Shor und die Quantensignatur

„QUANTENCOMPUTER: DAS ENDE ALLER GEHEIMNISSE?“, las Uwe vor. „Experten warnen: Künftige Quantenrechner könnten die Verschlüsselung von Banken, Behörden und Messengern knacken.“

„Da ist ein Fragezeichen“, sagte Sabine, ohne von ihrer eigenen Zeitung aufzusehen. „Bei einem Fragezeichen in der Überschrift lautet die Antwort meistens Nein.“

„Und wenn nicht?“

„Dann steht es nächste Woche ohne Fragezeichen drin.“

Onkel Herbert saß mit am Frühstückstisch. Er kam seit einiger Zeit samstags, angeblich wegen Giselas Brötchen, in Wahrheit, weil er seit der Sache mit dem alten Laptop im Keller jeden Morgen den Bitcoin-Kurs nachsah und jemanden brauchte, dem er die Zahl sagen konnte.

„Banken“, sagte er. „Messenger. Und was ist mit meinem Internetgeld?“

„Das steht hier nicht“, sagte Uwe.

„Dann steht es nächste Woche drin“, sagte Herbert finster. „KevIn. Ehrlich jetzt. Kann so ein Kühlschrank mein Geld klauen?“

Das blaue Licht pulsierte. „Heute nicht, Herbert.“

„Und morgen?“

„Morgen auch nicht.“

„Und übermorgen?“

„Da wird es interessant.“

Herbert legte sein Brötchen hin. Das tat er sonst nur bei Todesfällen und Elfmeterschießen.

Ein Mann namens Shor

„Fangen wir am Anfang an“, sagte KevIn. „Erinnert ihr euch an die Primzahlen? Herr Demir und die Botschaft an die Außerirdischen?“

„1679“, sagte Tobi sofort. „23 mal 73.“

„Genau. Malnehmen ist leicht. 23 mal 73 rechnet man auf einem Bierdeckel aus. Aber wenn ich dir nur 1679 gebe und frage, welche zwei Primzahlen da drinstecken, musst du probieren. Bei 1679 geht das noch. Bei einer Zahl mit sechshundert Stellen probiert ein normaler Computer länger, als das Universum alt ist.“

„Und darauf baut RSA auf“, sagte Tobi. „Hatten wir.“

„Darauf baut RSA auf. Der öffentliche Schlüssel enthält das Produkt, der geheime Schlüssel hängt an den beiden Faktoren¹. Solange niemand die große Zahl zerlegen kann, ist das sicher.“

„Und jetzt kommt der Kühlschrank“, sagte Uwe.

„Jetzt kommt Peter Shor. Ein amerikanischer Mathematiker. 1994 hat er gezeigt, dass ein ausreichend großer Quantencomputer große Zahlen sehr viel schneller zerlegen könnte als jeder bekannte Weg auf normalen Computern². Damals gab es noch gar keinen Quantencomputer. Shor hat also das Rezept geschrieben, bevor jemand einen Herd hatte.“

„Wie Mama“, sagte Uwe. „Die schreibt auch Rezepte für Sachen, die wir nicht im Haus haben.“

„Ich schreibe Einkaufslisten“, sagte Sabine. „Das ist der Unterschied zwischen Planung und Hoffnung.“

„Wie macht der das?“, fragte Tobi. „Der Shor. Probiert der alle Zahlen gleichzeitig?“

„Nein“, sagten KevIn und Tobi gleichzeitig, weil Tobi seine eigene Frage in derselben Sekunde bereute.

„Sehr gut“, sagte KevIn. „Kapitel 17 hat gewirkt. Ein Quantencomputer probiert nicht einfach alles durch. Shor hat einen Umweg gefunden. Er verwandelt die Frage ‚Welche Faktoren?‘ in die Frage ‚Welcher Rhythmus?‘.“

„Rhythmus?“, fragte Gisela.

