Ein Sicherheitsvorfall beim Werbetechnologie-Anbieter Adform hat Ende Juli 2026 gezeigt, wie schnell ein Angriff auf einen digitalen Dienstleister Auswirkungen auf zahlreiche Webseiten und deren Besucher haben kann. Der Vorfall war dabei nicht auf eine einzelne Website beschränkt. Stattdessen wurde eine Technologie kompromittiert, die von vielen digitalen Angeboten genutzt wird.

Der Angriff war primär nicht darauf ausgerichtet, Schadsoftware dauerhaft auf den Geräten der Nutzer zu installieren. Stattdessen zielte der schädliche Code unter anderem darauf ab, bestimmte Kryptowährungstransaktionen zu manipulieren. Gleichzeitig bestand bei einigen betroffenen Webseiten die Möglichkeit, dass Informationen wie der aufgerufene Webseitenpfad und die öffentliche IP-Adresse eines Besuchers an eine Infrastruktur des Angreifers übertragen wurden.

Der Fall zeigt damit ein grundlegendes Problem digitaler Systeme: Nutzer müssen nicht zwangsläufig eine offensichtlich gefährliche Datei herunterladen oder auf einen verdächtigen Link klicken, um indirekt von einem Cyberangriff betroffen zu sein.

Was ist bei Adform passiert?

Adform stellt Technologien für digitale Werbung bereit, die von zahlreichen Webseiten und anderen digitalen Diensten eingesetzt werden. Am 27. Juli 2026 um 03:00 Uhr MESZ erkannte Adform verdächtige Aktivitäten und leitete unmittelbar eine Untersuchung ein. Eine spätere Analyse der Protokolldaten ergab, dass die ersten schädlichen Aktivitäten bereits am 26. Juli um 23:49 Uhr MESZ begonnen hatten.

Adform reagierte mit verschiedenen Maßnahmen, um den Vorfall einzudämmen, den schädlichen Code zu entfernen und die eigene Plattform sowie Kunden und Besucher zu schützen. Nach Angaben des Unternehmens wurde seit dem 27. Juli um 19:16 Uhr MESZ keine weitere Verbreitung des schädlichen Codes festgestellt.

Angriff auf Kryptowährungstransaktionen

Der Schadcode war darauf ausgelegt, bestimmte Transaktionen mit Bitcoin, Ethereum und Tron zu manipulieren. Konkret konnte er versuchen, eine Kryptowährungs-Wallet-Adresse auszutauschen, während eine betroffene Webseite geöffnet war.

Das Angriffsszenario lässt sich vereinfacht so erklären:

Ein Nutzer möchte Kryptowährung an eine bestimmte Wallet-Adresse senden. Er kopiert die Adresse und fügt sie anschließend in das entsprechende Feld ein. Der Schadcode konnte versuchen, diese Adresse unbemerkt durch eine andere zu ersetzen, beispielsweise durch eine Adresse, die vom Angreifer kontrolliert wird.

Bestätigt der Nutzer die Transaktion, ohne die Zieladresse noch einmal zu überprüfen, kann die Kryptowährung dadurch an den Angreifer übertragen werden.

Das ist besonders problematisch, weil sich bestätigte Blockchain-Transaktionen in der Regel nicht rückgängig machen lassen. Anders als bei einer klassischen Überweisung gibt es meist keine Bank, die eine bereits ausgeführte Transaktion einfach zurückholen kann. Bei einer erfolgreichen Manipulation kann das deshalb unmittelbar zu einem finanziellen Verlust führen.

Adform hat allerdings nicht mitgeteilt, dass bei allen betroffenen Nutzern tatsächlich Wallet-Adressen manipuliert oder Kryptowährungen gestohlen wurden. Nach den bisherigen Erkenntnissen war der Schadcode vielmehr so programmiert, dass er eine solche Manipulation versuchen konnte.

Für Nutzer von Kryptowährungen zeigt der Vorfall einmal mehr, wie wichtig es ist, die Zieladresse unmittelbar vor der Bestätigung einer Transaktion zu kontrollieren, selbst dann, wenn sie zuvor per Copy-and-paste eingefügt wurde.

