Geopolitisches Risikomanagement für Unternehmen: Was der Fall Passwork lehrt

Ein Passwort-Tresor ist der Schlüsselbund einer Organisation. Wer ihn baut und pflegt, sitzt nah an allem, was geschützt werden soll. Heute wurde bekannt, dass mehrere europäische Unternehmen mit kritischer Infrastruktur diesen Schlüsselbund jahrelang einer Software anvertraut haben, die sich als made in EU präsentiert, tatsächlich aber in Russland gegründet wurde — und die auf dem russischen Markt Staatskonzerne sowie EU-sanktionierte Raketenhersteller als Kunden nennt. Es ist ein Lehrstück darüber, warum geopolitisches Risikomanagement für Entscheider keine Abstraktion mehr ist.

Das geht aus einer Recherche des Journalistenkollektivs OCCRP hervor, gemeinsam mit unter anderem Investico, NU.nl, De Groene Amsterdammer, Le Monde und De Tijd. Es geht um Passwork, einen Passwortmanager für Unternehmen, der unter anderem bei einem niederländischen Solarpark-Betreiber, einem französischen Hafenbetreiber, bei irischen Behörden und bei der Universität Zürich im Einsatz war.

Beginnen wir mit dem, was die Recherche nicht zeigt. Die Rechercheure fanden keinen Beleg dafür, dass die Software bewusst Hintertüren enthält, und keinen Beleg dafür, dass die Software Passwörter abgegriffen hat. Passwork selbst erklärt, die Software sei sicher und zuverlässig; Passwörter würden ausschließlich auf den Servern der Kunden gespeichert. Und dennoch ist dieser Fall lehrreich — gerade weil das Risiko hier nicht in einem Leck liegt, sondern in einer Struktur, die den befragten Kunden nicht bekannt war.

Was die Recherche offenlegte

Auf der englischsprachigen Website wirkt Passwork tadellos europäisch: made in EU, konform mit europäischem Datenschutz- und Cybersicherheitsrecht. Die Wirklichkeit hinter dieser Fassade ist deutlich verwickelter.

Passwork wurde 2014 in Russland gegründet. Einige Jahre später schrieben die Geschäftsführer in einem russischen Tech-Blog freimütig, dass Software aus Russland jenseits der eigenen Landesgrenzen auf wenig Vertrauen zählen könne: Um Passwork im Westen zu vermarkten, brauche man ein Unternehmen in einem „normalen“ Land. Zunächst entstand eine Zusammenarbeit mit einem finnischen Unternehmer, der zugleich als Berater der russischen Regierung tätig war. Nach dem Einmarsch in die Ukraine wurde die finnische Firma aufgelöst; es entstanden neue Gesellschaften in Spanien und in den Vereinigten Arabischen Emiraten.

Seither nennt die Website eine Zentrale in Barcelona. Als ein Kollege des Rechercheverbunds dort vorbeischaute, erwies sich die Adresse als Briefkasten. Unter derselben Anschrift sitzt eine russischsprachige Anwaltskanzlei, die Mandanten unter anderem bei der Gründung von Unternehmen in Spanien hilft.

Auf der russischen Website tritt Passwork völlig anders auf. Dort stehen Staatskonzerne wie Gazprom sowie die Raketenhersteller Almaz-Antey und Avangard auf der Kundenliste. Almaz-Antey und Avangard fallen unter EU-Sanktionen. Zudem verfügt Passwork über Lizenzen des russischen Verteidigungsministeriums und des Geheimdienstes FSB, um Rüstungsunternehmen beliefern zu dürfen. Für solche Lizenzen muss der russische Staat detaillierte Informationen über die Funktionsweise des Produkts erhalten.

Warum gerade ein Passwort-Tresor besonders schwer wiegt

Bei einem Passwortmanager stellt sich die Vertrauensfrage schärfer als bei nahezu jeder anderen Anwendung. Der IT-Experte Bert Hubert fasst es in der Recherche knapp zusammen: Bei einem Anbieter, der auch in Russland Geschäfte macht oder russischem Recht unterliegt, solle man sofort abwinken.

Das technische Gegenargument — „die Passwörter liegen lokal“ — beruhigt weniger, als es klingt. Der Cybersicherheitsexperte Ronald Prins weist darauf hin, dass die Software ohnehin Kontakt zu einem zentralen Server aufnimmt, etwa um zu prüfen, ob ein Nutzer ein gültiges Abonnement hat. Dadurch blieben Passwörter seiner Einschätzung nach anfällig für Diebstahl, selbst wenn sie im Prinzip nur lokal gespeichert werden und der Server in Europa steht: Auf einem solchen Server, so Prins, könne man sich auch aus Moskau einfach einloggen.

