Hackingangriff auf Missbrauchsbetroffenen-Netzwerk der evangelischen Kirche
Über eine WordPress-Sicherheitslücke wurde die Vernetzungsplattform „BeNe“ für Betroffene sexualisierter Gewalt in der evangelischen Kirche und Diakonie angegriffen. Vermutlich sind hochsensible Daten abgeflossen, der Chaos Computer Club stuft den Vorfall als sehr kritisch ein. Betroffene kritisieren, dass sie mit den Folgen erneut allein gelassen werden.
Was ist passiert?
Die evangelische Kirche in Deutschland (EKD) betreibt mit „BeNe“ (Betroffenen-Netzwerk) eine Plattform, auf der sich Betroffene sexualisierter Gewalt austauschen können. Über zwei kombinierte Sicherheitslücken im eingesetzten WordPress-System erlangten Angreifende Zugriff, ohne sich anmelden oder Admin-Passwörter kompromittieren zu müssen. Die EKD geht von einem automatisierten Bot-Angriff aus, vermutet aber dennoch, dass Daten abgeflossen sind. Die Plattform ist derzeit offline, Strafanzeige wurde gestellt.
Wie konnte es dazu kommen?
Der Angriff kam nicht ohne Vorwarnung. Das BSI hatte die EKD bereits in der Woche vor dem Angriff auf gravierende Sicherheitslücken bei WordPress hingewiesen, offenbar wurde nicht rechtzeitig reagiert. Hinzu kommt, dass Nutzende schon zwischen Oktober 2024 und Juni 2025, also über acht Monate, mangelhaften Datenschutz auf der Plattform bemängelt hatten. Der CCC bewertet den Vorfall auf der BSI-Skala mit 9,8 von 10, also nahezu maximal kritisch. Die EKD selbst verweist darauf, ihre Verfahren zu Passwortsicherheit und Verschlüsselung entsprächen den BSI-Vorgaben. Diese Selbsteinschätzung deckt sich nicht mit der externen Bewertung durch CCC und Betroffenenvertreter:innen. Kritisiert wird zudem, dass die EKD-Reaktion nach dem Angriff sich bislang auf die Aufforderung beschränkt, das Passwort zu ändern, statt konkrete Unterstützung anzubieten.
Warum ist das gefährlich?
Betroffen sind keine gewöhnlichen Nutzer:innendaten, sondern teils extrem sensible Informationen, wie beispielsweise Angaben zu Tatorten und Taten, Gesundheitsdaten zu Traumafolgen, Höhe von Anerkennungssummen oder Versicherungsleistungen. Gerade auf einer Plattform, die Betroffenen sexualisierter Gewalt einen geschützten Raum bieten sollte, wiegt ein solches Datenleck besonders schwer, die Daten könnten für Erpressung genutzt werden und die Angst kann zu schwerwiegender Retraumatisierung führen.
Warum ist das relevant?
Der Fall zeigt exemplarisch, was passiert, wenn Institutionen Verantwortung für vulnerable Gruppen übernehmen, ohne die dafür nötigen Sicherheitsstandards konsequent umzusetzen und ernst zu nehmen. Wiederholte Warnungen von Nutzenden wurden offenbar nicht ausreichend gehört, bevor der Schaden eingetreten ist. Und auch danach bleibt die Reaktion vielen Betroffenen zufolge dünn: eine Aufforderung, das Passwort zu ändern, wird der Tragweite kaum gerecht, wenn es um Daten zu erlittener Gewalt geht. Der Fall macht sichtbar, wie schnell die Verantwortung für Datensicherheit wieder bei denjenigen landet, die ohnehin schon die verletzlichere Position innehaben.
- Falls Sie die Plattform "BeNe" genutzt haben: Passwort dort und bei allen Diensten mit demselben Passwort umgehend ändern
- Auf unerwartete E-Mails oder Kontaktversuche mit Bezug zu geteilten Inhalten besonders wachsam reagieren, dies könnte auf Erpressungsversuche hindeuten
- Bei Verdacht auf Erpressung oder Missbrauch der eigenen Daten: an die Fachstelle bzw. den Info-Service der EKD sowie ggf. die Polizei wenden, konkrete und aktive Unterstützung einfordern statt sich mit allgemeinen Hinweisen zufrieden zu geben
- Betreiber sensibler Plattformen, insbesondere für vulnerable Zielgruppen: eingesetzte CMS-Systeme regelmäßig bearbeiten, Sicherheitswarnungen von BSI/CCC ernst nehmen und Hinweise von Nutzenden nicht ignorieren