Der geteilte Code: Passwork Europe und sein russischer Zwilling

Passwork Europe S.L., ein in Spanien eingetragener Anbieter für Passwortmanagement, bewirbt sich als vollständig europäisches Produkt. Europäische öffentliche Stellen, Universitäten und private Organisationen setzen es ein. Was im Juli 2026 durch eine vom OCCRP koordinierte Recherche ans Licht kam, passt nicht in diese Selbstdarstellung.

Die Recherche, über die Brussels Signal am 17. Juli zuerst berichtete und die GBHackers sowie CyberPress wenige Tage später aufgriffen, dokumentiert eine gemeinsame Codebasis zwischen Passwork Europe und seinem russischen Gegenstück, der Passwork LLC. Beide Produkte erhalten Updates im nahezu identischen Zeitraster. Das Benutzerhandbuch der europäischen Version gleicht dem der russischen bis in einzelne Formulierungen. Passwork LLC ist FSTEC-zertifiziert – der russische Föderale Dienst für technische und Exportkontrolle attestiert die Konformität mit Regulierungen, deren Adressat der russische Behörden- und Sicherheitssektor ist.

Diese Fakten stehen. Was zwischen ihnen liegt, ist ein Vakuum: Wir wissen nicht, welche Daten tatsächlich zwischen den beiden Versionen fließen, ob und in welchem Umfang der vollständige Quellcode auf russischer Seite vorliegt, ob die Synchronizität der Updates auf gemeinsame Entwicklung, auf Übernahme, auf eine Geschäftsbeziehung oder auf eine Erbschaft aus früheren Jahren zurückgeht. Wir wissen nicht, ob den Verantwortlichen auf beiden Seiten die Verbindung bewusst ist und welche Rolle sie im jeweils anderen Rechtsraum spielt. Das Motiv – oder das Fehlen eines Motivs – bleibt Teil des Bildes, das bislang nicht gemalt wurde.

Diese Unwissenheit ist nicht entschuldbar. Sie ist der Gegenstand.

Ein Passwortmanager verwaltet die Schlüssel zu den Türen, hinter denen europäische Daten lagern: Verwaltungsakten, Forschungsergebnisse, Krankenhausdaten, Verträge, Zugänge zu kritischen Infrastrukturen. Er ist nicht ein Programm unter vielen. Er ist das Schloss selbst. Wenn dieses Schloss aus einer Werkstatt stammt, die auch für eine andere Jurisdifikation arbeitet, dann ist die Frage der Souveränität nicht mehr nur politisch. Dann ist sie technisch.

Die FSTEC-Zertifizierung der russischen Passwork LLC bedeutet nicht automatisch, dass eine europäische Behörde ihre Daten über diese Tür verliert. Sie bedeutet, dass die russische Seite dieses Erzeugnis als konform mit ihren Anforderungen anerkannt hat. Sie bedeutet ebenso, dass sie Zugang zu dem hatte, was zertifiziert werden konnte. Die Brücke, die hier sichtbar wird, ist nicht zwingend. Sie ist da.

Die Marketing-Sprache der Branche hilft nicht weiter. Fork, White-Label, Codebasis – diese Begriffe bezeichnen Verhältnisse, die alles oder nichts bedeuten können. Eine gemeinsame Codebasis kann eine historische Verwandtschaft sein, die vor Jahren endete. Sie kann auch eine Hülle sein, durch die dieselben Aktualisierungen mit derselben Geschwindigkeit fließen. Die vorliegenden Berichte sprechen von gemeinsamer Herkunft, von Updates im Gleichschritt und von einem Handbuch, das der geneigte Leser nicht mehr zu unterscheiden vermag. Das ist keine Anklage. Es ist eine Spur.

Europa baut seit Jahren eine Architektur digitaler Souveränität. GAIA-X, die Cloud-Initiative der Kommission, die Diskussion um europäische Halbleiter, die Verordnung über künstliche Intelligenz – das sind die Pfeiler eines Bauwerks, das sich gegen Abhängigkeit von außen richtet. In dieses Bauwerk fügt sich Passwork Europe als vermeintlich europäischer Baustein ein. Die Recherchen zeichnen nach, dass dieser Baustein eine Codeverbindung zu einem FSTEC-zertifizierten Unternehmen unterhält. Das ist nicht das Versagen einer einzelnen Firma. Es ist ein Lackmustest für die Sorgfalt, mit der diese Architektur überhaupt geprüft wird.

Was jetzt folgen muss, ist Sorgfalt von anderer Stelle: von den Datenschutzbehörden, den nationalen Cybersicherheitsagenturen, den Vergabestellen öffentlicher Auftraggeber, den Aufsichtsbehörden für kritische Infrastrukturen. Sie alle sind benennbar. Was sie an dieser Akte messen werden, ist die Frage, wie sie mit dem Vakuum umgehen, das bislang niemand geschlossen hat. Die Quelle der Recherche ist benannt, sie ist überprüfbar, sie steht zur Korroboration bereit. Die Verantwortlichen, die jetzt zu antworten haben, sind es ebenso.

Es gibt einen Satz, der in Genf immer dann fällt, wenn eines der bekannten Risiken nicht gesehen wurde: Man habe dies "nicht sehen können". Man konnte. Man hat es gesehen. Was jetzt zählt, ist allein, ob die Akte aufgeschlagen wird – mit oder ohne Handschuh.