Ein spanischer Passwort-Manager, der von europäischen Regierungsbehörden verwendet wirdteilt tiefgreifende technische Linksmit einem russischen Unternehmen. Diese Regelung hat bei Experten ernsthafte Sicherheitsbedenken hervorgerufen.
Das Unternehmen Passwork Europe S.L. vermarktet sich als vollständig europäisches Unternehmen. Eine Untersuchung ergab jedoch erhebliche Verbindungen zu einem russischen Amtskollegen.
Passwork vertreibt Software, die Organisationen dabei hilft, ihre Passwörter zu speichern und zu verwalten. Zu den Kunden zählen irische Regierungsbehörden und die Technische Universität Dresden. Das Unternehmen betont stark seine europäische Identität.
Auf seiner Website ist ein Abzeichen zu sehen, das seine Gründung in Europa widerspiegelt, und das Unternehmen hat außerdem Richtlinien veröffentlicht, in denen es heißt, dass es keine Verbindungen zu russischen oder amerikanischen Unternehmen unterhält. Die Untersuchung ergab jedoch, dass dieses öffentliche Bild nicht mit der Realität übereinstimmt.
Ursprünglich haben zwei russische Mitbegründer, Andrey Pyankov und Ilya Garakh, den Passwort-Manager entwickelt. Sie bleiben über ein undurchsichtiges Unternehmen mit Sitz in den Vereinigten Arabischen Emiraten beteiligt.
Dieses Unternehmen aus den Vereinigten Arabischen Emiraten liefert Software-Updates für das spanische Unternehmen. Die Eigentümer des VAE-Unternehmens erhielten jedoch keine öffentliche Mitteilung. Daher ist unklar, wer die Update-Pipeline kontrolliert.
Darüber hinaus besitzen die russischen Mitbegründer auch ein eigenes Unternehmen namens Passwork LLC in Russland. Diese russische Firma verwendet dasselbe Logo wie die spanische Version. Es wirbt um Kunden, zu denen auch sanktionierte russische Raketenhersteller gehören.
Das russische Unternehmen verfügt über Zertifizierungen staatlicher Stellen. Dazu gehört der Föderale Dienst für technische und Exportkontrolle (FSTEC), der dem Verteidigungsministerium Russlands untersteht. Das Unternehmen verfügt außerdem über eine Zertifizierung des FSB, Russlands wichtigster Spionageabwehrbehörde.
Um diese Zertifizierungen zu erhalten, ist eine gründliche Prüfung des Quellcodes erforderlich. Ziel ist die Suche nach Schwachstellen oder nicht deklarierten Fähigkeiten; Vereinfacht ausgedrückt suchen sie nach Schwachstellen oder versteckten Hintertüren. Experten warnen, dass dieser Prozess Moskau wertvolle Erkenntnisse bringen könnte. Wenn die russische und die europäische Software denselben Code verwenden, sind die Risiken klar.
Bart van den Berg ist Sicherheitsexperte am Clingendael Institute. Er beschrieb diese Szenarien als „ernsthafte Risiken“. Er sagte, der Zugriff auf den Quellcode könne dem russischen Staat tiefe Kenntnisse über Schwachstellen verschaffen. Es könnte ihnen sogar erlauben, absichtlich schädliche Elemente hinzuzufügen. Obwohl Reporter keine Hinweise auf bösartigen Code fanden, bleibt die Situation besorgniserregend.
Expertenbedenken und Transparenzprobleme
Cybersicherheitsexperten sagen, Transparenz sei in diesem Bereich unerlässlich. Passwortmanager sind die Schlüssel zu den digitalen Systemen einer Organisation. Daher ist Vertrauen nicht nur eine Marketingaussage.
Alessandra Chirico ist Expertin für EU-Regulierung und Cybersicherheitspolitik. Sie sagte, je stärker die Vertrauenserzählung sei, desto größer sei die Pflicht zur Transparenz; Darüber hinaus löst die mangelnde Offenheit des Unternehmens Alarm aus.
Keiner der von Reportern kontaktierten europäischen Kunden wusste von der russischen Verbindung. Nur ein Kunde wusste vom ehemaligen russischen Besitzer des Produkts. Dies zeigt eine deutliche Lücke in der Kommunikation.
