Made in EU, zertifiziert in Moskau

Es gibt Firmen, die ihre Geschichte in zwei Sätzen erzählen. Und es gibt Firmen, die zwei Geschichten brauchen, um eine zu erzählen. Passwork gehört zur zweiten Sorte.

Ein europäischer Passwort-Manager wirbt mit seiner Herkunft aus der EU, mit Datenschutz nach europäischen Maßstäben, mit dem Versprechen, dass das, was man dort hinterlegt, in einer juristischen Sphäre bleibt, die man noch kontrollieren kann. Soweit die Fassade. Recherchen, die das OCCRP angestellt hat und die in der Folge von weiteren Redaktionen aufgegriffen wurden, zeichnen ein zweites Bild: Derselbe Passwort-Manager, dieselbe Codebasis, dieselben Updates — geteilt mit einer russischen Firma, die über Zertifikate verfügt, welche die Namen zweier Institutionen tragen, deren Buchstaben in jeder Sicherheitsdebatte der vergangenen zwei Jahrzehnte mit besonderem Nachdruck ausgesprochen werden. FSB. FSTEC.

Man muss diese Abkürzungen nicht mögen, um sie zu kennen. Der Föderale Sicherheitsdienst und der Föderale Dienst für technische und Exportkontrolle sind jene Stellen, die in ihren Zertifizierungsverfahren genau das einsehen, was andere als ihr wertvollstes Betriebskapital betrachten: den Quellcode. Wer in Russland eine Sicherheitszertifizierung erhalten will, legt den Code offen. Das ist nicht Spekulation, das ist Verfahren. Das ist, was eine detaillierte Überprüfung des Quellcodes bedeutet, wie sie die Zertifizierungsstellen voraussetzen.

Passwork, so liest man es auf den Seiten der europäischen Variante, präsentiert sich als „made in EU". Die russische Variante trägt die Zertifikate, die einer solchen Werbung erst den nötigen Anstrich verleihen. Cybersecurity-Experten, die das OCCRP konsultiert hat, bezeichnen die Konstellation als ein potenzielles Sicherheitsrisiko auf staatlicher Ebene. Ein Risiko, nicht ein Fakt, nicht ein erwiesener Vorfall, nicht ein nachgewiesener Datenabfluss. Ein Risiko. Aber eines, das in seiner Architektur so alt ist wie die Diplomatie selbst: Man zeigt dem anderen die Karten, weil man es muss, und sagt ihm nicht, dass man sie sich gemerkt hat.

Hier beginnt die Pflicht zur Sorgfalt. Wir haben, zum jetzigen Zeitpunkt, eine Quelle. Eine einzige. Die Fakten, die sie uns liefert, sind konkret: ein gemeinsamer Code, geteilte Ursprünge, geteilte Updates, eine Zertifizierung auf der einen Seite des Vorgangs, eine EU-Adresse auf der anderen. Was wir nicht wissen: Wer genau hinter der russischen Firma steht, in welchem Umfang der Code tatsächlich identisch ist, welche Datenflüsse in welcher Frequenz stattfinden, ob und welche Passwörter — also ob und welche Türen — von dieser Konstellation berührt werden. Wir wissen nicht, was zwischen den beteiligten Häusern auf dem Tisch lag, als diese Zusammenarbeit vereinbart wurde. Wir wissen nicht einmal mit Sicherheit, ob sie vereinbart wurde, oder ob sie einfach geschah, weil sie sich anbot, weil sie billig war, weil sie niemanden störte, solange niemand hinsah.

Die europäische Passwort-Manager-Sphäre ist klein. Sie vertraut auf Versprechen. „Made in EU" ist, mit Verlaub, ein Versprechen. Es bedeutet: hiesiges Recht, hiesige Aufsicht, hiesige Gerichtsbarkeit. Es bedeutet, dass der Server, auf dem mein Passwort liegt, einer Behörde untersteht, die ich wählen kann, deren Regeln ich lesen kann, deren Zuständigkeit endet, wo meine Sprache aufhört. Wenn derselbe Code, dieselbe Logik, dasselbe Update, das ich heute einspiele, morgen auf einer Seite erscheint, deren Zertifikate von FSB und FSTEC stammen, dann ist das Versprechen hohl. Nicht notwendigerweise böswillig hohl. Aber hohl.

Was also geschieht hier? Niemand hat es uns bisher gesagt. Die Betreiber schweigen, soweit uns bekannt ist, zu den Vorwürfen — oder sie haben sie nicht als Vorwürfe erkannt, was bei der Wortwahl mancher Marketingabteilungen durchaus im Bereich des Möglichen liegt. Die Zertifizierungsbehörden auf der anderen Seite sind keine Auskunftspartner europäischer Redaktionen; sie waren es nie. Und die Cybersecurity-Experten, die zu Rate gezogen wurden, sprechen aus jener Distanz, die ihr Beruf erfordert: Sie benennen ein Risiko, sie nennen es „potential security risk at State level", und sie überlassen den Rest jenen, die entscheiden müssen, was mit einem Risiko geschieht, das sich eines Tages als Tatsache entpuppen könnte.

