AdFection: Wenn Online-Werbung zum Spionage-Einfallstor wird
Was die Meldung berichtet
Das Citizen Lab, eine Forschungseinrichtung, die seit Jahren digitale Überwachung und Spionagesoftware untersucht, hat Hinweise zusammengetragen, wonach globale Werbenetzwerke für gezielte Zero-Click-Angriffe missbraucht werden. Unter dem Namen AdFection berichtet heise Security darüber. Nach der Zusammenfassung stehen dabei auch Medienhäuser im Visier.
Mehr Details als diese Eckpunkte liegen uns nicht vor, und wir wollen nicht so tun, als kennten wir technische Einzelheiten, die in der Meldung nicht stehen. Welche Netzwerke betroffen sind, welche Schwachstellen genutzt werden und wer dahintersteckt, lassen wir deshalb bewusst offen. Was sich aber auch ohne diese Details sagen lässt: Das Prinzip ist bedeutsam, und die Konsequenzen für Unternehmen lassen sich sauber einordnen.
Zwei Begriffe sollten wir vorab klären, weil sie im Alltag selten vorkommen.
Zero-Click bedeutet: Das Opfer muss nichts tun. Kein Link wird angeklickt, kein Anhang geöffnet, keine Warnung weggeklickt. Allein dass ein Gerät bestimmte Inhalte lädt oder verarbeitet, reicht aus, damit ein Angriff greift. Das unterscheidet diese Angriffe grundlegend von klassischem Phishing, gegen das man Mitarbeiter schulen kann.
Staatstrojaner sind Spionageprogramme, die auf ein Zielgerät geschleust werden, um Nachrichten, Standorte, Kontakte oder Dokumente auszulesen. Sie werden gezielt gegen einzelne Personen eingesetzt, etwa Journalisten, Oppositionelle oder Menschen mit Zugang zu sensiblen Informationen.
Warum ausgerechnet Werbung?
Man muss sich zunächst klarmachen, wie Online-Werbung technisch funktioniert. Wer eine Webseite aufruft, bekommt neben dem eigentlichen Inhalt Platz für Anzeigen geliefert. Diese Anzeigen stammen nicht vom Betreiber der Seite, sondern werden in Sekundenbruchteilen von einem Netzwerk ausgewählt, oft über mehrere Zwischenstationen hinweg. Anbieter, die Werbeplätze verkaufen, Plattformen, die Anzeigen einkaufen, Firmen, die Zielgruppen vermessen: Alle sind an einem einzigen Seitenaufruf beteiligt.
Daraus ergeben sich Eigenschaften, die für Angreifer attraktiv sind:
Reichweite ohne eigene Infrastruktur. Wer Werbung kaufen kann, kann Inhalte an sehr viele Geräte ausliefern. Eine eigene Website, die erst Besucher anlocken müsste, ist nicht nötig.
Gezielte Auslieferung. Werbenetzwerke sind genau dafür gebaut, Inhalte an bestimmte Zielgruppen zu steuern: nach Region, Interessen, Gerätetyp oder Zeitpunkt. Was für Marketing ein Feature ist, kann für einen Angreifer bedeuten, dass nur eine einzige Zielperson den manipulierten Inhalt zu sehen bekommt. Das macht Entdeckung schwer, weil alle anderen schlicht harmlose Anzeigen sehen.
Vertrauen in die Umgebung. Eine Nachrichtenseite oder ein bekannter Onlineshop wirkt seriös. Die Anzeige darin kommt aber von Dritten, die der Seitenbetreiber oft selbst nicht im Detail kennt. Browser und Anwender behandeln den Gesamtauftritt trotzdem als eine Einheit.
Fehlende Sichtbarkeit. Wer Werbung auf einer Seite ausspielt, sieht im Alltag nur einen Bruchteil dessen, was tatsächlich geladen wird. Sicherheitsabteilungen prüfen den eigenen Code, selten aber, welche Ketten von Dritten im Hintergrund mitlaufen.
Dass Medienhäuser laut der Meldung im Visier stehen, passt in dieses Bild. Redaktionen arbeiten mit sensiblen Quellen und sind daher für Spionage besonders interessant. Gleichzeitig leben sie von Werbung und können sich kaum davor abschotten.