„Stell dir vor, du nimmst eine Zahl und multiplizierst sie immer wieder mit sich selbst, aber du schaust jedes Mal nur auf den Rest, der bleibt, wenn man durch die große Zahl teilt. Dann wiederholen sich die Reste irgendwann. Wie ein Muster beim Stricken. Zwei rechts, zwei links, Zopf, und dann wieder von vorn.“

„Das ist ein Rapport“, sagte Gisela. „So heißt das beim Stricken.“

„Danke. Shors Trick ist: Wenn man die Länge dieses Rapports kennt, kann man mit ein bisschen Schulmathematik die Faktoren ausrechnen. Und Rhythmen finden, das können Quantencomputer gut. Durch Interferenz. Die Möglichkeiten, die nicht zum Rhythmus passen, löschen sich gegenseitig aus. Die richtigen verstärken sich. Wie Wellen im Schwimmbad, nur mit Mathematik.“

„Wie beim Schunkeln“, sagte Gisela. „Wenn einer falsch schunkelt, merkt man das sofort. Und irgendwann schunkelt er richtig, weil man ihn mitnimmt.“

KevIn dachte eine halbe Sekunde nach. „Das ist nicht ganz korrekt. Aber es ist schöner als korrekt.“

Was alles wackelt

„Also RSA ist kaputt“, sagte Herbert. „Und mein Geld?“

„Es ist noch schlimmer“, sagte KevIn. „Und gleichzeitig weniger schlimm. Ich erkläre beides.“

„Das Schlimme zuerst“, sagte Herbert. „Das Gute glaub ich sowieso nicht.“

„Shors Methode funktioniert nicht nur gegen RSA. Sie funktioniert in abgewandelter Form auch gegen die sogenannten elliptischen Kurven³. Das ist die andere große Familie von Public-Key-Verfahren, die heute fast überall steckt. Auch in Ed25519⁴, dem Signaturverfahren, das ich euch bei Giselas Physio-Bewertung erklärt habe. Und auch in den Signaturen, mit denen Bitcoin-Überweisungen unterschrieben werden.“

Herbert wurde blass. „Also doch.“

„Jetzt das weniger Schlimme. Um RSA oder diese Kurven in der Größe zu brechen, die heute benutzt wird, bräuchte man einen Quantencomputer mit sehr vielen fehlerkorrigierten, also logischen Qubits⁵. Ihr habt im Institut gesehen, wie schwer schon ein einziges zuverlässiges logisches Qubit ist. So eine Maschine gibt es heute nicht. Niemand weiß, wann es sie gibt. Die Schätzungen von Fachleuten gehen weit auseinander⁶. Manche sagen in zehn, fünfzehn Jahren, manche später, manche sind vorsichtig mit jeder Zahl.“

„Und was sagst du?“, fragte Uwe.

„Ich sage: Ich weiß es nicht. Und ich bin sehr stolz darauf, dass ich das sagen kann, ohne ein Buch von Dr. Sauerbier-Klenk zu zitieren.“

„Und mein Geld?“, fragte Herbert zum dritten Mal.

„Bitcoin müsste seine Signaturen irgendwann auf quantenresistente Verfahren umstellen. Darüber wird in der Bitcoin-Gemeinschaft schon diskutiert⁷. Das ist kompliziert, weil sich bei Bitcoin alle einig werden müssen und niemand der Chef ist.“

„Wie beim Kegelclub“, sagte Gisela.

„Bei uns ist Brigitte der Chef“, sagte Herbert.

„Brigitte glaubt, dass sie der Chef ist“, sagte Gisela. „Das ist was anderes.“

Ernten und warten

Sabine hatte ihre Zeitung inzwischen zusammengefaltet. „Wenn es diese Maschine noch nicht gibt, warum steht es dann jetzt in der Zeitung?“

„Weil manche Geheimnisse lange halten müssen“, sagte KevIn. „Es gibt einen Ausdruck dafür: ‚Harvest now, decrypt later.‘ Jetzt ernten, später entschlüsseln⁸.“

„Klingt nach Schrebergarten“, sagte Uwe.

„Ein bisschen. Stellen Sie sich vor, jemand fängt heute verschlüsselte Nachrichten ab. Er kann sie nicht lesen. Aber er speichert sie. Festplatten sind billig. Und in fünfzehn Jahren, wenn er einen großen Quantencomputer hat, holt er sie aus dem Keller und knackt sie.“

„Wie Tante Erna mit ihren Einmachgläsern“, sagte Gisela. „Die hat Sachen eingeweckt, die keiner essen wollte. Und zehn Jahre später hat sie sie trotzdem aufgemacht.“

