Montagmorgen, 19. Oktober. In der Einsatzzentrale roch es nach verbranntem Plastik, weil jemand den Kaffeeautomaten mit einem Toastbrot gefüttert hatte. Kommissar Norbert Niesel stand davor, wedelte mit einem Schraubenzieher und rief: „Das ist Sabotage! Wer war das?“ Adelheid von Senff tippte seelenruhig auf ihrem Tablet. „Der Automat hat keine Brotfunktion, Chef.“ Bevor Niesel explodieren konnte, klingelte das Telefon. Es war Dr. Irmgard Küster. „Alverondis, Logistikdienstleister, hat uns alarmiert. Jemand hat ihre Apache-Airflow-Instanz zweckentfremdet. Ich schicke die CVE-Daten.“ Niesel atmete einmal tief durch und schnappte sich seine Jacke. „Frau von Senff, wir fahren.“
Bei Alverondis führte der IT-Leiter, ein blasser Mann mit Brillenabdruck auf der Nase, durch den Serverraum. „Hier, schauen Sie: In unserem Airflow lief ein Example-DAG, den wir nie deaktiviert haben. Der Angreifer hat einen Parameter injiziert und sich so Zugang verschafft.“ Niesel runzelte die Stirn. „Was heißt hier Example-DAG?“ Dr. Küster, per Video zugeschaltet, erklärte: „Eine Art vorgefertigter Musterprozess. Die Lücke CVE-2026-75157 erlaubt es, die Event-Autorisierung zu umgehen. Der Hacker hat sich als berechtigter Nutzer ausgegeben.“ Niesel nickte, obwohl er keinen blassen Schimmer hatte. „Von Senff, notieren Sie: Der Kerl ist also durch eine offene Beispieltür spaziert.“
Zurück in der Zentrale spielte von Senff eine Aufzeichnung ab, die Alverondis von ihrem VoIP-System mitgeschnitten hatte. Ein Anruf von innen nach draußen, vermutlich der Hacker. Die Stimme war jung, begeistert, ein bisschen zu laut. „Chef, die Kaskadenbrigade hat zugeschlagen! Ich bin erst über die Airflow-Geschichte rein, wie durch einen offenen Briefkasten. Die Lücke CVE-2026-75157 war mein Dietrich. Dann habe ich mir den OpenSSL-Server vorgeknöpft – die Lücke CVE-2026-84783, ein Use-after-free, bei dem das Zertifikat in der Luft hängt wie ein Fahrradschloss, das man nur kräftig rütteln muss. Damit habe ich eigenen Code auf dem TLS-Terminierungsserver ausgeführt und mir die Rechte geholt. Und zum Schluss, das Beste: Die Ansible Automation Platform von Red Hat hat Debug-Views, die jeder Depp ohne Login aufrufen kann. CVE-2026-84486. Ich habe mir im Controller einen Admin-Account namens svc_kaskade angelegt und einen täglichen Ablauf eingerichtet, der die Kundendaten um drei Uhr siebzehn auf meinen Server schiebt. Das läuft wie ein Hausmeister mit Generalschlüssel, der jedem die Tür aufhält.“ Von Senff stoppte die Aufnahme. „Der Account existiert noch. Das ist unsere Spur.“ Niesel starrte auf den Bildschirm. „Der redet, als hätte er einen Podcast.“
„Woher kam der Anruf?“ fragte Niesel. „Die VoIP-Protokolle zeigen eine interne Nebenstellenleitung, die auf ein Firmenhandy registriert war – das Handy wurde am Samstag als gestohlen gemeldet.“ Von Senff scrollte. „Außerdem hat der Hacker im Hintergrund eine Durchsage erwähnt: ‚Nächster Halt: Marktplatz‘. Das passt zu einer Straßenbahnlinie, die am Sonntagabend um 23:42 Uhr die Haltestelle passiert.“ Niesel kniff die Augen zusammen. „Ein gestohlenes Handy, eine Straßenbahndurchsage – das könnte eine Falle sein. Aber wir observieren trotzdem.“ Er rief die Observationsabteilung an und ordnete an, alle Überwachungskameras entlang der Linie auszuwerten. Die Bande hatte einen Fehler gemacht: Der Hacker hatte den Anruf nicht von einem Wegwerfhandy, sondern von einem geklauten Firmengerät geführt. Niesel spürte, wie sich das Netz zuzog. Noch war die Kaskadenbrigade einen Schritt voraus, aber nicht mehr unsichtbar.
Am Abend stand Niesel wieder vor dem Kaffeeautomaten, der inzwischen mit rot-weißem Flatterband abgesperrt war. „Das Ding ist Tatort!“, schnauzte er einen Techniker an. „Erst ermitteln, dann reparieren!“ Von Senff kam mit einem Becher Tee vorbei und reichte ihm ein Memo: „Die Spurensicherung hat an der Haltestelle Marktplatz eine leere Chipstüte gefunden, auf der ein Fingerabdruck war. Kein Treffer in der Datenbank.“ Niesel seufzte. „Immerhin. Setzen Sie das auf die Liste.“ Er blickte auf die Uhr. Es war Montag, 21:14 Uhr. Der Fall Alverondis war erst einen Tag alt, aber die Kaskadenbrigade hatte bereits eine Identität, einen Account und einen Ort. Niesel trank einen Schluck Tee und verzog das Gesicht. „Und dieser Tee schmeckt nach Kaffee, der durch einen Feuerlöscher gelaufen ist.“ Von Senff zuckte mit den Schultern. „Montag, Chef.“