Mittwoch, 21. Oktober, 9:12 Uhr. Der Observationswagen roch nach kaltem Kaffee, und Kommissar Norbert Niesel starrte durch die beschlagene Scheibe auf die leere Wohnung nahe dem Marktplatz. Adelheid von Senff drehte am Regler des Abhörgeräts. „Es geht los, Chef.“ Aus dem Lautsprecher drang die Stimme von Root, dem Hacker der Kaskadenbrigade, der gerade seinen Chef anrief: „Kaskade, ich bin drin. Zuerst habe ich bei Alverondis das Webmail-Postfach der Buchhaltung geknackt – die Anmeldemaske von Roundcube Webmail hat eine undichte Stelle, CVE-2026-48842. Man braucht kein Passwort, nur ein bestimmtes Sonderzeichen im Benutzernamen, und schon plaudert die Datenbank die Sitzungscodes aus. Das ist, als würde man sich im Wartezimmer beim Arzthelfer mit einem falschen Namen anmelden und bekäme die Akte vom Chefarzt in die Hand gedrückt. Mit den Zugangsdaten aus der Mail bin ich in Snipe-IT rein, die Inventarverwaltung. Da gibt es die Lücke CVE-2026-48492 in der Wartungs-API. Ich habe die Datensätze so umgehängt, als würde ich im Leihhaus mit einem Pfandbon für eine Taschenuhr das gesamte Lager abholen – und dabei die Vertrags- und Garantielisten mitnehmen. Und auf dem Server, auf dem Snipe-IT läuft, habe ich mir über die Kernel-Lücke CVE-2026-80521 eine Root-Shell geholt. Das ist wie ein Aufzug, bei dem man nach dem Aussteigen noch einmal den Notrufknopf drückt, und der fährt dann ohne Steuerung bis aufs Dach und lässt dich auf die Antenne klettern. Beim nächsten Neustart steht die Tür wieder offen.“ Niesel schlug mit der flachen Hand auf das Armaturenbrett. „Dieser Kerl erklärt Cyberangriffe wie ein Reiseleiter! Küster soll die Nummern prüfen!“ Von Senff notierte seelenruhig jede CVE.
Dr. Irmgard Küster meldete sich zehn Minuten später per Video. „Chef, alle drei Lücken sind real und frisch gemeldet. Roundcube Webmail, Snipe-IT und der Linux Kernel – die Kaskadenbrigade hat eine komplette Kette gebaut. Erstzugriff über das Webmail-Postfach, laterale Bewegung über die Inventarsoftware, Rechteausweitung über den Kernel.“ Niesel nickte grimmig. „Dann sind sie also trotz unserer Falle von gestern wieder drin.“ Er rief bei Alverondis an und ließ sich die Logs schicken. Die IP-Adresse des Snipe-IT-Zugriffs führte nicht zu der leeren Wohnung, sondern zu einem Internetcafé namens „Surf & Sip“ in der Innenstadt. Niesel und von Senff fuhren sofort los, während Küster die Forensik übernahm.
Das Internetcafé war ein schmaler Schlauch mit zehn Terminals, die meisten leer, nur an Terminal 4 klebte halbtransparent ein Aufkleber mit einem grinsenden Fisch. Der Inhaber, ein Mann mit Brille und der Ruhe eines Mannes, der schon alles gesehen hat, lehnte sich zurück: „Aufnahmen? Brauchen Sie einen Durchsuchungsbeschluss?“ Niesel lief rot an, beugte sich vor und fuchtelte mit seinem Dienstausweis, als wolle er eine unsichtbare Wespe erschlagen. „Das ist eine laufende Ermittlung wegen Erpressung, Datenraub und unerlaubtem Betreten eines Logistikunternehmens – und wenn Sie mir nicht sofort die Kameraaufnahmen von heute Morgen zeigen, dann ist das hier eine Störung der Strafverfolgung, und ich lasse dieses Etablissement so lange durchsuchen, bis der Kaffee von gestern gefunden ist!“ Der Inhaber blinzelte zweimal und tippte dann wortlos auf der Tastatur. Auf dem Bildschirm erschien die Aufzeichnung: Um 9:17 Uhr saß eine Person im Kapuzenpulli an Terminal 4, einen auffälligen Rucksack mit einem kleinen, aufgenähten Wellen-Logo zwischen den Füßen. Um 9:31 verließ sie das Café und stieg auf einen orangefarbenen Roller, der direkt vor der Tür parkte. Die Kamera an der Eingangstür hatte das Kennzeichen des Rollers in voller Schärfe erfasst.
Niesel starrte auf das Standbild. „Das ist unser Mann. Oder unsere Frau. Oder unser Mensch im Kapuzenpulli – das Wellen-Logo ist das Erkennungszeichen der Kaskadenbrigade.“ Von Senff vergrößerte das Bild des Rollers und notierte das Kennzeichen. Niesel ließ es sofort über die Zulassungsstelle laufen. Das Fahrzeug war auf eine Halterin in einem Neubaugebiet am Stadtrand zugelassen, aber bei der Adresse handelte es sich um einen Paketshop mit Briefkästen. Die Bande hatte vorgesorgt. Trotzdem: Sie hatten nun ein Fahrzeug, ein Kennzeichen und einen Ort, an dem die Bande am Morgen noch gewesen war. Niesel ordnete eine stille Observation des Paketshops an und rief Küster an: „Die Kaskadenbrigade ist keine Geisterbande mehr. Sie fährt Roller.“ Küster seufzte: „Chef, das ist eine Verwaltungsvorschrift, die Sie da zitieren, keine Anklageschrift.“
Zurück in der Einsatzzentrale, Mittwochabend, 19:44 Uhr. Niesel hängte die Ausdrucke an die Pinnwand: das Standbild aus dem Internetcafé, das Kennzeichen, die IP-Adresse. Er umkreiste die Pinnwand wie ein hungriger Tiger, während von Senff ihm einen Becher Kaffee hinstellte, der diesmal ganz passabel roch. „Die Bande ist uns wieder entwischt“, knurrte Niesel. „Aber wir haben einen Roller, ein Gesicht und eine IP. Und der Hacker redet zu viel.“ Er trank einen Schluck, verzog das Gesicht und blickte auf die Uhr. „Morgen schnapp ich mir den Aufzug. Und wenn ich dafür selbst in den Kernel steigen muss.“ Von Senff nickte und schaltete das Licht über der Pinnwand aus. Draußen zog ein Auto vorbei, das klang wie ein Roller mit Tieferlegung.