Samstagmorgen, 8.14 Uhr. Dr. Irmgard Küster stand in Niesels Büro und hielt ein schwarzes Smartphone hoch, als wäre es ein toter Fisch. „Es steckte in der Innentasche des grünen Parkas.“ Niesel hatte den Samstag mit einem Frühstück geplant. „Und das Ding war ausgeschaltet?“ Küster nickte. „Jetzt nicht mehr.“ Sie legte es auf den Tisch, verband es mit dem Lautsprecher, und Niesel hörte die erste von drei Sprachnachrichten. Magnus Mangels heisere Stimme fing an, bevor Niesel seinen Kaffee erreicht hatte.
„Boss, hör zu. Xarventila hat uns den Weg zu Veltragoran gelegt – die hosten deren Website. Für den Fernzugriff benutzen die eine QT-Anwendung. Ich konnte mich von außen als anonymer Besucher durch die Anmeldung tricksen, über die Lücke CVE-2026-6210. Das ist wie im Stadion: Der Ordner schaut nur auf die Farbe meines Bändchens, nicht auf die Nummer – schon bin ich drin. Nach dem QT-Trick stand ich als normaler Benutzer auf dem Wartungsserver. Für mehr brauchte ich cPanel/WHM. Die haben dort CVE-2026-41940 drauf. Das ist wie in einer Poststelle: Ich habe einen Praktikantenausweis, greife mir den Stempel des Abteilungsleiters und stempel mir selbst einen Dienstausweis mit Root-Vermerk. Seither bin ich der Systemverwalter. Und dann, Boss, das i-Tüpfelchen: PHP. Die Kundenportale von Veltragoran laufen alle in PHP. Mit CVE-2026-17543 und ein paar Freunden lese ich Passwörter aus und verändere Rechnungen – wie in einer Großküche, in der alle Töpfe offen stehen und ich so lange Salz in die Suppe kippe, bis keiner mehr merkt, was eigentlich drin ist. Wenn Veltragoran nicht zahlt, lass ich ihre Portale absaufen.“
Die Aufnahme lief weiter. Am Ende war leise eine zweite Stimme zu hören, die Niesel die Haare aufstellte: „Morgen, elf Uhr, alter Wasserturm. Bring die Daten.“ Magnus lachte: „Und sag dem Fahrer, er soll nicht schon wieder die Linie 7 nehmen.“ Dann knackte es. Niesel sprang auf, verhedderte sich im Kabel des Lautsprechers und brüllte: „Der alte Wasserturm! Der hat mir gerade noch gefehlt!“ Küster fing das Smartphone, Adelheid von Senff drückte ihn zurück auf den Stuhl. „Immerhin haben wir Ort und Zeit“, sagte sie. Niesel schnappte nach Luft. „Morgen ist Sonntag, Frau von Senff. Am Sonntag wollte ich einmal frühstücken.“
Niesel rief bei Veltragoran an. Edgar Engel, der Technikleiter, meldete sich mit einer Stimme, die aussah wie durchweichte Pappe. „Bei uns passieren komische Dinge. Seit heute Nacht drei Root-Anmeldungen, die niemand kennt, im Kundenportal wurden Rechnungsdaten geändert.“ Niesel: „Das wissen wir. Schalten Sie nichts ab, sichern Sie die Logs, und erwähnen Sie gegenüber niemandem das Wort Polizei.“ Engel hustete. „Aber die klauen doch weiter.“ Niesel: „Deshalb machen wir es wie bei einem Angelausflug. Sie lassen den Köder im Wasser, bis der Hecht morgen zuschnappt.“ Küster bestätigte derweil die CVE-Nummern: CVE-2026-6210 für QT, CVE-2026-41940 für cPanel/WHM, CVE-2026-17543 für PHP. Niesel nickte. „Dann ist das kein Zufall, das ist ein Plan.“
Zurück in der Einsatzzentrale schrieb Niesel auf das Whiteboard: „QT -> cPanel/WHM -> PHP“ und darunter „Sonntag, 11 Uhr, alter Wasserturm.“ Adelheid hängte eine Karte daneben. „Der Wasserturm liegt verkehrsgünstig an der Linie 7, aber er ist abgelegen genug.“ Niesel rieb sich die Schläfen. „Wir stellen zwei Zivilstreifen an den alten Güterbahnhof, der Rest wartet in der alten Post. Keiner rührt sich vor elf.“ Er warf einen Blick aus dem Fenster, wo die Bahn der Linie 7 quietschend um die Ecke bog. „Morgen“, sagte er, „wird das ein sehr kurzer Sonntag.“ Draußen regnete es, als ob der Himmel es eilig hätte.