Werbung im Netz wirkt harmlos. Ein Banner erscheint, ein Video startet, eine App blendet eine Anzeige ein. Dahinter läuft ein Handelsplatz, auf dem in Sekundenbruchteilen Angaben über Geräte und Standorte an viele Firmen gehen. Dieses Real-Time Bidding ist seit Jahren bekannt und von Datenschützern kritisiert worden. Ein aktueller Fall rund um Starlink-Geräte bringt das Verfahren wieder in die Schlagzeilen.

Steigen wir ein in die Technik. Am Ende folgt ein Katalog von Schutzmaßnahmen für Geräte, Netz und das eigene Webangebot.

Real-Time Bidding einfach erklärt: eine Auktion bei jedem Seitenaufruf

Real-Time Bidding (RTB) ist ein automatisiertes Bieterverfahren für Werbeplätze. Sobald eine Webseite oder App geladen wird und einen freien Werbeplatz enthält, wird dieser Platz versteigert. Der Vorgang dauert nur Sekundenbruchteile, meist deutlich unter einer Sekunde. Wer den Zuschlag erhält, dessen Anzeige erscheint, noch bevor die Seite fertig aufgebaut ist.

An der Echtzeit-Auktion sind mehrere Rollen beteiligt:

• Publisher: Betreiber der Webseite oder App, die den Werbeplatz anbieten.
• SSP (Supply-Side-Plattform): der Technikdienstleister des Publishers, der den Platz zum Verkauf anbietet.
• Ad-Exchange: die Werbebörse, die Anfragen an viele Interessenten verteilt.
• DSP (Demand-Side-Plattform): die Bieter-Software der Werbetreibenden, die automatisch Gebote abgibt.
• Werbetreibende: Unternehmen, die ihre Anzeige zeigen möchten.

Der Ablauf beginnt mit einer Gebotsanfrage, dem sogenannten Bid Request. Die SSP packt Angaben zum Seitenaufruf hinein und schickt sie an die Börse. Die Börse leitet die Anfrage an viele Bieter weiter. Jeder Bieter entscheidet, ob und wie viel er bietet, und vergleicht die Angaben mit eigenen Profilen. Das höchste Gebot gewinnt. Die Abbildung zeigt den Ablauf in vereinfachter Form.

Entscheidend ist dabei ein Punkt, der in Branchenerklärungen oft untergeht: Die Gebotsanfrage geht an alle beteiligten Bieter, nicht nur an den späteren Gewinner. Wer verliert, hat die Angaben trotzdem erhalten. Hinzu kommt das sogenannte Cookie-Matching, bei dem Werbefirmen ihre Kennungen untereinander abgleichen, damit ein Nutzer auf verschiedenen Seiten wiedererkannt wird. Eine anschauliche Schilderung davon, einschließlich eines Beispiels mit einem vergessenen Warenkorb, findet sich in der Podcast-Folge 43 zu Real-Time Bidding.

Über die großen Werbeplattformen und ihre Rolle als Datensammler wird auch im Beitrag über den Datenriesen und die Echtzeitwerbung berichtet. Die Technik ist nicht auf einen Anbieter beschränkt, sondern ein Marktstandard.

Was beim Real-Time Bidding an Daten mitgeschickt wird

Welche Angaben in einer Gebotsanfrage stecken, hängt vom Anbieter, vom Gerät und von der Seite ab. Typisch sind die folgenden Bid Request Daten. Die Tabelle zeigt auch, was sich aus ihnen ableiten lässt.

Ein Unterschied besteht zwischen Browser und App. Im Browser spielen Cookies und das erwähnte Cookie-Matching eine große Rolle. In Apps stehen dagegen die Werbe-ID und oft genaue Standortdaten zur Verfügung. Wo kein Cookie gesetzt werden darf, helfen Gerätemerkmale wie Auflösung, Browser und Sprache beim Wiedererkennen, wie es im Beitrag zum Browser-Fingerprinting beschrieben ist.

Die zentrale Frage lautet daher, was ohne jede Interaktion preisgegeben wird:

Zur Größenordnung liefert die irische Bürgerrechtsorganisation ICCL eine Zahl. In ihrem Bericht aus dem Jahr 2022 gibt die Organisation an, dass die Branche Online-Verhalten und Standort einer Person in Europa durchschnittlich 376-mal pro Tag offenlegt, in den USA 747-mal.

Daraus folgt ein strukturelles Problem. Wer Daten einmal in den Auktionskreislauf gibt, kann kaum kontrollieren, wohin sie gelangen und was Empfänger damit tun. Schon eine einzelne Anfrage mag harmlos wirken. Erst die Summe vieler Anfragen, über Wochen gesammelt und mit einer Werbe-ID verknüpft, ergibt ein genaues Bild.

