Ein Trenchant-Manager verkauft acht gestohlene Spionage-Werkzeuge für 1,3 Millionen Dollar in Kryptowährung an einen russischen Käufer. Ein Broker aus Dubai bietet bis zu sieben Millionen Dollar für eine funktionierende iPhone-Kette. Ein zweiter Broker verspricht 20 Millionen Dollar für denselben Exploit-Typ, wird aber kurz darauf vom US-Finanzministerium sanktioniert. Das ist kein Drehbuch, sondern der Zero-Day-Exploit-Markt im Jahr 2026, dokumentiert in Gerichtsakten, Sanktionslisten und Preislisten, die drei Firmen selbst veröffentlicht haben: Zerodium, Crowdfense und Operation Zero.
Diese drei Namen tauchen seit Jahren in Sicherheitsberichten auf, doch kaum ein Artikel stellt sie nebeneinander und rechnet ihre Preise, Kundenkreise und rechtlichen Risiken direkt gegeneinander auf. Genau das macht dieser Vergleich: mit echten Preislisten, einem dokumentierten Straffall und der Frage, was die Existenz dieses Marktes für Unternehmen, Sicherheitsforscher und Behörden in Deutschland bedeutet.
Was sind Zero-Day-Broker und warum zahlen sie Millionen?
Ein Zero-Day-Exploit ist eine Schwachstelle, für die der Hersteller noch keinen Patch veröffentlicht hat. Wer sie findet, kann sie dem betroffenen Unternehmen melden, an einem Wettbewerb wie Pwn2Own vorführen oder sie verkaufen. Zerodium, Crowdfense und Operation Zero haben sich auf die dritte Option spezialisiert: Sie kaufen funktionierende Exploit-Ketten exklusiv auf und reichen sie an zahlende Kunden weiter, meist Regierungsbehörden, Nachrichtendienste oder Strafverfolger.
Der Unterschied zu einem Bug-Bounty-Programm ist fundamental. Bei HackerOne oder einem herstellereigenen Programm fließt die gefundene Lücke zurück an den Hersteller, der sie schließt. Bei einem Exploit-Broker bleibt die Lücke offen, denn genau das macht den Exploit für den Käufer wertvoll. Je länger eine Schwachstelle unentdeckt bleibt, desto länger funktioniert das gekaufte Werkzeug. Diese Logik erklärt, warum die Preise in den vergangenen Jahren so stark gestiegen sind: iPhone- und Android-Ketten sind durch jahrelange Hardening-Maßnahmen von Apple und Google so selten geworden, dass laut einem TechCrunch-Bericht von April 2024 inzwischen ganze Teams statt einzelner Forscher an einer einzigen funktionierenden Kette arbeiten.
Wichtig für die Einordnung: Keiner der drei Broker veröffentlicht vollständige, geprüfte Bücher. Die Zahlen in diesem Artikel stammen aus eigenen Preislisten der Firmen, aus Gerichtsunterlagen und aus Recherchen von TechCrunch, BleepingComputer und Wired. Wo eine Zahl nicht unabhängig bestätigt ist, wird das im Text so benannt.
Der Markt ist älter, als die drei Firmennamen vermuten lassen. Schon vor Zerodiums Gründung 2015 kauften Geheimdienste wie die NSA über eigene Programme und externe Zulieferer Exploits ein, meist ohne jede öffentliche Preisliste. Was sich seit 2015 geändert hat, ist die Sichtbarkeit: Erst Zerodium, dann Crowdfense und zuletzt Operation Zero begannen, Höchstpreise aktiv zu bewerben, auch als Marketinginstrument gegenüber Forschern. Der Leak der sogenannten Shadow Brokers 2016, bei dem mutmaßlich NSA-eigene Exploit-Werkzeuge öffentlich im Netz auftauchten, zeigte zusätzlich, wie gefährlich es wird, wenn ein Akteur mit Zugriff auf solche Werkzeuge selbst zur Schwachstelle wird, ein Muster, das sich im Fall Williams fast zehn Jahre später bei einem privaten Rüstungsdienstleister wiederholte.
Zerodium im Profil: der Pionier aus Washington D.C.
Zerodium wurde 2015 von Chaouki Bekrar gegründet, einem französisch-algerischen Sicherheitsforscher, der zuvor die Firma Vupen aufgebaut hatte. Das Unternehmen hat seinen Sitz nach eigenen und mehrfach berichteten Angaben in Washington D.C. und war die erste der drei Firmen, die öffentlich eine Preisliste für Exploits veröffentlichte, lange bevor Crowdfense oder Operation Zero überhaupt existierten.
Historisch zahlte Zerodium für eine vollständige iOS-Kette ohne Nutzerinteraktion bis zu 2,5 Millionen Dollar, für eine vergleichbare Android-Kette ähnliche Summen und für eine Chrome-Kette mit Sandbox-Escape rund 250.000 Dollar. Das sind die höchsten öffentlich dokumentierten Werte aus Zerodiums eigenen Preislisten; eine aktuelle, für 2026 bestätigte Vollliste mit Preisen für WhatsApp, Signal oder Windows liegt nicht vor, weshalb dieser Artikel an den entsprechenden Stellen bewusst “nicht aktuell veröffentlicht” statt einer geschätzten Zahl einträgt.
Bekrar war schon vor Zerodium keine unbekannte Figur in der Branche. Mit seiner vorherigen Firma Vupen hatte er bereits Exploits an Regierungskunden verkauft und geriet wiederholt in die Kritik, weil Vupen explizit damit warb, gefundene Lücken nicht an Hersteller wie Google oder Microsoft zu melden. Zerodium setzte dieses Geschäftsmodell nach der Gründung 2015 nur konsequenter und öffentlicher fort: Schon im ersten Jahr bot die Firma eine Million Dollar für eine funktionierende iPhone-Kette, ein Betrag, der zu diesem Zeitpunkt als branchenweiter Rekord galt und erst Jahre später von Crowdfense und Operation Zero überboten wurde.
