Montagmorgen, 21. September, und der Kaffeeautomat im dritten Stock der Einsatzzentrale hatte beschlossen, nur noch lauwarmes Spülwasser auszuspucken. Ich, Kommissar Norbert Niesel, stand davor, drückte zum vierten Mal auf die Taste mit dem kleinen dampfenden Becher und hätte am liebsten das ganze Gerät aus dem Fenster geworfen. Adelheid von Senff, meine Kollegin und inoffizielle Stimme der Vernunft, zog mich sanft am Ärmel zurück. „Niesel, der Automat ist ein Modell aus dem letzten Jahrzehnt. Der hat ein Anrecht auf Altersstarrsinn." Ich wollte gerade zu einer Antwort ansetzen, die nicht jugendfrei gewesen wäre, als mein Diensthandy klingelte. Am anderen Ende: ein aufgeregter Herr Günter Griesgram, Rentner aus dem Birkenweg 14, der behauptete, auf seinem Anrufbeantworter sei eine „verschlüsselte Drohbotschaft von Computer-Halunken" gelandet. Er verlange eine schriftliche Bestätigung, dass er kein Hacker sei, sonst gehe er zur Tagespresse. Ich versprach, sofort vorbeizukommen, und nahm den lauwarmen Becher mit – aus Prinzip.
Zwanzig Minuten später saß ich in Griesgrams Wohnzimmer, das nach Kohlrouladen und Bohnerwachs roch, und hörte mir die besagte Nachricht an. Es war keine Drohbotschaft. Es war die Prahlerei eines Banden-Hackers, die versehentlich an die falsche Nummer gegangen war. Die Stimme klang jung, selbstzufrieden, und sprach in einem Ton, als hätte er gerade den Hauptgewinn im Lotto gezogen. „Magnus, Alter, du wirst es nicht glauben", sagte die Stimme. „Die Firma Xarventila hat ein Synology DiskStation Manager laufen, das so löchrig ist wie ein Schweizer Käse nach einem Maschinengewehr test. Über die Lücke CVE-2026-13684 bin ich ohne Passwort reingekommen, als hätte jemand das Fenster zur Registratur offen gelassen. Da lagen die Backups der ganzen Firma – und rat mal, was ich darin gefunden habe? SSH-Keys für den Xen-Host. Wie ein Aufzug, der einen ohne Schlüsselkarte in die Chefetage fährt, wenn man nur den richtigen Knopf drückt." Griesgram nickte andächtig, als verstehe er jedes Wort. Ich nicht ganz, aber ich schrieb mit.
Die Stimme machte eine kurze Pause, vermutlich um an einem Energy-Drink zu nippen. „Und dann, Magnus, der schönste Teil: Auf dem Xen-Host war ich ja nur ein dahergelaufener Benutzer. Aber die Schwachstelle CVE-2026-79605 hat mir die Rechteausweitung serviert – schwupps, vom Pizzaboten zum Geschäftsführer. Und damit hatte ich die Schlüssel für die virtuelle Maschinenhalle. Aber der eigentliche Clou: Im Linux Kernel habe ich dann noch CVE-2026-31431 ausgenutzt, um mich unsichtbar zu machen. Wie ein Klempner, der die Wasserleitung stilllegt, während wir in Ruhe die Akten einsacken. Die Daten sind bereits auf dem Weg zu uns, und die Firma hat keine Ahnung. Morgen fordern wir das Lösegeld." Dann ein Klicken, die Aufnahme endete. Griesgram hielt mir eine Quittung über „verbrauchte Lebenszeit" hin.
Adelheid und Dr. Irmgard Küster, unsere Technik-Forensikerin, saßen wenig später in der Einsatzzentrale um mein Handy herum. Küster zog die Geräte-ID aus der Sprachnachricht und stöhnte: „Prepaid-Handy, gekauft vor drei Tagen bei einem Kiosk in der Innenstadt. Ohne Registrierung, aber der Verkäufer erinnert sich an einen jungen Mann mit auffälligem grünem Parka und einer Brille, die wie ein Schweißerhelm aussah." Ich schlug mit der flachen Hand auf den Tisch, woraufhin der lauwarme Kaffee überschwappte. „Ein grüner Parka im September! Das ist die Spur!" Adelheid seufzte. „Niesel, das ist ein Kiosk, der keine Kamera hat. Aber der Verkäufer konnte uns die ungefähre Zeit nennen, und die umliegenden Geschäfte haben Überwachungskameras." Wir forderten die Aufnahmen an, und eine Stunde später sahen wir den jungen Mann mit grünem Parka, wie er in Richtung Hauptbahnhof verschwand. Er kaufte sich noch eine Brezel, was wir im Video deutlich sahen. „Wenigstens hat er Kohlenhydrate", sagte Küster. „Die braucht er fürs Hacken."
Am Nachmittag rief ich bei Xarventila an. Der IT-Leiter, ein gewisser Herbert Hohl, lachte mich fast aus. „Unsere Synology ist auf dem neuesten Stand, da dringt keiner ein. Und Xen? Wir haben doch nur eine kleine Testumgebung. Sie lesen zu viele Krimis, Herr Kommissar." Ich bot ihm an, auf die Logdateien zu schauen, und nach einer halben Stunde meldete er sich zurück, mit einer Stimme wie Kreide auf einer Schiefertafel. „Da sind … unbekannte Zugriffe. Und der Backup-Server verhält sich seltsam." Die Bande war drin, keine Frage. Hohl wollte sofort alles abschalten, aber ich riet ihm, ruhig zu bleiben – wir würden die Infrastruktur überwachen, ohne dass die Bande es merkt. Wir hatten jetzt eine Spur: ein Prepaid-Handy, ein grüner Parka, und die Gewissheit, dass die Plausibilitätslücken – so nannte sich die Bande laut einer beiläufigen Bemerkung in der Nachricht – noch mehr vorhatten. Ich lehnte mich zurück, nahm einen Schluck von dem inzwischen kalten Kaffee und lächelte. Endlich wieder ein Fall, der nach Verfolgungsjagd roch. Der Hacker war noch da draußen, aber wir hatten ihn im Visier – und diesmal war der Kaffee wenigstens kalt statt lauwarm, das war ja auch schon mal ein Fortschritt.