Dienstagmorgen. Der Geruch von angebranntem Käse und süßlicher Ananas hing noch im Überwachungsvan, aber ich hatte keine Zeit für kulinarische Rückblicke. Adelheid hielt den Durchsuchungsbeschluss für das stillgelegte Fernmeldeamt in der Hand, und Dr. Küster brütete über den Docker-IPs, die sie die ganze Nacht abgeglichen hatte. Wir saßen erneut vor der Glasfassade von Velundrio, einem mittelständischen Softwarehaus für Identitätsmanagement – ihr Tech-Stack aus Keycloak, Wazuh und Gitea war ein Buffet, das Maître, der Hacker der »Verkostung«, offenbar als unwiderstehliches Dreigangmenü betrachtete. Um 9:14 Uhr traf die neue Erpressung ein, auf dem Briefpapier einer noblen Restaurantkette: »Die Verkostung präsentiert den zweiten Gang – Gitea als Amuse-Bouche, Wazuh als Zwischengericht, Keycloak als Hauptspeise. Fünf Millionen, sonst wird Ihre gesamte Kundenbasis zum öffentlichen Dessertbuffet.«
Dr. Küster hatte bereits den abgehörten IRC-Kanal auf die Lautsprecher gelegt. Maîtres Stimme tropfte vor Selbstgefälligkeit. »Er hat eine authentifizierte Remote-Code-Execution in Gitea genutzt«, erklärte sie, während Adelheid die Protokolle der letzten Nacht überflog. »Eine Lücke im Git-Hook-Mechanismus: Sobald er einen scheinbar harmlosen Korrekturpatch einreichte, durfte er auf dem Entwicklungsserver eigenen Code ausführen. Stellen Sie sich vor, Sie schicken einem Restaurantkritiker einen Verbesserungsvorschlag für die Dessertkarte, und der gibt Ihnen dafür nicht nur Feedback, sondern gleich die Schlüssel zum gesamten Eiskeller.« Maîtres Lachen klang wie das Klirren von Kristallgläsern. »Wazuh war der nächste Coup«, fuhr Küster fort. »Eine kritische Deserialisierungslücke in der Distributed-API-Komponente, Version 4.4.0 bis 4.9.0. Wazuh ist das Sicherheitssystem von Velundrio – normalerweise schlägt es sofort Alarm, wenn ein Unbefugter eindringt. Aber Maître konnte das Werkzeug selbst über die Lücke manipulieren und mundtot machen. Denken Sie an einen Wachhund, der darauf trainiert ist, Einbrecher zu melden, aber der Einbrecher füttert ihn mit einem präparierten Leckerli, woraufhin der Hund nicht nur stillhält, sondern auch noch freundlich mit dem Schwanz wedelt, während der Dieb die Silberbestecke einpackt.«
Maître übernahm das Wort, und ich hörte jedes Detail mit: »Und das Finale, meine Damen und Herren: Keycloak, das Identitäts- und Zugriffsmanagement von Velundrio. Mehrere Schwachstellen – darunter eine NoSQL-Injection im Admin-Interface und eine Umgehung der Sicherheitsvorkehrungen. Ich habe meine Benutzerrolle von ›Entwickler‹ auf ›Administrator‹ hochgestuft, einfach indem ich der Datenbank einen handgeschriebenen Brief zukommen ließ, der aussah wie eine offizielle Ernennungsurkunde. Keycloak las den Wisch und murmelte: ›Exzellenz, Ihr Thron ist bereit.‹ Ab da konnte ich auf sämtliche Kundendaten, Zertifikate und Auth-Token zugreifen.«
Adelheid kritzelte wild auf ihrem Block und hielt dann einen Zettel hoch: »PLZ 21«. Ich wirbelte herum. Sie deutete auf die Metadatenauswertung von Dr. Küster. »Die Druckdateien zeigen, dass die Pizzakartons in einer regionalen Druckerei mit Postleitzahl 21 produziert wurden. Dasselbe Einzugsgebiet, aus dem die letzte Pizza kam. Wir haben ein Liefercluster, das sich mit unserem PLZ-Raster deckt.«
Ich ließ die Aufnahme weiterlaufen, und plötzlich hörte ich eine beiläufige Bemerkung von Maître: »Bruno, sag Clara, sie soll den Server im Fernmeldeamt nicht vergessen – der muss morgen abgebaut werden, sonst finden sie die Backups.« Ich erstarrte. Das Fernmeldeamt! Wir hatten bereits den Durchsuchungsbeschluss, und jetzt wussten wir, dass sie tatsächlich Hardware dort lagerten – und dass Clara für die Logistik zuständig war. Adelheid griff sofort zum Funkgerät, um das Einsatzteam für den morgigen Zugriff zu koordinieren. Das Netz zog sich spürbar zu – diesmal würden wir nicht bloß zuhören, sondern den nächsten Gang persönlich servieren.
Da entdeckte ich den dritten Pizzakarton auf dem Armaturenbrett, den ein Streifenbeamter sichergestellt hatte. Keine Pizza Hawaii diesmal, sondern ein USB-Stick mit der Aufschrift »Dessertvorschau«. Ich riss ihn an mich, steckte ihn in einen air-gapped Laptop, und was ich sah, ließ mich einen Wutanfall hinlegen, dass der Van wackelte: Es waren die Baupläne unserer eigenen Einsatzzentrale. Nicht von außen fotografiert, sondern aus dem internen Netzwerkarchiv ausgeleitet. Die Verkostung war in unserem System gewesen. Ich schrie etwas von Sicherheitslücken und Restaurantkritikern, schleuderte den leeren Karton gegen die Scheibe und atmete dann tief durch. Morgen würden wir das Fernmeldeamt stürmen – aber heute mussten wir herausfinden, wie tief sie wirklich in unseren eigenen Servern steckten.