Passwork: Ein Ursprung, zwei Adressen

Manche Geschichten beginnen mit einem Zertifikat. Diese beginnt mit zweien.

Passwork, ein in Spanien ansässiger Passwort-Manager, der von europäischen öffentlichen Stellen, Universitäten und privaten Organisationen eingesetzt wird, hat in seiner jüngsten öffentlichen Befragung einräumen müssen, was seine Vermarktung bislang nicht hergab: einen geteilten Ursprung. Wie das internationale Recherchenetzwerk OCCRP am 17. Juli 2026 offengelegt hat, unterhält das Produkt, das auf dem europäischen Markt als vollständig europäische Lösung positioniert wird, technische und historische Verbindungen zu einem russischen Schwesterunternehmen, das von russischen Staatsbehörden zertifiziert wurde.

Die Zertifizierung, um die es geht, stammt von der FSTEC, dem Föderalen Dienst für technische und exportkontrollierte Informationen der Russischen Föderation. Es ist jene Behörde, deren Akkreditierung im russischen Rechtsraum als Vertrauensvorschuss in Staatsnähe gilt, und deren Logik in der europäischen Sicherheitsarchitektur seit Jahren als Frühwarnsystem für genau jene Abhängigkeiten verstanden wird, die nun offen auf dem Tisch liegen. Dass ein europäisches Produkt auf solch einem Fundament ruht, war bislang nicht auf dem Etikett vermerkt.

„A common codebase origin", formulierte es Passwork-CEO Muntyan, als ihn die Journalisten mit den synchronen Update-Zeitlinien beider Produkte konfrontierten. Eine aktive, gelenkte Koordination bei Software-Aktualisierungen wies er zurück. Was er jedoch nicht wegzuwischen vermochte, war die zeitliche Synchronizität selbst. Wenn zwei Versionen desselben Codes über Monate hinweg in auffällig ähnlichen Rhythmen aktualisiert werden, ist die höfliche Interpretation, die zufällige Überschneidung, nicht die einzig mögliche. Sie ist nur die bequemste. Muntyan bestätigte darüber hinaus, dass die UAE-Gesellschaft Passwork FZ-LLC möglicherweise an der Auslieferung von Updates beteiligt ist. Eine weitere Adresse in einem Netz, dessen vollständige Geometrie noch nicht abschließend kartiert ist.

Passwork wird in Europa nicht in den Nischen der IT-Verwaltung eingesetzt. Universitäten verwalten mit dem Werkzeug Zugänge zu Forschungsumgebungen und lizenzierten Datenbanken; öffentliche Stellen nutzen es zur Sicherung interner Kommunikations- und Verwaltungssysteme; Unternehmen legen darin die Schlüssel zu Drittparteien-Schnittstellen und Cloud-Diensten ab. In der Sprache der Cybersicherheit ist ein Passwort-Manager ein Generalschlüssel. Wer die Codebasis eines solchen Schlüssels teilt, sei es durch gemeinsame Abstammung, sei es durch fortlaufende Synchronisation, gibt mehr preis als ein Stück Software. Er gibt einen strukturellen Einblick in die Architektur europäischer digitaler Souveränität.

Die Terminal Tribune berichtet auf Grundlage der OCCRP-Recherche. Die Quellenlage ist belastbar, aber konzentriert: eine zentrale Investigation, deren Befunde bislang durch keine zweite, unabhängig arbeitende Redaktion in vollem Umfang bestätigt oder erweitert wurden. Die Pflicht einer einzelnen Quelle gegenüber dem Leser ist Vorsicht. Nicht Zurückhaltung, Vorsicht. Was hier dokumentiert ist, ist der Verdacht, und der Verdacht wiegt schwer genug, um beim Namen genannt zu werden.

