Freitag, 23. Oktober, 7:12 Uhr. Die Observation der alten Wäscherei war am Vorabend so ergiebig gewesen wie ein Schuh ohne Sohle: Um 17:04 Uhr war ein Lieferwagen vorgefahren, hatte drei Kartons abgeladen und war wieder verschwunden. Von der Kaskadenbrigade keine Spur. Niesel hatte bis 21 Uhr ausgeharrt, einen Kaffee getrunken, der nach Waschmittel schmeckte, und dann wutentbrannt den Rückzug befohlen. Jetzt saß er im Büro, das linke Knie war vom Sturz auf dem Gehweg blau wie ein Polizeisiegel, und starrte auf den Einkaufszettel, den er am Donnerstag sichergestellt hatte. „Die schreiben ihre CVE-Nummern auf einen Zettel, aber zur eigenen Verabredung kommen sie nicht“, murmelte er. „Das ist, als würde man einen Bankraub mit einem Gutschein planen und dann vergessen, das Geld abzuholen.“ Adelheid von Senff, die an der Akustiksoftware des Observationsfahrzeugs herumfummelte, blickte auf. „Vielleicht haben sie uns bemerkt.“ Niesel schnaubte. „Bemerkt? Ich bin auf einem Ahornblatt ausgerutscht und habe mich auf dem Gehweg verteilt wie ein umgefallener Joghurtbecher. Die hätten mich auch mit verbundenen Augen gesehen.“ Bevor von Senff antworten konnte, klingelte das Diensttelefon. Es war die technische Überwachung: Der richterlich genehmigte Tap auf eine Mobilfunknummer, die sie über die Teil-Erkennung des Rollers ermittelt hatten, hatte soeben ein Gespräch aufgezeichnet. Niesel riss den Hörer an sich, die Adern an seinem Hals schwollen an, als hätte jemand einen Gartenschlauch voll aufgedreht. „Abspielen! Sofort! Und wehe, die Qualität ist so schlecht, dass ich den Kerl nicht verstehe – dann reite ich persönlich in die Telefonzentrale und ziehe jemandem die Antenne aus dem Ohr!“
Die Aufnahme knisterte, dann war Roots Stimme da, so klar, als säße er im Nebenraum. Er sprach mit Patsch, der im Hintergrund etwas kaute, das klang wie ein ganzes Paket Chips auf einmal. „Patsch, hör zu. Alverondis hat nach der PHP-Geschichte geglaubt, sie hätten dichtgemacht. Aber ich habe die nächste Kette gebaut, und die ist noch schöner. Erstzugriff über den Apache HTTP Server. Die Lücke [CVE-2026-23918](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-4055) ist ein Doppel-Free im HTTP/2-Modul – das ist, als ob du einem Postboten einen präparierten Brief gibst, den er zweimal öffnet, und beim zweiten Mal liest er plötzlich alle anderen Briefe mit. Dazu habe ich [CVE-2026-42536](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-4055) benutzt, den Heap-Overflow in mod_xml2enc – das ist, als ob du auf einem Paketaufkleber ein Zeichen zu viel schreibst, und der Scanner spuckt dir den gesamten Inhalt des Lagers aus. Damit war ich drin, als ganz normaler Webserver-Prozess. Aber ich brauchte die Kontrolle über den ganzen Kubernetes-Cluster. Also bin ich in die Google Cloud Platform, genauer in GKE containerd, übergegangen. Die Lücke [CVE-2026-46300](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3551), dieses Fragnesia-Ding, erlaubt einen Container-to-Host-Escape. Das ist wie ein blinder Passagier, der auf einem Containerschiff in einer versiegelten Box sitzt, aber er findet eine lose Schraube im Rumpf, und plötzlich steht er auf der Brücke und kann das ganze Schiff übernehmen. Der Clou: Die Zugangsdaten für die Kubernetes-API hatte ich schon aus dem Apache-Prozess gestohlen – der Server war so dumm, seine Zertifikate im Klartext im Arbeitsspeicher zu lassen. Also war ich authentisiert, wie es das Advisory verlangt. Patsch, das ist kein Hack, das ist eine Rundreise mit Bordkarte.“ Patsch schmatzte. „Und was ist mit Splunk?