Vom 16. Mai 2017
Deutscher Bundestag Drucksache 18/12392
18. Wahlperiode 16.05.2017
Kleine Anfrage
der Abgeordneten Dr. Petra Sitte, Frank Tempel, Dr. André Hahn, Ulla Jelpke,
Jan Korte, Martina Renner und der Fraktion DIE LINKE.
Verbreitung von Schadsoftware über Online-Werbung („Malvertising“)
Mit der zunehmenden Bedeutung von Onlinemedien hat der Markt für Online-
werbung immer mehr an Bedeutung gewonnen. Charakteristisch für diesen
Markt, im Gegensatz zu klassischen Märkten im Print- oder Rundfunkbereich, ist
die zentrale Rolle von Agenturen, die zwischen den Werbenden und den Weban-
geboten, auf denen Werbung geschaltet wird, vermitteln und dafür eigene Infra-
struktur einsetzen. Infolgedessen ist es im Regelfall für diejenigen, die eine Web-
seite betreiben, nicht mehr im Einzelnen nachvollziehbar oder steuerbar, wer dort
Werbung betreibt.
Dieser Umstand wird bereits seit einiger Zeit zur Verbreitung von Schadsoftware
(„Malware“) ausgenutzt. Diese Methode wird auch als „Malvertising“ bezeich-
net. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt
das Problem in einer Pressemitteilung vom 29. März 2017 im Zusammenhang mit
einem Angriff auf den Deutschen Bundestag wie folgt:
„Häufig wird derartige Schadsoftware verwendet, um Daten auszuspionieren
oder Schaden auf dem Zielrechner zu verursachen. Eine der Hauptursachen für
diese sogenannten Drive-by-Angriffe sind schädliche Werbebanner. Diese wer-
den von unbekannten Dritten bereitgestellt oder von Agenturen vermarktet und
werden häufig ohne Überprüfung oder Qualitätskontrolle in eine Webseite einge-
bunden. Auf diese Weise werden auch populäre und ansonsten gut abgesicherte
Webseiten Ausgangspunkt von Cyber-Angriffen.“
Nach übereinstimmenden Berichten ist in den letzten Jahren eine quantitative
Zunahme dieses Phänomens zu beobachten. Die Bundesregierung hat im Okto-
ber 2016 erklärt, keine konkreten Erkenntnisse über das Ausmaß des Problems
zu haben (Bundestagsdrucksache 18/10115, Antwort zu Frage 17), allerdings
stellt das BSI in seinem Bericht zur Lage der IT-Sicherheit in Deutschland 2016
fest, dass Quelle von Links auf Schadprogramme „immer öfter Werbebanner“
sind (S. 18). Der weltweit durch Malvertising verursachte Schaden soll sich
Schätzungen zufolge zudem auf ca. 1 Mrd. US-Dollar pro Jahr summieren
(www.darkreading.com/endpoint/june-was-worst-month-of-malvertising-ever/
d/d-id/1321717, Dezember 2015).
Eine zuverlässige Methode zum Schutz vor Malvertising ist die Verwendung so-
genannter Ad-Blocker, also Software, die die Anzeige von über Drittserver auf
Webseiten eingebundener Werbung im Browser unterbindet. Allerdings prüft die
Bundesregierung gemeinsam mit den Ländern derzeit ein gesetzliches Verbot ge-
nau dieser Art von Software (vgl. Bundestagsdrucksache 18/10115). Eine ab-
schließende Beurteilung der Bedeutung von Ad-Blockern beim Schutz vor Schad-
software ist der Bundesregierung nach eigener Aussage nicht möglich (Bundes-
tagsdrucksache 18/10115, Antwort zu Frage 17).
Drucksache 18/12392 – 2 – Deutscher Bundestag – 18. Wahlperiode
Wir fragen die Bundesregierung:
1. Welche Erkenntnisse hat die Bundesregierung über das Ausmaß an Malver-
tising, den dadurch in Deutschland entstehenden Schaden und dessen zeitli-
cher Entwicklung?
a) Welche Erkenntnisse hat die Bundesregierung insgesamt über den durch
Schadsoftware entstehenden Schaden?
b) Welche Erkenntnisse hat die Bundesregierung über den Anteil, den Mal-
vertising als Ausliefermethode für Schadsoftware ausmacht, und dessen
zeitlicher Entwicklung?
c) Welche Erkenntnisse hat die Bundesregierung über das Ausmaß an Mal-
vertising im Mobilbereich und dessen Entwicklung?
d) Sieht die Bundesregierung die Notwendigkeit, sich mehr Informationen
über das Ausmaß des Problems anzueignen, und wenn ja, welche Schritte
wird sie dafür unternehmen?
