Schwenk-Sven lehnte sich in seinem abgewetzten Bürostuhl zurück und betrachtete stolz den Bildschirm, auf dem das Admin-Panel von LithoMeds öffentlicher Website prangte wie eine eroberte Festung. „Weißt du, Zo“, sagte er und tippte genüsslich auf die Tastatur, während im Hintergrund der Thermodrucker wie ein asthmatischer Hamster röchelte, „Joomla ist wie ein Schweizer Taschenmesser – bloß dass jede zweite Klinge abbricht, sobald man sie rausklappt. Und ich hab heute gleich drei gefunden, die man wunderbar kombinieren kann.“ Zo, die auf einem umgedrehten Umzugskarton saß und eine Currywurst-Pappe balancierte, verdrehte die Augen. „Sven, ich hab Hunger. Können wir das nicht abkürzen?“ – „Kunst braucht Zeit, Zo. Also: Erstmal hab ich über eine REST-API-Anfrage an die Joomla-Installation von LithoMed einen Informations-Leak ausgenutzt. Das ist, als würdest du bei einer Bank an der Tür klingeln, und der Pförtner gibt dir nicht nur die Öffnungszeiten, sondern gleich die Liste aller Schließfachbesitzer mit PIN-Nummern. Ich hab die komplette Benutzerdatenbank mit Usernamen und Zugriffstokens abgegriffen, ohne mich überhaupt einzuloggen. Die haben das Ding seit Monaten nicht gepatcht – herrlich!“ Zo kaute gleichmütig auf ihrer Wurst und murmelte: „Klingt illegal.“ – „Zo, wir sind hier nicht beim Finanzamt. Das ist Kunst!“
„Mit den Tokens“, fuhr Schwenk-Sven fort und klickte sich tiefer ins System, „war ich dann offiziell ein registrierter Benutzer mit mittelmäßigen Rechten – so eine Art digitaler Praktikant mit zu vielen Schlüsselkarten. Aber der eigentliche Trick kam mit der zweiten Lücke, einer SQL-Injection in der Administrations-Komponente. Stell dir vor, du gehst in die Kantine und sagst zur Ausgabedame nicht ‚Ich hätte gern das Menü‘, sondern ‚Gib mir alle Menüs, und zwar sortiert nach den Gehaltsdaten der Chefetage‘ – und sie tut es einfach, weil die Speisekarte verbotene Zusatzfragen in der Datenbank erlaubt. Ich hab meine eigenen Rechte einfach hochgestuft, vom Praktikanten zum Abteilungsleiter, zum Systemadministrator, zum Gott höchstpersönlich. Und das alles, während der echte Admin gerade Kaffee trank und dachte, sein CMS sei sicher.“ Der Drucker hustete eine weitere Seite aus, die Sven sorgfältig faltete und in einen Aktenordner heftete, auf dem mit Edding „LithoMed – Phase 3“ stand.
„Jetzt kommt der Clou“, sagte Sven und senkte die Stimme, als würde er ein Staatsgeheimnis verraten. „Über eine Path-Traversal-Schwachstelle im Joomla-Medienmanager bin ich dann aus dem Webverzeichnis ausgebrochen – das ist so ähnlich wie ein Museumsbesucher, der durch einen Wäscheschacht direkt in den Tresorraum klettert, bloß weil die Klappe nicht richtig verriegelt ist. Ich konnte den Pfad manipulieren, sodass das System mir Dateien außerhalb des Webroots anzeigte und ausführte. Und rate mal, was LithoMed da so liegen hat? Eine alte interne Logistik-App, direkt auf demselben Server, mit Schnittstelle zum Warenwirtschaftssystem. Keine Authentifizierung, kein Sandboxing, nichts. Die haben Joomla und ihre Lagerverwaltung fröhlich nebeneinander wohnen lassen, als wären sie Mitbewohner in einer WG ohne Zimmertüren.“ Zo legte die leere Pappe beiseite und schaute zum ersten Mal interessiert. „Das heißt, du bist jetzt im Warenwirtschaftssystem?“ – „Nicht nur das. Ich kann jede Lieferung umleiten, jede Charge umetikettieren, jede Bestandsliste manipulieren. Stell dir vor, ein Krankenhaus bestellt dringend Medikamente, und ich sag dem System einfach: Lieferung verzögert sich, viel Spaß beim Warten. Und wenn sie dann zahlen wollen, leiten wir das Geld auf ein Konto in Panama um. Pharma-Märchenland.“ Er klappte den Ordner zu und grinste. „Morgen früh rufen wir bei der Geschäftsführung an und machen ihnen ein Angebot, das sie nicht ablehnen können. Jetzt lass uns was essen gehen – diesmal such ich den Laden aus, ich hab nämlich neuerdings genug Kleingeld dabei.“ Zo stand auf, ohne zu ahnen, dass Svens neues Kleingeld aus einer Quelle stammte, die wir observierten.
