Montagmorgen. Das gerahmte Foto von meinem spektakulären Sturz ins Fernmeldeamt stand auf dem Schreibtisch, und ich nippte an meinem Kaffee wie ein Mann, der eine ganze Cyber-Erpresserbande innerhalb einer Woche hochgenommen hat – also wie ich. Adelheid summte eine traurige Version des DHL-Jingles, die sie seit Samstagnacht nicht mehr losließ, und Dr. Küster hatte die digitalen Beweise so ordentlich sortiert, dass selbst Pixel seine Freude an der Meta-Struktur gehabt hätte. Die Welt war in Ordnung, die Sonne schien, und dann klingelte das Telefon. Krelvion, ein Logistikriese für Tiefkühlkost, war gehackt worden. Ihr Sicherheitschef, Herr Klöber, klang, als hätte man seine letzte Lasagne gestohlen. Adelheid hörte auf zu summen – endlich.
Wir fuhren zum gläsernen Hauptquartier, und Klöber überreichte mir einen Ausdruck, der in einer Schriftart gesetzt war, die aussah wie von einer handgeschriebenen Speisekarte im Sternerestaurant. »Willkommen zur exklusiven Verkostung«, las ich vor, während Adelheid eifrig mitschrieb. »Ihr Unternehmen hat ein Menü mit drei Gängen erhalten: Vorspeise – FreeRDP, Hauptgang – Red Hat Satellite, Dessert – cURL. Der Preis beträgt fünf Millionen in Kryptowährung, zahlbar innerhalb von 72 Stunden. Andernfalls servieren wir Ihre Kundendaten der Öffentlichkeit – à la carte. Hochachtungsvoll, Die Verkostung.« Klöber zitterte bei dem Wort »Dessert«. Ich fand es fast amüsant, wenn nicht fünf Millionen verlangt worden wären.
Dr. Küster, die wir per Videokonferenz zuschalteten, analysierte binnen einer Stunde die Zugriffsprotokolle. Der Angreifer hatte tatsächlich eine FreeRDP-Schwachstelle genutzt, um sich über einen präparierten RDP-Server auf einen Client-Rechner zu mogeln, dann über eine Lücke in Red Hat Satellite Administratorrechte erlangt und schließlich mit cURL die Daten abgesaugt, wobei er eine Sicherheitslücke in cURL ausnutzte, um die Firewall zu umgehen. Das war technisch sauber, aber nicht perfekt getarnt – Küster entdeckte einen unverschlüsselten IRC-Kanal, auf dem sich der Hacker live selbst feierte. Ich gab den Befehl, das abzuhören, und stellte die Lautsprecher an. Ein unverwechselbares, fast genüssliches Lachen erklang.
»Meine Damen und Herren, willkommen zur exklusiven Erklärung meines Menüs«, säuselte die Stimme von Maître, wie er sich nannte. »Die Vorspeise: FreeRDP. Stellen Sie sich vor, Sie bestellen einen einfachen Kaffee, aber der Kassendrucker spuckt stattdessen einen Gutschein aus, der die Tür zum Weinkeller öffnet – genau das tut die manipulierte RDP-Antwort mit dem FreeRDP-Client. Zack, ich bin drin! Der Hauptgang: Red Hat Satellite, das zentrale Management-Tool von Krelvion. Durch eine einfache Umgehung der Benutzerverwaltung bin ich vom Küchenjungen zum Restaurantleiter aufgestiegen – die API hat mir brav die Schlüssel für alle Server ausgehändigt. Und das Dessert: cURL. Normal blockiert die Firewall alle externen Datenströme, aber cURL hat eine Schwachstelle, die Sicherheitsvorkehrungen ignoriert. Ich habe meine Datenpakete als unverfängliche Bestellungen an einen Partner-Kochshop getarnt. cURL hat dem Türsteher einen selbstgemalten VIP-Gutschein unter die Nase gehalten, und der hat ihn akzeptiert, obwohl das Logo falsch war. Voilà, das Menü ist serviert!« Adelheid schüttelte den Kopf, aber sie summte nicht mehr – sie notierte jeden Fehler.
Dr. Küster verfolgte die IP-Adresse zu einer geschlossenen Pizzeria drei Straßen weiter. Ich schickte ein Team hin, das zu spät kam: Der Server war längst aus der Ferne gelöscht, dafür lag ein Pizzakarton auf der Theke mit der Aufschrift: »Wir kochen nur mit den frischesten Zutaten. Nächster Gang folgt.« Und in dem Karton, als Hohn, eine dampfende Pizza Hawaii. Ich rastete aus. Meine Hände zitterten, ich warf die Pizza quer durch das leere Restaurant, bis sich eine Ananasscheibe an der Überwachungskamera verfing. Louis-de-Funès hätte applaudiert. Aber zwischen Pizzasauce und Wut entdeckte ich einen winzigen Hinweis – der Karton stammte von einem Lieferdienst mit einer spezifischen Außenstelle, die nur innerhalb eines Zehn-Kilometer-Radius auslieferte. Wir hatten ein Suchraster. Ich wischte die Sauce vom Kamerabild und lächelte grimmig. Die Verkostung mochte ein Gag sein, aber ich würde ihnen den Appetit verderben.