Citizen Lab, die Forschungsabteilung für digitale Rechte an der University of Toronto, gibt an, Beweise dafür gefunden zu haben, dass Dutzende Geräte bei der Medienorganisation Al Jazeera gehackt wurden, nachdem ihnen bösartige Online-Werbung angezeigt wurde. Der Befund, über den TechCrunch am 15. Oktober 2026 berichtete, deutet auf eine besorgniserregende Entwicklung hin: Zero-Click-Spyware – bösartige Werbung kann nun als Zustellweg auf das Telefon oder den Computer eines Ziels dienen, ohne dass die Person irgendetwas antippen muss.
Die öffentliche Zusammenfassung ist knapp, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und erklärt die allgemeinen Mechanismen und Abwehrmaßnahmen, die Sicherheitsforscher üblicherweise beschreiben.
Was Citizen Lab bei Al Jazeera fand
Dem Bericht zufolge fand Citizen Lab Beweise dafür, dass Dutzende Geräte bei Al Jazeera kompromittiert wurden, nachdem den sie nutzenden Personen bösartige Online-Werbung angezeigt wurde. Die zentrale Behauptung ist, dass Regierungen Online-Werbung missbrauchen, um Zero-Click-Spyware zu verbreiten, also Spyware, die ein Gerät infiziert, ohne dass das Opfer eine Datei öffnet oder auf einen Link klickt.
Die Quellenzusammenfassung nennt weder den Spyware-Anbieter, noch die beteiligten Werbenetzwerke, noch die genauen ausgenutzten Schwachstellen, und wir werden nicht darüber spekulieren. Was sie jedoch belegt, ist das Ziel: eine große Medienorganisation, in der Mitarbeiter routinemäßig mit sensiblen Quellen und Informationen umgehen. Das Wort „angeblich" ist hier ebenfalls wichtig. Es handelt sich um Befunde einer Forschungsgruppe, und Details könnten bekannt werden, sobald mehr veröffentlicht wird.
Wie eine bösartige Anzeige ein Telefon ohne Klick hacken kann
Ein traditioneller Angriff erfordert, dass Sie etwas tun: einen Anhang öffnen, auf einen Link tippen, eine App installieren. Ein Zero-Click-Angriff beseitigt diesen Schritt. Er stützt sich auf einen Fehler in Software, die Inhalte automatisch verarbeitet, etwa ein Browser oder eine App, die ein Bild, ein Video oder eine Webseite rendert. Wenn der Inhalt so gestaltet ist, dass er diesen Fehler ausnutzt, kann bösartiger Code während des normalen Betriebs ausgeführt werden.
Online-Werbung passt unangenehm gut zu diesem Modell. Anzeigen werden automatisch geladen, wenn eine Seite oder App geöffnet wird, oft von Drittanbieter-Servern, die der Publisher nicht direkt kontrolliert. Ein Angreifer, der eine bösartige Anzeige vor einer ausgewählten Person platzieren kann, könnte prinzipiell eine Schwachstelle in der Software auslösen, die sie anzeigt. Werbe-Targeting-Tools, die es gibt, um bestimmte Zielgruppen auszuwählen, könnten helfen, die Zustellung auf das beabsichtigte Opfer einzugrenzen.
Der entscheidende Punkt ist, dass die Person nichts falsch gemacht hat. Es reichte aus, dass ihr die Anzeige gezeigt wurde, laut den berichteten Befunden von Citizen Lab.
Warum Journalisten und normale Nutzer gleichermaßen exponiert sind
Journalisten sind ein offensichtliches Ziel. Redaktionen verfügen über vertrauliche Kontakte, unveröffentlichtes Material und Standortdaten, die Regierungen haben möchten. Ein Angriff, der über Anzeigen funktioniert, macht eine überzeugende Phishing-Nachricht überflüssig, die Mitarbeiter oft zu erkennen geschult sind.
Doch der Zustellkanal ist nicht auf Redaktionen beschränkt. Werbung erreicht nahezu jeden, der im Web surft oder kostenlose Apps nutzt. Hochgradig gezielte Spyware ist in der Regel teuer und auf bestimmte Personen gerichtet, sodass die meisten Menschen wahrscheinlich nicht das beabsichtigte Opfer sind. Dennoch bedient dieselbe Werbeinfrastruktur alle, und Schwächen in der Art und Weise, wie Geräte Webinhalte verarbeiten, betreffen alle Nutzer, bis sie gepatcht werden. Aktivisten, Anwälte, Forscher und andere, die staatliches Interesse erregen könnten, sollten sich selbst als Teil der Risikogruppe betrachten, nicht nur Reporter.