Bart van den Berg vom Institut Clingendael verweist auf eine zweite Ebene: Weil der russische Staat für die Lizenzvergabe detaillierten Einblick in das Produkt erhält, könne der Kreml „weitreichende Einblicke in die Software und ihre Schwachstellen“ haben. Da sich die europäische und die russische Version stark ähneln, befürchtet er, dass dieses Wissen auch gegen europäische Nutzer eingesetzt werden könnte. Das würde sich seiner Ansicht nach in das Bild des Schattenkriegs fügen, den Russland gegen Europa führt.

Auf höchster Ebene sind in dieser Woche ähnliche Sorgen zu hören. Die EU-Außenbeauftragte Kaja Kallas verurteilte am Montag das „bösartige Cyber-Ökosystem“ des russischen Geheimdienstes FSB, der ihrer Einschätzung nach hinter Spionage und Hackerangriffen in zehn EU-Staaten steht — gerichtet gegen Regierungen und kritische Infrastruktur. EU und Vereinigtes Königreich kündigten dabei ihr bislang größtes gemeinsames Cyber-Sanktionspaket an. Wie sich diese Bedrohungslage für deutsche Unternehmen darstellt, haben wir in unserem Beitrag zur hybriden Kriegsführung gegen Deutschland eingeordnet.

Wer die Software einsetzte — und wie die Betroffenen reagierten

Wie viele europäische Kunden Passwork genau hat, lässt sich von außen nicht feststellen. Sechzehn Organisationen bestätigten den Rechercheuren, die Software genutzt zu haben. Zu den Nutzern, die die Recherche identifizierte, zählen: Novar, einer der größten Betreiber von Solarparks in den Niederlanden; Haropa Port, Betreiber von drei großen französischen Häfen; zwei irische Behörden; die deutsche Region Hildesheim; und die Universität Zürich. Der französische Telekomkonzern Orange erklärt, Passwork sei bei einer Tochtergesellschaft in „sehr bescheidenem“ Umfang eingesetzt worden. In den Niederlanden nutzten zudem der Regionalsender RTV Noord und das IT-Unternehmen Lucrasoft die Software — Lucrasoft installiert Passwork laut eigener Website auch bei mittelständischen Kunden.

Wichtig für ein faires Bild: Einige große Unternehmen, die Passwork selbst als Kunden nannte, darunter der italienische Energiekonzern Enel und die Deutsche Telekom, bestreiten, die Software jemals eingesetzt zu haben. Keiner der befragten Kunden wusste von der russischen Herkunft.

Die Reaktion von Novar ist in dieser Hinsicht lehrreich. Das Unternehmen nahm Passwork nach dem Hinweis unverzüglich außer Betrieb, änderte Passwörter und meldete den Vorgang dem nationalen Cybersicherheitszentrum sowie dem Branchenverband. Genau diese Reihenfolge will man sehen: isolieren, rotieren, melden. RTV Noord erklärt, man sei überzeugt, Passwork sei „ein spanisches Unternehmen mit finnischen Wurzeln“, und nutzt die Software weiter.

Dass ausgerechnet ein Solarpark-Betreiber betroffen ist, ist kein Zufall. Chris van ‚t Hof vom Dutch Institute for Vulnerability Disclosure zufolge sind Akteure, die viele Solaranlagen steuern, ein attraktives Ziel: Wer genügend Wechselrichter kontrolliert, kann einen großflächigen Stromausfall auslösen. Das sei wirksamer als ein Flugzeug oder eine Bombe.

Alexander Muntyan, Geschäftsführer der spanischen Gesellschaft hinter Passwork, erklärt, die europäische Version werde vollständig von der russischen getrennt: keine gemeinsamen Server, Kundendaten oder Systeme. Die Recherche zeigt allerdings, dass beide Versionen bislang in vergleichbarem Tempo Updates erhalten — mit identischen Versionsnummern und Beschreibungen. Muntyan, selbst russischer Staatsangehöriger, spricht von einer „Übergangsphase“ und sagt, ab August stehe der europäische Zweig auf eigenen Beinen.

Geopolitisches Risikomanagement beginnt mit einer Frage: Wem gehört der Anbieter?

Die meisten Beschaffungsprozesse prüfen Funktionsumfang, Preis, Zertifizierung und Auftragsverarbeitungsvertrag. Auf der englischsprachigen Website von Passwork ist zu lesen, die Software sei „made in EU“ und erfülle europäisches Datenschutz- und Cybersicherheitsrecht — genau die Art von Zusicherung, auf die eine solche Liste vertraut. Und dennoch wurde die Frage darunter nicht gestellt. Wirksames geopolitisches Risikomanagement beginnt deshalb nicht beim Produkt, sondern bei der Eigentümerstruktur dahinter.

1. Wer ist der wirtschaftlich Berechtigte — und wo sitzt er?

Nicht: Wo liegt die Postanschrift. Sondern: Wer sind die wirtschaftlich Berechtigten, wo leben die Entwickler, und wo liegt der Quellcode. Eine spanische S.L. sagt wenig aus, wenn das Engineering-Team anderswo sitzt. Ein Blick ins Handelsregister — oder ein Besuch an der angegebenen Adresse — genügt mitunter bereits.