Warum Zero-Click so unangenehm ist
Die meiste Sicherheitsaufklärung für Unternehmen dreht sich um das Verhalten von Menschen: Nicht auf unbekannte Links klicken, keine Anhänge von Fremden öffnen, Absender prüfen. Das ist richtig und weiterhin wichtig. Bei Zero-Click-Angriffen läuft diese Verteidigungslinie jedoch ins Leere, denn es gibt keinen Moment, in dem ein aufmerksamer Mitarbeiter etwas anders hätte machen können.
Das verschiebt die Verantwortung. Schutz gegen solche Angriffe liegt weniger beim einzelnen Anwender und mehr bei der Technik und der Organisation:
- Aktuelle Software auf allen Geräten, weil solche Angriffe typischerweise auf Schwachstellen in Browsern, Betriebssystemen oder Apps setzen.
- Eine Umgebung, in der man weniger fremde Inhalte lädt, als unbedingt nötig.
- Klare Trennung zwischen sensiblen Arbeitsgeräten und dem, was nebenbei im Netz passiert.
Wir stellen hier bewusst keine konkrete technische Behauptung auf, welche Schwachstellen bei AdFection im Spiel sind. Die allgemeine Logik gilt aber für diese ganze Angriffsklasse: Je weniger Zutun nötig ist, desto wichtiger werden Aktualität, Härtung und Begrenzung der Angriffsfläche.
Was Zero-Click für ein KMU konkret bedeuten kann
Der erste Reflex vieler Mittelständler ist: „Staatstrojaner betreffen uns nicht, wir sind weder Journalisten noch Politiker." Diese Einschätzung ist zur Hälfte richtig. Gezielte Staatsspionage trifft nach allem, was man öffentlich weiß, einen sehr kleinen Kreis. Trotzdem lohnt sich der Blick auf das Muster dahinter, aus drei Gründen.
Erstens: Techniken wandern. Was zunächst Spezialwerkzeug für wenige Ziele ist, wird erfahrungsgemäß mit der Zeit günstiger und von anderen Akteuren übernommen. Kriminelle Gruppen bedienen sich früher oder später an Methoden, die zuerst im staatlichen Umfeld auftauchten. Es wäre naiv zu glauben, dass der Weg über Werbenetzwerke dauerhaft nur für Geheimdienste offenbleibt.
Zweitens: Auch KMU haben interessante Rollen. Geschäftsführer, Einkäufer, Entwickler, Mitarbeiter mit Zugriff auf Finanzdaten oder Kundendatenbanken, Zulieferer für größere Konzerne: Wer in einer Lieferkette sitzt, ist für Angreifer ein Weg zu anderen Zielen. Ein einzelnes kompromittiertes Smartphone eines Geschäftsführers reicht, um Mails, Messenger-Verläufe und Zugangsdaten abzugreifen.
Drittens: Sie sind auch Teil der Kette. Das ist der Punkt, der viele Unternehmen überrascht. Wer auf seiner eigenen Website Werbeflächen verkauft, Remarketing-Pixel einbindet oder Dutzende Tracking- und Analyse-Skripte laufen lässt, ist selbst Teil dieser Auslieferungskette. Nicht als Täter, aber als Plattform. Wenn über ein eingebundenes Fremdskript etwas Schädliches an Ihre Besucher ausgeliefert wird, ist es Ihre Seite, auf der es passiert. Der Vertrauensschaden trifft Sie, nicht das Werbenetzwerk im Hintergrund.
Das unterschätzte Risiko: Fremdskripte auf der eigenen Website
Gehen wir den Blick von der Spionage weg, hin zum Alltag eines Mittelständlers mit Website und Shop. Wie sieht die typische Seite aus? Ein Seitenbaukasten oder ein Shopsystem, dazu ein Analyse-Tool, ein Werbe-Pixel für die großen Plattformen, ein Chat-Widget, eine eingebettete Karte, ein Newsletter-Formular, ein Bewertungs-Plugin, vielleicht noch ein Tool für Heatmaps. Jedes dieser Elemente lädt Code von einem fremden Server. Dieser Code läuft im Browser Ihrer Besucher, mit weitreichenden Möglichkeiten.
Das hat mehrere Folgen:
Sie verlieren die Kontrolle über den Inhalt. Der Anbieter eines eingebundenen Skripts kann dieses jederzeit ändern. Sie sehen nicht unbedingt, wenn er es tut. Wird der Anbieter selbst gehackt oder übernommen, läuft der geänderte Code plötzlich auf Ihrer Seite.
