Donnerstag, 15. Oktober 2026. Kommissar Norbert Niesel starrte auf den Bildschirm und lief rot an. »Was ist das für ein Format, Küster? Kein Absatz, keine Silbentrennung, und diese unsäglichen Emoticons!« Dr. Irmgard Küster zuckte mit den Schultern. »Das ist ein Darknet-Forum, Chef. Da ist Ästhetik nicht vorgesehen. Aber der Inhalt ist brisant. Ein Nutzer namens ‘RestpostenRitter_M’ prahlt mit dem neuesten Angriff auf Aurvendalis.« Sie las vor: »’Zuerst die Theaterkasse: Ivanti Connect Secure. Die lassen jeden rein, der ein altes Programmheft hochhält – ich musste nur einen bestimmten Wert in die Anmeldemaske tippen, schon stand ich im Foyer, ohne Eintrittskarte, und konnte meine eigenen Anweisungen ausführen wie der Hausherr. Dann der Archivar: Fortinet FortiAnalyzer und FortiManager. Da habe ich eine SQL-Injection benutzt, um mir aus der Benutzerdatenbank die Schlüssel für die Chefetage zu holen – wie ein Formular, in das ich statt meines Namens eine zusätzliche Bestellung geschrieben habe. Und zum Schluss der Bühnenmeister: Fortinet FortiSIEM. Damit habe ich mir eine Hintertür eingebaut, die alle Alarmsysteme stumm schaltet – wie ein Lautsprecher, über den ich nicht nur die Durchsage mache, sondern auch den Putzplan ändere.’« Adelheid von Senff trat mit einem Brötchen ein. »Der Mann hat ein Faible fürs Theater. Aber als Putzplanänderer wäre er in unserem Büro willkommen.«
Niesel schnaubte. »Küster, übersetzen Sie das bitte in eine Sprache, die ich verstehe, bevor ich den Putzplan hier ändere.« Küster nickte. »Ivanti Connect Secure ist das VPN-Gateway, über das Außendienstler und Wartungsfirmen auf das Netz von Aurvendalis zugreifen. Ein anonymer Angreifer konnte die Anmeldung umgehen und eigenen Code ausführen – damit war er drin. FortiAnalyzer und FortiManager verwalten Logs und Geräte. Über die SQL-Injection hat er sich selbst zum Administrator gemacht, also die Schlüssel für alle Türen geholt. Und FortiSIEM ist das Sicherheitsmonitoring. Wenn man dort Code ausführt, kann man die Überwachung abschalten und die Spuren verwischen. Genau das hat er getan.« Niesel sprang auf. »Und wo steckt dieser Bühnenmeister jetzt?« Küster tippte auf eine Zeile. »Die Verbindung kam über ein öffentliches WLAN im Café ‘Kleine Bohne’ am Marktplatz. Die IP-Adresse ist eindeutig.«
Eine halbe Stunde später saßen Niesel und Senff im Zivilwagen gegenüber der Kleinen Bohne. Niesel kaute auf einer trockenen Brezel, während Senff ihren Kaffee balancierte. Gegen sechzehn Uhr betrat ein Mann mit Laptop das Café – Bruno Backstein. Niesel riss die Autotür auf, blieb aber mit dem Mantel am Türgriff hängen und schlug mit der Stirn gegen die Scheibe. »Verdammter Mantel!«, brüllte er, stürmte los und schrie im Café: »Aufhören! Polizei!« Backstein sah ihn, warf den Laptop in eine Ecke und floh durch die Küche. Niesel stolperte über einen Stuhl, rappelte sich auf und erreichte den Hinterausgang, wo Backstein gerade auf ein Fahrrad sprang und davonstrampelte. Niesel schrie: »Stehen bleiben, Sie Fahrrad-Ritter!« Doch Backstein bog lachend in die nächste Gasse ein. Der Kellner, ein junger Mann mit Schürze, sagte eifrig: »Der kommt jeden Donnerstag um die gleiche Zeit. Ich kenn sein Gesicht.«
Zurück in der Einsatzzentrale lief Niesel rot an. »Er war in greifbarer Nähe! Und ich bin über einen Stuhl gestolpert!« Senff trank seelenruhig ihren Kaffee. »Immerhin wissen wir jetzt, dass er Kaffee mag und donnerstags Stammgast ist. Das grenzt die Auswahl an Verdächtigen auf etwa achtzig Prozent der Stadtbevölkerung ein.« Niesel brüllte: »Dann überwachen wir ab sofort jedes Café dieser Stadt! Und die Fahrradständer! Und die Bushaltestellen!« Küster meldete: »Aurvendalis ist informiert. Die Lücken in Ivanti Connect Secure, FortiAnalyzer/FortiManager und FortiSIEM sind bestätigt. Die Patches laufen. Aber die Hintertür im SIEM ist aktiv – die Bande kann sich immer noch dort einloggen. Deshalb müssen wir das Café und die Umgebung beobachten, falls Backstein wiederkommt.« Niesel nickte grimmig. »Dann machen wir das Café zur Falle. Nächsten Donnerstag schnappen wir ihn uns – diesmal ohne Stuhl.«
Am Abend saß Niesel in der Einsatzzentrale und starrte auf den Darknet-Post, den Küster ausgedruckt hatte. Neben ihm lag ein Formular 17-C für die Beantragung einer Dauerobservation eines Cafés. Er unterschrieb ohne hinzusehen. »Morgen«, knurrte er, »werden wir den Bühnenmeister der Restposten-Ritter einkreisen. Der Fall ist noch offen, aber wir haben einen Ort, ein Muster und ein Fahrrad. Das reicht für eine Umzingelung.« Senff warf ihm eine Tüte Gummibärchen zu. »Nicht dass du beim Zugriff wieder über deine eigenen Füße fällst.« Niesel bekam einen roten Kopf. »Das war ein taktischer Rückzug!« Der Bildschirm der Café-Überwachung flackerte. Draußen fuhr ein Fahrrad vorbei. Niesel zuckte zusammen. Der Fall blieb offen, aber das Netz zog sich spürbar zu.