Dienstagmorgen, 20. Oktober. Der Kaffeeautomat in der Einsatzzentrale war immer noch mit rot-weißem Flatterband abgesperrt, weil die Spurensicherung das Toastbrot als Beweismittel Nummer eins in eine Tüte gesteckt hatte. Kommissar Norbert Niesel trank stattdessen einen Tee, der schmeckte, als hätte jemand einen Feuerlöscher durch die Blätter gejagt, und starrte dabei so finster auf das Flatterband, dass Adelheid von Senff sicherheitshalber einen Schritt zurücktrat. In diesem Moment schaltete sich Dr. Irmgard Küster per Video zu. „Chef, die automatisierte Forenanalyse hat etwas gefunden. In einem Untergrundforum prahlt ein Nutzer namens Root_Kaskade mit einem neuen Angriff auf Alverondis.“ Sie las vor, und Niesel hörte zu, während sein Tee langsam kalt wurde.
Der Post lautete: „Zuerst habe ich dem Logistiker eine präparierte Webseite untergejubelt, die deren WebKitGTK-Browser beim Rendern ins Stolpern bringt. CVE-2026-28847. Das ist wie ein Postbote, der beim Sortieren der Pakete heimlich die Adressaufkleber vertauscht und dabei die Absender liest. So kam ich an die Sitzung eines Entwicklers. Dann habe ich auf dem Rechner über die Regex-Bibliothek PCRE2, Perl Compatible Regular Expressions, eine Lücke genutzt, CVE-2026-86145: Wenn man das Muster falsch füttert, entgleist der Speicher wie ein überladener Güterzug, und ich konnte eigenen Code ausführen. Und jetzt die Kür: Die Python-Umgebung virtualenv erzeugt Aktivierungsskripte, die bei Pfaden mit überflüssigen Anführungszeichen den Code ausführen statt ihn nur zu zitieren – wie ein Souffleur, der bei seinem Stichwort plötzlich das falsche Stück aufsagt. CVE-2026-102925. Damit läuft meine Hintertür bei jedem Aktivieren der Umgebung mit und schiebt Daten auf meinen Server.“ Dr. Küster bestätigte: „Die CVE-Nummern sind real, die Lücken frisch gemeldet.“ Niesel starrte auf den Bildschirm. „Der redet im Darknet wie in einem Werbeprospekt. Das ist entweder dumm oder eine Falle.“ Von Senff zuckte mit den Schultern. „Oder beides.“
Niesel erkannte, dass die Bande bereits den nächsten Schritt plante. Er rief bei Alverondis an; der IT-Leiter bestätigte, dass ein Entwicklerrechner auffällig war: Die virtualenv-Skripte waren manipuliert. Niesel und von Senff fuhren sofort hin. Vor Ort sahen sie den Schaden – im Aktivierungsskript steckte ein Befehl, der beim Start Daten exfiltrierte. Niesel ordnete an, den Rechner zu isolieren und die Entwicklungsabteilung zu sperren. Er ließ einen Lockvogel anlegen: einen präparierten virtualenv-Ordner, der beim Zugriff sofort Alarm auslöste und die IP des Angreifers protokollierte. Von Senff notierte: „Der Angriff kam über eine interne IP, die zu einem Mitarbeiter gehört, der seit Montag krank ist.“ Niesel nickte grimmig. „Der hat keinen Schnupfen. Der wurde übernommen.“
Am Nachmittag löste der Lockvogel aus. Die Bande versuchte, erneut auf die Umgebung zuzugreifen. Die Gegenüberwachung zeichnete die IP auf – sie führte zu einem Internetanschluss in einem Wohnhaus nahe der Haltestelle Marktplatz. Niesel und ein Einsatzkommando fuhren hin, aber die Wohnung war leer. Auf dem Tisch stand ein halb leerer Energy-Drink, daneben lag ein Zettel: „Nettes Netz, Kommissar. Die Kaskadenbrigade grüßt. Root & Patsch.“ Niesel tobte: „Das ist eine Kriegserklärung! Wo ist das Flatterband?“ Von Senff wies seelenruhig darauf hin, dass sie nun endlich eine konkrete Adresse hatten und die Observation ausweiten konnten. Die Bande war noch nicht gefasst, aber sie hatte zum ersten Mal eine physische Spur hinterlassen.
Zurück in der Zentrale, Dienstagabend. Niesel hängte die neue Adresse an die Pinnwand und umkreiste sie wie ein hungriger Tiger. Der Kaffeeautomat war inzwischen repariert, stand aber unter Beobachtung. Von Senff brachte ihm einen Becher echten Kaffee. Niesel nippte und seufzte: „Der schmeckt nach Fortschritt. Fast.“ Er blickte auf die Uhr: 20:42. Der Fall Alverondis war jetzt zwei Tage alt, aber die Kaskadenbrigade hatte einen Namen, einen Fehler und eine Adresse. Niesel trank noch einen Schluck und murmelte: „Morgen sehen wir weiter. Und dann schnapp ich mir den Souffleur.“