Wir möchten Sie über den aktuellen Stand des Sicherheitsvorfalls auf der Vernetzungsplattform informieren.
Der Sicherheitsvorfall auf der Vernetzungsplattform BeNe hat viele Nutzer*innen tief verunsichert. Die Sorge, dass persönliche Daten, vertrauliche Nachrichten oder Beiträge in fremde Hände gelangt sein könnten, war und ist für viele belastend. Wer auf BeNe persönliche Erfahrungen geteilt oder Kontakt zu anderen Betroffenen gesucht hat, hat darauf vertraut, dass diese Informationen geschützt bleiben. Dass dieses Vertrauen erschüttert wurde, nehmen wir sehr ernst.
Gerade für Menschen, die sexualisierte Gewalt erfahren haben, kann die Ungewissheit darüber, wer Zugang zu ihren persönlichen Informationen haben könnte, besonders schwer wiegen. Wir bedauern sehr, dass durch den Vorfall zusätzliche Ängste und Belastungen entstanden sind. Uns ist bewusst, dass technische Erklärungen allein diese Sorgen nicht nehmen können.
Ergebnisse der forensischen Untersuchung
Dennoch ist es der EKD ein großes Anliegen, mit einer unabhängigen forensischen Untersuchung so gut wie möglich klären zu lassen, was geschehen ist und welche Folgen der Angriff hatte. Zur Aufarbeitung des Vorfalls hat die EKD deshalb ein externes forensisches Gutachten in Auftrag gegeben, das nun vorliegt. Das Forensiker*innen-Team formuliert folgendes Fazit:
„Innerhalb der zur Verfügung stehenden Daten ist ein Angriff auf die WordPress-Instanz auf dem vorliegenden Webserver spätestens ab dem 19.07.2026 nachvollziehbar.
Erste Hinweise auf die versuche Ausnutzung der Lücke wp2shell können anhand der Daten der Log-Dateien auf den 18.07.2026 um 16:05:03 Uhr datiert werden. Hierbei konnten keine korrespondierenden Einträge in der Datenbank oder als Schadsoftware festgestellt werden.
Innerhalb des traefik-logs konnten im weiteren Verlauf eine Vielzahl an Anfragen festgestellt werden, die auf eine versuchte Ausnutzung der Schwachstelle wp2shell hindeuten. Zudem konnten teils auffällig große Antworten innerhalb der Logs festgestellt werden. Aufgrund der standardmäßigen Protokollierung konnte nicht abschließend festgestellt werden, ob hiervon personenbezogene Daten betroffen waren. Innerhalb der Datenbank konnten als personenbezogene Daten lediglich E-Mail-Adressen festgestellt werden.
Insgesamt wurden sieben neue Administratorenaccounts festgestellt, die zwischen dem 19.07.2026 um 04:10:45 Uhr und dem 20.07.2026 um 10:42:38 Uhr angelegt wurden. Diese neuen Nutzer konnten eindeutig mit Posts in der Datenbank zeitlich korreliert werden.
Innerhalb der Datenbank konnten keine Hinweise auf auffällige Plugins festgestellt werden. Jeder dieser neuen Administratorenaccounts konnte zeitlich exakt mit einer versuchten Ausnutzung der Schwachstelle wp2shell korreliert werden.
Es konnten keine Hinweise auf schadhafte Dateien festgestellt werden.
Es konnten keine Hinweise auf eine Kompromittierung des zugrunde liegenden Webservers festgestellt werden. Die hierfür untersuchten Log- und Systemdateien blieben bei einer Analyse unauffällig. Auch eine IoC-Scan des System-Images konnte keine zusätzlichen Hinweise auf eine Kompromittierung zeigen.
Abschließend kann eine Kompromittierung der Webseite durch die Schwachstelle wp2shell festgestellt werden, welche nach Analysen nicht auf den unterliegenden Server griff. Ein Abfluss von Daten konnte nicht festgestellt werden, kann aber aufgrund der Datenlage ebenfalls nicht ausgeschlossen werden.
Nach den vorliegenden Informationen konnten kritische Inhalte des Forums durch dritte trotz Anlage administrativer WordPress-Konten nicht durch die Angreifer eingesehen werden, da diese mit einer entsprechenden zusätzlichen Verschlüsselungsstruktur geschützt waren.“
Weitere Aufarbeitung
Die Ergebnisse des forensischen Berichts werden auch in die Beratungen der vom BeFo im September beauftragten Task Force „Kommunikation und Öffentlichkeitsarbeit der Betroffenen“, die eine Neukonzeption von „BeNe“ erarbeitet, einfließen.