Zerodium beschreibt seine Kundschaft als Regierungsinstitutionen, Sicherheitsbehörden und Strafverfolger vor allem in Nordamerika und Europa und schließt nach eigener Aussage Privatpersonen sowie bestimmte sanktionierte Staaten aus. Eine unabhängig geprüfte, vollständige Kundenliste gibt es nicht, und Berichte von Intelligence Online aus dem Jahr 2024 über eine mögliche Einstellung der operativen Tätigkeit sind bislang nicht unabhängig bestätigt. Reporter ohne Grenzen hat das Unternehmen wiederholt auf eine Liste von Organisationen gesetzt, die Pressefreiheit nach eigener Einschätzung gefährden, weil ungepatchte Schwachstellen auch Journalisten treffen können, wenn sie in die falschen Hände geraten. Eine Zusammenfassung der Firmengeschichte und der RSF-Einordnung findet sich im Wikipedia-Eintrag zu Zerodium.
Crowdfense im Profil: der stille Riese aus Dubai
Crowdfense sitzt in den Vereinigten Arabischen Emiraten und positioniert sich als der finanzkräftigste der drei Broker. Die Firma veröffentlichte 2019 eine erste öffentliche Preisliste mit einem Höchstwert von drei Millionen Dollar für Android- und iOS-Exploits. Fünf Jahre später, im April 2024, zeigte eine aktualisierte Liste laut einem TechCrunch-Bericht über steigende Exploit-Preise bereits fünf bis sieben Millionen Dollar für iPhone-Ketten, bis zu fünf Millionen Dollar für Android, bis zu drei Millionen Dollar für Chrome, bis zu 3,5 Millionen Dollar für Safari und drei bis fünf Millionen Dollar für WhatsApp und iMessage.
Berichte aus dem Jahr 2026 beschreiben ein Beschaffungsbudget von rund 30 Millionen Dollar für das Jahr 2024 sowie einzelne Exploit-Ketten, deren Preis sich der Zehn-Millionen-Marke näherte. Andere Quellen nennen sogar Einzelangebote von bis zu 15 Millionen Dollar für besonders komplexe Ketten. Beide Zahlen stammen aus Sekundärberichten und nicht aus einer offiziellen, geprüften Bilanz, sollten also als “berichtet”, nicht als bestätigte Fakten gelesen werden.
Crowdfense wird in der Berichterstattung mit Regierungskunden, Nachrichtendiensten, Verteidigungsorganisationen und kommerziellen Spyware-Herstellern in Verbindung gebracht. Eine überprüfbare, vollständige Kundenliste veröffentlicht die Firma nicht, und Analysten zitieren in Presseberichten sogar die Einschätzung, Crowdfenses öffentliche Preise lägen eher unter dem tatsächlichen Marktniveau, nicht darüber.
Im Unterschied zu Zerodium tritt Crowdfense deutlich seltener in öffentlichen Interviews auf und meidet aktive Marketingkampagnen gegenüber einzelnen Forschern. Die Firma wirkt dadurch professioneller organisiert, was auch erklärt, warum sie in Presseberichten regelmäßig als derzeit finanzstärkster Akteur der drei verglichenen Broker genannt wird, selbst wenn Zerodium die längere Firmengeschichte und Operation Zero die höheren einzelnen Preisangebote vorweisen kann.
Operation Zero im Profil: der sanktionierte Akteur aus Russland
Operation Zero ist der jüngste der drei Broker. Die Firma wurde 2021 gegründet und operiert nach Angaben von BleepingComputer über die Rechtseinheit Matrix LLC mit Sitz in St. Petersburg. Gründer ist Sergey Sergejewitsch Selenjuk. Operation Zero positioniert sich offen als Gegenentwurf zu den westlich orientierten Konkurrenten: Die Firma verkauft nach eigener Aussage ausschließlich an russische Behörden und Unternehmen außerhalb der NATO.
2023 kündigte Operation Zero an, bis zu 20 Millionen Dollar für iPhone- und Android-Exploits zu zahlen, mehr als das Vierfache von Zerodiums historischem Höchstwert. TechCrunch merkte in seiner Berichterstattung von April 2024 an, dass dieser Betrag durch den Krieg in der Ukraine künstlich nach oben getrieben sein könnte, weil russische Käufer aufgrund von Sanktionen kaum noch Zugang zu westlichen Brokern haben und deshalb bereit sind, Aufpreise zu zahlen. Im März 2025 folgte eine detailliertere Preisliste speziell für Telegram, dokumentiert in einem TechCrunch-Vergleich der drei Broker-Preislisten: bis zu 500.000 Dollar für eine Remote-Code-Execution mit einem Klick, bis zu 1,5 Millionen Dollar für eine Zero-Click-Komponente und bis zu vier Millionen Dollar für eine vollständige Zero-Click-Kette.
Am 25. Februar 2026 sanktionierte das US-Finanzministerium über sein Office of Foreign Assets Control (OFAC) Matrix LLC alias Operation Zero sowie Selenjuk persönlich. Es war laut TechCrunchs Berichterstattung über die Treasury-Sanktionen die erste Durchsetzungsmaßnahme überhaupt unter dem Protecting American Intellectual Property Act (PAIPA). Mitsanktioniert wurden die Scheinfirma Special Technology Services LLC in den Vereinigten Arabischen Emiraten, mehrere mit Selenjuk verbundene Personen sowie die neu gegründete Konkurrenzfirma Advance Security Solutions, die seit August 2025 ähnliche Preise wie Operation Zero anbot.
