Die Kartons wurden im Werk versiegelt. Genau darin lag der erste Irrtum von allen.
Infektion der Lieferkette
Menschen vertrauen Siegeln.
Sie vertrauen Schrumpffolie, Seriennummern, Hologrammen, Manipulationsschutzband, geprägter Folie, mikroskopisch kleinen Fasern, verschlüsselten Versandlisten, signierten Übergabeprotokollen und diesen kleinen Aufklebern, die sich selbst zerreißen sollen, wenn jemand sie nur ein bisschen zu aggressiv anschaut.
Gib Menschen genügend Beweise dafür, dass etwas nicht angefasst wurde, und irgendwann hören sie auf zu fragen, ob es überhaupt sicher war, bevor irgendjemand es angefasst hat.
Das war der Fehler.
Meiner auch. Für ungefähr elf Minuten.
Die Lieferung wartete an Dock Neun unterhalb des östlichen Frachtbezirks auf mich: achtundvierzig mattschwarze Gehäuse, gestapelt in einer klimatisierten Transportkiste, umgeben von so viel Authentifizierung, dass sich ein staatlicher Prüfer geliebt gefühlt hätte.
Herkunft aus dem Werk bestätigt.
Übergabe an den Frachtführer bestätigt.
Unversehrtheit der Siegel bestätigt.
Geräteanzahl bestätigt.
Jeder Zeitstempel stimmte.
Jede Kennung stimmte.
Jeder Karton sah genauso aus wie jeder andere.
Und genau dann werde ich normalerweise nervös.
Mein Kunde war Helix Meridian, ein Unternehmen für Finanzinfrastruktur mit einem Sicherheitsbudget, das groß genug war, sein eigenes Wetter zu erzeugen.
Sie betrieben Abwicklungssysteme, institutionelle Identitätsdienste und genug automatisierten Transaktionsverkehr, dass eine Abschaltung von zehn Minuten vermutlich ein eigenes Kapitel in irgendeinem Lehrbuch für Volkswirtschaft bekommen hätte.
Sie vertrauten Netzwerken nicht.
Sie vertrauten Clouds nicht.
Sie vertrauten kaum ihren eigenen Mitarbeitern.
Ich mochte sie sofort.
Die Laufwerke waren für eine gesicherte Einrichtung auf der anderen Seite der Stadt bestimmt. Achtundvierzig identische USB-Geräte mit einer signierten internen Wiederherstellungsumgebung zur Wartung isolierter Systeme, die bewusst vom Unternehmensnetz getrennt waren.
Keine Remote-Bereitstellung.
Kein Download-Link.
Kein drahtloses Update.
Nur physische Datenträger.
Das sollte sie sicherer machen.
Meine Anweisungen waren ungewöhnlich eindeutig.
NICHT ÖFFNEN.
NICHT ANSCHLIESSEN.
NICHT AUSTAUSCHEN.
WERKSVERSIEGELT AUSLIEFERN.
Nichts Kompliziertes daran.
Kiste abholen.
Siegel prüfen.
Durch die Stadt transportieren.
An jemanden übergeben, dessen Namen ich nicht kennen sollte.
Bezahlt werden.
Einfache Aufträge machen mich misstrauisch.
Komplizierte Aufträge zeigen dir, wo die Gefahr liegt.
Bei einfachen Aufträgen darf die Gefahr selbst entscheiden.
Ich unterschrieb die Übergabe um 21:16 Uhr.
Drei Minuten später begann es zu regnen.
Echter Regen, der in der Stadt inzwischen so kostbar geworden war, dass die Leute ihn fotografierten.
Ich lud die Kiste in das hintere Abteil meines Transporters und sah zu, wie Dock Neun hinter Betonpfeilern verschwand, deren nasse Oberflächen das Licht der Werbung spiegelten.
Niemand folgte mir.
Der passive Scan zeigte nichts Ungewöhnliches.
Der Routenplaner zeigte Grün in allen sechs Bezirken.
Ich ignorierte ihn und nahm eine andere Route.
Kuriergewohnheit.
Oder Paranoia.
Der Unterschied zeigt sich meistens erst daran, ob man recht hatte.
Elf Minuten nach Beginn der Fahrt meldete die Kiste eine Unregelmäßigkeit in der Verwahrungskette.
Keinen Alarm.
Nicht direkt.
