Mittwochmorgen, 23. September, in der Einsatzzentrale. Der Kaffeeautomat summte heute freundlich, weil jemand eine neue Kanne eingesetzt hatte – das Wunder von Mittwoch. Ich, Norbert Niesel, stand am Whiteboard, als Küster hereinkam und meldete: „Der Mann auf dem Foto heißt Magnus Mangel, 34, wohnhaft in der Kleiststraße 12, Mobilnummer haben wir auch." Adelheid klatschte in die Hände. „Dann ist die Identität gesichert. Jetzt können wir seine Kommunikation überwachen." Der Richter hatte bereits am Vorabend die Überwachung genehmigt, weil Gefahr im Verzug war. Ich fühlte, wie sich das Netz zuziehen wollte, obwohl mir der Kaffee seltsam optimistisch vorkam.
Um 10:12 Uhr klingelte es im Überwachungsraum. Magnus Mangel wählte eine Nummer, die wir als die des Bosses noch nicht kannten. Ich setzte den Kopfhörer auf, Adelheid den zweiten. Die Stimme des Hackers war jung und heiser. „Boss, hör zu. Bevor wir die Forderung an Xarventila rausschicken, habe ich noch drei Geschenke eingebaut. Erstens: Das VPN-Gateway. Die Firma nutzt F5 BIG-IP APM. Und in dem Ding steckt die Zero-Day Lücke CVE-2026-94127. Stell dir vor, du kommst ins Theater, hältst dem Garderobenmann einen leeren Zettel hin – und der gibt dir den Mantel jedes anderen Besuchers, nur weil du den Zettel gefaltet hast. Genau das habe ich mit einem manipulierten OAuth-Token gemacht: Von außen, ohne gültigen Account, habe ich eigenen Code auf dem Gateway ausgeführt. Das ist mein zweiter Weg, falls der erste auffliegt." Ich verstand nicht alles, aber Küster nickte ernst und kritzelte auf einem Zettel.
Magnus redete weiter: „Dann bin ich auf den internen Admin-Server gegangen. Die benutzen Webmin. Die Lücke CVE-2026-56020 ist wie ein Formular, auf dem ein leeres Kästchen als Unterschrift zählt – ich habe mich einfach als Administrator ausgegeben, ohne ein Passwort zu kennen. Und schon durfte ich Befehle ausführen, als hätte ich den Dienstausweis des obersten Hausmeisters. Und das Sahnehäubchen: Ihre Log-Pipeline läuft mit Fluent Bit. Über die Lücke CVE-2024-4323 schiebe ich meine eigenen Logs in die Leitung, als würde ich an einer Mautstelle ein falsches Kennzeichen ansagen und die Schranke hebt sich für die ganze Kolonne. Ich habe mir dort eine Hintertür eingerichtet, die auch einen Neustart überlebt. Jetzt sitzen wir so tief, dass die Lösegeldforderung heute Abend wie ein warmer Regen kommt." Adelheid flüsterte: „Warmer Regen?" Ich zuckte mit den Schultern. „Vermutlich meint er, wir werden nass."
Küster tippte wild. „Ich habe den Funkmast. Magnus Mangel telefoniert aus einem Internetcafé am Güterbahnhof, Ecke Ladestraße. Das ist zwölf Minuten entfernt – wenn wir den alten Dienstwagen nehmen und nicht den, der nach nasser Socke riecht." Wir rannten los, Adelheid vergaß sogar, mich vom Kaffeeautomaten fernzuhalten, weil der Automat nicht in Sicht war. Im Wagen gab ich Durchhalteparolen, während Adelheid das Blaulicht aufs Dach knallte. Als wir mit quietschenden Reifen vor dem Internetcafé hielten, war Magnus Mangel bereits weg. Der Wirt, ein Mann mit Nickelbrille und der Ruhe eines Menschen, der nie einen Krimi gelesen hat, sagte: „Der mit dem grünen Parka? Hat noch eine Brezel gegessen und ist dann durch die Tür zur Ladestraße verschwunden. Vor zwei Minuten." Auf dem Tisch lag das Prepaid-Handy, noch warm, daneben eine angerissene Brezeltüte. Ich fluchte leise, aber ohne echte Wut. Wir hatten seine Stimme auf Band, seinen Standort, und jetzt wussten wir, dass er die Lücken in F5, Webmin und Fluent Bit gegen Xarventila einsetzen will.
Zurück in der Einsatzzentrale rief ich Herbert Hohl bei Xarventila an. „Hohl, Sie müssen sofort das F5-Gateway patchen, Webmin vom Netz nehmen und die Fluent-Bit-Pipeline isolieren. Und bereiten Sie sich auf eine Lösegeldforderung heute Abend vor." Hohl stotterte etwas von einem geplanten Wartungsfenster am Donnerstag, aber ich unterbrach ihn. „Wenn Sie bis heute Abend nicht gepatcht haben, schicke ich Ihnen Adelheid von Senff mit einer Kanne Kaffee vorbei." Das wirkte. Ich legte auf und sah auf das Whiteboard. Die Bande hieß inzwischen nach eigenem Bekunden „Die Plausibilitätslücken", und sie saß tiefer in Xarventila als je zuvor. Aber wir hatten ihre Worte, ihre Nummern, ihre Gewohnheiten. Der Fall blieb offen – aber das Netz zog sich spürbar zu, Maschen für Maschen, während draußen der Mittwoch zäh wie der Kaffeeautomatenkaffee vor sich hin tropfte.