Dienstagmorgen, 22. September, und der Kaffeeautomat in der Einsatzzentrale lieferte inzwischen nur noch eine Flüssigkeit, die geschmacklich irgendwo zwischen Bleistiftanspitzer und abgestandenem Aquariumwasser lag. Ich, Kommissar Norbert Niesel, hielt trotzdem einen Becher davon in der Hand, weil Prinzipien keine Kompromisse kennen. Adelheid von Senff schob mir einen Zettel hin: „Niesel, lass den Kaffee. Küster hat etwas im internen Chat von Xarventila gefunden." Dr. Irmgard Küster kam herein, den Laptop wie eine Reliquie vor sich hertragend. „Die Bande hat nach dem ersten Angriff den Kommunikationsserver übernommen. Dabei hat sie nicht gemerkt, dass wir auf demselben Server mitprotokollieren – die Logs laufen direkt bei uns auf." Genau das war der Vorteil, wenn man eine Firma überwachte, ohne dass die Angreifer es wussten. Wir lasen mit, was die Plausibilitätslücken intern schrieben, und was da über den Schirm lief, war kein harmloser Büroklatsch.
Küster scrollte. „Hier, Magnus Mangel an den Boss." Ich beugte mich vor und las: „Boss, die Sache mit Xarventila läuft besser als gedacht. Die Zugangsdaten aus den Backups haben mir die Tür zum internen Wiki geöffnet – die nutzen xwiki. Und in xwiki steckt die Lücke CVE-2026-24128. Stell dir vor, du blätterst in einem Aktenordner, und ein falsch gelochtes Blatt fällt heraus. Auf einmal liegt nicht nur das Inhaltsverzeichnis offen, sondern du kannst auch neue Seiten einlegen, die den ganzen Aktenschrank umprogrammieren. Ich habe mir auf dem Wiki-Server eigene Befehle ausgeführt, als würde ich in der Registratur einen Azubi einstellen, der nur mir gehorcht." Ich nickte langsam, obwohl ich keine Ahnung hatte, wie man einen Aktenschrank umprogrammiert.
Weiter im Chat: „Dann der Rechte-Turbo: Xarventila hängt an Keycloak. Die Lücke CVE-2026-18963 war wie ein Bankautomat, der mir nach dem ersten Fehlversuch plötzlich die Konten aller anderen Kunden anzeigt – und ich durfte die Überweisungen bestätigen. Aus dem dahergelaufenen Wiki-Benutzer wurde der oberste Sicherheitsverwalter. Volle Admin-Privilegien für alles, was an Single-Sign-On hängt." Ich stellte mir Magnus vor, wie er am Café-Tisch grinsend tippte. „Und als Krönung, Boss, die Docker-Sandboxes. Die Entwickler bei Xarventila lassen ihre Testumgebungen in kleinen, abgeschotteten Containern laufen – wie Tupperdosen. Aber eine Tupperdose, deren Deckel nicht richtig schließt, lässt den Inhalt in den Kühlschrank laufen. Mit CVE-2026-12039 bin ich aus der Dose auf den Kühlschrank geklettert – sprich: aus der Sandbox auf den Host. Da liegt jetzt eine Hintertür, die auch einen Neustart überlebt. Wir sitzen tiefer drin als je zuvor. Die Lösegeldforderung geht heute Nachmittag raus." Ich atmete hörbar aus. „Das ist ja großartig", sagte ich, „die Bande prahlt in einem Club, in dem wir Ehrenmitglied sind."
Der Ermittlungsschritt ließ nicht lange auf sich warten. Küster tippte auf eine Zeile im Log. „Die IP-Adresse des Chat-Clients von Magnus Mangel: öffentliches WLAN im Café am alten Postamt. Das ist keine dreihundert Meter von dem Kiosk entfernt, wo er das Prepaid-Handy gekauft hat." Mein Herz machte einen kleinen Satz. „Das ist die Spur, die warm ist. Nichts wie hin!" Adelheid griff nach ihrer Jacke. „Niesel, der Kaffee bleibt hier." In vier Minuten waren wir im Wagen, in zwölf Minuten parkten wir mit quietschenden Reifen vor dem Café. Die Tür fiel hinter uns ins Schloss, während ich eine ältere Dame fast umrannte. Die Bedienung, ein junger Mann mit kurzen Haaren und dem Gesichtsausdruck eines Menschen, der schon alles gesehen hat, blickte auf. „Wir suchen einen Mann mit grünem Parka und einer Brille wie ein Schweißerhelm. Er müsste hier mit einem Laptop sitzen." Die Bedienung nickte, als hätte ich nach der Tageskarte gefragt. „Der war da, ja. Hat eine Brezel gegessen und einen schwarzen Kaffee getrunken. Vor fünf Minuten ist er durch den Hinterausgang gegangen. Hat den Laptop zugeklappt und die Serviette ordentlich gefaltet. Ein komischer Vogel." Adelheid und ich rannten zum Hinterausgang, aber die Gasse war leer. Niesel fluchte leise, aber ohne echte Wut, denn die Überwachungskamera des Cafés lief. Der Hacker hatte sein Gesicht direkt in die Linse gehalten, als er den Bildschirm zuklappte. Wir hatten jetzt ein klares Bild, einen Zeugen und einen wiederkehrenden Brezel-Hunger. Das Netz zog sich zu – nur der Fisch war uns noch einmal durch die Maschen geschlüpft.