Dr. Küster hatte die Nacht durchgearbeitet, was man ihrem Gesichtsausdruck ansah – jener Mischung aus Triumph und Koffeinvergiftung, die ich von mir selbst kannte. „Norbert, die Pixel-Piraten haben zugeschlagen, diesmal mit einer PDF-Datei, die mehr kann als Text anzeigen.“ Sie schob mir einen Ausdruck über den Tisch, auf dem Fachbegriffe tanzten wie betrunkene Heinzelmännchen. Ich kniff die Augen zusammen. „Sagen Sie mir nicht, dass eine simples Dokument den ganzen Laden lahmgelegt hat.“ – „Nicht lahmgelegt, übernommen“, korrigierte sie und tippte auf eine Zeile. „Erinnern Sie sich an Blümels Entscheidungsfreude GmbH? Die Bande hat nach dem GStreamer-Coup offenbar Blut geleckt. Diesmal haben sie eine präparierte PDF-Datei an die Marketing-Abteilung geschickt, getarnt als Angebot für Büromaterial. Die Datei nutzte mehrere Lücken in Faltmatrix PDF Professional, einer proprietären PDF-Bearbeitungssuite. Eine davon war ein klassischer Out-of-Bounds-Read beim Parsen einer PRC-Datei – das ist so, als ob der Türsteher im Club nicht nur deinen Ausweis liest, sondern aus Versehen gleich in deine Hosentasche greift und den Führerschein mitgehen lässt. Die PDF-Suite hat beim Öffnen Speicherbereiche ausgelesen, die sie gar nicht anfassen durfte, und dabei Daten aus anderen Dokumenten auf der Festplatte abfließen lassen.“ Ich nickte, obwohl ich innerlich noch beim Türsteher-Bild hing.
„Das war aber nur der Türöffner“, fuhr Küster fort und kritzelte ein Diagramm auf die Rückseite meines Kaffeefilters. „Mit den ausgelesenen Informationen konnte Schwenk-Sven eine zweite Lücke ansteuern: eine Cross-Site-Scripting-Schwachstelle im Cloud-Plugin der Suite. Das ist, als würde der Türsteher plötzlich den Club-DJ zwingen, deine Lieblingsplatte zu spielen, ohne dass jemand merkt, dass du den Wunsch gar nicht geäußert hast. Der Angreifer hat Skriptcode in die Plugin-Kommunikation eingeschleust und sich so Session-Tokens gekrallt, die ihm erlaubten, eigene PDFs auf dem Firmenserver zu platzieren – und zwar mit den Rechten eines angemeldeten Benutzers, der gerade ein PDF bearbeitete. Von da aus hatte er Zugriff auf das gesamte Dateisystem der Marketing-Leute.“ Ich massierte meine Schläfen. Marketing-Leute und Dateisysteme – zwei Dinge, die nie hätten zusammenfinden sollen.
„Und dann kam der Geniestreich“, sagte Küster, und ihr Finger wanderte weiter nach unten. „Blümels Firma nutzt auf ihren Linux-Workstations X.Org X11 und Xwayland – das ist Open Source, das Grafikfundament, auf dem quasi jedes Fenster und jedes Pixel auf dem Bildschirm gezeichnet wird. Eine uralte, ehrwürdige Technik, die leider mehrere Schwachstellen hat, darunter eine, bei der ein Angreifer über einen manipulierten X11-Client beliebigen Code auf dem X-Server ausführen kann. Verstehen Sie, Norbert? Schwenk-Sven hat das PDF-Skript so gebaut, dass es einen versteckten X11-Client startete – und der hat sich mit dem X-Server verbunden, dem alten X.Org, und gesagt: ‚Hallo, ich bin ein vertrauenswürdiges Fenster. Darf ich bitte alle Tastatureingaben abfangen und gelegentlich Screenshots machen?‘ Und der Server sagte: ‚Aber natürlich, kommen Sie rein!‘ – weil er nie gelernt hat, Fremden zu misstrauen. So wie früher die Nachbarn, die ihre Haustür nie abschlossen. Plötzlich konnte die Bande jeden Tastendruck mitlesen, jedes Fenster spiegeln, jeden Bildschirm live sehen. Ein Keylogger, ein Screenshot-Tool und ein Remote-Desktop – alles in einem, nur weil ein PDF zu freundlich zu einem X-Server war.“ Ich dachte an Blümel, der wahrscheinlich gerade am Rechner saß und versuchte, das Display mit Tesafilm abzukleben.
