Hackerpreisliste: so viel zahlen NSA und Co für iOS-Zero-Day Exploit

Doch Zerodium-Gründer und CEO Chaouki Bekrar bricht jetzt das Schweigen. Bekrar hat dem Magazin Wired mitgeteilt, dass man eine Preisliste veröffentlicht hat. "Die erste Regel des Zero-Dark-Business ist, nie die Preise öffentlich zu diskutieren," so Bekrar. "Aber wissen Sie was: Wir werden unsere Akquisitionspreisliste veröffentlichen." Kurz darauf hatte Wired die Preisliste in der Hand und Zerodium die Preise öffentlich zugänglich auf der Webseite. Die NSA braucht die Preisliste nicht - sie kennen die marktüblichen Preise für eine Hack bestens. Dank Zerodium kennen wir sie nun auch.

Das zahlt die Branche

Nun ist das natürlich nur ein PR-Stunt, damit das noch junge Unternehmen Zerodium ins Gerede kommt. Für Otto-Normal-Verbraucher ist die Liste aber überaus interessant. Denn sie zeigt, was die Branche bereit ist für Schwachstellen zu zahlen. Die Kopfgelder für Sicherheitslücken gehen in die Hunderttausende. Genauer gesagt ist der höchste Preis ein Exploit für Apples mobiles Betriebssystem iOS. Zerodium verkauft eine solche Lücke für schlappe 500.000 US-Dollar.

Zero Day Exploits für Windows Phone oder für Android sind dagegen billig zu haben - mit 100.000 US-Dollar ist man mit dabei. Und jetzt fallen die Preise: Sicherheitslücken in Acrobat Reader, Googles Webbrowser Chrome oder dem Flash Player gibt es für 80.000 US-Dollar. Andere Browser-Lücken (IE, Edge, Firefox, Safari oder Tor) werden mit 30.000 US-Dollar berechnet. Günstige Angriffsziele (5.000 US-Dollar) sind vBulletin, Drupal, Wordpress und MyBB.

Zu den Kunden von Zerodium gehören laut Angabe von CEO Chaouki Bekrar übrigens "große und namenhafte Unternehmen aus dem Verteidigungs-, Technik- und Finanzsektor". Dabei kauft Zerodium die Lücken auf und gibt sie explizit nicht an die verantwortlichen Unternehmen weiter, was dem ganzen Zero-Day Broker-Geschäft ein sehr verruchtes Image gibt.

Der 1 Mio-Dollar Hack

Zerodium hatte bereits vor kurzem Schlagzeilen gemacht, als man öffentlich ein Preisgeld von einer Million US-Dollar für einen Exploit von iOS 9.1 ausgelobt hatte. Das Geld soll Anfang November nach langem Wettstreit zwischen zwei Hacker-Teams ausgezahlt worden sein. Das perfide an dem eingekauften Exploit: Die Angreifer können damit Spy-Software auf einem iPhone installieren - voll automatisiert einfach über den Besuch einer speziell manipulierten Webseite. Der Angriff startet über den Browser, wo unbemerkt ein Jailbreak durchgeführt und dann anschließend eine App installiert wird.

Siehe auch: Unmoralisches Angebot: 1 Mio. Dollar für iOS 9-Exploit sind geboten