Malvertising: wenn die Werbung selbst das Problem ist

Die meiste Werbung ist lästig. Ein kleiner Teil ist gefährlich, und dieser Teil hat einen eigenen Namen: Malvertising, aus „malicious advertising".

Der Trick daran ist, dass niemand eine dubiose Seite besuchen muss. Werbung wird von Netzen ausgeliefert, die auf tausenden Seiten gleichzeitig eingebunden sind — auch auf seriösen. Wer eine Anzeige schaltet, bucht Platz, nicht Vertrauen. Wenn es gelingt, eine schädliche Anzeige durch die Prüfung eines Netzes zu bringen, erscheint sie damit auf Seiten, die selbst nichts falsch gemacht haben.

Was daraus wird, ist meistens eine von drei Sachen.

Die erste ist die gefälschte Aufforderung. Ein Fenster erscheint und behauptet, der Browser sei veraltet, ein Plug-in fehle, der Rechner sei infiziert. Der Knopf darunter lädt keine Aktualisierung herunter, sondern ein Programm. Das funktioniert nicht, weil Menschen leichtgläubig wären, sondern weil die Meldung dort steht, wo sonst echte Meldungen stehen.

Die zweite ist die Weiterleitung. Ein Klick irgendwo auf der Seite — oder gar keiner — öffnet ein neues Fenster mit einer Adresse, die einer bekannten Marke ähnlich sieht. Von dort geht es weiter, oft über mehrere Stationen, damit sich der Weg schlecht zurückverfolgen lässt.

Die dritte ist die stille Variante: Die Anzeige lädt Code nach, der eine Lücke im Browser sucht. Wenn er keine findet, passiert nichts und niemand merkt etwas. Wenn er eine findet, hat der Nutzer nichts angeklickt.

Ein Werbeblocker hilft dagegen an genau einer Stelle, und die sollte man nicht größer machen, als sie ist: Er verhindert, dass die Anzeige überhaupt geladen wird. Was nicht geladen wird, kann kein Fenster öffnen, nicht weiterleiten und keine Lücke suchen. Das ist wirksam, weil es früh ansetzt — aber es ist kein Virenscanner. Ein Blocker prüft keine Dateien, erkennt keine Schadsoftware und tut nichts mehr, sobald etwas heruntergeladen wurde.

Die zweite Stelle, an der man ansetzen kann, ist die Adresse. Wer auf einer Seite landet, die einer bekannten täuschend ähnlich sieht, sieht den Unterschied oft nicht — zwischen einem lateinischen und einem kyrillischen „a" liegt im Schriftbild nichts. Eine Warnung, bevor etwas eingetippt wird, ist dort mehr wert als jede Erklärung danach.

Beides zusammen deckt nicht alles ab. Es deckt den Weg ab, den Malvertising am häufigsten nimmt — und der beginnt fast immer mit einer Anzeige, die geladen wird.