Spezifikationen im Vergleich: alle drei Broker nebeneinander
Die folgende Tabelle fasst die wichtigsten überprüfbaren Eckdaten der drei Firmen zusammen. Felder ohne belastbare Quelle sind als solche markiert, statt eine Zahl zu erfinden. Wer die drei Spalten von links nach rechts liest, erkennt ein klares Muster: Mit zunehmendem Gründungsjahr steigen die beworbenen Preise, während die Transparenz über Eigentümerstruktur und tatsächliche Kundschaft gleichzeitig abnimmt.
| Merkmal | Zerodium | Crowdfense | Operation Zero |
|---|---|---|---|
| Gründungsjahr | 2015 | Erste Preisliste 2019 | 2021 |
| Sitz | Washington D.C., USA | Dubai, Vereinigte Arabische Emirate | St. Petersburg, Russland (über Matrix LLC) |
| Bekannte Gründerperson | Chaouki Bekrar | Nicht öffentlich bestätigt | Sergey Sergejewitsch Selenjuk |
| Geschäftsmodell | Exklusivkauf, Weitergabe an Behördenkunden | Exklusivkauf mit mehrstelligem Millionenbudget | Exklusivkauf, Fokus auf nicht-westliche Käufer |
| Angegebene Zielkundschaft | Westliche Regierungen, Strafverfolger | Regierungen, Nachrichtendienste, Spyware-Firmen | Ausschließlich russische Behörden/Firmen |
| Sanktionsstatus (Stand Okt. 2026) | Keine bekannten US-Sanktionen | Keine bekannten US-Sanktionen | Von OFAC sanktioniert seit 25.02.2026 |
| Höchster öffentlich belegter Preis | ca. 2,5 Mio. $ (iOS-Kette, historisch) | 5 bis 7 Mio. $ (iPhone, 2024) | bis zu 20 Mio. $ (iOS/Android, 2023) |
| Letzte öffentliche Preisaktualisierung | Nicht aktuell für 2026 veröffentlicht | April 2024 | März 2025 (Telegram) |
| Offenlegung an Hersteller | Keine Verpflichtung, Lücken bleiben meist offen | Keine Verpflichtung | Keine Verpflichtung |
| Bekanntester dokumentierter Vorfall | Wiederholte RSF-Kritik an der Preisstrategie | Berichtetes 30-Mio.-$-Beschaffungsbudget 2024 | Kauf gestohlener Trenchant-Exploits für 1,3 Mio. $ |
| Reaktion von Zivilgesellschaft/Behörden | Eintrag auf RSF-Liste seit 2020 | Teil der EU-Debatte um Spyware-Lieferketten | Gegenstand der ersten PAIPA-Sanktion der USA |
Preisliste 2026: was ein iPhone- oder Telegram-Exploit kostet
Keine der drei Firmen veröffentlicht eine vollständige, aktuelle Preistabelle für jede Plattform. Die folgende Übersicht kombiniert deshalb die jeweils letzten öffentlich bestätigten Werte aus Firmenangaben, TechCrunch- und BleepingComputer-Berichten. Lücken sind bewusst als solche ausgewiesen.
| Kategorie | Zerodium | Crowdfense | Operation Zero |
|---|---|---|---|
| iPhone/iOS, Zero-Click-Kette | bis 2,5 Mio. $ (historisch) | 5 bis 7 Mio. $ (2024) | bis 20 Mio. $ (2023, laut Bericht kriegsbedingt ggf. überhöht) |
| Android, Zero-Click-Kette | bis 2,5 Mio. $ (historisch) | bis 5 Mio. $ (2024) | gleiche Kategorie wie iOS, bis 20 Mio. $ |
| WhatsApp / iMessage | Nicht aktuell veröffentlicht | 3 bis 5 Mio. $ (2024) | Nicht veröffentlicht |
| Telegram, vollständige Kette | Nicht veröffentlicht | Nicht veröffentlicht | bis 4 Mio. $ (März 2025) |
| Telegram, Zero-Click-Baustein | – | – | bis 1,5 Mio. $ |
| Telegram, One-Click-RCE | – | – | bis 500.000 $ |
| Chrome, RCE plus Sandbox-Escape | rund 250.000 $ (letzter bekannter Wert) | bis 3 Mio. $ (2024) | Nicht veröffentlicht |
| Safari | Nicht veröffentlicht | bis 3,5 Mio. $ (2024) | Nicht veröffentlicht |
| Vergleichswert Android/iOS 2019 | – | max. 3 Mio. $ (eigene Liste 2019) | – |
| Berichtetes Jahresbudget für Ankäufe | Nicht veröffentlicht | rund 30 Mio. $ (2024, laut Presseberichten) | Nicht veröffentlicht |
Auffällig ist die Verschiebung zwischen den Kategorien: Während Messenger-Apps wie Telegram noch vor wenigen Jahren als Nebenschauplatz galten, verlangt Operation Zero inzwischen für eine vollständige Telegram-Kette fast so viel wie Zerodium einst für eine komplette iPhone-Übernahme zahlte. Das zeigt, wie stark sich Verschlüsselung und App-Sicherheit bei Messengern seit 2019 verbessert haben, denn die Preise steigen in der Regel genau dort, wo Angriffe am schwersten geworden sind.
Technische Anatomie: warum eine Zero-Click-Kette Millionen wert ist
Die Preisunterschiede in der Tabelle oben wirken auf den ersten Blick willkürlich, folgen aber einer klaren technischen Logik. Ein Exploit-Broker bewertet drei Faktoren: wie viele Schritte eine Kette braucht, wie viel Nutzerinteraktion sie erfordert und wie lange sie unentdeckt funktioniert.
Eine Zero-Click-Kette auf einem modernen iPhone besteht in der Regel aus mehreren einzelnen Bugs, die nacheinander ausgenutzt werden müssen: ein erster Fehler, um überhaupt Code im Kontext einer App wie iMessage oder einer Foto-Bibliothek auszuführen, ein zweiter, um aus der Sandbox dieser App auszubrechen, und oft ein dritter, um dauerhaften Zugriff auf dem Gerät zu behalten, ohne dass ein Neustart die Infektion beendet. Jeder dieser Bausteine ist einzeln schon wertvoll, aber nur die vollständige Kette rechtfertigt die Preise im siebenstelligen Bereich. Das erklärt auch, warum Apples Lockdown-Modus so wirksam ist: Er deaktiviert gezielt genau jene Funktionen, über die solche Ketten typischerweise einsteigen, etwa die automatische Verarbeitung unbekannter Dateiformate in Nachrichten.
