Digital
Wir verwenden Cookies und Analysetools, um die Nutzerfreundlichkeit der Internetseite zu verbessern und passende Werbung von watson und unseren Werbepartnern anzuzeigen. Weitere Infos findest Du in unserer Datenschutzerklärung.

Im Darknet floriert der Handel mit gefährlichen Sicherheitslücken für Handys und PCs. 7 krasse Zahlen und Fakten

Software-Schwachstellen, die sich für Computer-Einbrüche eignen, sind begehrt bei Kriminellen und Geheimdiensten. Der Schweizer IT-Sicherheitsexperte Marc Ruef gibt Einblick ins millionenschwere Exploits-Business.



Im Darknet wird nicht nur mit Kinderpornos und Drogen gedealt. Sehr begehrt sind auch Informationen zu Sicherheitslücken, die sich für Einbrüche in Computersysteme verwenden lassen. Sogenannte Exploits.

Am begehrtesten (und teuersten) sind Zero Day Exploits («0-Days»). Das sind Schwachstellen in Betriebssystemen und anderer Software, die besonders wertvoll sind, weil sie niemand kennt und es darum noch keinen Schutz gibt.

Mit solchen Schwachstellen lässt sich viel Schaden anrichten:

Schmutzige Tricks

Verborgen auf einem unbekannten Server, nur erreichbar über die Anonymisierungs-Software Tor, liegt The Real Deal. Über den Schwarzmarkt wurden vor allem Angriffswerkzeuge für kriminelle Hacker verkauft, wie die «Zeit» 2015 berichtete.
Die Website mit der «.onion»-Adresse galt als gute Anlaufstelle für Verkäufer und Käufer von Exploits. Doch nach wenigen Monaten Präsenz verschwand die Site spurlos, um einige Monate später wieder aufzutauchen. Über die Gründe könne nur spekuliert werden, sagt der Darknet-Kenner Marc Ruef. «Fachpresse und Vertreter der Industrie werfen den Machern vor, einen sogenannten ‹Exit Scam› vollzogen und mit dem Geld noch nicht vollzogener Transaktionen geflohen zu sein.»

Laut Marc Ruef floriert der Exploits-Handel im Darknet. Der ehemalige Hacker und IT-Sicherheitsexperte spricht von einem explosionsartigen Wachstum, was die Zahl der verfügbaren Exploits wie auch die verlangten Preise betreffe. Das theoretische Marktvolumen sei 2015 auf schätzungsweise 155 Millionen Dollar gewachsen.

Bild

Von der Idee bis zum ausführbaren Tool ist es ein weiter Weg. Dafür winken je nach Angriffsziel grosse Summen.
grafik: scip ag

Zu den zahlungskräftigsten Abnehmern der digitalen «Waffen» gehören die Geheimdienste. Allen voran die US-Amerikaner sowie despotische Staaten im Nahen und Fernen Osten.

Aber auch die Europäer beteiligen sich rege am Exploits-Business. Letzten November machte das Nachrichtenmagazin «Spiegel» publik, dass der deutsche Bundesnachrichtendienst (BND) bis 2020 für 4,5 Millionen Euro Zero Day Exploits kaufen wolle.

Diktatoren und Saubermänner

Rund um die Exploits hat sich ein starker Industrie-Zweig entwickelt. Private Sicherheitsfirmen entwickeln Software-Tools, die sie für viel Geld an Abnehmer rund um den Globus verkaufen können.

Der renommierte US-Autor James Bamford hat gerade unter dem Titel The Espionage Economy im «Foreign Policy»-Blog einen lesenswerten Beitrag über den kommerziellen Markt für Spionage-Software publiziert. Darin geht es um schmutzige Geschäfte mit Diktatoren und Saubermännern.

Solche Werkzeuge ermöglichten es Regierungen erst, die eigenen Bürger und diejenigen anderer Staaten zu überwachen. Bamford komme daher zum naheliegenden Schluss, dass der Markt strikter kontrolliert und reguliert werden sollte, fasst netzpolitik.org zusammen.

