Donnerstagmorgen, 24. September, Einsatzzentrale. Der Kaffeeautomat gab heute nur ein Geräusch von sich, das wie ein hustender Staubsauger klang, und dann kam ein Schwall lauwarmes Wasser. Ich, Norbert Niesel, stand davor und spürte, wie eine leichte Erregung in mir aufstieg – so ein Automat, der nicht tut, was er soll, ist wie ein Zeuge, der plötzlich die Aussage verweigert. Adelheid von Senff drückte mir eine Kanne aus dem Nebenraum in die Hand und sagte: „Niesel, nicht jetzt. Küster hat etwas." In der Auswertung saß Dr. Irmgard Küster, die das sichergestellte Prepaid-Handy von Magnus Mangel durchleuchtet hatte. „Auf dem Gerät ist eine Sprachnotiz, datiert heute Nacht, 02:17 Uhr. Er spricht offenbar mit sich selbst oder mit dem Boss. Hören Sie selbst."
Ich setzte den Kopfhörer auf. Magnus Mangels heisere Stimme: „Boss, ich bin’s. Bevor wir heute Abend die Forderung an Xarventila rausschicken, lege ich nach. Erstens: Ich habe einem von denen eine präparierte PDF geschickt – sieht aus wie eine Rechnung, lag im Posteingang von diesem Herrn Jammer. Sobald der sie mit Foxit PDF Reader öffnet, und das tut er, weil der Betreff ‘Zahlungserinnerung’ ist, führt mein Code aus. Das ist die Lücke CVE-2026-57253. Stell dir vor, du bekommst einen Brief, der beim Öffnen nicht etwa eine Rechnung enthält, sondern den Briefträger mitten in dein Wohnzimmer beamt – und der Briefträger setzt sich an deinen Computer. So bin ich drin. Aber nur als kleiner Sachbearbeiter. Für mehr Rechte brauche ich Emacs. Die benutzen GNU Emacs für ihre Entwicklung. Ich habe auf dem Rechner des Admins eine harmlose Datei platziert, die beim nächsten Start von Emacs eine Kette lostritt. Die Lücke CVE-2026-77219 ist wie ein Werkzeugkasten, in dem man den Hammer nur in die Hand nimmt und er schlägt von selbst zu – ich muss den Admin nicht mal dazu bringen, irgendwas zu klicken. Er startet Emacs, und zack, habe ich seine Rechte. Und dann, Boss, der Clou: Mit den Zugangsdaten des Admins gehe ich auf deren Microsoft GitHub Enterprise Server. Da steckt die Remote-Code-Execution-Lücke CVE-2026-3854. Ich melde mich an, werfe eine falsche Inventarliste ein, und alle Regale im Lagerhaus öffnen sich: Quellcode, Zugangsdaten, alles. Ich richte mir eine Hintertür ein, die auch ein Update überlebt. Heute Abend können wir den Preis verdoppeln." Die Aufnahme endete mit dem Geräusch einer Brezeltüte.
Ich riss mir die Kopfhörer vom Kopf. „Küster, der Angriff läuft schon. Die PDF ist bei Xarventila im Postfach gelandet. Wir müssen sofort hin." Adelheid schnappte den Dienstwagen-Schlüssel. Im Wagen drückte ich den Knopf für das Blaulicht, aber es kam nur ein müdes Klicken, gefolgt von einem surrenden Ton, der an eine nasse Socke erinnerte – ich hämmerte auf das Armaturenbrett und schrie: „Warum ist denn heute alles kaputt? Erst der Kaffee, jetzt das Licht!" Adelheid legte mir eine Hand auf den Arm und sagte: „Fahren Sie einfach. Wir haben keine Zeit für einen Anfall." Ich atmete tief durch, startete den Motor und fuhr los.
Bei Xarventila empfing uns Herbert Hohl, der so blass war wie ein frisch formatiertes Word-Dokument. „Herr Niesel, gut dass Sie kommen. Einer unserer Sachbearbeiter, Jonas Jammer, meldete heute Morgen, sein Rechner spinne. Er hat gestern Abend eine seltsame Rechnung geöffnet – PDF, Foxit. Seitdem tauchen komische Prozesse auf." Ich nickte. „Das ist der Erstzugriff. Die Bande nutzt eine Lücke in Foxit PDF Reader. Dann wollen sie über eine Emacs-Schwachstelle Adminrechte und schließlich Ihren GitHub Enterprise Server ausräumen." Hohl wurde noch blasser. Wir sicherten den Rechner, ließen Küster per Ferndiagnose die bösartige PDF analysieren und die betroffenen Systeme isolieren. Die Bande war nicht zu fassen, aber wir hatten den Angriff in Echtzeit bestätigt. Magnus Mangel blieb verschwunden – aber er wusste nicht, dass wir seine Sprachnotiz hatten.
Zurück in der Einsatzzentrale zeichnete ich die Kette aufs Whiteboard: PDF (Foxit) -> Rechteausweitung (GNU Emacs) -> Exfiltration (GitHub Enterprise Server). Darunter schrieb ich: „Lösegeldforderung heute Abend." Der Kaffeeautomat gab inzwischen wieder normalen Kaffee, weil Küster ihn mit einem gezielten Tritt repariert hatte. Ich nahm einen Schluck und fand ihn nur lauwarm. Adelheid sah mich an und sagte: „Immerhin kein warmer Regen." Ich verdrehte die Augen, aber tief in mir spürte ich: Das Netz zog sich weiter zusammen, Masche für Masche. Der Fall blieb offen – aber wir waren dem Hacker einen Schritt näher, und er wusste es nicht.