Keine Hinweise auf eine dauerhafte Infektion

Nach derzeitigem Kenntnisstand war der schädliche Code nicht darauf ausgelegt, dauerhaft auf einem Computer oder Smartphone zu bleiben. Adform erklärt, dass der Code nicht dafür vorgesehen war, Software auf dem Gerät eines Nutzers zu installieren oder dort dauerhaft aktiv zu bleiben.

Damit unterscheidet sich der Vorfall von klassischen Schadprogrammen wie Trojanern oder Ransomware, bei denen der Angreifer versucht, langfristig Zugriff auf ein Gerät zu erhalten. Das bedeutet jedoch nicht, dass der Vorfall harmlos war. Gerade die Manipulation von Kryptowährungstransaktionen zeigt, dass ein Angriff auch ohne dauerhafte Infektion erhebliche Folgen haben kann.

Warum HTTP und HTTPS eine wichtige Rolle spielten

Das betroffene Adform-Skript wurde auf bestimmten Webseiten ausgeführt, die noch über das unverschlüsselte HTTP-Protokoll erreichbar waren. Anschließend versuchte der Schadcode, eine Verbindung zu einer Infrastruktur aufzubauen, die nach Einschätzung von Adform vom Angreifer betrieben wurde oder für ihn zugänglich war.

Bei Webseiten, die über HTTPS ausgeliefert wurden, konnte der Browser diese Verbindung verhindern. Dieser zusätzliche Schutz steht bei herkömmlichen HTTP-Verbindungen nicht in gleicher Weise zur Verfügung. Deshalb kann Adform nicht ausschließen, dass die Anfrage bei einigen betroffenen HTTP-Webseiten tatsächlich beim Angreifer angekommen ist.

Für Besucher solcher Seiten hätte dies unter Umständen bedeutet, dass technische Informationen wie der Name der aufgerufenen Website, der genaue Seitenpfad und die öffentliche IP-Adresse des Nutzers sichtbar werden konnten.

Der Vorfall zeigt damit sehr deutlich, warum HTTPS heute zum Sicherheitsstandard im Internet gehören sollte. Es schützt zwar nicht vor jedem Cyberangriff und macht eine Webseite nicht automatisch vertrauenswürdig. Es schafft aber eine wichtige zusätzliche Schutzschicht und konnte in diesem Fall offenbar verhindern, dass die vom Schadcode angestrebte Verbindung erfolgreich hergestellt wurde.

Welche Informationen könnten sichtbar geworden sein?

Falls die vom Schadcode ausgelöste Verbindung bei einer betroffenen HTTP-Webseite erfolgreich hergestellt wurde, könnten nach Angaben von Adform bestimmte technische Informationen an die Infrastruktur des Angreifers gelangt sein.

Dazu gehörten möglicherweise:

• der Hostname der besuchten Website,
• der Pfad der aufgerufenen Webseite,
• die öffentliche IP-Adresse des Besuchers.

Die IP-Adresse kann grundsätzlich Informationen darüber liefern, von welchem Internetanschluss eine Verbindung hergestellt wurde. Sie ist jedoch nicht automatisch mit einem vollständigen Namen, einem Passwort oder einem Benutzerkonto gleichzusetzen.

Adform betont außerdem, dass das Unternehmen bislang keine Hinweise darauf gefunden habe, dass der Schadcode Webseiteninhalte, eingegebene Informationen, Zugangsdaten oder andere Datenfelder übertragen habe.

Das ist eine wichtige Einschränkung bei der Bewertung des Vorfalls. Es besteht nach den bisherigen Erkenntnissen also kein Hinweis darauf, dass sämtliche Eingaben von Nutzern abgegriffen wurden.

Wie groß ist das Risiko für normale Internetnutzer?

Für die Mehrheit der Nutzer dürfte das Risiko nach dem derzeit bekannten Informationsstand begrenzt sein. Wer am 27. Juli 2026 lediglich eine betroffene Webseite besucht hat, hat dadurch nicht automatisch Schadsoftware auf seinem Gerät installiert bekommen.

Besonders relevant ist die Situation für Nutzer, die während des Besuchs einer betroffenen Webseite mit Kryptowährungen gearbeitet haben. Wer beispielsweise eine Bitcoin-, Ethereum- oder Tron-Wallet-Adresse kopiert oder eingefügt hat, sollte die betreffende Transaktion beziehungsweise Zieladresse überprüfen.

