Donnerstag, der 8. Oktober 2026. Ich saß mit Küster im Abhörraum, der eher nach einem Besenschrank mit zu vielen Monitoren aussah, und starrte auf die Frequenzanalyse. Nach dem Fund des Handys hatten wir die Nummer von Nullkommanix überwachen lassen. Um 9:47 Uhr klingelte es. „Da ist er“, flüsterte Küster, als wäre die Stimme im Raum. Ich setzte den Kopfhörer auf, verhedderte mich im Kabel und riss einen Stapel Notizzettel mit. Ich brüllte etwas über technische Unordnung und unkooperative Kabel, bis Küster mir den Stecker in die Hand drückte. Dann hörte ich Nullkommanix: „Professor? Quarnelith ist erledigt. Ich bin drin.“
„Erst die Softwarebude Quarnelith?“, brummte Professor Null am anderen Ende. „Was ist mit der Bitcoin-Adresse?“ Nullkommanix lachte. „Neue Adresse diesmal. Kein Grund, der Polizei denselben Fehler zweimal zu servieren.“ Er räusperte sich. „Also, zuerst Gitea. Die interne Entwicklungsplattform von Quarnelith. Die hatten einen Bug, den ich über die Fork-Funktion auslösen konnte. Die Lücke CVE-2026-60004 in Gitea ist wie ein ungedeckter Mittelfeldspieler, der ungehindert Richtung Tor marschiert, während die gesamte Abwehr kollektiv auf den Ball starrt. Ich konnte damit beliebigen Code ausführen und hatte erstmals Zugriff auf ihre Server. In einer Konfigurationsdatei lagen Zugangsdaten für ihr JetBrains TeamCity – das Build-System, in dem sie ihre Software zusammenbauen.“ Er pausierte. „Und stell dir vor, Professor: Die TeamCity-Lücke CVE-2026-63077 ist wie ein Schiedsrichter, der dir einen Freistoß pfeift, nur weil du laut ‚Foul‘ rufst. Ein entfernter, authentisierter Angreifer – und ich hatte ja die Zugangsdaten aus Gitea – kann darüber beliebigen Code ausführen. Ich hab mir Adminrechte im Build-System geholt und einen dauerhaften Hintereingang eingerichtet. Von da aus fand ich Service-Tokens für Elasticsearch, ihren Datenkeller.“ Nullkommanix kicherte. „Dann Elasticsearch, die Suche über alle Kundendaten. Die Lücke CVE-2026-82294 ist wie ein Stadiontor, das nach dem Abpfiff sperrangelweit offen steht, weil der Sicherheitsdienst schon Feierabend gemacht hat. Ich konnte die Sicherheitsmaßnahmen umgehen, mir Administratorrechte geben und die Datenbanken leerfegen. Die Erpressernachricht ist vorbereitet. Die Daten sind draußen.“
Küster tippte fieberhaft auf ihrem Tablet. „Die Funkzelle des Anrufs zeigt auf die Bahnhofstraße 23, ein ehemaliges Wettbüro im ersten Stock. Das ist ihr aktueller Standort.“ Ich riss den Kopfhörer herunter, knallte ihn auf den Tisch und schrie: „Dann nichts wie hin!“ Ich rief während der Fahrt im Wagen den IT-Leiter von Quarnelith an, einen Herrn Feldkamp, der beim Wort ‚Nullnummern‘ fast das Telefon fallen ließ. „Trennen Sie sofort TeamCity und Elasticsearch vom Netz!“ brüllte ich. „Und sichern Sie alle Logs!“ Zehn Minuten später rief er zurück: „Wir haben den Angriff gestoppt, aber ein Teil der Kundendaten ist bereits abgeflossen. Eine Erpressernachricht haben wir auch gefunden.“ Ich fluchte leise. „Die Bande wird nervös. Das war der vierte Coup.“ Adelheid bog in die Bahnhofstraße ein. Vor dem Wettbüro standen zwei Streifenwagen. Wir stürmten die Treppe hinauf, ich stolperte über einen abgetretenen Teppich und schrie etwas über städtische Verwahrlosung, bis Adelheid mich am Kragen packte. Der Raum war leer. Auf dem Tisch stand ein Laptop, noch eingeschaltet, der Bildschirm zeigte eine offene Remote-Verbindung zu einem gemieteten Server. Daneben lag ein Notizzettel: „Euch reicht’s wohl nie. – Nullnummern.“ Ich atmete schwer. „Sie waren gerade hier.“ Adelheid zog sich Latexhandschuhe über. „Aber sie haben den Laptop vergessen. Das ist mehr als ein Fehler, Niesel. Das ist eine Einladung, ihnen die Tür vor der Nase zuzuschlagen – auch wenn wir heute noch nicht wissen, wo diese Tür ist.“ Küster sicherte den Laptop, während ich aus dem Fenster auf die Bahnhofstraße starrte. Die Bande entkam wieder, aber zum ersten Mal hatte ich das Gefühl, dass wir nicht mehr nur hinterherrannten, sondern ihnen auf die Hacken traten. Und dieser gemietete Server? Der würde uns noch einiges erzählen.