Nur eine Abweichung.
Die Kiste enthielt achtundvierzig einzeln registrierte Geräte, und das Manifest enthielt achtundvierzig Geräteidentitäten.
Doch der passive Bestandsleser hatte neunundvierzig gesehen.
Ich sah noch einmal auf das Display.
Achtundvierzig erwartet.
Neunundvierzig erkannt.
Dann wieder achtundvierzig.
Ich fuhr in die dunkle untere Ebene eines Parkhauses, in dem die Hälfte der Lampen schon so lange kaputt war, dass es inzwischen zur Architektur gehörte.
Ich schaltete den Transporter aus.
Ließ den Scan erneut laufen.
Achtundvierzig.
Noch einmal.
Achtundvierzig.
Ich starrte die Kiste an.
Maschinen haben Aussetzer.
Lesegeräte verzählen sich.
Drahtlose Umgebungen erzeugen Störungen.
Menschen, die in meinem Geschäft überleben, behandeln nicht jede seltsame Zahl wie eine göttliche Offenbarung.
Sie ignorieren sie aber auch nicht.
Ich überprüfte das äußere Siegel.
Unversehrt.
Der Verwahrungsstreifen war bereits im Werk angebracht und kryptografisch registriert worden, bevor die Lieferung überhaupt in den Transport ging.
Sein mikroskopisches Bruchmuster entsprach dem im Manifest gespeicherten Bild.
Niemand hatte die Kiste geöffnet.
Durch das transparente Inspektionsfenster überprüfte ich die einzelnen Verpackungen.
Alle achtundvierzig Kartons trugen serialisierte Manipulationsschutzsiegel.
Alle unversehrt.
Alle echt.
Das hätte mich beruhigen sollen.
Tat es nicht.
Ich führte einen tieferen passiven Bestands-Scan durch.
Diesmal blieb die Geräteanzahl bei achtundvierzig, aber ein Eintrag zeigte eine Kennung für eine Controller-Familie, die dort nicht hingehörte.
Dasselbe Produkt.
Dieselbe Kapazität.
Dieselbe äußere Spezifikation.
Andere Controller-Abstammung.
Nur für einen Augenblick.
Dann verschwand sie.
Ich saß dort und hörte irgendwo hinter dem Parkhaus Regen auf Beton schlagen.
Es gibt Menschen, die Hardware für einfach halten, weil sie sie in der Hand halten können.
Software wirkt abstrakt.
Netzwerke wirken unsichtbar.
Hardware wirkt solide.
Real.
Greifbar.
Ein USB-Stick besteht aus Kunststoff, Metall, Silizium und einem Anschluss, den man mit eigenen Augen sehen kann.
Das ist beruhigend.
Beruhigung ist gefährlich.
In fast jedem modernen USB-Gerät steckt ein Controller.
Nicht nur Speicher.
Ein Controller.
Ein kleiner Prozessor, der entscheidet, wie das Gerät mit dem Computer kommuniziert, wie der Flash-Speicher verwaltet wird und, noch wichtiger, was der Host-Computer glaubt, was dieses Gerät eigentlich ist.
Menschen sehen einen USB-Stick.
Der Computer sieht das, was der Controller ihm vorgibt zu sehen.
Speicher.
Tastatur.
Netzwerkschnittstelle.
Mehrere Dinge gleichzeitig.
Das Kunststoffgehäuse hat dabei kein Mitspracherecht.
Die Firmware schon.
Ich wusste genug über BadUSB-Forschung, um zu wissen, dass beschädigte Dateien nicht der hässliche Teil waren.
Dateien können gescannt werden.
Dateien können gehasht werden.
Dateien können gelöscht werden.
Das Verhalten des Controllers liegt tiefer.
Unterhalb des Bereichs, den die meisten Menschen überhaupt zu überprüfen glauben.
Wenn jemand die Firmware in einem dieser Geräte verändert hatte, konnte der Stick vollkommen normal aussehen, bis zu dem Moment, in dem er beschloss, es nicht mehr zu sein.
Ich rief den Kunden an.
Keine Antwort.
Das war nicht ungewöhnlich.
Helix Meridian leitete die Kommunikation mit Kurieren bewusst über einen Vermittler, damit Kuriere die Empfänger sensibler Lieferungen nicht direkt kontaktieren konnten.
Abschottung.
Jeder weiß weniger.