Unterdessen bestritt der CEO des Unternehmens, Alexander Muntyan, jegliche Beziehung zum russischen Unternehmen. Er sagte, dass sie keine Clients, Server oder Supportsysteme gemeinsam nutzen. Er erklärte auch, dass Kundendaten sicher auf privaten Servern bleiben.
Die Untersuchung ergab, dass es Ähnlichkeiten zwischen den beiden Produkten gab. Es wurde darauf hingewiesen, dass beide Produkte von derselben Kerncodebasis abgeleitet sind. In ähnlichen Abständen erhielten die Produkte auch Updates über die Software.
Solche Ähnlichkeiten legen nahe, dass die Produkte möglicherweise Verbindungen untereinander haben. Van den Berg sagte, wenn zwei Produkte denselben Code hätten, garantiere das Fehlen von Fehlern in einem der Produkte keinen Schutz vor Fehlern im anderen Produkt. Dies bedeutet, dass sie einige Probleme aufwerfen könnten, die für Benutzer in Europa möglicherweise gefährlicher sind.
Kurz nachdem sich die Reporter an Muntyan gewandt hatten, zog das Unternehmen seine Richtlinien zur künstlichen Intelligenz zurück. In den Leitlinien war zwar erwähnt worden, dass es keine Verbindung zu Russland gebe, die Streichung stellt jedoch Zweifel an der Transparenz des Unternehmens dar.
Muntyan sagte auch, er habe die Softwarerechte vor zwei Jahren von dem Unternehmen aus den Vereinigten Arabischen Emiraten erworben. Zu den Eigentumsverhältnissen des Unternehmens konnte er sich jedoch nicht äußern. Er gab an, dass er die Marke nach August dieses Jahres vollständig erwerben werde.
Die Ursprünge und die Verlagerung nach Europa
Passwork begann als Startup in Archangelsk, einer russischen Hafenstadt nahe der Arktis. Mitbegründer Pyankov registrierte die russische Website im Juni 2014. Gleich am nächsten Tag registrierte er die europäische Domain unter derselben Adresse. Dies zeigt, dass der europäische Betrieb direkt aus den russischen Wurzeln heraus gewachsen ist.
In Russland stieß das Unternehmen zunächst auf Skepsis. Einige fragten, ob es unabhängig sei. In einem Blogbeitrag scherzte der Administrator über seinen populären Namen als „Putins Passwort-Diebstahl-Projekt“. Viele Leute nannten es auch eine freiberufliche FSB-Abteilung. Dies zeigt die Vertrauensprobleme, mit denen sie in Russland selbst konfrontiert waren.
Das Schicksal des Unternehmens änderte sich im Jahr 2017, als es einen Startup-Wettbewerb gewann, der von der Skolkovo-Stiftung, einer staatlich unterstützten russischen Organisation, durchgeführt wurde.
Diese Stiftung wurde jedoch später von den Vereinigten Staaten sanktioniert. Durch diesen Wettbewerb lernten die Mitbegründer einen finnischen Unternehmer namens Pekka Viljakainen kennen, der ihnen beim Aufbau eines europäischen Unternehmens half.
Der Grund für den Umzug war praktisch. Russische Vorschriften ließen den gleichzeitigen Umgang mit russischen und europäischen Kundendaten nicht zu. Daher müssen die Betreiber westliche Kunden aus Russland vertreiben.
Dies gab der Administrator des Unternehmens in einem Blogbeitrag zu. Er sagte, dass die Menschen den russischen Produkten nicht wirklich vertrauen. Sie brauchten also eine offizielle Firma in einem „normalen“ Land.
Die Herausforderung, echte europäische digitale Souveränität zu erreichen, wird auch darin deutlichDie Abhängigkeit des EU Digital Identity Wallet von Apple und Google.
Im Mai 2017 schloss Passwork Oy seine Registrierung in Finnland ab. Die Mitgründer hielten jeweils 35 % der Anteile und Viljakainens Firma hielt die restlichen 30 %. Viljakainen sagte, er sei nicht an Operationen beteiligt gewesen.
Er hatte auch keine Kenntnis von dem Produkt, nachdem das finnische Unternehmen vor zwei Jahren geschlossen hatte. Er beschrieb jedoch, dass die Gründer einen qualitativ hochwertigen Dienst geleistet hätten.