Es hat einen Zugriff von Unbefugten auf Daten und Informationen des BetroffenenNetzwerks „BeNe“ gegeben. Der Zugriff wurde möglich durch eine Sicherheitslücke im Content-Management-Systems (CMS) WordPress. Von dem Sicherheitsvorfall waren Millionen Seiten weltweit betroffen. Zuvor hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf die Sicherheitslücke von WordPress aufmerksam gemacht und eine entsprechende Warnung verbreitet.

Der IT-Dienstleister, der im Auftrag der EKD die Plattform BeNe betreut, hat die Sicherheitslücke mit den von WordPress bereitgestellten Updates geschlossen, eine umfassende Sicherheitsprüfung eingeleitet und die Plattform offline gestellt. Protokolldaten, Nutzer*innenkonten, Serverprozesse und den Servercode wurden umfassend auf Manipulation untersucht. Dabei haben sich keine Hinweise ergeben, dass Inhalte der Plattform manipuliert oder zusätzlicher Schadcode dauerhaft auf dem System hinterlassen wurde. Nutzer*innen, die mit einer E-Mail-Adresse bei BeNe registriert waren, haben über das System eine Mail zum Sicherheitsvorfall erhalten, in der über den Vorfall informiert, auf weitere Informationen auf der Website hingewiesen und Sicherheitshinweise gegeben wurden.

Über den aktuellen Stand der Untersuchung wird kontinuierlich auf der offline geschalteten Plattform BeNe sowie auf der Internetseite der EKD informiert. Die EKD nimmt die Unterstützung eines unabhängigen, externen Forensikers in Anspruch.

Außerdem haben die EKD und der IT-Dienstleister Anzeige gegen Unbekannt erstattet.

Nach aktuellem Stand gehen wir vorsorglich davon aus, dass die Daten umfassend abgeflossen sind, und handeln auf dieser Grundlage. Es gibt keine Hinweise darauf, dass Inhalte der Plattform manipuliert oder zusätzlicher Schadcode dauerhaft auf dem System hinterlassen wurde.

Wir müssen vorsorglich davon ausgehen, dass die Daten von privaten Foren und privaten Nachrichten in verschlüsselter Form ebenfalls betroffen sind. Allerdings ist nach gegenwärtigem Kenntnisstand bei ausreichend starken Passwörtern eine Entschlüsselung der gespeicherten Daten aus den privaten Bereichen nur mit extremem technischem und finanziellem Aufwand verbunden.

Nein, der Angriff erfolgte nicht über die bestehenden Administratoren-Accounts, sondern durch das Zusammenspiel verschiedener Sicherheitslücken auf WordPress. Es waren weder Admin-, Moderations- noch Nutzer-Passwörter erforderlich, um die Sicherheitslücke auszunutzen. Dennoch wurden sämtliche Admin-Passwörter nach dem Angriff geändert.

Nein, nach unserem aktuellen Wissensstand war das kein gezielter Angriff auf BeNe. Die Hacker haben vermutlich weltweit die Lücke automatisiert auf Millionen WordPress-Webseiten ausgenutzt. Schätzungen von IT-Sicherheitsunternehmen zufolge sind weltweit Millionen WordPress-Websites unmittelbar gefährdet gewesen – darunter auch BeNe. Durch die Sicherheitslücke wurden auf der BeNe-Plattform neue Administratoren-Accounts angelegt und die Daten der Seite heruntergeladen.

BeNe ist und war auf einem sehr hohen Standard verschlüsselt und geschützt. Noch vor Inbetriebnahme der Plattform gab es eine externe Datenschutzfolgeabschätzung und zwei IT-Sicherheitsprüfungen der Plattform.

Die auf BeNe verwendeten Verfahren orientieren sich an den Empfehlungen des BSI. Daher ist nach gegenwärtigem Kenntnisstand bei ausreichend starken Passwörtern eine Entschlüsselung der gespeicherten Daten aus dem privaten Bereich nur mit extremem technischem und finanziellem Aufwand verbunden.

Für die umfassende Aufklärung des Vorfalls wird eine externe forensische Untersuchung durchgeführt. Im Rahmen dieser Untersuchung musste der Server vorübergehend heruntergefahren werden.

Die Vernetzungsplattform „BeNe“ ist bis auf Weiteres offline. Wie und unter welchen Voraussetzungen die Plattform künftig fortgeführt werden kann, wird im Beteiligungsforum beraten. Dabei geht es nicht nur um technische Fragen, sondern auch um die zukünftige Ausrichtung, die Sicherheit und die Bedürfnisse der Betroffenen. Sobald verlässliche Ergebnisse vorliegen, werden wir darüber informieren. Bis dahin bitten wir um Verständnis, dass noch kein konkreter Zeitpunkt genannt werden kann.

