Thought Leadership
Eine Untersuchung deckt enge technologische Verbindungen des europäischen Passwort-Managers Passwork zu einem staatlich zertifizierten russischen Ableger auf.
Eine gemeinsame Recherche des Journalistenzweckverbands OCCRP und Partnermedien legt nahe, dass der europäische Passwort-Manager Passwork enge technologische Verbindungen zu einem russischen Partnerunternehmen unterhält. Passwork Europe S.L. hat seinen Sitz in Spanien und vermarktet seine Produkte online als europäische Lösung mit dem Label Made in EU. Die Software wird von zahlreichen europäischen Behörden, Forschungseinrichtungen wie der Technischen Universität Dresden und irischen Regierungsstellen genutzt.
Die journalistischen Nachforschungen zeigen, dass die Software ursprünglich von zwei russischen Gründern in Archangelsk entwickelt wurde. Die Updates für die europäische Version werden über ein undurchsichtiges Unternehmen in den Vereinigten Arabischen Emiraten ausgeliefert, das von einem der russischen Mitgründer geleitet wird. Die russischen Gründer besitzen zudem die russische Firma Passwork LLC, die ein identisches Logo nutzt und sanktionierte russische Rüstungsunternehmen zu ihren Kunden zählt.
Unabhängige Sicherheitsforscher stellten fest, dass die Quellcodes der Installationsskripte beider Produkte in über 500 Zeilen nahezu identisch sind. Zudem wurden Software-Updates, wie die Version 7.6 im April 2026, auf den russischen und europäischen Plattformen mit einem Abstand von nur einem Tag und mit übereinstimmenden Funktionsbeschreibungen veröffentlicht.
Staatliche Zertifizierungen in Russland als Sicherheitsrisiko
Das russische Pendant Passwork LLC verfügt über Zertifizierungen des FSTEC, einer Behörde des russischen Verteidigungsministeriums, sowie des Inlandsgeheimdienstes FSB. Experten für Sanktionsrecht und Cybersicherheit betonen, dass für eine solche Zertifizierung in Russland in der Regel der vollständige Quellcode an staatlich akkreditierte Labore übergeben werden muss. Ziel dieser Prüfungen ist das Aufspüren von Schwachstellen oder nicht deklarierten Funktionen.
Bart van den Berg, Sicherheitsexperte am Clingendael-Institut, erklärte zu den Risiken, dass der Zugriff auf den Quellcode dem russischen Staat „weitreichende Einblicke in die Software und ihre Schwachstellen geben oder ihr sogar absichtlich Elemente hinzufügen“ könnte. Er bezeichnete diese Szenarien als ernsthafte Risiken. Bislang liegen jedoch keine Beweise dafür vor, dass der europäische Quellcode manipuliert oder Daten kompromittiert wurden. Die Regulierungsexpertin Alessandra Chirico äußerte sich allgemein zu den Transparenzpflichten in der Branche:
„In der Cybersicherheit ist Vertrauen nicht einfach ein kommerzieller Anspruch. Je stärker das Narrativ des Vertrauens ist, desto größer ist die entsprechende Transparenzpflicht, die erforderlich ist, um es aufrechtzuerhalten.“
Alessandra Chirico, Regulierungsexpertin
Stellungnahme der Geschäftsführung und Reaktionen der Kunden
Der Geschäftsführer und alleinige Anteilseigner von Passwork Europe S.L., Alexander Muntyan, wies die Darstellung einer aktiven geschäftlichen Verflechtung zurück. Er betonte, dass die spanische und die russische Firma weder Kunden, Server, Support-Systeme noch administrative Zugänge teilen. Die Ähnlichkeiten und der synchrone Zeitplan bei den Updates begründete er mit dem gemeinsamen Ursprung des Quellcodes. Die Architektur der Software basiere auf einem Zero-Knowledge-Prinzip, bei dem die Ver- und Entschlüsselung ausschließlich lokal auf den privaten Servern der Kunden stattfindet, sodass der Anbieter selbst keinen Zugriff auf die Daten der Nutzer hat. Die expliziten Hinweise auf der Webseite, dass keinerlei Verbindungen zu russischen Einheiten bestehen, wurden nach den ersten Presseanfragen entfernt.
Die Mehrheit der kontaktierten europäischen Kunden war über die russischen Hintergründe des Produkts nicht informiert. Während das staatliche Labor in Irland nach Bekanntwerden der Vorwürfe eine interne Überprüfung des Produkts und der damit verbundenen Risiken einleitete, sahen andere Kunden wie die Brüsseler IT-Behörde Paradigm keinen funktionalen Einfluss auf ihre Sicherheit. Mehrere auf der Webseite von Passwork als Referenzen aufgeführte Großunternehmen, darunter der italienische Energiekonzern Enel und die Deutsche Post, dementierten auf Nachfrage der Journalisten, die Software überhaupt zu nutzen.
(red)