Denn das Muster ist nicht neu, und seine Elemente sind in den Archiven europäischer Sicherheitspolitik hinlänglich katalogisiert. Technische Abhängigkeit ist die höfliche Schwester der politischen Abhängigkeit. Man tauscht keine Daten aus; man teilt eine Codebasis. Man koordiniert keine Updates; man veröffentlicht sie synchron. Die Vokabeln wechseln; die Mechanik bleibt. Wer je Verträge gelesen hat, die niemals eingehalten wurden, erkennt die Grammatik dieser Sätze, bevor sie ausgesprochen werden.

Passwork hat über die Aussagen des CEO hinaus keine substanzielle Stellungnahme veröffentlicht. Die europäischen Auftraggeber, die Universitäten, die Behörden, die Unternehmen, die dem Produkt ihre Schlüssel anvertraut haben, stehen nun vor einer Aufgabe, die das Produkt selbst nicht löst. Sie müssen die Frage stellen, die Passwork schuldig bleibt. Welche Türen öffnet dieser Schlüssel, und wem öffnen sie sich, wenn die Hand, die ihn gedreht hat, nicht in Madrid sitzt, sondern anderswo?

Das ist die Lage, soweit sie am heutigen Tag belegbar ist. Mehr ist derzeit nicht zu sagen. Mehr muss derzeit nicht verschwiegen werden.

Some stories begin with a certificate. This one begins with two.

Passwork, a Spain-based password manager used by European public agencies, universities, and private organizations, has had to concede in its most recent public inquiry what its marketing has so far failed to deliver: a shared origin. As the international investigative network OCCRP disclosed on 17 July 2026, the product, which is positioned on the European market as a fully European solution, maintains technical and historical ties to a Russian sister company certified by Russian state authorities.

The certification in question comes from the FSTEC, the Federal Service for Technical and Export Information Control of the Russian Federation. It is that authority whose accreditation within the Russian legal space functions as an advance deposit of trust in proximity to the state, and whose logic has for years been understood within the European security architecture as an early-warning system for precisely the dependencies that now lie openly on the table. That a European product rests on such a foundation was not, until now, noted on the label.

"A common codebase origin," Passwork CEO Muntyan put it when journalists confronted him with the synchronized update timelines of both products. He denied any active, directed coordination of software updates. What he could not, however, brush aside was the temporal synchronicity itself. When two versions of the same code are updated in strikingly similar rhythms over months on end, the polite interpretation, the coincidental overlap, is not the only possible one. It is merely the most convenient. Muntyan additionally confirmed that the UAE-based company Passwork FZ-LLC may be involved in the delivery of updates. Another address in a network whose full geometry has yet to be definitively mapped.

Passwork is not deployed in Europe in the margins of IT administration. Universities use the tool to manage access to research environments and licensed databases; public agencies rely on it to secure internal communication and administrative systems; companies store within it the keys to third-party interfaces and cloud services. In the language of cybersecurity, a password manager is a master key. Whoever shares the codebase of such a key, whether through common descent or through ongoing synchronization, reveals more than a piece of software. It offers a structural insight into the architecture of European digital sovereignty.

The Terminal Tribune reports on the basis of the OCCRP investigation. The source situation is solid but concentrated: a central investigation whose findings have so far not been confirmed or expanded in full by any second, independently working newsroom. The duty owed by a single source to the reader is caution. Not restraint, caution. What is documented here is suspicion, and suspicion weighs heavily enough to be named.

For the pattern is not new, and its elements are well enough catalogued in the archives of European security policy. Technical dependence is the polite sister of political dependence. One does not exchange data; one shares a codebase. One does not coordinate updates; one publishes them in synchrony. The vocabulary changes; the mechanics remain. Whoever has ever read contracts that were never honored recognizes the grammar of these sentences before they are spoken.

Beyond the CEO's remarks, Passwork has issued no substantive statement. The European clients, the universities, the agencies, the companies that entrusted the product with their keys now face a task the product itself no longer solves. They must pose the question that Passwork owes them. Which doors does this key open, and to whom do they open, when the hand that turned it sits not in Madrid, but elsewhere?

This is the situation, insofar as it can be documented today. There is nothing more to say at present. There is nothing more that needs to be withheld at present.