2. Welcher Jurisdiktion unterliegt der Anbieter tatsächlich?

Ein Anbieter, der in einem Land tätig ist, unterliegt dessen Recht — einschließlich Mitwirkungspflichten gegenüber Behörden. Das gilt nicht nur für Russland; es ist dieselbe Debatte, die über US-amerikanische Clouddienste geführt wird. Die Frage lautet nicht, ob ein Unternehmen guten Willens ist, sondern ob es jederzeit selbst entscheiden kann, was es tut.

3. Wo liegen die Daten — und wo liegt die Kontrolle?

Datenresidenz und Kontrolle sind zweierlei. Wie Prins anmerkt: Ein Lizenzserver, ein Update-Kanal oder eine Telemetrieverbindung kann die Kontrolle außerhalb Ihrer Region verorten, während die Daten formal darin verbleiben. Fragen Sie nach jeder ausgehenden Verbindung, die das Produkt aufbaut.

4. Was ist der Plan, wenn dieser Anbieter morgen unbrauchbar ist?

Das ist die Kontinuitätsfrage — und beim Passwort-Tresor ist sie besonders schmerzhaft: Wer den Tresor sofort verlassen muss, muss binnen kurzer Zeit sämtliche darin abgelegten Geheimnisse rotieren. Novar hat genau das getan. Haben Sie dieses Szenario je geübt?

Von der Beschaffungsliste zum Kontinuitätsszenario

ISO 22301, die Norm für Business Continuity Management, liefert hier den methodischen Halt. Die Business Impact Analyse zwingt dazu, für jeden kritischen Prozess zu benennen, welche Lieferanten daran hängen und was geschieht, wenn sie ausfallen. Entscheidend ist, „Ausfall“ weit genug zu definieren: nicht nur Insolvenz oder Störung, sondern auch unbrauchbar geworden durch einen Vertrauensbruch. Genau dieses Szenario stellte sich in dieser Woche für die Organisationen, die Passwork einsetzten.

Hinzu kommt die Regulierung. Unter NIS2 erstreckt sich die Sorgfaltspflicht ausdrücklich auf die Lieferkette: Ihre Anbieter sind Teil Ihres Risikomanagements — nicht eine Ausrede daneben. Für Betreiber kritischer Anlagen verschärft sich das mit dem KRITIS-Dachgesetz weiter. Und wer die Grenze zwischen legitimer Marktbeobachtung und nachrichtendienstlichem Zugriff verstehen will, findet den Rahmen in unseren Beiträgen zur Wirtschaftsspionage in Deutschland und zur Wettbewerbsintelligenz-Compliance.

Lehren für deutsche Unternehmen

• Inventarisieren Sie Ihre Geheimnisverwaltung. Wissen Sie, welcher Passwort-Tresor, Secrets-Manager oder Zertifikatsverwalter im Einsatz ist — auch bei Töchtern und bei Ihrem IT-Dienstleister? Lucrasoft rollte Passwork bei Mittelstandskunden aus; diese Kunden dürften die Software nicht selbst ausgewählt haben.
• Ergänzen Sie die Beschaffung um eine Herkunftsprüfung. Wirtschaftlich Berechtigte, Jurisdiktion, Standort des Engineering-Teams. Drei Fragen, einmal je Anbieter.
• Üben Sie den Vertrauensbruch. Eine Tabletop-Übung, in der ein Kernanbieter von einem Tag auf den anderen unbrauchbar wird, legt binnen einer Stunde offen, wie lange Ihre Rotation tatsächlich dauert.
• Legen Sie den Meldeweg fest. Novar fand den Weg zum nationalen Cybersicherheitszentrum und zum Branchenverband. Weiß Ihre Rufbereitschaft das auch um 23 Uhr?
• Seien Sie ehrlich über das, was Sie nicht wissen. „Kein Beleg für Missbrauch“ ist kein Beleg für Sicherheit — aber ebenso wenig ein Schuldbeweis. Bewerten Sie nach Risiko, nicht nach Empörung.

Der unbequeme Kern dieses Falls ist nicht, dass etwas schiefgegangen wäre. Er besteht darin, dass die von der Recherche befragten Kunden nicht wussten, wem sie ihre Schlüssel anvertraut hatten — und es erst von einem Journalisten erfuhren. Geopolitisches Risikomanagement ist damit keine Abstraktion mehr für die Vorstandsetage; es ist zu einer Beschaffungsfrage, einer Kontinuitätsfrage und einer Übungsfrage geworden.

Wollen Sie prüfen, wie Ihre Organisation reagiert, wenn ein Kernanbieter über Nacht unbrauchbar wird? In unseren Krisensimulationen und Tabletop-Übungen spielen wir genau dieses Szenario durch — ausgehend von Ihrer eigenen Lieferantenlandschaft.