So laufen die Deals ab

Wie Marc Ruef in einem Beitrag zu seinen Darknet-Recherchen schildert, laufen Exploit-Deals in der Regel gestaffelt ab:

Ruef hat mit Kollegen vom IT-Beratungsunternehmen Scip AG ein Modell entwickelt, um die Preisentwicklung von Exploits zu berechnen. Dazu werden verschiedenste Faktoren berücksichtigt.

«Wir gehen von einem 0-day Exploit aus, dessen Schwachstelle und Existenz nicht bekannt ist. Er wird exklusiv und einmalig verkauft, bis die Schwachstelle publik oder ein alternativer Exploit herausgegeben wird. Sobald diese Exklusivität verloren geht, wird ein tagesaktueller Preis erzeugt. Dieser ist von Ereignissen (Bekanntwerden der Schwachstelle, alternativer Exploit verfügbar, Gegenmassnahme veröffentlicht) und der zeitlichen Entwicklung abhängig.»

Marc Ruef über das Modell zur Exploits-Preisentwicklung.
quelle: scip ag

Das Modell sei in den letzten Jahren weiter verfeinert worden und erlaube es mittlerweile, die Preise relativ genau vorauszusagen. Für watson hat Ruef spannende Entwicklungen zu den Smartphones und PC-Systemen in den folgenden Grafiken zusammengefasst.

So viel sind die gefährlichsten Schwachstellen (Zero Day Exploits) wert

Bild

RCE-Exploits erlauben das (heimliche) Ausführen von bösartigen Programmen auf fremden Computersystemen.
bild: scip ag

«Acrobat»-Exploits sind am günstigsten, iPhone-Exploits gehen richtig ins Geld

Bild

Zero-Day Exploits: Die Preisspanne ist riesig. Mit Abstand am teuersten/wertvollsten sind iPhone-Lücken.
grafik: scip ag

Laut Ruef sind Exploits am wertvollsten, wenn sie dem Angreifer erlauben, unbemerkt fremden Code über eine Netzwerkverbindung auszuführen, wenn also kein physischer Zugang nötig ist.

«Wir gehen davon aus, dass hier Android massiv aufholen wird in den kommenden fünf Jahren.»

Marc Ruef, IT-Sicherheitsexperte

2016 dürften erstmals 1,5 Millionen Dollar für einen iPhone-Exploit bezahlt werden

Bild

iPhone-Exploits: Die Kurve zur Preisentwicklung steigt an, dieses Jahr dürften erstmals 1,5 Millionen Dollar für einen Exploit bezahlt werden, der Angreifern Zugriff auf fremde Geräte ermöglicht.
grafik: scip ag

Auf dem Graumarkt gibt's nur wenige hochklassige Exploits, hingegen sehr viel «Schrott»

Bild

Im Top-Segment gibt es nur wenige Exploits, die den Entwicklern über 100'000 Dollar einbringen.
infografik: scip ag

Android ist stärker verbreitet, doch iPhone-Exploits sind viel wertvoller

Bild

iOS (iPhone) dominiert seit nunmehr drei Jahren das oberste Preissegment, die Preise sind massiv gestiegen. Für das weitverbreitete Google-System Android sind sie hingegen nur langsam angestiegen. «Wir gehen davon aus, dass hier Android massiv aufholen wird in den kommenden fünf Jahren», sagt Ruef.
grafik: scip ag

Der Markt für Windows-Exploits hat sich seit Windows XP massiv verändert

Bild

Die Preise für die verschiedenen Windows-Versionen sind ab 2013 massiv gestiegen, bewegen sich aber – im Vergleich mit iPhone-Exploits – auf relativ tiefem Niveau.
grafik: scip ag

«Extrem schlechte Idee»

Abschliessend gilt festzuhalten, dass Software-Schwachstellen im Prinzip alle Nutzer von Smartphones und Computern bedrohen. Den Markt für Exploits zu unterstützen, sei aus staatlicher Sicht eine extrem schlechte Idee, meint Michael Waidner, Leiter des Fraunhofer-Instituts für Sichere Informationstechnologie. Jede Lücke sei für die Bürger, Behörden und Unternehmen ein grosses Risiko, da niemand wisse, wer alles das Know-how um die Schwachstellen kaufe.