Was das Risiko tatsächlich verringert (und was ein VPN nicht kann)
Es lohnt sich, direkt zu sein: Ein VPN allein schützt nicht gegen diese Art von Angriff. Ein VPN verschlüsselt Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den von Ihnen besuchten Websites. Es hindert ein Gerät nicht daran, eine bösartige Anzeige zu rendern, und es behebt keine Software-Schwachstelle. Wenn ein Exploit innerhalb von Inhalten geliefert wird, die Ihr Gerät lädt, transportiert der Tunnel ihn einfach.
Maßnahmen, die den tatsächlichen Angriffspfad adressieren, umfassen:
- Aktualisieren Sie Ihr Betriebssystem und Ihren Browser umgehend. Zero-Click-Angriffe hängen von ungepatchten oder unbekannten Fehlern ab. Das schnelle Installieren von Sicherheitsupdates schließt bekannte Lücken.
- Verwenden Sie Inhalts- oder Werbeblocker. Wenn die Anzeige nie geladen wird, kann sie den Exploit nicht liefern. Blocker auf Browser- oder Netzwerkebene reduzieren die Exposition gegenüber Drittanbieter-Werbeservern.
- Aktivieren Sie den Lockdown-Modus, wo verfügbar. Apples Lockdown-Modus ist für Personen mit erhöhtem Risiko konzipiert und verringert die Angriffsfläche, indem bestimmte Web- und Messaging-Funktionen eingeschränkt werden.
- Starten Sie Geräte regelmäßig neu und reduzieren Sie installierte Apps. Weniger Apps bedeuten weniger werbedienende Komponenten und weniger Orte, an denen sich Fehler verstecken können.
Was das für Sie bedeutet
Für die meisten Leser ist das realistische Risiko, persönlich mit Spyware auf Regierungsniveau ins Visier genommen zu werden, gering, aber die Lehre gilt allgemein: Datenschutz-Tools wirken auf spezifische Probleme, und kein einzelnes Tool deckt alles ab. Ein VPN hilft bei der Netzwerkprivatsphäre. Es ist keine Verteidigung gegen Exploits. Wenn Sie mit sensiblen Quellen arbeiten oder Grund zu der Annahme haben, dass Sie ein Ziel sein könnten, betrachten Sie Gerätehärtung und Werbeblockierung als wesentlich und ziehen Sie die strengeren Modi in Betracht, die Ihr Telefon bietet.
Die Arbeit von Citizen Lab speist auch eine breitere politische Debatte. Wenn Sie mehr über die Forschung der Gruppe und die Auseinandersetzung über Überwachung und Verschlüsselung erfahren möchten, lesen Sie unsere Berichterstattung darüber, wie Citizen Lab Verschlüsselungsrisiken in Kanadas Gesetzentwurf C-22 aufzeigt.
Die wichtigsten Erkenntnisse
Die Al-Jazeera-Befunde zeigen, dass Zero-Click-Spyware über bösartige Werbung eine reale Zustellmethode ist, nicht nur eine theoretische. Sie können nicht kontrollieren, welche Anzeigen ausgeliefert werden, aber Sie können kontrollieren, wie exponiert Ihr Gerät ist. Installieren Sie OS- und Browser-Updates, sobald sie verfügbar sind, verwenden Sie einen Werbe- oder Inhaltsblocker und aktivieren Sie den Lockdown-Modus, wenn Sie einem höheren Risiko ausgesetzt sind. Nutzen Sie weiterhin ein VPN, wenn es Ihren Bedürfnissen entspricht, aber verlassen Sie sich nicht darauf, einen Angriff zu stoppen, der über die Inhalte kommt, die Ihr Gerät lädt. Für den breiteren Kontext zu Citizen Labs Arbeit und der Überwachungsdebatte lesen Sie unseren Beitrag über Gesetzentwurf C-22 und Verschlüsselungsrisiken.
, zeigt, dass Gesichtsabgleich nur ein Teil eines größeren Identitätssystems ist, das gerade entsteht und Biometrie mit digitalen Nachweisen verknüpft. Die Ausweitung auf neue Umgebungen bedeutet mehr Orte, an denen Reisende zur Teilnahme aufgefordert werden können, und mehr Grund, die verfügbaren Wahlmöglichkeiten zu verstehen.
## Datenschutz bei der CBP-Gesichtserkennung für Reisende: Rechte und Opt-out-Optionen
Drei Fragen sind für datenschutzbewusste Reisende am wichtigsten: wie die Daten erhoben werden, wie lange sie aufbewahrt werden und ob Sie ablehnen können. Der Bericht beantwortet diese nicht im Detail, daher sollten Sie das Folgende als Checkliste und nicht als eine Reihe von Schlussfolgerungen betrachten.
- **Erhebung:** Fragen Sie, was erfasst wird (ein Live-Foto, ein Dokumentbild oder beides) und womit es verglichen wird.
