Hannover (epd). Nach Bekanntwerden des Datendiebstahls aus dem evangelischen Betroffenen-Netzwerk „BeNe“ sind viele Nutzer verunsichert. Dort seien persönliche Erfahrungen mit sexualisierter Gewalt, gesundheitliche Folgen und sehr private Lebenssituationen in einem geschützten Raum geteilt worden, heißt es in einer Mitteilung von Betroffenenvertretern.
Die Plattform „BeNe“, auf der Betroffene sexualisierter Gewalt in der Evangelischen Kirche in Deutschland (EKD) seit 2024 Erfahrungen austauschen können, war Opfer eines kriminellen Angriffs geworden mit dem Ziel, an Nutzerdaten heranzukommen. Die Internetseite ist vorübergehend offline. Das Sicherheitsrisiko war zu Beginn der Woche durch eine Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) festgestellt worden.
Verschlüsselte Passwörter abgeflossen
Die EKD, die für die Plattform verantwortlich ist, hatte am Donnerstag mitgeteilt, dass mit hoher Wahrscheinlichkeit sensible Daten abgeflossen sind, darunter verschlüsselte Passwörter der Nutzerinnen und Nutzer sowie verschlüsselte Beiträge in privaten Foren und privaten Chats. Am Freitag gab es noch keine neuen Erkenntnisse, wie eine Sprecherin dem Evangelischen Pressedienst (epd) sagte. Die Prüfung dauere an.
Betroffenenvertreter Detlev Zander sagte, dieser Vorfall sei für viele Betroffene nicht einfach nur ein technisches Problem. „Gerade Menschen, deren Grenzen und Vertrauen schon einmal schwer verletzt wurden, erleben jetzt erneut einen massiven Kontrollverlust.“
Auslöser Sicherheitslücke bei WordPress
Grund für das Datenleck ist eine Sicherheitslücke im Content-Management-System WordPress. Es ist ein weltweit beliebtes Programm zur Erstellung und Verwaltung von Internetseiten. Zwar wurde die Sicherheitslücke bei „BeNe“ bereits geschlossen. Doch kam es zuvor zu einem unbefugten Zugriff, mutmaßlich ausgelöst durch einen automatisierten Bot.
Ein Sprecher des Bundesamts für Sicherheit in der Informationstechnik sagte dem epd am Freitag, wenn Schwachstellen in Systemen wie WordPress bekannt würden, ohne dass bereits Updates zum Schließen der Sicherheitslücke veröffentlicht seien, komme es zu einer Art „Wettrennen“. Es komme dann darauf an, ob sich Kriminelle oder automatisierte Bots schneller Zugriff verschaffen können, als ein Sicherheitsupdate installiert wird.
Verschlüsselung von Vorteil
Die schlechte Nachricht sei, dass die Daten mutmaßlich kopiert und im Internet seien. Aber eine Verschlüsselung der abgeflossenen Passwörter und Website-Inhalte sei ein Vorteil, sie schränke das Risiko ein, dass mit den geklauten Daten Schaden angerichtet werden könne, sagte der BSI-Sprecher. Er riet den Betroffenen, in jedem Fall das Passwort zu ändern, sollten sie das gleiche Passwort für andere Dienste verwenden.
Außerdem sei es äußerst wichtig, bei E-Mails mit Bezug zu der Internetseite vorsichtig zu sein. Hier könne es sich um Phishing-Versuche handeln. Denn Kriminelle versuchten, mögliche Phishing-Mails besonders authentisch wirken zu lassen, damit Menschen auf die Betrugsmasche hereinfallen. Für die Zukunft riet der Sprecher zu einer Zwei-Faktor-Authentifizierung bei der Anmeldung.
