Dr. Irmgard Küster hatte diesen Gesichtsausdruck, der bedeutete: „Ich habe etwas gefunden, das Ihnen nicht gefallen wird, aber ich werde es Ihnen trotzdem mit der sanften Genugtuung einer Frau servieren, die seit drei Tagen Svens Thermodrucker-Papierfetzen sortiert.“ Sie legte mir einen Stoß zusammengeklebter Zettel auf den Schreibtisch, die aussahen wie ein archäologisches Puzzle aus der Bronzezeit. „Svens Chat-Ausdrucke, frisch restauriert. Ihre Freundin Zo ist fleißiger, als wir dachten. Während Herr Schwenk-Sven gerade seine erste Nacht in der U-Haft mit dem Versuch verbringt, den Zellencomputer aus einer Klorolle und Alufolie zu basteln, hat Zo offenbar beschlossen, den Laden allein weiterzuführen. Und sie hat sich an Svens technische Notizen gehalten wie an die Gebrauchsanleitung für eine Atombombe.“ Ich las die Zeilen und spürte, wie sich mein Kaffeedurst ins Unermessliche steigerte. „Erklären Sie es mir so, dass ich nicht weinen muss, Frau Dr. Küster.“ Sie seufzte. „Also gut: In Svens Unterlagen fand sich ein detaillierter Angriffsplan gegen die MedizinGroßhandel MediKuriosum GmbH – ein Unternehmen, das nicht nur Krankenhäuser mit teuren Geräten beliefert, sondern auch eine Bildverarbeitungs-Software einsetzt, die auf dem Betriebssystem ‚Scarlet Pinguin Enterprise‘ läuft. Das ist eine kommerzielle Distribution, die speziell für medizinische Bildgebung optimiert wurde – und sie hat eine fatale Lücke in ihrer Raw-Bildverarbeitungs-Bibliothek, intern ‚RawPixel‘ genannt. Ein Angreifer kann über ein manipuliertes Bilddateiformat beliebigen Code im Kontext der Anwendung ausführen. Zo hat das offenbar gestern Nacht ausgenutzt: Erstzugriff über eine präparierte Röntgenaufnahme, die sie per E-Mail an einen ahnungslosen MediKuriosum-Mitarbeiter geschickt hat – mit dem Betreff: ‚Dringend: Befundabgleich, bitte sofort öffnen‘. Der Mitarbeiter öffnete das Bild, und zack – saß Zo im System. Wie ein trojanisches Pferd, nur mit Röntgenblick statt Holzbauch.“ Ich massierte meine Schläfen. „Und dann? Das war doch nur der Erstzugriff.“ – „Richtig. Und jetzt kommt der Go-Teil, und ich warne Sie, Herr Niesel: Das wird eklig elegant.“
Küster drehte den Laptop zu mir und zeigte auf eine Reihe kryptischer Zeilen, die Svens unverkennbare Handschrift trugen – mit kleinen, selbstzufriedenen Smileys am Rand. „MediKuriosum nutzt für die interne Netzwerk-Kommunikation eine selbst entwickelte Middleware, die in Go geschrieben ist. Go, die Programmiersprache, nicht das Brettspiel. Diese Middleware, intern ‚Go-Broker‘ genannt, hat mehrere Schwachstellen in den Netzwerk-Parsern – ein Angreifer, der bereits im internen Netzwerk sitzt, kann über manipulierte HTTP/2-Header die Zugriffskontrolle aushebeln und sich von einem harmlos aussehenden Client-Rechner aus Rechte auf dem zentralen Broker-Server erschleichen. Das ist, als würdest du als einfacher Postbote die Hausverwaltung anrufen, mit verstellter Stimme behaupten, du seist