Bei Messengern wie Telegram verschiebt sich die Komplexität von der Plattform auf die Anwendung selbst. Operation Zeros dreistufige Telegram-Preisliste aus dem März 2025 bildet genau diese Stufen ab: Eine Remote-Code-Execution mit einem Klick ist am billigsten, weil das Opfer noch aktiv auf einen Link oder eine Datei tippen muss. Eine Zero-Click-Komponente, die ohne jede Interaktion funktioniert, kostet bereits das Dreifache. Die vollständige Kette, die zusätzlich dauerhaften Zugriff und das Umgehen von Telegrams eigener Sandbox einschließt, erreicht schließlich die vier Millionen Dollar. Dieselbe Preislogik lässt sich bei jeder der drei Firmen beobachten, auch wenn nicht jede sie so offen in Einzelkomponenten aufschlüsselt wie Operation Zero.
Preisentwicklung seit 2019: drei Berichte, ein klarer Trend
Drei unabhängig voneinander erschienene Recherchen zeichnen dieselbe Kurve nach oben. TechCrunch dokumentierte im April 2024, dass Crowdfenses eigene Preisliste von 2019 noch einen Höchstwert von drei Millionen Dollar für Android- und iOS-Exploits auswies, während die 2024er-Liste bereits fünf bis sieben Millionen Dollar erreichte, mehr als eine Verdopplung in fünf Jahren. Im August 2025 berichtete TechCrunch über einen neuen Marktteilnehmer, Advance Security Solutions aus den Vereinigten Arabischen Emiraten und Usbekistan, der zum Marktstart direkt 15 Millionen Dollar für Android und iPhone sowie 20 Millionen Dollar für ein Werkzeug anbot, das jedes beliebige Smartphone-Betriebssystem kompromittieren kann, zusätzlich 10 Millionen Dollar für Windows, 5 Millionen Dollar für Chrome und 2 Millionen Dollar je für Telegram, Signal und WhatsApp.
Der dritte Datenpunkt kommt indirekt aus der Sanktionsmeldung von BleepingComputer vom Februar 2026: Genau diese Firma, Advance Security Solutions, wurde wenige Monate nach ihrem aggressiven Markteinstieg gemeinsam mit Operation Zero sanktioniert, weil sie laut US-Behörden mit denselben Personen verbunden war. Die drei Berichte zusammen ergeben ein Muster, das sich auch ohne eine einzelne, zentrale Marktstatistik belegen lässt: Die Einstiegspreise für mobile Zero-Day-Ketten haben sich zwischen 2019 und 2025 grob verfünffacht, und jeder neue Marktteilnehmer unterbietet die Konkurrenz nicht, sondern überbietet sie.
Eine belastbare Schätzung zur Gesamtgröße des grauen Marktes gibt es nicht. Was öffentlich bekannt ist, sind einzelne Beschaffungsbudgets und Höchstpreise, keine geprüfte Bilanzsumme der Branche. Jede Aussage über einen Gesamtmarktwert in Milliardenhöhe sollte entsprechend vorsichtig gelesen werden. Belastbar ist dagegen die Richtung: Jeder der drei dokumentierten Datenpunkte zeigt steigende statt fallende Preise, und kein Bericht der vergangenen Jahre deutet auf eine Marktberuhigung hin, selbst nach den Sanktionen gegen Operation Zero und Advance Security Solutions.
Fünf reale Fälle, die den Markt prägen
Fall eins: Peter Williams und die gestohlenen Trenchant-Exploits
Der bislang konkreteste Beweis dafür, wie dieser Markt tatsächlich funktioniert, kommt nicht von einem der drei Broker selbst, sondern aus einem US-Gerichtsverfahren. Peter Williams, 39, Australier und ehemaliger General Manager von Trenchant, der auf Exploit-Entwicklung spezialisierten Sparte des US-Rüstungskonzerns L3Harris, gestand, acht Zero-Day-Exploits gestohlen zu haben, die exklusiv für die US-Regierung und verbündete Nachrichtendienste entwickelt worden waren. Er verkaufte sie für rund 1,3 Millionen Dollar in Kryptowährung an Operation Zero. Im Oktober 2025 legte er ein Geständnis ab, am 24. Februar 2026 wurde er laut BleepingComputers Bericht über die Sanktionen und das Urteil zu 87 Monaten Haft verurteilt.
Besonders brisant an diesem Fall ist die Funktion, die Williams bei Trenchant innehatte: Als General Manager hatte er legalen, alltäglichen Zugriff auf genau jene Werkzeuge, die er später verkaufte. Es handelte sich also nicht um einen externen Hacking-Angriff auf Trenchant, sondern um einen Vertrauensbruch von innen, durch eine Führungskraft mit Sicherheitsfreigabe. Für jedes Unternehmen, das selbst offensive Sicherheitsforschung betreibt oder mit Behörden im Bereich Cyberabwehr zusammenarbeitet, ist das der eigentliche Weckruf: Technische Schutzmaßnahmen allein reichen nicht, wenn die größte Bedrohung von einer Person mit regulärer Zugriffsberechtigung ausgeht.