Bei Kryptowährungen sollte man sich grundsätzlich nicht allein darauf verlassen, dass eine kopierte Adresse korrekt ist. Die Zieladresse sollte vor der endgültigen Bestätigung noch einmal kontrolliert werden.

Warum dieser Vorfall ernst genommen werden sollte

Der Fall zeigt eine Entwicklung, die für die Cybersicherheit immer wichtiger wird: Angreifer müssen nicht zwangsläufig das eigentliche Zielunternehmen oder eine Zielperson direkt angreifen. Stattdessen können sie einen externen Dienstleister ins Visier nehmen, dessen Software oder Technologie von zahlreichen anderen Unternehmen und Webseiten genutzt wird.

Genau hier entsteht das Risiko eines sogenannten Supply-Chain-Angriffs – eines Angriffs über die digitale Lieferkette. Wird ein zentraler Dienstleister kompromittiert, kann sich das Problem unter Umständen auf zahlreiche Kunden und deren Nutzer ausweiten. Das macht solche Angriffe besonders gefährlich: Ein Unternehmen kann seine eigene IT gut abgesichert haben und trotzdem betroffen sein, weil es einer kompromittierten externen Komponente vertraut.

Der Adform-Vorfall verdeutlicht damit ein grundlegendes Problem moderner IT-Sicherheit: Je stärker Unternehmen digital vernetzt und von externen Diensten abhängig sind, desto größer wird die Angriffsfläche außerhalb der eigenen Kontrolle. Cybersicherheit endet deshalb nicht an der eigenen Unternehmensgrenze. Sie muss auch die Anbieter, Software und digitalen Dienste berücksichtigen, auf die das eigene Unternehmen angewiesen ist.

Das unterschätzte Risiko von Drittanbietern

Moderne Webseiten bestehen längst nicht mehr nur aus Code, den das Unternehmen selbst entwickelt und kontrolliert. Im Hintergrund greifen zahlreiche externe Dienste auf die Website zu oder werden direkt in sie eingebunden.

Dazu gehören beispielsweise:

• Werbe- und Anzeigensysteme
• Analyse- und Tracking-Dienste
• Zahlungsanbieter
• externe Schriftarten und Bibliotheken
• Videoplayer
• Social-Media-Komponenten
• Cloud-Dienste
• Sicherheits- und Bot-Schutzsysteme

Solche Dienste machen Webseiten leistungsfähiger und komfortabler und sind für viele Unternehmen kaum noch wegzudenken. Gleichzeitig schafft jeder zusätzliche externe Dienst eine weitere Abhängigkeit – und damit potenziell eine weitere Angriffsfläche.

Wird ein solcher Anbieter kompromittiert, kann sich der Angriff unter Umständen auf die Unternehmen und Webseiten ausweiten, die seine Technologie einsetzen. Der Betreiber selbst muss dabei nicht direkt gehackt worden sein. Es reicht möglicherweise aus, dass eine manipulierte Komponente von einem vertrauenswürdigen Drittanbieter eingebunden wird.

Genau das macht solche Angriffe so tückisch: Für das betroffene Unternehmen kann zunächst alles normal aussehen. Die eigene IT funktioniert, die Website ist erreichbar und die Sicherheitssoftware schlägt möglicherweise nicht an. Die Gefahr kommt über eine Verbindung, der man zuvor bewusst vertraut hat.

Die entscheidende Frage lautet deshalb nicht nur: „Ist unsere eigene IT sicher?“, sondern auch: „Wem vertrauen wir technisch – und was passiert, wenn dieses Vertrauen missbraucht wird?“

Was bedeutet der Vorfall für den Datenschutz?

Adform hat am 5. August 2026 die dänische Datenschutzbehörde Datatilsynet über die möglichen Auswirkungen auf personenbezogene Daten im Zusammenhang mit dem HTTP-Teil des Vorfalls informiert. Das zeigt, dass ein Cyberangriff nicht nur ein technisches Problem darstellen kann.

Eine IP-Adresse kann – abhängig vom Kontext – als personenbezogenes Datum relevant sein. Unternehmen müssen deshalb bei Sicherheitsvorfällen nicht nur untersuchen, welche Systeme technisch betroffen waren, sondern auch, ob personenbezogene Daten betroffen sein könnten.

Was können normale Nutzer daraus lernen?

