EU-Passwortmanager für Behörden hat russische Wurzeln

Eine gemeinsame Untersuchung des Organized Crime and Corruption Reporting Project (OCCRP), Le Monde, Investico und anderer europäischer Medien hat ergeben, dass Passwork, ein Passwort-Management-Tool, das als europäisches Produkt vermarktet wird und von Regierungsbehörden in der gesamten EU genutzt wird, seinen technologischen Ursprung mit einem russischen Pendant teilt, zu dessen Kunden sanktionierte Raketenhersteller und der russische Inlandsgeheimdienst FSB gehören.

Eine gemeinsame Codebasis und ein undurchsichtiger Vermittler in den VAE

Passwork Europe SL mit Sitz in Barcelona wirbt mit einem "Made in EU 2017"-Siegel und behauptet, die DSGVO- und NIS2-Richtlinien vollständig zu erfüllen. Die am 17. Juli veröffentlichte Untersuchung ergab jedoch, dass die Software ursprünglich 2014 von den russischen Mitgründern Ilya Garakh und Andrey Pyankov in Archangelsk, Russland, entwickelt wurde.cybernews+1

Reporter entdeckten, dass das europäische Produkt eine gemeinsame Codebasis mit seinem russischen Schwesterunternehmen Passwork LLC teilt, Updates in einem ähnlichen Zeitrahmen erhält und über ein nahezu identisches Benutzerhandbuch verfügt. Updates für die europäische Version wurden über Passwork FZ-LLC bereitgestellt, eine Firma, die im Juli 2022 in der Freihandelszone Ras Al Khaimah in den VAE registriert wurde und von einem der russischen Mitgründer geleitet wird.brusselssignal

Das russische Unternehmen besitzt Zertifizierungen des Föderalen Dienstes für technische und Exportkontrolle (FSTEC), einer Behörde des russischen Verteidigungsministeriums, sowie des FSB – Zertifizierungen, die eine detaillierte Überprüfung des Quellcodes erfordern. Zu den beworbenen Kunden gehören Gazprom, Transneft, das russische Verteidigungsministerium, der FSB und sanktionierte russische Raketenhersteller.cybernews+1

Europäische Kunden und Sicherheitswarnungen

Zu den europäischen Kunden von Passwork gehören mindestens drei irische Regierungsbehörden, die Technische Universität Dresden in Deutschland, ein großer niederländischer Betreiber von Solarparks, ein französischer Hafenbetreiber sowie Institutionen, die über einen belgischen IT-Dienstleister für die Regionalregierung von Brüssel betreut werden.irishtimes+2

Bart van den Berg, Leiter der Sicherheitseinheit am Clingendael Institute, warnte, dass der Zugriff auf den Quellcode dem russischen Staat "weitreichende Einblicke in die Software und ihre Schwachstellen geben oder sogar gezielt Elemente hinzufügen könnte." Er fügte hinzu, dass, wenn beide Produkte dieselbe Codebasis teilen, "Schwachstellen beide Versionen betreffen könnten."brusselssignal

CEO bestreitet Verbindungen und entfernt KI-Hinweise

Alexander Muntyan, CEO und alleiniger Anteilseigner von Passwork Europe SL, bestritt jegliche Beziehung zwischen den spanischen und russischen Einheiten. "Wir teilen keine Kunden, Server, Support-Systeme, Kundendaten, administrativen Zugriffe oder Kundenumgebungen", sagte er gegenüber Reportern. Er verwies auf die "Zero-Knowledge-Architektur" des Produkts, bei der die Verschlüsselung auf der Client-Seite erfolgt, als Sicherheitsvorkehrung.brusselssignal

Muntyan räumte den "gemeinsamen Ursprung der Codebasis" ein und bestätigte, dass er die Rechte an der Software 2024 von der VAE-Einheit erworben habe, wobei die vollständigen Markenrechte für August 2026 vorgesehen seien. Kurz nachdem OCCRP ihn jedoch erstmals kontaktierte, entfernte das Unternehmen KI-Leitlinien von seiner Website, in denen es hieß, man habe "keine Verbindungen zu US-amerikanischen, russischen oder anderen nicht-europäischen Einheiten." Es wurden von den Reportern keine Beweise für bösartigen Code oder Datenkompromittierungen gefunden.brusselssignal