Fall zwei: die OFAC-Sanktionen gegen Matrix LLC
Am Tag nach dem Williams-Urteil verhängte das US-Finanzministerium Sanktionen gegen Matrix LLC alias Operation Zero, gegen Gründer Selenjuk sowie gegen die Scheinfirma Special Technology Services in den Vereinigten Arabischen Emiraten. Zusätzlich wurden mehrere Einzelpersonen sanktioniert, darunter Selenjuks Assistentin Marina Jewgenjewna Wassanowitsch und der mutmaßliche Trickbot-Akteur Oleg Wjatscheslawowitsch Kutscherow, was zeigt, wie eng Exploit-Handel, Ransomware-Infrastruktur und Cybercrime-Netzwerke inzwischen personell verflochten sein können. Rechtliche Grundlage war der Protecting American Intellectual Property Act, kurz PAIPA, der genau für solche Fälle geschaffen wurde: den Diebstahl und Weiterverkauf geistigen Eigentums durch ausländische Akteure zu sanktionieren, ohne ein klassisches Strafverfahren gegen jede beteiligte Person im Ausland führen zu müssen. Die Sanktion friert sämtliche in den USA gehaltenen Vermögenswerte der genannten Personen und Firmen ein und setzt jedes US-Unternehmen, das dennoch mit ihnen Geschäfte macht, dem Risiko eigener Sekundärsanktionen aus.
Fall drei: Advance Security Solutions als Blaupause für schnelle Sanktionierung
Advance Security Solutions startete im August 2025 mit den höchsten öffentlich beworbenen Preisen der Branche und behauptete, mit mehr als 25 Regierungen zusammenzuarbeiten, blieb aber bei Eigentümerstruktur und Finanzierung bewusst intransparent. Keine sechs Monate später stand die Firma auf derselben Sanktionsliste wie Operation Zero. Nach Angaben von BleepingComputer soll Advance Security Solutions von Azizjon Makhmudovich Mamashoyev mitgegründet worden sein, einer Person, die die US-Behörden ebenfalls mit dem Operation-Zero-Netzwerk in Verbindung bringen. Ein Wired-Bericht über ein in freier Wildbahn gefundenes iPhone-Hacking-Werkzeug ordnete die gestohlenen Trenchant-Fähigkeiten zusätzlich in den größeren Kontext der Sanktionen ein. Der Fall zeigt, wie schnell US-Behörden inzwischen bereit sind, neue Marktteilnehmer zu sanktionieren, sobald eine personelle Verbindung zu bereits bekannten Akteuren nachweisbar ist, selbst wenn die neue Firma erst wenige Monate am Markt war.
Fall vier: Ahmed Mansoor und die Trident-Kette
Der emiratische Menschenrechtsverteidiger Ahmed Mansoor wurde 2016 mit einer iOS-Exploit-Kette angegriffen, die von Citizen Lab unter dem Namen Trident dokumentiert wurde und zu einem Notfall-Patch von Apple führte. Die Kette kam über eine einfache SMS mit einem Link, ein Muster, das heute durch Zero-Click-Techniken längst abgelöst wurde, aber damals ausreichte, um Mansoors Gerät vollständig zu kompromittieren. Der Fall belegt keine direkte Transaktion mit einem der drei hier verglichenen Broker, zeigt aber, wie Exploits aus demselben Marktsegment am Ende bei Zivilpersonen statt bei Kriminellen oder Terroristen landen können, dem offiziell genannten Haupteinsatzzweck solcher Werkzeuge.
Fall fünf: das Pegasus Project und journalistische Zielpersonen
Die internationale Rechercheallianz Pegasus Project und Amnesty International dokumentierten 2021 gemeinsam, dass Spyware auf Basis von Zero-Day-Ketten gegen Journalisten, Anwälte und Personen aus dem Umfeld des getöteten Journalisten Jamal Khashoggi eingesetzt wurde, ebenso gegen mehrere mexikanische Journalisten und Aktivisten. Die Liste der analysierten Telefonnummern umfasste nach Angaben der Rechercheallianz mehrere Tausend Einträge aus über fünfzig Ländern, auch wenn nur ein Teil davon forensisch als tatsächlich infiziert bestätigt werden konnte. Auch hier lässt sich keine einzelne Transaktion zu Zerodium, Crowdfense oder Operation Zero zurückverfolgen, doch die Fälle markieren das Ende der Lieferkette, die am Anfang bei genau solchen Exploit-Käufen steht.
Broker-Handel vs. Bug Bounty: wie sich die Modelle unterscheiden
Shattered.io hat Plattformen wie Pwn2Own, HackerOne und die herstellereigenen Programme von Google, Microsoft und Apple bereits in eigenen Vergleichen eingeordnet. Der entscheidende Unterschied zu Zerodium, Crowdfense und Operation Zero liegt nicht im Preis, sondern im Zweck der Offenlegung.
| Merkmal | Exploit-Broker (Zerodium, Crowdfense, Operation Zero) | Bug-Bounty-Plattform (z. B. HackerOne, Pwn2Own) |
|---|---|---|
| Hauptzweck | Beschaffung offensiver Fähigkeiten für ausgewählte Kunden | Finden und Schließen von Schwachstellen |
| Offenlegung an Hersteller | Meist keine oder stark verzögert | Koordinierte Offenlegung, danach Patch |
| Transparenz der Regeln | Preislisten teils öffentlich, Käufer vertraulich | Regeln, Zielsysteme und Preisgelder öffentlich |
| Typische Zahlung | Ein bis zwanzig Mio. $, exklusivitätsabhängig | Einige Tausend bis niedrige Millionenbeträge je Kategorie |
| Sicherheitsanreiz | Belohnt das Offenhalten einer Lücke | Belohnt das Melden und Schließen einer Lücke |
Diese Logik hat eine direkte praktische Konsequenz für Hersteller: Jede Firma, die eigene Software betreibt, konkurriert faktisch mit Zerodium, Crowdfense und Operation Zero um die Aufmerksamkeit von Sicherheitsforschern. Zahlt ein Bug-Bounty-Programm deutlich weniger als der graue Markt für eine vergleichbare Lücke, steigt der Anreiz, die Lücke stattdessen zu verkaufen, selbst wenn der Forscher persönlich lieber den legalen Weg ginge. Google, Microsoft und Apple haben ihre eigenen Prämien in den vergangenen Jahren deshalb mehrfach erhöht, auch als direkte Reaktion auf die veröffentlichten Broker-Preislisten.