Auch für Privatpersonen lassen sich einige konkrete Lehren ziehen.

1. HTTPS ist wichtig

Eine Webseite sollte nach Möglichkeit über HTTPS aufgerufen werden. Das Schloss-Symbol im Browser ist zwar keine Garantie dafür, dass eine Webseite insgesamt vertrauenswürdig oder frei von Schadcode ist. HTTPS schützt aber die Verbindung und bietet wichtige Sicherheitsmechanismen, die bei unverschlüsseltem HTTP fehlen.

Der Adform-Vorfall zeigt sehr deutlich, dass dieser Unterschied in einem konkreten Angriffsszenario eine Rolle spielen kann.

2. Kryptowährungen besonders sorgfältig kontrollieren

Wer Kryptowährungen verwendet, sollte Wallet-Adressen unmittelbar vor einer Transaktion überprüfen. Das gilt auch dann, wenn die Adresse zuvor kopiert und eingefügt wurde. Bei größeren Beträgen kann eine zusätzliche Kontrolle sinnvoll sein.

3. Browser aktuell halten

Browser enthalten zahlreiche Sicherheitsmechanismen. Updates schließen unter anderem Schwachstellen und verbessern den Schutz vor gefährlichen Webseiten und Skripten.

4. Ein normal aussehender Webseitenbesuch ist keine Garantie

Eine Webseite kann seriös aussehen und trotzdem Technologien von Drittanbietern verwenden, die kompromittiert wurden. Der Nutzer kann oft nicht erkennen, welche externen Skripte im Hintergrund geladen werden. Deshalb ist es nicht immer möglich, das Risiko allein durch „vorsichtiges Klicken“ zu vermeiden.

Was Unternehmen aus dem Adform-Vorfall lernen können

Der Sicherheitsvorfall bei Adform zeigt, dass Cyberangriffe heute längst nicht mehr nur einzelne Unternehmen treffen. Immer häufiger greifen Angreifer zentrale Dienstleister an, um über diese möglichst viele Kunden gleichzeitig zu erreichen. Das macht den Vorfall zu einer wichtigen Fallstudie für nahezu jede Branche.

1. Die größte Gefahr kommt oft von außen

Viele Unternehmen investieren erhebliche Summen in Firewalls, Endpoint-Schutz und Mitarbeiterschulungen. Gleichzeitig verlassen sie sich auf Dutzende externe Dienstleister – von Cloud-Anbietern über Zahlungsdienstleister bis hin zu Marketing- und Analyseplattformen.

Der Adform-Vorfall zeigt: Die eigene IT kann hervorragend abgesichert sein und dennoch geraten Kunden in Gefahr, wenn ein externer Partner kompromittiert wird.

Lehre: Cybersecurity endet nicht an der eigenen Unternehmensgrenze. Auch die Sicherheitsstandards von Lieferanten und Dienstleistern müssen Teil des Risikomanagements sein.

2. Vertrauen ist ein Geschäftsmodell

Unternehmen wie Adform, Cloud-Anbieter oder Zahlungsdienstleister leben vom Vertrauen ihrer Kunden. Ein einziger Sicherheitsvorfall kann dieses Vertrauen nachhaltig erschüttern – selbst wenn der Angriff schnell eingedämmt wird.

Vertrauen entsteht heute nicht nur durch gute Produkte, sondern auch durch:

• transparente Kommunikation,
• schnelle Reaktion,
• nachvollziehbare Aufklärung,
• sichtbare Verbesserungen nach einem Vorfall.

3. Supply-Chain-Risiken betreffen alle Branchen

Das Prinzip lässt sich auf nahezu jedes Unternehmen übertragen:

• Ein Krankenhaus nutzt externe Software.
• Eine Bank arbeitet mit Cloud-Diensten.
• Ein Industriebetrieb integriert Fernwartungssysteme.
• Ein Online-Shop bindet Zahlungs- und Tracking-Dienste ein.

Je stärker Unternehmen von externen Systemen abhängig sind, desto größer wird das Risiko, dass ein Vorfall beim Dienstleister Auswirkungen auf die eigene Organisation hat.

4. Krisenkommunikation entscheidet mit über den Schaden

Adform veröffentlichte vergleichsweise schnell eine öffentliche Stellungnahme. Das ist ein wichtiger Schritt, denn Informationslücken werden häufig durch Spekulationen gefüllt.