Jeder fühlt sich sicherer.
Bis die Person, die weniger weiß, plötzlich die einzige ist, die das Problem überhaupt betrachtet.
Ich sendete einen priorisierten Ausnahmecode.
Die Antwort kam zwölf Sekunden später.
SIEGEL BESTÄTIGT.
MANIFEST BESTÄTIGT.
LIEFERUNG FORTSETZEN.
Ich schickte den Bericht über die Anomalie.
Die Antwort kam schneller.
LIEFERUNG NICHT ÖFFNEN.
Da wusste ich, dass jemand Angst hatte.
Ich sah die Kiste noch einmal an.
Mein Vertrag war eindeutig.
Werkseitig versiegelt.
Ungeöffnet ausgeliefert.
Verwahrungskette intakt.
Die Aufgabe eines Kuriers besteht nicht darin, die Fracht zu verbessern.
Nicht sie zu untersuchen.
Nicht über sie zu urteilen.
Nicht darüber zu entscheiden, ob Absender und Empfänger gute Entscheidungen treffen.
Wir bewegen Dinge.
Das ist der Kodex.
Kodizes sind wunderbar, bis das Befolgen eines Kodex zur dümmsten Sache wird, die man tun kann.
Ich öffnete die Kiste.
Das Verwahrungssiegel färbte sich in dem Augenblick rot, in dem es sich löste.
Dauerhafter Bruchvermerk.
Zeitstempel erzeugt.
Meine Zugangsdaten automatisch angehängt.
Irgendwo in Helix Meridian hatte ein Sicherheitssystem gerade meinen Namen neben die Worte unbefugter Zugriff geschrieben.
Gut.
Zumindest wusste jetzt jemand, wo er anfangen musste, nach mir zu suchen.
Die einzelnen Kartons waren in sechs Reihen zu je acht verpackt.
Sauber.
Perfekt.
Fast zeremoniell.
Ich nahm das Gerät heraus, das mit der ungewöhnlichen Controller-Messung verknüpft war.
Kartonschachtel einunddreißig.
Werkssiegel intakt.
Seriennummer stimmte.
Chargennummer stimmte.
Druckqualität stimmte.
Sogar die winzige Schramme an der unteren Ecke war auf dem Verpackungsfoto aus dem Werk zu sehen.
Niemand hatte die Schachtel ausgetauscht.
Niemand hatte sie geöffnet.
Ich brach das Siegel.
Darin lag ein USB-Stick, der sich von den anderen nicht unterschied.
Mattgraphitfarbenes Gehäuse.
Lasergravierte Seriennummer.
Keine abnehmbare Kappe.
Nichts Theatralisches.
Bösartige Hardware sieht fast nie bösartig aus.
Genau das ist der Sinn.
Ich führte ein kleines Isolations-Kit mit mir, genau für Situationen, von denen niemand erwartet, dass ein Kurier jemals hineingerät.
Batteriebetrieben.
Kein Funk.
Keine dauerhaft gespeicherten Zugangsdaten.
Mit nichts verbunden, das mir wichtig war.
Eine Maschine, die dafür gebaut war, geopfert zu werden.
Ich schloss den Stick an.
Er erschien ganz normal.
Korrekte Kapazität.
Korrekte Volume-Identität.
Signiertes Wiederherstellungs-Image vorhanden.
Die Dateien entsprachen dem Manifest.
Jeder Hashwert stimmte.
Für eine halbe Sekunde kam ich mir dumm vor.
Dann registrierte der Host eine weitere USB-Funktion.
Sie erschien kurz, identifizierte sich, verschwand wieder und hinterließ fast nichts.
Kein Speicher.
Etwas anderes.
Ein Verhalten, für das ein normales Wiederherstellungslaufwerk keinerlei Grund hatte.
Ich trennte es.
Schloss es erneut an.
Diesmal geschah nichts.
Normales Speichergerät.
Vollkommen langweilig.
Was noch schlimmer war.
Schlechter Code wiederholt Fehler.
Guter Schadcode weiß, wann Wiederholung zu einem Beweis wird.
Ich öffnete eine zweite Schachtel.
Dann eine dritte.
Dieselbe Controller-Familie.
Laut den externen Identitätsfeldern dieselbe freigegebene Firmware-Revision.
Anderes internes Verhalten.
Bei Schachtel fünf waren meine Hände kalt.
