Mittwochmorgen, 19. August. Draußen regnet es, und im Büro riecht es nach kaltem Kaffee. Adelheid hat die ganze Nacht die Kameras rund um das Café im Hafenviertel durchgesehen und präsentiert mir mit strahlendem Gesicht einen Teil des Kennzeichens eines Lieferwagens. »Ein Mietfahrzeug, das am Donnerstag um 14:11 direkt vor dem Café stand. Der Fahrer hatte eine Kapuze tief im Gesicht.« Ich nicke, als Lommen anruft. Seine Stimme kippt, als er erklärt, dass die Nacht von Dienstag auf Mittwoch offenbar für einen zweiten Akt genutzt wurde. Im internen Monitoring fand sich eine geteilte Cloud-Notiz mit dem Titel ›Postzustellungsbericht 2‹. Der Sicherheitsdienst entdeckte außerdem drei neue Oracle-Konten, die niemand angelegt hatte.
Ich lese laut vor, was die Datenkuriere diesmal geschrieben haben. »Hallo, Lomestra. Ihr dachtet, nach SAP, PostgreSQL und Zimbra wäre Schluss? Ein Kurier klingelt zweimal. Euer Oracle-Commerce-Shop hatte eine Lücke, CVE-2026-47060, bei der ich als anonymer Besucher reinkam, wie ein Theaterzuschauer, der durch den offenen Souffleurkasten direkt auf die Bühne hört, ohne sich anzumelden. Danach habe ich mich mit den Zugangsdaten aus dem Shop in eurer Oracle-Datenbank gemütlich gemacht und mit CVE-2026-21999 die Daten geholt, wie ein Stadionsprecher, der alle Spielerlisten ausruft, während der Ordnungsdienst nur die Eingänge bewacht. Und mit CVE-2026-46817 in der Oracle E-Business Suite habe ich mir den Stempel ins Formular gesetzt, das sich selbst genehmigt. Das ist jetzt mein Dauerzugang. Bis Freitag 12 Uhr wird es teurer – doppelt, weil ihr am Montag so unhöflich wart.« Darunter ein Smiley. Ein grinsendes Posthorn.
Dr. Küster, die dazu geschaltet ist, klingt zufrieden. »Die Notiz wurde mit einem mobilen Gerät geschrieben und hochgeladen. Die Änderungshistorie zeigt alle Schreibpausen. Um 02:46 entstand die Datei, um 03:12 wurde sie in einem öffentlichen WLAN-Bereich gespeichert. Der Dateiname der Sicherungskopie enthält die Geräte-ID eines Smartphones, das über eine Prepaid-Karte läuft. Die Funkzelle liegt am Goetheplatz.« Damit ist klar: Diesmal kein Hafenviertel, sondern ein Internetcafé mitten in der Stadt.
Um zehn stehe ich mit Adelheid im Café ›Netz & Bohne‹ am Goetheplatz. Die Besitzerin, eine schnelle Person mit rot gefärbtem Haar, erinnert sich an den Mann. »Klar. Der hatte eine dunkle Kapuzenjacke, obwohl es nachts warm war, und bestellte einen Kaffee mit drei Würfelzucker. Er sprach ein bisschen sonderbar, so mit scharfem S.« Sie zeigt uns die Aufnahmen: Ein schmächtiger Typ, abfallende Schultern, Hände, die auf der Tastatur tippen. Um 03:12 exakt der Zeitstempel der Cloud-Notiz. Das Gesicht bleibt halb verdeckt, aber die Statur und die Stimme passen zu dem Sprachfehler aus der ersten Erpressernachricht.
Adelheid beschlagnahmt die Aufnahmen, während ich mit der Besitzerin über fehlende Ausweiskontrolle diskutiere. Sie sagt, sie habe dem Mann keinen Ausweis abverlangt, weil er einen Kaffee bestellte. Ich atme tief durch und brülle kurz, dass man auch einen Kaffee zur Identifizierung braucht, wenn er um 03:12 zusammen mit einer Erpressernotiz hochgeladen wird. Sie bleibt ruhig. Zurück im Büro setzt Küster eins drauf: Die SIM-Karte des Handys wurde am Montagnachmittag in einem Kiosk am Hafenviertel aktiviert, etwa zweihundert Meter vom ersten Café entfernt. Der Kiosk hat eine Kamera, und darauf ist dieselbe Kapuzenjacke zu sehen. Wir haben zwei Schauplätze, ein Teilgesicht, eine Geräte-ID und einen Cloud-Benutzernamen: Kurier_0815. Die Datenkuriere sind noch da draußen, aber zum ersten Mal läuft der Fall nicht hinterher, sondern parallel.