“ Root lachte trocken. „Splunk Enterprise, die Protokoll-Zentrale von Alverondis. Über die Lücke [CVE-2026-20253](https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3414) kann man ohne Anmeldung Dateien schreiben oder kürzen, und daraus wird dann Remote Code Execution. Das ist wie ein Archivar, der nachts heimlich die alten Akten durch gefälschte Seiten ersetzt – danach zeigt das Protokoll genau das, was ich will, und die echten Spuren sind weg. Und weißt du, was das Beste ist? Ich habe eine kleine Persistenz eingebaut: ein Cron-Job, der sich alle sechs Stunden selbst neu startet. Wie ein Kuckucksei im Nest, das immer wieder schlüpft.“ Patsch knisterte weiter. „Und jetzt?“ Root senkte die Stimme. „Jetzt exfiltriere ich die Daten und warte, bis Alverondis zahlt. Oder bis die Polizei merkt, dass ihr Protokoll lügt. Was zuerst kommt, ist mir egal – ich habe die Kopien schon in einem Bucket namens ‚fragnesia-archiv‘ in der Cloud. Die rühren sie nie an.“ Niesel hämmerte mit der Faust auf den Schreibtisch, dass die Quietscheente, die von Senff als Stressspielzeug mitgebracht hatte, in hohem Bogen durch den Raum flog. „Ein Bucket namens ‚fragnesia-archiv‘! Dieser Kerl parkt seine Beute in einem öffentlich benannten Eimer und glaubt, das sei unauffindbar! Das ist, als würde man ein gestohlenes Auto mit einem Nummernschild parken, auf dem ‚GESTohlen‘ steht!“ Er griff nach dem Telefon und schrie in die Leitung: „Küster! Sofort! Der Hacker hat gerade einen Cloud-Speicher namens ‚fragnesia-archiv‘ verraten. Finden Sie heraus, ob das ein echter Bucket ist, und wenn ja, wo er liegt! Und sagen Sie mir, ob Alverondis schon wieder kompromittiert ist – aber diesmal nicht mit einem Anruf, der in der Warteschleife endet!“ Dr. Irmgard Küster war sofort dran, als hätte sie neben dem Hörer geschlafen. „Chef, die Meldungen zu Apache, GKE containerd und Splunk sind heute Nacht beim BSI eingegangen. Ich habe Alverondis erreicht: Deren Apache-Server zeigt seit etwa 3:12 Uhr ungewöhnliche Verbindungen, und im Splunk-System wurden Protokolleinträge manipuliert. Das passt zu CVE-2026-23918, CVE-2026-46300 und CVE-2026-20253. Und der Bucket-Name ‚fragnesia-archiv‘ ist mir noch nicht untergekommen – aber das klingt nach einem Fehler.“ Niesel atmete schwer, die Adern an seiner Stirn traten hervor wie Autobahnkarten. „Ein Fehler? Das ist kein Fehler, das ist ein Geschenk! Von Senff, an die Cloud-Forensik! Die sollen sofort alle öffentlichen Buckets mit dem Namen scannen. Und finden Sie heraus, welche Zugangsdaten die Bande verwendet hat – vielleicht hat Root denselben API-Key wie beim Paketshop benutzt. Und rufen Sie beim Bundesamt an, ich will eine Sperrung dieses Buckets, bevor der sich in Luft auflöst!“ Von Senff tippte bereits auf ihrem Laptop. „Chef, laut erster Abfrage existiert der Bucket wirklich, aber er ist nicht öffentlich. Wir brauchen einen richterlichen Beschluss, um an die Logs zu kommen.“ Niesel sprang auf, sein Knie schmerzte, aber er ignorierte es. „Dann holen Sie den Beschluss! Und wehe, die Cloud-Provider-Hotline fragt mich nach meiner Kundennummer! Ich bin der Kommissar, nicht der Hausmeister eines Rechenzentrums!“ Er lief im Büro auf und ab, die Quietscheente lag unter dem Aktenschrank und starrte ihn anklagend an. „Wir haben den ersten handfesten Fehler der Kaskadenbrigade seit Tagen. Ein Cloud-Bucket mit einem Namen, der direkt auf die CVE verweist. Die Bande wird langsam übermütig – und genau das wird sie stürzen, wenn wir schnell genug sind.“ Draußen begann es zu regnen, und Niesel blieb kurz stehen, sah aus dem Fenster. „Heute Abend kriegen wir den Beschluss. Und dann, Frau von Senff, dann schauen wir in den Eimer hinein, und wenn da nur ein einziges Byte fehlt, fresse ich einen Besen.“ Von Senff lächelte müde. „Dann bestelle ich schon mal einen Besen ohne Borsten, Chef – für den Fall, dass Sie es sich anders überlegen.“