Am nächsten Morgen, exakt siebzehn Minuten nachdem die Gräfin von Senff das vierte Einschreiben des Copyshop-Besitzers entdeckt und einen Wutanfall von solcher Intensität entfacht hatte, dass Blohm freiwillig die Fenster putzen ging, platzte Küster mit einer Erkenntnis in mein Büro, die mich den lauwarmen Kaffee auf meine Dienstvorschriften-Sammlung kippen ließ: »Die Impfstoffdaten waren nie das Ziel – Zo wollte die Kreditkartenabteilung.« Sie schob mir ein Tablet hin, auf dem die Logdateien des MediKuriosum-Intranets einen zweiten, bisher übersehenen Datenstrom zeigten, der mitten in der Nacht aktiviert worden war, lange nachdem wir den Kühlcontainer geräumt hatten. »Während wir auf das U-Boot gestarrt haben, hat sie den eigentlichen Coup durchgezogen – die Impfstoffdaten waren nur die Ablenkung, um uns und die Geschäftsführung in Panik zu versetzen, während sie in aller Ruhe die Zahlungsinfrastruktur auseinandernahm.« Küster tippte auf eine Audiodatei. »Sie hat uns noch eine Nachricht hinterlassen, direkt an Pflaume. Aber wir haben sie abgefangen. Hören Sie selbst.« Sie drückte auf Play, und Zos spöttische Stimme füllte den Raum.
»Guten Morgen, Herr Pflaume! Wissen Sie, was ein GIMP ist? Nein? Dann lassen Sie es mich Ihnen erklären: Es ist ein Bildbearbeitungsprogramm, und zwar eines, das auf Ihrem Rechner in der Marketingabteilung in einer Version herumgammelt, die so alt ist, dass selbst der Praktikant von 2019 sie nicht mehr anfassen wollte. Ich habe Ihnen eine kleine Grafik für die nächste Impfkampagne geschickt – eine XCF-Datei, die ganz harmlos aussieht. Aber in dieser Datei steckt ein Ebenenname, der so lang ist, dass GIMP beim Einlesen hektisch zu stottern anfängt und alles, was dahinter im Speicher steht, plattwalzt wie ein Elefant, der in einen Briefkasten gestopft wird und dabei das ganze Postamt einreißt. Ein klassischer Heap-Pufferüberlauf. Der Code, den ich da reingepackt habe, öffnet eine Tür zurück zu meinem Server – eine Tür nur für mich, so eine Art Hintereingang, von dem niemand etwas mitbekommt. Klick gemacht, Bild geöffnet, und schon war ich drin in Ihrem Firmennetz, und das nur, weil Sie immer alles anklicken, was nicht bei drei auf den Bäumen ist. Drin zu sein reicht mir natürlich nicht – ich will ja die ganze Sahnetorte, nicht nur das Stück vom Rand. Also brauche ich Admin-Rechte auf dem Server, der Ihre Kreditkarten verarbeitet. Und da kommt mein treuer Begleiter ins Spiel, der gute alte Copy Fail – Sie erinnern sich, das ist dieser neun Jahre alte Bug im Linux-Kernel, der mittlerweile so zuverlässig funktioniert, dass ich ihn patentieren lassen könnte. Jedes Mal, wenn der Kernel eine Datei kopiert und nicht nachmisst, ob der Kofferraum schon voll ist, kann ich meinen eigenen Code hinten draufpacken, wie jemand, der beim Kartenspielen heimlich ein Ass aus dem Ärmel zieht, während der Dealer wegguckt. Achtundvierzig Sekunden, und das Betriebssystem grüßt mich als höchste Instanz. Root-Rechte, Herr Pflaume – der Generalschlüssel für die ganze Bude. Damit stand mir der Kreditkartenserver offen, und der lief, wie es der Zufall so will, auf Node.js, Version 22.11.2, einer Version mit einem entzückenden kleinen Fehler im HTTP-Modul. Stellen Sie sich einen Pförtner vor, der auf Befehl alle Ausweise akzeptiert, selbst wenn da ›Micky Maus‹ draufsteht. Genau das habe ich gemacht: Ein paar manipulierte Header mit gefälschten Zertifikaten, und der brave Node.js-Dienst dachte, ich sei der Zahlungsverkehr höchstpersönlich. Dann hat er mir in aller Seelenruhe sämtliche Kreditkartensätze – inklusive CVV und Ablaufdaten – über eine verschlüsselte Verbindung auf meinen Server gekippt. Keine zwanzig Minuten, und ich hatte zehntausendvierhundert Kreditkarten, jede einzelne ein kleiner Goldbarren im Darknet. Und das alles nur, weil Sie ein Bild geöffnet haben, Herr Pflaume. Ich hoffe, die Grafik hat Ihnen wenigstens gefallen.«
Die Aufnahme endete mit einem kurzen, klickenden Lachen, das klang, als würde jemand eine Coladose aufreißen und dabei die Welt verhöhnen.
Ich starrte auf das Tablet, und während die Gräfin nebenan immer noch über die juristischen Implikationen des Wortes ›Faxerpressung‹ wetterte, fügten sich die Teile in meinem Kopf zusammen: Zo hatte nie vor, die Impfstoffdaten zu verkaufen – die waren nur die Nebelkerze, der Köder, der uns alle in den falschen Container locken sollte. Ihr wahres Geschäftsmodell war der systematische Diebstahl von Zahlungsdaten, und MediKuriosum war bloß der jüngste in einer Kette von Opfern, die wir noch nicht einmal kannten. »Küster«, sagte ich und wischte den Kaffee mit einem bedauernden Blick auf meine ruinierten Dienstvorschriften beiseite, »wenn sie die Karten bereits verkauft hat, müssen wir die Banken warnen, aber vor allem müssen wir rauskriegen, über welchen Marktplatz sie die Daten vertreibt – das ist unsere einzige Chance, ihr einen Schritt voraus zu sein.«
Küster nickte und begann bereits, die Header-Daten der abgehenden Node.js-Verbindung zu analysieren, während ich Blohm anwies, sämtliche Darknet-Monitoring-Tools der Abteilung hochzufahren und nach frischen Angeboten mit MediKuriosum-BIN-Nummern zu suchen. Zo mochte uns technisch immer noch eine Nasenlänge voraus sein, aber wenn sie glaubte, dass ich denselben Trick zweimal durchgehen ließ, während ich auf ein falsches U-Boot starrte, dann hatte sie ihre Rechnung ohne den sturen, cholerischen, aber leider lernfähigen Norbert Niesel gemacht – und ohne die Tatsache, dass selbst die cleverste Katze irgendwann stolpert, wenn sie zu viele Kreditkarten auf einmal jongliert.