Keine Angst.
Erkennen.
Die Lieferung war nicht manipuliert worden.
Die Lieferung war so hergestellt worden.
Ich rief den Vermittler noch einmal an.
Diesmal antwortete jemand.
„Sie haben die Siegel gebrochen.“
„Schön, Ihre Stimme auch mal zu hören.“
„Ihr Vertrag ist beendet.“
„Vermutlich.“
„Liefern Sie die Sendung nicht aus.“
Ich lächelte.
Fünf Minuten zuvor hatte man mir noch befohlen weiterzufahren.
Schon lustig, was Beweise mit Selbstsicherheit machen.
„Ich brauche die Produktionsunterlagen.“
„Sie sind Kurierin.“
„Heute Abend bin ich ehrgeizig.“
Stille.
Dann:
„Wo sind Sie?“
„Wenn Sie das wüssten, wäre ich enttäuscht.“
Wieder Stille.
Diesmal länger.
„Die Geräte kamen direkt vom freigegebenen Hersteller.“
„Ich weiß.“
„Keine Logistik über Dritte.“
„Ich weiß.“
„Keine Neuverpackung.“
„Ich weiß.“
„Dann hat sie jemand vor der Abholung abgefangen.“
„Nein.“
Ich sah auf die aufgerissenen Schachteln, die über den Boden verteilt lagen.
„Genau das ist das Problem.“
Menschen mögen die Vorstellung eines Abfangens, weil ein Angriff dadurch einen Ort bekommt.
Eine Laderampe.
Ein Lagerhaus.
Ein Lkw.
Ein korrupter Zollbeamter.
Ein kompromittierter Kurier.
Findet man den Punkt, an dem aus dem legitimen Gegenstand ein illegitimer wurde, kann man einen Kreis um das Problem ziehen.
Sicherheitsleute lieben Kreise.
Hier gab es keinen.
Jeder Verpackungsdatensatz war gültig, seit dem Augenblick, in dem die Geräte die Endmontage verlassen hatten.
Also ging ich rückwärts.
Controller-Charge.
Montagezeitstempel.
Firmware-Freigabe.
Produktionslinie.
Programmierstation.
Ergebnis der Qualitätskontrolle.
Der Vermittler öffnete widerwillig eine Datensatzebene nach der anderen und erinnerte mich dabei alle dreißig Sekunden daran, dass ich technisch gesehen nicht mehr für sie arbeitete.
Ich erinnerte ihn daran, dass ich technisch gesehen immer noch achtundvierzig Geräte besaß, die für ihre sensibelsten Systeme bestimmt waren.
Das verbesserte die Zusammenarbeit.
Die Controller-Charge war achtzehn Tage zuvor in Produktion gegangen.
Achttausend Einheiten.
Freigegebener Lieferant.
Freigegebenes Silizium.
Freigegebenes Firmware-Paket.
Digitale Signatur gültig.
Fertigungsaudit sauber.
Automatisierter Test bestanden.
Jedes grüne Kästchen, das sich eine Sicherheitsabteilung wünschen konnte.
Dann fielen mir die Zeitstempel auf.
Das Firmware-Paket war sechs Minuten signiert worden, bevor der Produktionsserver seinen Eingang protokolliert hatte.
Normal.
Doch der von der Fertigungsstation registrierte Hash war zwei Sekunden aufgezeichnet worden, bevor die Datei überhaupt auf dem Server existierte.
Unmögliche Zeitstempel sind keine Magie.
Meistens versucht nur jemand, eine Reihenfolge zu verbergen.
Ich verlangte die Protokolle der Fertigungsstation.
Nicht verfügbar.
Ich verlangte das Backup.
Nicht verfügbar.
Ich fragte warum.
Der Vermittler antwortete nicht mehr.
Das war Antwort genug.
Ich verließ das Parkhaus.
Nicht mit der Kiste.
Ich verteilte die Laufwerke auf drei getrennte abgeschirmte Behälter und ließ die ursprüngliche Transportverpackung dort stehen.
Wer auch immer die Kiste verfolgte, konnte sich im Parkhaus vergnügen.
Ein kompromittiertes Gerät nahm ich mit.
Zwanzig Minuten später stand ich vor einem Gebäude im alten Industrieviertel, das offiziell seit neun Jahren keine Elektronik mehr produziert hatte.