der Oberbürgermeister, und plötzlich bekommst du die Schlüssel für alle Wohnungen – nur weil die Telefonanlage keinen ordentlichen Anruferabgleich macht. Zo hat sich vom Bildverarbeitungs-Server, auf dem sie nach dem Erstzugriff saß, mit einer manipulierten Go-Broker-Anfrage quer durchs MediKuriosum-Netz zum zentralen Warenwirtschaftssystem bewegt – und sich dort mit den abgefangenen Administrator-Tokens eingeloggt. Von außen betrachtet sah das aus wie völlig legitimer Datenverkehr. Die Firewall hat kein einziges Mal Alarm geschlagen.“ Ich klappte Svens Ordner zu und stand auf. „Dann wissen wir jetzt, wo sie zuschlagen will. Jetzt müssen wir nur noch wissen, wann – und was sie genau vorhat.“ In diesem Moment platzte Blohm herein, ein Fax in der Hand, dessen Schrift von einer so niederträchtigen Qualität war, dass es aussah, als hätte jemand Tinte auf einen Rasenmäher geschüttet. „Niesel – MediKuriosum hat gerade eine Erpresser-Nachricht bekommen. Unterschrieben mit einem einzigen Buchstaben: Z.“
Die Gräfin von Senff hielt das Fax so vorsichtig in den Fingerspitzen, als sei es ein Beweisstück aus einem besonders unappetitlichen Tatort. „Das ist kein Fax, Blohm – das ist eine handgeschriebene Notiz, die jemand durch ein Faxgerät gejagt hat, das vermutlich noch aus dem letzten Jahrhundert stammt und nie eine Wartung gesehen hat. Zo hat keinen Drucker mehr, seitdem wir Svens gesamtes Equipment im Copyshop konfisziert haben. Jetzt schreibt sie ihre Erpresserbriefe mit der Hand und faxt sie von einem öffentlichen Gerät aus – sie hat aus Svens Fehler gelernt, aber nur halb. Immerhin benutzt sie jetzt keinen Copyshop mehr.“ Die Gräfin warf das Fax auf den Tisch und begann, mit einer Geschwindigkeit im Raum auf und ab zu laufen, die normalerweise einen Tornado beschämt hätte. „WISSEN Sie, was mich an dieser ganzen Sache am meisten aufregt, Niesel? Nein, nicht die Tatsache, dass eine einzelne Frau mit einem gefaxten Drohbrief ein ganzes Medizinunternehmen lahmlegt. Sondern dass dieses Faxgerät – DIESES FAXGERÄT – laut Sendebericht im Copyshop auf der Schillerstraße steht! GENAU GEGENÜBER von dem Copyshop, in dem wir Sven festgenommen haben! Sie hat uns mitten ins Gesicht gelacht! In EINER PARALLELSTRASSE! Und KEINER hat sie gesehen! Ich werde diesen Copyshop-Besitzer persönlich –“ Sie stoppte abrupt, holte tief Luft und setzte sich kerzengerade hin. „Entschuldigung. Das war unprofessionell. Ich schlage vor, wir überwachen ab sofort sämtliche Copyshops, Faxgeräte und öffentlichen Schreibwarenläden in einem Radius von fünf Kilometern – rund um die Uhr. Wenn Zo Papier anfassen muss, fangen wir sie. Das ist Svens Erbe, und es wird auch ihr Verhängnis sein.“ Ich nickte und überlegte, ob ich erwähnen sollte, dass der Copyshop-Besitzer von gegenüber uns bereits gestern eine Rechnung über vierundsechzig gefaxten Seiten geschickt hatte – unbezahlt, versteht sich. Vermutlich hatte er bereits eine neue Mahnstufe erfunden.
