{"id":33805,"date":"2026-08-21T11:13:35","date_gmt":"2026-08-21T09:13:35","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33805"},"modified":"2026-08-21T11:13:35","modified_gmt":"2026-08-21T09:13:35","slug":"adform-compromise-malicious-ads-cryptocurrency-theft","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/adform-compromise-malicious-ads-cryptocurrency-theft\/33805\/","title":{"rendered":"Eine Milliarde riskanter Impressionen: Lehren aus dem Adform-Hack"},"content":{"rendered":"

Adform, eine gro\u00dfe Plattform f\u00fcr Werbung, blieb vom 26. Juli bis zum Abend des 27. Juli etwa 24 Stunden lang kompromittiert, nachdem unbekannte Angreifer den Anbieter gehackt hatten. Nur wenige Branchenfremde kennen den Namen, doch Adform stellt t\u00e4glich rund 1,5 Milliarden Anzeigenimpressionen<\/a> auf Zehntausenden von Websites bereit. Das bedeutet, dass jeder, der eine Website besucht, die Adform-Anzeigen schaltet, angegriffen werden k\u00f6nnte.<\/p>\n

Die Angreifer versuchten nicht, Malware zu installieren. Stattdessen f\u00fchrten sie im Browser des Opfers ein Skript aus, das alle drei Sekunden die Zwischenablage \u00fcberpr\u00fcfte und, wenn festgestellt wurde, dass die Adresse einer Krypto-Wallet kopiert wurde, diese gegen die Wallet-Adresse der Angreifer austauschte. Wenn also jemand eine Website mit der b\u00f6sartigen Anzeige in einem Browser-Tab ge\u00f6ffnet hatte und eine Krypto-Transaktion in einem anderen Tab oder in einer speziellen App vornahm, k\u00f6nnte das Geld stattdessen in den Taschen der Angreifer gelandet sein. Die Inhaber von Adform haben den Angriff erkannt und das Problem behoben. Es kann jedoch nicht garantiert werden, dass sich ein \u00e4hnlicher Vorfall nicht wiederholt \u2013 deshalb sollte jeder Benutzer sich vor \"Malvertising\" (Schadwerbung) sch\u00fctzen<\/a>. Lies unsere Tipps am Ende dieses Beitrags.<\/p>\n

Was wir \u00fcber den Angriff auf Adform wissen<\/h2>\n

Es gibt nicht viele Informationen, da die offizielle Erkl\u00e4rung des Unternehmens<\/a> nur das Ereignis und den Zeitpunkt des Vorfalls beschreibt, ohne die Ursache des Vorfalls zu benennen. Unabh\u00e4ngige Forscher<\/a> haben technische Details gefunden, die zeigen, wie normale Benutzer ins Visier genommen wurden. Dies erkl\u00e4rt aber nicht, wie Adform selbst \u00fcberhaupt gehackt wurde.<\/p>\n

Fest steht, dass die Angreifer ihren eigenen Code in das JavaScript-Snippet einschleusten, das auf jeder Website mit Adform-Anzeigen geladen wurde. Immer wenn eine Anzeige angezeigt werden sollte, lud das Skript vom Adform-Server die richtige Anzeige herunter und zeigte sie an \u2013 doch die Angreifer hatten eine Reihe b\u00f6sartiger Funktionen hinzugef\u00fcgt: Die Skript \u00fcberwachte die Zwischenablage, sendete Daten \u00fcber die Website, die aufgerufen wurde, sowie die IP-Adresse des Opfers an den eigenen Server zur\u00fcck und tauschte die Adressen von Bitcoin-, Ethereum- und Tron-Wallets aus.<\/p>\n

Es gen\u00fcgte, wenn eine beliebige Website mit von Adform geschalteten Anzeigen in einem Browser-Tab ge\u00f6ffnet war, damit dies funktionierte. Dabei spielte es keine Rolle, um welche Art von Website es sich handelte, wie die Werbung aussah oder zu welchem Werbetreibenden sie geh\u00f6rte. Wichtig war nur, ob die Website \u00fcber HTTP oder HTTPS lief. Laut Adform konnte der Angriff auf einer \u00fcber HTTPS geladenen Website nicht erfolgreich sein, da in diesem Fall die Verbindung zum Server der Angreifer blockiert wurde.<\/p>\n

Das Unternehmen machte keine Angaben dazu, wie viele Benutzer betroffen waren und wie viele Websites ihre Inhalte und Anzeigen noch immer \u00fcber HTTP schalten.<\/p>\n

Sch\u00e4dliche Werbung geh\u00f6rt zum Alltag<\/h2>\n

Gef\u00e4hrliche Online-Werbung ist leider zu einem systemischen Problem geworden. Und wir sprechen hier nicht nur von dubiosen Anzeigen f\u00fcr Nahrungserg\u00e4nzungsmittel oder Gl\u00fccksspiel-Werbung \u2013 wir meinen damit auch Anzeigen, die Malware verbreiten oder auf Websites f\u00fchren, die Zahlungsinformationen und andere wertvolle Daten stehlen sollen. Angreifer haben daf\u00fcr eine Infrastruktur im industriellen Ma\u00dfstab aufgebaut und verwenden verschiedene Ans\u00e4tze.<\/p>\n