Adelheid von Senff stand plötzlich hinter mir wie eine Gewitterwolke, die sich noch überlegt, ob sie blitzen oder einfach nur tröpfeln soll. „Niesel, das Wasserzeichen. Ich hab’s in der internen Ermittlungsdatenbank eingegeben, bevor Sie Ihren dritten Automatenkaffee intus hatten. Vor sechs Monaten, CloudBridge AG – eine Firma, die nichts anderes macht, als Shopsysteme an Logistiker anzubinden. Selbes Symbol, gleiches Erpressermuster, nur dass damals keine Bildschirme lahmgelegt wurden, sondern plötzlich alle Kunden-Lieferdaten im Darknet zum Verkauf standen. Die Spur verlief im Sand, aber die zuständige Kollegin erinnerte sich an ein bemerkenswertes Detail: Der Angriff lief über deren API-Management-Plattform. WSO2 API Manager, Open Source, wie die gesagt haben.“ Ich nippte an meinem lauwarmen Kaffee, der inzwischen eher an flüssigen Groll erinnerte. Open Source – das klang für mich immer wie ein Buffet für Leute mit schwarzen Hüten. Und tatsächlich sollte es so gewesen sein.
Ein paar Aktenblätter und zwei unverlangte Belehrungen durch die Gräfin später, wusste ich, was geschehen war. Byte-Knut, offenbar das Gehirn der Patch-Fritzen, hatte damals die WSO2-Instanz der CloudBridge mit einem Trick geknackt, der so elegant war, dass man fast vergaß, wie kriminell er war. In einer aufgezeichneten Chat-Session, die der damalige Admin heimlich mitgeschnitten hatte, prahlte Knut gegenüber Robby Rüpel: „Die hatten mTLS aktiviert – gute Jungs, hätten sie mal gedacht. Aber auf ihren SOAP-Services haben sie die zusätzliche Authentifizierung einfach weggelassen. Du weißt, SOAP – dieses uralte XML-Geschwafel, das keiner mehr anguckt. Und rat mal, Robby: Sobald du ein gültiges Client-Zertifikat vorweisen konntest – und glaub mir, eine selbstsignierte Gurke reicht da völlig –, durftest du alle Admin-Endpunkte abfragen, ohne dich jemals mit einem Passwort einzuloggen. Ich hab mir dann einfach einen Zugangs-Token mit vollen Rechten gebastelt und sämtliche API-Geheimnisse abgesaugt. Jeder einzelne Key, jeder Kunden-Token – wie ein offenes Buch. Und das Beste: Das Log zeigte nur einen ganz normalen mTLS-Handshake. Kein Alarm, kein Misstrauen, nur fröhliches Datensaugen.“ Robby hatte daraufhin nur gemurmelt, dass er lieber Schrauben sortiere, und Knut hatte geseufzt, dass Genie eben oft einsam sei.
Ich ließ diese Worte auf mich wirken, während die Gräfin bereits einen neuen Termin mit der CloudBridge-Zentrale einfädelte. Wenn die Patch-Fritzen schon zweimal dasselbe Markenzeichen benutzten, dann hatten sie eine Schwäche für Rituale. Und Rituale, das wusste ich aus jahrzehntelanger Erfahrung mit unvorsichtigen Ganoven, machten manche Leute übermütig. Vielleicht gab es auf den alten CloudBridge-Servern noch Artefakte, die uns zu einem echten Namen führten – einem Server-Log, einer schlecht gelöschten Session, irgendeinem digitalen Abdruck, den selbst ein Byte-Knut nicht ganz weggewischt hatte. Die Hoffnung war so dünn wie die Schaumschicht auf meinem Kaffee, aber immerhin: Sie war da.
Auf der Fahrt zurück ins Präsidium studierte ich das WSO2-Whitepaper, das mir die Gräfin aufs Auge gedrückt hatte. Ich verstand vielleicht jedes zehnte Wort, aber ich begriff, dass dieser API-Manager eine Art Türsteher für digitale Dienste war. Wenn der Türsteher pennte, tanzte der gesamte Laden. Und Byte-Knut hatte ihn auf eine Weise geweckt, die keinem Türsteher gefiel: mit einer synthetischen VIP-Einladung, die keiner überprüfte. Ich notierte mir den Begriff „SOAP-Endpoint“ auf meinem Block und dachte an Robby Rüpel, der vermutlich ähnlich viel davon verstand wie ich. Immerhin war ich nicht allein in meiner Ahnungslosigkeit – das tröstete mich fast so sehr wie ein doppelter Espresso.