Freitag, 14. August, 7:03 Uhr. Ich stand in der Einsatzzentrale und versuchte, eine Thermoskanne zu öffnen, die jemand mit der Kraft eines wütenden Klempners zugeschraubt hatte. Adelheid sah zu, wie ich fluchte, und bot mir ein Papiertaschentuch an, das nach Waldmeister roch. Da platzte Dr. Küster herein, das Tablet wie ein Schild vor der Brust. „Herr Niesel, Cipher hat im Darknet-Forum ‚Kesselgucken‘ gepostet. Kein Telefon diesmal, sondern ein Prahlstück mit Screenshot.“ Ich ließ die Thermoskanne fallen, und sie rollte unter den Aktenschrank, wo sie verdächtig nach Metall klang. „Vorlesen!“, bellte ich, obwohl ich selber lesen konnte. Dr. Küster hielt mir das Tablet hin, und ich las.
Ciphers Post begann mit: „Gestern noch die Bühne, heute das ganze Haus.“ Ich murmelte: „Was soll das heißen, verdammt noch mal?“ Adelheid zuckte mit den Schultern. Der Post fuhr fort: „Thurvania hat seine KI-Pipelines mit Langflow bespielt. Eine öffentliche Instanz, die das Stück ohne Eintrittskarte aufführt. Ich rief den Endpunkt /api/v1/build_public_tmp auf – [CVE-2026-33017](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2828), der offene Bühneneingang. Kein Pförtner, keine Platzanweiserin, nur ein leerer Zuschauerraum. Zack, stand mein Skript auf der Bühne, als wäre ich der Regisseur, der zum ersten Mal den Vorhang hebt.“ Ich spürte, wie sich mein linker Schuh lockerte, während ich auf dem Bürostuhl wippte. „Dann kam etcd, das Inspizientenbuch hinter den Kulissen. Alle Stichworte, alle Auftrittslisten, alle Notenblätter. Eigentlich nur für den Inspizienten mit Dienstausweis. Ich kam durch eine unverschlossene Seitentür und blätterte trotzdem – [CVE-2026-33413](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2825), der Kulissen-Trick. Kein Kontrolleur, der mich aufhielt. Und was stand da? Die Zugangsdaten für Kibana, das große Souffleurbuch des Hauses.“ Ich knurrte: „Kibana, das Zeug, das Hanno Wuttke neulich erwähnt hat, als er von Serverlogs faselte.“ Dr. Küster nickte ernst. Ciphers Post endete: „Zum Schluss: Kibana. Entfernter, authentisierter Angreifer, sagt ihr? Natürlich authentisiert, ich hatte ja die Eintrittskarte aus etcd. [CVE-2026-26935](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2824), die Souffleurkasten-Lücke. Prototype Pollution im Machine-Learning-Teil, als hätte jemand die Seiten des Souffleurbuchs mit einem unsichtbaren Lesezeichen versehen. Ich loggte mich ein, blätterte im Souffleurbuch herum und exfiltrierte, was ich brauchte: Textpassagen, Gehaltslisten, die peinlichen Regieanmerkungen des Betriebsrats.“
Während ich noch versuchte, den Post zu verstehen, raste Adelheid los, um unseren Wagen zu holen. In Thurvanias Serverraum empfing uns Hanno Wuttke mit einem Gesicht wie ein verbrannter Toaster. Er zeigte uns die Langflow-Protokolle: Um 2:17 Uhr hatte jemand ohne Anmeldung einen öffentlichen Flow gebaut. Die etcd-Logs bestätigten einen unerlaubten Schreibzugriff um 2:31 Uhr. Und die Kibana-Zugriffe begannen um 2:44 Uhr, exakt zwei Minuten nach einem automatischen Reboot des Thurvania-Zeitservers. Ich starrte auf die Logzeilen und schrie plötzlich: „Warum hat der Zeitserver eine exakte Abweichung von vier Sekunden zu meinem linken Sockenelastikband? Ich will einen Kaffee!“ Der Kaffeeautomat im Serverraum gab nur ein Röcheln von sich, und ich trat so heftig dagegen, dass ein Metallgitter abfiel. Hanno Wuttke hob es auf, als wäre es ein totes Haustier. Dr. Küster hatte währenddessen den entscheidenden Fund gemacht: Der Foren-Post von Cipher war über einen internen Rechner mit Thurvania-Uhrzeit abgesetzt worden – die Bande war noch im Netz. Das war kein bloßer abgehörter Monolog mehr, sondern ein Beweis, dass Cipher sich gerade jetzt im System bewegte. Also stellten wir eine Falle: Wir instrumentierten den Kibana-Server, als wäre er ein Honeypot mit Glöckchen. Bei der nächsten Anmeldung sollte ein stiller Alarm auslösen, der uns den genauen Ursprungs-IP-Pfad verriet.
Der Nachmittag verging mit Warten, Kaffeekauen und einem erneuten Versuch, die Thermoskanne zu öffnen, die inzwischen von einem Hausmeister mit einer Rohrzange bearbeitet worden war, ohne Erfolg. Um 17:41 Uhr schlug der Alarm an. Ich rannte mit Adelheid und zwei uniformierten Kollegen zum Ausgang, als wäre die Kantine in Flammen. Der Zugriff kam aus einem gemieteten Lager in der Osthafenstraße, aber als wir ankamen, fanden wir nur einen leeren Raum, einen laufenden Kühlschrank und ein Kabel, das ins Nichts führte. Cipher hatte gemerkt, dass der Post verräterisch war, und die Verbindung getrennt. Immerhin: Wir hatten jetzt eine Adresse, einen Vermieter und einen Mietvertrag über eine Briefkastenfirma, die laut Dr. Küster „Trakoniel“ hieß – ein Name, der so künstlich klang wie ein Plastikbesteck-Set. Das Netz zog sich zu, auch wenn die Bande entwischt war.
Am Abend, zurück in der Einsatzzentrale, flatterte die Erpressermail an Thurvania ein, von der ich schon am Donnerstag gehört hatte. Diesmal enthielt die Kostprobe keine Zoom-Mitschnitte, sondern Kibana-Dashboards mit Gehaltslisten, Urlaubsplänen und der Bemerkung eines Abteilungsleiters über die Kantine, die besser nicht öffentlich würde. Der Absender prahlte, dass er „noch genug Seiten im Regiebuch“ habe. Ich ließ die Thermoskanne endlich in Ruhe und starrte auf die Mail. Der Fall zog sich zu, wie ein Vorhang, der jeden Moment fallen kann – aber ich würde morgen früh das Lager in der Osthafenstraße observieren, und diesmal würde ich die Taktgeber nicht entwischen lassen. Es sei denn, jemand schraubt mir vorher die Schuhe mit der Rohrzange fest.