Hannover (epd). Nach dem mutmaßlichen Datendiebstahl aus dem evangelischen Betroffenen-Netzwerk „BeNe“ bleibt die Plattform bis auf Weiteres offline. Wie die Evangelische Kirche in Deutschland (EKD) am Dienstag in Hannover weiter mitteilte, sei inzwischen Strafanzeige gegen Unbekannt erstattet worden: „Eine Entscheidung darüber, wann die Plattform wieder in Betrieb genommen wird, wird nicht ohne ausführliche Beratung des Beteiligungsforums getroffen.“
Die Plattform „BeNe“, auf der Betroffene sexualisierter Gewalt in der EKD seit 2024 Erfahrungen austauschen können, war Opfer eines kriminellen Angriffs geworden. Mutmaßlich gelang es, an Nutzerdaten heranzukommen.
Die technische Prüfung des Vorfalls sei inzwischen abgeschlossen, teilte die EKD weiter mit: Nach aktueller Erkenntnislage erfolgte der unbefugte Zugriff durch das Zusammenspiel und die Ausnutzung zweier vom Bundesamt für Sicherheit in der Informationstechnik (BSI) beschriebener WordPress-Sicherheitslücken. Diese Sicherheitslücken ermöglichten den Angaben zufolge einen Zugriff auf die Plattform ohne Anmeldung im System und „ohne Kenntnis oder Kompromittierung von Administratoren-Passwörtern“.
EKD: Sicherheitslücken geschlossen
„Die empfohlenen Sicherheitsupdates wurden umgesetzt und die betroffenen Sicherheitslücken geschlossen“, hieß es weiter. Zudem seien die im Zuge des Angriffs angelegten unberechtigten Administratorenkonten identifiziert und entfernt sowie Protokolldaten, Nutzerkonten, Serverprozesse und der Servercode umfassend untersucht worden, so die EKD: „Dabei haben sich keine Hinweise ergeben, dass Inhalte der Plattform manipuliert oder zusätzlicher Schadcode dauerhaft auf dem System hinterlassen wurde.“
Es bleibt laut EKD weiterhin davon auszugehen, dass der Großteil der im System befindlichen Daten aus der Datenbank verschlüsselt abgeflossen ist. Nach gegenwärtigem Kenntnisstand sei bei ausreichend starken Passwörtern eine Entschlüsselung der gespeicherten Daten aus den privaten Bereichen technisch jedoch kaum möglich.