Währenddessen saßen Blohm und ich seit drei Stunden in einem unmarkierten Wagen gegenüber von Svens Copyshop, und mir taten die Knie weh. „Niesel, der Mann druckt seine Verbrechen aus wie andere Leute Fotos vom letzten Urlaub“, hatte Dr. Küster am Morgen gesagt und mir die neuesten Chat-Ausdrucke überreicht, die wir aus dem Papierkorb des Ladens gezogen hatten – Schwenk-Sven hatte tatsächlich Fehldrucke mit handschriftlichen Notizen entsorgt, ohne sie zu schreddern. Ich fand das fast rührend. Die Gräfin hatte daraufhin einen Plan entwickelt, der so simpel war, dass er schon wieder genial wirkte: Wir würden einfach warten, bis Sven das nächste Mal zum Drucken kommt, und ihn dann stellen. „Keine Hausdurchsuchung, kein großes SWAT-Team – nur Sie, Blohm und eine offene Rechnung über unbezahlte Kopien.“ Sie wedelte mit einem Ausdruck, den der Copyshop-Besitzer uns freundlicherweise überlassen hatte: 47 unbearbeitete Farbkopien, Gesamtwert 23 Euro 50, datiert auf den Tag nach dem PDF-Coup. „Niesel, dieser Mann ist ein Genie am Rechner, aber ein Trottel im echten Leben. Das wird sein Untergang sein – und ich will dabei zusehen.“ Ihre Augen funkelten vor Vorfreude, und ich überlegte kurz, ob ich Popcorn besorgen sollte.
Blohm tippte mir auf die Schulter. „Da – er kommt.“ Tatsächlich: Schwenk-Sven schlenderte die Straße hinunter, einen Aktenordner unter dem Arm, und pfiff fröhlich vor sich hin. Er trug ein T-Shirt mit der Aufschrift „I’m not a hacker, I’m a digital locksmith“ und sah aus wie jemand, der gerade den Coup seines Lebens gelandet hatte und sich jetzt um die bürokratischen Kleinigkeiten kümmern wollte. Ich griff nach dem Türgriff, als etwas Unerwartetes geschah: Der Copyshop-Besitzer, ein kleiner, drahtiger Mann mit dem Gesichtsausdruck eines Buchhalters in der Steuerprüfung, stürzte aus dem Laden und baute sich vor Sven auf. Wir konnten jedes Wort hören, denn der Mann schrie in einer Lautstärke, die man sonst nur von der Gräfin bei schlechten Nachrichten kannte. „SIE! Ja, genau SIE! Siebenundvierzig Farbkopien! Nicht bezahlt! Seit zehn Tagen! Und gestern haben Sie Papier gestohlen! Ich habe Sie erkannt, Sie mit Ihrem albernen Ordner! Wollen Sie mich ruinieren? Wollen Sie, dass meine Kinder hungern? Wegen IHRER Farbkopien?“ Sven blieb stehen, das Grinsen gefror ihm im Gesicht, und er hob beschwichtigend die Hände. „Moment, ich kann erklären –“ – „NICHTS erklären Sie!“ Der Besitzer wedelte mit einer Rechnung, die aussah wie ein mittelalterliches Manuskript, so dicht war sie mit Mahngebühren beschrieben. „Polizei! Ich rufe die Polizei!“ Und er tat es tatsächlich, während Blohm und ich aus dem Wagen stiegen und uns als genau das zu erkennen gaben, was er gerade anrief.
Sven sah uns, sah den Besitzer, sah die Rechnung, und in seinen Augen blitzte kurz jene Erkenntnis auf, die nur wirklich intelligente Menschen in wirklich dummen Momenten trifft: dass das Universum einen völlig absurden Sinn für Humor hat. „Sie sind verhaftet“, sagte ich und hielt ihm meinen Ausweis hin, „wegen Verdachts auf Erpressung, Computerbetrug und –“ ich warf einen Blick auf die Rechnung, „– Erschleichung von Kopierleistungen in Höhe von 23 Euro 50.“ Blohm legte ihm die Handschellen an, und der Copyshop-Besitzer klatschte Beifall, während Zo, die plötzlich um die Ecke bog und die Situation sofort erfasste, unauffällig in eine Seitenstraße abbog und verschwand – mit einer Behendigkeit, die vermuten ließ, dass sie das nicht zum ersten Mal tat. „Das war’s dann wohl mit dem Pharma-Märchenland“, murmelte Sven und starrte auf seine gefesselten Hände. „Wissen Sie, Kommissar, das Ironische ist: Ich hab immer gesagt, dass Papier sicherer ist als die Cloud. Keine Backups, keine Metadaten, nichts. Aber ich hab vergessen, dass Papier Quittungen produziert. Echte, physische, nicht löschbare Quittungen.“ Ich klopfte ihm auf die Schulter, fast freundschaftlich. „Willkommen in der analogen Welt, Herr Sven. Die ist manchmal gnadenloser als jede Firewall.“ Im Hintergrund telefonierte der Besitzer immer noch mit der Zentrale, diesmal um eine zweite Einheit Rechnungsprüfer anzufordern, während Blohm Svens Ordner sicherstellte, der tatsächlich detaillierte Pläne für LithoMed enthielt – ausgedruckt, gelocht, abgeheftet. Die Gräfin würde begeistert sein. Und ich würde endlich wieder Kaffee trinken können, sobald die Maschine repariert war.