2. Welche Erkenntnisse hat die Bundesregierung über durch Malvertising ent-
stehenden Schaden im Bereich der öffentlichen Verwaltung, und welche
Vorfälle sind ihr dort bekannt?
3. Welche Erkenntnisse hat die Bundesregierung darüber, dass es sich bei dem
Angriff auf die IT des Deutschen Bundestages Anfang des Jahres 2017, bei
dem über eine Nachrichtenseite auf eine schädliche Drittseite verlinkt wurde
(siehe Pressemitteilung des BSI vom 29. März 2017), um einen Fall von Mal-
vertising handelt?
4. Welche Empfehlungen gibt das BSI zum Schutz vor Malvertising heraus?
5. In welcher Form und mit welchem Ergebnis ist der BSI-Expertenkreis Cy-
ber-Sicherheit mit dem Thema Malvertising befasst?
6. Existieren weitere Aktivitäten oder Untersuchungen seitens des BSI, die
Malvertising bzw. Schutzmaßnahmen dagegen zum Gegenstand haben, und
wenn ja, welche?
7. Welche Empfehlungen gibt das BSI zum Einsatz von Ad-Blockern aus und
hat es in der Vergangenheit herausgegeben?
8. Welche Maßnahmen werden im Bereich der öffentlichen Verwaltung zum
Schutz vor Malvertising getroffen?
9. Existieren über die Antworten zu den Fragen 4 bis 8 hinaus gegenwärtige
oder geplante Maßnahmen der Bundesregierung, die den Schutz vor Malver-
tising zum Gegenstand haben, und wenn ja, welche?
10. Welche Anhaltspunkte hat die Bundesregierung dafür, davon auszugehen,
„dass die Werbewirtschaft und die Anbieter von mit Werbung finanzierten
Online-Inhalten darauf achten, dass die Nutzer durch die Übermittlung von
Werbung nicht geschädigt werden“ (Bundestagsdrucksache 18/10115, Ant-
wort zu Frage 17)?
11. Welche konkreten gegenwärtigen oder geplanten Maßnahmen seitens der
Werbewirtschaft oder von Anbietern werbefinanzierter Online-Inhalte zum
Schutz vor Malvertising sind der Bundesregierung bekannt, und wie schätzt
sie deren Wirksamkeit ein?
12. Sind der Bundesregierung Standards, Handlungsempfehlungen oder Selbst-
verpflichtungen für die Werbewirtschaft und/oder Anbieter werbefinanzier-
ter Online-Inhalte zum Schutz vor Malvertising bekannt, und wenn ja, wie
beurteilt sie diese?
13. Sieht die Bundesregierung politischen Handlungsbedarf zur Eindämmung
von Malvertising, und wenn ja, in welcher Form?
Deutscher Bundestag – 18. Wahlperiode – 3 – Drucksache 18/12392
14. Ist der Bundesregierung nach wie vor keine abschließende Beurteilung der
Bedeutung von Ad-Blockern beim Schutz vor Schadsoftware möglich (Bun-
destagsdrucksache 18/10115, Antwort zu Frage 17)?
a) Strebt die Bundesregierung an, zu einer solchen Beurteilung zu gelangen?
b) Teilt die Bundesregierung die Auffassung, dass eine solche Beurteilung
zwangsläufige Voraussetzung einer gesetzlichen Regulierung von Ad-
Blockern wäre?
c) Inwieweit ist das BSI in die laufenden Prüfungen über ein Verbot von Ad-
Blockern einbezogen?
15. Welche Haftungsregelungen gelten für durch Malvertising verursachte Schä-
den?
a) Unter welchen Voraussetzungen müsste ein Seitenbetreiber oder eine
Agentur dafür haften, dass über ihre Dienste Malvertising ausgeliefert
wurde?
b) Sind der Bundesregierung Fälle bekannt, in denen ein Haftungsanspruch
erhoben oder erfolgreich durchgesetzt wurde?
c) Welche Hindernisse sieht die Bundesregierung für die Durchsetzung der-
artiger Ansprüche?
d) Sieht die Bundesregierung in dieser Frage Regelungsbedarf, und wenn ja,
welchen?
Berlin, den 15. Mai 2017
Dr. Sahra Wagenknecht, Dr. Dietmar Bartsch und Fraktion
Satz: Satzweiss.com Print, Web, Software GmbH, Mainzer Straße 116, 66121 Saarbrücken, www.satzweiss.com
Druck: Printsystem GmbH, Schafwäsche 1-3, 71296 Heimsheim, www.printsystem.de
anzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de