Unternehmen sollten bereits vor einem Vorfall festlegen:

• Wer informiert Kunden?
• Welche Informationen werden veröffentlicht?
• Wie häufig erfolgen Updates?
• Welche Behörden und Partner müssen eingebunden werden?

Eine gute Krisenkommunikation kann den Vertrauensverlust begrenzen – auch wenn sie den Vorfall selbst nicht ungeschehen macht.

5. Minimierung statt maximaler Vernetzung

Viele Unternehmen integrieren immer neue externe Dienste, weil sie zusätzliche Funktionen bieten.

Jeder neue Dienst bedeutet jedoch:

• eine weitere Vertrauensbeziehung,
• eine zusätzliche Angriffsfläche,
• eine weitere potenzielle Schwachstelle.

Die wichtigste Frage sollte daher nicht lauten: „Welche Funktionen bekommen wir?“, sondern auch: „Welches zusätzliche Risiko gehen wir damit ein?“

6. Resilienz wird wichtiger als die Illusion absoluter Sicherheit

Kein Unternehmen kann garantieren, niemals Opfer eines Angriffs zu werden.

Entscheidend ist deshalb:

• Angriffe möglichst früh erkennen,
• ihre Auswirkungen begrenzen,
• Systeme schnell wiederherstellen,
• aus dem Vorfall lernen.

Resilienz – also die Fähigkeit, trotz eines Angriffs handlungsfähig zu bleiben – wird zunehmend zum entscheidenden Wettbewerbsfaktor.

7. Sicherheit ist eine Führungsaufgabe

Cybersecurity ist längst kein reines IT-Thema mehr.

Ein erfolgreicher Angriff kann Auswirkungen auf:

• Umsatz,
• Reputation,
• Kundenvertrauen,
• rechtliche Verpflichtungen,
• den Unternehmenswert
  haben.

Deshalb sollten Sicherheitsrisiken regelmäßig auf Geschäftsführungs- und Vorstandsebene bewertet werden.

8. Transparenz schafft langfristig Glaubwürdigkeit

Kein Unternehmen möchte einen Sicherheitsvorfall öffentlich machen. Dennoch erwarten Kunden heute Offenheit.

Unternehmen, die Probleme früh kommunizieren, den Umfang ehrlich benennen und konkrete Verbesserungen aufzeigen, können verlorenes Vertrauen eher zurückgewinnen als Organisationen, die Informationen nur zögerlich oder unvollständig veröffentlichen.

9. Die eigene IT-Sicherheit endet nicht an der eigenen Firewall.

Unternehmen müssen wissen, welche externen Dienste in ihren Webseiten, Anwendungen und internen Systemen eingesetzt werden.

Dazu gehört beispielsweise eine Übersicht darüber:

• Welche Drittanbieter werden eingesetzt?
• Welche Skripte werden auf Webseiten geladen?
• Welche Anbieter können Daten verarbeiten?
• Welche Anbieter können Code auf der eigenen Website ausführen?
• Was passiert, wenn einer dieser Anbieter kompromittiert wird?
• Wie schnell kann ein Dienst deaktiviert werden?
• Gibt es eine alternative Lösung?

Besonders kritisch sind externe Skripte, die direkt im Browser des Nutzers ausgeführt werden. Denn ein kompromittiertes Skript kann möglicherweise genau dort aktiv werden, wo der Nutzer gerade arbeitet.

Fazit

Der Adform-Vorfall ist nicht nur ein Problem der Werbebranche. Er verdeutlicht einen grundlegenden Wandel der Cybersicherheitslage: Unternehmen sind heute Teil komplexer digitaler Lieferketten, in denen die Sicherheit eines einzelnen Partners Auswirkungen auf viele andere haben kann.

Die wichtigste Lehre lautet deshalb nicht, dass sich Angriffe vollständig verhindern lassen. Vielmehr müssen Unternehmen ihre Abhängigkeiten kennen, Risiken regelmäßig bewerten, Sicherheitsanforderungen an Dienstleister stellen und im Ernstfall transparent und schnell handeln. In einer vernetzten Wirtschaft ist Vertrauen nicht nur ein Marketingversprechen, es ist ein zentraler Bestandteil der Sicherheitsstrategie.