Ein europäisches Versprechen, ein russischer Code — was Passwork verschweigt
Es gibt Sätze, die so glatt sind wie poliertes Chrom, und genau deshalb sollte man sie nicht anfassen, ohne Handschuhe. "Made in EU 2017" steht auf der Website von Passwork Europe. Daneben: das Versprechen europäischer Souveränität, privater Server, einer Architektur, die gegen die Launen fremder Geheimdienste gefeit sein soll. Ein nützliches Versprechen. Ein beruhigendes Versprechen. Und möglicherweise — das legt eine Recherche des Organized Crime and Corruption Reporting Project nahe, die in diesen Tagen durch internationale Redaktionen wandert — ein Versprechen mit einem feinen Riss.
Denn das in Spanien ansässige Unternehmen, das sich als europäische Antwort auf die Frage nach sicherer Passwortverwaltung positioniert, teilt nach bisherigem Kenntnisstand der Ermittler seinen Ursprung und seine Software-Updates mit einer russischen Schwesterfirma, die über eine Zertifizierung der FSTEC verfügt — jener Behörde, die in Russland für die Zertifizierung von Informationssicherheit zuständig ist und deren Segen in einem Land, das seine IT-Infrastruktur längst als Hoheitsgebiet begreift, kein bloßes Qualitätssiegel ist. Man darf sich fragen, welche Bedeutung eine solche Zertifizierung über die technische Konformität hinaus hat. Die Antwort ist alt und sie ist unangenehm: Sie hat die Bedeutung, die ein Staat ihr gibt.
Man darf diese Verbindung nicht überdeuten, und genau darin liegt die Schwierigkeit der Stunde. Eine einzelne Quelle, eine noch junge Enthüllung, ein Labyrinth aus Mutmaßungen, Firmenregistern und Korrespondenzen. Die Redaktion der Terminal Tribune hat die Hinweise zur Kenntnis genommen, hält sie für plausibel und im Kern für berichtenswert, wartet jedoch auf weitere Bestätigung, bevor aus dem Verdacht ein Urteil wird. Was sich heute sagen lässt: Dass ein Produkt, das in seinen Broschüren das Wort "europäisch" trägt wie einen Orden, technische Wurzeln und Update-Pfade in ein Rechtssystem trägt, das europäischen Vorstellungen von digitaler Souveränität, freundlich gesagt, nicht nahe steht.
Die Frage, die sich daraus ergibt, ist älter als die Passwortverwaltung selbst. Was ist ein europäisches Produkt, wenn sein Code an zwei Adressen gepflegt wird? Was bedeutet Souveränität, wenn die Updates über Grenzen wandern, die auf der einen Karte gestrichen sind und auf der anderen, der unsichtbaren, nicht? Die Brüsseler Antwort auf solche Fragen steht seit Jahren im Raum. Man spricht von Cloud-Souveränität, von Tech-Souveränität, vom Aufbau europäischer Identitäten und europäischer Verschlüsselung. Es ist eine Sprache, die sich anhört wie Architektur, und manchmal ist sie auch Architektur. Vor allem aber ist sie ein Versprechen an Bürger und Unternehmen, dass das, was sie in Europa kaufen und nutzen, in Europa bleibt. Wenn dieses Versprechen an einer einzigen Update-Routine ins Wanken gerät, dann gerät daran mehr als ein Vertrag ins Wanken. Dann gerät ein Vertrauen ins Wanken.
Man muss vorsichtig sein. Die Investigativrecherche stützt sich auf eine begrenzte Quellenlage, und manches, was heute nach Skandal aussieht, kann sich morgen als harmlose Historie entpuppen, als Erbe aus gemeinsamen Gründertagen, als technische Notwendigkeit ohne politische Implikation. Es ist möglich, dass Passwork Europe eine Erklärung hat, die das Bild beruhigt, dass es eine nachvollziehbare Geschichte über die Herkunft des Codes gibt und über die Frage, wer welche Updates pflegt. Es ist ebenso möglich, dass diese Erklärung ausbleibt. Bis sie vorliegt oder bis sie ausbleibt, bleibt ein Rest, der sich nicht wegblättern lässt: Dass in einer Zeit, in der Cyberangriffe, Datenlecks und hybride Kriegsführung zum alltäglichen Vokabular gehören, schon die Möglichkeit eines Hintertürchens ein Risiko ist, das keine IT-Abteilung dieser Welt mit einem Compliance-Dokument aus der Welt schaffen kann. Es genügt nicht, dass eine Tür verschlossen ist. Es genügt nicht einmal, dass sie abgeschlossen ist. Es kommt darauf an, wer den Schlüssel hat — und wer den Nachschlüssel.
Die europäische Landschaft der Passwortmanager ist überschaubar. Wer hier auf Passwork setzte, tat es zumeist mit der unausgesprochenen Erwartung, dass das europäische Etikett mehr sei als Marketing, dass "Made in EU" eine Adresse sei und kein Werbeslogan. Diese Erwartung wird in diesen Tagen geprüft, mit den Mitteln, die Journalisten zur Verfügung stehen, und mit der Geduld, die solche Prüfungen verlangen. Bis das Ergebnis vorliegt, gilt für alle, die ihre Schlüssel in fremde Hände geben: Wer ein Schloss kauft, sollte wissen, wo der Schlüssel gegossen wird.
❖ Ende des Artikels ❖