Die „Hire a Hacker“-Ökonomie: meistens Betrug, einige Verurteilungen und verzweifelte Käufer
Sucht man jemanden, der ein E-Mail-Konto hackt, sieht das Ergebnis aus wie eine funktionierende Branche: polierte Landingpages, Live-Chat-Mitarbeiter, Fünf-Sterne-Testimonials, Preistabellen für Gmail, Facebook, Instagram und WhatsApp. Akademische Tests und investigative Recherchen erzählen eine andere Geschichte. Die meisten dieser Anbieter kassieren die Zahlung und tun nichts, eine kleine Zahl liefert genau das Versprochene, und die Käufer - Menschen, die den Posteingang des Partners lesen, ein verlorenes Konto wiederherstellen oder eine Note ändern wollen - haben keine Möglichkeit, sie zu unterscheiden, bevor Geld fließt.
Was passiert, wenn man tatsächlich bezahlt
Das klarste Bild liefern Forscher, die als Kunden auftraten. Eine Studie von Mirian und Kollegen aus dem Jahr 2019 kontaktierte 27 Hack-for-Hire-Dienste im Kundengewand und stellte fest: Nur 5 unternahmen überhaupt einen Versuch, 3 lieferten funktionierende Zugangsdaten, und 3 waren reiner Betrug - bezahlt und verschwunden. Die Durchschnittspreise lagen zwischen rund 100 und 500 Dollar. Der genannte Preis für ein Gmail-Konto stieg binnen zwei Jahren von etwa 123 auf 384 Dollar, und Konten mit Zwei-Faktor-Authentifizierung wurden mit rund dem Doppelten bezahlt - etwa 307 gegen 690 Dollar. Ein wiederkehrender Trick in der Studie: Der Anbieter zeigt dem Käufer einen verschlüsselten Hash als "Beweis" für den Zugang und verlangt dann eine zusätzliche Gebühr, um ihn zu "entschlüsseln". Der Hash ist gefälscht, und der Zugang ebenfalls. Das Volumen ist bescheiden. Über rund sieben Monate der Studie kontaktierten die Anbieter 372 verschiedene Konten - etwa 13 pro Woche in der gesamten getesteten Grundgesamtheit. Das ist keine industrielle Operation; es ist ein Streuschwarm kleiner Betrügereien gegen Menschen, die per Definition leicht aus Scham zum Schweigen zu bringen sind. Die Preisleiter und die Rückerstattung, die nie kommt
Die Preisleiter ist bei allen Anbietern gleich: E-Mail-Konten für einige hundert Dollar, soziale Medien etwas teurer, "schwierige" Ziele mit Zwei-Faktor-Authentifizierung nahe der Spitze und ein Menü von Zusatzgebühren, das nur wächst - Carrier-Gebühren, Entschlüsselungsgebühren, eine "letzte Entsperrgebühr". Bezahlt wird im Voraus, meist in Krypto oder mit Geschenkkarten. Jede zusätzliche Gebühr ist klein genug, um billiger zu erscheinen, als das bereits ausgegebene Geld aufzugeben - die klassische Advance-Fee-Struktur. Eine Rückerstattung gibt es nicht, weil es keinen Streitkanal gibt: Wer sich beschwert, gibt zu, ein Verbrechen in Auftrag gegeben zu haben. Was Käufer tatsächlich verlieren, geht über die Gebühr hinaus. Sie übergeben dem Anbieter die E-Mail-Adresse oder Telefonnummer des Ziels sowie ihre eigenen Kontaktdaten und Zahlungsspuren und schaffen damit einen Beleg dafür, dass sie jemanden überwachen oder in Konten eindringen lassen wollten. Dieser Beleg kann weiterverkauft werden, in einem späteren Datenleck auftauchen oder für schlichte Erpressung genutzt werden - ein Käufer, der doppelt erpressbar ist. Und in vielen Rechtsordnungen ist die Beauftragung unbefugten Zugriffs auf ein Konto selbst eine Straftat, sodass der "Kunde" ein rechtliches Risiko trägt, das der anonyme Anbieter nie tragen wird. Das professionelle Ende des Marktes
