Dienstagmorgen, 18. März 2026, 6:52 Uhr. Der Geschäftsführer eines mittelständischen Logistikunternehmens aus dem Münsterland wird nicht von seinem Wecker geweckt, sondern von einer Push-Benachrichtigung auf dem Firmenhandy. Das Warenwirtschaftssystem – eine Eigenentwicklung, die ein ehemaliger Softwareentwickler vor zwölf Jahren von Grund auf neu programmiert hatte – antwortet nicht mehr. Eine erste Prüfung ergibt: Die Datenbank wurde vollständig ausgelesen. Kundendaten, Lieferantenverträge, Konditionslisten. Alles weg.
Der Angreifer hatte keine Schadsoftware eingeschleust und kein Passwort gestohlen. Er hatte schlicht eine Schwachstelle im selbstprogrammierten Datenbankinterface ausgenutzt – eine klassische SQL-Injection, bekannt seit 1998, im Code nie behoben. Der Entwickler, der das System gebaut hatte, war seit vier Jahren bei einem anderen Unternehmen.