Die spanische Firma Passwork Europe S.L. vertreibt ein Passwort-Management-Programm an staatliche Einrichtungen und wissenschaftliche Organisationen in der Europäischen Union, obwohl das Produkt technologisch und personell eng mit dem russischen Unternehmen Passwork LLC verbunden ist. Wie die französische Zeitung Le Monde berichtet, basieren die europäische und die russische Version auf einer gemeinsamen Codebasis, erhalten synchronisierte Updates und nutzen identische Dokumentationen. Die russische Muttergesellschaft ließ ihr Programm von der FSTEC zertifizieren, einer Behörde im russischen Verteidigungsministerium, die den Quellcode auf Schwachstellen und versteckte Funktionen überprüft.
Verborgene russische Verbindungen
Passwork Europe S.L. präsentiert sich als europäischer Entwickler und betont seine Unabhängigkeit von Russland. Tatsächlich stammen die Aktualisierungen der europäischen Version über eine undurchsichtige Gesellschaft in den Vereinigten Arabischen Emiraten, die von einem der russischen Mitgründer kontrolliert wird. Branchenexperten warnen, dass die einheitliche Codebasis und die gemeinsame Entwicklungsplattform ein erhebliches Sicherheitsrisiko darstellen. Die FSTEC-Zertifizierung gewährt der russischen Seite tiefe Einblicke in die Architektur der Software, die potenziell gegen europäische Nutzer eingesetzt werden könnten.
Risiken für die Cybersicherheit
Der Update-Mechanismus über die VAE-Gesellschaft ähnelt dem Vorgehen bei früheren Angriffen wie dem SolarWinds-Vorfall, bei dem bösartiger Code über legitime Updates verbreitet wurde. Die Synchronisation der Versionen – zuletzt bei der Freigabe von Version 7.6 – bestätigt einen gemeinsamen Entwicklungsprozess. Für europäische Regierungsstellen bedeutet dies eine ständige potenzielle Gefahr der Kompromittierung von Passwörtern und Zugängen zu kritischen Systemen. Viele Kunden, darunter staatliche Institutionen in Irland, waren nach Angaben von Le Monde über die russische Herkunft des Produkts nicht informiert.
Mangelnde Transparenz und Vertrauensverlust
Die fehlende Aufklärung über die tatsächlichen Verbindungen zu Russland untergräbt das Vertrauen in den Anbieter von Sicherheitssoftware. Angesichts der systematischen Cyberangriffe russischer Hackergruppen auf kritische Infrastruktur und Behörden in der EU stellt jede Abhängigkeit von Software mit russischen Wurzeln ein erhöhtes Risiko dar. Die betroffenen europäischen Organisationen stehen nun vor der Notwendigkeit, ihre IT-Sicherheit zu überprüfen und möglicherweise auf alternative Lösungen umzusteigen. Die spanische Firma hat sich zu den Vorwürfen bislang nicht ausführlich geäußert. Der Fall zeigt, wie formal rechtliche Trennung allein keine Gewähr für Cybersicherheit bietet.
