Veröffentlicht am 28.07.2026
Berichte über sexualisierte Gewalt, Gesundheitsfolgen, private Nachrichten – hochsensible Daten, die Menschen einem geschützten Raum anvertraut hatten, sind mit hoher Wahrscheinlichkeit in die Hände Krimineller gelangt. Zwischen dem 17. und 21. Juli 2026 drangen Angreifer über eine kritische WordPress-Sicherheitslücke in das evangelische Betroffenen-Netzwerk „BeNe“ ein und kopierten mutmaßlich große Teile der Datenbank. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Vorfall bestätigt und warnt ausdrücklich vor anschließenden Phishing-Angriffen gegen die betroffenen Nutzer.
Für Sie als Inhaber oder Entscheider eines kleinen oder mittleren Unternehmens mit WordPress-Website ist dieser Fall mehr als eine tragische Einzelnachricht: Er ist ein Musterbeispiel dafür, wie schnell eine ungepatchte Website nach Bekanntwerden einer Schwachstelle übernommen werden kann. Denn die ausgenutzte Lücke betrifft nicht ein exotisches Plugin, sondern den Kern von WordPress selbst – und damit potenziell jede vierte Website weltweit.
„BeNe“ (bene-netzwerk.ekd.de) ist eine seit 2024 betriebene Plattform der Evangelischen Kirche in Deutschland (EKD). Betroffene sexualisierter Gewalt tauschen sich dort in einem geschützten Raum über persönliche Erfahrungen, Gesundheitsfolgen und sehr private Lebenssituationen aus. Genau diese Daten stehen nun im Zentrum eines Datenlecks.
Am 17. Juli 2026 meldete das Sicherheitsforschungsunternehmen Searchlight Cyber zwei kritische Sicherheitslücken im WordPress-Core – unter dem Namen „wp2shell“ zusammengefasst. Noch am selben Tag veröffentlichte WordPress die abgesicherten Versionen 6.9.5, 6.8.6 und 7.0.2. Doch das Zeitfenster für Angreifer war bereits offen: Am Wochenende des 19./20. Juli tauchten sogenannte Proof-of-Concept-Exploits auf – frei verfügbare Beispielcodes, die zeigen, wie sich die Lücke ausnutzen lässt. Automatisierte Bots begannen, ungepatchte WordPress-Installationen im großen Stil anzugreifen. Vermutlich in genau diesem Zeitraum wurde auch BeNe kompromittiert.
Das BSI veröffentlichte am 20. Juli eine offizielle Cybersicherheitswarnung (Kennung 2026-271984-1032). Die EKD nahm BeNe erst am 21. Juli offline – für eine Kompromittierung offenbar zu spät. Am 22. Juli bestätigte die Kirche, dass die Lücken für unbefugten Zugriff genutzt wurden und dass die Angreifer unberechtigte Administratorenkonten angelegt hatten. Einen Tag später, am 23. Juli, folgte die bittere Aktualisierung:
„Es steht fest, dass die Sicherheitslücken für einen unbefugten Zugriff auf die Plattform genutzt wurden. […] Auf Basis der vorliegenden Erkenntnisse ist mit hoher Wahrscheinlichkeit davon auszugehen, dass Daten in größerem Ausmaß aus der Datenbank abgeflossen sind. Nach Muster und Umfang der Zugriffe handelt es sich mit sehr großer Wahrscheinlichkeit um einen automatisierten Bot-Angriff und nicht um einen gezielten Angriff auf BeNe.“ – EKD, offizielle Mitteilung vom 23.07.2026
Abgeflossen sind nach Angaben der EKD verschlüsselte Passwörter, verschlüsselte Beiträge aus privaten Foren sowie private Nachrichten. Die Verschlüsselung mindert das unmittelbare Risiko – schließt es aber nicht aus. Gelingt es den Angreifern, die Passwörter zu entschlüsseln, könnten sie in einem zweiten Schritt auch die zugehörigen privaten Inhalte lesbar machen.
Betroffenenvertreter Detlev Zander beschrieb gegenüber dem epd, was das für die Menschen bedeutet:
„Gerade Menschen, deren Grenzen und Vertrauen schon einmal schwer verletzt wurden, erleben jetzt erneut einen massiven Kontrollverlust.“
„wp2shell“ besteht aus zwei verketteten Schwachstellen im WordPress-Core:
author__not_in-Parameter der WP_Query-Klasse./wp-json/batch/v1. Die REST-API ist eine Schnittstelle, über die andere Programme mit WordPress kommunizieren – hier lässt sich ohne Anmeldung Code ausführen.In Kombination erlauben beide Lücken einem anonymen, nicht eingeloggten Angreifer aus der Ferne, beliebigen Code auf dem Webserver auszuführen – im Fachjargon „Remote Code Execution“ (RCE). Das Besonders Gefährliche: Es braucht keine Vorbedingungen, keine Zugangsdaten und nicht einmal ein installiertes Plugin. Searchlight Cyber formulierte es in seinem Advisory so:
„The attack has no preconditions and can be exploited by an anonymous user in a stock install of WordPress with no plugins. It is estimated that over 500 million websites use WordPress.“
Dr. Christopher Kunz von heise security warnte am 18. Juli: „Problematisch ist die Verkettung beider Lücken […] Derlei Sicherheitslücken sind leicht automatisierbar und können etwa zu Großangriffen führen.“ Genau das ist eingetreten.