Nach Bekanntwerden der Sicherheitslücke wurde über das System eine Warnung per Mail an alle Nutzer*innen verschickt. Diese haben alle erhalten, die auf der Plattform mit einer E-Mail-Adresse registriert sind. Der Versand dieser E-Mail ist gesetzlich bei Sicherheitsvorfällen so vorgeschrieben. Nutzer*innen, deren Account nicht mit einer E-Mailadresse hinterlegt ist, da sie nur das öffentliche Forum genutzt haben, haben keine automatische Benachrichtigung erhalten.

Wer den Angriff auf die Seite ausgeführt hat, ist bislang unbekannt. Die EKD hat Anzeige gegen Unbekannt erstattet und einen externen Forensiker hinzugezogen. Nach aktuellem Stand gehen wir davon aus, dass der Angriff automatisiert erfolgt ist. Wir müssen also vorsorglich davon ausgehen, dass ein Großteil der Daten von BeNe abgeflossen ist, darunter gehashte Passwörter sowie verschlüsselte private Nachrichten und Foreneinträge.

Der überwiegende Teil dieser Daten ist entweder verschlüsselt oder als Hash (unumkehrbare Prüfwerte) gespeichert. Dies gilt sowohl für private Passwörter als auch für die Inhalte aus den privaten Foren und Nachrichten. Das bei BeNe verwendete Passwort-Verfahren entspricht einem sehr hohen Sicherheitsstandard, wie er auch vom BSI empfohlen wird. Das bedeutet: Sofern das Passwort der einzelnen Nutzer*innen ausreichend stark war, ist die Entschlüsselung der gespeicherten Daten aus dem privaten Bereich nur mit erheblichem technischen und finanziellen Aufwand verbunden und in der Praxis extrem unwahrscheinlich.

Der Vorfall wird weiter untersucht. Sobald verlässliche neue Erkenntnisse vorliegen, werden die Nutzer*innen verständlich und transparent informiert.

Uns ist bewusst, dass diese Information Sorgen auslösen kann. Deshalb unterscheiden wir sorgfältig zwischen bestätigten Erkenntnissen und möglichen Risiken. Wir möchten weder etwas verharmlosen noch durch Vermutungen zusätzliche Angst auslösen.

Zunächst einmal ist festzuhalten, dass die Entschlüsselung der Daten bei ausreichend starkem Passwort technisch extrem aufwendig ist und mit einem erheblichen finanziellen Aufwand verbunden wäre. Für den Fall, dass Betroffene dennoch mit Daten unter Druck gesetzt werden sollten, können sie sich selbstverständlich an die EKD wenden, die in Absprache mit den Betroffenen eine unabhängige juristische Beratung vermittelt.

Nach aktuellem Kenntnisstand hat das System keinen Schadcode verbreitet. Wenn Sie BeNe ohne Registrierung genutzt haben, kann Ihnen daher kein Schaden entstehen.

Nein. Eine individuelle Risikobewertung einzelner Nutzer*innenkonten ist derzeit nicht möglich.

Nein. Die EKD hat auch weiterhin keinerlei Zugriff auf die gespeicherten und verschlüsselten Datensätze und kann somit keine Daten einsehen. Das heißt, dass die EKD keine privaten Beiträge, Nachrichten oder E-Mail-Adressen lesen kann. Auch der IT-Dienstleister kann die verschlüsselten Inhalte nicht lesen.

Bei BeNe waren systemseitig Passwort-Regeln hinterlegt, die den empfohlenen BSI-Standards entsprechen:  

• Mind. 12 Zeichen
• Mind. 1 Großbuchstabe
• Mind. 1 Kleinbuchstabe
• Mind. 1 Zahl
• Mind. 1 Sonderzeichen

Die Passwörter wurden von den Nutzer*innen selbst gewählt.

Hier gelangen Sie zu den empfohlenen Passwort-Standards des BSI.

Dafür wird das sogenannte Hashing verwendet. Beim Hashing wird aus einem Passwort ein nicht umkehrbarer Prüfwert erzeugt. Dabei wird lesbarer Text in eine völlig andere Zeichenkette mit einer bestimmten Länge verwandelt. Das ursprüngliche Passwort wird nicht gespeichert. Das eingesetzte Verfahren mit bcrypt 12 und individuellem Salt gilt als ein etabliertes und leistungsfähiges Verfahren zum Schutz gespeicherter Passwörter.

