Ich fasse mal zwei Sicherheitsthemen zu einem Sammelbeitrag zusammen. Das evangelischen Betroffenen-Netzwerk "BeNe" hat einen Cybervorfall erlitten, bei dem Daten abgeflossen sind. Das verunsichert Betroffene sexualisierter Gewalt. Zudem wurde bekannt, dass eine Gebets-App, die den "Segen" oder die Empfehlung des Papstes hat, seine Nutzer seit Monaten geleakt hat.
Hack des evangelischen Betroffenen-Netzwerks "BeNe"
BeNe ist das Kürzel für "Betroffenen Netzwerk", eine Plattform, auf der Betroffene sexualisierter Gewalt in der Evangelischen Kirche in Deutschland (EKD) seit 2024 Erfahrungen austauschen können.
Zum 21. Juli 2026 ging diese Plattform vorübergehend offline (siehe Vernetzungsplattform BeNe vorübergehend Offline). Hintergrund war eine Sicherheitswarnung des BSI zur wp2shell-Schwachstelle in WordPress. Ich habe zum 19. Juli 2026 im Beitrag Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-Übernahme über die Schwachstelle berichtet. Zu diesem Zeitpunkt waren meine WordPress-Blogs längst aktualisiert.
In obiger Mitteilung zur Vernetzungsplattform BeNe wurde das Ganze noch als Vorsichtsmaßnahme deklariert und dass man prüft, ob unerlaubte Zugriffe stattgefunden haben. Zum 23.7.2026 teilt die evangelische Kirche im Beitrag Sicherheitsvorfall auf BeNe – Aktualisierung mit, dass ein Zugriff auf die Plattform BeNe von Dritten stattgefunden habe. Dazu heißt es:
Es steht fest, dass die Sicherheitslücken für einen unbefugten Zugriff auf die Plattform genutzt wurden. Im Rahmen dieses Zugriffs wurden unberechtigte Administratorenaccounts angelegt, die identifiziert und entfernt wurden. Es wurden Protokolldaten, Nutzerkonten, laufende Serverprozesse und der Servercode eingehend auf Manipulationen geprüft.
Auf Basis der vorliegenden Erkenntnisse ist mit hoher Wahrscheinlichkeit davon auszugehen, dass Daten in größerem Ausmaß aus der Datenbank abgeflossen sind. Es ist deshalb auch mit hoher Wahrscheinlichkeit davon auszugehen, dass sich unter den abgeflossenen Daten auch die verschlüsselten Passwörter der Nutzenden und die, basierend auf den Passwörtern, verschlüsselten Beiträge in privaten Foren und die privaten Nachrichten befinden können. Gelingt es einem Angreifer, die Passwörter zu entschlüsseln, ist es möglich in einem zweiten Schritt auch die zugehörigen privaten Inhalte zu entschlüsseln.
Nach Muster und Umfang der Zugriffe handelt es sich mit sehr großer Wahrscheinlichkeit um einen automatisierten Bot-Angriff und nicht um einen gezielten Angriff auf BeNe. Was genau abgerufen wurde, kann aktuell und aufgrund der datensparsamen Erfassungen im System nicht mit letzter Gewissheit festgestellt werden. Erfahrungsgemäß zielen Angriffe dieser Art bei WordPress zunächst auf Nutzendendaten und Passwörter ab.
Zum 24. Juli 2026 wurde im Beitrag Missbrauchs-Betroffene von Sicherheitslücke in Netzwerk verunsichert dieser Cybervorfall angesprochen. Denn der Sicherheitsvorfall im evangelischen Betroffenen-Netzwerk "BeNe" hat viele Betroffene sexualisierter Gewalt verunsichert. Auf der Plattform seien persönliche Erfahrungen mit sexualisierter Gewalt, gesundheitliche Folgen und sehr private Lebenssituationen in einem geschützten Raum geteilt worden, heißt es in einer Mitteilung von Betroffenenvertretern. Es ist davon auszugehen, dass diese Informationen abgeflossen sind. Was mit den Daten geschehen ist, ist bislang unklar. Das BSI warnt derweil vor Phishing-Angriffen – für die Betroffenen könnte es noch problematischer werden, wenn sehr privates öffentlich werden sollte.
Gebets-App des Papstes leakt Nutzerdaten
Dann gibt es noch die "Gebets-App", die mit dem "Segen" das Papstes von Hunderttausenden Gläubigen genutzt wird. Nur hat der "Segen des Papstes" nicht viel geholfen, man hätte besser einen Security-Sachverständigen ansprechen sollen.
The Register berichtet in diesem Artikel, dass "Click To Pray", eine vom Papst empfohlene Gebets-App mit Hunderttausenden Nutzern weltweit, ein veritables Problem hat. Die App hat monatelang die Namen und E-Mail-Adressen der Nutzer gegenüber Dritten preisgegeben. Das geht aus Angaben einer ethischen Hackerin mit dem Alias BobDaHacker hervor, die angibt, die Sicherheitslücke bereits vor sechs Monaten entdeckt und gemeldet zu haben, jedoch ohne Erfolg. Scheint doch eine windige Sicherheitsstrategie zu sein, wenn man auf "den Segen des Papstes oder dessen Empfehlung" setzt.