In einem schäbigen Hotelzimmer zwei Straßen weiter saß Zo unterdessen vor einem uralten Laptop, den sie aus dem Fundus eines Elektroschrott-Containers geborgen hatte, und tippte mit einer Gelassenheit, die man nur hat, wenn man weiß, dass der halbe Polizeiapparat in die falsche Richtung sucht. Das Faxgerät neben ihr war ein monströses Klapperkasten-Ungetüm aus Beige-Plastik, das bei jeder Übertragung ein Geräusch machte wie eine schwer asthmatische Ente – aber es funktionierte, und es produzierte keine digitalen Metadaten, die zu ihr zurückverfolgt werden konnten. Svens Lektionen hatten gefruchtet, wenn auch auf eine Weise, die er selbst niemals vorhergesehen hätte: Papier war sicher, solange man keine Quittungen hinterließ. Und Zo hinterließ keine. Sie bezahlte ihre Kopien neuerdings in bar, mit abgezähltem Kleingeld, und sie benutzte jeden Copyshop nur ein einziges Mal. Die Rechnung an MediKuriosum war simpel: Das Unternehmen sollte innerhalb von 48 Stunden eine mittlere sechsstellige Summe in einer Kryptowährung bereitstellen, oder die gesamte Lieferkette für drei Großkrankenhäuser würde – umgeleitet werden. Nicht gelöscht, nicht verschlüsselt, nicht gestohlen. Einfach nur um ein paar Wochen verzögert, durch eine kleine Manipulation im Warenwirtschaftssystem, die aussah wie ein ganz normaler Logistikfehler. Genug, um Panik zu erzeugen, aber zu subtil, um sofort entdeckt zu werden. „Svens Idee“, murmelte sie vor sich hin und betrachtete einen vergilbten Notizzettel mit seiner Handschrift, den sie aus seinem Aktenordner gerettet hatte, bevor Blohm ihn beschlagnahmte. „Nur die Ausführung ist jetzt meine. Und diesmal lassen wir nichts ausdrucken, Sven. Diesmal ist alles nur noch im Kopf.“ Sie klappte den Laptop zu, stopfte das Faxgerät in einen Rucksack und verließ das Zimmer durch das Fenster – die Treppe war ihr zu riskant, seit sie gesehen hatte, wie Blohm auf der anderen Straßenseite mit einem donutverklebten Gesichtsausdruck sämtliche Passanten fotografierte. Der Mann war langsamer als eine Windows-Update-Installation, aber er war gründlich.
Unterdessen saß ich im Präsidium und versuchte, eine Verbindung herzustellen zwischen der Go-Lücke bei MediKuriosum und der Art, wie Zo sich im Netzwerk bewegte – und stieß dabei auf eine Kleinigkeit, die Dr. Küster in Svens Notizen übersehen hatte: eine Randbemerkung auf der Rückseite einer alten Currysauce-Werbung, mit Bleistift und in winziger Schrift. „Fallback-Taktik für MediKuriosum: Falls Go-Broker dicht – Zugriff via VNC-Wartungszugang, Port abgefragt, PW Standard.“ Ich starrte auf die Zeilen. VNC. Wartungszugang. Standardpasswort. Das war, als würde man seinen Haustürschlüssel unter die Fußmatte legen – die Fußmatte mit einem neonleuchtenden Pfeil versehen und ein Schild danebenstellen, auf dem „Schlüssel liegt hier!“ steht. Wenn Zo das fand, bevor wir MediKuriosum warnten, dann war sie nicht nur im System – sie hatte einen zweiten, völlig unabhängigen Zugangsweg. Ich griff zum Telefon, um die Gräfin zu informieren, aber in diesem Moment schrillte ein zweiter Apparat auf meinem Schreibtisch, und eine aufgeregte Stimme meldete sich: „Hier MediKuriosum-Zentrale, IT-Abteilung. Wir haben ein Problem. Jemand hat gerade alle unsere Lieferpläne für nächste Woche gelöscht und durch eine einzige Zeile ersetzt. Die Zeile lautet –“ Ich hörte den Mann schlucken, „– die Zeile lautet: ‚Zahlungseingang abwarten. Gezeichnet: Die Pixel-Piraten, vertreten durch Z, in freundlicher Erinnerung an S.‘ – WAS SOLL DAS, KOMMISSAR? WIR SIND EIN MEDIZINGROSSHANDEL, KEIN KRIMINALKABARETT!“ Ich konnte nicht anders, ich musste kurz lächeln. Zo hatte Humor, das musste man ihr lassen. Aber der Witz war auf ihrer Seite, solange wir ihr nur hinterherliefen – und das würde sich jetzt ändern.