Europas Passwörter, Moskaus Code
Es beginnt, wie solche Geschichten immer beginnen: mit einer harmlosen Behauptung. „Made in EU 2017", verspricht die Website von Passwork Europe. Ein Passwort-Manager, europäisch, seriös, mit Sitz in Spanien. Kunden, die dort ihre digitalen Schlüssel hinterlegen, kaufen ein Versprechen, das sie nicht überprüfen können: sichere Verwahrung, europäische Hoheit, private Server.
Nun liegt eine Untersuchung des Organized Crime and Corruption Reporting Project vor, die dieses Versprechen auf eine harte Probe stellt. Demnach teilt Passwork Europe seine Codebasis — das technische Fundament der Software — sowie sicherheitsrelevante Updates mit einem russischen Schwesterunternehmen. Und dieses Unternehmen ist kein gewöhnlicher Softwareanbieter.
Die Corporation for Special Purpose Space Systems „Kometa" gehört zur russischen Verteidigungsindustrie. Sie forscht, entwickelt, produziert und betreibt weltraumgestützte Informations-, Steuerungs- und Aufklärungssysteme. Kanada, die Schweiz und die Europäische Union haben das Unternehmen auf ihre Sanktionslisten gesetzt. Auf Anfragen reagierte Kometa nicht.
Die Ursprünge liegen in Archangelsk, im Nordwesten Russlands. Im Juni 2014 gründen die Russen Ilya Garakh und Andrey Pyankov dort ein Unternehmen für Passwort-Management. Aus dieser Wiege geht Jahre später die europäische Marke hervor — mit spanischer Adresse, mit Verweis auf europäische Standorte, mit dem beruhigenden Etikett eines europäischen Produkts.
Die Technik freilich kennt keine Adresse. Was in Barcelona verkauft wird, trägt den genetischen Code eines Archangelsker Unternehmens. Die Codebasis wird geteilt. Updates werden gemeinsam gepflegt. Eine Zertifizierung durch die russische FSTEC — die Föderale Dienststelle für technische und Exportkontrolle — bindet das Produkt in einen regulatorischen Rahmen, der russischen Staatsinteressen verpflichtet ist.
An dieser Stelle klafft die europäische Datenschutzphilosophie auseinander. Die Datenschutz-Grundverordnung verspricht dem Bürger die Hoheit über seine Daten: Speicherort, Zweckbindung, Transparenz. Sie ist das selbstbewusste Bekenntnis eines Kontinents, der die informationelle Selbstbestimmung als Grundrecht versteht. Wenn nun ein Anbieter, der genau diese Hoheit für sich beansprucht, technisch auf einer Codebasis ruht, deren Pflege in den Händen eines sanktionierten russischen Rüstungsunternehmens liegt, dann ist das kein Grenzfall mehr. Dann ist das ein Bruch.
Es ist, als verwahre man den Haustürschlüssel bei einem Schlosser, dessen Werkstatt dem Geheimdienst gehört.
Vorsicht ist geboten. Die zentralen Behauptungen stammen aus einem einzigen Bericht des OCCRP. Andere Publikationen haben die geteilte Codebasis und die FSTEC-Zertifizierung des russischen Schwesterunternehmens aufgegriffen. Was noch nicht belegt ist: Ob und in welchem Umfang Daten europäischer Kunden tatsächlich über russische Infrastrukturen geflossen sind. Ob Hintertüren existieren. Ob Nachrichtendienste Zugang haben. Ob das, was hier sichtbar wird, ein Datenleck ist — oder eine Architektur.
Der Unterschied ist wesentlich. Ein Leck lässt sich stopfen. Eine Architektur ist das Haus selbst.
Passwork Europe hat auf wiederholte Presseanfragen nicht reagiert. Das Schweigen ist beredt. Es sagt: Wir haben keine Antwort, die uns nicht schadet.
Was bleibt, ist ein Bild, das unbequem ist. Digitale Souveränität ist nicht nur eine Frage des Standorts. Sie ist eine Frage des Codes. Wer den Code teilt, teilt die Kontrolle.
Die Geschichte ist jung. Die Verifizierung läuft. Aber die Tatsache, dass sie erzählt werden muss, ist bereits ein Befund.
❖ Ende des Artikels ❖