Kaum Schutz möglich: Internetwerbung wird neue Abhörwaffe

Theorie & Analyze
➣ Technologiekritik

Das Forschungsinstitut Citizen Lab der Universität Toronto hat nach eigenen Angaben erstmals technisch nachgewiesen, dass Firmen gezielte Werbeanzeigen nutzen, um Spionagesoftware auf Smartphones zu installieren. Diese Infektion kann ohne jede Interaktion der Betroffenen erfolgen – Klicks auf Links oder Bilder sind dafür nicht mehr erforderlich. Die Forscher*innen bezeichnen diese »Zero Klick«-Methode als »Adfection«.

Bekannt wurde dies im Rahmen der Recherche über die israelische Firma Discover-Tech Ltd., die sich im Internet als Anbieter digitaler Werbung ausgibt. Laut Citizen Lab fungiert sie aber als Vermittler zwischen der Werbeindustrie und dem Markt für kommerzielle Überwachungssoftware.

Eine Attacke mit dieser neuen Methode funktioniert über Werbebanner, wie sie auf Webseiten und in Gratis-Apps üblich sind. Technisch gesehen sind dies sogenannte Echtzeit-Auktionen (auf Englisch Real-Time Bidding) die im Hintergrund ablaufen: Sobald eine Person eine App öffnet oder eine Website aufruft, wird im Hintergrund eine Art Auktion gestartet, bei der Werbenetzwerke innerhalb von Millisekunden automatisch Gebote für den freien Platz abgeben.

KI kann in Datenflut einzelne Nutzer erkennen

Damit die Software der Bieter*innen entscheiden kann, ob es sich lohnt, werden mit jeder Anfrage Daten über das Gerät und die Nutzenden übermittelt, darunter Werbe-ID oder Cookie-Kennungen, ungefährer Standort, IP-Adresse und Angaben zur besuchten Seite.

Trotz der Datenflut ist für das Ausspielen von Werbung die Auswahl einzelner Geräte möglich – dabei hilft vermutlich auch Künstliche Intelligenz. Discover-Tech nutzt dazu nach Darstellung der Forscher*innen eine eigene Plattform namens Controlium. Wurde eine Anzeige an ein Gerät ausgeliefert, das infiziert werden soll, rief der eingebettete Code einen Server des israelischen Unternehmens auf. Dieser entschied anhand von IP-Adresse und Werbe-ID, ob das Gerät über einen Umweg Schadsoftware nachladen sollte.

Spionagefirmen aus Israel

Für die Infektionen arbeitet Discover-Tect offenbar mit weiteren einschlägigen Spionagefirmen aus Israel zusammen, darunter des Intellexa-Konsortiums, mit deren Trojanern die griechische Regierung 2022 einen Abhörskandal auslöste. Mit derartiger Schadsoftware können Behörden oder andere Angreifer*innen aus der Ferne das gesamte Gerät nach Inhalten durchsuchen, Kommunikation mitlesen sowie Mikrofone oder Kameras an Handy aktivieren.

Die forensische Recherche von Citizen Lab konnte zudem ermitteln, dass 45 Geräte, darunter auch Rechner, des internationalen arabischen Nachrichtensenders Al Jazeera mit Sitz in Katar mit Spyware von Candiru angegriffen wurden. Die einst ebenfalls in Israel ansässige Firma steht seit 2021 auf einer Sanktionsliste des US-Handelsministeriums. Candiru soll Spyware an ausländische Regierungen verkauft haben, die damit Regierungsvertreter*innen, Journalist*innen und Aktivist*innen ausspähten.

Womöglich auch um die Sanktionen zu umgehen, wurde die Firma 2024 von einem US-Unternehmen übernommen und firmiert inzwischen unter dem Namen Integrity Labs.

Tarnung über die Werbebranche

Die Forschenden in Kanada konnten zudem über die Auswertung von rund vier Milliarden Real-Time-Bidding-Datensätzen ermitteln, dass Discover-Tech Anzeigen mit Verbindung zu seinen Servern auf mindestens 120.000 Websites und über 75.000 mobilen Apps ausgeliefert hat, darunter die Messaging-App Viber, die Sprach-Lern-App Duolingo sowie Nachrichtenwebseiten. Ein Teil der ausgelieferten Anzeigen trug laut Bericht die Kennzeichnung bekannter Marken wie Amazon und Ali Express – vermutlich jedoch ohne Wissen der Firmen.

In wie vielen Fällen dabei bösartige Software nachgeladen wurde, ist aber unklar. Nach Angaben des Citizen Lab wurden die Discover-Tech-Anzeigen auch in Netzwerken von Regierungen, Militärs und internationalen Organisationen ausgespielt, darunter der Nato und dem Internationalem Strafgerichtshof, dem Europäischen Parlament und mehreren Ministerien. Ob es dort zu Infektionen kam, konnte ebenfalls nicht belegt werden.

Discover-Tech war über Jahre ein bekanntes Unternehmen in der Werbebranche. Die Aufnahme in Listen zertifizierter Anbieter von Google und dem europäischen Branchenverband Interactive Advertising Bureau erleichterten den Zugang zu kommerziellen Werbenetzwerken. Damit ist es vorläufig vorbei: Nach den Recherchen des Citizen Lab entfernten beide Organisationen Discover-Tech von ihren Listen, Google sperrte sogar den kompletten Zugang zu seinen Werbeplattformen.

Betroffene können nur eine Sache tun

Es ist kaum möglich, sich gegen die klicklosen Infektionen über Werbeanzeigen und kommerzielles Tracking im Internet zu wehren – außer dieses konsequent zu blockieren, sowohl im Browser mithilfe von Add-ons als auch auf Netzwerkebene. Das empfiehlt auch das Citizen Lab. Auch das Deaktivieren der Werbe-ID im Handy-Betriebssystem wird als ein Baustein zu mehr Sicherheit genannt.

Allerdings kann ein komplettes Werbe-Blocking innerhalb von Apps oder etwa Smart-TVs nur von den Anbietern selbst durchgeführt werden. Die Forscher*innen fordern deshalb, die Weitergabe persönlicher Daten in Echtzeit-Auktionen für Werbung gesetzlich einzuschränken.

Recherchen von netzpolitik.org

Die Recherchen des Citizen Lab enthalten keine Hinweise, welche Polizei- oder Geheimdienstbehörden Produkte wie von Discover-Tect beschaffen und einsetzen. Recherchen von netzpolitik.org haben dies zu deutschen Kriminalämtern bekanntgemacht. Gut recherchiert ist auch der Einsatz durch die US-Migrationspolizei ICE, die über kommerzielle Daten aus Real-Time-Bidding-Systemen an Standortdaten der Smartphones von Migrant*innen gelangt.

ICE steht dazu auf dem Standpunkt, dass es für diese neue Form der Überwachung keinen richterlichen Beschluss benötigt: Die Betroffenen hätten ja über die Nutzungsbedingungen für die Werbefirmen ihr Einverständnis gegeben, wenn ihre Daten weiterverkauft würden.

gefunden auf nd-aktuell