Über dem Eingang hing noch immer das verblasste Logo einer Firma, die gekauft, umbenannt, aufgeteilt, reorganisiert und schließlich in vier Tochterunternehmen verwandelt worden war, die einer Holdinggesellschaft gehörten, die irgendwo an einem warmen und rechtlich bequemen Ort registriert war.
Drinnen brannte Licht.
Fertigung verschwindet nie wirklich.
Sie wird nur so oft umbenannt, bis niemand mehr weiß, in wessen Fabrik er eigentlich steht.
Ein Techniker traf mich hinter verstärktem Glas.
Mitte fünfzig.
Graue Uniform.
Kein sichtbarer Sicherheitsausweis.
Er sah den Stick in meiner Hand und hörte sofort auf, mich anzusehen.
Das war hilfreich.
„Woher kommt das?“ fragte ich.
„Ich weiß es nicht.“
„Sie haben es noch gar nicht angesehen.“
„Ich weiß von nichts.“
„Bessere Antwort.“
Er bewegte sich zu den Türkontrollen.
Ich hielt den Stick gegen das Glas.
„Achttausend.“
Seine Hand blieb stehen.
Da war es.
Keine Schuld.
Angst.
„Wie viele wurden ausgeliefert?“ fragte ich.
„Sie müssen gehen.“
„Wie viele?“
Er sah an mir vorbei auf die Straße.
„Alle.“
Der Raum fühlte sich plötzlich kleiner an.
„Wer hat die Firmware verändert?“
„Niemand hat sie verändert.“
Schon wieder diese Antwort.
Die, die niemand hören wollte.
„Erklären Sie es.“
Er trat näher an das Glas.
„Das Paket lief durch die normale Freigabe.“
„Signiert?“
„Ja.“
„Validiert?“
„Ja.“
„Für die Produktion freigegeben?“
„Ja.“
„Und bösartig?“
Er schluckte.
„Ja.“
Es gibt Sicherheitsverletzungen, bei denen ein Angreifer in ein System einbricht.
Und dann gibt es Sicherheitsverletzungen, bei denen das System selbst den Angreifer autorisiert.
Die zweite Art bleibt länger bestehen.
Der Signierprozess der Firmware war nicht umgangen worden.
Die bösartige Firmware war hindurchgelaufen.
Gültige Zugangsdaten.
Gültige Freigabe.
Gültiger Build.
Gültige Signatur.
Die Fertigungsanlage war nicht gehackt worden, damit sie etwas Unerlaubtes tat.
Man hatte ihr befohlen, genau das zu tun, wofür sie gebaut worden war.
Controller programmieren.
Sie überprüfen.
Sie ausliefern.
Die Infektion befand sich nicht außerhalb der Lieferkette.
Sie benutzte die Lieferkette.
Dieser Unterschied würde Menschen noch jahrelang beschäftigen.
Vorausgesetzt, sie überlebten das Meeting.
„Wer hat die Firmware freigegeben?“ fragte ich.
„Drei Personen.“
„Namen.“
„Zwei sind tot.“
Ich wartete.
„Die dritte hat nie existiert.“
Fast hätte ich gelacht.
Nicht weil es lustig war.
Sondern weil ein Problem manchmal so vollkommen schlimm wird, dass sich ungewollt Bewunderung einschleicht.
Ein synthetischer Mitarbeiter.
Zugangsdatenhistorie.
Leistungsbeurteilungen.
Gehaltsabrechnungen.
Zutrittsausweise.
Schulungszertifikate.
Jahre künstlich erzeugter Unternehmensgeschichte, aufgebaut um eine Person, die nie einen einzigen Atemzug gemacht hatte.
Die Angreifer hatten keinen Mitarbeiter kompromittiert.
Sie hatten einen in das Unternehmen eingeschleust.
Als irgendwann jemand zurückblickte, wirkten die Freigaben vollkommen routinemäßig, weil derjenige, der sie erteilt hatte, seit Jahren wie ein ganz normaler Teil des Unternehmens aussah.
Der Techniker rieb sich mit beiden Händen über das Gesicht.
„Wir dachten, das Problem sei die Station.“
„Ist es nicht.“
„Der Signier-Server?“
„Nein.“
„Was dann?“
Ich sah durch das Glas auf die Reihen dunkler Fertigungsanlagen hinter ihm.