In den Chatprotokollen, die wir endlich teilweise entschlüsselt hatten, prahlte Schwenk-Sven in Richtung Zo: „Das X11-Protokoll ist wie eine Oma, die jedem an der Tür Bonbons gibt, ohne zu fragen, ob er der Briefträger oder der Teufel ist. Ich hab dem X-Server ein Bonbon in Form einer gefälschten Client-Anfrage hingehalten, und schon hat er mir seine gesamte Wohnung gezeigt. Alle Fenster, alle Tastatureingaben – selbst die peinliche E-Mail, die Blümel gerade an seine Ex-Frau schrieb, während er dachte, niemand guckt zu.“ Zo hatte nur geantwortet: „Kriegen wir die Currywurst jetzt endlich, oder muss ich weiter Texte abtippen?“ Ich musste grinsen, obwohl mir gar nicht danach war. Die Gräfin hingegen explodierte in einem Anfall, den ich bisher nur aus alten Louis-de-Funès-Filmen kannte: Sie fuchtelte mit beiden Armen, stieß eine halbvolle Kaffeetasse um (meine, wohlgemerkt), schrie etwas von „unverschämten digitalen Hausfriedensbrüchen“ und versuchte gleichzeitig, ihr Telefon zu bedienen, das sie vor Wut dreimal falsch herum ans Ohr hielt. Als sie endlich ruhig genug war, um zu sprechen, sagte sie nur: „Niesel, finden Sie diesen Clown, bevor ich persönlich seinen X-Server neu konfiguriere – mit einem Vorschlaghammer.“ Küster und ich tauschten einen Blick, der besagte: Wir sollten die Werkzeugkammer abschließen.
Und dann, endlich, der Durchbruch – und er kam ausgerechnet aus der banalsten Ecke der digitalen Forensik. Schwenk-Sven hatte einen Fehler gemacht, einen winzigen, menschlichen, fast rührenden Fehler: Er archivierte seine Chats mit Zo nicht nur auf irgendwelchen verschleierten Servern, sondern druckte sie aus. Ja, ausgedruckt, auf physischem Papier, vermutlich mit einem dieser kleinen Thermodrucker, die wie verängstigte Hamster klingen. Ein Stapel dieser Ausdrucke war bei einer Hausdurchsuchung in einem nicht mit ihm assoziierten, aber von ihm benutzten Copyshop aufgetaucht, den ein aufmerksamer Besitzer gemeldet hatte – nicht wegen der Chats, sondern weil Schwenk-Sven vergessen hatte, für die Kopien zu bezahlen. Bürokratische Pedanterie des realen Lebens schlägt Genialität des Digitalen. In den Ausdrucken fanden wir nicht nur die üblichen Prahlereien, sondern eine handschriftliche Notiz von Sven an Zo: „Nächster Coup: Pharmagigant LithoMed – die haben eine Logistik-App mit mehr Löchern als ein Nudelsieb. Treffen wie immer im Kopierladen, bring Kleingeld mit.“ Die Gräfin kreischte fast vor Freude. Ich lehnte mich zurück, trank einen Schluck lauwarmen Tee (die Kaffeemaschine streikte noch immer) und sagte: „Meine Damen, ich glaube, wir haben nicht nur einen Hacker, sondern einen Papierliebhaber am Haken. Einen Mann, der der analogen Welt mehr vertraut als der digitalen – und genau das wird ihn ruinieren.“ Draußen vor dem Fenster begann es zu regnen, und irgendwo in der Stadt faltete Sven wahrscheinlich gerade ein Ausdruckchen, ohne zu ahnen, dass die Gräfin schon die Handschellen bereitlegte.