Es dauerte keine vierundzwanzig Stunden, bis Zo uns bewies, dass wir ihr immer noch mindestens zwei Denkschritte hinterherhinkten. Während wir noch die Node.js-Header aus dem GIMP-Coup analysierten und Blohm sich durch Darknet-Foren wühlte wie ein Praktikant, der zum ersten Mal ein Betriebssystem sieht, das nicht nach Obst riecht, hatte Zo bereits einen brandneuen Tunnel in die MediKuriosum-Infrastruktur gegraben – einen Tunnel, der so elegant konstruiert war, dass er uns fast ein anerkennendes Nicken abgerungen hätte, wenn er nicht gleichzeitig die Kreditkartendaten von weiteren siebentausend Patienten in Richtung eines unbekannten Servers geschaufelt hätte.
Der Schlüssel zu diesem Tunnel war NachtLogik, eine uralte Unternehmenssoftware, die MediKuriosums Buchhaltung seit einer Dekade treu und ergeben vor sich hinröchelte, ohne dass jemals jemand auf die Idee gekommen wäre, sie zu aktualisieren. In einer weiteren Sprachnachricht, die sie diesmal an Küster persönlich adressierte – eine Provokation, die mich kurzzeitig dazu brachte, mein Telefon mit dem Locher zu verwechseln – erklärte Zo seelenruhig, wie sie sich über eine Sicherheitslücke im Authentifizierungsmodul von NachtLogik von außen eingeklinkt hatte: »Stellen Sie sich vor, Sie stehen vor einem Nachtclub. Der Türsteher fragt: ›Kennwort?‹ Sie sagen: ›Kennwort ist mir egal, ich will einfach rein.‹ Und der Türsteher sagt: ›Ah, ein Mann mit Selbstbewusstsein, treten Sie ein.‹ Genau das macht NachtLogik – es akzeptiert Sonderzeichen in der Passwortabfrage nicht nur stumpf, es interpretiert sie als Befehl, die gesamte Zugangskontrolle einfach abzuschalten, weil der Entwickler damals dachte, dass Semikolons und Anführungszeichen doch bitte nur Gutes im Sinn haben können.« Sobald sie drin war, brauchte sie wieder Admin-Rechte – und da kam, zum zweiten Mal in diesem Fall, der neun Jahre alte Copy-Fail-Bug im Linux-Kernel zum Zug, den sie, wie sie mit fast zärtlichem Stolz berichtete, mittlerweile auf vierzehn verschiedenen MediKuriosum-Servern zum Einsatz gebracht hatte, jedes einzelne Mal mit der Präzision eines Uhrmachers, der eine Rolex mit einem Vorschlaghammer reparierte. »Das ist kein Bug, das ist eine Feature-Suite – ich musste nur den NachtLogik-Prozess dazu bringen, eine Kopie zu starten, und der Kernel hat mir bereitwillig den Generalschlüssel ausgehändigt, weil er einfach nicht lernen will, dass man nicht jedes Paket zweimal öffnet, nur weil der Absender nett fragt.«
Mit den errungenen Root-Rechten hatte sie dann RabbitMQ ins Visier genommen, den Nachrichtenbroker, der die Kreditkarten-Transaktionen zwischen der Zahlungsabteilung und dem Hauptserver vermittelte. RabbitMQ war, wie sie uns genüsslich erklärte, so konfiguriert, dass es Autorisierungs-Token im Klartext in seinen Logdateien ablegte – ein Versehen, das ungefähr so professionell war wie ein Bankräuber, der seinen Fluchtwagen mit einem Schild »Bitte nicht verfolgen« parkt. Zo hatte diese Token einfach aus den Logs gefischt und damit den gesamten Nachrichtenverkehr umgeleitet: Jede neue Kreditkartenbuchung ging ab sofort brav an ihr eigenes Speicherkonto, während die legitime Datenbank nur noch leere Quittungen bekam, ohne dass irgendjemand den Unterschied bemerkte. Sie nannte es ihre »stille Post« und beendete die Nachricht mit dem Hinweis, dass bestimmte Leute – und hier nannte sie meinen Namen mit einer Betonung, die klang, als würde sie einen Joghurtbecher mit einem Löffel verhöhnen – endlich aufhören sollten, in Darknet-Marktplätzen herumzustöbern.
Das, natürlich, war der Moment, in dem mein Plan ins Rollen kam – oder besser gesagt: ins Rutschen. Ich hatte Blohm angewiesen, auf dem vermuteten Marktplatz ein verlockendes Gebot für einen frischen Schwung MediKuriosum-Kreditkarten zu platzieren, als Testballon, um Zo aus der Reserve zu locken. Der Blohm, pflichtbewusst wie ein Goldfisch, der immer wieder gegen dieselbe Scheibe schwimmt, hatte das Gebot mit unserer gesamten verdeckten Operationskasse hinterlegt – einer Summe, die die Gräfin von Senff mir mit dem ausdrücklichen Hinweis genehmigt hatte, dass jede Überschreitung zu einer persönlichen und sehr öffentlichen Hinrichtung auf dem Flur der Finanzabteilung führen würde. Das Gebot landete, wie beabsichtigt, auf Zos Radar. Aber statt die Verkäuferin zu stellen, schluckte der Marktplatz unsere Anzahlung, Zo löschte das Angebot und schickte uns eine animierte GIF-Datei von einem tanzenden Hasen, der Geldscheine in einen Mixer stopft, untertitelt mit den Worten: »Danke für die Spende, Kommissar, ich hab mir schon ein neues Server-Rack gekauft.«
Ich brüllte so lange, bis Blohm sich unter seinem Schreibtisch verschanzte und die Gräfin, angelockt von der vielversprechenden Aussicht auf eine Eskalation, mit dem fünften Einschreiben des Copyshop-Besitzers wedelnd in der Tür stand und wissen wollte, ob die Faxerpressung jetzt endlich juristische Konsequenzen habe. Küster, die einzige Person im Raum, die noch einen klaren Gedanken fassen konnte, starrte auf die Transaktionsdaten unseres missglückten Lockvogels und sagte leise: »Sie hat uns gerade ihre neue Server-IP verraten – die Zahlung ging über einen Umweg, aber der Umweg hat eine Signatur, und die Signatur führt direkt zu einem Host in Osteuropa, der vor drei Stunden noch nicht existierte.« Ich hörte auf zu brüllen, riss mir die Krawatte vom Hals, die sich während meines Ausbruchs irgendwie um meine linke Ohrmuschel gewickelt hatte, und setzte mich. Das Netz zog sich zu, wenn auch mit einem Loch, durch das gerade mehrere tausend Euro meines Budgets verschwunden waren – aber irgendwo da draußen saß Zo, lachte über ein tanzendes Hasen-GIF und merkte nicht, dass sie uns ihren genauen Standort verraten hatte, nur weil sie mich zu sehr damit beschäftigt hatte, einen Schreibtisch zu zertrümmern.