Unternehmen, die verhindern wollen, dass eigene Forscher oder externe Hinweisgeber überhaupt in Versuchung geraten, an einen Broker zu verkaufen, sollten einen klaren, leicht auffindbaren Meldeweg anbieten. Der offene Standard RFC 9116 sieht dafür eine einfache Textdatei vor, die unter der Adresse /.well-known/security.txt erreichbar ist:
# /.well-known/security.txt
Contact: mailto:[email protected]
Expires: 2027-10-11T00:00:00.000Z
Encryption: https://beispielfirma.de/pgp-key.txt
Preferred-Languages: de, en
Policy: https://beispielfirma.de/responsible-disclosure
Acknowledgments: https://beispielfirma.de/security/hall-of-fameEine solche Datei kostet nichts, signalisiert aber jedem Finder sofort, dass ein legaler, oft sogar bezahlter Meldeweg existiert, bevor er überhaupt nach einem Broker sucht.
Wer kauft und wer verkauft? Fünf Anwendungsfälle und Risikogruppen
Der Markt betrifft weit mehr Akteure, als die drei Firmennamen zunächst vermuten lassen. Die folgenden fünf Gruppen tauchen in den recherchierten Fällen am häufigsten auf, jeweils mit einem eigenen Risikoprofil.
- Staatliche Nachrichtendienste: Nutzen Broker, um gezielte Überwachung durchzuführen, ohne eigene Exploit-Entwicklung aufbauen zu müssen. Das spart Jahre an internem Aufbau, ist in vielen Ländern rechtlich reguliert, aber kaum öffentlich kontrollierbar, weil Beschaffung und Einsatz meist klassifiziert bleiben.
- Verteidigungsunternehmen und Auftragnehmer wie L3Harris/Trenchant: Tragen das größte Insider-Risiko, wie der Fall Williams zeigt. Wer selbst offensive Werkzeuge für Regierungskunden entwickelt, sitzt auf einem Lagerbestand, der auf dem freien Markt siebenstellige Summen wert ist. Zugriff auf solche Exploits muss deshalb strikter kontrolliert werden als normale Quellcode-Zugriffe, inklusive Transaktionsüberwachung bei Kryptowährungen.
- Sicherheitsforscher vor der Entscheidung Bug Bounty oder Verkauf: Ein Verkauf an einen Broker kann kurzfristig mehr zahlen als jedes Bug-Bounty-Programm, ist aber je nach Käufer rechtlich riskant und ethisch umstritten, insbesondere seit der ersten PAIPA-Sanktion gegen Operation Zero im Februar 2026. Wer heute an einen Broker verkauft, kann morgen rückwirkend Geschäftspartner eines sanktionierten Unternehmens sein.
- CISOs und Unternehmens-IT: Sollten Preisanstiege bei bestimmten Plattformen als Frühwarnsignal lesen. Steigt der Broker-Preis für eine Kategorie wie Telegram oder iMessage, deutet das auf gestiegene Schutzreife hin, aber zugleich auf einen wachsenden finanziellen Anreiz, genau dort weiterzusuchen, was Patch-Priorität für diese Systeme erhöhen sollte.
- Journalisten, Anwälte und Menschenrechtsorganisationen: Zählen laut Pegasus Project und Citizen Lab zu den am häufigsten dokumentierten zivilen Zielgruppen, obwohl sie offiziell nicht die Zielkundschaft der Broker sind. Für diese Gruppe sind Mobile Threat Defense und Betriebssystem-eigene Schutzmodi keine Kür, sondern die wichtigste verfügbare Verteidigungslinie.
Vorteile und Nachteile: Zerodium, Crowdfense und Operation Zero im Abgleich
Aus Sicht eines Sicherheitsforschers, der rein ökonomisch denkt, unterscheiden sich die drei Broker deutlich in Zahlungsbereitschaft, rechtlichem Risiko und Reputationsschaden.
- Zerodium – Vorteil: längste Marktgeschichte, dadurch eingespielte Abläufe und ein gewisser Ruf der Verlässlichkeit innerhalb der Branche.
- Zerodium – Nachteil: im Vergleich zu den beiden jüngeren Konkurrenten inzwischen die niedrigeren öffentlich bekannten Höchstpreise.
- Crowdfense – Vorteil: nach Berichten das größte verfügbare Ankaufsbudget und die aktuellste vollständige Preisliste der drei Firmen.
- Crowdfense – Nachteil: Sitz in den Vereinigten Arabischen Emiraten erschwert westlichen Forschern eine klare rechtliche Einschätzung der Käuferkette.
- Operation Zero – Vorteil: mit Abstand die höchsten beworbenen Preise im Markt.
- Operation Zero – Nachteil: als erste Firma überhaupt unter dem PAIPA sanktioniert, jeder bestätigte Verkauf an das Unternehmen ist seit Februar 2026 ein handfestes rechtliches Risiko für US-Personen und potenziell für EU-Bürger mit US-Bezug.
In der Summe zeigt der Abgleich, dass sich Zahlungsbereitschaft und rechtliche Sicherheit bei allen drei Firmen gegenläufig verhalten. Je aggressiver ein Broker seine Preise bewirbt, desto eher gerät er auch in den Fokus von Sanktionsbehörden, wie die parallele Sanktionierung von Operation Zero und dem erst Monate zuvor gestarteten Advance Security Solutions zeigt. Für Forscher, die ausschließlich auf den höchsten Preis schauen, bedeutet das ein strukturelles Risiko, das keine der drei Preislisten offenlegt.
Migrationsguide: von reaktivem Patch-Management zu proaktiver Zero-Day-Abwehr
Unternehmen können die Existenz dieses Marktes nicht abschalten, aber sie können die eigene Angriffsfläche so verkleinern, dass ein Millionen-Dollar-Exploit wirtschaftlich unattraktiv wird. Der folgende Ablauf beschreibt den Wechsel von einem rein reaktiven Patch-Zyklus zu einer Verteidigung, die auf das Vorhandensein dieses Marktes eingestellt ist.
