Über eine bekannte WordPress-Schwachstelle sind Daten aus dem evangelischen Betroffenennetzwerk BeNe abgeflossen – darunter verschlüsselte Beiträge aus privaten Foren zu sexualisierter Gewalt. Das BSI warnt vor einer Phishing-Welle, und die eigentliche Zumutung liegt nicht in der Verschlüsselung, sondern in der Frage, wie sensibel solche Plattformen abgesichert sind.
Es ist der denkbar sensibelste Datenbestand: Schilderungen von Menschen, die sexualisierte Gewalt im kirchlichen Kontext erlebt haben, festgehalten in geschützten Foren und privaten Nachrichten. Genau diese Daten sind aus dem Betroffenennetzwerk BeNe der Evangelischen Kirche in Deutschland (EKD) abgeflossen. Die Plattform ist seit dem Wochenende offline [1] [2].
Ausgelöst wurde der Vorfall nicht durch einen ausgeklügelten, gezielten Angriff, sondern durch etwas viel Banaleres – und das macht ihn in seiner Struktur repräsentativ. Am 20. Juli 2026 kommunizierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) zwei allgemeine Sicherheitslücken in WordPress. BeNe läuft, wie Millionen anderer Websites weltweit, auf diesem Content-Management-System. Nach Muster und Umfang der Zugriffe geht die EKD „mit sehr großer Wahrscheinlichkeit" von einem automatisierten Bot-Angriff aus, nicht von einer gezielten Attacke auf das Netzwerk [2]. Ein Scanner, der das halbe Netz nach verwundbaren Installationen absucht, stieß auf eine Plattform, deren Datenbestand zu den schützenswertesten gehört, die man sich vorstellen kann.
Was passiert ist
Öffentlich gemacht wurde der Vorfall am 21. Juli 2026, woraufhin die EKD die Plattform aus Sicherheitsgründen vom Netz nahm [2]. Die Angreifer legten über die Schwachstelle weitere Administratorenkonten an, die inzwischen entfernt wurden. In der Zeit dazwischen flossen nach Einschätzung der Kirche „Daten in größerem Ausmaß" aus der Datenbank ab [2].
Betroffen sind zwei Kategorien: die verschlüsselten Passwörter der Nutzerinnen und Nutzer sowie verschlüsselte Beiträge aus privaten Foren und private Nachrichten [2] [3]. Wie viele Menschen und wie viele Inhalte genau betroffen sind, lässt sich laut EKD nicht mit Sicherheit feststellen – das System erfasst Daten bewusst sparsam, was in diesem Fall Fluch und Segen zugleich ist: Es erschwert die Aufklärung, hat aber vermutlich den abgeflossenen Bestand kleiner gehalten [3].
BeNe – kurz für BetroffenenNetzwerk – ging aus dem Beteiligungsforum der EKD hervor und ist seit rund zwei Jahren online. Das Netzwerk versteht sich als geschützter Raum von Betroffenen für Betroffene, in dem sensible Themen in einem sicheren Umfeld besprochen werden sollen. Genau dieses Versprechen steht nun in Frage.
Verschlüsselt heißt nicht folgenlos
Die EKD betont, die privaten Inhalte seien „durch die Verschlüsselung in der Datenbank und die Passwörter der Nutzer*innen geschützt" [2]. Das stimmt – aber es ist nur die halbe Wahrheit, und die Kirche formuliert die andere Hälfte selbst erstaunlich offen: „Gelingt es einem Angreifer, die Passwörter zu entschlüsseln, ist es möglich, in einem zweiten Schritt auch die zugehörigen privaten Inhalte zu entschlüsseln" [3].
Damit ist die Verschlüsselung keine absolute Garantie, sondern ein Zeitpuffer. Wie belastbar dieser Puffer ist, hängt an Details, die öffentlich nicht kommuniziert wurden: Wurden die Passwörter mit einem modernen, langsamen Verfahren wie Argon2 oder bcrypt gehasht, oder liegt eine schwächere, schneller zu knackende Variante vor? Wie stark sind die von den Nutzern gewählten Passwörter? Bei einem geleakten Hash-Bestand entscheidet genau das darüber, ob ein Angreifer Tage, Jahre oder praktisch nie an den Klartext kommt. Solange diese Fragen offen sind, gilt der Bestand als kompromittiert, nicht als sicher.
