Variable ist NICHT numerisch. SQL-Injection? XXS? Forget it!