Malvertising: Wenn Online-Werbung zum Einfallstor für Schadsoftware wird

Die Wetter-App auf dem Diensthandy, die Nachrichtenseite in der Mittagspause, der Vokabeltrainer: Überall laufen Werbebanner, und kaum jemand denkt dabei an IT-Sicherheit. Eine am 15. Oktober veröffentlichte Untersuchung des Citizen Lab der Universität Toronto zeigt, dass genau diese Werbung zum Angriffsweg werden kann – ohne dass das Opfer irgendetwas anklickt (heise berichtete). Malvertising, also Schadsoftware über Online-Werbung, ist kein Randthema für Geheimdienste, sondern betrifft jedes Unternehmen, dessen Mitarbeitende im Internet surfen.

Was die AdFection-Studie aufgedeckt hat

Laut Citizen Lab fungierte das israelische Unternehmen Discover-Tech als Bindeglied zwischen Werbeindustrie und Spyware-Anbietern wie Candiru. Discover-Tech war als Werbepartner bei Google und IAB Europe gelistet und spielte Anzeigen auf hunderttausenden Websites und Apps aus – genannt werden unter anderem Wetter Online, Duolingo und Viber.

Der Ablauf war technisch raffiniert:

• Beim Laden einer Anzeige erfasste das Netzwerk Werbe-ID und IP-Adresse des Geräts.
• War das Gerät als Ziel ausgewählt, wurde im Hintergrund präpariertes JavaScript nachgeladen, das Sicherheitslücken ausnutzte und das Gerät infizierte.
• Die Anzeigen selbst enthielten keinen Exploit-Code. Deshalb fielen sie bei den automatischen Prüfungen der Werbeplattformen nicht auf.

Bei Al Jazeera wurden laut internen Logs mindestens 45 Geräte infiziert, überwiegend Windows-PCs. Manipulierte Anzeigen tauchten außerdem auf Geräten auf, die NATO, UN, EU sowie Tech- und Chipkonzernen zugeordnet werden. Google und IAB Europe haben Discover-Tech nach eigenen Angaben inzwischen entfernt.

Warum Malvertising auch KMU betrifft

Staatliche Spionage über Werbenetzwerke richtet sich gezielt gegen wenige Personen. Das eigentliche Problem ist aber das Prinzip dahinter: Werbenetzwerke liefern fremden Code auf Ihre Firmengeräte aus, und Sie haben keinerlei Kontrolle darüber, wer diesen Code geschrieben hat. Diese Lücke nutzen auch gewöhnliche Kriminelle.

Typische Malvertising-Varianten im Alltag

Gefälschte Suchanzeigen: Wer nach „AnyDesk download“, „7-Zip“ oder „Online-Banking Sparkasse“ sucht, bekommt oft ganz oben eine bezahlte Anzeige angezeigt. Kriminelle buchen solche Anzeigen und leiten auf täuschend echte Kopien der Herstellerseite weiter – mit präpariertem Installer, der einen Infostealer mitbringt.

Redirect-Banner: Ein Banner auf einer seriösen Seite leitet automatisch auf eine Seite mit gefälschter Virenwarnung oder einem „Browser-Update“ weiter. Von dort ist es nicht weit zu ClickFix-Angriffen, bei denen Nutzer selbst Befehle ausführen.

Drive-by-Exploits: Wie bei AdFection nutzt Code in der Werbung ungepatchte Lücken in Browser oder Betriebssystem aus. Hier reicht schon der Seitenaufruf.

Das Problem für Ihr Unternehmen

Ein einziger infizierter Rechner im Büro genügt: Gespeicherte Browser-Passwörter, Session-Cookies für Microsoft 365 und VPN-Zugänge landen bei Angreifern. Dass ein Mitarbeiter „nur kurz eine Nachrichtenseite“ geöffnet hat, ist im Nachhinein kaum nachweisbar. Für die Cyber-Versicherung und die Aufarbeitung nach einem Vorfall zählt dann, welche Schutzmaßnahmen technisch umgesetzt waren.

Praxis: So schützen Sie Firmengeräte vor Malvertising

Die gute Nachricht: Gegen Malvertising helfen bewährte Maßnahmen, die sich in den meisten KMU mit überschaubarem Aufwand umsetzen lassen.

Schritt 1: Werbung und Tracking auf Netzwerkebene filtern

Der wirksamste Hebel ist ein DNS-Filter, der bekannte Werbe-, Tracking- und Malware-Domains blockiert, bevor überhaupt eine Verbindung entsteht. Für Firmennetze eignen sich zum Beispiel:

• OPNsense mit Unbound-DNS-Blocklisten direkt auf der Firewall
• AdGuard Home oder Pi-hole als interner DNS-Server
• Kommerzielle DNS-Filter mit Kategorien für Malware und Phishing

Wichtig: Clients müssen diesen DNS-Server auch tatsächlich nutzen. Blockieren Sie ausgehenden DNS-Verkehr (Port 53) zu fremden Servern und regeln Sie DNS-over-HTTPS im Browser per Richtlinie, sonst wird der Filter umgangen.