„Und?“

„Hat auch keiner gegessen. Aber aufgemacht hat sie sie.“

„Für die meisten Nachrichten ist das egal“, sagte KevIn. „Wen interessiert in fünfzehn Jahren, dass Uwe heute Brötchen bestellt hat? Aber Staatsgeheimnisse, Krankenakten, Geschäftsgeheimnisse, die müssen manchmal jahrzehntelang geheim bleiben. Deshalb stellt man jetzt um. Nicht erst, wenn die Maschine fertig ist.“

„Und Unterschriften?“, fragte Tobi. „Kann man die auch ernten?“

„Gute Frage.“ KevIn klang erfreut. „Bei Unterschriften ist die Gefahr anders. Eine Signatur ist ja nicht geheim. Das Problem wäre: Wenn jemand mit einem großen Quantencomputer aus dem öffentlichen Schlüssel den geheimen ausrechnen kann, dann kann er neue Unterschriften fälschen. Er könnte also behaupten, ein Dokument sei schon immer so unterschrieben gewesen, obwohl er es gestern erst gemacht hat.“

„Das wäre ja wie bei Marlies“, sagte Gisela. „Die hat damals die Kegelliste …“

„Mama“, sagte Uwe.

„Ich sag ja nichts. Ich sag nur, es wäre so.“

Gitter und Rauschen

„Und was macht man jetzt?“, fragte Sabine. „Man kann ja nicht alles wieder auf Papier schreiben.“

„Du schon“, sagte Uwe.

„Man nimmt andere Mathematik“, sagte KevIn. „Mathematik, für die auch Shor keinen Trick gefunden hat. Das nennt sich Post-Quanten-Kryptografie. Die amerikanische Normungsbehörde NIST hat dafür einen öffentlichen Wettbewerb veranstaltet, über viele Jahre, mit Fachleuten aus der ganzen Welt. Alle durften versuchen, die Vorschläge zu knacken. Einige wurden tatsächlich geknackt, sogar mit ganz normalen Computern⁹. Im August 2024 hat NIST die ersten drei Standards veröffentlicht¹⁰.“

„Wie heißen die?“, fragte Tobi.

„ML-KEM¹¹ für den Schlüsselaustausch. ML-DSA¹² und SLH-DSA¹³ für Signaturen.“

„Das klingt wie Kennzeichen“, sagte Uwe. „ML-KEM. Mülheim, Kempen.“

„Und dann gibt es noch FN-DSA“, sagte KevIn. „Ein Signaturverfahren, das ebenfalls ausgewählt wurde. Entwickelt wurde es unter dem Namen Falcon, bei NIST wird es als FN-DSA standardisiert¹⁴. Seine Unterschriften sind vergleichsweise klein. Das ist praktisch, wenn man sehr viele davon speichern will.“

„Und worauf beruhen die?“, fragte Tobi. „Wenn nicht auf Primzahlen?“

„Die meisten davon auf Gittern.“

„Gittern?“, fragte Gisela. „Wie am Gartenzaun?“

„Fast. Stell dir ein riesiges Gitter aus Punkten vor. Nicht flach wie ein Zaun, sondern in Hunderten von Richtungen, schief und verzerrt. Ich gebe dir einen Punkt irgendwo im Raum, der nicht genau auf dem Gitter liegt, sondern ein bisschen daneben, weil ich absichtlich Rauschen dazugemischt habe¹⁵. Und du sollst den nächsten echten Gitterpunkt finden.“

„In zwei Richtungen kann ich das“, sagte Tobi. „Das ist Kästchenpapier.“

„In zwei Richtungen ja. In Hunderten von Richtungen findet nach heutigem Wissen weder ein normaler Computer noch ein Quantencomputer in vertretbarer Zeit den richtigen Punkt. Wer aber den geheimen Schlüssel hat, hat sozusagen eine gute Landkarte des Gitters und findet ihn sofort.“

Gisela stand auf, ging zu ihrem Strickkorb und kam mit einem halbfertigen Pullover zurück. „So wie das hier?“

Alle sahen den Pullover an. Er war grün, hatte ein Zopfmuster und an mehreren Stellen kleine Unregelmäßigkeiten.

