Mittwochmorgen, 30. September 2026. Ich, Norbert Niesel, stand in der Einsatzzentrale und starrte auf ein Smartphone mit gesprungenem Display, das auf einem Stück Pappe lag. „Wo kommt dieses Ding her?“, fragte ich und reckte mein Kinn in Richtung der Beweisstücke. Adelheid von Senff, die mit einer Thermoskanne hereinkam, sagte: „Ein Streifenbeamter hat es gestern Abend am Bahnhof Südkreuz aufgelesen, am Fuß der Treppe zu Gleis 3. Es lag neben einem Zuckerpäckchen. Vermutlich hat Sigi Stack es verloren, als die Bande zur S-Bahn gerannt ist.“ Ich schnappte nach Luft. „Warum erfahre ich das erst jetzt?“ Adelheid zuckte mit den Schultern. „Weil das Fundbüro erst heute morgen geöffnet hat. Und weil du um halb sieben im Dienstzimmer geschrien hast, dass niemand dein Brötchen von gestern anfassen soll.“ Das stimmte. Ich hatte meinen Wutausbruch noch nicht ganz verdaut. Dann riss ich die Beweistüte auf und drückte den Einschaltknopf. Das Handy blieb schwarz. „Akku leer!“, brüllte ich, als hätte das Gerät mich persönlich beleidigt. Adelheid hielt mir ein Ladekabel hin, ohne eine Miene zu verziehen. „Und dein Brötchen ist heute mit Salami.“ Ich kaute, während der Akku lud.
Eine Stunde später saß ich neben Dr. Irmgard Küster, die das Handy an einen Auslese-Rechner angeschlossen hatte. Sie trug einen weißen Kittel und die Miene eines Menschen, der gleich einen Kuchen anschneidet. „Das Handy ist nicht nur gesperrt, sondern hat auch eine recht laxe Bildschirmsperre. Vier falsche PINs, dann wäre es gelöscht. Ich habe es über das Wartungsprotokoll entsperrt.“ Sie öffnete einen Chat-Verlauf in einer Messaging-App, und ich sah die Gruppenunterhaltung der Schatten-Syntax. Vera Vektor hatte am Dienstagabend zwei Worte geschrieben: „Quendalora. Jetzt.“ Rainer Raster, der Banden-Hacker, hatte geantwortet: „Schon drin. Erst Node.js. Stell dir ein Orchester vor, in dem ein Musiker ein paar Takte länger spielt, als im Notenblatt steht. Die CVE-2026-21717 in Node.js ist genau das: Ich habe Code auf dem öffentlichen Webserver von Quendalora ausgeführt, obwohl ich nur ein anonymer Zuhörer vor der Tür war. Von außen, ohne Passwort, ohne dass irgendwer gefragt hat. Jetzt gehört die Bühne mir.“ Ich starrte auf den Bildschirm. „Quendalora?“, fragte ich. „Nie gehört.“ Küster tippte. „Eine Firma für Gebäudeautomation. Sie betreiben einen Node.js-Dienst für die Kundenportale. Und sie haben wohl einiges, wofür die Bande sich interessiert.“
Ich las weiter, während Raster im Chat das Maul aufriss. „Dann bin ich auf einem internen System gelandet, das PDFs und Druckaufträge mit Ghostscript verarbeitet. Die Lücke CVE-2026-19547 ist wie ein Ersatzspieler, der während der Halbzeit die Rückennummern in der Kabine neu beschriftet, sodass er plötzlich die Kapitänsbinde trägt. Ich hatte nur die Rechte eines einfachen Benutzers, aber mit Ghostscript konnte ich mich zum Administrator befördern – lokal, still, ohne dass das System Alarm schlägt. Und zum Schluss, Sigi, dein Part: Ich brauche die U-Boot-Backdoor. CVE-2026-33243 in DENX U-Boot ist wie ein Maskottchen, das die Stadionansage manipuliert und bei jedem Spiel automatisch wieder auf Sendung geht, egal wie oft der Tonmann die Anlage neu startet. Du installierst das kleine Bauteil im Netzwerk von Quendalora, im angrenzenden Segment, und ich kann von dort aus Code ausführen, der auch einen Neustart überlebt. Wenn Quendalora die Server neu aufsetzt, bin ich immer noch da.“ Sigi Stack hatte nur mit einem Daumen-hoch-Emoji geantwortet. Vera schrieb: „Dann hol dir den Beweis und hör auf zu quatschen.“ Raster: „Ich quatsche nicht, ich dokumentiere fürs Geschichtsbuch.“ Ich spürte, wie mein Puls schneller wurde.
Ich rief sofort bei Quendalora an. Der Leiter der IT-Sicherheit, ein Mann mit dem wunderbaren Namen Herr Potholz, wollte mir nicht glauben, bis ich ihm die CVE-Nummern vorlas. Dann wurde er sehr still und sagte, dass am Morgen tatsächlich ihre Node.js-Anwendung kurz ausgefallen sei und dass im Gebäude ein externer „Datentechniker“ unterwegs war, der ein kleines Gerät mit der Aufschrift „Netzwerkmodul“ installieren wollte. „Das ist unsere Bande!“, brüllte ich ins Telefon. „Lassen Sie niemanden an die Verkabelung! Ich schicke ein Team.“ Wir rasten mit Blaulicht durch die Stadt, aber ich musste vor einer roten Ampel anhalten, weil ein Linienbus den gesamten Kreuzungsbereich blockierte. Ich trommelte aufs Lenkrad und rief Dinge, die nicht für das Protokoll bestimmt waren. Als wir endlich bei Quendalora ankamen, standen wir vor der Gebäudezufahrt und sahen einen Mann in grauer Arbeitskleidung, der gerade einen kleinen Kasten mit Antenne an eine Wandhalterung im Technikraumflur schrauben wollte. Er sah uns, ließ den Kasten fallen und rannte in Richtung Treppenhaus. Wir verfolgten ihn drei Etagen lang, dann entkam er über ein Fenster in den Hinterhof. Ich warf mich ihm fast hinterher, blieb aber an einem Putzwagen hängen und riss einen Eimer um. Der Mann verschwand zwischen Containern. Wir sicherten den Kasten. Es war ein eingebettetes Gerät mit U-Boot-Bootloader und einer bereits präparierten Speicherkarte. „Fast“, keuchte ich, während Adelheid mir half, mich vom Boden zu sammeln.
Zurück in der Einsatzzentrale legte Dr. Küster den sichergestellten Kasten auf den Tisch und nickte bedächtig. „Das Gerät enthält eine manipulierte U-Boot-Version. Ein Fingerabdruck auf dem Gehäuse passt zu einem Kleinkriminellen namens Sigi Stack, der wegen Hehlerei aktenkundig ist. Die CVE-Nummern sind alle verifiziert: CVE-2026-21717 in Node.js, CVE-2026-19547 in Ghostscript, CVE-2026-33243 in DENX U-Boot. Die Bande ist weiter drin, aber wir haben jetzt ihr Werkzeug – und einen Namen.“ Ich rieb mir den Knöchel. „Quendalora müssen wir weiter beobachten. Und Sigi Stack hat heute sein Handy und sein Zuckerpäckchen verloren. Wenn er das merkt, wird die Bande nervös. Und nervöse Banden machen Fehler.“ Adelheid reichte mir ein Brötchen. Es war warm. „Morgen ist Donnerstag“, sagte sie. „Vielleicht haben wir bis Freitag ein Bild.“ Ich biss herzhaft zu. Es schmeckte nach Fortschritt, der noch lange kein Sieg war.