- **Aufbewahrung:** Suchen Sie nach den veröffentlichten Aufbewahrungsinformationen der CBP für Fotos, die von verschiedenen Kategorien von Reisenden aufgenommen werden. Gehen Sie nicht davon aus, dass eine einzige Regel für alle gilt.
- **Opt-out:** Prüfen Sie die offiziellen Hinweise der CBP dazu, ob und wie Sie eine manuelle Identitätskontrolle verlangen können und ob dies je nach Reisendenkategorie oder Standort variiert. Ausgehängte Schilder an Kontrollpunkten sind oft die schnellste Quelle für den aktuellen Ablauf.
Wenn Sie eine Alternative zur Kamera wünschen, ist eine höfliche Bitte an den Beamten ein vernünftiger Ausgangspunkt. Seien Sie sich bewusst, dass eine Ablehnung ändern kann, wie schnell Sie abgefertigt werden, und dass die Regeln je nach Staatsangehörigkeit und Art des Übergangs unterschiedlich sein können. Den Ablauf zu kennen, bevor Sie an die Front der Schlange gelangen, erleichtert das Gespräch.
## Praktische Schritte, um Ihre biometrische und Online-Exposition auf Reisen zu begrenzen
Sie können ein Gesicht nicht so ändern wie ein Passwort, weshalb biometrische Daten besondere Überlegungen verdienen. Auch haben Sie nur begrenzte Kontrolle darüber, was an einem staatlichen Kontrollpunkt geschieht. Mehr Kontrolle haben Sie über den Rest Ihres digitalen Fußabdrucks während einer Reise.
1. **Lesen Sie die offiziellen Hinweise im Voraus.** Sehen Sie sich die veröffentlichten Datenschutzinformationen der CBP für die Art von Reise an, die Sie unternehmen, damit Sie Ihre Optionen kennen, bevor Sie ankommen.
2. **Begrenzen Sie, was Sie öffentlich teilen.** Reisepläne, Bordkarten und in sozialen Medien gepostete Passfotos erhöhen Ihre Exposition. Vermeiden Sie es, sie zu posten, besonders bevor Sie gereist sind.
3. **Sichern Sie Ihre Geräte.** Verwenden Sie starke, einzigartige Passwörter, aktivieren Sie die Zwei-Faktor-Authentifizierung und halten Sie die Software aktuell, bevor Sie abreisen.
4. **Seien Sie vorsichtig mit Flughafen-WLAN.** Öffentliche Netzwerke werden mit Fremden geteilt. Ein seriöses VPN kann Ihren Datenverkehr darin verschlüsseln, ändert aber nichts daran, was an einer Grenzkamera geschieht, daher sollten Sie seine Rolle realistisch einschätzen.
5. **Prüfen Sie Ihre Konten.** Sehen Sie nach, welche Apps Ihre Passdaten, Fotos oder Reisedokumente enthalten, und löschen Sie alles, was Sie nicht mehr benötigen.
## Was das für Sie bedeutet
Wenn Sie international reisen, werden Sie wahrscheinlich auf eine Gesichtserkennungskontrolle treffen, und die Wahrscheinlichkeit steigt, da die CBP die Technologie ausweitet. Das erfordert keine Alarmstimmung. Es erfordert jedoch Vorbereitung: Wissen Sie, was erfasst wird, suchen Sie die Aufbewahrungs- und Opt-out-Hinweise für Ihre Situation und entscheiden Sie im Voraus, wie Sie reagieren möchten, wenn Sie gefragt werden.
Der größere Punkt ist, dass Grenzbiometrie nur eine Ebene Ihrer Exposition ist, nicht das ganze Bild. Die Teile, die Sie kontrollieren können, sind Ihre Konten, Ihre Geräte und das, was Sie online teilen, und diese sollten Sie vor Ihrer Reise absichern.
## Kernaussagen
Datenschutz bei der CBP-Gesichtserkennung für Reisende ist inzwischen ein Mainstream-Anliegen, kein Nischenthema. Da die Kontrollen die Marke von 1 Milliarde überschritten haben und weitere Standorte folgen, ist die beste Reaktion, informiert zu bleiben und die Schritte zu unternehmen, die Sie kontrollieren können. Lesen Sie die offiziellen Hinweise der CBP, stellen Sie Fragen am Kontrollpunkt, wenn Sie unsicher sind, und prüfen Sie Ihre eigene Datenexposition, bevor Sie abreisen. Um zu sehen, wie sich der breitere Flughafen-Rollout auf Ihre Wahlmöglichkeiten auswirkt, lesen Sie unseren Beitrag über [TSA- und CBP-biometrische E-Gates und digitale ID](/en/tsa-cbp-expand-biometric-e-gates-and-digital-id-at-airports) und überprüfen Sie dann Ihre Konten und Geräte vor Ihrer nächsten Reise.](/api/img?p=articles%2F8146%2Fimage-0.jpg&w=640)
