Passwork: Ein Tresor mit zwei Schlüsseln
Es beginnt mit einer harmlosen Software und endet, wie so oft in der europäischen Sicherheitsarchitektur, bei der Frage nach Hoheit. Passwork, ein Passwortmanager mit Sitz in Spanien, wird nach einer gemeinsamen Recherche von OCCRP und VSquare von europäischen Regierungsstellen und Universitäten genutzt. Seine technische Grundlage und seine Updates stammen aus dem Hause einer FSTEC-zertifizierten russischen Firma. Dazwischen sitzt eine Firma mit Sitz in den Vereinigten Arabischen Emiraten, die nach eigener Darstellung begrenzte Unterstützung beim Wissenstransfer leistet. Passwork Europe, so die Darstellung des Unternehmens, prüfe die Aktualisierungen, bevor sie in das eigene Produkt einfließen. Prüft — und lässt sie dann passieren.
Die Fakten sind schnell benannt und doch von einigem Gewicht. Passwork wird in europäischen Behörden und Hochschulen eingesetzt, also in Infrastrukturen, deren Sicherheit nicht zuletzt Vertrauenssache ist: Wer verwaltet die Zugänge, wer kontrolliert die Updates, wer profitiert vom Datenfluss? Die russische Gegenseite ist FSTEC-zertifiziert, also von jener Behörde, die in Russland für die IT-Sicherheit in Behörden und kritischen Infrastrukturen zuständig ist. Eine solche Zertifizierung bedeutet nicht nur eine technische Prüfung, sondern impliziert die Einbindung in ein regulatorisches System, das auf andere Loyalitäten verpflichtet ist als die europäische Datenschutzgrundverordnung.
Zwischen Passwork Europe und dem russischen Entwickler sitzt eine Vermittlerin in den Emiraten, die nach OCCRP-Angaben begrenzte Unterstützung beim Produkttransfer leistet. Das Wort „begrenzt" ist von der Sorte, die in Verträgen besonders viel Arbeit macht: Es definiert das Ausmaß einer Abhängigkeit, ohne sie zu benennen. Wer kontrolliert die Updates tatsächlich, bevor sie bei europäischen Anwendern ankommen? Wessen Standards gelten — die des spanischen Unternehmens, die der UAE-Firma oder die der zertifizierten russischen Entwickler?
Dass Passwork Europe die Updates vor der Integration prüft, klingt nach einer Selbstverständlichkeit und ist, genau besehen, das Kernversprechen: ein europäisches Siegel auf fremder Technik. Die Frage ist, wie tief diese Prüfung reicht, welche Teile des Quellcodes tatsächlich offengelegt werden, ob die russische Originalversion parallel weiterentwickelt wird und damit die Definitionshoheit über Architektur und Sicherheitsmerkmale bei einem Hersteller liegt, dessen regulatorisches Umfeld sich fundamental von dem der EU unterscheidet. Ein Siegel auf einer Black Box ist kein Ersatz für Einblick.
Verschärft wird der Befund durch den Kontext, in dem Teile der russischen Seite operieren. Im Umfeld des zertifizierten Unternehmens wird in den Recherchen auch die Corporation for Special Purpose Space Systems „Kometa" genannt — ein Rüstungsbetrieb, der auf weltraumgestützte Aufklärungs-, Informations- und Steuerungssysteme spezialisiert ist und von Kanada, der Schweiz und der Europäischen Union mit Sanktionen belegt wurde. Kometa äußerte sich nicht auf Anfrage. Die Erwähnung verschiebt den Charakter der Frage: Es geht nicht mehr allein um eine zivile Software-Kooperation zwischen Schwesterfirmen, sondern um die industrielle Nachbarschaft, in der ein solcher Technologietransfer stattfindet.
Europäische Institutionen, die Passwork einsetzen, haben ein Sicherheitsversprechen eingekauft, dessen Substrat sie nicht vollständig einsehen können. Die Hoheit über die eigenen Authentifizierungssysteme — jener Bereich also, in dem Zugangsrechte verwaltet, Identitäten verifiziert und sensible Ressourcen geschützt werden — hängt an Updates, deren Herkunft über mindestens zwei juristische Stationen führt: von Russland über die Vereinigten Arabischen Emirate in die Europäische Union. Jede Station ist ein Übergabepunkt, jeder Übergabepunkt ein Ort, an dem Vertrauen technisch eingelöst werden muss.
Die naheliegenden Fragen sind die nach Eigentum, Kontrolle und Souveränität. Wem gehört die Codebasis tatsächlich — der spanischen Firma, der UAE-Vermittlerin, dem russischen Entwickler? Welche Stelle entscheidet über die Behandlung von Schwachstellen? Und wer profitiert von einer Architektur, in der europäische Behörden zwar als Kunden auftreten, die kritische Komponente jedoch aus einem anderen Rechts- und Sicherheitsverständnis geliefert wird?
Passwork Europe prüft die Updates. Das ist die Antwort des Unternehmens, und sie ist formal nicht falsch. Sie verschiebt das Problem nur eine Ebene nach hinten: Prüfung löst die politische Geographie der Lieferkette nicht auf. Es bleibt ein europäischer Passworttresor, dessen Mechanik aus einer Welt kommt, in der Datensouveränität anders verstanden wird als in Brüssel, Straßburg oder Den Haag. Die Architektur ist geteilt. Die Hoheit ist es nicht.
❖ Ende des Artikels ❖