Made in Arkhangelsk, vermarktet als Europa
Es gibt Sätze, die wie Handschellen klingen, wenn man sie in den richtigen Mund legt. „Made in EU 2017" ist so einer. Weich wie Samt, geprägt von einer Firma namens Passwork Europe, die sich selbst europäisch nennt und ihre Server als privat. Die Wirklichkeit trägt einen anderen Stempel: FSTEC. Das ist die russische Föderale Dienststelle für technische und exportkontrollierte Regulierung — wer dort zertifiziert ist, ist nicht einfach zertifiziert, sondern eingetragen in jenes Register, das der russische Staat für strategisch hält. Und Passwork teilt Codebasis, Updates und Ursprung mit eben jenem russischen Schwesterunternehmen.
Die Geschichte beginnt, wie viele dieser Geschichten beginnen, im hohen Norden. Arkhangelsk, Juni 2014. Zwei Männer namens Ilya Garakh und Andrey Pyankov gründen ein Produkt. Sieben Jahre später sitzt das Produkt in Spanien und trägt ein Etikett, das wie eine europäische Flagge aussieht. Dazwischen liegen der Beginn eines Krieges, den Russland noch nicht verloren hatte, und die sehr leise Verschiebung von Software, Personal und Vertrauen über Grenzen hinweg.
Während Passwork sich als europäisch verkauft, hat eine andere Figur in diesem Drama längst das Sagen übernommen: die Corporation for Special Purpose Space Systems „Kometa". Weltraumgestützte Aufklärung, Informationssysteme, Steuerungstechnik — das Vokabular klingt nach Raketen, gemeint ist Kontrolle. Kometa ist sanktioniert von Kanada, der Schweiz, der Europäischen Union. Auf Anfragen reagiert das Unternehmen nicht. Das Schweigen hat Methode.
Doch Kometa ist nur die Spitze eines Knotens. Die Strippen, die Passwork mit Russland verbinden, verlaufen über digitale Infrastruktur, und diese Infrastruktur hat ein bemerkenswertes Talent: Sie verschwindet, wenn man hinschaut, und taucht an anderer Stelle wieder auf.
BIRN-Reporter, die dem Faden folgten, landeten in einer Wohnung im neunten Stock eines Hauses in der zentralserbischen Stadt Kruševac. Hinter einer Tür wie jeder anderen sitzt ein Webhosting-Unternehmen namens eServer. Gegründet im April 2022 — wenige Wochen nach dem Einmarsch in die Ukraine — von einem 43-jährigen Russen namens Maxim Azarov. Eine Adresse, eine Handvoll Server, eine harmlose Fassade. Die wahren Bewohner dieses Netzwerks sind andere: Aeza Group, sanktioniert von den Vereinigten Staaten im vergangenen Juli wegen Ransomware, Diebstahls amerikanischer Technologie und dem Handel mit Schwarzmarktpharmaka. Und Stark Industries Solutions, sanktioniert von der Europäischen Union im Mai, weil das Unternehmen digitale Infrastruktur für russische und belarusische staatliche Akteure bereitstellte, die Cyberangriffe und hybride Kriegsführung betreiben.
Es gibt ein Wort für diese Art von Dienstleistern: bulletproof hosting — kugelsicheres Hosting. Die Definition ist im Grunde ein Geständnis. Man verkauft Server und IP-Adressen an Kunden, die verbergen wollen, wer sie sind. Man verkauft das Verschwinden.
Dass Azarov nicht allein ist, weiß jeder, der genau hinschaut. In Serbien, in Montenegro, in diesen Ländern zwischen EU-Grenze und russischer Einflusssphäre, haben sich Dutzende solcher Firmen angesiedelt. Sie sind, wie der DomainTools-Forscher Ian Campbell es formuliert, Wegwerf-Gesellschaften — disposable. Man registriert sie, lässt sie IP-Bereiche empfangen und weiterreichen, und wenn die Behörden kommen, lässt man sie sterben wie eine abgelaufene Domain. „Wir sehen Akteure, die IP-Blöcke zwischen autonomen Systemen rotieren", sagt Campbell. „Sie tun das genau, weil sie wissen, dass ein Anbieter eine Abschaltanfrage lange genug verzögert, um den Block schnell an ein anderes System zu übertragen."
Die Mechanik ist bestechend einfach. Seit 2011 gehen die freien IP-Adressen weltweit zur Neige. Was noch übrig ist, wird verkauft, vermietet, weitergegeben — zwischen Firmen, die in den Augen der regionalen Registries wie RIPE NCC ganz normale Kunden sind. Aber die Blicke zwischen den Zeilen gehören nicht den Buchhaltern.
Hier beginnt der Teil, der noch im Dunkeln liegt. Unklar bleibt, über welche konkreten Kanäle die Updates zwischen Passwork und der FSTEC-zertifizierten Schwester fließen. Unklar bleibt, welche Rolle Kometa in dieser Architektur tatsächlich spielt — ob als Auftraggeber, als Datenabnehmer oder als stiller Gesellschafter hinter einer spanischen Briefkastenadresse. Unklar bleibt, wie viele europäische Behörden, Banken, Kanzleien und Krankenhäuser ihre Passwörter Werkzeugen anvertrauen, deren Stempel auf der anderen Seite leuchtet.
Es gibt eine alte Regel, die in jedem Genfer Saal gilt: Wer von Software spricht, ohne über ihre Besitzer zu sprechen, erzählt ein Märchen. Wer von „europäisch" spricht, ohne die Wortwahl der Zertifikate zu prüfen, erzählt ein anderes. Und wer in Kruševac eine Firma im neunten Stock gründet und hofft, dass niemand den Fahrstuhl findet, sollte wissen: Fahrstühle fahren in beide Richtungen.
Was bleibt, ist nicht ein einzelnes Passwort-Tool. Es ist das Bild eines Kontinents, dessen digitale Innereien von Firmen bewohnt werden, die auftauchen, verschwinden, den Besitzer wechseln und sich hinter Wegwerf-Adressen verstecken. Made in EU 2017? Vielleicht. Aber der Stempel auf der anderen Seite ist älter, und er leuchtet anders.
❖ Ende des Artikels ❖