Die Architektur der geteilten Geheimnisse
Man stelle sich vor: Ein Tresor wird verkauft als europäisches Gewächs, gehämmert in Sevilla, verschweißt in Brüssel, getestet in Genf. Und irgendwo, hinter der polierten Stahlfassade, verbirgt sich ein zweiter Satz Scharniere, gefertigt in einer Werkstatt, die auf drei Sanktionslisten steht. Man öffnet den Tresor, wirft seine Dokumente hinein, atmet auf. Die Tür schließt sich. Und irgendjemand anders hält einen Schlüssel.
Dieses Bild ist keine Erfindung. Es ist das, was eine gemeinsame Recherche des OCCRP-Konsortiums zutage gefördert hat, und es betrifft ein Produkt, das sich Passwork Europe S.L. nennt, eingetragen in Spanien, vermarktet als vollständig europäische Lösung für das Management von Passwörtern, im Einsatz bei europäischen öffentlichen Stellen, Universitäten und privaten Organisationen. Passwork Europe, so die Untersuchung, teilt sich eine gemeinsame Codebasis mit seinem russischen Gegenstück Passwork LLC. Die Software erhält Updates in einem nahezu synchronen Zeitrhythmus. Die Benutzerhandbücher sind einander zum Verwechseln ähnlich. Die Architektur ist dieselbe. Der Tresor ist derselbe.
Die unbequeme Frage lautet nicht, ob dies ein Zufall ist. Zufälle dieser Präzision gibt es in der Welt der Kryptographie so häufig wie unbestellte Briefe von der Steuerbehörde. Die Frage lautet, wem diese Architektur letztlich gehorcht. Und hier betritt eine Figur die Bühne, die in Europa zwar nicht jedem ein Begriff ist, in den Archiven der Nachrichtendienste hingegen sehr wohl: die Corporation for Special Purpose Space Systems „Kometa". Ein russisches Rüstungsunternehmen, spezialisiert auf Forschung, Entwicklung, Produktion und Betrieb weltraumgestützter Informations-, Steuerungs- und Aufklärungssysteme. FSTEC-zertifiziert, also zertifiziert von jenem russischen Bundesdienst für technische und exportkontrollierte Information, der wiederum dem Staatsapparat nahe steht. Kometa steht auf den Sanktionslisten Kanadas, der Schweiz und der Europäischen Union. Auf Anfragen zur Stellungnahme reagierte das Unternehmen nicht.
Es gibt Stimmen, die einwenden werden, dass gemeinsame Codebasen in der Softwarebranche keine Seltenheit seien. Weißes Labeling, Lizenzierung, Weitervererbung von Rechten. Das ist korrekt, und es wäre beruhigend, wenn es hier endete. Doch die Recherche zeigt nicht lediglich eine technische Verwandtschaft. Sie zeigt eine institutionelle Verzahnung, die über das hinausgeht, was in den üblichen Geschäftsbedingungen steht. Wenn eine europäische Firma, die sich an europäische Behörden verkauft, ihre operative DNA mit einem sanktionierten Unternehmen teilt, dann ist dies keine Fußnote in einem Compliance-Bericht. Dann ist dies ein Strukturmerkmal. Dann verschiebt sich die Frage von der Cybersicherheit zur Souveränität.
Denn Passwörter sind nicht bloß Zeichenfolgen. Sie sind die Schlüssel zu Netzen, zu Datenbanken, zu kritischen Infrastrukturen. Wer die Architektur eines Passwortmanagers kennt, kennt die Landkarte der Räume, die er bewacht. Eine geteilte Codebasis bedeutet, dass Schwachstellen synchron existieren. Eine geteilte Update-Frequenz bedeutet, dass dieselbe Tür, die für den europäischen Kunden geschlossen wird, für denjenigen, der den Originalschlüssel besitzt, offen steht. Es bedeutet, dass Vertrauen zur Ware wird, und Ware, das wissen wir seit Genf, hat einen Preis.
Die Handelsmarke „Made in EU" verspricht nicht nur geographische Herkunft. Sie verspricht ein Wertesystem: Rechtsstaatlichkeit, Datenschutz nach europäischem Standard, Rechenschaftspflicht gegenüber demokratischen Institutionen. Eine Marke ist mehr als ein Etikett. Sie ist ein Vertrag mit dem Käufer. Wenn dieser Vertrag auf einer Fälschung beruht, dann ist die Fälschung nicht lediglich eine geschäftliche Unregelmäßigkeit. Sie ist ein Bruch jenes stillen Übereinkommens, auf dem der europäische Binnenmarkt ruht.
Bemerkenswert ist das Schweigen. Auf eine Anfrage von OCCRP reagierte Kometa nicht. Dieses Schweigen ist lauter als jede Stellungnahme. Es ist das Schweigen eines Unternehmens, das weiß, dass jede offizielle Antwort an einem Ort landen würde, an dem sie als Waffe gegen die eigene Vertrauensarchitektur verwendet werden könnte. In Diplomatenkreisen nennt man das strategic ambiguity. In der IT-Branche nennt man es vermutlich einfach einen Bug.
Die Recherche, so wird berichtet, dauerte Monate. Sie erforderte das Querverweisen technischer Details, historischer Unternehmensdaten und öffentlich zugänglicher Zertifizierungsdokumente. Sie ergab ein Bild, das jene bestätigt, die ohnehin misstrauen, und jene beunruhigt, die bislang glaubten, Vertrauen sei messbar wie ein Code-Audit. Vertrauen ist eine Eigenschaft der Beziehung zwischen Anbieter und Empfänger, nicht der Eigenschaft des Produkts allein. Wenn aber der Anbieter ein anderer ist als der, der auf dem Etikett steht, dann kollabiert die Beziehung, bevor sie begonnen hat.
Europa, das in diesem Sommer ohnehin damit beschäftigt ist, seine digitalen Abhängigkeiten zu kartographieren, erhält mit dieser Enthüllung eine weitere Landkarte. Sie zeigt keine feindlichen Linien, keine Panzer, keine Flugzeuge. Sie zeigt Quellcode. Sie zeigt Versionsnummern. Sie zeigt ein Handbuch, das in zwei Sprachen dieselbe Wahrheit erzählt und in zwei Jurisdiktionen zwei verschiedene.
Die Leser, die diesen Text erreicht, sollten ihre eigenen Passwortmanager einem Blick unter die Haube unterziehen. Nicht aus Paranoia, sondern aus jener nüchternen Klugheit, die in Genf Verträge studiert hat und weiß: Das Kleingedruckte ist meistens das Großgeschriebene.