Es gibt Tage, an denen ein Kommissar schon beim Frühstück ahnt, dass es kein guter Tag wird. Meine Kaffeemaschine hatte beschlossen, mich nicht mehr zu erkennen – der integrierte Authentifizierungs-Chip zeigte mir dreimal hintereinander eine Fehlermeldung, die sinngemäß lautete: "Berechtigung verweigert, Sie sind nicht Sie selbst." Während ich das Ding mit einem gezielten Schlag auf die Seite zu überreden versuchte, kam die Gräfin mit einem Ausdruck, auf dem "Hanseatischer Versicherungsverein: Erpressung via Verzeichnisdienst" stand, und einem Gesichtsausdruck, als hätte jemand ihr eigenes Sparguthaben gehackt. "Niesel, heute dürfen Sie Ihr technisches Halbwissen endlich mal an einem echten Fall erproben – wenn Sie den Koffeingriff überleben." Ich hätte lieber den Kaffee gehabt.
Die Bande, die sich später als "Daten-Dandys" herausstellte, hatte in der Nacht zuvor zugeschlagen. Theodor Tüftel, IT-Leiter und stolzer Verwalter von über zweitausend Benutzerkonten, hatte beim morgendlichen Login ein Wasserzeichen auf seinem Monitor vorgefunden – einen tanzenden Heap-Speicherblock mit Fliege, darunter die Forderung nach 300.000 Euro. Der Absender prahlte: "Ihr 389-ds-base auf RHEL 9.6 ist so löchrig wie ein Nudelsieb – wir haben uns per LDAP-Suchanfrage einen eigenen Admin gebastelt, und gleich sperren wir alle Konten, wenn die kleine Versicherungsprämie nicht in 24 Stunden auf unserem Tisch liegt." Tüftel, ein Mann mit zwei Bildschirmen und null Humor, rief sofort die Polizei. Ich fand seinen Serverraum später in einem Zustand vor, der an einen überlaufenden Pufferspeicher erinnerte – vollgestopft mit stickigen Lüftern und einem Klimagerät, das versuchte, die Hitze eines überforderten Verzeichnisdienstes zu kühlen.
Dr. Küster sezierte die Logs mit einer Ruhe, die mich fast ärgerte. "Das ist ein klassisches Heap-Buffer-Overflow-Desaster, Norbert", sagte sie und deutete auf eine Zeile, die für mich aussah wie ein Keksrezept in Hexadezimal. "Der Angreifer hat über ein speziell präpariertes LDAP-Bind eine Suchanfrage geschickt, deren Filter so lang war, dass der Puffer im 389-ds-base überlief und die Rücksprungadresse mit bösartigem Code überschrieb. Viola – schon marschierte er als Root-Admin durch die Verzeichnisstruktur und konnte sämtliche Passwort-Hashes exportieren. Danach hat er die Kontensperre nur noch angekündigt, um Druck aufzusetzen. Ein einziger falsch dimensionierter Speicherblock in Version 9.6, und die ganze Identitätsverwaltung stand offen wie ein Scheunentor." Ich nickte, als hätte ich verstanden, und notierte mir "Puffer-Cowboy" auf meinem Zettel – das Wort "Heap" hatte ich bereits wieder vergessen.
Erst die abgefangenen Chat-Nachrichten der Bande brachten mich wirklich zum Lachen, während die Gräfin ungewohnt deutlich mit den Zähnen knirschte. Der Hacker, der sich "Heiko Heap" nannte, erklärte seinen Komplizen Lena Luftbrücke und Manni Mampf die Tat in einem Ton, der an einen Grundschullehrer erinnerte, der Schnecken-Sex erklärt: "Stellt euch den Heap wie eine Limonadenfabrik vor – jedes LDAP-Paket ist eine Flasche, die aufs Band gestellt wird. Wenn eine Flasche zu dick ist, drückt sie die nächste aus der Spur und spritzt Zuckersirup direkt ins Kontrollpult. Unser Sirup war eine harmlos aussehende Suchanfrage mit einem zehn Seiten langen Filter, der den Puffer zum Überkochen brachte und uns den Direktor-Eingang zur Benutzerdatenbank öffnete." Manni fragte, ob man damit auch die Kantine anzapfen könne, und Lena versprach ihm einen Jahresvorrat Frikadellen, wenn er endlich die Forderung unauffällig überwies. Ich fragte mich, ob alle Banden dieser Stadt kulinarische Nebeninteressen hatten oder ob das ein spezieller Jahrgang war.
Am Ende des Tages stand ich vor meiner immer noch verweigernden Kaffeemaschine, während die Gräfin die Fahndung nach Heiko Heap und seinen Dandys einleitete. Der Fall der Patch-Fritzen lag noch immer ungelöst auf meinem Schreibtisch, das Wasserzeichen wie ein stummer Vorwurf. Doch heute hatte ich einen neuen Puzzlestein: Die Bande hatte denselben arrogant-bildhaften Erklärungsstil wie Byte-Knut, nur dass sie Verzeichnisdienste und keine Prozessplattformen knackte. Vielleicht waren alle Hacker dieser Stadt auf einem geheimen Rhetorikseminar gewesen. Ich beschloss, die Hypothese bei einem improvisierten Kaffeekocher zu überdenken, der aus einem Wasserkocher, einem Filter und purer Verzweiflung bestand. Der Fall war jung, der Kaffee lauwarm, und irgendwo tanzte ein Heap-Speicherblock mit Fliege durch ein Rechenzentrum.