So richtig ins öffentliche Bewusstsein gelangte das fragwürdige Millionen-Geschäft letztes Jahr durch den erfolgreichen Hackerangriff auf die italienische Sicherheitsfirma The Hacking Team

Hacker-News auf watson

«Ihr habt nicht begriffen, wie das Internet funktioniert!» – ein Student zeigt, wie leicht wir im Netz überwacht werden

Link zum Artikel

«Ich bin schon in mehrere Atomkraftwerke eingebrochen»

Link zum Artikel

Das sind die 10 gefährlichsten Programme, die du auf deinem Windows-PC oder Mac haben kannst

Link zum Artikel

«Wenn ich eine andere Identität vortäusche, kann ich in das Leben einer Person eindringen»

Link zum Artikel

Was passiert, wenn Autos gehackt werden? Hacker zielen auf neuartige Sicherheitslücken

Link zum Artikel
Alle Artikel anzeigen

Die 25 spannendsten Gadgets, die du 2016 kaufen kannst

Du hast watson gern?
Sag das doch deinen Freunden!
Mit Whatsapp empfehlen

So überwacht uns der Staat

Wo war Herr Glättli die letzten sechs Monate? Minute für Minute, Ort für Ort? Swisscom oder Sunrise wissen es, Sie wissen es jetzt – und der Staat kann es jederzeit wissen

Link zum Artikel

Was der Staat von Ihrem Smartphone will. Und wann. Und weshalb.

Link zum Artikel

«Es ist nur eine Frage der Zeit, bis der Bund auch Telefongespräche und SMS speichern will»

Link zum Artikel

«Dass die Speicherung von Handydaten nichts bringt, ist kompletter Unsinn»

Link zum Artikel

Das Beziehungsnetz: Wer ist beruflich wichtig, wer ist verwandt? Mit wem hat Herr Glättli wirklich viel zu tun?

Link zum Artikel

Wie der Staat Daten «wegen Terror» abgreift – und uns eigentlich bloss komplett verarscht

Link zum Artikel

Die Kapo Bern hat bald ein teures neues Abhörsystem. Aber der eigentliche Skandal dahinter ist die Beschaffung

Link zum Artikel

Die vergessenen Jahre des Terrors: In den 70ern und 80ern zogen Terroristen eine Blutspur durch Europa

Link zum Artikel

Wenn Sie immer noch glauben, Datenschutz sei nur für Menschen, die etwas zu verbergen haben, bitte hier weiterlesen

Link zum Artikel

Die unsäglich peinliche Geschichte der gehackten Hacker (und Kapo-ZH-Lieferanten) in 25 Tweets erzählt

Link zum Artikel

Diese Politiker sorgten sich eben noch um unsere Privatsphäre – und sagen jetzt trotzdem Ja zu mehr Überwachung

Link zum Artikel

Fremde Geheimdienste sollen die Leitungen von Swisscom und Co. angezapft haben. Das musst du wissen

Link zum Artikel

Polizei und Staat wollen Sie im Internet umfassend überwachen. Jeder zweite Schweizer sagt «Nein, danke!»

Link zum Artikel
Alle Artikel anzeigen

Das könnte dich auch interessieren:

CVP fährt grosse Negativ-Kampagne gegen andere Parteien – die Reaktionen sind heftig

Link zum Artikel

Wo du in dieser Saison Champions League und Europa League sehen kannst

Link zum Artikel

Migros Aare baut rund 300 Arbeitsplätze ab

Link zum Artikel

Eine Untergrund-Industrie plündert Banking-Apps wie Revolut – so gehen die Betrüger vor

