Schlüssel nach Moskau: Das europäische Passwort und seine russische Spur
Es gibt eine bestimmte Art von Stille — die Stille, die entsteht, wenn jemand eine Tür geöffnet hat, die niemand öffnen sollte. In dieser Woche war es eine Nachricht, die in der Branche für Unbehagen sorgte und in den Ministerien für Schweigen: Ein europäischer Passwort-Manager, also eine Software, die das intimste digitale Gut verwaltet, das wir noch besitzen — unsere Geheimnisse — überträgt nach eigener Darstellung technische Daten, sogenannte Origins und Updates, an ein Unternehmen in der Russischen Föderation, das dort als staatlich zertifiziert gilt.
Was wie eine Fußnote der IT-Sicherheit klingt, ist bei näherer Betrachtung eine Frage der Souveränität. Denn in Russland bedeutet „staatlich zertifiziert" nicht, was das Wort in einem westeuropäischen Rechtsstaat bedeuten würde. Eine solche Zertifizierung wird von Stellen wie dem FSB oder dem FSTEC ausgestellt und gilt als Nachweis, dass ein Produkt den Anforderungen der Sicherheitsbehörden genügt — oder, je nach Lesart, dass es mit ihnen zusammenarbeitet. Die rechtliche Grundlage findet sich im Gesetz zum Schutz kritischer Informationsinfrastrukturen sowie in den immer wieder erweiterten Befugnissen der Geheimdienste, auf verschlüsselte Datenbestände zuzugreifen.
Ein Passwort-Manager verwaltet keine gewöhnlichen Daten. Er verwaltet den Schlüsselbund eines jeden Kontos, jeder Bankverbindung, jeder vertraulichen Korrespondenz seiner Nutzerinnen und Nutzer. Wenn ein solches Produkt — sei es auch nur in Form von Metadaten, Update-Paketen oder Telemetrie — mit einer zertifizierten Stelle in Russland kommuniziert, dann wandert ein Teil jener Architektur, die unser aller digitales Gedächtnis trägt, durch ein Rechtsregime, das mit dem unseren nicht mehr kompatibel ist. Das ist keine Behauptung. Das ist eine Beobachtung.
Wir behandeln diese Nachricht mit der Vorsicht, die eine einzelne Quelle verlangt. Bislang ist nicht öffentlich dokumentiert, welche Datenströme genau fließen, in welcher Frequenz, unter welcher vertraglichen Grundlage und mit welcher Einsichtnahme. Wir wissen nicht, ob es sich um eine bewusste geschäftliche Entscheidung handelt, um eine technische Notwendigkeit, um einen historisch gewachsenen Pfad — oder um etwas Drittes. Wir wissen nur, was mitgeteilt wurde. Und wir wissen, dass das Mitgeteilte eine Frage aufwirft, die nicht mit einer Pressemitteilung beantwortet werden kann.
Denn die Frage ist nicht in erster Linie technischer Natur. Sie ist geopolitischer Natur. In einer Zeit, in der die Europäische Union ihre digitale Souveränität zu einem politischen Programm erhoben hat — GAIA-X, Data Act, Digital Markets Act, nichts anderes als der Versuch, die Datenströme des Kontinents in europäischer Hand zu halten — fließt ein Bruchteil dieser Ströme, vermittelt durch ein einzelnes Produkt, in ein Rechtsregime, das Geheimdienste nicht kontrolliert, sondern ausstattet. Wer davon profitiert, ist eine Frage, die wir zu stellen haben, nicht zu beantworten.
Ich habe Verträge gesehen, die nie eingehalten wurden. Ich habe Männern in die Augen geschaut, die lächelten, während sie logen. Man muss kein Zyniker sein, um zu erkennen, dass die Architektur des Vertrauens, die uns hier verkauft wird, auf einem Fundament ruht, das wir nicht kennen. Eine Hintertür ist keine Behauptung. Eine Hintertür ist eine Konstruktion — und jede Konstruktion hat einen Erbauer, einen Nutznießer und ein Schloss.
In den kommenden Tagen werden wir fragen. Bei dem Unternehmen. Bei den Aufsichtsbehörden. Bei den Datenschutzbeauftragten jener Mitgliedstaaten, in denen das Produkt vertrieben wird. Eine Antwort steht aus. Sie ist die einzige, die zählt.
❖ Ende des Artikels ❖