Die Parameterbindung soll mit Werten verwendet werden. Auf ORDER BY folgt tatsächlich ein Feldname, kein String.