Im Fall BeNe legten die Angreifer unberechtigte Administratorenkonten an (Muster: wpsvc_[Hash]@wordpress-svc.internal) und installierten Schadplugins wie „Database Repair Assistant“ oder Plugins mit dem Muster wp2s-[Hash]. In manchen Fällen wurde Schadcode in die Dateien .htaccess und index.php eingeschleust, der sich nach einem Update automatisch neu erzeugte.
Verwundbar sind die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1. Nicht betroffen sind die Versionen 6.8.5 und älter sowie die gepatchten Versionen 6.9.5, 6.8.6 und 7.0.2.
Die Dimension: WordPress wird von rund 43 % aller Websites weltweit genutzt – geschätzt 472 bis 595 Millionen Installationen. Der CMS-Marktanteil (CMS = System zur Verwaltung von Website-Inhalten) liegt bei etwa 59 bis 63 %. Auch in Deutschland ist der Anteil vergleichbar hoch. Kurz: Wenn Ihre Website auf WordPress läuft, sollten Sie diesen Artikel bis zum Ende lesen.
BeNe ist laut IT-Blogger Günter Born eines der ersten öffentlich bekannten Opfer. Am 26. Juli wurden weitere Fälle bekannt, darunter Kunden des Hosting-Anbieters IONOS, der betroffene Kunden per E-Mail informierte.
wpsvc_[Hash]@wordpress-svc.internal.wp2s-[Hash].index.php und .htaccess im Hauptverzeichnis und in Unterordnern auf eingeschleusten Code prüfen. Verdächtig ist es, wenn sich diese Dateien selbstständig regenerieren./wp-json/batch/v1 oder ?rest_route=/batch/v1 zu prüfen.wp-config.php – sie könnten bei einer Kompromittierung ausgelesen worden sein..htaccess und index.php manuell entfernen. Achtung: Ein reines Update genügt nicht, wenn sich der Schadcode selbst regeneriert./wp-json/batch/v1 und ?rest_route=/batch/v1 für nicht authentifizierte Nutzer blockiert.Ein BSI-Sprecher brachte die Dynamik gegenüber dem epd auf den Punkt: Wenn Schwachstellen bekannt werden, komme es zu einer Art „Wettrennen“ – es entscheide sich, „ob sich Kriminelle oder automatisierte Bots schneller Zugriff verschaffen können, als ein Sicherheitsupdate installiert wird“. Die schlechte Nachricht sei, dass die Daten mutmaßlich kopiert und im Internet seien. Immerhin: Die Verschlüsselung der abgeflossenen Passwörter und Inhalte schränke das Risiko ein.
Wie kurz dieses Zeitfenster ist, zeigt der Patchstack-Report 2026: Die mediane Zeit bis zur Massenausnutzung schwerwiegender WordPress-Schwachstellen beträgt nur fünf Stunden. 2025 wurden 11.334 neue Schwachstellen im WordPress-Ökosystem gefunden – 42 % mehr als im Vorjahr. Die allermeisten davon (91 %) stecken in Plugins, nur sechs betrafen den Core. wp2shell ist damit ein seltener, aber besonders gefährlicher Kernfehler.
Für jeden Website-Betreiber, der personenbezogene Daten verarbeitet, ist ein solcher Vorfall hochrelevant. Nach Art. 33 DSGVO müssen Sie eine Datenpanne unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, bei der zuständigen Aufsichtsbehörde melden – außer, sie führt voraussichtlich zu keinem Risiko für Betroffene. Da WordPress-Installationen typischerweise E-Mail-Adressen, Passwort-Hashes und weitere Nutzerdaten speichern, ist bei einer Kompromittierung in aller Regel von einer meldepflichtigen Panne auszugehen.
Bei besonders sensiblen Daten – wie im Fall BeNe – greift zusätzlich Art. 34 DSGVO: Die betroffenen Personen müssen direkt benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Unterlassene oder verspätete Meldungen können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Für KMU fallen die Beträge in der Regel geringer aus, doch fünf- bis sechsstellige Summen sind bei schweren Verstößen möglich. Hinzu kommen mögliche Schadensersatzansprüche betroffener Nutzer nach Art. 82 DSGVO.
Der BeNe-Vorfall ist doppelt tragisch: Er trifft Menschen, die ohnehin schon einmal Vertrauen und Kontrolle verloren haben – und er zeigt schonungslos, wie wenig Zeit zwischen einer veröffentlichten Schwachstelle und ihrer massenhaften Ausnutzung liegt. BeNe wurde erst offline genommen, als das BSI längst gewarnt hatte. Für eine Kompromittierung war es da bereits zu spät.
Die Lehre für jedes KMU mit WordPress-Website: Warten Sie nicht. Prüfen Sie noch heute Ihre WordPress-Version, spielen Sie das Update auf 7.0.2 bzw. 6.9.5 ein und kontrollieren Sie Ihre Installation auf Spuren einer Kompromittierung. Aktivieren Sie automatische Sicherheitsupdates und richten Sie eine Firewall ein. Denn im Wettrennen zwischen Angreifern und Administratoren gewinnt nur, wer vorbereitet ist – nicht, wer erst nach der ersten Warnung reagiert.