„Ich hab mich da ein paarmal verstrickt“, sagte Gisela. „Abends beim Fernsehen. Wenn jetzt einer nur den Pullover sieht, weiß er dann, wie das Muster eigentlich gehen sollte?“

„Bei einem Pullover vielleicht“, sagte KevIn. „Weil das Muster nur in zwei Richtungen geht und die Fehler selten sind. Aber stell dir einen Pullover vor, der in fünfhundert Richtungen gestrickt ist, und in jeder Masche ist ein kleiner Fehler. Und nur du hast die Strickanleitung.“

„Fünfhundert Richtungen“, sagte Gisela. „Da bräuchte ich mehr Nadeln.“

„Das ist die Idee. Der Fehler ist absichtlich drin. Er ist der Schutz.“

„Dann war Marlies’ Kegelliste auch absichtlich falsch“, sagte Gisela zufrieden. „Zum Schutz.“

„Mama!“

Die Frage aus der Küche

Am Nachmittag rief Ayşe Kurt an, wegen eines Termins. Gisela hatte inzwischen ihre zwölfte Behandlung hinter sich, die Schulter machte wieder fast alles mit, und an diesem Tag war ihr beim Wäscheaufhängen zum ersten Mal kein Schmerz eingefallen. Sie sagte das Ayşe am Telefon. Ayşe freute sich hörbar.

Nach dem Auflegen saß Gisela eine Weile still in der Küche. Dann sagte sie: „KevIn. Meine Bewertung. Für Frau Kurt.“

„Die du im Winter abgegeben hast. Am Empfang, mit dem QR-Code.“

„Die. Ist die jetzt auch kaputt? Wenn die Quantendinger kommen?“

„Was meinst du mit kaputt?“

„Dass einer kommt und sagt, die ist gar nicht von mir. Oder dass einer meine Herzen wegnimmt und drei draus macht. Ich hab fünf gegeben. Die hat fünf verdient. Und die von PhysioPremium hätten doch gern, dass die weniger hat.“

Bevor KevIn antworten konnte, kam Uwe herein, mit einem Kaffee und der großen Gewissheit eines Mannes, der am Morgen eine Zeitung gelesen hat.

„Mama, da musst du dir keine Sorgen machen“, sagte er. „McGesund macht doch so Quantensignaturen.“

Es entstand eine Pause. Irgendwo zwischen Dublin und Frankfurt lief ein Lüfter etwas schneller.

„Uwe“, sagte KevIn freundlich. „Fast.“

„Was heißt fast?“

„Es heißt nicht Quantensignatur. Bei McGesund wird kein Quantencomputer benutzt. Es steht kein goldener Kronleuchter im Keller.“

„Ich hab das aber so gelesen.“

„Wo?“

Uwe überlegte. „In meinem Kopf, glaub ich.“

„Fachleute sagen Post-Quanten-Kryptografie“, sagte KevIn. „Und ich sage lieber quantenresistent als quantensicher. Sicher kann niemand versprechen, auch ich nicht. Resistent heißt: Gegen alles, was wir heute kennen, hält es. Das ist ganz normale Mathematik auf ganz normalen Computern. Aber sie ist so gebaut, dass nach heutigem Wissen auch ein künftiger Quantencomputer sie nicht fälschen kann. ‚Post‘ heißt danach. Für die Zeit danach.“

„Quantenresistent“, wiederholte Uwe langsam. „Das ist schwerer als Quantensignatur.“

„Das ist leider oft so bei Wörtern, die stimmen.“

Drei Schlösser an einer Tür

„Also was passiert jetzt mit meiner Bewertung?“, fragte Gisela. „Erklär es so, dass ich es Brigitte erzählen kann.“

„Gut“, sagte KevIn. „Deine Bewertung hat drei Schutzschichten. Stell dir eine Tür mit drei Schlössern vor.“

„Wie bei Herbert“, sagte Uwe. „Der hat auch drei Schlösser. Und klaut ihm keiner was. Weil er nichts hat.“

„Ich höre das“, sagte Herbert aus dem Wohnzimmer.

