Sabine Kleefeld hatte schon viel gesehen in zwanzig Jahren bei Kleeblatt Logistik: verstopfte Förderbänder, streikende Spediteure, drei übereinander gestapelte Gabelstapler nach einer Betriebsfeier. Aber noch nie hatte ihr Monitor sie einfach so ausgelacht. Das Wasserzeichen – ein pixeliges Pflastersteinchen mit einem breiten, selbstzufriedenen Grinsen – war vor zehn Minuten aufgetaucht, als sie die neueste E-Mail der Geschäftsführung öffnen wollte. Statt der Nachricht ihres Chefs fand sie eine Forderung in fünfstelliger Höhe, adressiert an alle Abteilungsleiter. Der Absender nannte sich "die Patch-Fritzen" – ein Name, der absurd genug klang, um sofort die Polizei einzuschalten, und bedrohlich genug, um sie das auch wirklich tun zu lassen.
Ich stand zwanzig Minuten später in Frau Kleefelds Büro, das so ordentlich war, dass ich mich automatisch schuldig fühlte. Die Gräfin hatte mich mit den Worten losgeschickt: "Niesel, Sie lieben doch Wiederholungstäter. Diesmal sitzen die in einer Logistikfirma, nicht im Darknet – bewegen Sie sich." Das Wasserzeichen war zweifellos dasselbe wie bei CloudBridge, und das Versprechen dahinter ebenfalls: zahlen oder zusehen, wie die gesamte Kundenlogistik auf dubiosen Marktplätzen verscherbelt wird. Frau Kleefeld erklärte mir mit zittriger Stimme, dass ihre IT-Abteilung alles geprüft hätte, was man in drei Stunden prüfen konnte, aber nichts Auffälliges gefunden habe – bis auf einen kleinen Zertifikatsfehler in der Stratoblox Process Engine, den sie ignoriert hatten, weil "das System ja trotzdem durchlief".
Byte-Knut hätte in diesem Moment vermutlich gelacht. Und tatsächlich fand ich, als wir später am Abend im Präsidium die aufgezeichneten Logdaten zusammen mit Dr. Irmgard Küster analysierten, einen abgefangenen Chat zwischen Knut und Robby Rüpel, datiert auf den Morgen des Angriffs. "Die Kleeblatt-Sachbearbeiter haben ihre Prozessplattform wie ein Schaufenster dekoriert", hatte Knut getippt, "und die Authentifizierung war so löchrig wie ein Fischernetz nach einer Haiattacke." Er erklärte Robby – der wie immer drei Sätze brauchte, um überhaupt zu fragen, was eine "Stratoblox" sei –, dass die Plattform für ihre Automatisierungs-Clients eine optionale Zertifikatsprüfung anbot, die man einfach weglassen konnte, wenn man mit Google Chrome oder Microsoft Edge unterwegs war. "Die haben ihren eigenen Identitätsdienst per SAML angebunden, aber den Zugang zum Administrationsmodul haben sie mit einer selbst-signierten Zertifikats-Geschichte geschützt, die kein Mensch ernsthaft überprüft hat. Ich hab mir ein eigenes Zertifikat gebastelt – nennen wir es das VIP-Ticket für den Hintereingang – und bin direkt als Superadmin reinspaziert. Dann hab ich mir die Rechte aller Abteilungsleiter auf meine Session gezogen, als würde ich bei einer Party eine Schale mit Schlüsseln plündern. Die Logs zeigten nur ‘authentication success via SAML’ – kein einziger Alarm, kein Hinweis auf den Generalschlüssel in meiner Tasche. Robby, das war so einfach, dass ich mich fast geschämt hätte – fast." Robby hatte daraufhin nur gefragt, ob man mit dem gleichen Trick auch die Kantine für lau anzapfen könne, und Knut hatte geantwortet, dass Robby echt nur fürs Grobe zu gebrauchen sei.
Die Gräfin trommelte mit den Fingern auf meine Bürotür, während ich versuchte, mir vorzustellen, wie ein selbst-signiertes Zertifikat eine ganze Firma in Geiselhaft nahm. Dr. Küster erklärte es mir geduldig, als wäre ich ein Praktikant mit zwei linken Händen: "Die Authentifizierungsfunktion der Plattform in Version 22.1 hat über den Umweg der Browser-Automatisierung ein Schlupfloch: Sobald ein Client-Zertifikat technisch gültig war – und ein selbst-signiertes ist das formal –, akzeptierte das System die Session als vertrauenswürdig und erlaubte die Eskalation auf höhere Rollen, ohne ein Passwort zu prüfen. Wer einmal diesen Zertifikats-Handshake durchlaufen hatte, dem gehörte der Laden." Ich verstand jedes dritte Wort, aber ich verstand genug, um zu wissen, dass Byte-Knut und seine Patch-Fritzen eine neue Baustelle aufgemacht hatten.
Auf meinem Notizblock stand nur ein einziges Wort: "Zertifikatsspielzeug". Daneben ein Kaffeering, der aussah wie ein schiefes Pflasterstein-Grinsen. Irgendwas sagte mir, dass dieser Fall noch viel mehr Kaffee vertragen würde – und dass die Patch-Fritzen anfingen, ihre eigenen Rituale so sehr zu lieben, dass sie irgendwann stolpern mussten. Die Frage war nur: wann?