Passwork: Spaniens Passwort-Tresor im russischen Schatten
Madrid schickt seinen Passwort-Hüter nach Europa. Behörden, Universitäten, Verwaltungen vertrauen ihm ihre Zugangscodes an. Passwork heißt das Werkzeug, und sein Name klingt nach Verlässlichkeit. Nach Tresor. Nach gutem spanischen Stahl.
Doch der Stahl kommt aus einer anderen Schmiede.
Das spanische Unternehmen teilt seine technologische Grundlage mit einem russischen Pendant. Updates laufen über eine FSTEC-zertifizierte russische Firma. FSTEC — die Föderale Dienststelle für technische und Exportkontrolle der Russischen Föderation. Die Behörde, die Software für den Einsatz in Moskauer Ministerien freigibt. Das ist kein beliebiges Qualitätssiegel. Das ist ein Stempel, hinter dem die Logik des russischen Staates steht.
Eine Firma mit Sitz in den Vereinigten Arabischen Emiraten sitzt im Mittelfeld. Sie leistet begrenzte Unterstützung beim Wissenstransfer. Übersetzt: Sie bildet die Schnittstelle, über die europäische Verwaltungen indirekt mit einer FSTEC-zertifizierten Struktur verbunden sind.
Der Teufel steckt in der Architektur. Eine geteilte Codebasis bedeutet: Wer eine Schwachstelle in der russischen Variante findet, findet sie auch in der europäischen. Wer eine Hintertür einbaut, baut sie an einer Stelle ein, die in beiden Versionen funktioniert. Updates, die über die FSTEC-zertifizierte Firma laufen, durchlaufen Hände, deren Loyalität nicht in Brüssel, Berlin oder Madrid liegt.
Was passiert hier?
Europäische Steuerbehörden, Universitätsrechenzentren, Verwaltungsapparate legen ihre Passwörter in ein Werkzeug, dessen Architektur zu einem guten Teil in Russland geschrieben wird. Experten bezeichnen das als Sicherheitsrisiko auf staatlicher Ebene. Nicht als technisches Problem. Als staatliches Problem.
Die Brüsseler Bürokratie diskutiert über Lieferketten, über strategische Autonomie, über digitale Souveränität. Über die Bedrohungen aus dem Osten. Über das Aussperren unsicherer Technologie aus kritischen Infrastrukturen. Und mittendrin, in den Werkzeugkästen der eigenen Verwaltungen, sitzt ein Passwort-Manager, der seine Patches aus einer Richtung bezieht, die in jedem Risikobericht rot eingefärbt wäre.
Wie konnte das passieren?
Die Antwort folgt dem üblichen Muster: günstig, funktional, europäisches Label, hinreichende Compliance-Etiketten. Beschaffung läuft nach Kosten-Nutzen-Rechnung. Selten nach Geopolitik. Wenn überhaupt, kommt Geopolitik später. Wenn die Prüfer kommen.
Die Prüfer kommen diesmal nicht von außen. Sie kommen aus den eigenen Reihen. Die Verbindung zwischen Passwork und dem FSTEC-zertifizierten Partner war keine Enthüllung aus dem Nichts. Sie war das Ergebnis journalistischer und sicherheitstechnischer Recherche. Öffentlich. Dokumentiert. Nicht wegzudiskutieren.
Spanien sitzt zwischen den Stühlen. Madrid will seine digitale Souveränität verkaufen — und füttert dabei ein Sicherheitsproblem, das in Brüssel, Berlin und Den Haag längst auf dem Tisch liegt. Die EU redet über Cyber-Resilienz, über Souveränität, über das Aussperren riskanter Technologie. Und in den eigenen Rechenzentren der Mitgliedstaaten läuft ein Werkzeug, dessen Lebensadern nach Osten führen.
Was bleibt? Ein Passwort-Manager, der in Madrid sitzt und nach Moskau telefoniert. Eine Zwischenstation in Abu Dhabi. Eine Zertifizierung, die in Europa niemand auf dem Bildschirm haben will. Und Institutionen, die sich fragen müssen, wem sie ihre digitalen Schlüssel anvertraut haben.
Die Geheimnisse stehen nicht in den Akten. Sie stehen in den Zeilen Code, die niemand zu lesen wagt.
❖ Ende des Artikels ❖