Die spanische Firma Passwork Europe S.L. hat über Jahre hinweg europäischen Regierungsstellen und Forschungseinrichtungen einen Passwortmanager verkauft, dessen Codebasis mit einer russischen Version identisch ist und der von russischen Sicherheitsbehörden zertifiziert wurde. Das berichtet die französische Zeitung Le Monde unter Berufung auf interne Dokumente und Interviews.
Passwork Europe S.L. bewirbt sich als europäischer Entwickler eines sicheren Passwortmanagers und führt unter anderem irische Staatsbehörden sowie Universitäten in mehreren EU-Ländern als Kunden. Tatsächlich aber bestehen enge technologische und personelle Verbindungen zur russischen Firma Passwork LLC, wie die Recherche zeigt.
Russische Zertifizierung durch das Verteidigungsministerium
Die russische Muttergesellschaft Passwork LLC ließ ihr Produkt beim Föderalen Dienst für technische und exportbezogene Kontrolle (FSTEC) zertifizieren – einer Behörde des russischen Verteidigungsministeriums. Diese Zertifizierung erfordert eine vollständige Analyse des Quellcodes auf Sicherheitslücken und nicht deklarierte Funktionen. Branchenexperten warnen, dass ein solcher Audit dem russischen Staat tiefe Einblicke in die Softwarearchitektur verschafft und potenzielle Hintertüren identifizieren oder sogar einbauen lassen könnte.
Die europäische und die russische Version des Passwortmanagers teilen sich denselben Quellcode. Updates erscheinen zeitgleich und die Dokumentation ist identisch. Version 7.6 wurde etwa im Mai 2026 sowohl in Russland als auch in Europa veröffentlicht.
Undurchsichtige Update-Kette über die Vereinigten Arabischen Emirate
Besonders problematisch ist der Verteilungsmechanismus der Software-Updates. Nach Angaben von Le Monde werden die europäischen Aktualisierungen über eine undurchsichtige Firma in den Vereinigten Arabischen Emiraten ausgeliefert, die von einem der russischen Mitgründer von Passwork LLC kontrolliert wird. Diese Konstellation erinnert an den SolarWinds-Angriff, bei dem schädlicher Code über legitime Software-Updates verbreitet wurde.
Die Synchronisation der Releases zwischen der russischen und der europäischen Edition belegt laut dem Bericht einen gemeinsamen Entwicklungsprozess. Für europäische Regierungskunden bedeutet dies eine permanente Gefahr, dass Passwörter und Zugangsdaten zu kritischen Systemen über ein Update kompromittiert werden, dessen Herkunft und Prüfung außerhalb der EU liegen.
Fehlende Transparenz gegenüber Kunden
Die meisten europäischen Kunden – darunter auch staatliche Stellen in Irland – wurden nach Erkenntnissen der Journalisten nicht über die russischen Verbindungen des Produkts informiert. Passwork Europe S.L. hatte auf seiner Website und in Werbematerialien stets betont, ein unabhängiges europäisches Unternehmen ohne Verbindungen nach Russland zu sein. Diese Darstellung ist nach Ansicht von Sicherheitsexperten irreführend und könnte gegen Offenlegungspflichten verstoßen.
Der Fall wirft grundsätzliche Fragen zur Cybersicherheit in der Europäischen Union auf. Angesichts systematischer russischer Hackerangriffe auf kritische Infrastruktur und staatliche Einrichtungen in mehreren EU-Staaten gilt der Einsatz von Software mit direkten Verbindungen zu russischen Entwicklern als hohes Risiko.
Konsequenzen für europäische Organisationen
Für die betroffenen Einrichtungen bedeutet die Aufdeckung einen dringenden Handlungsbedarf. Sie müssen nun prüfen, ob sensible Daten gefährdet sind, alternative Lösungen suchen und sich gegenüber Aufsichtsbehörden und der Öffentlichkeit rechtfertigen. Die finanziellen und reputationsbezogenen Schäden könnten erheblich sein. Die Europäische Union hat wiederholt betont, dass die Abhängigkeit von Technologieanbietern aus Drittstaaten minimiert werden müsse – der Fall Passwork zeigt jedoch, wie schwer diese Vorgabe in der Praxis durchzusetzen ist.