- Asset-Inventar erstellen: Jedes internetexponierte System und jede mobile Flotte erfassen, bevor man über Exploit-Risiken spricht. Ohne diese Grundlage lässt sich keine der folgenden Maßnahmen sinnvoll priorisieren.
- Patch-Fenster verkürzen: kritische Lücken innerhalb von 72 Stunden statt der oft üblichen 30 Tage schließen, besonders bei Software, die in den Preislisten der Broker auftaucht, also mobilen Betriebssystemen, Browsern und verschlüsselten Messengern.
- Mobile Threat Defense einführen: Smartphones von Führungskräften, Anwälten und Pressesprechern gelten laut Pegasus Project als bevorzugte Ziele und sollten eine eigene, strengere Schutzstufe erhalten als normale Mitarbeitergeräte.
- Lockdown- und erweiterte Schutzmodi aktivieren: Apples Lockdown-Modus und Googles erweiterter Schutz für Android reduzieren gezielt die Angriffsfläche für genau die Exploit-Kategorien, die in den Preislisten am teuersten gehandelt werden, auf Kosten einiger Komfortfunktionen.
- Threat-Intelligence-Feeds abonnieren: Dienste, die Broker-Preisänderungen und neue Sanktionslisten auswerten, liefern ein datenbasiertes Frühwarnsystem, mit dem sich Patch-Prioritäten objektiver setzen lassen als über Bauchgefühl.
- Insider-Risiko bei eigener Exploit-Entwicklung begrenzen: Wer wie Trenchant offensive Werkzeuge entwickelt, braucht getrennte Zugriffsrechte, Exportkontrolle und Monitoring auf Kryptowährungs-Transaktionen bei Schlüsselpersonal, denn der Fall Williams zeigt, dass klassische Background-Checks allein nicht ausreichen.
- Eigenes Vulnerability-Disclosure-Programm mit security.txt veröffentlichen: So haben interne wie externe Finder einen legalen, dokumentierten Meldeweg, bevor sie überhaupt auf die Idee kommen, einen Broker zu kontaktieren.
- Incident-Response-Retainer abschließen: Eine forensische Firma mit Erfahrung in mobiler Spyware-Forensik sollte schon vor einem Verdachtsfall unter Vertrag stehen, denn Pegasus- und Trident-artige Infektionen hinterlassen Spuren, die ohne spezialisierte Werkzeuge leicht übersehen werden.
Rechtlicher Rahmen: EU-Parlament, PEGA-Ausschuss und die Haltung des BSI
Als Reaktion auf den Pegasus-Skandal richtete das Europäische Parlament den PEGA-Untersuchungsausschuss ein, der den Einsatz kommerzieller Spyware gegen Journalisten, Anwälte, Oppositionspolitiker und Beamte in mehreren Mitgliedstaaten aufarbeitete und am Ende strengere Exportkontrollen, richterliche Genehmigungspflichten und mehr Transparenz für Spyware-Anbieter forderte. Das Parlament hat wiederholt klargestellt, dass das Horten und Handeln von Zero-Day-Schwachstellen die Sicherheit der Kommunikation aller EU-Bürger systematisch schwächt, unabhängig davon, wer am Ende Kunde ist.
Das deutsche Bundesamt für Sicherheit in der Informationstechnik betrachtet nicht offengelegte Schwachstellen und deren Lagerhaltung grundsätzlich als Risiko für die Informationssicherheit, ist aber keine Zulassungsbehörde für einzelne Exploit-Geschäfte privater Firmen. Eine eigene BSI-Empfehlung, die gezielt Zerodium, Crowdfense oder Operation Zero benennt, existiert nicht. Die klarste belastbare Aussage auf EU-Ebene bleibt damit die PEGA-Position: Der Handel mit Zero-Days gefährdet strukturell alle, nicht nur die eigentlichen Zielpersonen eines Angriffs.
Für Unternehmen in Deutschland, Österreich und der Schweiz ergibt sich daraus eine zweigeteilte Verantwortung. Zum einen unterliegt der Export bestimmter Überwachungs- und Exploit-Technologien ohnehin der europäischen Dual-Use-Verordnung, die eine Genehmigung verlangt, sobald eine Software zur heimlichen Überwachung von Informationssystemen eingesetzt werden kann. Zum anderen schützt diese Regulierung nicht automatisch vor dem eigentlichen Risiko, nämlich davon betroffen zu sein, wenn ein auf dem grauen Markt gehandelter Exploit gegen eigene Mitarbeiter, Anwälte oder Führungskräfte eingesetzt wird. Die PEGA-Ausschussarbeit und die wiederholten Warnungen des BSI zu ungepatchten Schwachstellen laufen hier auf dieselbe praktische Konsequenz hinaus: Regulierung auf Beschaffungsseite ersetzt keine eigene Verteidigung auf Zielseite.
Das Fazit: wer zahlt am meisten, und was das für Unternehmen bedeutet
Gemessen an den öffentlich belegten Höchstpreisen liegt Operation Zero mit bis zu 20 Millionen Dollar für mobile Zero-Click-Ketten klar vorn, gefolgt von Crowdfense mit fünf bis sieben Millionen Dollar und Zerodium mit historisch bis zu 2,5 Millionen Dollar. Gemessen am rechtlichen Risiko kippt die Reihenfolge jedoch komplett: Operation Zero ist seit dem 25. Februar 2026 sanktioniert, die erste Firma überhaupt unter dem neuen PAIPA-Gesetz, während gegen Zerodium und Crowdfense keine vergleichbaren US-Sanktionen bekannt sind.
