Die Woche im kirchlichen Datenschutz

Daten des EKD-Betroffenen-Netzwerks abgeflossen

Die Betroffenen-Vernetzungsplattform BeNe der EKD wurde Opfer eines Angriffs, bei dem nach aktuellem Stand mit hoher Wahrscheinlichkeit Daten abgeflossen sind. Das Einfallstor war eine vom BSI dokumentierte Sicherheitslücke in WordPress. Gegenüber dem epd äußerte sich dazu CCC-Mitglied Jochim Selzer, der die technischen Probleme einordnet.

Die EKD befürchtet, dass unter den abgeflossenen Daten verschlüsselte Passworte der Nutzenden und mit diesen Passworten verschlüsselte Privatnachrichten erbeutet wurden. Das genutzte Verschlüsselungsverfahren soll dem Stand der Technik entsprechen. Es scheint sich um einen automatisierten, nicht spezifisch auf BeNe zielenden Angriff zu handeln. Mittlerweile ist Anzeige durch die EKD erstattet.

Zu dem Vorfall äußerte sich die Gruppe der Betroffenen im Beteiligungsforum Sexualisierte Gewalt. Der Angriff habe viele Betroffene tief verunsichert. »Dieser Vorfall ist für viele Betroffene nicht einfach nur ein technisches Problem. Es geht um ihre intimsten Erfahrungen, um persönliche Nachrichten und um Gespräche, die im Vertrauen auf einen geschützten Raum geführt wurden. Gerade Menschen, deren Grenzen und Vertrauen schon einmal schwer verletzt wurden, erleben jetzt erneut einen massiven Kontrollverlust. Darüber darf man nicht mit technischen Formulierungen hinweggehen«, zitiert das Statement den Betroffenenvertreter Detlev Zander. Die Betroffenenvertreter*innen begrüßen die offene Kommunikation der EKD und fordern eine transparente Aufarbeitung des Vorfalls. »Jetzt brauchen die Betroffenen aber vor allem Klarheit, direkte Informationen, erreichbare Ansprechpartner und bei Bedarf auch konkrete Unterstützung. Bevor das BeNe wieder online geht, muss vollständig aufgeklärt werden, was passiert ist und welche Folgen dieser Vorfall für die Betroffenen hat. Die Gruppe der Betroffenen im BeFo muss an diesen Entscheidungen verbindlich beteiligt werden«, so Zander weiter.

Kritik an BeNe gab es bereits im vergangenen Jahr. Ein offener Brief von Nutzenden der Plattform an die EKD beinhaltete auch Fragen zu einem Daten- und Sicherheitskonzept. Dem BfD EKD liegt Informationen aus Betroffenenkreisen zufolge seit Dezember 2025 mindestens eine umfangreiche Beschwerde zu technischen und organisatorischen Mängeln bei BeNe vor, die noch nicht abschließend bearbeitet ist. Am Mittwoch äußerten sich Betroffenenvertreter*innen in einer Pressemitteilung zu dem Vorgang mit massiver Kritik. Die Betroffenen fordern von der EKD unter anderem ein Darknet-Monitoring und die Benennung einer Anwaltskanzlei, an die sich Betroffene wenden können, sollten sie auf Grundlage der erbeuteten Daten erpresst werden.

Vatikan-Gebets-App leakt Nutzendendaten

Die Vatikan-Gebets-App »Click to Pray« hatte laut dem IT-Sicherheits-Portal Dark Reading eine Sicherheitslücke, mit der Hunderttausende Datensätze von Nutzenden eingesehen werden konnten:

»Unfortunately, the website exposes an API endpoint that then leaks your information to anybody, no authorization required. If an attacker discovers the endpoint, and supplies any user ID, they can enumerate any number of the site’s users, plus administrative and staff accounts.«

Auf Anfrage für katholisch.de bestätigte mir das Gebetsnetzwerk des Papstes, das die App betreibt, dass die Lücke bestanden hat. Sie sei aber bereits am Tag des Bekanntwerdens, also am 24. Juli, geschlossen worden.

Handreichung für verantworteten KI-Einsatz in Kirchen

Die ökumenische britische Initiative AI Christian Partnership hat »AI Guidelines for Christian Ministries« veröffentlicht. Ziel ist es, KI in kirchlichen Kontexten sinnvoll zu nutzen. Neben sechs ethischen Prinzipien (Transparenz, Verantwortlichkeit, Menschenwürde, Datenschutz, Schöpfungsverantwortung und Gemeinwohl) gibt es mit acht »Guidelines for good practice« sehr gute Impulse für einen sinnvollen KI-Umgang. Dazu gehören etwa Tipps, wie man gute Fragen stellt, und der Hinweis, KI zur Unterstützung, nicht zum Herstellen von Inhalten zu verwenden. Statt des Prompts »Write an intercessory prayer for the Sunday service reflecting current news« solle zum Beispiel besser dieser verwendet werden: »Summarise the major news events this week for me, international and local«.

Auf Artikel 91

• Plädoyer für ein echtes Löschungssurrogat

Aus der Welt

• Die von der Ampel geplante Reform des Bundesmeldegesetzes wurde nicht umgesetzt. Frederick Richter spricht von einer vergessenen Reform und zeigt auf, was im Argen liegt: »Im Wege einer einfachen Melderegisterauskunft nach § 44 Bundesmeldegesetz kann jede Person den aktuellen Wohnort einer anderen Person herausfinden, wenn sie der Meldebehörde den vollständigen Namen, das Geburtsdatum und das Geschlecht der ›Zielperson‹ angeben kann. Ein Grund für dieses Auskunftsverlangen muss nicht angegeben werden.«

Kirchenamtliches

• Erzbistum Bamberg: Kirchlicher Datenschutz – Veröffentlichung von Priester- und Diakonenjubiläen im Jahr 2027
• Bistum Mainz: Tipp des Monats: Spende als letzter Wille – was dürfen Angehörige erfahren?
• Bistum Erfurt: 2. Gesetz zur Änderung des Gesetzes über den Kirchlichen Datenschutz (KDG) (2. KDG-Änderungsgesetz)