Ähnliche Artikel:
Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-Übernahme
Gebets-App des Papstes leakt Nutzer; BeNe-Hack verunsichert Betroffene
WordPress-Hacks über wp2shell – erste Opfer
MVP: 2013 – 2016
Naja, hatte in meiner "Schulzeit" das "Privileg" im katholischen Religions-Unterricht dem "Lehrkörper" in Form eines promovierten dauer-zigarrenrauchenden Praelaten zu lauschen (manchmal lernt man nicht nur fuer Noten, mancher Lehrer bleibt einem in Erinnerung, weil er Dinge für das reale Leben vermittelt. Gab in meinem "Bundesland" ein sehr kurzes "Zeitfenster" (Wenn beide Leistungskurse aus demselben…, kann man Religion als drittes)…
Mit "Gerede" anderen in den Ruecken zu fallen, ist viel effektiver als das (potentiell physische knive), auch weil es so (potentionell) unblutig isse. Manche fürchten den digitalen Hack, manche den analogen "Zettelkasten, mit dem Zeitungs… oder Rosenholz/Stasi-Karteikasten"…
Wer und warum in welchem Hinterzimmer den ehemhals so mächtigenigen Parteisoldaten (verheiratet mit einem Bertesmaenn(le), potentiellem Vollbarttraeger)..,mit dem so mächtige …
Wir leben im güldenen Zeitalter, man kann den POTUS auch nicht mit dem potenielen goldenen Duschkopf aus dem Hoehle der Löwen gossip-entertaiment. (golden shower)..
USB.: Plug and pay or plug and pray…
Ich verstehe ehrlich gesagt nicht, was genau du uns hier mitteilen möchtest. Magst du deine Ausführungen eventuell noch mal in Verständlich formulieren, falls die für dieses Thema relevant sein sollten?
Ist doch kein Problem für Gottesfürchtige Leute ( und davon gehe ich aus, wenn man eine solche App nutzt) Gott weis und sieht sowieso alles und wird das richten.
Du musst nur fest genug daran glauben… wenn nicht bist du kein guter Gläubiger!
;-P
Und deine Seele gehört dann mir
Luzifer
Da kann man nur beten dass keine persönlichen Daten weggekommen sind. Aber nach drei Vater unser wird sich das schon klären.
Das schlimme ist, solche Leute gibt es wirklich!
Nachdenken, warum auch? Ist alles Gott gewollt.
für Leute in manchen Ländern ist der volle Name und Mailadresse schon das schlimmste was sie verlieren können. Nicht der Inhalt.
Noch ein paar Details zu der gehackten EKD-Plattform BeNe:
– BeNe ist eine von der EKD finanzierte Plattform für Betroffene sexualisierter Gewalt. – – Nach öffentlichen Angaben wurden dafür mehr als 600.000(!) Euro investiert.
Zitat aus der EKD-Pressemeldung vom 8.10.2024: „Sicherheit und Schutz haben für uns absolute Priorität. Deshalb ist #BeNe nach hohen Sicherheitsstandards konzipiert worden. Ein Moderationsteam sorgt dafür, dass Diskussionen in einem Rahmen bleiben, mit dem sich möglichst alle(!) wohlfühlen."
– Die Realität erlebten viele Betroffene jedoch anders. Seit dem Start im Herbst 2024 wurden wiederholt technische, organisatorische und datenschutzrechtliche Mängel gemeldet. Einige Kritikpunkte wurden stillschweigend behoben, andere blieben unbeantwortet.
– Viele Betroffene verließen mittlerweile die Plattform, weil sie den versprochenen Schutzraum nicht fanden und die teils willkürlichen Entscheidungen der Moderation nicht nachvollziehen konnten.
Der aktuelle Sicherheitsvorfall wirkt deshalb auf viele Insider nicht wie ein Einzelfehler. Er ist vielmehr das Ergebnis einer Reihe von vermeidbaren Defiziten – von der Konzeptionsphase über die Auswahl und Kontrolle des IT-Dienstleister bis hin zum laufenden Betrieb mit offensichtlich nicht vorhandenen "state of the art" Sicherheitsmaßnahmen wie z. B. eine nachhaltige Protokollierung oder einer zeitnahen Alarmierung bei unberechtigten Systemänderungen. Die Meldungen und Details dazu sind leider nicht so ganz "transparent", wie man zuerst vermuten könnte
Wie bereits gesagt: Das alles bei einem 600.000 Euro-System mit höchsten Anforderungen an den Schutzbedarf bei Vertraulichkeit und Integrität!
Das ist ein grosses Problem geworden. Eine Mischung aus Nichtverstehen, Vertuschen und Egotrip kommt da leider mehr und mehr vor, insbesondere durch nachwachsende, quereinsteigende Moderatoren, die dann oft auch zu fachfremd sind. Das führt dann zu sagen wir mal "zunehmender negativer Nutzererfahrung".
Update 28.7.2026
Mittlerweile hat sich auch Jochim Selzer, Sprecher vom Chaos Computer Club (CCC) und zusätzlich Datenschutzbeauftragter mehrerer Einrichtungen der Evangelischen Kirche im Rheinland (EKiR), kritisch zu dem Sicherheitsvorfall und der denkbaren Vorgehensweise bei der Ausnutzung der Lücken geäußert:
„Die Lücke komme "eigentlich aus der Urzeit der Webseitenprogrammierung und sollte inzwischen nicht mehr auftreten", sagte Selzer. Tatsächlich kämen solche Fehler auch kaum noch vor. …
Genau das scheint dann auch der Angriffsvektor gewesen zu sein, dass man dann in der Lage war, das verschlüsselte Administrations-Passwort auszulesen", unterstrich der Fachmann vom CCC."
Außerdem bestätigt der Sprecher des CCC folgendes:
"Die Angst der Betroffenen, dass Inhalte in falsche Hände geraten seien, sei "berechtigt.""
aus https://www.evangelisch.de/inhalte/257607/28-07-2026/angst-bei-betroffenen-nach-sicherheitsleck-berechtigt