Maschinen, die geduldig auf die Aufträge von morgen warteten.
Maschinen, die gute Firmware nicht von schlechter Firmware unterscheiden konnten.
Nur freigegeben von nicht freigegeben.
„Sie haben dem Prozess vertraut.“
Er starrte mich an.
„Man soll dem Prozess vertrauen.“
„Dafür sind Prozesse da.“
Ich steckte den Stick wieder in meine Tasche.
„Und genau deshalb sind sie für jemanden nützlich, der früh genug hineinkommt.“
Mein Kommunikationsgerät vibrierte.
Helix Meridian.
Diesmal ein direkter Kanal.
Kein Vermittler.
Wenn Sicherheitsleute aufhören, selbst Vorstellungen abzuschirmen, ist die Lage schlecht geworden.
Das Gesicht eines Mannes erschien.
Kein Name.
Kein Titel.
Er brauchte keinen.
„Ms. Vale.“
„Das ist bedauerlich.“
„Was?“
„Dass Sie meinen Namen kennen.“
Er ignorierte es.
„Wir brauchen die Lieferung unverzüglich.“
„Nein.“
Sein Gesichtsausdruck veränderte sich kaum.
„Wir gehen davon aus, dass Sie eine Firmware-Anomalie festgestellt haben.“
„Sie wissen genug, um aufzuhören, es eine Anomalie zu nennen.“
„Unsere Ingenieure benötigen physischen Zugriff.“
„Dann schicken Sie Ingenieure.“
„Die Geräte gehören in unsere Eindämmungseinrichtung.“
„Dorthin sollten sie ursprünglich ohnehin.“
Er hielt inne.
„Ja.“
Irgendetwas an der Art, wie er es sagte, störte mich.
Nicht das Wort.
Der Zeitpunkt.
Ich sah auf den kompromittierten Stick in meiner Hand.
Dann auf den Techniker.
Dann wieder auf den Sicherheitsdirektor.
„Für welche Systeme waren diese Geräte bestimmt?“
„Vertrauliche Information.“
„Dann viel Spaß mit Ihrer vertraulichen Malware.“
Sein Kiefer spannte sich an.
„Wiederherstellungsterminals.“
„Mit der Produktion verbunden?“
„Isoliert.“
„Während der Wartung verbunden?“
Stille.
Da war es.
Air-Gap.
Segmentiert.
Isoliert.
Wörter, die Sicherheitsleute verwenden, bis irgendwann jemand Daten zwischen solchen Systemen bewegen muss.
Und was verwendet man, wenn Netzwerke nicht erlaubt sind?
Physische Datenträger.
Das vertrauenswürdige Objekt.
Das Ding in der versiegelten Schachtel.
In meinem Kopf rollte sich der gesamte Angriff rückwärts auf.
Der Angreifer musste die Perimeterverteidigung von Helix Meridian gar nicht durchbrechen.
Brauchte keine gestohlenen VPN-Zugangsdaten.
Brauchte keinen Zero-Day gegen einen Server mit Internetzugang.
Brauchte niemanden, der dumm genug war, auf einen Anhang zu klicken.
Er brauchte nur, dass Helix Meridian seine eigene Sicherheitsrichtlinie befolgte.
Freigegebene Hardware verwenden.
Von einem freigegebenen Lieferanten.
Über eine freigegebene Lieferkette ausgeliefert.
An ein isoliertes System.
Je konsequenter die Richtlinie durchgesetzt wurde, desto zuverlässiger erreichten die infizierten Geräte ihr Ziel.
Wunderschön.
Grauenhaft.
Fast elegant.
„Wie viele frühere Lieferungen?“ fragte ich.
Der Direktor antwortete nicht.
Ich fragte noch einmal.
„Wie viele?“
„Dieses Gespräch betrifft die aktuelle Lieferung.“
„Nein. Tut es nicht.“
Er sah von der Kamera weg.
Nur für den Bruchteil einer Sekunde.
Jemand anderes war im Raum.
Jemand, dessen Reaktion er nicht auf dem Bildschirm sehen lassen wollte.
Da wusste ich es.
Achtundvierzig Geräte waren kein Problem, das groß genug war, um ihm solche Angst zu machen.
Achtundvierzig Geräte waren ein Beweis.
Ich verließ die Fabrik, ohne mich zu verabschieden.
Der Techniker versuchte nicht, mich aufzuhalten.
