Das Buhlen um die Gunst des Konsumenten ist allgegenwärtig. Advertising heißt das englische Wort für Werbung. Und das Böse in der IT, Viren, Trojaner und das ganze digitale Gewürm, es wird Malware genannt. Malvertising heißt deshalb ein Plage, der immer mehr Surfer heimsucht: Die per Reklame-Banner verbreitete digitale Pest. Christenmenschen kommt da doch eine Stelle aus der heiligen Schrift in den Sinn:

"Es ist nicht recht, wie sie um euch werben. – Brief des Paulus an die Galater, Kaptitel 4 – Vers 17."

Viele Cyberkriminelle machen sich gar nicht mehr die Mühe, beliebte Web-Sites zu hacken, um dort ihre Schadprogramme zu platzieren. Stattdessen schalten sie Internet-Werbung. Über eine Agentur – die nennt sich Werbe-Netzwerk. Und das beschickt dann die Web-Server mit infizierten Werbe-Bannern.

"Also Malvertising heißt, dass ich Werbeplattformen benutze, um Schad-Software zu verteilen", so Raimund Genes, Technikvorstand beim IT-Sicherheitsunternehmen Trend Micro.

Die Internet-Kriminellen schließen Verträge ab, bezahlen sogar für die erbrachten Leistungen, die Platzierung der Werbebanner. So, wie es unter ehrbaren Kaufleuten üblich ist. Das sollte die Kriminellen doch auch identifizierbar machen, möchte man meinen. Dem ist aber nicht so, sagt Candid Wüest, Virenforscher bei Symantec. In der Werbebranche im Netz geht nämlich Geschwindigkeit vor Gründlichkeit.

"Leider ist es häufig so, dass das bereits per E-Mail funktioniert. Und die Kreditkarte könnte eine Prepaid-Karte sein ohne Namen oder sogar eine gestohlene Kreditkarte, sodass sich auch hier die Spur letztendlich im Sand verlaufen wird und man eben nicht schlauer ist als Opfer und wahrscheinlich keine Chance hat, die ursprünglichen Hintermänner ausfindig zu machen."

Wer im Netz wirbt, kann so also leicht anonym bleiben. Und dass Schad-Software in Werbebannern vorzeitig entdeckt wird, ist auch relativ unwahrscheinlich. Die meisten Malvertiser liefern über die Werbe-Netzwerke zum Schein erst einmal saubere Banner. Denn es könnte ja sein, dass ein Anti-Viren-Programm die Werbung untersucht.

"Die mieten sich vielleicht den Platz für August an, haben den Schadcode dann aber erst ab dem 3. August aktiviert. Das heißt, die ersten zwei, drei Tage, wenn getestet wird, fällt auch gar nichts auf, weil es auch nichts Bösartiges gibt."

Überall wo per Internet geworben wird, kann also auch Schad-Software verbreitet werden. So gelang es Internet-Kriminellen beispielsweise, verseuchte Banner auf seriöse Sites wie die der "New York Times" oder der BBC zu schleusen. Raimund Genes hat auch schon infizierte Werbung auf Banking-Portalen entdeckt. Und er kann sich noch Kurioseres vorstellen:

"Es gibt ja auch im Sicherheitsbereich, im Anti-Viren-Bereich mittlerweile sehr viele Werbe-finanzierte Sicherheitslösungen. Ich warte nur noch darauf, bis die bösen Jungs - die haben ja zum Teil auch einen Sinn für Humor - anfangen, auch diese Plattformen zu beglücken"

Laut, aufdringlich und am liebsten richtig albern - so reden Unternehmen gerne ihre Kunden an. Manche finden derartige Werbung ja witzig. Wer nicht darüber lachen mag, kann sich stattdessen mal fragen, ob man solchen Marktschreiern die Sicherheit von Haus und Hof anvertrauen würde. Oder während des Urlaubs seine Topfpflanze im Büro, oder den Goldfisch - man wird nicht. Aber die Sicherheit von Web-Sites vertraut man ihnen an. Ein riesiges Einfallstor für Cyberkriminelle! Die Werbebranche und die Virenschreiber – da haben sich zwei gefunden. Kein Witz! Traurig ist das – und gefährlich.