Freitagmorgen, Einsatzzentrale. Der Kaffeeautomat gab heute Kaffee aus, aber Norbert Niesel misstraute ihm. Die Lösegeldforderung, die gestern Abend kommen sollte, war nicht eingegangen. Er trommelte mit den Fingern auf den Tisch. Adelheid von Senff schob ihm einen Zettel hin: „Die Aufnahmen aus dem Café am alten Postamt sind fertig." Niesel schnappte sich den Dienstwagen, Adelheid folgte. Unterwegs murmelte er: „Wenn der Hacker auf der Kamera zu sehen ist, haben wir endlich sein Gesicht."
Im Café führte sie der Wirt ins Hinterzimmer. Auf dem Monitor lief die Aufnahme vom Donnerstag. Magnus Mangel saß am Fenstertisch, einen grünen Parka über dem Stuhl, und telefonierte laut. Die Kamera zeichnete den Ton mit. Man hörte seine heisere Stimme: „Boss, der erste Weg war nur die Vorspeise. Heute Nacht habe ich auf deren Website zugeschlagen. Drupal-Erweiterungen – die Lücke CVE-2026-3218. Stell dir vor, du stehst vor einem Theater, und eine Seitentür ist nur angelehnt; du drückst dagegen, schon stehst du auf der Bühne und kannst in alle Requisiten greifen. So bin ich auf den Webserver gekommen. Aber als anonymer Besucher hatte ich noch keine Zutrittskarte fürs Backstage. Da kommt Red Hat Enterprise Linux ins Spiel. Auf dem Server läuft RHEL, und die haben firewalld, leapp-repository und tesseract – ich hab die Lücke CVE-2026-73066 genutzt. Das ist wie ein Aufzug, der ohne Schlüssel ins Penthouse fährt: Ich war lokal auf dem Server, und mit einem Trick habe ich Root-Rechte bekommen. Und dann, Boss, der Clou: Fleet. Die verwalten ihre gesamten Endgeräte mit Fleet. Ich hab mir deren Fleet-Instanz geschnappt und die Lücke CVE-2026-23518 ausgenutzt, um mir selbst einen Admin-Zugang in deren Endpoint-Management zu basteln. Jetzt kann ich auf jedem Rechner von Xarventila Befehle ausführen, Daten abziehen, Updates blockieren. Wie ein Paketverteilzentrum, in dem ich alle Laufzettel umschreibe und jedes Paket an mich umleite." Im Hintergrund der Aufnahme hing ein Plakat an der Wand: „Alte Druckerei, Mietfläche frei." Niesel stutzte.
Niesel rief Dr. Irmgard Küster an und diktierte die CVE-Nummern. Küster bestätigte: Drupal (CVE-2026-3218), Red Hat Enterprise Linux (CVE-2026-73066), Fleet (CVE-2026-23518). Niesel alarmierte Herbert Hohl bei Xarventila. Hohl stammelte: „Unsere Website lädt seit heute Morgen fremde Skripte, der Server zeigt Root-Logins, und in der Fleet-Konsole ist ein neuer Administrator aufgetaucht." Der zweite Angriff war bereits in vollem Gange. Niesel sagte: „Wir kommen sofort."
Bei Xarventila zeigte Hohl die Logs: Über Drupal war eine Webshell auf den Webserver gelangt, über RHEL hatte sich die Bande Root-Rechte verschafft, und über Fleet steuerte sie bereits drei Außendienst-Laptops. Niesel sicherte alles, konnte den Angriff aber nicht stoppen – die Bande war schon drin. Sein Team schickte er zur alten Druckerei. Als die Beamten eintrafen, war die Druckerei verlassen, aber auf einem Stuhl lag ein grüner Parka, und darunter steckte ein Zettel: „Zu langsam, Niesel."
Zurück in der Einsatzzentrale schrieb Niesel an das Whiteboard: „Drupal -> RHEL -> Fleet" und darunter „Alte Druckerei". Küster meldete, die Lösegeldforderung sei jetzt eingegangen – doppelt so hoch wie geplant, weil die Polizei „störend" sei. Niesel ballte die Faust, Adelheid legte ihm eine Hand auf die Schulter. „Wir haben einen Parka, eine Adresse und die Gewissheit, dass sie nervös werden." Der Fall blieb offen, aber das Netz zog sich weiter zu.