Draußen war der Regen zu einem feinen Niesel geworden, der jede Straßenlaterne müde aussehen ließ.
Ich holte den Rest der Lieferung und fuhr in Richtung Helix Meridian.
Nicht weil sie es mir befohlen hatten.
Sondern weil die Kartons inzwischen das ungefährlichste Problem der ganzen Stadt waren.
Ihre Eindämmungseinrichtung nahm sechs unterirdische Ebenen unter einem Gebäude ein, an dem kein Firmenname stand.
Drei Kontrollpunkte öffneten sich, bevor ich die Laderampe erreichte.
Am vierten fragte niemand, warum das Hauptsiegel der Lieferung gebrochen war.
Sie wussten es bereits.
Hinter einer Glaswand wartete ein Sicherheitsteam.
Keine sichtbaren Waffen.
Nicht nötig.
Die Art von Menschen, die dort standen, hatte ganze Abteilungen für Konsequenzen.
Der Direktor aus dem Gespräch traf mich persönlich.
Größer als erwartet.
Älter auch.
Er sah auf die geöffnete Kiste.
Dann auf mich.
„Sie haben die Verwahrungskette kompromittiert.“
„Gern geschehen.“
Er lächelte nicht.
Niemand um ihn herum tat es.
Hartes Publikum.
Ich legte einen der geöffneten Sticks auf den Inspektionstisch.
„Die Controller-Firmware ist kompromittiert. Die Verpackung ist echt. Die Seriennummer des Geräts ist echt. Das Werkssiegel war echt. Die Produktionssignatur scheint gültig zu sein.“
„Wir wissen es.“
Ich sah ihn an.
„Seit wann?“
Er antwortete nicht.
Hinter dem Glas begannen Techniker, die ungeöffneten Kartons in isolierte Beweisbehälter umzupacken.
Niemand sah überrascht aus.
Das beunruhigte mich mehr als alles andere in dieser Nacht.
„Das ist nicht die erste Lieferung.“
Keine Frage.
Der Direktor sah auf die achtundvierzig Kartons.
Dann auf mich.
Zum ersten Mal seit unserer Begegnung verschwand die Selbstsicherheit aus seinem Gesicht.
„Nein.“
Ein Wort.
Genug.
Ich sah durch das Glas in die gesicherte Anlage hinter uns.
Reihen von Terminals.
Servicestationen.
Wiederherstellungssysteme.
Maschinen, die bewusst von der Außenwelt getrennt worden waren, weil jemand entschieden hatte, dass physische Isolation sicherer sei.
Und irgendwo in diesen Räumen gab es USB-Anschlüsse.
Wartend.
Ich dachte an jedes unversehrte Siegel zurück, das ich an Dock Neun geprüft hatte.
An jede passende Seriennummer.
An jedes grüne Prüfergebnis.
An jedes kleine Stück Beweis, das mir gesagt hatte, dass die Lieferung exakt den Weg genommen hatte, den alle erwartet hatten.
Genau das ging mir nicht mehr aus dem Kopf.
Niemand hatte die Fracht abgefangen.
Niemand hatte die Kartons geöffnet.
Niemand hatte die Laufwerke ausgetauscht.
Niemand hatte die Lieferkette durchbrochen.
Sie hatten sie benutzt.
Der Direktor trat neben mich.
„Wir haben Teams, die frühere Installationen überprüfen.“
„Wie weit zurück?“
Er zögerte.
„Vierzehn Monate.“
Ich drehte mich zu ihm.
„Derselbe Lieferant?“
„Ja.“
„Dieselbe Controller-Familie?“
„Wir wissen es noch nicht.“
„Wie viele Geräte?“
Er antwortete nicht.
Musste er auch nicht.
Menschen glauben, bei Cybersicherheit gehe es darum, schlechte Dinge draußen zu halten.
Firewalls.
Passwörter.
Verschlüsselung.
Air-Gaps.
Zugriffskontrollen.
Alles nützlich.
Alles notwendig.
Doch nichts davon hilft besonders viel, wenn das Ding, das man ganz bewusst durch die Tür trägt, bereits für jemand anderen arbeitet.
Ich ging in Richtung Ausgang.
Der Direktor rief mir nach.
„Vale.“
Ich blieb stehen.
„Sie hatten recht, die Lieferung zu öffnen.“
Ich sah zu ihm zurück.