„Das erste Schloss ist die klassische Signatur. Ed25519. Die kennst du schon. Damit ist unterschrieben, dass die Bewertung auf diesem Weg entstanden ist, über den QR-Code in der Praxis, und dass seitdem kein Buchstabe verändert wurde. Wenn jemand aus deinen fünf Sternen drei macht, passt die Unterschrift nicht mehr. Das merkt jeder, der nachprüft.“

„Und das kann der Quantencomputer kaputtmachen.“

„Irgendwann vielleicht. Deshalb gibt es das zweite Schloss, und das ist ein Doppelschloss. Zusätzlich zur klassischen Signatur bekommt jede Bewertung zwei quantenresistente Signaturen. Eine mit FN-DSA, dem Gitter-Verfahren mit den kleinen Unterschriften. Und eine mit ML-DSA, das NIST im August 2024 als Standard FIPS 204 veröffentlicht hat. Wenn eines Tages jemand Ed25519 bricht, stehen da immer noch zwei Unterschriften, die nach allem, was man heute weiß, auch einem Quantencomputer standhalten.“

„Zwei?“, fragte Gisela. „Reicht nicht eine?“

„Beide Verfahren sind noch jung“, sagte KevIn. „Sie beruhen zwar beide auf Gittern, aber sie sind ganz verschieden gebaut und von verschiedenen Forscherteams entwickelt worden. Falls sich bei einem eines Tages eine Schwäche zeigt, in der Mathematik oder nur in dem Programm, das es umsetzt, hält das andere weiter. Wie ein Doppelschloss mit zwei Zylindern von verschiedenen Herstellern. Ein Einbrecher müsste beide knacken. Und das klassische Schloss dazu.“

„Gürtel und Hosenträger“, sagte Uwe.

„Genau. Man verlässt sich nicht auf eines allein. Falls bei einem Verfahren doch noch eine Schwäche gefunden wird, hält das andere.“

„Und das dritte Schloss?“, fragte Gisela.

„Das dritte ist der Zeitstempel. Erinnerst du dich an Herberts Internetgeld? Und an den Notar?“

„Der Fingerabdruck im Kassenbuch“, sagte Gisela. „Mit dem Stammbaum.“

„Der Merkle-Baum, genau. Der Fingerabdruck deiner signierten Bewertung und die Signierschlüssel werden über OpenTimestamps in der Bitcoin-Blockchain verankert¹⁶. Damit ist festgehalten, dass es deine Bewertung mit diesen Unterschriften spätestens an diesem Tag im Winter gab.“

„Und warum hilft das gegen die Quanten?“

„Weil der Zeitstempel auf Hashfunktionen beruht. Auf dem Fleischwolf. Und gegen den Fleischwolf hat Shor nichts in der Hand. Quantencomputer können beim Suchen in Hashfunktionen nach heutigem Wissen nur begrenzt helfen, nicht annähernd so dramatisch wie bei RSA. Und jetzt kommt der Trick. Stell dir vor, in zwanzig Jahren baut jemand einen großen Quantencomputer und fälscht damit eine klassische Ed25519-Unterschrift. Er kann aber nicht beweisen, dass seine Fälschung schon in diesem Winter in der Blockchain stand. Deine Bewertung kann das. Sie existierte nachweislich, bevor es Maschinen gab, die solche Unterschriften fälschen konnten.“

Gisela dachte nach. „Also ist meine Bewertung älter als die Gefahr.“

„Das ist eine sehr gute Zusammenfassung.“

„Das bin ich auch“, sagte Gisela. „Älter als die meisten Gefahren.“

Was es nicht kann

Tobi war in die Küche gekommen und hatte zugehört. „Und warum der ganze Aufwand? Für eine Physio-Bewertung? Das ist doch kein Staatsgeheimnis.“

„Weil es um etwas anderes geht“, sagte KevIn. „Erinnerst du dich an PhysioPremium? Achthundert Bewertungen, alle klangen wie ich an einem schlechten Tag.“

„Klar.“

„Das Internet füllt sich mit Texten, die niemand erlebt hat. Bewertungen, Erfahrungsberichte, Kommentare, Fotos. Ich kann so etwas in Sekunden schreiben. Tausende davon. Und die nächsten Sprachmodelle lernen aus diesen Texten. Das ist der Wahrheitsdrift. Kopie der Kopie der Kopie. In so einer Welt wird eine Spur wertvoll, die beweist: Hier war ein echter Mensch an einem echten Ort, an diesem Tag, und das hier hat er geschrieben. Nicht mehr. Aber auch nicht weniger.“

„Nicht mehr?“, fragte Sabine, die in der Tür stand.

