Hannover (epd). Der Chaos Computer Club wertet eine kürzlich entdeckte Sicherheitslücke auf der Online-Vernetzungsplattform „BeNe“ für Betroffene sexualisierter Gewalt in der Evangelischen Kirche in Deutschland (EKD) „sehr kritisch“. Die Angst der Betroffenen, dass Inhalte in falsche Hände geraten seien, sei „berechtigt“, sagte Jochim Selzer vom CCC, der zusätzlich Datenschutzbeauftragter mehrerer Einrichtungen der Evangelischen Kirche im Rheinland (EKiR) ist, dem Evangelischen Pressedienst (epd).
Auf einer vom Bundesamt für Informationssicherheit (BSI) veröffentlichten Skala schwerwiegender Sicherheitslücken von 1 bis 10 erreiche der Sicherheitsvorfall auf der „BeNe“-Plattform einen Wert von 9,8, erläuterte Selzer, der hauptberuflich Applikationsadministrator bei einem Logistik-Unternehmen ist. Möglich sei ein Diebstahl von Identitäten. Solche Diebstähle würden üblicherweise für das Anlegen von Konten unter falschem Namen etwa bei Onlinehändlern benutzt. Es seien aber auch Erpressungsversuche gegen Missbrauchsbetroffene „zumindest denkbar“.
Fehler aus der Anfangszeit von WordPress
Die EKD hatte das Betroffenen-Netzwerk im Oktober 2024 gestartet. Es basiert auf dem weltweit verbreiteten Content-Management-System WordPress, bei dem die Sicherheitslücke auftrat. Die Lücke komme „eigentlich aus der Urzeit der Webseitenprogrammierung und sollte inzwischen nicht mehr auftreten“, sagte Selzer. Tatsächlich kämen solche Fehler auch kaum noch vor.
Einer von zwei Fehlern bestehe in diesem Fall darin, dass das verschlüsselte Passwort der Webseiten-Administration auszulesen gewesen sei. Dieses ähnele einem Fingerabdruck und sei nicht einfach in das unverschlüsselte Passwort umzuwandeln. Solange Webseiten mit einem guten Passwort abgesichert seien, „sollte da eigentlich nichts passieren“.
Angreifer können Passwörter erraten
Bei einem schwachen Passwort bestehe jedoch „die Möglichkeit, einen sogenannten Wörterbuchangriff zu fahren“: Angreifer seien dann in der Lage, Passwörter zu raten. „Genau das scheint dann auch der Angriffsvektor gewesen zu sein, dass man dann in der Lage war, das verschlüsselte Administrations-Passwort auszulesen“, unterstrich der Fachmann vom CCC.
Selzer sprach außerdem von einer zweiten Sicherheitslücke: Bei dem Angriff auf „BeNe“ sei es „offenbar“ möglich gewesen, einen Code einzuschleusen. „Das heißt, wenn beide Lücken ausgenutzt wurden, war man im Ergebnis in der Lage, mit den Rechten des Users, unter dem das WordPress läuft, beliebige Befehle auf dem Server auszuführen.“ Nach seinen Worten bedeutet das: „Sie können dann allen möglichen Unsinn anstellen.“