Es gibt Kettenbeziehungen. Ein Skript lädt häufig weitere Skripte nach, die wieder andere einbinden. Am Ende laufen auf einer Seite Inhalte von Anbietern, mit denen Sie nie einen Vertrag hatten und von denen Sie nichts wissen.
Kundendaten sind in Reichweite. Auf einer Shopseite mit Kontoanmeldung, Warenkorb und Zahlungsformular können Fremdskripte grundsätzlich auf das zugreifen, was im Browser sichtbar ist. Das ist der Grund, warum Skripte auf Kassen- und Anmeldeseiten besonders restriktiv behandelt werden sollten.
Auch Mitarbeitergeräte sind betroffen. Ihre Mitarbeiter surfen nicht nur privat. Sie recherchieren, besuchen Lieferantenportale, lesen Branchenmedien. Je mehr Werbung auf diesen Seiten geladen wird, desto größer ist die Angriffsfläche, ganz unabhängig davon, ob Ihre eigene Seite sauber ist.
Ob die in der Meldung beschriebene Methode genau diese Wege nutzt, wissen wir nicht. Die Grundproblematik, dass Werbe- und Tracking-Code eine Eintrittstür in Geräte und Daten sein kann, ist aber seit Langem bekannt und mit dieser Studie neu in den Fokus gerückt.
Chancen: Was man aus der Studie auch mitnehmen kann
Es wäre zu einseitig, nur Risiken zu sehen. Die Meldung eröffnet auch eine sachliche Chance: Sie liefert einen ehrlichen Anlass, die eigene Website und das eigene Marketing-Setup einmal aufzuräumen. Viele Unternehmen sammeln über Jahre Skripte an, die keiner mehr braucht. Das Pixel einer Kampagne von vor drei Jahren, ein Analyse-Tool, das nach dem Agenturwechsel vergessen wurde, ein Widget, das niemand mehr pflegt.
Ein Aufräumen bringt mehrere Vorteile gleichzeitig:
- Weniger Angriffsfläche, weil weniger fremder Code läuft.
- Schnellere Seiten, weil weniger nachgeladen wird. Das wirkt sich positiv auf Nutzererfahrung und Suchmaschinenplatzierung aus.
- Bessere Datenschutzlage, weil weniger Dienste Daten Ihrer Besucher empfangen. Jede nicht mehr genutzte Verbindung ist ein Punkt weniger, der in der Datenschutzerklärung stehen muss.
- Klarere Verantwortlichkeiten, weil Sie danach wissen, was auf Ihrer Seite läuft und warum.
Wer das professionell begleiten lassen möchte, kann mit einem Website-Audit starten, das genau solche Fremdeinbindungen sichtbar macht.
Was das für den Mittelstand bedeutet
Daraus lassen sich konkrete Schritte ableiten. Wir haben sie nach Aufwand und Wirkung sortiert, sodass Sie mit den einfachen beginnen können.
1. Inventur: Was läuft eigentlich auf unserer Website?
Bevor Sie etwas absichern, müssen Sie wissen, was da ist. Öffnen Sie Ihre Seite im Browser, rufen Sie die Entwicklerwerkzeuge auf und schauen Sie im Reiter für Netzwerkzugriffe, von welchen Servern Inhalte geladen werden. Sie werden vermutlich überrascht sein. Legen Sie eine einfache Liste an: Welches Skript, wofür, wer hat es eingebunden, wer ist intern zuständig, braucht man es noch?
2. Alles Überflüssige entfernen
Jedes Skript, für das niemand einen Zweck benennen kann, fliegt raus. Das ist die wirksamste Einzelmaßnahme und kostet nichts außer ein wenig Zeit. Achten Sie auch auf Reste in Tag-Managern, in denen sich über Jahre Einträge ansammeln.
3. Kritische Seiten besonders schützen
Auf Anmeldung, Warenkorb und Kasse gehören so wenige Fremdskripte wie möglich. Werbe-Pixel und Heatmap-Tools haben auf einer Zahlungsseite meist nichts verloren oder lassen sich auf das Nötigste begrenzen. Fragen Sie Ihre Agentur oder Ihren Dienstleister, wie die Skripte auf diesen Seiten gesteuert werden.