Der Starlink-Fall: wer, wo, wie viel

Anlass der aktuellen Debatte ist eine Berichtskette. Das Citizen Lab der Universität Toronto veröffentlichte Mitte Oktober 2026 den Bericht zu „AdFection“, eine Methode, bei der Werbeinfrastruktur für Spyware-Angriffe genutzt wird. Darauf folgte eine Auswertung der Sicherheitsfirma TrendAI mit dem Titel „Invasive Ads“.

Folgendes Bild ergibt sich:

• „Shadow-Earth-79“ scheint das israelische Unternehmen Discover-Tech zu meinen.
• Im Beobachtungszeitraum von 90 Tagen kam Shadow-Earth-79 auf 12,9 Prozent der Werbung auf Starlink-Geräten. Das ist Platz zwei hinter Steelhouse mit über 38 Prozent, wobei diese Rangfolge für die 90 Tage gilt. Nebenbei: Steelhouse ging in das Unternehmen MNTN auf.
• Auffällig ist der Faktor: Der Anteil im Starlink-Segment war fast fünfmal so hoch wie der allgemeine Anteil von Shadow-Earth-79. Bei Steelhouse beträgt er das 2,2-fache.
• Über den längeren Zeitraum von Juni 2024 bis Juni 2026 war Shadow-Earth-79 in 105 Ländern Marktführer bei Starlink-bezogener Werbung. Dazu gehört Deutschland, wo fast jede dritte Werbefläche auf Starlink-Geräten an ihn ging.

Bemerkenswert ist die Ausrichtung. Sie ziele nicht nur auf Starlink-Nutzer allgemein, sondern in mehreren Ländern besonders auf Regierungsdienste, deren Geräte über Starlink ins Netz gehen. Außerdem sei der Akteur in Ländern aktiv, in denen westliche Werbetreibende normalerweise nicht auftreten, darunter sanktionierte Gebiete und Regionen mit Reisewarnungen.

Der Verdacht lautet, dass es dem Akteur weniger um den Verkauf von Produkten gehe als um das Einsammeln von Daten. Bei Werbeauktionen erhalten Vermittler Angaben wie Standort, IP-Adresse, Netzkennung, Gerätetyp und Bildschirmauflösung. Mit Werbe-ID, Klickverfolgung und Standortverlauf lassen sich daraus Verhaltensprofile erstellen. Zugeschnittene Werbung könnte außerdem Schadsoftware transportieren.

Wie genau der Bezug zu Starlink zustande kommt, bleibt unklar. Berichtet wird von „Starlink-verbundenen Geräten“. Ob die Werbeflächen auf Geräten hinter Starlink-Anschlüssen oder in bestimmten Netzen erkannt wurden, ist nicht eindeutig feststellbar.

Spyware-Vorwurf und Zuordnung

Der Fall setzt sich aus Teilen mit sehr unterschiedlicher Beleglage zusammen.

Das Citizen Lab beschreibt technische Belege. Danach waren mindestens 45 Geräte des Senders Al Jazeera in den Jahren 2024 und 2025 Ziel von Angriffen, die mit hoher Sicherheit der Spyware von Candiru zugeordnet werden. Die Plattform Controlium von Discover-Tech erlaube es Kunden, Geräte anhand von Werbe-IDs, Browser-IDs oder IP-Adressen auszuwählen und mit Schadcode zu versorgen. Ausgewertet wurden rund vier Milliarden Gebotsdatensätze aus dem Zeitraum März bis Juni 2026. Sie zeigen Anzeigen in fast 200.000 Apps und Websites, darunter auch Netzwerke von Regierungen, Militär, Medien und kritischer Infrastruktur.

Zugleich weist das Citizen Lab selbst auf eine Grenze hin: Dass eine Anzeige bei einem Gerät ausgespielt wurde, belegt noch keine Infektion. Aus Impressionen allein folgt kein Angriff.

Gemäß Citizen Lab haben Google, IAB Europe und Beeswax die genannte Discover-Tech aus ihren Systemen entfernt. Die Starlink-bezogene Werbung als solche ist aber kein Beweis für einen Angriff. Sie ist ein Hinweis auf ein auffälliges Muster. Für Datenschutzverantwortliche ist der Fall deshalb vor allem ein Praxisbeispiel dafür, was die Auktionsstruktur grundsätzlich ermöglicht, und kein Urteil über ein einzelnes Unternehmen.

Warum Datenschützer Real-Time Bidding seit Jahren kritisieren

Die Kritik an der Echtzeit-Auktion ist älter als der Starlink-Fall. Der Kern: Personenbezogene Angaben gehen an eine unüberschaubare Zahl von Empfängern, die Nutzer nicht kennen und mit denen sie keine Beziehung haben. Eine Einwilligung nach Artikel 6 DSGVO müsste informiert und freiwillig sein. Das ist bei hunderten möglichen Empfängern in einem Banner schwer vorstellbar (auch wenn es auf zahlreichen Websites eer unmotiviert versucht wird). Dazu kommt, dass nach der Weitergabe eine Löschung praktisch kaum durchsetzbar ist.

