Was AdFection über Angriffe ohne Klick verrät
Onlinewerbung kann zum Ausgangspunkt eines gezielten Spionageangriffs werden, ohne dass die betroffene Person auf die Anzeige klickt. Das dokumentiert eine Untersuchung des Citizen Lab vom 15. Oktober 2026. Für die digitale Forensik stellt sich damit die Frage, welche Spuren einen tatsächlichen Angriff belegen.
Was die Untersuchung tatsächlich belegt
Unter dem Namen AdFection beschreibt Citizen Lab Angriffe auf Geräte des Nachrichtennetzwerks Al Jazeera in den Jahren 2024 und 2025. Die Forschenden verknüpfen Werbeauslieferungen von Discover-Tech mit der Spionagesoftware Candiru. Ihre Bewertung stützt sich unter anderem auf Netzwerkprotokolle und eine Windows-Schadsoftwarekomponente von einem kompromittierten Gerät.
Die Studie ist deshalb kein pauschaler Nachweis, dass jedes iPhone oder Android-Smartphone durch eine Werbeanzeige infiziert werden kann. Ebenso wenig lässt sich aus der Reichweite einer Werbekampagne die Zahl erfolgreich angegriffener Geräte ableiten.
Wie Werbung zum Einfallstor werden kann
Eine Anzeige besteht technisch häufig aus mehr als einem Bild. Beim Laden können Skripte ausgeführt und Inhalte weiterer Anbieter nachgeladen werden. Genau diese Abläufe untersuchte das Sicherheitsunternehmen Confiant in einer parallel veröffentlichten Analyse. Die Forschenden beschrieben eine Infrastruktur, die Geräteinformationen erhebt und zusätzliche Anweisungen von entfernten Servern empfangen kann.
Für das Verständnis ist die Trennung zwischen Transportweg und Sicherheitslücke entscheidend. Die Werbetechnik bringt Inhalte auf ein ausgewähltes Gerät. Um darüber hinaus unerlaubt auf geschützte Bereiche zuzugreifen, muss ein Angriff die jeweiligen Schutzmechanismen überwinden, etwa durch eine ausnutzbare Schwachstelle. Eine Anzeige allein verleiht niemandem automatisch Zugriff auf Nachrichten oder Fotos.
Zero-Click bezeichnet dabei das Ausbleiben einer zusätzlichen aktiven Handlung des Opfers. Das Gerät kann während der normalen Nutzung einer App oder Website angesprochen werden. Wer sich an keinen verdächtigen Klick erinnert, kann einen solchen Angriff daher nicht allein mit dieser Begründung ausschließen.
Werbekontakt und Infektion müssen getrennt bewertet werden
Citizen Lab weist ausdrücklich darauf hin, dass eine eingeblendete Anzeige der untersuchten Infrastruktur noch keinen gezielten Angriff oder eine Infektion bestätigt. Die Forschenden unterscheiden solche Kontakte von weitergehenden technischen Nachweisen.
Für die Untersuchung eines konkreten Geräts folgt daraus: Ein einzelner auffälliger Eintrag ist zunächst ein Befund, der eingeordnet werden muss. Entscheidend sind sein technischer Kontext und die Frage, ob unabhängige Spuren dieselbe Erklärung stützen. Ein zeitlicher Zusammenhang kann einen Verdacht erhärten. Er ersetzt nicht die Prüfung anderer Ursachen.
Was eine forensische Spywareprüfung leisten kann
Eine sinnvolle Untersuchung beginnt mit einer klaren Fragestellung. Gibt es eine konkrete Sicherheitswarnung? Welcher Zeitraum ist relevant? Wurde das Gerät bereits zurückgesetzt oder verändert? Diese Angaben helfen dabei, die Datensicherung zu planen und die späteren Ergebnisse richtig einzuordnen.
Je nach Gerät und Untersuchungsmöglichkeit lassen sich beispielsweise System- und App-Protokolle, Browserdaten oder vorhandene Sicherungen auswerten. Bekannte Angriffsindikatoren können bei der Suche helfen. Das Mobile Verification Toolkit beschreibt hierfür unter anderem den Abgleich extrahierter Daten mit bekannten Indikatoren und die Zusammenführung von Spuren in einer Zeitleiste.
Unterschiedliche Datenbasis bei iPhone und Android
Bei iPhones kann ein geeignetes Backup bestimmte untersuchungsrelevante Daten enthalten, bildet aber nicht das gesamte Dateisystem ab. Ein weitergehender Zugriff ist nicht bei jeder Geräte- und Betriebssystemkombination möglich. Manche Eingriffe können zudem selbst Spuren verändern.