Der zweite, oft unterschätzte Punkt: Für die Betroffenen ist der Schaden bereits eingetreten, unabhängig davon, ob jemals eine Zeile entschlüsselt wird. Wer sich einem geschützten Netzwerk anvertraut, tut das unter der Zusage von Vertraulichkeit. Die Nachricht, dass die eigenen Schilderungen – und sei es in verschlüsselter Form – nun irgendwo außerhalb dieses Raums liegen, ist für sich genommen schon eine erhebliche psychische Belastung. Bei einer Zielgruppe, die bereits Grenzüberschreitungen und Kontrollverlust erleben musste, wiegt das besonders schwer.
Warum das BSI vor Phishing warnt
Die konkreteste kurzfristige Gefahr geht nicht von der Entschlüsselung aus, sondern von der Reaktion darauf. Das BSI warnt vor gezielten Phishing-Angriffen im Nachgang des Lecks [1]. Das Muster ist bekannt und effektiv: Kriminelle nutzen die Verunsicherung nach einem publik gewordenen Vorfall, geben sich als offizielle Stelle, IT-Support oder bekannte Institution aus und versuchen, unter dem Vorwand der „Sicherheitsüberprüfung" weitere Zugangsdaten oder persönliche Informationen abzugreifen.
Im Fall BeNe ist dieses Szenario besonders perfide. Eine gefälschte E-Mail, die sich auf die Plattform, die EKD oder namentlich bekannte Ansprechpersonen beruft und zur „Passwortbestätigung" auffordert, trifft auf Empfänger, die ohnehin beunruhigt sind und einen Grund haben, eine solche Nachricht für plausibel zu halten. Genau darauf zielen Angreifer in der Regel.
Die EKD rät deshalb zu einem nüchternen Verhaltensmuster: das BeNe-Passwort ändern und, falls dasselbe Passwort bei anderen Diensten verwendet wurde, auch dort umgehend. Verdächtige Anhänge sollten nicht geöffnet, Zugangsdaten grundsätzlich nicht auf Aufforderung weitergegeben werden [2]. Für Rückfragen hat die Kirche eine Hotline (0800-50 40 602) sowie die Adresse info@ekd.de eingerichtet [2].
Die unbequeme Frage bleibt
Der Vorfall reiht sich in eine Serie ein: Erst jüngst musste sich auch die katholische Seite mit einem Cyberangriff auf die IT-Systeme der Deutschen Bischofskonferenz auseinandersetzen. Kirchliche Einrichtungen sind, wie jede andere Organisation, Ziel automatisierter Massenangriffe – und sie verwalten teils Daten, die an Sensibilität kaum zu überbieten sind.
Dass eine Plattform mit diesem Zweck auf einer Standard-WordPress-Installation betrieben wird, ist für sich genommen kein Fehler; WordPress lässt sich hart absichern. Entscheidend ist das Drumherum: ein diszipliniertes Patch-Management, das öffentlich kommunizierte Lücken innerhalb von Stunden schließt, nicht in Tagen; eine Minimierung der Angriffsfläche durch strenge Plugin-Auswahl; und eine Verschlüsselungsarchitektur, die auch dann trägt, wenn die Datenbank vollständig in fremde Hände fällt. Dass die Lücken am 20. Juli kommuniziert wurden und der Abfluss offenbar unmittelbar danach erfolgte, deutet darauf hin, dass genau dieses Zeitfenster zum Verhängnis wurde.
Für die Betroffenen ist die Lehre bitterer als jede technische Erkenntnis. Ihnen wurde ein sicherer Raum versprochen. Die Aufgabe der EKD ist es nun, nicht nur die Lücken zu schließen, sondern das Vertrauen zurückzugewinnen – und das ist deutlich schwerer zu patchen als eine Software.