Donnerstag, 22. Oktober, 8:47 Uhr. Der Paketshop in der Neubausiedlung roch nach Paketklebeband und dem billigen Raumspray, das der Inhaber seit der gestrigen Drohung von Kommissar Niesel doppelt versprühte. Niesel und Adelheid von Senff saßen im Observationswagen gegenüber, die Fenster beschlagen, auf dem Laptop lief der Live-Feed der Kamera mit Ton, die sie am Vorabend im Verkaufsraum installiert hatten. Der Inhaber hatte nach anfänglichem Protest eingewilligt, nachdem Niesel ihm erklärt hatte, dass ein nicht kooperierender Paketshopbesitzer im Ermittlungsverfahren ungefähr so angenehm wegkomme wie ein Paket ohne Absender. „Ich hasse Observationen“, murmelte Niesel und rührte in einem Becher, dessen Inhalt nichts mit Kaffee zu tun hatte. „Da sitzt man stundenlang, und das Spannendste ist der DHL-Fahrer, der dreimal an derselben falschen Adresse klingelt.“ Von Senff stellte die Schärfe der Kamera nach. „Geduld, Chef. Gleich kommt jemand, der ein Paket abholen will. Oder eine Briefmarke kaufen. Oder den Laden überfallen, das wäre wenigstens Abwechslung.“
Um 9:14 Uhr bog ein orangefarbener Roller um die Ecke, besetzt mit zwei Personen. Niesel erkannte die Umrisse sofort: Root, der Hacker, und Patsch, die beide die Kapuzen tief ins Gesicht gezogen hatten. „Da sind sie“, zischte Niesel und stieß von Senff mit dem Ellbogen an, sodass diese sich den Kopf an der Wagendecke stieß. „Au!“ „Psst! Ton an!“ Über den Laptop drang die Stimme von Root, als die beiden den Paketshop betraten. Der Inhaber verschwand hinter dem Tresen, als hätte man ihm angekündigt, dass die Zollkontrolle persönlich vorbeikomme. Root lehnte an der Paketwand und wedelte mit einer Hand, während er sprach. „Patsch, du verstehst das nicht. Ich habe Alverondis heute Nacht wieder auseinandergenommen, und diesmal war es eine Kette, die sich gewaschen hat. Zuerst habe ich die PHP-Lücke auf deren Webserver ausgenutzt. Zwei Schwachstellen, CVE-2026-109618 und CVE-2026-109619 – die nennen das PHP2Shell. Ich habe einen harmlosen Datei-Upload genommen und in den Multipart-Body einen winzigen, unsichtbaren Zusatz eingefügt, und zack, hat der Server meinen Code ausgeführt. Das ist, wie wenn du in einem Restaurant auf den Bestellzettel ein unsichtbares Zeichen schreibst, und die Küche bringt dir nicht nur das Essen, sondern auch das Rezeptbuch des Küchenchefs. Dann saß ich als normaler Benutzer auf dem Server, aber für den Rest musste ich an die Adminrechte ran. Also habe ich die sudo-Schwachstelle CVE-2026-82474 benutzt. sudo ist das Programm, das einem normalen Benutzer erlaubt, bestimmte Dinge mit mehr Rechten auszuführen. Ich habe einen Trick mit der Umgebungsvariable gemacht, und schon durfte ich alles. Das ist wie ein Ersatzspieler, der dem Schiedsrichter eine falsche Karte vorlegt und plötzlich selbst pfeifen darf. Und damit ich auch nach einem Neustart drinbleibe, habe ich in der Fernwartungssoftware NoMachine die Lücke CVE-2026-53694 ausgenutzt. Ich habe eine Hintertür eingebaut, die nur ich kenne. Stell dir einen Bühnenarbeiter vor, der während der Vorstellung einen doppelten Boden einbaut, unter dem ein Gang nach draußen führt, und nur er weiß, wo die Klappe ist.“ Patsch schien zu nicken, aber er starrte vor allem auf eine Packung Klebeband. Niesel hämmerte mit der Faust auf das Armaturenbrett. „Dieser Kerl! Er erklärt das wie ein Küchenchef, der gleich eine Kochshow moderiert!“
Niesel riss die Wagentür auf und rannte über die Straße, von Senff dicht hinterher. Er hatte die Tür des Paketshops fast erreicht, als sein linker Fuß auf einem feuchten Ahornblatt ausrutschte und er der Länge nach auf den Gehweg knallte. Von Senff stolperte über seine ausgestreckte Hand und landete halb auf ihm. Durch das Schaufenster sahen sie, wie Root und Patsch aufsprangen, zur Hintertür rannten und verschwanden. Niesel rappelte sich hoch, humpelte um die Ecke, aber da bogen die beiden gerade mit dem Roller in eine Seitenstraße und gaben Gas. Er schrie ihnen hinterher, die Adern am Hals dick wie Gartenschläuche: „Stehen bleiben! Ich bin nicht den halben Morgen in einem Paketshop-Ambiente gesessen, um jetzt über einen Laubhaufen zu fliegen!“ Die Straße blieb still, nur das ferne Knattern des Rollers war zu hören. Niesel stützte sich an der Wand ab und atmete schwer. Von Senff bückte sich und hob etwas auf. Ein zerknüllter Zettel, der vor der Tür lag. Sie glättete ihn. „Chef, das hat Patsch verloren.“ Niesel riss ihr den Zettel aus der Hand und las laut vor: „Butter, Milch, CVE-2026-5053 bis 5055 nicht vergessen, Treffen Donnerstag 17 Uhr in der alten Wäscherei, Kaffee.“ Er starrte auf das Papier, als hätte es ihn persönlich beleidigt. „Die schreiben ihre CVE-Nummern auf den Einkaufszettel? Was kommt als Nächstes? Ein Tattoo mit dem Admin-Passwort?“ Von Senff zuckte mit den Schultern. „Immerhin wissen wir jetzt, wo sie sich treffen.“
Zurück im Observationswagen rief Niesel Dr. Irmgard Küster an. „Küster, bestätigen Sie mir die neuen Nummern. Und sagen Sie mir, ob Alverondis schon wieder kompromittiert ist.“ Küster war am Apparat, als hätte sie gewartet. „Chef, alle drei Meldungen sind heute frisch beim BSI eingegangen. PHP, sudo und NoMachine – die Lückenkette ist real. Ich habe Alverondis erreicht: Deren Webserver zeigt seit heute Nacht ungewöhnliche Prozesse, sie haben es noch nicht gemerkt. Ich habe ihnen empfohlen, den Server sofort vom Netz zu nehmen.“ Niesel nickte grimmig, während er den Zettel gegen das Licht hielt. „Dann haben wir jetzt das, was die Bande nicht eingeplant hat: einen Einkaufszettel mit Termin. Die alte Wäscherei, heute 17 Uhr. Wir stellen eine Falle.“ Von Senff startete den Motor. „Sollen wir Verstärkung anfordern?“ Niesel schnaubte. „Und wenn die Bande in der Wäscherei nur bügeln will? Nein, wir observieren erst. Aber diesmal nehme ich meinen eigenen Kaffee mit – und trittsichere Schuhe.“ Er faltete den Zettel zusammen und steckte ihn in die Innentasche, während der Wagen aus der Parklücke rollte. Draußen fiel ein weiteres Blatt von einem Baum und landete genau auf der Stelle, an der Niesel gelegen hatte. Es sah fast aus wie ein Beweisstück.