Freitag, der 9. Oktober 2026. Ich stand im Büro und starrte auf den Kaffeeautomaten, der seit drei Tagen nur noch ein leises, beleidigtes Zischen von sich gab, wenn man den Knopf drückte. Ich brüllte etwas über technische Verweigerungshaltung und notorische Kaffeeverknappung, bis Adelheid mir eine Tasse aus ihrer Thermoskanne hinstellte und trocken sagte: „Niesel, der Laptop ist entschlüsselt. Küster hat etwas.“ Ich riss mich zusammen und folgte ihr in den Besenschrank, den wir Abhörraum nannten.
Küster hatte den Bildschirm geteilt. Links sah ich ein Chat-Protokoll, das sie aus dem lokalen Cache des Laptops gezogen hatte. Rechts eine Liste von IP-Adressen. „Der Verlauf stammt aus einer Messenger-App, die Nullkommanix auf dem Gerät vergessen hat“, sagte sie. „Er prahlt gegenüber Kommazahl mit dem nächsten Coup.“ Sie scrollte zu einer langen Nachricht. Ich las halblaut vor: „Marondelik. Erst MikroTik RouterOS. Die Lücke CVE-2026-16347 in dem Router ist wie eine Ampel, die bei Nebel auf Grün springt, wenn man zweimal hupt. Ein entfernter, anonymer Angreifer kann damit die Sicherheitsvorkehrungen umgehen. Ich war also im Netz, ohne dass jemand geklingelt hat. Dann Argo CD, deren Kubernetes-Verwaltung. Die Lücke CVE-2026-42880 in Argo CD ist wie ein Sachbearbeiter, der jedem, der einen leeren Aktenordner vorlegt, einen Stempel für den Sonderbereich gibt. Unauthentifiziert Code ausführen, vertrauliche Informationen und Zugangsdaten auslesen – ich hab mir die Service-Tokens für Hashicorp Vault geholt. Und dann Vault, deren Passwort-Tresor. Die Lücke CVE-2026-5006 in Hashicorp Vault ist wie eine Keksdose, deren Deckel sich öffnet, wenn man genau weiß, wo man drücken muss. Mit den Tokens aus Argo CD war ich authentifiziert, konnte Autorisierungsmechanismen umgehen, Daten manipulieren und alles exfiltrieren. Die Erpressernachricht ist vorbereitet.“ Ich hörte auf zu lesen. „Marondelik. Das ist das Ziel. Und wir wissen es, bevor die Erpressung ankommt.“
Ich riss das Telefon an mich und rief die Marondelik GmbH an. Ich brüllte in die Leitung, bis ich einen Herrn Bockelmann am Apparat hatte, den IT-Leiter. „Hier spricht die Polizei. Sie werden gerade angegriffen. Trennen Sie sofort Ihre Router, Argo CD und Vault vom Netz!“ Bockelmann japste. „Wir haben seit heute Morgen merkwürdige Zugriffe auf unser Vault-System. Aber eine Erpressernachricht haben wir noch nicht gefunden.“ Ich brüllte zurück, er solle sofort die Logs sichern und nichts anfassen. Zehn Minuten später rief er zurück: „Wir haben die Verbindungen gekappt. Ein Teil der Daten ist abgeflossen. Und jetzt haben wir eine Nachricht gefunden – in unserem internen Wiki.“ Ich atmete schwer. „Die Nullnummern. Sie sind schneller, aber nicht mehr unentdeckt.“
Adelheid tippte auf den Bildschirm. „Küster, was ist mit der rechten Liste?“ Küster nickte. „Das sind die Zugangsdaten zum gemieteten Server, auf den der Laptop zeigte. Die IP ist noch aktiv. Ich habe eine Überwachung eingerichtet. Wenn die Nullnummern den Server noch einmal anfassen, sehen wir es sofort.“ Ich starrte auf die Bildschirme. „Also haben wir jetzt ihr nächstes Ziel, ihren Angriffsweg und ihren Ablageort. Was fehlt, ist nur noch ihr verdammtes Versteck.“ Ich geriet wieder in Rage, weil der Kaffeeautomat in meinem Kopf weiter zischte. „Und Kaffee“, sagte ich. „Vor allem Kaffee.“
Das Netz zog sich zu. Die Bande war uns wieder einen Schritt voraus, aber zum ersten Mal kannten wir ihre Route, bevor sie die Erpressernachricht verschickt hatten. Der gemietete Server war unser Köder. Und die Nullnummern wussten noch nicht, dass wir ihn beobachteten.