Freitag, 09:47 Uhr. Die Bahnhofstoilette an Gleis 7 roch nach Desinfektionsmittel und gescheiterten Observationsträumen. Ich stand seit halb acht hinter der halboffenen Tür der Behindertenkabine – eine Position, die mir mein Rücken mit stechenden Protestnoten quittierte – und starrte auf Schließfach 42. Es blieb zu. Genauso wie der gesamte Bahnhofsvormittag: keine zwielichtige Gestalt mit Laptop, kein Bruno, keine Clara, nicht mal ein verdächtiger Koffer. Nur ein Rentner, der sich beschwerte, warum ein Zivilbeamter die Premiumkabine blockiere. Um 10:12 Uhr piepste mein Handy. Adelheid, und ihre Stimme klang nach schlimmen Neuigkeiten: „Kommissarchen, im Präsidium liegt ein Pizzakarton. Ananas, diesmal mit dem Aufdruck: Tarvoneo – sechster Gang.“ Ich ließ das Schloss 42 unangetastet und rannte.
Im Präsidium hatte Dr. Küster den Karton bereits auseinandergefaltet und die Innenseiten fotografiert. Tarvoneo, ein mittelständischer Netzwerkausrüster, war das nächste Opfer – das Schreiben war diesmal kürzer, ungeduldiger, der Ton eine Spur gereizt. Die Verkostung wurde nicht gierig, sie wurde hektisch. Offenbar hatte ich ihnen mit der Server-Beschlagnahmung näher auf den Fersen gestanden als gedacht, und jetzt versuchten sie, vor dem großen Finale noch schnell Kasse zu machen. Während Adelheid die Finanzabteilung von Tarvoneo warnte – diesmal kamen wir vielleicht rechtzeitig –, schob Dr. Küster einen USB-Kopfhörer über ihr Ohr. „Chef, ich habe eine abgehörte VoIP-Leitung, die das Fernmeldeamt gestern Nacht noch aufgezeichnet hat. Herr Maître telefoniert – und er benutzt eine jahrealte Firmwarelücke in seiner eigenen Telefonanlage, die er aus reiner Bequemlichkeit nie gepatcht hat. Eitelkeit und ein ungepatchter VoIP-Router, das macht zwei Fliegen mit einer Klappe.“ Sie schaltete auf den Raumlautsprecher, und Maîtres Stimme füllte das Büro wie warmer Sirup.
„Clara, hör zu: Tarvoneo ist ein gefundenes Fressen. Zuerst WordPress – die betreiben ihre komplette Außendarstellung, das News-Portal, die Presseabteilung, alles auf einer einzigen, völlig veralteten WordPress-Instanz. Die Lücke war ein Cross-Site-Scripting-Ding, gepaart mit einer Rechteausweitung – ich hab ein schmales Skript in den Kommentarbereich ihrer neuesten Pressemitteilung gekippt, und peng, war ich als Administrator eingeloggt. Stell dir das vor wie einen Gast, der in der Hotellobby eine belanglose Nachricht an die Pinnwand heftet, und plötzlich gibt ihm die Rezeption den Generalschlüssel für alle Zimmer. So ein Ding war das: kein Passwort, kein Phishing, nur ein einziger falsch formatierter Eintrag mit einer zu freundlichen Software dahinter.“ Clara murmelte etwas von „endlich mal eine einfache“, und Maître lachte trocken.
„Einfach war nur der Einstieg, mein Schatz. Der eigentliche Clou kam mit Wazuh – das ist deren internes Sicherheitsüberwachungssystem, ein Open-Source-Monster, das eigentlich die Angriffe erkennen soll. Aber sie hatten es so konfiguriert, dass die API mit den Admin-Rechten meines WordPress-Zugriffs erreichbar war, und in der DistributedAPI-Komponente schlummerte ein Deserialisierungsfehler. Ich habe das harmlose Datenpäckchen, das Wazuh von mir erwartet hat, durch einen gefälschten Brocken ersetzt – und zack, hat der Server meinen Code ausgeführt, als wäre er sein eigener. Vergleich das mit einem Wachmann, der deinen gefälschten Ausweis kontrolliert und dich dann zum Chef persönlich eskortiert, weil der Ausweis plötzlich von der Geschäftsleitung unterschrieben ist. Von da an hatte ich die Befehlsgewalt über die gesamte Sicherheitsarchitektur.“ Ich kritzelte auf meinen Notizblock: Wazuh-API, Admin-Privilegien, Deserialisierung – und daneben ein Strichmännchen mit Wachmannmütze.
„Und das Sahnehäubchen, Clara, das ist der Netzregie-Controller. Tarvoneo baut Netzwerkhardware und verwaltet seine ganzen Testlabore mit einem selbst entwickelten SD-WAN-Controller namens Netzregie – eine fette, proprietäre Kiste mit Root-Zugriff auf sämtliche verwalteten Router und Switches. Die hatten eine OS-Injection-Schwachstelle in der Verwaltungsoberfläche, das heißt, ich konnte über ein simples Formularfeld Systembefehle einschleusen, als würde ich dem Gerät einen harmlosen Konfigurationswunsch schicken und stattdessen den Befehl zum Öffnen aller Türen einbetten. Es war wie eine Fernbedienung für ein Modellflugzeug, bei der man den Knopf für die Landeklappen drückt und stattdessen das ganze Flugfeld auf Standby schaltet. Ich hab mir damit eine persistente SSH-Verbindung als Root auf dem zentralen Controller eingerichtet – und von da aus sehe ich jedes Gerät, jede Tunnellösung, jeden Testaufbau, den Tarvoneo jemals in Betrieb genommen hat.“ Dr. Küster pfiff leise durch die Zähne, und ich spürte, wie sich die Schlinge um Tarvoneo zuzog – aber noch nicht um die Verkostung.
Adelheid kam mit Telefon am Ohr zurück: Tarvoneos Sicherheitschef hatte das WordPress-Backend sofort gesperrt und Wazuh vom Netz genommen, aber die Netzregie-Verbindung war noch aktiv – Maître saß praktisch auf der Hauptschlagader des Unternehmens. Während ich mit dem Einsatzleiter über eine koordinierte Abschaltung diskutierte, notierte Dr. Küster eine Auffälligkeit: Maître hatte für die Netzregie-Kommandierung dasselbe Signaturmuster in den Logs hinterlassen wie seinerzeit bei der Lumantris-Nifi-Manipulation – eine scheinbar zufällige, aber identisch strukturierte Debug-Meldung, die sein selbstgeschriebenes Persistenz-Skript verriet. Er benutzte wiederverwendeten Code. Ich starrte auf die beiden Logzeilen, die Küster nebeneinandergelegt hatte, und zum ersten Mal seit Tagen fühlte ich nicht nur Wut im Bauch, sondern kalte, klare Gewissheit: Morgen würde ich nicht nur den sechsten Gang servieren lassen – ich würde die Küche schließen.