Ein europäischer Schlüssel, eine russische Hand

Ein europäischer Passwortverwalter — also ein Unternehmen, das seinen Kunden verspricht, was kein Mensch seinen Liebsten versprechen kann: das absolute Vergessen des Verratenen — hat einem staatlich zertifizierten russischen Unternehmen Details über seine Ursprünge und seine Aktualisierungsmechanismen anvertraut. Das ist die eine Zeile, die wir haben. Sie ist nicht viel. Aber sie wiegt schwer.

Denn ein Passwortverwalter ist kein Programm wie andere. Er ist ein Gewölbe. Wer Zugang zu seinen Architekturen erhält, zur Art, wie Updates verteilt werden, zu den Pfaden, über die kryptographisches Material wandert, der hat nicht bloß ein Dokument gelesen. Der hat den Grundriss des Gebäudes studiert, in dem die Geheimnisse lagern. „Ursprünge und Aktualisierungen" — zwei Wörter, hinter denen sich die gesamte Genealogie einer Software verbirgt: wer sie schrieb, in welcher Sprache sie denkt, wo ihre Schwachstellen atmen, und vor allem: wo die Tür ist, durch die man hineinkommt, wenn man den richtigen Schlüssel besitzt.

Staatlich zertifiziert. Das ist in Russland keine Floskel. Es ist ein Siegel, verliehen von einer Behörde, deren Auftrag über die Wirtschaft hinausreicht. Wer dieses Zertifikat trägt, steht nicht außerhalb der Apparate. Er ist Teil davon. Die schönen Empfangsräume, die Visitenkarten in zweisprachiger Aufmachung, die Konferenzen, bei denen Tee gereicht wird — all das ist die Fassade. Hinter ihr arbeitet ein Mechanismus, der seine eigene Logik hat: Information ist dort keine Ware. Sie ist Beute, die man teilt, oder Waffe, die man lädt.

Wir haben eine Quelle. Eine einzige. Das genügt nicht, um ein Urteil zu sprechen — aber es genügt, um die richtigen Fragen auf den Tisch zu legen. Wer hat den Kontakt hergestellt? Wer hat die Informationen entgegengenommen? Zu welchem Zeitpunkt im Lebenszyklus der Software wurden die Details übermittelt — vor oder nachdem das Update öffentlich wurde? Welche Abteilung innerhalb des zertifizierten Unternehmens hat das Material gesichtet, und an wen wurde es weitergereicht? Existiert ein Vertrag, der den Umgang mit diesen Informationen regelt, oder handelt es sich um eine informelle Geste der Kooperation, wie man sie zwischen Geschäftspartnern sieht, die sich keine Sorgen machen müssen?

Man wird mir sagen, das sei harmlos. Ein technischer Austausch, wie er täglich zwischen Softwarefirmen stattfinde. Das ist richtig. Aber es ist nicht die ganze Wahrheit. Die ganze Wahrheit ist, dass ein Passwortverwalter, der seine Architekturdetails einem russischen Staatszertifizierten anvertraut, sich nicht bloß auf ein Geschäft einlässt. Er öffnet eine Tür, durch die Interessen fließen können, die er nicht kontrolliert. Er liefert das Bauplanwerk eines Gebäudes, dessen Bewohner glauben, ihre Wände seien undurchdringlich.

Und hier wird die Sache europäisch. Es geht nicht mehr um ein einzelnes Unternehmen, einen einzelnen Akt der Kooperation. Es geht um die Frage, wem die Daten der Bürgerinnen und Bürger gehören, die ihre Schlüssel in fremde Hände legen. Ein Passwortverwalter verwaltet nicht Passwörter. Er verwaltet Identitäten — die digitalen Lebensfäden von Menschen, die ihm vertrauen, weil sie keine andere Wahl haben, weil die Welt so geworden ist. Wenn dieser Lebensfaden seinen Ursprung in einer europäischen Hauptstadt hat und sein Echo in einem Moskauer Zertifizierungsraum, dann ist das kein technisches Detail. Dann ist das ein Souveränitätsproblem.

Wir wissen nicht, was genau übermittelt wurde. Wir wissen nicht, ob es Marketingunterlagen waren oder Quellcode, Spezifikationen oder verschlüsselte Signaturen. Wir wissen nicht, ob einzelne Ingenieure ahnungslos handelten oder ob das Management den Weg kannte. Wir wissen nur, dass die Übermittlung stattgefunden hat, und dass sie zu denken gibt.

In den Räumen, in denen ich früher Verträge habe unterschreiben sehen, lernte ich eines: Das Gefährlichste ist nicht der offene Bruch. Das Gefährlichste ist die Geste, die aussieht wie Kooperation, aber Beziehung ist. Ein Mann, der lächelnd unterzeichnet, was er nicht halten wird, ist gefährlicher als einer, der gar nicht kommt.

Ein Passwortverwalter, der seine Ursprünge und Updates einem russischen Staatszertifizierten anvertraut, mag das Gefühl haben, dass er ein Fenster öffnet für die Sonne. Wir sollten uns fragen, wer auf der anderen Seite des Fensters steht. Und welche Hände bereits nach dem Rahmen greifen.

Die Handschuhe, die ich beim Schreiben trage, sind nicht kalt. Sie sind notwendig. Denn wer ohne Handschuhe anfasst, was zwischen den Zeilen liegt, verbrennt sich die Finger. Wir nehmen sie ab, wenn die Fakten es erlauben. Bis dahin halten wir fest, was wir haben: einen Satz, einen Hinweis, einen Schatten. Mehr nicht. Aber Schatten werfen ihre Form voraus.