Nach derzeitigem Kenntnisstand war dies systemseitig sichergestellt. Ein Passwort musste mindestens zwölf Zeichen lang sein und Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Wenn ein*e Nutzer*in auf der Plattform ein Passwort anlegen wollte, das nicht den Anforderungen entsprach, erfolgte systemseitig eine Fehlermeldung und das Speichern war nicht möglich. Das haben Prüfungen des IT-Dienstleisters zum Start der Plattform und aktuelle Untersuchungen gezeigt.

Der Gruppe der Betroffenen liegen allerdings auch andere Rückmeldungen von Nutzer*innen vor. Demnach sei es teilweise möglich gewesen, deutlich einfachere Passwörter zu verwenden. Stichprobenartige Tests konnten dies bislang nicht bestätigen.

Selbst bei einer möglichen Verwendung einfacherer Passwörter bedeutet das nicht automatisch, dass Passwörter entschlüsselt oder private Inhalte gelesen wurden.

Trotzdem empfehlen wir allen Nutzer*innen: Wenn Sie Ihr BeNe-Passwort auch für andere Internetseiten oder Dienste genutzt haben, ändern Sie es dort bitte vorsorglich. Verwenden Sie für jeden Zugang ein eigenes Passwort.

Bei der Passwortgenerierung galten die aktuellen Vorgaben und Empfehlungen des BSI: mindestens 12 Zeichen mit Groß und Kleinbuchstaben, Ziffern und Sonderzeichen. Dadurch wird das Erraten gespeicherter Passwort-Hashes erheblich erschwert und ist nach derzeitigem Kenntnisstand mit erheblichem technischem und finanziellem Aufwand verbunden.

Ein ausreichend starkes Passwort erfüllt allerdings nicht nur diese formalen Mindestanforderungen, sondern ist zusätzlich auch nicht leicht zu erraten (wie etwa naheliegende Wörter oder Muster wie „Passwort123!“). Passwörter sollten außerdem immer nur für einen Zweck verwendet werden, also nicht auf verschiedenen Seiten.

Ein Passwort wie „Passwort123!“ erfüllt zwar formal die Mindestkriterien, gilt im Sinne dieser Definition jedoch nicht als „ausreichend stark“. Darüber hinaus sollte verbreitetes Musterverhalten vermieden werden, das Passwörter vorhersagbar macht. Hierzu zählen insbesondere Passwörter, bei denen der einzige Großbuchstabe am Anfang steht und das einzige Sonderzeichen am Ende.

Aktuell wissen wir noch nicht, was mit den heruntergeladenen Daten passiert und ob diese überhaupt in irgendeiner Form verwendet werden. Wenn Sie ihr BeNe-Passwort auch für andere Zwecke und auf anderen Seiten verwendet haben, sollten sie das Passwort dort ändern. Grundsätzlich sollte dasselbe Passwort nicht für mehrere Anwendungen verwendet werden, weil ein Datenleck dann gleich mehrere Konten gefährdet.

Ein wichtiger Hinweis: Öffnen Sie keine verdächtigen Links und Anhänge in E-Mails und Nachrichten und geben Sie keine Zugangsdaten weiter. Weder BeNe noch die EKD werden Sie im Zusammenhang mit diesem Vorfall per E-Mail nach Ihrem Passwort fragen. Bitte seien Sie achtsam, wenn Sie E-Mails von unbekannten Absendern erhalten.

WordPress ist ein Content-Management-System (CMS). Das ist eine Software, mit der Websites und Online-Plattformen erstellt und verwaltet werden. Weltweit wird WordPress für über 100 Millionen Webseiten genutzt. Auch für BeNe wurde WordPress als Software verwendet.

Der Wert bezieht sich auf den internationalen CVSS-Score, der technische Schwachstellen auf einer Skala von 0,0 bis 10,0 bewertet. Das BSI zitiert CVSS-Einstufungen zur Lücke mit Werten von 7,5 – 9,8 und stellt bei der genutzten Sicherheitslücke auf einen Wert von 9,8 ab. Der Wert ist sehr hoch, weil die zugrunde liegende Schwachstelle in WordPress von Fachleuten für alle WordPress-Seiten als sehr kritisch bewertet wurde. Die Bewertung trifft keine Aussage zu den zusätzlichen Sicherheitsstandards der BeNe-Plattform. Der Score trifft somit keine Aussage darüber, wie wahrscheinlich es ist, dass die BeNe-Daten entschlüsselt werden können.