„Schreiben Sie mir das auf.“
Zum ersten Mal in dieser Nacht hätte beinahe jemand gelächelt.
Draußen begann der Morgen, die Lichter der Stadt auszubleichen.
Lieferwagen fuhren durch die Kreuzungen.
Frachtdrohnen stiegen von den Dächern auf.
Fabriken wechselten die Schicht.
Millionen von Bauteilen bewegten sich durch Millionen von Händen zu Menschen, die saubere Kartons öffnen, perfekte Siegel prüfen und davon ausgehen würden, dass der schwierige Teil damit vorbei sei.
Vielleicht hatten die meisten von ihnen recht.
Das ist das Unangenehme an Vertrauen.
Es muss die meiste Zeit funktionieren, sonst würde es niemand verwenden.
Der gefährliche Teil ist die Ausnahme.
Eine freigegebene Datei.
Ein vertrauenswürdiger Zugangsnachweis.
Ein Controller, programmiert, bevor irgendjemand auf die Idee kam zu hinterfragen, was man ihm eigentlich befohlen hatte.
Eine versiegelte Schachtel.
Früher dachte ich, Manipulationsnachweise würden einem sagen, ob etwas kompromittiert wurde.
Jetzt wusste ich es besser.
Ein Siegel kann dir sagen, ob jemand die Schachtel geöffnet hat.
Es kann dir nicht sagen, ob es überhaupt nötig war.
Alle machen sich Gedanken darüber, was passiert, nachdem das Siegel gebrochen wurde.
Niemand fragt, wer die Schachtel versiegelt hat.
Weitere Mara-Vale-Geschichten
Mara Vale ist eine fiktive Cyberpunk-Kurierin, mit der GetUSB reale Technologie anhand von Geschichten über Hardware, Datenintegrität, KI-Systeme und die unangenehmen Bereiche untersucht, in denen physische Sicherheit auf digitales Vertrauen trifft. Wenn Ihnen Infektion der Lieferkette gefallen hat, wird die Reihe in diesen früheren Geschichten fortgesetzt:
Mara Vale: Manche Daten sollten sich niemals ändern
In einer Welt, in der Datensätze heimlich verändert und Geschichte umgeschrieben werden kann, erhält Mara den Auftrag, ein seltenes schreibgeschütztes USB-Gerät zu transportieren, das Informationen enthält, die sich unter keinen Umständen verändern dürfen. Die Geschichte behandelt hardwarebasierten Schreibschutz, unveränderliche Daten und die Frage, was passiert, wenn Wahrheit gerade deshalb wertvoll wird, weil sie sich nicht bewegen lässt.
Mara Vale: Das Modell, das abdriftete
Ein Vorhersagesystem, dem man zutraut, praktisch alles vorherzusehen, beginnt subtil unvereinbare Zukünfte zu erzeugen. Mara soll einen physischen USB-Basisstand mit einem nachweislich funktionierenden Zustand des Modells ausliefern und entdeckt dabei, dass die Korrektur eines von Chaos beeinflussten Systems womöglich lediglich einen neuen Ausgangspunkt schafft.
Mara Vale: Das Echo der Air-Gap
Mara betritt eine Anlage, die physisch von jedem externen Netzwerk getrennt ist, und trotzdem gelangen sensible Informationen nach draußen. Die Spur führt zu elektromagnetischen Lecksignalen, Emissionen von Maschinen und einer beunruhigenden Erkenntnis: Einen Computer vom Netzwerk zu trennen bedeutet nicht zwangsläufig, ihn auch von der Physik zu trennen.
Mara Vale ist eine fiktive Cyberpunk-Noir-Reihe von GetUSB, mit der reale Technologiethemen erzählerisch untersucht werden. Die in der Serie behandelten Themen beruhen auf realen Diskussionen über USB-Sicherheit, Firmware-Angriffe im BadUSB-Stil, Hardware-Lieferketten, Controller-Firmware, Schreibschutz, Air-Gap-Systeme, elektromagnetische Lecksignale, KI-Infrastruktur und Datenintegrität. Handlungsrichtung, technische Themen und redaktionelle Kontrolle werden vom GetUSB-Team entwickelt, wobei KI-gestützte Unterstützung zur Verfeinerung der Struktur und zur Entwicklung visueller Konzepte eingesetzt wird.