Bei Android unterscheiden sich verfügbare Diagnoseinformationen nach Hersteller und Systemversion. Eine Prüfung kann daher je nach Gerät auf einer anderen Datengrundlage beruhen. Die Methodendokumentation von MVT benennt diese Einschränkungen ausdrücklich.
Ein nachvollziehbarer Untersuchungsbericht sollte deshalb offenlegen, welche Daten gesichert wurden, welche Werkzeuge und Versionen zum Einsatz kamen und welche Bereiche nicht geprüft werden konnten. Zur Bewertung gehört auch, bestätigte Befunde von Vermutungen zu trennen.
Ein unauffälliges Ergebnis hat Grenzen
Findet eine Untersuchung keine passenden Spuren, ist damit nicht automatisch bewiesen, dass das Gerät zu keinem Zeitpunkt kompromittiert war. Die MVT-Dokumentation warnt ausdrücklich davor, allein aus dem Abgleich mit öffentlichen Angriffsindikatoren auf ein sauberes Gerät zu schließen. Unbekannte oder neuere Angriffsspuren können unentdeckt bleiben.
Eine belastbare Aussage muss sich daher auf den untersuchten Zeitraum, die verfügbaren Daten und die eingesetzten Methoden beziehen. Gerade bei hochentwickelter Spionagesoftware wäre eine uneingeschränkte Entwarnung ohne diese Einordnung fachlich nicht gerechtfertigt.
Bei einem konkreten Verdacht Spuren gezielt sichern
Für einen Verdachtsfall empfiehlt sich ein abgestimmtes Vorgehen. Dokumentieren Sie zunächst den Anlass und den Zeitpunkt Ihrer Beobachtung. Bewahren Sie vorhandene Warnmeldungen auf und halten Sie fest, welche Veränderungen am Gerät bereits vorgenommen wurden. Nutzen Sie für vertrauliche Rückfragen möglichst ein anderes, vertrauenswürdiges Gerät.
Ein Zurücksetzen oder unkoordiniertes Bereinigen sollte nicht der erste Schritt sein, wenn der Vorfall noch aufgeklärt werden soll. Lassen Sie zeitnah klären, wie notwendige Schutzmaßnahmen mit der Sicherung relevanter Spuren verbunden werden können. Das ist kein Aufruf, ein möglicherweise kompromittiertes Gerät weiter für sensible Kommunikation zu verwenden.
Apple-Bedrohungsbenachrichtigungen verdienen besondere Aufmerksamkeit. Ihre Echtheit lässt sich durch den direkten Aufruf von account.apple.com und die Anmeldung am eigenen Account prüfen. Apple erklärt, dass solche Benachrichtigungen keine Aufforderung enthalten, zur Überprüfung Apps oder Profile zu installieren oder Passwörter weiterzugeben.
Schutzmaßnahmen müssen zum Risiko passen
Vorbeugend bleiben aktuelle Betriebssysteme und Sicherheitskorrekturen eine wesentliche Grundlage. Apple empfiehlt außerdem starke Zugangsdaten und Zwei-Faktor-Authentifizierung. Diese Maßnahmen erfüllen unterschiedliche Aufgaben: Ein geschützter Account ersetzt keine abgesicherte Gerätesoftware.
Für besonders gefährdete Personen bietet Apple den Blockierungsmodus an. Er reduziert die Angriffsfläche, indem er bestimmte Funktionen einschränkt. Das kann im Einzelfall sinnvoll sein, verändert aber die Nutzung des Geräts und ersetzt keine Untersuchung eines bereits bestehenden Verdachts.
Unternehmen sollten zusätzlich prüfen, wie fremde Werbe- und Trackinginhalte auf dienstliche Geräte gelangen, welche Schutzvorgaben für sensible Tätigkeiten gelten und an wen Beschäftigte einen Verdacht melden können. Entscheidend ist ein Vorgehen, das im konkreten Arbeitsumfeld tatsächlich umsetzbar ist.
Spywareverdacht durch AQON INTELLIGENCE prüfen lassen
AQON INTELLIGENCE unterstützt Sie bei der forensischen Untersuchung von Smartphones und Computern sowie bei der Prüfung auf Spyware. Für eine erste Einschätzung nennen Sie uns bitte das Gerätemodell, die Betriebssystemversion und den konkreten Anlass Ihres Verdachts. Auf dieser Grundlage lässt sich klären, welche Untersuchung sinnvoll ist und welche Daten dafür voraussichtlich zur Verfügung stehen.