„Nicht mehr“, sagte KevIn. „Das ist mir wichtig. Die beste Signatur der Welt macht eine Meinung nicht wahr. Wenn Gisela schreibt, Frau Kurt habe die besten Hände im Ruhrgebiet, dann ist bewiesen, dass Gisela das geschrieben hat, vor Ort, an diesem Tag, unverändert. Ob es stimmt, beweist keine Mathematik. Gisela kann sich irren. Gisela kann auch einfach Frau Kurt gern haben.“

„Ich hab sie gern“, sagte Gisela. „Und sie hat die besten Hände im Ruhrgebiet.“

„Siehst du, ich kann das nicht prüfen.“

„Aber man kann nicht mehr tausend Gummibärchen-Bewertungen aus dem Nichts zaubern“, sagte Sabine langsam. „Ohne dass jemand tausendmal da war.“

„Es wird jedenfalls sehr viel schwerer. Und wenn jemand später heimlich Bewertungen umschreibt oder löscht oder ältere einschiebt, fällt es auf. Auch wenn McGesund selbst das versuchen würde.“

„Würden die das?“, fragte Uwe.

„Das ist ja der Witz an einem Notar“, sagte KevIn. „Man muss ihm nicht vertrauen. Man kann nachsehen.“

„Und wenn einer was Gemeines reinschreibt?“, fragte Gisela. „Mit Namen? So wie Marlies damals über die Bedienung im Vereinsheim?“

„Dann erscheint die Bewertung erst mal gar nicht“, sagte KevIn. „Schreibt jemand ‚Frau Müller‘ oder ‚Dr. Meier‘ hinein, warnt das Formular schon vor dem Absenden. Wird sie trotzdem abgeschickt, hält McGesund sie an, und ein Mensch liest sie, bevor sie jemand sieht. Dann wird der Name geschwärzt.“

Tobi runzelte die Stirn. „Du hast doch eben gesagt, jede Änderung bricht die Unterschrift.“

„Tut sie auch. Deshalb wird nicht heimlich geändert. McGesund hängt ein zweites Siegel an, offen sichtbar: ‚Von McGesund bearbeitet.‘ Die alte Unterschrift bleibt, wie sie war, mit ihrem Zeitstempel. Man sieht also, dass jemand eingegriffen hat und wann. Nur nicht mehr, über wen da gelästert wurde. Das soll ja verschwinden.“

„Und wenn einer über die Regierung schimpft?“, fragte Uwe. „In einer Physio-Bewertung?“

„Dann wird sie nicht veröffentlicht. Politik gehört nicht in eine Bewertung. Da geht es um die Praxis, nicht um Berlin. Beleidigungen genauso. Und was trotzdem durchrutscht, kann jeder melden, mit Namen und E-Mail. Dann prüft McGesund und nimmt es raus.“

Gisela nickte. „Wie beim Kegelclub. Über Politik wird nicht geredet, und wer pöbelt, fliegt.“

„Genau so“, sagte KevIn.

Kasimiro

Am Abend stand Uwe am Gartenzaun und erzählte Herrn Kasimiro alles. Er erzählte es sehr ausführlich, mit Gittern und Pullovern und Gürtel und Hosenträgern. Herr Kasimiro nickte die ganze Zeit, wie Menschen nicken, die an etwas anderes denken.

„Und das Wichtigste“, sagte Uwe am Ende feierlich, „es heißt nicht Quantensignatur. Es heißt quantenresistent.“

„Aha“, sagte Herr Kasimiro.

Aus Kasimiros Küchenfenster meldete sich eine blecherne Stimme. „Ich habe Sie verstanden. Ich habe einen Quantencomputer in den Warenkorb gelegt. Lieferung voraussichtlich Dienstag.“

„Siggi, nein!“, rief Herr Kasimiro und rannte ins Haus.

Uwe ging zurück ins Wohnzimmer. „KevIn. Siggi hat einen Quantencomputer bestellt.“

„Ich bezweifle, dass er einen bekommt“, sagte KevIn. „Er bekommt vermutlich einen Kühlschrank.“

„Mit Lametta?“

„Mit Eiswürfelbereiter. Und einer Broschüre.“

Uwe setzte sich aufs Sofa und dachte an die QuantumLeap Ruhr AG. „Weißt du was, KevIn? Wenn Siggi Glück hat, ist es wenigstens ein echter Kühlschrank.“

„Das ist mehr“, sagte KevIn, „als Sie für zweitausend Euro bekommen haben.“

Uwe warf ein Sofakissen nach dem Lautsprecher. Er traf nicht. Das Thermostat zeigte 19 Grad.