Schritt 2: Werbeblocker zentral per Richtlinie ausrollen

Ein Content-Blocker wie uBlock Origin Lite lässt sich in Chrome, Edge und Firefox per Gruppenrichtlinie oder Intune verteilen und vor Deinstallation schützen. Gleichzeitig sollten Sie andere Browser-Erweiterungen auf eine Freigabeliste beschränken – ein Werbeblocker aus unbekannter Quelle ist selbst ein Risiko.

Schritt 3: Browser und Betriebssystem konsequent aktuell halten

Drive-by-Angriffe funktionieren nur mit ungepatchten Lücken. Browser-Updates müssen innerhalb von Tagen ankommen, nicht erst beim nächsten Neustart in drei Wochen. Wie Sie das zentral steuern, beschreiben wir im Beitrag zur Browser-Sicherheit und Patch-Management.

Schritt 4: Diensthandys einbeziehen

Werbe-IDs auf Smartphones sind genau das Merkmal, über das AdFection Ziele auswählte. Auf Firmenhandys sollten Sie:

• die Werbe-ID per MDM deaktivieren bzw. App-Tracking untersagen,
• private Spiele- und Gratis-Apps mit viel Werbung aus dem Arbeitsprofil fernhalten,
• Sicherheitsupdates erzwingen und Geräte ohne Patch-Versorgung aussortieren.

Für besonders exponierte Personen wie Geschäftsführung oder Entwicklungsleitung lohnt sich ein Blick auf den Lockdown-Modus von iOS bzw. den erweiterten Schutz von Android – mehr dazu in unserem Artikel zu Mercenary-Spyware.

Schritt 5: Software nur aus festen Quellen installieren

Gegen gefälschte Suchanzeigen hilft vor allem eine organisatorische Regel: Software wird nie über eine Suchmaschine heruntergeladen. Stellen Sie freigegebene Programme über eine Softwareverteilung, ein internes Portal oder winget mit festen Paketquellen bereit. Mitarbeitende ohne lokale Admin-Rechte können Installer aus dem Internet ohnehin nicht ausführen.

Schritt 6: Mitarbeitende sensibilisieren

Ergänzen Sie Ihre Awareness-Schulungen um zwei Punkte: Gesponserte Suchergebnisse sind keine Herstellerseiten, und „Ihr Browser ist veraltet“-Meldungen auf Webseiten sind immer Betrug. Echte Updates kommen über den Browser selbst oder die IT.

Was die Maßnahmen bringen – und was nicht

Ein DNS-Filter mit Werbeblockern reduziert die Angriffsfläche deutlich, ist aber kein vollständiger Schutz. Neue Domains stehen noch auf keiner Blockliste, und gezielte Angriffe nutzen gelegentlich legitime Infrastruktur. Deshalb gehört eine EDR-Lösung auf die Endgeräte, die verdächtiges Verhalten nach einer Infektion erkennt. Die Kombination aus Filterung, Patches, eingeschränkten Rechten und Erkennung macht Malvertising für Angreifer unattraktiv.

Unterstützung für KMU in Dresden und Sachsen

Sie suchen Unterstützung in Dresden? Rexoma hilft KMU bei der Absicherung gegen Malvertising – von DNS-Filtern auf der OPNsense-Firewall über zentral verwaltete Browser-Richtlinien bis zur Absicherung von Diensthandys. Wir betreuen ostdeutsche KMU und Betriebe in ganz Sachsen pragmatisch und ohne unnötige Komplexität. Sprechen Sie uns an – wir prüfen gemeinsam, wo in Ihrem Netzwerk noch fremde Werbung ungefiltert ankommt.

FAQ: Malvertising im Unternehmen

Was ist Malvertising?

Malvertising (aus „Malware“ und „Advertising“) bezeichnet die Verbreitung von Schadsoftware über Online-Werbung. Angreifer schalten manipulierte Anzeigen oder missbrauchen Werbenetzwerke, um Nutzer auf gefälschte Seiten umzuleiten oder Sicherheitslücken im Browser direkt auszunutzen.

Sind Werbeblocker im Unternehmen erlaubt?

Ja. Werbeblocker auf Firmengeräten sind rechtlich unproblematisch und aus Sicherheitssicht sinnvoll. Wichtig ist, dass die IT sie zentral verteilt und verwaltet, statt dass Mitarbeitende beliebige Erweiterungen selbst installieren.

Reicht ein Virenscanner gegen Malvertising?

Nein. Ein klassischer Virenscanner erkennt bekannte Schaddateien, aber keine gefälschten Webseiten oder Exploits, die nur im Arbeitsspeicher laufen. Wirksam ist die Kombination aus DNS-Filter, aktuellem Browser, eingeschränkten Benutzerrechten und EDR.

Muss ich auch Smartphones schützen?

Unbedingt. Gerade werbefinanzierte Apps auf Smartphones sind ein großer Kanal für Malvertising, und die AdFection-Angriffe nutzten Werbe-IDs zur Zielauswahl. Über ein MDM lassen sich Tracking-Einstellungen, App-Freigaben und Updates zentral steuern.

Wie schnell lässt sich ein DNS-Filter einführen?

In einem typischen KMU-Netzwerk mit eigener Firewall ist ein DNS-Filter oft innerhalb eines Tages eingerichtet. Die meiste Zeit kostet das Feintuning, damit keine geschäftlich benötigten Seiten versehentlich blockiert werden.