Link zum Artikel

YB droht Bickel mit Gericht, nachdem er als Sportchef 40 Mio. verlochte

Link zum Artikel

Warum wir bald wieder über den Schweizer Pass reden werden

Link zum Artikel

«Ich hatte Sex mit dem Ex meiner besten Freundin…»

Link zum Artikel

Die amerikanische Agentin, die Frankreichs Résistance aufbaute

Link zum Artikel

Matheproblem um die Zahl 42 geknackt

Link zum Artikel

Wie gut kennst du dich in der Schweiz aus? Diese 11 Rätsel zeigen es dir

Link zum Artikel

«In der Schweiz gibt es zu viel Old Money und zu wenig Smart Money»

Link zum Artikel

So schneiden die Politiker im Franz-Test ab – wärst du besser?

Link zum Artikel

Röstigraben im Bundeshaus: «Sobald ich auf Deutsch wechsle, sinkt der Lärm um 10 Dezibel»

Link zum Artikel

So erklärt das OK der Hockey-WM in der Schweiz die Ähnlichkeit zum Tim-Hortons-Spot

Link zum Artikel

Die Geschichte von «Ausbrecherkönig» Walter Stürm und seinem traurigen Ende

Link zum Artikel

«Informiert euch!»: Greta liest den Amerikanern bei Trevor Noah die Leviten

Link zum Artikel

Keine Angst vor Freitag, dem 13.! Diese 13 Menschen haben bereits alles Pech aufgebraucht

Link zum Artikel

Der Kampf einer indonesischen Insel gegen den Plastik

Link zum Artikel

«Ich bin … wie soll ich es sagen … so ein bisschen ein Arschloch-Spieler»

Link zum Artikel

Alles, was du über die neuen iPhones und den «Netflix-Killer» von Apple wissen musst

Link zum Artikel

15 Bilder, die zeigen, wie wunderschön und gleichzeitig brutal die Natur ist

Link zum Artikel

Shaqiri? Xhaka? Von wegen! Zwei Torhüter sind die besten Schweizer bei «FIFA 20»

Link zum Artikel
Alle Artikel anzeigen

Abonniere unseren Newsletter

5
Bubble Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 48 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
5Alle Kommentare anzeigen
    Alle Leser-Kommentare
  • Alnothur 28.01.2016 02:47
    Highlight Highlight "sogenannte Exploits" sind übrigens nicht die Sicherheitslücken, sondern Code, bzw. ein bestimmtes Vorgehen, sie auszunützen. Eine Sicherheitslücke an sich ist nämlich erstmal ziemlich nutzlos.
  • malu 64 27.01.2016 17:16
    Highlight Highlight Viele Behörden operieren mit
    Acrobate updates! Also Vorsicht!
  • malu 64 27.01.2016 15:58
    Highlight Highlight Das Darknet ist nicht nur eine
    Handelsplattform. Hier können sich Leute ungestört austauschen
    ohne dass jemand mithört!
    Hier herrscht absolute Meinungsfreiheit.
  • Pjotr 27.01.2016 14:49
    Highlight Highlight Auch hier: Apple mal wieder völlig überteuert.
  • Gantii 27.01.2016 14:23
    Highlight Highlight es sollte illegal sein, steuergelder für jegliche exploits (nicht nur 0-day) auszugeben.

Lauschangriff auf Donald Trumps Handy – ausgerechnet Israel soll ihn bespitzelt haben

Rund ums Weisse Haus in Washington D.C. wurden IMSI-Catcher gefunden ...

Das US-Magazin Politico hat am Donnerstag mit einem Exklusivbericht für Aufregung gesorgt. Die US-Regierung sei zum Schluss gekommen, dass höchstwahrscheinlich Israel hinter einem Lauschangriff auf Donald Trump stecke.

Es seien Mobiltelefon-Überwachungsgeräte gefunden worden, in der Nähe des Weissen Hauses und anderer sensibler Orte um Washington, D.C. Dies hätten drei Quellen, frühere hochrangige US-Beamte mit Insider-Informationen bestätigt. Der Lauschangriff sei in den letzten zwei …

Artikel lesen
Link zum Artikel