Meine Kaffeemaschine führte inzwischen Selbstgespräche. Heute Morgen verlangte sie von mir einen biometrischen Identitätsnachweis per Iris-Scan, und als ich ihr stattdessen einen sanften Schlag aufs Display verpasste, röchelte sie: „Zugriff verweigert – trinken Sie Tee.“ Ich erwog gerade, die IT-Forensik auf das Küchengerät anzusetzen, als die Gräfin mit federnden Schritten und einem Ausdruck hereintanzte, auf dem „Entscheidungsfreude GmbH: Erpressung mit Livestream – Betrag 250.000 Euro“ stand. Sie wedelte mit dem Papier so aufgeregt, dass es fast in die letzte noch heiße Kaffeepfütze klatschte, und sagte: „Niesel, heute dürfen Sie endlich mal einem Verbrecher zuhören, der sich für einen Quizmaster hält – wenn Sie Ihre Maschine überleben.“ Ich fingerte nach einem Notkaffee aus dem Wasserkocher und beschloss, den Tag gedanklich unter „Monty Python“ abzulegen.
Das Opferunternehmen, eine mittelständische Entscheidungslogistikfirma mit tausend Regeln und null Sicherheitsbewusstsein, war am Vorabend gehackt worden. Statt eines einfachen Lösegeldschreibens fand Geschäftsführer Blümel auf seinem Monitor ein interaktives Entscheidungsdiagramm. Es fragte: „Wollen Sie Ihre gesamte Kundenhistorie im Darknet sehen? (Ja/Nein)“, „Wollen Sie die Aufnahmen Ihrer Kaffeeküche vom letzten Betriebsfest öffentlich machen? (Ja/Nein)“, und schließlich landete man unweigerlich bei: „Dann überweisen Sie 250.000 Euro in Bitcoin – oder der nächste Livestream zeigt, wie Sie auf dem Klo Candy Crush spielen.“ Blümel, ein Mann, der selbst vor einfachen Excel-Pivot-Tabellen mit den Armen ruderte, rief weinend die Polizei. Ich fand ihn in seinem Büro, wo er vergeblich versuchte, den Drucker zu überreden, das Diagramm auszudrucken, während seine Assistentin mit einem Feuerlöscher ein rauchendes Faxgerät ins Visier nahm. Das Fax hatte den gesamten Dialog in binäres Pixel-Popcorn verwandelt – nur druckte es das Popcornbild in Endlosschleife. Es war der erste Fall, bei dem ich mich eher als Notfallseelsorger denn als Ermittler fühlte.
Dr. Küster hatte die Logs des unternehmenseigenen „Regelix Engine“-Servers – einer hochgezüchteten Entscheidungsplattform, die vorgab, aus Daten die Zukunft zu lesen – schneller zerlegt, als ich mein zweites improvisiertes Käffchen kippen konnte. „Zwei Löcher, lieber Norbert, fein säuberlich verkettet. Erst eine Remotecodeausführung über eine manipulierte Entscheidungsregel: Der Angreifer hat eine XML-Datei hochgeladen, die beim Parsen einen Speicherfehler in der Regelengine auslöste und ihm eine Shell mit den Rechten des Anwendungsservers schenkte. Die Regelix Engine ist ein proprietäres System, das Entscheidungslogik in einem Java-basierten Regelcontainer verarbeitet – und bei dieser Version reichte eine einzige bösartig aufgeblähte Regeldatei, um den Parse-Mechanismus ins Jenseits zu befördern und beliebigen Code einzuschleusen. Einmal drin, sah unser Freund, dass die Firma hauseigene Überwachungskameras mit GStreamer, dem Open-Source-Multimediaframework, verarbeitet. Ausgerechnet die Version hier hatte mehrere Schwachstellen, darunter eine, die über ein fehlerhaftes Datenpaket einen Nullzeiger-Dereferenzierungsfehler provoziert – und schon konnte er die Videostreams umleiten und nach Belieben speichern.“ Ich nickte und verstand nur so viel, dass der Angreifer sämtliche Kaffeeküchen- und Sanitärpausen der Belegschaft in einer Cloud gesichert hatte. Ein mieser Plan, aber handwerklich sauber.
Die Chatprotokolle der selbsternannten „Pixel-Piraten“ ließen mich dann doch auflachen, während die Gräfin ein Flunsch zog, als hätte jemand auf ihr persönliches Dirndl geniest. Der Hacker, der sich „Schwenk-Sven“ nannte, erklärte seiner Komplizin „Zo“ die Tat mit der Inbrunst eines Oberstudienrats, der den Unterschied zwischen Brause und Sekt erklärt: „Schau, die Regelix Engine ist wie ein Ja-Nein-Orakel, das du mit langen Sätzen fütterst. Ich hab einen Satz so lang gemacht, dass dem Orakel der Kopf platzte und es mir gleich seinen ganzen Server öffnete. Drinnen lungerte GStreamer, das Videomonster – eine einzige falsch gebaute H264-Nachricht, und das Monster spuckte nicht mehr sauberen Stream, sondern pinkelte sämtliche Kamerabilder direkt in meine Tasche. Ab da war der Geschäftsführer mein unfreiwilliger Reality-Star.“ Zo fragte, ob man damit auch die Firmenkantine anzapfen könnte, und Sven versprach ihr einen Jahresvorrat Currywurst, wenn sie die Forderung nicht per SEPA überweise. Ich fragte mich langsam, ob es in dieser Stadt ein geheimes Hacker-Kochbuch gab oder ob einfach alle Banden chronischen Heißhunger hatten.
Gegen Abend stand ich wieder vor meiner Kaffeemaschine, die jetzt ein kleines Entscheidungsdiagramm auf ihr Display gezeichnet hatte: „Möchten Sie Kaffee? Ja/Nein“. Ich tippte auf Ja. Sie antwortete: „Buffer Overflow – Maschine wird heruntergefahren.“ Während die Gräfin eine Fahndung nach Schwenk-Sven und Zo ausrief, träumte ich von einem Tag, an dem wenigstens eine Maschine in meinem Leben tat, was sie sollte. Der Fall der Daten-Dandys lag noch offen wie eine schlecht geschlossene Puffertür, und jetzt hatten wir schon die nächste Bande, die aus banalen Techniklöchern ein Kleinkunstfestival machte. Irgendwo in den Serverräumen der Stadt grinsten zwei Hacker, während ein Geschäftsführer auf dem Klo sein Handy versteckte.