Der Spyware-Markt gleicht einem Schattenreich: Auf der einen Seite stehen Hersteller wie NSO Group, auf der anderen Seite Regierungen mit Überwachungszielen. Dazwischen aber agiert ein dichtes Netzwerk aus Vermittlern, das die Lieferkette bewusst undurchsichtig gestaltet. Genau darin liegt die zentrale Erkenntnis des Atlantic Council: Diese Intermediäre sind nicht einfach Verkäufer, sondern das “operative Rückgrat” des Spyware-Marktes, wie Collin Hogue-Spears von Black Duck formuliert.
Die Funktionsweise ist perfide: Broker und Reseller nutzen ihre Unternehmensstrukturen, um Exportkontrollen irrelevant zu machen. Sie fungieren als Puffer zwischen Herstellern und Käufern, bündeln Exploits mit Schulungen und technischem Support und schaffen dabei eine Papierspur, die die wahre Herkunft der Werkzeuge verschleiert. Das ist nicht zufällig so – es ist systemisch.
Fortune Vögele, Threat Researcher bei Recorded Future, beobachtet, wie diese Vermittler gezielt Barrieren für internationale Geschäfte senken. Sie verbinden Verkäufer und Käufer, erweitern Märkte in neue Regionen und nutzen dabei geschickt unterschiedliche Jurisdiktionen aus. Ein Beispiel: Eine südafrikanische Intermediärin verkaufte die Dante-Spyware von Memento Labs lokal, während ein Drittunternehmen israelische Spyware nach Bangladesch brachte – trotz bestehender Handelsbeschränkungen.
Die Folgen dieser Intransparenz sind erheblich. 2025 wurden erstmals mehr Zero-Day-Exploits kommerziellen Überwachungsanbietern zugeordnet als traditionellen staatlichen Akteuren, wie Googles Threat Intelligence Group analysiert hat. Der Markt wird nicht kleiner, sondern wächst stetig – getrieben durch Nachfrage von Regierungen für Ermittlungen, Spionage und politische Unterdrückung.
Jen Roberts vom Atlantic Council warnt: Je mehr Intermediäre operieren, desto schwächer wird die Transparenz. Das macht Regulierung beinahe unmöglich – man kann nicht kontrollieren, was man nicht sieht. Dies ist besonders für Deutschland und die EU relevant, wo Datenschutz und digitale Souveränität hochgehalten werden.
Die Reaktion: Im Februar 2024 starteten Großbritannien und Frankreich den “Pall Mall Process”, ein multilaterales Abkommen gegen Spyware-Missbrauch. Erste Empfehlungen des Atlantic Council fordern: Know-Your-Vendor-Standards, Zertifizierungen für Broker und verbesserte Registries. Doch der Weg ist lang, und jede Woche ohne Transparenzmaßnahmen kostet möglicherweise Freiheit und Sicherheit.