Auch der Zugriff auf das Endgerät unterliegt Regeln. Wer Informationen im Gerät speichert oder ausliest, braucht dafür grundsätzlich eine Einwilligung, geregelt im deutschen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Das betrifft Cookies ebenso wie das Auslesen von Gerätemerkmalen.

Der EuGH hat zu IAB Europe entschieden (C-604/22). Der TC String, die kodierte Zustimmung der Nutzer, kann ein personenbezogenes Datum sein, und IAB Europe kann für dessen Erfassung gemeinsam mit seinen Mitgliedern verantwortlich sein. Das gilt nicht automatisch für alle nachgelagerten Verarbeitungen im Bieterverfahren.

Festhalten lässt sich, dass Datenhändler oder andere Stellen als stille Mithörer auftreten könnten. Wer Gebotsanfragen erhält, kann die Angaben speichern, und eine technische Kontrolle darüber fehlt dem Absender. Der Starlink-Fall dient hier als Praxisbeleg für dieses strukturelle Risiko.

Zum Zusammenhang von Einwilligung und Tracking gibt es auf dem Blog Hintergründe im Beitrag über Tracking. Ob einwilligungsbasierte Zwecke auch technisch eingehalten werden, ist eine eigene Frage, die weiter unten bei den eigenen Webangeboten wieder auftaucht.

Risiken für Dienstreisende, Außendienst und Behörden

Warum sind gerade Starlink-Geräte ein Thema? Satellitenanschlüsse haben oft nur wenige Nutzer pro Netz. Sie werden in abgelegenen Regionen genutzt. Außerdem kommen sie bei Behörden, Hilfsorganisationen und in Konfliktgebieten zum Einsatz. Wer dort Werbung gezielt einkauft, erreicht mit wenig Streuverlust eine kleine, möglicherweise interessante Gruppe.

Aus den Bid Request Daten lässt sich einiges ableiten. Die IP-Adresse und die Netzkennung zeigen grob den Ort und, bei kleinen Netzen, die Organisation. Eine Werbe-ID verbindet einzelne Besuche zu einem Verlauf. Mit genauem Standort aus einer App entsteht ein Bewegungsprofil. Das gilt auch unabhängig von Starlink.

Praktische Situationen:

• Außendienst mit Mobilfunk-Hotspot: Alle Geräte teilen eine IP-Adresse, die Gerätemerkmale unterscheiden sie aber weiter.
• Hotel-WLAN auf Dienstreisen: Das Netz verrät den Aufenthaltsort, auch ohne GPS.
• Baustellen oder Außenstellen mit Satellitenanschluss: Ein kleines Netz kann einer Organisation zugeordnet werden.
• Reisen in Länder mit Reisewarnungen: Laut TrendAI fiel dort ein auffälliges Werbeverhalten auf.

Eine einfache Risikoermittlung hilft. Gering ist das Risiko bei Büroarbeit im normalen Firmennetz mit Standardgeräten. Erhöht ist es bei häufigen Reisen, Zugang zu vertraulichen Informationen oder Einsatz in Konfliktregionen. Hoch ist es bei Personen, die als Ziel gelten können, etwa im Umfeld von Medien oder Behörden. Daraus folgen unterschiedlich strenge Maßnahmen.

Schutzmaßnahmen auf Geräten und im Netz

Gegen die Weitergabe in der Werbeauktion gibt es keinen vollständigen Schutz. Es gibt aber Maßnahmen, die Angaben und Angriffsfläche reduzieren. Eine Priorisierung nach Aufwand zeigt die Übersicht.

Schnell umsetzbar

• Werbe-ID deaktivieren: Auf Android lässt sich die Werbe-ID in den Einstellungen löschen. Auf dem iPhone kann das Tracking pro App verweigert werden. Wie sich das zentral steuern lässt, hängt von der Geräteverwaltung (MDM) und vom Hersteller ab. Konkrete Richtlinien sind vor dem Einsatz gegen die Dokumentation des jeweiligen Herstellers zu prüfen.
• Standortfreigabe einschränken: Zugriff nur bei Nutzung der App erlauben und die genaue Position abschalten, wo sie nicht gebraucht wird.
• Updates zeitnah einspielen: Gegen sogenannte Zero-Click-Angriffe, die ohne Zutun der Nutzer wirken, helfen vor allem aktuelle Betriebssysteme und Browser. Für besonders gefährdete Personen bietet etwa Apple einen Lockdown-Modus an. Details sollten in der Herstellerdokumentation zu finden sein.

