Blohm hatte den Telefonhörer zwischen Ohr und Schulter geklemmt, starrte auf ein Onlinebuchungsformular und wimmerte etwas von »Herr Kommissar, meine Kreditkarte schafft nur ein One‑Way‑Ticket nach Osteuropa, wenn Sie nicht bald eine dienstliche Kostenzusage herbeizaubern«, als Küster die Tür so energisch aufstieß, dass der ohnehin labile Papierstapel mit den Kopien aller sechs zerrissenen Einschreiben endgültig von meinem Schreibtisch segelte. »Die Gute ist gerade dabei, ihre Patienten‑Erpresser‑Drohung wahr zu machen«, sagte Küster und stellte einen Laptop auf die einzige freie Ecke. Auf dem Bildschirm sah ich, wie jene IP‑Adresse, die uns zu Zos angemietetem Server geführt hatte, gerade eine zweite Sitzung zu einem völlig neuen Ziel aufbaute – einem Rechner, der sich laut Whois‑Abfrage im Eigentum von Fulmexis befand, dem Dienstleister, über den MediKuriosum bis vor drei Monaten sämtliche Patienten‑Terminerinnerungen und Laborbefunde im Bulk versendet hatte. Die Gräfin von Senff, die aus unerfindlichen Gründen einen siebten Einschreibebrief in der Hand hielt, wollte zu einer Ansprache ansetzen, aber ich bellte ein »später«, das jeden Hund bis zum Hauptbahnhof zurückgeworfen hätte, und riss Küster das Headset vom Kopf.
Aus dem Lautsprecher drang Zos Stimme, diesmal ohne Swing‑Begleitung, aber mit jener belehrenden Jovialität, die sie sich vermutlich auf Fortbildungen für besonders nervige Unternehmensberater abgeschaut hatte. Sie erklärte Fulmexis’ leitendem Administrator, der offenbar in derselben Leitung gefangen war, wie sie hereingekommen war. »Ihr benutzt doch tatsächlich GStreamer, um eure Videokonferenz‑Streams an die Kliniken zu schicken – die Open‑Source‑Version, so herrlich ungepatcht wie ein Notizbuch von vorgestern«, flötete sie. »Ich habe ein harmloses Videopaket geschickt, in dem ein paar Bytes beim Zerlegen in Einzelbilder falsch geparkt wurden. Das ist, als ob ihr ein Orchester bittet, Notenblätter zu spielen, und der Posaunist plötzlich den Tresorschlüssel in der Hand hält. Zack – Codeausführung aus der Ferne. Einmal drin, brauchte ich nur den Kernel eurer Docker‑Hosts zu fragen, ob er mir kurz eine Datei kopiert. Der kennt das Spiel schon von MediKuriosum: Copy Fail, schwupps, Root. Und jetzt, weil ihr so toll automatisiert habt, findet eure n8n‑Workflow‑Engine meine Anweisungen ganz entzückend und schickt meine Erpresserschreiben an exakt die siebentausend Patienten, die ich gestern aus der Kreditkarten‑Datenbank gezogen habe. Die Leute kriegen eine Mail mit dem Betreff ‚Ihre Herzfrequenz kennt bald jeder‘ – das wird lustig.« Während sie sprach, sah ich auf Küsters zweitem Monitor, wie die n8n‑Queue der Fulmexis‑Instanz in Echtzeit anschwoll und die ersten Mails tatsächlich durch die Firewall entwischten.
Mir blieb genau eine Chance, bevor der Vorfall die komplette Patientenvertraulichkeit in den Abgrund riss. »Küster«, knurrte ich, »die n8n‑Session läuft über Zos Server – sie muss dafür eine Reverse‑Shell aufgebaut haben, sonst kommt der Befehlssatz nicht bei Fulmexis an. Besorg mir die genaue Signatur dieser Verbindung und den Port, und ruf sofort den osteuropäischen Hoster an: Wir brauchen die physische Maschine, die exakt jetzt mit dieser Gegenstelle kommuniziert, und wir brauchen sie innerhalb der nächsten zehn Minuten, sonst esse ich nicht nur Einschreiben, sondern den gesamten Etat für IT‑Sicherheit.« Küster nickte stumm und schoss bereits die Rechtshilfe‑Anfrage in die Welt, während ich Blohm das Headset zuwarf und befahl, die Buchung abzuschließen – und zwar genau das Ticket, das er soeben mit seiner privaten Kreditkarte zu bezahlen drohte.
Der Buchungsvorgang geriet zu dem, was ich später in meinem Gedächtnis als »die panische Tango‑Einlage mit der CVV‑Nummer« ablegen würde. Blohm, immer noch halb unterm Schreibtisch, zog eine Kreditkarte aus der Geldbörse, tippte eine Nummer falsch ein, das System verlangte eine Zwei‑Faktor‑Authentifizierung per App, die App verlangte ein Update, das Update verlangte eine stabile Internetverbindung, die wir um ein Haar durch Zos n8n‑Datensturm verloren, während die Gräfin von Senff das siebte Einschreiben mahnend zwischen Daumen und Zeigefinger hochhielt und ich in einer Lautstärke »Buchen Sie, Blohm, oder ich lasse Sie ab sofort jede Dienstreise mit dem Segway antreten!« brüllte, die selbst Zo kurz innehalten ließ. In dem Moment, in dem das Flugticket auf Blohms Namen mit einer erfreulich kurzen Umsteigezeit bestätigt wurde, kam Küsters Rückmeldung: Der Hoster hatte das Rack identifiziert, Zos Standort war auf fünfzig Meter genau eingegrenzt, die örtliche Polizei bereits alarmiert. Die n8n‑Queue stoppten wir, indem Küster den Fulmexis‑Admin per Telefon anwies, den Switch‑Port physisch zu trennen, woraufhin Zo ein verächtliches »Na gut, ich mach’ mich mal vom Acker« ins Headset säuselte und die Session von ihrer Seite kappte. Aber das Netz war zu: Der Hoster loggte, der betroffene Switch‑Port war dokumentiert, und ich hatte zwanzig Minuten bis zum Abflug, meine Dienstwaffe und den festen Vorsatz, diesmal kein einziges Einschreiben durchgehen zu lassen.