Es ist ein Zeichen fortgeschrittener Verzweiflung, wenn selbst der Faxempfang im Büro aufhört, das Schlimmste zu sein. Das sechste Einschreiben des Copyshop-Besitzers lag noch ungeöffnet auf meinem Schreibtisch, die Gräfin von Senff stand mit einem Gesichtsausdruck in der Tür, der an eine Kreuzung aus Inkassobüro und mittelschwerem Vulkanausbruch erinnerte, und Blohm hatte sich immer noch nicht vollständig unter seinem Schreibtisch hervorgetraut – da schickte Zo ein Video, das die letzten siebentausend Kreditkartensätze aus MediKuriosums Hauptdatenbank zeigte, wie sie in Echtzeit auf einen ausländischen Server tropften, während im Hintergrund leise ein Swing-Titel lief, den zu identifizieren ich mich bis heute weigere, weil es sonst hieße, dass ich ihr noch einmal einen Gefallen getan hätte.
In dem Video erklärte Zo mit der beiläufigen Fröhlichkeit einer Dozentin, die zum siebten Semester denselben Einführungsvortrag hält, wie sie den finalen Coup orchestriert hatte. Der Erstzugriff, so Zo, sei kinderleicht gewesen: MediKuriosum betrieb einen hauseigenen Webserver auf Basis des Apache HTTP Server – »ein Urahn allen Serverlebens, liebevoll ungepatcht seit dem Jahr, in dem Ihre Krawatte modern war« – und Zo habe lediglich eine präparierte HTTP-Anfrage an den mod_proxy geschickt, ein Modul, das für die Weiterleitung von Anfragen zuständig ist und bei dem man, wenn man ein paar Sonderzeichen im richtigen Moment an der richtigen Stelle fallen ließ, dem Server befehlen konnte, beliebigen fremden Programmcode auszuführen, als ob man einem übernächtigten Pförtner ein Klemmbrett mit dem Hinweis »alles in Ordnung, lassen Sie mich einfach durch« unter die Nase hielt. Sobald sie drin war, brauchte sie Admin-Rechte – und da kam der Linux-Kernel zum Zug, der in dieser Umgebung mindestens so veraltet war wie der Apache und eine Privilegien-Eskalationsschwachstelle enthielt, die Zo mit einer Geschwindigkeit ausnutzte, als bediene ein Schaffner eine Rolltreppe nur für sich. »Wenn der Kernel eine Kopie anfertigen soll«, säuselte sie, »verplappert er sich gerne und gibt dem, der fragt, einfach alle Schlüssel. Einmal kurz copy, einmal kurz fail, und schon gehört das System mir.«
Mit diesen Root-Rechten öffnete Zo schließlich die MariaDB-Datenbank – das Herzstück der Kreditkartenspeicherung –, als handele es sich um eine öffentliche Bibliothek, deren Tür nicht nur offen stand, sondern auch noch mit einem Schild »Selbstbedienung« versehen war. Die Schwachstelle in der MariaDB-Version, die MediKuriosum einsetzte, ließ sich, wie Zo mit der sparsamen Mimik einer Frau erklärte, die gerade beweisen wollte, dass sie ihre Schadenfreude unter Kontrolle hatte, durch ein einziges, falsch formatiertes SQL-Statement in einen Komplettauszug aller Tabellen verwandeln – ein Trick, den sie mit »die Datenbank fragt nicht nach dem Warum, sie fragt nur nach dem Wie-viel« zusammenfasste. Während der Swing-Titel in die letzte Strophe wechselte, sah man auf dem Bildschirm, wie die Kreditkartendaten in einem hübschen, gut sortierten Stapel auf dem fremden Server landeten, und Zo versprach uns, dass sie sich bei Gelegenheit mit einem Erpresserschreiben zurückmelden werde – »Tipp: diesmal betrifft es die Patienten selbst, nicht nur die Klinikleitung« –, bevor das Video abrupt endete und mich in einer Mischung aus ohnmächtiger Wut und widerwilliger Bewunderung zurückließ.
Doch dann geschah das, was in meiner gesamten Laufbahn nie vorkam: Blohm, immer noch halb unter dem Schreibtisch, zog aus einem Stapel Kontoauszüge, die er seit dem Lockvogel-Desaster nicht mehr weggeräumt hatte, einen Beleg über einen vierundzwanzig Euro und siebzehn Cent teuren Posten, und zeigte mit zitterndem Finger auf eine Transaktionsnummer. »Das ist die gleiche Kreditkarte, Chef«, flüsterte er, »mit der Zo unseren Lockvogel abgezogen hat – und hier, sehen Sie, zwölf Stunden später, hat sie damit einen neuen Server bei genau demselben Hoster in Osteuropa gemietet, von dem aus gerade die MariaDB-Daten abfließen.« Küster, die bereits die Netzwerkprotokolle analysierte, nickte knapp und sagte: »Die Maske ist gefallen, Herr Niesel. Sie hat einen Server für den Apache-Angriff aufgesetzt und mit demselben gestohlenen Kartensatz bezahlt, den sie uns neulich unter die Nase rieb. Wir haben die Adresse und den Hoster – und diesmal wissen wir es, bevor der Server wieder verschwindet.«
Ich stand auf, riss das sechste Einschreiben des Copyshop-Besitzers quer durch, weil in diesem Moment einfach alles, was mit Papier zu tun hatte, symbolisch untergehen musste, und griff zum Telefon, während die Gräfin von Senff, beeindruckt von der jähen Zerstörung postalischer Sendungen, für den Bruchteil einer Sekunde schwieg. Dann fragte sie, ob das bedeute, dass ich die Faxerpressung jetzt endlich juristisch verfolge, und ich antwortete mit der Wahrheit – nämlich dass ich in den nächsten vierundzwanzig Stunden eine osteuropäische Serverfarm stürmen oder, alternativ, sämtliche sechs Einschreiben essen würde, woraufhin sie aus mir unerfindlichen Gründen den Raum verließ. Das Netz zog sich zu, eng genug, dass ich den nächsten Schritt bereits sehen konnte: eine internationale Rechtshilfeanfrage, ein versiegelter Durchsuchungsbeschluss und eine Flugbuchung, die Blohm, da er immer noch keine Haushaltsmittel hatte, vermutlich mit seiner eigenen Kreditkarte würde bezahlen müssen.