Sekunde einblendet? Das ist die unbequeme Frage hinter dem jüngsten Bericht von Citizen Lab, und wir meinen, dass sie mehr Aufmerksamkeit verdient als der übliche Rat, man solle aufpassen, worauf man klickt. Hier klickt niemand auf irgendetwas.

Was passiert ist: ein Werbeunternehmen als Brücke für Spyware

Am 15. Oktober veröffentlichten Forschende von Citizen Lab an der University of Toronto einen Bericht über eine Technik, die sie AdFection nennen. Sie beschreiben sie als die erste öffentliche technische Bestätigung für Zero-Click-Söldner-Spyware, die über gezielte Werbung ausgeliefert wird. Das israelische Unternehmen Discover-Tech soll über seine Plattform Controlium Nutzer profiliert und deanonymisiert haben und Spyware-Anbietern dann erlaubt haben, ausgewählte Ziele zu infizieren, sobald eine Anzeige erschien.

Laut Wired kam Citizen Lab zu dem Schluss, dass 2024 und 2025 insgesamt 45 Geräte von Al Jazeera ins Visier genommen wurden. Demselben Bericht zufolge tauchten zwischen März und Juni dieses Jahres in mehr als 70.000 mobilen Apps Anzeigen mit Verbindung zu dem Unternehmen auf, die Script-Tags der Angreifer enthielten.

Das Problem ist die Architektur, nicht ein einzelner schwarzer Schaf

Es ist verlockend, das als Geschichte über ein einzelnes zwielichtiges Unternehmen abzuhaken. Die Beschreibung von Citizen Lab selbst deutet in die andere Richtung. Eine Anzeige ist nicht nur ein Bild: Sie kann Code des Werbetreibenden und weiterer Zwischenhändler enthalten, und dieser Code läuft innerhalb der App oder des Browsers. Hinzu kommen Echtzeit-Auktionen, bei denen Gerätedaten weitergegeben werden. Wer das Gebot gewinnt, kann so den Bildschirm einer einzelnen Person gezielt ansprechen. Wie der Forscher Bill Marczak gegenüber Wired sagte, werden wir solchen Missbrauch weiter sehen, solange sich diese Architektur nicht ändert oder die Werbefirmen ihre Kunden nicht ernsthaft prüfen.

Das ist der entscheidende Punkt für alle, die kostenlose Apps nutzen. Jedes Werbe-SDK ist eine Tür, die der Entwickler Dritten öffnet, und was hindurchkommt, kontrolliert er selten. Eine kostenlose App muss weder bösartig noch schlecht programmiert sein, um zum Lieferweg zu werden. Unserer Ansicht nach sagt der Satz „Diese App ist vertrauenswürdig“ nichts mehr aus, wenn die Monetarisierung an eine Auktion ausgelagert ist.

Die Torwächter haben versagt, und das sollte die Regeln ändern

Das belastendste Detail ist nicht technischer Natur. Citizen Lab zufolge stand Discover-Tech von 2020 bis 2026 auf Listen zertifizierter und zugelassener Werbeanbieter, die Google und IAB Europe führen. Der Forscher Wolfie Christl nannte es desaströs, dass große Werbeanbieter dies offenbar jahrelang weder erkennen noch verhindern konnten.

Fairerweise muss man sagen: Sobald die Belege auftauchten, fiel die Reaktion schnell aus. Google teilte Wired mit, Discover-Tech auf seinen Werbeplattformen gesperrt zu haben, und IAB Europe setzte das Unternehmen auf seiner Anbieterliste aus. Doch eine Aufräumaktion nach einem öffentlichen Bericht ist keine Kontrolle. Wir meinen, die Beweislast sollte sich verschieben: Wenn eine Plattform einem Anbieter erlaubt, ausführbaren Code auf Millionen Smartphones auszuliefern, ist die Prüfung dieses Anbieters eine Sicherheitspflicht und kein Marketing-Häkchen. Aufsichtsbehörden sollten, wie Christl forderte, das systemische Risiko in den Blick nehmen und nicht nur einen einzelnen Namen.

Eine Einschränkung hält die Betrachtung redlich. Der Cybersicherheitsanalyst Eddy Willems sagte gegenüber Al Jazeera, dass die Ausführung von Code in einem Browser nicht automatisch die volle Kontrolle über ein Gerät bedeutet, weil ein Angreifer womöglich eine zweite Schwachstelle braucht, um die Sandbox zu verlassen. Zudem beschreibt die Dokumentation eine gezielte Operation und keine Masseninfektion gewöhnlicher Nutzer. Die meisten Leserinnen und Leser sind hier vermutlich nicht das Ziel. Dennoch erstellt dieselbe Pipeline Profile von Millionen Menschen, bevor sie einige wenige auswählt.

Was sich dagegen tun lässt

Für Nutzer sind die Optionen ziemlich nüchtern: Marczak weist darauf hin, dass man kaum mehr tun kann, als Werbung auf jeder Website und Plattform so gründlich wie möglich zu blockieren. Unsere Empfehlung: Inhaltsblocker einsetzen, wo es geht, System und Browser aktuell halten und erwägen, für die wichtigsten Apps zu bezahlen, denn eine werbefreie Variante verkleinert diese Angriffsfläche wahrscheinlich. Wer als Journalist, Aktivistin oder in einer Behörde arbeitet, sollte Werbeblocker als grundlegende Hygiene verstehen, nicht als Paranoia.

Für die Plattformen fällt das Urteil klarer aus. Werbe-SDKs sollten wie jeder andere Drittanbietercode geprüft und isoliert werden, und die Zertifizierung von Anbietern sollte etwas bedeuten. „Kostenlose“ Apps waren nie wirklich kostenlos. Dieser Bericht legt nahe, dass die Rechnung auch die Sicherheit des eigenen Geräts umfassen kann.