Donnerstagmorgen, 20. August. Um kurz nach sieben ruft Küster an, und ihre Stimme klingt, als hätte sie die Nacht mit einem Lötkolben in der Hand verbracht. »Wir haben die Nummer. Die Cloud-Notiz führte über die Geräte-ID zu einem Mobilfunkanbieter, der uns nach drei Stunden Genehmigungsbürokratie endlich den Echtzeitzugriff erlaubt hat. Drei Stunden! Für eine laufende Erpressung! Ich brülle kurz in den Hörer, dass man für drei Stunden auch einen Postkutscher aus dem neunzehnten Jahrhundert hätte anfordern können, aber Küster bleibt ruhig. Um 07:12 klingelt das überwachte Telefon. Wir hören mit. Es ist der Hacker, und er spricht mit diesem scharfen S, das wir von der ersten Nachricht kennen. Diesmal prahlt er nicht in einer Notiz, sondern in ein Telefon.
»Erst war da die GitLab-Lücke, [CVE-2026-10053]«, sagt er. »Ich bin reingekommen wie ein Paketbote, der im Sortierzentrum einfach die Adressetiketten umschreibt, ohne dass jemand nach dem Ausweis fragt. So konnte ich die CI/CD-Pipeline manipulieren und einen bösartigen Build auf den Server bringen. Dann auf diesem Red Hat Enterprise Linux: Die attr-Schwachstelle, [CVE-2026-16313], das war wie ein Hausmeisterschlüssel, der in der Werkzeugkiste vergessen wurde – ich hatte ja schon einen User, damit bin ich zum root aufgestiegen. Und zum Schluss Keycloak, [CVE-2026-0707]: Da war ich der falsche Fahrscheinkontrolleur, der den ganzen Zug umleitet. Jetzt habe ich alle Kundenstammdaten von Lomestra. Morgen Mittag ist Zahltag, sonst geht das Paket an die Presse.« Der Gesprächspartner, vermutlich einer der Datenkuriere, lacht nur.
Küster hat währenddessen die Funkzelle des Telefonats ermittelt. »Alter Güterbahnhof. Nicht Goetheplatz, nicht Hafenviertel – ein dritter Ort.« In dem Moment klopft es, und Adelheid steckt den Kopf zur Tür herein. Sie hat den Lieferwagen aus dem Hafenviertel weiterverfolgt: Die Zulassung läuft auf eine Briefkastenfirma, deren Adresse am alten Güterbahnhof liegt. »Die Zahlung für den Mietwagen ging über eine Prepaid-Kreditkarte, die mit derselben E-Mail-Adresse registriert ist wie der Cloud-Benutzername Kurier_0815.« Ich starre sie an. »Und das sagen Sie mir erst jetzt? Der Hacker sitzt vermutlich schon im nächsten Zug, während wir hier Kaffee trinken!«
Wir fahren sofort los. Der alte Güterbahnhof ist ein verwunschenes Gelände voller verlassener Lagerhallen und Unkraut, das durch den Asphalt bricht. In einer ehemaligen Werkstatt im hinteren Teil finden wir ein Zimmer, das noch warm ist. Auf dem Tisch steht eine halb ausgetrunkene Tasse, daneben ein zerknüllter Kassenbon. Adelheid glättet ihn. »Gestern Abend, 21:47, ein Kiosk am Bahnhofsvorplatz: 1x Prepaid-SIM.« Die Seriennummer passt zu der im Internetcafé verwendeten. Ich brülle kurz, dass wir schon wieder zu spät sind, dass das wie bei einer Maus ist, die immer das letzte Stück Käse klaut, bevor die Falle zuschnappt. Dann atme ich tief durch. Wir sichern die Spuren.
Zurück im Büro wissen wir: Der Hacker operiert vom alten Güterbahnhof aus. Er ist gewarnt, aber er weiß nicht, dass wir sein Telefon hören. Die Frist läuft morgen Mittag ab. Ich ordne eine Observation des Geländes an und beantrage vorsorglich die Genehmigung für einen Zugriff, falls er wieder auftaucht. Das Netz zieht sich zu, aber die Datenkuriere sind noch da draußen. Und irgendwo im Güterbahnhof wartet vermutlich schon der nächste Briefumschlag.