Ich fasse mal zwei Sicherheitsthemen zu einem Sammelbeitrag zusammen. Das evangelischen Betroffenen-Netzwerk "BeNe" hat einen Cybervorfall erlitten, bei dem Daten abgeflossen sind. Das verunsichert Betroffene sexualisierter Gewalt. Zudem wurde bekannt, dass eine Gebets-App, die den "Segen" oder die Empfehlung des Papstes hat, seine Nutzer seit Monaten geleakt hat.
Hack des evangelischen Betroffenen-Netzwerks "BeNe"
BeNe ist das Kürzel für "Betroffenen Netzwerk", eine Plattform, auf der Betroffene sexualisierter Gewalt in der Evangelischen Kirche in Deutschland (EKD) seit 2024 Erfahrungen austauschen können.
Zum 21. Juli 2026 ging diese Plattform vorübergehend offline (siehe Vernetzungsplattform BeNe vorübergehend Offline). Hintergrund war eine Sicherheitswarnung des BSI zur wp2shell-Schwachstelle in WordPress. Ich habe zum 19. Juli 2026 im Beitrag Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-Übernahme über die Schwachstelle berichtet. Zu diesem Zeitpunkt waren meine WordPress-Blogs längst aktualisiert.
In obiger Mitteilung zur Vernetzungsplattform BeNe wurde das Ganze noch als Vorsichtsmaßnahme deklariert und dass man prüft, ob unerlaubte Zugriffe stattgefunden haben. Zum 23.7.2026 teilt die evangelische Kirche im Beitrag Sicherheitsvorfall auf BeNe – Aktualisierung mit, dass ein Zugriff auf die Plattform BeNe von Dritten stattgefunden habe. Dazu heißt es:
Es steht fest, dass die Sicherheitslücken für einen unbefugten Zugriff auf die Plattform genutzt wurden. Im Rahmen dieses Zugriffs wurden unberechtigte Administratorenaccounts angelegt, die identifiziert und entfernt wurden. Es wurden Protokolldaten, Nutzerkonten, laufende Serverprozesse und der Servercode eingehend auf Manipulationen geprüft.
Auf Basis der vorliegenden Erkenntnisse ist mit hoher Wahrscheinlichkeit davon auszugehen, dass Daten in größerem Ausmaß aus der Datenbank abgeflossen sind. Es ist deshalb auch mit hoher Wahrscheinlichkeit davon auszugehen, dass sich unter den abgeflossenen Daten auch die verschlüsselten Passwörter der Nutzenden und die, basierend auf den Passwörtern, verschlüsselten Beiträge in privaten Foren und die privaten Nachrichten befinden können. Gelingt es einem Angreifer, die Passwörter zu entschlüsseln, ist es möglich in einem zweiten Schritt auch die zugehörigen privaten Inhalte zu entschlüsseln.
Nach Muster und Umfang der Zugriffe handelt es sich mit sehr großer Wahrscheinlichkeit um einen automatisierten Bot-Angriff und nicht um einen gezielten Angriff auf BeNe. Was genau abgerufen wurde, kann aktuell und aufgrund der datensparsamen Erfassungen im System nicht mit letzter Gewissheit festgestellt werden. Erfahrungsgemäß zielen Angriffe dieser Art bei WordPress zunächst auf Nutzendendaten und Passwörter ab.
Zum 24. Juli 2026 wurde im Beitrag Missbrauchs-Betroffene von Sicherheitslücke in Netzwerk verunsichert dieser Cybervorfall angesprochen. Denn der Sicherheitsvorfall im evangelischen Betroffenen-Netzwerk "BeNe" hat viele Betroffene sexualisierter Gewalt verunsichert. Auf der Plattform seien persönliche Erfahrungen mit sexualisierter Gewalt, gesundheitliche Folgen und sehr private Lebenssituationen in einem geschützten Raum geteilt worden, heißt es in einer Mitteilung von Betroffenenvertretern. Es ist davon auszugehen, dass diese Informationen abgeflossen sind. Was mit den Daten geschehen ist, ist bislang unklar. Das BSI warnt derweil vor Phishing-Angriffen – für die Betroffenen könnte es noch problematischer werden, wenn sehr privates öffentlich werden sollte.
Gebets-App des Papstes leakt Nutzerdaten
Dann gibt es noch die "Gebets-App", die mit dem "Segen" das Papstes von Hunderttausenden Gläubigen genutzt wird. Nur hat der "Segen des Papstes" nicht viel geholfen, man hätte besser einen Security-Sachverständigen ansprechen sollen.
The Register berichtet in diesem Artikel, dass "Click To Pray", eine vom Papst empfohlene Gebets-App mit Hunderttausenden Nutzern weltweit, ein veritables Problem hat. Die App hat monatelang die Namen und E-Mail-Adressen der Nutzer gegenüber Dritten preisgegeben. Das geht aus Angaben einer ethischen Hackerin mit dem Alias BobDaHacker hervor, die angibt, die Sicherheitslücke bereits vor sechs Monaten entdeckt und gemeldet zu haben, jedoch ohne Erfolg. Scheint doch eine windige Sicherheitsstrategie zu sein, wenn man auf "den Segen des Papstes oder dessen Empfehlung" setzt.
MVP: 2013 – 2016