4. Technische Schutzschichten einsetzen
Es gibt etablierte Mechanismen, mit denen eine Website dem Browser vorgeben kann, von welchen Quellen Inhalte geladen werden dürfen (die sogenannte Content Security Policy), und mit denen man erkennt, ob ein eingebundenes Skript verändert wurde (Subresource Integrity). Beides ist kein Zauber und nicht überall gleich einfach umzusetzen, aber es zwingt zu einer sauberen Bestandsaufnahme und blockiert viele Missbrauchswege. Ein Hosting-Partner, der solche Header zentral steuern kann, erleichtert das erheblich. Bei Managed Hosting lässt sich so etwas einheitlich umsetzen, statt es auf jeder Seite einzeln zu basteln.
5. Geräte aktuell halten, ohne Ausnahmen
Gerade bei Zero-Click-Angriffen ist der Update-Stand die wichtigste Verteidigung. Das gilt für Betriebssysteme, Browser und Apps auf Laptops und Smartphones, auch auf den privat genutzten Handys, die faktisch geschäftlich verwendet werden. Aktivieren Sie automatische Updates, wo immer es geht. Und setzen Sie Geräte, die keine Sicherheitsupdates mehr bekommen, konsequent aus dem Verkehr. Das ist unbequem, aber wirksamer als jede Schulung.
6. Bei besonders exponierten Personen strenger sein
Geschäftsführung, Finanzabteilung, Personalleitung, Administratoren: Für diese Rollen lohnt sich eine härtere Linie. Dazu gehören ein getrenntes Gerät oder zumindest ein getrenntes Profil für Arbeit und Freizeit, ein Werbeblocker auf Unternehmensgeräten, regelmäßige Neustarts und restriktive Einstellungen für Messenger und Browser. Viele Smartphones bieten inzwischen sogenannte Sperr- oder Lockdown-Modi, die genau für Personen mit erhöhtem Risiko gedacht sind. Die Einschränkungen im Alltag sind spürbar, für die wenigen betroffenen Rollen aber vertretbar.
7. Werbeblocker und DNS-Filter im Unternehmen prüfen
Auf Firmengeräten kann ein zentral verwalteter Filter bekannte Werbe- und Trackingdomänen blockieren. Das reduziert nicht nur Spionagerisiken, sondern auch gewöhnliche Schadwerbung (sogenanntes Malvertising), die ohnehin ein verbreitetes Problem ist. Wichtig ist, dass der Filter zentral gesteuert wird und nicht vom guten Willen jedes Einzelnen abhängt. Bei der Einrichtung und dem laufenden Betrieb hilft ein IT-Dienstleister, im Norden etwa der IT-Service Friesland.
8. Notfallplan und Meldewege klären
Was passiert, wenn ein Gerät verdächtig wirkt? Wer entscheidet, ob es vom Netz genommen wird? Wer informiert wen? Solche Fragen sollten Sie klären, bevor etwas passiert, nicht währenddessen. Dazu gehört auch, dass Mitarbeiter ohne Scheu melden dürfen, wenn ihnen etwas komisch vorkommt. Gerade bei Angriffen ohne sichtbare Spur ist ein Bauchgefühl manchmal der einzige Hinweis.
9. Verträge und Datenschutz im Blick behalten
Wer Werbe- und Analysedienste einbindet, trägt Verantwortung für die Daten seiner Besucher. Prüfen Sie, ob Auftragsverarbeitungsverträge vorliegen und ob Ihre Einwilligungsabfrage (Cookie-Banner) technisch wirklich verhindert, dass Skripte vor der Zustimmung laden. Das ist eine Datenschutzfrage, aber auch eine Sicherheitsfrage: Was nicht lädt, kann nicht missbraucht werden.
Wie sich das mit Ihren Pflichten verträgt
Viele Mittelständler hören bei IT-Sicherheit zuerst Regulierung. Ob und in welchem Umfang Ihr Unternehmen unter die europäische NIS2-Richtlinie fällt, hängt von Branche und Größe ab und lässt sich nicht pauschal beantworten. Unabhängig davon verlangen Kunden, Versicherer und Auftraggeber zunehmend Nachweise, dass Sie Ihre Lieferkette und Ihre Systeme im Griff haben. Fremdskripte auf Website und Shop sind ein typischer blinder Fleck in dieser Betrachtung. Wer dazu mehr wissen will, findet Orientierung auf unserer Seite zu NIS2 & IT-Sicherheit.