Für Sicherheitsforscher bedeutet das: Der höchste Preis ist nicht automatisch das beste Angebot, wenn ein Käufer wenige Monate später auf einer Sanktionsliste landet und jede vorherige Transaktion rückwirkend zum juristischen Problem werden kann. Für Unternehmen bedeutet es, dass die eigene Angriffsfläche in exakt den Kategorien am härtesten verteidigt werden muss, für die die Broker am meisten zahlen: mobile Betriebssysteme und verschlüsselte Messenger. Und für Behörden in Deutschland und der EU bleibt die zentrale Lehre aus dem Fall Williams, dass die größte Gefahr nicht zwingend von außen kommt, sondern von gut bezahlten Insidern mit legalem Zugriff auf eigentlich geschützte Werkzeuge.
Für IT-Verantwortliche in DACH-Unternehmen lässt sich daraus eine klare Reihenfolge ableiten: Zuerst die eigene Exposition in den teuersten Kategorien reduzieren, also mobile Endgeräte und Messenger-Infrastruktur, danach einen dokumentierten Meldeweg für Schwachstellen einrichten, und erst danach auf Bedrohungsdaten zu einzelnen Brokern schauen. Keine der drei Firmen wird verschwinden, nur weil ein Unternehmen sie ignoriert, aber jedes Unternehmen kann verhindern, in den eigenen Reihen zum nächsten Fall Williams zu werden oder auf der Opferliste eines Pegasus-artigen Angriffs zu landen.
Häufig gestellte Fragen
Was ist ein Zero-Day-Exploit-Broker?
Ein Zero-Day-Exploit-Broker kauft funktionierende Angriffswerkzeuge für noch nicht öffentlich bekannte Schwachstellen exklusiv von Sicherheitsforschern und verkauft sie an eigene Kunden weiter, meist staatliche Stellen. Zerodium, Crowdfense und Operation Zero sind die drei bekanntesten Firmen dieser Art.
Ist der Verkauf von Zero-Day-Exploits legal?
Das hängt vom Land, vom Käufer und vom Herkunftsweg des Exploits ab. Der Verkauf selbst entwickelter Forschung an einen Broker ist in vielen Ländern nicht grundsätzlich strafbar, kann aber durch Exportkontrollen wie die europäische Dual-Use-Verordnung eingeschränkt sein, sobald die Software zur heimlichen Überwachung von Informationssystemen eingesetzt werden kann. Sobald der Exploit aus Diebstahl stammt oder der Käufer sanktioniert ist, wie im Fall Williams und Operation Zero, wird aus dem Geschäft unabhängig vom Exportrecht eine Straftat.
Wer kauft Exploits von Zerodium, Crowdfense und Operation Zero?
Nach eigenen Angaben vor allem Regierungsbehörden, Nachrichtendienste und Strafverfolger. Zerodium und Crowdfense nennen überwiegend westlich orientierte Staaten als Zielkundschaft, Operation Zero wirbt dagegen offen um russische Behörden und Unternehmen außerhalb der NATO. Eine unabhängig geprüfte, vollständige Kundenliste veröffentlicht aber keine der drei Firmen, weshalb sich einzelne Käufer in der Regel nicht öffentlich nachweisen lassen.
Warum wurde Operation Zero von den USA sanktioniert?
Das US-Finanzministerium sanktionierte am 25. Februar 2026 die Rechtseinheit Matrix LLC alias Operation Zero sowie Gründer Sergey Selenjuk, nachdem bekannt wurde, dass die Firma gestohlene, exklusiv für die US-Regierung entwickelte Exploits von Peter Williams gekauft hatte. Es war die erste Sanktion überhaupt unter dem Protecting American Intellectual Property Act.
Wie unterscheidet sich dieser Markt von Bug-Bounty-Programmen wie HackerOne oder Pwn2Own?
Bug-Bounty-Programme belohnen das Melden einer Lücke an den Hersteller, der sie danach schließt. Exploit-Broker belohnen das Geheimhalten der Lücke, weil ihr Kunde sie weiter nutzen will. Beide Modelle zahlen teils ähnlich hohe Summen für vergleichbare Lückentypen, verfolgen damit aber ein komplett entgegengesetztes Sicherheitsziel: Patchen auf der einen Seite, Offenhalten auf der anderen.
Wie hoch sind die höchsten bekannten Preise für Zero-Day-Exploits?
Der höchste öffentlich beworbene Preis stammt von Operation Zero mit bis zu 20 Millionen Dollar für eine vollständige iPhone- oder Android-Zero-Click-Kette, angekündigt 2023. Crowdfense bot 2024 fünf bis sieben Millionen Dollar für dieselbe Kategorie, Zerodium historisch bis zu 2,5 Millionen Dollar.
Was können Unternehmen tun, um sich vor Angriffen aus diesem Markt zu schützen?
Kurzfristig helfen verkürzte Patch-Fenster, Mobile Threat Defense und aktivierte Schutzmodi wie Apples Lockdown-Modus oder Googles erweiterter Schutz für Android, gerade für Personen mit erhöhtem Risikoprofil wie Führungskräfte, Anwälte oder Pressesprecher. Mittelfristig zählen ein eigenes Vulnerability-Disclosure-Programm mit security.txt, Threat-Intelligence-Feeds, die Broker-Preisentwicklungen auswerten, und ein Incident-Response-Retainer mit forensischer Erfahrung in mobiler Spyware-Analyse zu den wirksamsten Maßnahmen.
Ist Pegasus von NSO Group direkt mit Zerodium, Crowdfense oder Operation Zero verbunden?
Eine direkte, belegte Transaktion zwischen NSO Group und einem der drei hier verglichenen Broker ist öffentlich nicht dokumentiert. Die Fälle Mansoor und Pegasus Project zeigen aber denselben grundsätzlichen Mechanismus: ein über den grauen Markt beschaffter oder intern entwickelter Zero-Day-Exploit, der am Ende bei zivilen Zielpersonen landet statt ausschließlich bei den offiziell genannten Zielgruppen.
