Citizen Lab hat am 15. Oktober 2026 den Forschungsbericht «Exposing AdFection» veröffentlicht. Er dokumentiert, wie gezielt ausgespielte Onlinewerbung zur Verteilung von Spionagesoftware genutzt wurde. Bei einem solchen Zero-Click-Angriff muss die betroffene Person weder auf die Anzeige klicken noch einen Anhang öffnen.
Was die Untersuchung belegt
Die Forschenden verbinden die Werbeinfrastruktur von Discover-Tech mit Angriffen durch Candiru-Spionagesoftware. Im dokumentierten Fall waren 2024 und 2025 mindestens 45 Geräte innerhalb des Mediennetzwerks Al Jazeera Ziel solcher Angriffe. Der Veröffentlichungstermin des Berichts ist deshalb nicht der Zeitpunkt einer neuen Angriffswelle.
Der Bericht unterscheidet zwischen dem Anzeigen von Werbung, dem Erfassen von Geräteinformationen und einer tatsächlichen Infektion. Diese Unterscheidung ist entscheidend: Eine grosse Zahl ausgelieferter Anzeigen belegt nicht dieselbe Zahl kompromittierter Geräte. Aus den untersuchten Fällen folgt auch keine belegte breite Infektionswelle bei Schweizer Unternehmen.
Warum der fehlende Klick wichtig ist
Wer Sicherheitsregeln vor allem auf verdächtige Links und Anhänge ausrichtet, betrachtet hauptsächlich bewusste Handlungen. Die Untersuchung zeigt eine andere Eintrittsmöglichkeit: Inhalte werden bereits beim Anzeigen einer Werbung technisch verarbeitet. Die Verantwortung für Schutzmassnahmen lässt sich deshalb nicht vollständig auf die Aufmerksamkeit einzelner Mitarbeitender übertragen.
Für die betriebliche Einordnung empfehlen wir, drei Fragen getrennt zu behandeln: Welche Inhalte erreichen ein Gerät? Welche Schutzmassnahmen sind dort tatsächlich eingerichtet? Und wie wird ein begründeter Verdacht untersucht? Eine einzelne Verhaltensregel beantwortet diese Fragen nicht.
Ein praktischer Prüfauftrag für Unternehmen
Beginnen Sie mit einem überschaubaren Bestand: Welche geschäftlichen Geräte werden genutzt, wer betreut sie und wo sind die Zuständigkeiten dokumentiert? Lassen Sie Ihre IT-Verantwortung den aktuellen Zustand prüfen und festhalten, welche technischen Schutzmöglichkeiten in der eigenen Umgebung verfügbar sind. Der Bericht allein sagt nicht, welche Einstellungen für Ihren Betrieb geeignet sind.
Ein denkbares Beispiel ist eine Organisation, die vertrauliche Recherchen oder sensible Kundengespräche führt. Sie kann zunächst klären, welche Personen aufgrund ihrer Tätigkeit besonders exponiert sein könnten und wie diese bei ungewöhnlichen Beobachtungen Unterstützung erhalten. Das ist ein redaktionelles Beispiel, kein von Citizen Lab bestätigter Schweizer Kundenfall.
Ein sinnvoller Meldeweg sollte auch ohne die Erklärung «Ich habe auf etwas geklickt» funktionieren. Halten Sie fest, wer eine Meldung entgegennimmt und wer die weitere Untersuchung koordiniert. Mitarbeitende sollten keine technische Diagnose liefern müssen, bevor sie eine Sorge ansprechen können.
Grenzen der Schlussfolgerungen
AdFection ist ein dokumentierter gezielter Angriffsweg. Der Bericht liefert weder eine persönliche Risikoberechnung für jeden Internetnutzer noch einen Nachweis, dass gewöhnliche Werbung grundsätzlich infiziert ist. Ebenso wenig lässt sich daraus eine Schutzgarantie für ein einzelnes Produkt ableiten.
Unsere Einordnung: Nutzen Sie die Untersuchung als Anlass, den eigenen Umgang mit Geräten, Verantwortlichkeiten und Vorfällen zu überprüfen. Konkrete Massnahmen sollten sich am tatsächlichen Einsatz und an einer fachlichen Beurteilung orientieren.
Quellen
Citizen Lab, University of Toronto: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware, Bericht 195, 15. Oktober 2026.
https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
Citizen Lab: Exposing AdFection Executive Summary, 15. Oktober 2026.
https://citizenlab.ca/research/exposing-adfection-executive-summary/
Geprüft am 17. Oktober 2026. Die betrieblichen Prüfaufträge und Beispiele sind redaktionelle Empfehlungen von Alphalink.