"Made in EU": Passwork gerät wegen Russland-Verbindungen in Kritik
Passwork wirbt mit europäischen Wurzeln und Datenhoheit. Eine internationale Recherche zeichnet jedoch ein komplizierteres Bild und wirft Fragen zur Herkunft der Software sowie zu ihrer Update-Lieferkette auf.
Bisher hat sich Passwork als europäischer Anbieter für Passwort- und Secret-Management mit Sitz in Spanien inszeniert, der sich vor allem an Unternehmen und Behörden richtet. Eine internationale Recherche des Organized Crime and Corruption Reporting Project (OCCRP) zeichnet allerdings ein komplett anderes Bild. Demnach sollen die technischen und geschäftlichen Verbindungen des Produkts bis nach Russland reichen.
Software entstand offenbar ursprünglich in Russland
Nach den Recherchen wurde Passwork 2014 im russischen Archangelsk entwickelt. Erst 2017 entstand mit Passwork Oy eine Gesellschaft in Finnland, über die das Produkt im westlichen Markt angeboten wurde. Auf der aktuellen Webseite beschreibt Passwork seine Geschichte dagegen als europäische Gründung in Finnland, die später nach Spanien verlegt worden sei.
Nach Beginn des russischen Kriegs gegen die Ukraine soll sich die Firmenstruktur mehrfach geändert haben. Die finnische Gesellschaft sei 2024 aufgelöst worden, kurz darauf sei Passwork Europe S.L. in Spanien entstanden. Die Software-Rechte habe das Unternehmen nach Angaben von CEO Alexander Muntyan von einer Gesellschaft in den Vereinigten Arabischen Emiraten erworben. Diese wird laut OCCRP von einem der russischen Mitgründer geführt. Der Übergangszeitraum soll im August 2026 enden. Die genauen Bedingungen des Rechteübergangs konnten die Journalisten nicht unabhängig überprüfen.
Nahezu identische Updates werfen Fragen auf
Der eigentliche Zweifel an der vermeintlich klaren technischen Trennung kam vor allem durch Softwarebestände auf. Die russische und die europäische Passwork-Version sollen auf derselben ursprünglichen Codebasis beruhen. OCCRP verglich unter anderem Handbücher, Installationsskripte und die Veröffentlichungstermine der letzten sechs Updates. Die Anleitungen seien bis auf die Sprache nahezu identisch. Bei einem Installationsskript fand ein Sicherheitsforscher 517 weitgehend gleiche Zeilen.
Auch Version 7.6 erschien auf beiden Webseiten fast zeitgleich: Die russische Variante wurde am 6. April 2026 angekündigt, die europäische einen Tag später. Passwork Europe bestreitet eine aktive Abstimmung mit der russischen Gesellschaft. Muntyan räumte jedoch ein, dass die Firma aus den Vereinigten Arabischen Emiraten während der Übergangsphase Updates an mehrere Abnehmer liefern könnte. Die europäische Entwicklungsabteilung prüfe die Pakete vor der Übernahme.
Russischer Ableger wirbt mit staatlicher Verifizierung
Wie schon angedeutet, existiert parallel zur europäischen Version seit 2022 eine russische Passwork LLC, die von den ursprünglichen Mitgründern aufgebaut wurde. Auf ihrer Webseite nennt sie auch russische Rüstungs-, Raumfahrt- und Energieunternehmen als Kunden, gegen die westliche Sanktionen gelten. Zudem wirbt der Anbieter mit Zertifizierungen durch den Inlandsgeheimdienst FSB und die dem Verteidigungsministerium zugeordnete Behörde FSTEC.
Eine solche Zertifizierung ist für sich genommen kein Beleg für eine Hintertür oder eine Zusammenarbeit mit russischen Behörden. Laut OCCRP setzt das FSTEC-Verfahren allerdings eine detaillierte Prüfung des Quellcodes durch ein staatlich akkreditiertes Labor voraus. Fachleute sehen darin ein mögliches Risiko, falls die europäische und die russische Version weiterhin relevante Teile der Codebasis teilen. Schwachstellen könnten dann grundsätzlich beide Produkte betreffen.
Das sagt Passwork selbst
Passwork hat mittlerweile auf einer eigenen Transparenzseite ausdrücklich bestätigt, bis zum 30. August 2026 Quellcode-Updates und technisches Wissen von Passwork FZ-LLC aus den Vereinigten Arabischen Emiraten zu erhalten. Das Unternehmen bezeichnet dies als zeitlich begrenzte Übergangsphase nach dem Erwerb der Entwicklungs- und Vertriebsrechte. Damit liefert Passwork zugleich eine Erklärung dafür, weshalb die europäische und die russische Produktversion weiterhin ähnliche Veröffentlichungszeiträume und technische Überschneidungen aufweisen.
Nach Angaben des Anbieters würden alle übernommenen Änderungen vor der Veröffentlichung geprüft. Genannt werden unter anderem eine Analyse der enthaltenen Softwarekomponenten, statische und dynamische Sicherheitstests sowie manuelle Code-Reviews. Kunden sollen zudem den lesbaren serverseitigen Quellcode einsehen und Updates vor der Installation selbst prüfen können.
Mitmachen und kommentieren:
Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
