Samstag, der 10. Oktober 2026, 09:42 Uhr. Ich starrte auf den Bildschirm in der Einsatzzentrale und versuchte, aus Küsters Worten schlau zu werden. Sie hatte den gemieteten Server der Nullnummern angezapft und mir einen Forenbeitrag vorgelegt, den Nullkommanix vor acht Minuten abgesetzt hatte. Ich las laut vor: „An Kommazahl: Der Professor macht Druck. Bis morgen muss das Geld stehen. Also Chelvandris. Zuerst Citrix NetScaler ADC und Gateway, CVE-2026-3055. Diese Lücke ist wie ein Warenaufzug, der ohne Schlüssel in den Keller fährt, wenn man den richtigen Klingelknopf drückt. Ein entfernter, anonymer Angreifer kann Code ausführen. Ich war drin. Dann Hazelcast, CVE-2026-107725. Das ist wie ein Küchenlehrling, der mit einem verfälschten Bestellzettel in die Kühlkammer des Chefkochs darf. Damit habe ich mir Rechte geholt und Sicherheitsvorkehrungen umgangen. Und zum Schluss Nextcloud, CVE-2026-23918. Wie ein Postverteiler, der mit einem alten Mitarbeiterausweis das Fach des Datenschutzbeauftragten leert. Mit den Zugangsdaten aus Hazelcast war ich authentisiert, habe Informationen offengelegt und Sicherheitsmechanismen umgangen. Die Erpressernachricht ist vorbereitet.“ Ich schlug mit der flachen Hand auf den Tisch. „Chelvandris. Wie lange hat das denn noch Zeit?“
Küster scrollte weiter. Der Forenbeitrag war von der IP des überwachten Servers abgesetzt worden, aber Nullkommanix hatte im Profil denselben Avatar wie auf dem sichergestellten Laptop. Zehn Minuten nach dem Post hatte er den Beitrag panisch gelöscht, aber Küster hatte bereits ein Abbild gezogen. Ich riss das Telefon an mich und brüllte in die Leitung, bis ich eine Dr. Evelyn Tannenberg am Apparat hatte. „Hier Kommissar Niesel. Sie werden gerade angegriffen. Kappen Sie sofort Citrix NetScaler, Hazelcast und Nextcloud!“ Tannenberg japste und stammelte etwas von merkwürdigen Exporten am Morgen. Zehn Minuten später rief sie zurück: Der Zugang über Citrix war da, Hazelcast lief noch, aber die Nextcloud hatte einen Abfluss von Vertragsdaten gemeldet. Ich brüllte, sie solle nichts anfassen und die Logs sichern. Adelheid stand schon mit dem Autoschlüssel in der Tür.
Wir fuhren zur Chelvandris GmbH. Unterwegs geriet ich in Rage, weil Adelheid darauf bestand, an der roten Ampel zu halten. „Es ist Samstag!“, schrie ich. „Trotzdem rot“, sagte sie. In der Firma erwartete uns Tannenberg mit einem Tablet, auf dem die Erpressernachricht der Nullnummern leuchtete. Sie war in der Nextcloud aufgetaucht, als hätte jemand ein Postfach neu beschriftet. Und mitten in der Betreffzeile stand ein interner Dateipfad: /mnt/nullserver/fuer_morgen/uebergabe_plan.txt. Ich starrte darauf, bis mir der Hals eng wurde. „Das ist ihr eigener Server“, flüsterte Adelheid. „Niesel, der Pfad zeigt auf unseren überwachten Server.“
Zurück in der Einsatzzentrale setzte Küster den Hebel an. Sie zog aus dem Protokoll des Miet-Servers eine Datei namens uebergabe_plan.txt. Darin stand nur: Sonntag, 11.10., 14:30 Uhr, Alte Seifenfabrik, Halle 7, Kanalstraße 88. „Die Bande hat den Server noch nicht aufgegeben“, sagte Küster. „Sie hat aber vergessen, dass der Dateipfad in der Erpressernachricht ein Eigenlob für uns ist.“ Ich starrte auf die Adresse. „Morgen schnappen wir sie. Und diesmal kennen wir die Bühne, bevor der Vorhang fällt.“
Ich wollte sofort losschlagen, aber der Durchsuchungsbeschluss für die alte Seifenfabrik musste erst noch per Fax bestätigt werden. Das Faxgerät war außer Betrieb, weil jemand am Vortag das Kabel für ein Ladegerät geklaut hatte. Ich zerrte an dem Papierstau, fauchte Adelheid an, dass ich nicht der Hausmeister sei, und beruhigte mich erst, als sie mir einen Zettel hinhielt. Darauf stand: Sonntag, 14:30, Halle 7. Ich nickte. „Netz zu. Morgen endlich.“