Mittlerer Aufwand

• Werbeblocker auf Dienstgeräten: Browser-Erweiterungen oder ein DNS-Filter im Firmennetz blockieren viele Werbeabfragen schon vor der Auktion. Die Grenzen: Apps nutzen oft eigene Wege, verschlüsselte DNS-Abfragen (DoH) können den Filter umgehen, und die Sperrlisten brauchen Pflege.
• Browser mit Tracking-Schutz: Moderne Browser blockieren Drittanbieter-Cookies und bekannte Tracker. Auch das ist kein vollständiger Schutz, aber es verringert den Datenfluss spürbar.

Aufwendig

• Apps mit Werbe-SDKs inventarisieren: Welche Apps auf Dienstgeräten laufen, welche Werbebausteine sie enthalten und ob sie nötig sind, muss geprüft werden. Nicht benötigte Apps gehören entfernt.
• Satellitenanschlüsse nicht als Schutz verstehen: Wechselnde IP-Adressen und Gerätekennungen verhindern das Wiedererkennen nicht, wenn andere Merkmale gleich bleiben.

Für den eigenen Webauftritt gibt es zusätzlich die Web Security Checks. Sie ersetzen keine Geräterichtlinie, helfen aber, offene Stellen zu finden. Für Dienstreisende gilt zudem ein einfacher Grundsatz: Je weniger Apps mit Werbung, desto weniger Bieter sehen das Gerät.

Real-Time Bidding im eigenen Webangebot: Consent und Werbepartner prüfen

Der Fall betrifft nicht nur Nutzer, sondern auch Betreiber von Webseiten und Werbeplätzen. Wer selbst Werbung ausspielt, ist Teil der Kette und gibt die Daten seiner Besucher an die Börse. Marketingverantwortliche sollten die Datenschutzfragen rund um RTB im Unternehmen daher kennen. Die Einwilligungsverwaltung im Werbe-Setup muss dabei genau das tun, was das Banner verspricht.

Eine Prüfliste für das eigene Webangebot:

• Partner kennen: Welche SSP, Börsen und Header-Bidding-Partner laufen auf der Seite? Die Liste sollte schriftlich vorliegen und aktuell sein.
• Banner testen: Löst die Einwilligung wirklich nur die gewählten Dienste aus? Werden Drittdienste bereits vor der Zustimmung geladen? Das lässt sich in den Entwicklerwerkzeugen des Browsers im Reiter Netzwerk beobachten. Die Kritik am Laden vor der Einwilligung ist auch im Datenschutz Deluxe-Podcast ein Thema.
• TC String und Vendor-Listen lesen: Welche Partner stehen in den Partnerlisten, und entspricht das den Verträgen?
• Verträge und Prüfbarkeit: Werbeplätze nur an Partner geben, mit denen ein Vertrag besteht und deren Verarbeitung nachvollziehbar ist.
• Alternative erwägen: Kontextbezogene Werbung, die auf das Umfeld einer Seite und nicht auf Personen zielt, kommt ohne personenbezogene Daten aus.
• Nach dem Fall nachfragen: Wurde Discover-Tech aus den Partnerlisten entfernt? Beim Werbedienstleister lässt sich das schriftlich erfragen.

Hilfreich sind die Anleitung für Consent-Tools auf Webseiten und zum ausgesprochen fragwürdigen Google Consent Mode. Wer Erfolg messen möchte, findet mit Conversion-Tracking ohne Datenschutzprobleme Alternativen, und zu den Risiken für Werbetreibende gibt es einen Beitrag über Google Ads.

Fazit

Die Aufgaben verteilen sich auf drei Rollen.

Datenschutzverantwortliche klären, ob und für wen ein erhöhtes Risiko besteht, und legen fest, welche Geräterichtlinien gelten. Sie dokumentieren die Entscheidung und weisen auf die Grenzen hin.

Admins setzen die technischen Vorgaben um: Werbe-ID und Standort auf Dienstgeräten, Filter im Netz, Updates.

Marketing- und Web-verantwortliche prüfen die eigene Kette von Werbepartnern und das Verhalten des Consent-Banners.

Der Starlink-Fall ist noch nicht abschließend aufgeklärt. Es bleibt spannend!

Der Fall beschreibt keine Ausnahme, sondern macht die Funktionsweise besonders schön sichtbar. Solange Real-Time Bidding Daten an alle Bieter verteilt, hängt der Schutz vom Verhalten einzelner Teilnehmer ab. Nach Einschätzung des Autors liegt hier der eigentliche Konstruktionsfehler, der sich nur durch weniger Daten in der Auktion beheben lässt, nicht durch mehr Vertrauen in die Teilnehmer.