Ein funktionierender Zero-Day-Exploit für iOS kostet 2026 zwischen 2 und 5 Millionen US-Dollar auf dem grauen Markt. Für Android liegt der Preis bei 1 bis 3 Millionen. Windows-Kernel-Exploits werden für 500.000 bis 1,5 Millionen gehandelt. Diese Zahlen stammen nicht aus Gerüchten, sondern aus den öffentlich einsehbaren Preislisten von Brokern wie Zerodium und Crowdfense.
Warum die Preise explodieren
Die Preise steigen aus drei Gründen:
- Bessere Verteidigung: Apple, Google und Microsoft investieren massiv in Exploit-Mitigation. Memory Safety Languages (Rust), Hardware-Features (PAC, MTE auf ARM), Sandboxing und Lockdown-Modi machen Exploits aufwändiger.
- Höhere Nachfrage: Staatliche Akteure (Geheimdienste, Strafverfolgung, Militär) sind die grössten Käufer. Der Markt wird von mindestens 40 Staaten aktiv bedient.
- Weniger Angebot: Top-Researcher verkaufen bevorzugt an Bug-Bounty-Programme (Apple: bis 2 Mio USD, Google: bis 1 Mio USD). Der graue Markt muss höher bieten.
Die Käufer
Der Zero-Day-Markt hat drei Ebenen:
- Legaler Markt: Bug-Bounty-Programme von Apple, Google, Microsoft, HackerOne, Bugcrowd. Transparent, legal, aber oft niedrigere Preise.
- Grauer Markt: Broker wie Zerodium, Crowdfense, Operation Zero (Russland). Verkaufen an staatliche Kunden, oft mit Exportbeschränkungen. Legal in vielen Jurisdiktionen, ethisch umstritten.
- Schwarzer Markt: Darknet-Foren, direkte Verkäufe an cyberkriminelle Gruppen. Illegal, aber lukrativ.
Was das für Unternehmen bedeutet
Zero-Days sind primär ein staatliches Problem (Spionage, Überwachung). Aber: Wenn ein Exploit erst einmal im Umlauf ist, taucht er oft innerhalb von Monaten in kriminellen Toolkits auf. Der Zyklus verkürzt sich.
Die Verteidigung gegen Zero-Days basiert nicht auf Patching (der Patch existiert ja noch nicht), sondern auf:
- Defense in Depth: Mehrere Verteidigungsschichten, damit ein einzelner Exploit nicht ausreicht.
- Anomalie-Erkennung: EDR/XDR, die ungewöhnliches Verhalten erkennen, auch wenn der Exploit unbekannt ist.
- Netzwerk-Monitoring: Ungewöhnlicher Datenabfluss, laterale Bewegung, Command-and-Control-Kommunikation.
- Minimale Angriffsfläche: Nicht benötigte Dienste deaktivieren, Least Privilege konsequent durchsetzen.
Der Zero-Day-Markt wird nicht verschwinden. Aber die Verteidigung wird besser. Das ist ein Wettrüsten, und aktuell gewinnt die Defensive langsam an Boden.
Quellen: Zerodium Price List, Crowdfense Vulnerability Research Hub, Google Project Zero Annual Review 2025, Citizen Lab Reports.