Was Sie nicht tun sollten
Zum Schluss ein Wort zur Verhältnismäßigkeit. Die Meldung ist ein Weckruf, aber kein Grund zur Panik und erst recht kein Anlass, jede Form von Online-Marketing einzustellen. Werbung bleibt ein legitimes und für viele Unternehmen unverzichtbares Instrument. Es geht um Kontrolle und Maß, nicht um Verzicht.
Ebenso wenig sollten Sie sich in falscher Sicherheit wiegen, weil Sie „zu klein" seien. Gezielte Angriffe treffen wenige, aber die Methoden, die dahinterstehen, tauchen erfahrungsgemäß breiter wieder auf. Und die Hygienemaßnahmen, die wir oben beschrieben haben, schützen Sie ohnehin gegen eine ganze Reihe gewöhnlicher Bedrohungen.
Was wir dagegen für wenig sinnvoll halten: teure Speziallösungen anzuschaffen, bevor die Grundlagen stimmen. Wer keine aktuellen Geräte, keine Inventur der eigenen Skripte und keinen Notfallplan hat, wird auch von einem teuren Zusatzprodukt nicht gerettet.
Fazit
Die Studie des Citizen Lab zeigt, dass Online-Werbung mehr sein kann als ein Geschäftsmodell: ein Verteilweg, den sich auch Spionage zunutze macht, und zwar ohne dass Betroffene etwas tun müssen. Für die allermeisten Mittelständler bleibt das Risiko gezielter Staatsspionage gering. Die Lehre daraus ist trotzdem greifbar: Fremder Code auf der eigenen Website und auf den Geräten der Mitarbeiter ist eine Angriffsfläche, die man kennen und begrenzen sollte. Wer eine Inventur macht, Überflüssiges entfernt, Updates konsequent einspielt und exponierte Personen stärker schützt, hat den größten Teil der Arbeit erledigt, ohne dafür ein Großprojekt zu starten.
Häufige Fragen
Was bedeutet Zero-Click-Angriff genau?
Bei einem Zero-Click-Angriff muss das Opfer nichts anklicken oder öffnen. Es genügt, dass das Gerät bestimmte Inhalte lädt oder verarbeitet. Deshalb helfen klassische Hinweise wie „nicht auf unbekannte Links klicken" hier nicht, und aktuelle Software wird zur wichtigsten Verteidigung.
Ist mein Unternehmen als KMU überhaupt ein Ziel für solche Angriffe?
Gezielte Spionage trifft nach heutigem Wissen vor allem einen kleinen Kreis, etwa Medienhäuser und besonders exponierte Personen. Die Methoden verbreiten sich aber erfahrungsgemäß. Außerdem können Personen in Geschäftsführung, Finanzen oder Administration auch im Mittelstand attraktive Ziele sein, besonders als Zugang zu größeren Partnern.
Reicht ein Werbeblocker als Schutz aus?
Ein Werbeblocker senkt das Risiko, weil weniger fremde Inhalte geladen werden, ersetzt aber keine Updates und keine saubere Absicherung. Auf Firmengeräten sollte ein solcher Filter zentral verwaltet werden, damit er nicht vom Einzelnen abhängt. Er ist ein Baustein, kein Komplettschutz.
Wie finde ich heraus, welche Fremdskripte auf meiner Website laufen?
Mit den Entwicklerwerkzeugen Ihres Browsers sehen Sie im Netzwerk-Reiter, von welchen Servern Inhalte geladen werden. Ergänzend lohnt sich ein Blick in Ihren Tag-Manager und in die Plugin-Liste Ihres Shop- oder Seitensystems. Ein externes Audit liefert das Ganze strukturiert und mit Bewertung.
Muss ich jetzt auf Online-Werbung verzichten?
Nein. Werbung bleibt für viele Unternehmen ein wichtiger Kanal. Entscheidend ist, dass Sie wissen, was auf Ihrer Seite läuft, kritische Seiten wie die Kasse schützen und Ihre Geräte aktuell halten. Dann ist das Restrisiko für ein KMU gut beherrschbar.