Montagmorgen, 17. August. Ich sitze noch nicht mal richtig im Büro, da klingelt das Diensthandy und der Tag ist gelaufen. Auf der anderen Leitung: ein aufgelöster Geschäftsführer der Firma Lomestra, die irgendwas mit Logistik und Lagerhaltung macht. »Herr Kommissar, wir werden erpresst!« Ich seufze, greife nach meiner Jacke und brülle nach Adelheid, die mir einen Kaffee bringen soll, aber sie ist schon draußen und parkt den Wagen. Der Verkehr ist eine Frechheit, und als wir endlich vor dem unscheinbaren Bürokomplex im Gewerbegebiet stehen, empfängt uns ein junger Mann mit Basecap, der uns stolz erklärt, sein Passwort sei »1234«, weil das leicht zu merken ist. Ich spüre, wie sich mein Nacken verspannt.
Der Geschäftsführer, ein Herr Lommen, zittert vor seinem Laptop. »Die haben uns eine Audiodatei geschickt.« Er spielt sie ab. Eine verzerrte Stimme, kalt und selbstgefällig: »Guten Morgen, Lomestra. Wir sind die Datenkuriere. Ihr habt ein Problem. Drei Probleme, um genau zu sein. Erstens: Euer SAP-System hatte ein offenes Fenster, und ich bin reingeklettert. Die Lücke CVE-2026-58230 im Approuter – ein Defekt, als hätte jemand das Rolltor der Paketannahme mit einem Kaugummi blockiert, sodass es nie richtig schließt. Ich musste mich nicht mal anmelden. Zweitens: Eure PostgreSQL-Datenbank, wo ihr die Kundendaten lagert, war wie eine Sortiermaschine, deren Weichen man mit einem simplen Trick umstellen kann. Mit CVE-2026-2003 habe ich mir aus eurem System die Zugangsdaten für den Rest geholt, als hätte mir jemand den Generalschlüssel für alle Briefkästen in die Hand gedrückt. Und drittens: Euer Synacor-Zimbra-Mailserver – die Lücke CVE-2026-33368 hat mir erlaubt, eure gesamte Korrespondenz zu kopieren, wie ein Postspion, der jeden Brief abfotografiert, bevor er zugestellt wird. Bis Freitag, 12 Uhr, wollt ihr die Daten zurück, zahlt ihr in Krypto. Sonst geht alles an die Presse.« Die Aufnahme endet mit einem trockenen Lachen. Ich schaue auf mein Handy: Küster muss das analysieren.
Ich übernehme die Ermittlung. Adelheid notiert eifrig, während ich die IT-Abteilung verhöre. Ein Praktikant, der eigentlich für die Patch-Verwaltung zuständig war, ist seit zwei Wochen im Urlaub. »Aber der hat doch gesagt, das wäre alles automatisch!« ruft der IT-Leiter. Ich spüre, wie sich in mir ein Gewitter zusammenbraut, und brülle: »Automatisch? Automatisch ist hier gar nichts, wenn der Praktikant ein Passwort wie ›1234‹ hat und SAP seit dem elften August ungepatcht rumsteht!« Ich beruhige mich mühsam, während Adelheid mir beschwichtigend einen Kaffee reicht. Dann rufe ich Dr. Küster an und schicke ihr die Audio-Datei. »Küster, ich brauche alles: Stimmanalyse, Hintergrundgeräusche, Metadaten.« Sie verspricht, sich sofort darum zu kümmern.
Eine Stunde später klingelt mein Handy. Küster. »Chef, die Datei ist ein Geschenk. Die Bande hat sie mit einem externen Aufnahmegerät erstellt, das GPS-Daten in die Metadaten schreibt – allerdings nicht absichtlich, sondern weil sie vergessen haben, die Funktion zu deaktivieren. Der Aufnahmeort ist ein Café im Hafenviertel, und im Hintergrund ist das typische Quietschen der Straßenbahnlinie 3 zu hören. Außerdem hat die Stimme einen minimalen Sprachfehler beim ›s‹.« Ich grinse. Zum ersten Mal an diesem Montag fühle ich so etwas wie Zuversicht. »Adelheid, besorg mir die Überwachungskameras rund um das Café am Hafen, vom letzten Donnerstag bis heute. Und prüfen Sie, ob es in der Gegend bekannte Cyberkriminelle gibt, die eine Vorliebe für Post-Metaphern haben.« Die Schlinge zieht sich zu – langsam, aber sie zieht sich.
Der Geschäftsführer Lommen unterbricht meine Gedanken. »Soll ich jetzt den Praktikanten entlassen? Und die Sache mit dem Passwort – können Sie den nicht festnehmen?« Ich fühle, wie mir der Kragen platzt. »Nein! Der Praktikant ist nicht unser Hauptproblem! Das Hauptproblem ist, dass Ihre Firma Sicherheitslücken offen lässt wie ein Scheunentor, und dass eine Bande namens ›Die Datenkuriere‹ gerade Ihre gesamte Kundendatenbank in der Tasche hat!« Ich atme tief durch, stelle den Kaffee ab, der inzwischen kalt geworden ist, und blicke auf die Uhr. Bis Freitag. Wir haben eine Spur, wir haben einen Ort. Was wir nicht haben, ist die Bande. Noch nicht.