Kometa hört mit: Europas Passwörter im Schatten der Sanktionen
Es gibt Sätze, die wie Handschuhe getragen werden — höflich, geschmeidig, und wenn man sie abnimmt, bleiben die Fingerabdrücke auf der Haut. So einer steht in der Mitteilung, die das internationale Recherchenetzwerk OCCRP diese Woche veröffentlichte. Eine Mitteilung über einen europäischen Passwort-Manager, dessen Datenströme — so heißt es, so wird berichtet, so muss derzeit eingeräumt werden — Berührungspunkte mit einem russischen Rüstungskonzern aufweisen sollen, der genau jene Sanktionslisten ziert, die Brüssel, Bern und Ottawa gemeinsam unterzeichnet haben. Der Name dieses Konzerns: Corporation for Special Purpose Space Systems „Kometa". Eine Körperschaft, die sich, wenn man den einschlägigen Registern Glauben schenkt, der Erforschung, Entwicklung und dem Betrieb weltraumgestützter Aufklärungs- und Informationssysteme widmet. Eine Körperschaft, die auf Anfragen dieser Redaktion — und, so darf angenommen werden, anderer — nicht antwortete.
Man halte diese Stille fest. Sie ist der erste Baustein einer Architektur, die noch unvollständig ist und deren Grundriss gleichwohl bereits besorgniserregend klar wirkt.
Denn was bislang vorliegt, ist eine einzige Quelle. Eine investigativjournalistische Recherche, deren Reichweite und Tiefe international anerkannt sind, deren Ergebnisse jedoch, bis zur Stunde dieser Niederschrift, keiner unabhängigen Bestätigung durch eine Behörde, ein zweites Medium oder eine gerichtsfähige Dokumentation zugeführt werden konnten. Wer berichtet — berichtet unter Vorbehalt. Wer liest — liest unter Vorbehalt. Und wer zwischen den Zeilen liest, erkennt das Muster einer Geschichte, die in ihrer Substanz noch nicht abgeschlossen ist. Diese Redaktion sieht sich ausdrücklich verpflichtet, auf die Verifikationspflicht des Quellenmaterials hinzuweisen, und wird dies im Folgenden mehrfach tun.
Kometa, so notieren die einschlägigen Register, ist ein Unternehmen der russischen Verteidigungsindustrie. Sanktioniert durch Kanada, die Schweiz und die Europäische Union. Spezialisiert auf „raumgestützte Informations-, Steuerungs- und Aufklärungssysteme" — eine Wendung, die in der Sprache der Brüsseler Sanktionsverordnungen nichts anderes meint als: ein Akteur, dem die Fähigkeit zugetraut wird, Signale zu empfangen, Daten zu kanalisieren und Informationen dort zuzuführen, wo sie strategisch verwertbar sind. Dass eine solche Entität in den Datenfluss eines europäischen Passwort-Managers geraten sein soll, ist — bleibt — eine Behauptung, deren Tragweite sich erst in der Konsequenz erschließt. Nochmals: Verifikation steht aus.
Denn ein Passwort-Manager ist kein beliebiges Softwareprodukt. Er ist, in der Haushaltsmetaphorik der Cybersicherheit, der Schlüsselbund des digitalen Bürgers. Wer ihn besitzt, besitzt die Wohnungstür, das Bankschließfach, die Urkunde, den Arbeitsvertrag. Wer seine Datenströme einsehen oder auch nur technisch berühren kann, vermag — im ungünstigsten, im derzeit nicht ausschließbaren Fall — Profile zu zeichnen, Verhaltensmuster zu antizipieren und jene Tausende von Knotenpunkten sichtbar zu machen, an denen europäische Bürger, Journalisten, Diplomaten und Mitarbeiter sicherheitsrelevanter Behörden ihre täglichen Identitäten verwalten. Die Frage, ob ein sanktionierter russischer Rüstungskonzern zu solchen Knotenpunkten bislang nur theoretischen, nur technischen oder bereits operativen Zugang hatte, ist die Frage, die diesen Vorgang über jede technische Meldung hinaushebt. Sie ist eine Frage der nationalen Sicherheit. Sie ist eine Frage, deren Beantwortung nicht Journalistinnen obliegt — sondern den Datenschutzbehörden, den Geheimdienstkoordinatoren, den Cyber-Sicherheitszentren der betroffenen Mitgliedstaaten. Bislang, soweit öffentlich erkennbar, hat keine dieser Stellen eine belastbare Stellungnahme veröffentlicht. Auch dies ist festzuhalten, nicht zu deuten.
Es ist ein Lehrsatz aus den Genfer Verhandlungsräumen, in denen diese Kolumnistin einst Protokolle wendete: Was eine Regierung nicht sagt, sagt sie zweimal. Das Schweigen der Kometa-Konzernspitze ist insofern nicht das Fehlen einer Antwort, sondern die Antwort selbst. Das Schweigen der europäischen Aufsichtsbehörden, das Schweigen der betroffenen Softwarehersteller — sofern ein solches Schweigen dokumentierbar ist — gehört in dieselbe Kategorie. Eine Kategorie freilich, die belastbarer Einordnung harrt.
Und dennoch, und hier beginnt die eigentliche journalistische Disziplin: Ein Bericht, gleich aus welcher Quelle, ist kein Urteil. Die OCCRP-Recherche liefert Indizien, keine Beweise im juristischen Sinne. Sie benennt Strukturen, sie legt Querverbindungen offen, sie stellt Fragen, deren Gewicht sich erst dann vollständig bemisst, wenn eine unabhängige technische Forensik, eine behördliche Untersuchung und eine justizielle Würdigung — in dieser Reihenfolge — hinzutreten. Bis dahin gilt, was in jeder seriösen Redaktion als Grundregel besteht: Wir wissen, dass wir etwas wissen könnten. Wir wissen noch nicht, was wir wissen. Und genau in dieser Lücke sitzt, mit Verlaub, das Misstrauen, das diese Geschichte verdient — nicht als Emotion, sondern als Arbeitshaltung.
Die Leserin, der Leser wird daher höflich, aber unmissverständlich darauf hingewiesen, dass die Lektüre dieses Vorgangs mit einer eigenen Prüfungspflicht einhergeht. Prüfen Sie, ob die zuständige Datenschutzbehörde Ihres Landes eine Stellungnahme veröffentlicht hat. Prüfen Sie, ob der betroffene Anbieter selbst eine technische Erläuterung vorgelegt hat. Prüfen Sie, ob zwischen den Zeilen internationaler Pressemitteilungen ein Eingeständnis, eine Beschwichtigung oder ein Dementi steht. Halten Sie, mit anderen Worten, die Handschuhe an, die Sie beim Lesen tragen — und tragen Sie sie weiter, bis die Akte geschlossen ist.
Kometa, der Name, bedeutet im Russischen nichts weiter als „Komet". Ein Himmelskörper, der eine Bahn zieht und verschwindet. Was er auf dieser Bahn mitnimmt, ist derzeit, in dieser Stunde, in diesem Text, die offene Frage. Eine Frage, auf die Brüssel, Bern und Ottawa — in dieser Reihenfolge — eine Antwort schulden.