Israelische Werbefirma soll Starlink-Nutzer in 105 Ländern ausgespäht haben

Ein israelisches Werbeunternehmen hat Anzeigenplätze für Starlink-Nutzer in einem Muster eingekauft, das laut Forschern eher nach Überwachung als nach Werbung aussieht. TrendAI, die Forschungseinheit des japanischen Sicherheitsunternehmens Trend Micro, stellte fest, dass ein Bieter mit dem Codenamen SHADOW-EARTH-79 rund 13 % aller beobachteten Werbeauktionen auf Starlink-Verkehr gewann, gegenüber etwa 3 % bei einem durchschnittlichen Bieter, und in 105 Ländern der häufigste Gewinner auf diesem Verkehr war. Sechs Quellen sagten Reuters am 27. Oktober, der Codename stehe für Discover-Tech, ein Unternehmen, dem Citizen Lab in einem eigenen Bericht vorwirft, Spähsoftware über Werbung auszuliefern.

Wie eine Werbeauktion Starlink-Nutzer verrät

Bevor eine App oder Website eine Anzeige zeigt, läuft in Sekundenbruchteilen eine Auktion. Die Gebotsanfrage an die Käufer kann die IP-Adresse des Nutzers, den ungefähren Standort, das Netz, zu dem die Adresse gehört, und Gerätedaten wie Modell und Bildschirmgröße enthalten. Starlink-Adressen liegen im eigenen Netzblock von SpaceX, AS14593, daher erkennt jeder Bieter, dass eine Verbindung über eine Satellitenschüssel läuft. Der Gewinner darf zudem eigenen Code in der Anzeige ausführen, der weitere Daten sammeln kann.

TrendAI wertete die Telemetrie einer einzigen Werbe-Einkaufsplattform aus und filterte den Verkehr aus dem Starlink-Adressraum heraus. Die Aktivität des Bieters war auf diesen Verkehr ausgerichtet, auch in Ländern, in denen Starlink verboten oder eingeschränkt ist, etwa Syrien, Sudan, Myanmar und Libyen. Reuters ergänzt unter Berufung auf die Quellen, dass er in Syrien, Libyen, Jemen und Südsudan der größte Anzeigenkäufer war. Der Bericht verweist darauf, dass Starlink in Konfliktgebieten mit zerstörten Bodennetzen weit verbreitet ist, und schließt mit mittlerer bis hoher Sicherheit, dass die Aktivität „als Infrastruktur für Zielauswahl und Tracking funktioniert“ und nicht als Werbung.

Discover-Tech, das Unternehmen hinter dem Codenamen

TrendAI nannte das Unternehmen nicht. Laut Reuters sagten fünf Quellen, die Führung habe rechtliche Bedenken geäußert und die Forscher hätten die Idee fallen gelassen. Am selben Tag, dem 15. Oktober, nannten Citizen Lab an der Universität Toronto und die auf Werbesicherheit spezialisierte Firma Confiant Discover-Tech in einem eigenen Bericht. Citizen Lab zufolge betreibt das 2020 registrierte israelische Unternehmen eine Plattform namens Controlium, mit der Kunden einzelne Nutzer über Werbe-ID, Cookie oder IP-Adresse ansteuern und ihnen Code in Anzeigen schicken können. Citizen Lab bringt die Plattform mit dem Spähsoftware-Hersteller Candiru in Verbindung und schreibt, dass 2024 und 2025 mindestens 45 Geräte bei Al Jazeera mit Candiru-Software angegriffen wurden, die über Discover-Tech-Anzeigen ausgeliefert wurde.

Google hat Discover-Tech von seinen Werbebörsen ausgeschlossen, Google und IAB Europe strichen das Unternehmen Anfang Oktober aus ihren Anbieterlisten. Auch Comcast und andere Werbeplattformen haben es entfernt, berichtet Reuters. Mindestens ein großer US-Techkonzern und eine internationale Organisation prüfen intern, ob die Anzeigen auf ihre Mitarbeiter zielten. Discover-Tech und SpaceX reagierten nicht auf Anfragen.

Was belegt ist und was nicht

Die Starlink-Daten zeigen ungewöhnliches Bietverhalten, keine bestätigte Verfolgung bestimmter Personen. TrendAI weist darauf hin, dass IP-basierte Standorte falsch sein können und die Daten von einer einzigen Werbeplattform stammen. Die Verbindung zwischen SHADOW-EARTH-79 und Discover-Tech beruht auf anonymen Quellen. Die Infektionen bei Al Jazeera belegt Citizen Lab mit Netzwerkprotokollen und Codeübereinstimmungen.

Was das Risiko senkt

Beide Berichte geben ähnliche Ratschläge: die Werbe-ID des Telefons regelmäßig zurücksetzen, personalisierte Werbung abschalten, Werbeblocker nutzen und werbefinanzierte Apps einschränken. TrendAI empfiehlt gefährdeten Personen zudem den Blockierungsmodus (Lockdown Mode) des iPhone. Ein VPN ändert die IP-Adresse und das Netz, die Bieter sehen, sodass die Auktion keine Starlink-Verbindung mehr zeigt, entfernt aber nicht die Werbe-ID und die Gerätedaten, die Apps in Gebotsanfragen schreiben. Citizen Lab nennt ein VPN nur als Dienst mit eingebautem Werbeblocker, und der Schutz kommt dort vom Blockieren.