Dass digitale Souveränität nicht an Landesgrenzen Halt macht, ist keine neue Erkenntnis. Neu ist, dass sie inzwischen auch nicht mehr an Firmengrenzen Halt macht. Ein Passwort-Manager ist eine intime Software. Er sieht, was niemand sehen soll. Er bewahrt, was niemand bewahren sollte. Wenn sein Herzschlag — der Code — an zwei Adressen gleichzeitig schlägt, dann ist die Frage nicht mehr, wem man vertraut. Die Frage ist, wem man noch trauen kann, wenn das Vertrauen selbst zur Handelsware geworden ist.

Wir werden diese Geschichte weiterverfolgen. Wir werden die Verifikation jedes einzelnen Satzes einfordern, der uns aus den nächsten Tagen erreicht. Denn in einem geopolitischen Klima, das sich spaltet wie schlecht geschnittenes Holz, ist ein geteiltes Passwort kein technisches Problem. Es ist eine Frage der Hoheit.

There are companies that tell their story in two sentences. And there are companies that need two stories to tell one. Passwork belongs to the second kind.

A European password manager advertises its EU origins, its data protection according to European standards, its promise that what one stores there remains in a legal sphere one can still control. So much for the facade. Investigations conducted by OCCRP and subsequently picked up by other newsrooms paint a second picture: the same password manager, the same codebase, the same updates—shared with a Russian company that holds certificates bearing the names of two institutions whose letters have been pronounced with particular emphasis in every security debate of the past two decades. FSB. FSTEC.

One need not like these acronyms to know them. The Federal Security Service and the Federal Service for Technical and Export Control are the bodies that, in their certification procedures, examine precisely what others consider their most valuable operating capital: the source code. Whoever seeks a security certification in Russia must lay the code open. This is not speculation; it is procedure. This is what the detailed review of source code entails, as the certifying authorities require it.

Passwork, as one reads on the pages of the European variant, presents itself as "made in EU." The Russian variant carries the certificates that lend such advertising its necessary veneer. Cybersecurity experts consulted by OCCRP describe the constellation as a potential security risk at the state level. A risk, not a fact, not a proven incident, not a documented data leak. A risk. But one whose architecture is as old as diplomacy itself: one shows the other one's cards because one must, and does not tell them that one has memorized them.

Here begins the duty of care. As of now, we have one source. A single one. The facts it provides are concrete: a shared codebase, shared origins, shared updates, a certification on one side of the transaction, an EU address on the other. What we do not know: who exactly stands behind the Russian company, to what extent the code is in fact identical, what data flows occur and at what frequency, whether and which passwords—meaning whether and which doors—are touched by this constellation. We do not know what lay on the table between the parties involved when this cooperation was agreed upon. We do not even know with certainty whether it was agreed upon, or whether it simply happened because it presented itself, because it was cheap, because it bothered no one as long as no one looked.

The European password manager sphere is small. It trusts in promises. "Made in EU" is, with all due respect, a promise. It means: local law, local oversight, local jurisdiction. It means that the server on which my password rests is subject to an authority I can elect, whose rules I can read, whose jurisdiction ends where my language ends. If the same code, the same logic, the same update I install today appears tomorrow on a side whose certificates come from the FSB and FSTEC, then the promise is hollow. Not necessarily maliciously hollow. But hollow.

So what is happening here? No one has told us so far. The operators, as far as we know, are silent on the allegations—or they did not recognize them as allegations, which, given the word choices of some marketing departments, is entirely within the realm of possibility. The certifying authorities, for their part, are not sources of information for European newsrooms; they never have been. And the cybersecurity experts consulted speak from that distance their profession requires: they name a risk, they call it a "potential security risk at State level," and they leave the rest to those who must decide what to do with a risk that might one day reveal itself to be a fact.

That digital sovereignty does not stop at national borders is no new insight. What is new is that it now no longer stops at corporate borders either. A password manager is an intimate piece of software. It sees what no one should see. It keeps what no one should keep. When its heartbeat—the code—beats at two addresses simultaneously, then the question is no longer whom one trusts. The question is whom one can still trust when trust itself has become a commodity.

We will continue to follow this story. We will demand verification of every single sentence that reaches us in the coming days. For in a geopolitical climate that is splitting like poorly cut wood, a shared password is not a technical problem. It is a question of sovereignty.