Auf den Punkt: Der europäische Passwort-Manager Passwork wird von russischen Gründern entwickelt, teilt identischen Quellcode mit einer russischen Variante, die von russischen Sicherheitsbehörden zertifiziert ist und sanktionierte Rüstungsunternehmen beliefert.
Eine Recherche von OCCRP und Partnermedien dokumentiert enge technologische Verbindungen zwischen dem als europäisch vermarkteten Passwort-Managers Passwork Europe und einem russischen Schwesterunternehmen mit staatlichen Zertifizierungen. Zahlreiche europäische Behörden und Institutionen nutzen die Software, ohne von diesen Verbindungen informiert worden zu sein.
Passwork Europe S.L. mit Sitz in Spanien wird online als europäische Lösung mit dem Label „Made in EU“ vermarktet und ist in Verwendung bei mehreren europäischen Behörden, der Technischen Universität Dresden sowie irischen Regierungsstellen. Recherchen zeigen jedoch, dass die Software ursprünglich von zwei russischen Gründern in Archangelsk entwickelt wurde. Updates für die europäische Version werden über ein Unternehmen in den Vereinigten Arabischen Emiraten ausgeliefert, das von einem der russischen Mitgründer geleitet wird. Die Gründer kontrollieren zudem die russische Firma Passwork LLC, die das identische Logo nutzt und sanktionierte russische Rüstungsunternehmen unter ihren Kunden hat.
Sicherheitsforscher stellten fest, dass die Installationsskripte beider Produkte in über 500 Zeilen nahezu identische Quellcodes aufweisen. Software-Updates wie Version 7.6 wurden im April 2024 auf beiden Plattformen mit einem Abstand von nur einem Tag und mit übereinstimmenden Funktionsbeschreibungen veröffentlicht. Das russische Pendant Passwork LLC verfügt über Zertifizierungen des FSTEC (Behörde des russischen Verteidigungsministeriums) und des FSB. Für solche Zertifizierungen in Russland ist in der Regel die Übergabe des vollständigen Quellcodes an staatlich akkreditierte Labore erforderlich, um Schwachstellen oder nicht deklarierten Funktionen aufzuspüren.
Bart van den Berg, Sicherheitsexperte am Clingendael-Institut, warnt, dass der Zugriff auf den Quellcode dem russischen Staat „weitreichende Einblicke in die Software und ihre Schwachstellen geben oder ihr sogar absichtlich Elemente hinzufügen“ könnte. Die Regulierungsexpertin Alessandra Chirico betont: „In der Cybersicherheit ist Vertrauen nicht einfach ein kommerzieller Anspruch. Je stärker das Narrativ des Vertrauens ist, desto größer ist die entsprechende Transparenzpflicht, die erforderlich ist, um es aufrechtzuerhalten.“ Bislang liegen keine Beweise für Manipulation des europäischen Quellcodes oder Datenkompromittierung vor.
Der Geschäftsführer und alleinige Anteilseigner von Passwork Europe, Alexander Muntyan, bestreitet eine aktive Geschäftsverflechtung und betont, dass spanische und russische Firma keine Kunden, Server, Support-Systeme oder administrativen Zugänge teilen. Die Code-Ähnlichkeiten begründet er mit dem gemeinsamen Ursprung. Die Software basiere auf einem Zero-Knowledge-Prinzip, bei dem Ver- und Entschlüsselung ausschließlich lokal auf den privaten Servern der Kunden stattfinden. Explizite Hinweise auf der Webseite, dass keine Verbindungen zu russischen Einheiten bestehen, wurden nach Presseanfragen entfernt. Die Mehrheit der europäischen Kunden war über die russischen Hintergründe nicht informiert.
Quelle: www.it-daily.net · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.