Mittwoch, der 7. Oktober 2026. Ich hatte gerade meine dritte Tasse Kaffee geleert und starrte auf die ungespülte Tasse vom Montag, als Adelheid mit einem durchsichtigen Asservatenbeutel hereinkam. „Das ist gestern bei der Verfolgung aus dem Lieferwagen gefallen“, sagte sie. „Ein Handy. Die Spurensicherung hat es gefunden.“ Dr. Irmgard Küster stand schon in der Tür, die Brille auf der Nasenspitze. „Ich habe die Sprachnachrichten extrahiert, Niesel. Es sind Nachrichten von Nullkommanix an Kommazahl. Und sie sind brandaktuell.“ Ich nahm den Beutel, hielt ihn gegen das Licht. „Dann lass uns mal hören, was die Herren Nullnummern diesmal vorhaben.“
Küster spielte die längste Nachricht ab. Nullkommanix prahlte wie ein Marktschreier: „Zavolindor, diese IT-Firma, hat ihre Serververwaltung offen ins Internet gehängt. Über HPE Integrated Lights-Out, diesen Fernwartungschip in den Servern. Die hatten ein Gastkonto, das nur den Status anzeigen durfte. Mehr brauchte ich nicht. Die Lücke CVE-2026-76729 ist wie ein offener Fahrstuhl, der mich vom Besuchergeschoss direkt in die Chefetage bringt – ohne dass ich einen Schlüssel für die oberen Stockwerke brauche. Damit war ich im internen Netz. Dann stieß ich auf ihr Keycloak, das zentrale Anmeldesystem. Die Lücke CVE-2026-18963 ist wie ein Pförtner, der dir einen neuen Schlüssel aushändigt, nur weil du behauptest, du hättest deinen verloren – ohne deinen Ausweis zu prüfen. Ich hab das Passwort des Administrators zurückgesetzt, ohne die Bestätigungsmail zu klicken, und hatte seinen Account. Und dann, mit diesen Rechten, bin ich in ihr HCL BigFix Service Management, ihr Patch-Management. Die Lücken CVE-2026-67171 und CVE-2026-67100 sind wie ein Wartungstunnel, der direkt in den Serverraum führt. Eine offene API, die sensible Daten preisgibt, und dann noch Löcher, durch die ich beliebigen Code ausführen konnte. Ich hab mir einen dauerhaften Zugang eingerichtet und die Daten abgezogen. Jetzt können wir die Erpressung starten.“ Die Nachricht endete mit einem leisen Kichern.
Küster tippte auf ihr Tablet. „Die Metadaten der Sprachnachrichten zeigen, dass sie über einen WLAN-Router in der Dieselstraße 14 verschickt wurden, Industriegebiet Ost. Die Funkzelle passt.“ Ich rief sofort bei Zavolindor an. Ein hektischer IT-Leiter namens Winkelmann bestätigte: „Unsere Systeme sind seit heute Morgen lahmgelegt, wir haben eine Erpressernachricht.“ Er las vor: „Wir, die Nullnummern, haben Ihre Daten. 350.000 Euro in Bitcoin, oder Ihre Kundendaten gehen an die Konkurrenz.“ Fast derselbe Wortlaut wie bei Morventia und Kleinschmidt. Und dann der Hammer: Die Bitcoin-Adresse war identisch mit der aus den ersten beiden Erpressungen. Ich starrte auf mein Telefon, als hätte es mich persönlich beleidigt. „Das ist ein Fehler. Ein dicker, fetter Fehler.“
Adelheid und ich fuhren zur Dieselstraße 14. Vor dem Lager stand ein einzelner grauer Lieferwagen, der Motor noch warm. Ich parkte, sprang heraus, trat dabei in eine Pfütze, die sich als tiefer als gedacht entpuppte, und brüllte etwas über fehlende Gullydeckel und städtische Inkompetenz. Adelheid hob nur eine Augenbraue. Das Lager war leer – bis auf einen Tisch, drei halb gegessene Döner und einen umgekippten Kaffeebecher. An der Wand hing ein Zettel: „Liebe Grüße, die Nullnummern. Ihr wart zu langsam.“ Mein Puls schoss in die Höhe. Ich schlug mit der flachen Hand gegen die Wand, dass der Putz rieselte. „Die waren gerade noch hier!“ Adelheid legte mir die Hand auf die Schulter. „Reg dich nicht auf, Niesel. Wir haben das Handy. Und wir haben die Bitcoin-Adresse. Das Netz zieht sich zu.“
Zurück im Präsidium ließ ich die Bitcoin-Adresse erneut überwachen. Küster bestätigte: „Dieselbe Adresse wie bei Morventia und Kleinschmidt. Die Bande wird nachlässig.“ Ich nickte, während ich mit einem Papiertuch den Dönerfleck von meinem Hosenbein wischte. „Wenn diese Adresse aktiv wird, haben wir sie. Vielleicht nicht heute, aber bald. Und morgen knöpfen wir uns diesen WLAN-Router in der Dieselstraße vor – vielleicht finden wir dort noch mehr.“ Draußen begann es wieder zu nieseln. Die Nullnummern waren weiter frei, aber zum ersten Mal hatte ich das Gefühl, dass wir ihnen nicht nur einen Schritt hinterherhinkten, sondern der Abstand schrumpfte. Und das war ein verdammt gutes Gefühl.