Echte Hack-for-Hire-Anbieter gibt es, aber sie verkaufen keine Gmail-Zugänge für 384 Dollar über eine Landingpage. Undercover-Recherchen des Bureau of Investigative Journalism 2022 fanden indische Anbieter, die Firmenkunden - vermittelt über Privatdetektive und Anwaltskanzleien - zwischen 3.000 und 20.000 Dollar pro E-Mail-Konto berechneten; Recherchen von Citizen Lab bringen die Firma BellTroX mit mehr als 10.000 kompromittierten Konten in Verbindung. Die Arbeit besteht überwiegend aus Phishing; ein Betreiber sagte den Reportern: "Meistens gibt uns das Ziel sein eigenes Passwort." Trotz dieses Ausmaßes identifizierte die Untersuchung keine einzige Strafverfolgung in Indien, wo der Tatbestand mit bis zu drei Jahren Gefängnis bedroht ist. Die Forumsschicht darüber sieht eher wie ein echter Markt aus. Die Berichterstattung von KrebsOnSecurity 2015 über das Enigma-Forum beschrieb geprüfte Mitglieder, die Gebote für Daten oder Zugang zu namentlich genannten Banken einstellten, nicht rückerstattbare Bitcoin-Einzahlungen und verpflichtende Handelsaktivität - Vertrauensstrukturen, kopiert von legitimen Marktplätzen, gebaut, weil diese Verkäufer tatsächlich liefern und Stammkunden brauchen. Kasperskys Analyse von Access-Broker-Foren aus dem Jahr 2022 zeigt denselben Professionalismus: Von 117 Angeboten mit Preisangabe für den Zugang zu Firmennetzen gingen etwa 43 Prozent für unter 1.000 Dollar über den Tisch, der Zugang zu großen Unternehmen kostete typischerweise 2.000 bis 4.000 Dollar, und rund drei Viertel der Lose waren RDP- oder VPN-plus-RDP-Eingangstore. So sieht ein funktionierender Hack-for-Hire-Markt aus - ohne glänzende Website, ohne Testimonials und ohne Interesse an Kleinkunden. Verurteilungen kommen vor - nur selten im Kleinformat
Wenn echte Betreiber gefasst werden, sind die Fälle ernüchternd. Im Mai 2018 verkündete das US-Justizministerium, dass ein internationaler Hacker-for-Hire, der mit russischen FSB-Offizieren konspirierte und sie unterstützte, zu 60 Monaten Gefängnis verurteilt worden war. Die Verurteilungen stammen aus der professionellen Schicht - staatsnahe Aufträge, Broker, Wirtschaftsspionage -, während die Kleinformat-Seiten, die die Suchergebnisse dominieren, Betrugsberichte produzieren, keine Anklagen. Scam-List-Dynamik im neuen Kostüm
Als Markt gelesen, funktioniert die Hack-for-Hire-Szene im Kleinformat mit denselben Mechanismen, die gefälschte Verkäuferlisten auf Darknet-Märkten gefährlich machen: hergestellte Vertrauenssignale, garantierte Ergebnisse, Vorkasse und keine überprüfbare Historie dahinter. Die zweite Stufe ist ebenfalls bekannt - "Recovery-Hacker", die anbieten, gestohlene Krypto zurückzuholen und Menschen abermals schädigen, die gerade Geld verloren haben, genau wie falsche Recovery-Firmen Exit-Scams folgen. Die Erkennungsmerkmale sind strukturell: Vorkasse, garantierte Zugänge, kein Streitweg. Wer einen Verkäufer beurteilt - einen Marktverkäufer, einen Listen-Aggregator oder eine "verifizierte Hacker"-Seite -, stellt eigentlich nur eine Frage: Hat dieser Markt eine funktionierende Vertrauensschicht oder nur ein Kostüm davon? Dasselbe Denken, das die echte Scam-Liste eines Markts von einer gefälschten unterscheidet, gilt auch hier; es ist in unserem Leitfaden zu Scam-Listen und wem man vertrauen kann erklärt.
