Irische Behörden kauften FSB-nahe Passwortsoftware

Drei irische Staatsstellen haben zuletzt zusammen 13.281 EUR für den Passwortmanager Passwork ausgegeben (Irish Times). Der Betrag war klein genug, um in der Beschaffung kaum Aufmerksamkeit auszulösen. Gekauft wurde damit aber keine Bürosoftware am Rand des Betriebs, sondern ein Werkzeug, das sämtliche Zugangsdaten speichert, mit denen Mitarbeiter auf interne Systeme, Cloud-Dienste und Administrationskonten zugreifen.

Wer hinter dem Schlüsselbund steht

Eine Recherche von OCCRP, Yle, Le Monde und der Irish Times hat die Firmenstruktur von Passwork bis zu russischen Gründern zurückverfolgt (Yle). Eine Schwestergesellschaft verfügte demnach über Lizenzen des russischen Inlandsgeheimdienstes FSB sowie der Behörde FSTEC, die mit Verteidigung und technischer Exportkontrolle verbunden ist (Le Monde). Passwork stellte sich nach außen als europäisches Unternehmen mit finnischen Wurzeln dar. Die finnische Gesellschaft war von 2017 bis 2024 aktiv, spätere Verkäufe liefen über eine spanische Firma. Alle drei irischen Behörden erklärten, sie seien davon ausgegangen, bei einem Anbieter aus der EU zu kaufen (Irish Times).

Belege dafür, dass die europäische Version eine Hintertür enthielt, also versteckten Code zur Umgehung normaler Sicherheitsmechanismen, fanden die Rechercheure nicht. Auch ein Abfluss von Kundendaten ist bisher nicht nachgewiesen (Yle). Diese Unterscheidung ist wichtig. Bei einem Passwortmanager reicht die Risikoprüfung aber nicht bei der Frage, ob bereits etwas passiert ist. Entscheidend ist auch, was technisch möglich wäre.

Ein Passwortmanager ist ein Generalschlüsselbund. E-Mail-Konten, Datenbanken, Cloud-Dienste und Administrationsoberflächen sind die Türen; der Passwortmanager hält Kopien der Schlüssel. Die amerikanische Cybersicherheitsbehörde CISA empfiehlt solche Werkzeuge, weil sie starke und einzigartige Passwörter erleichtern. Dieselbe Zentralisierung bündelt aber eben auch das Risiko an einer Stelle (CISA). Wird eine Tabellenkalkulation kompromittiert, ist zunächst ein Arbeitsprozess betroffen. Wird ein Zugangstresor kompromittiert, öffnen sich Wege in alle Systeme, die er absichern sollte.

Eine der irischen Behörden entschied sich für Passwork, weil die Software auf einem eigenen Server statt in der Cloud betrieben werden konnte. Lokaler Betrieb begrenzt bestimmte Datenflüsse. Er beseitigt aber nicht die Vertrauensbeziehung zum Hersteller. Der Code eines Passwortmanagers wird weiterhin über Aktualisierungskanäle gepflegt, die der Anbieter kontrolliert; über genau diesen Weg gelangt nach der Installation neuer Code ins System. Auch Supportzugänge und Konfigurationen bleiben dauerhafte Vertrauensverhältnisse (Le Monde). Wenn einer dieser Kanäle kompromittiert ist, schützt lokales Hosting allein die gespeicherten Geheimnisse nicht.

Europa hat die Regeln, nutzt sie aber nicht konsequent

„In der EU ansässig“ ist eine Angabe zur Handelsregisteradresse, kein Sicherheitsnachweis. Europa verfügt längst über Instrumente, um die Vertrauenswürdigkeit von Software zu prüfen. Der Zertifizierungsrahmen der EU-Cybersicherheitsagentur ENISA sieht unabhängige Bewertungen von Softwareprodukten vor (ENISA). Der 2024 beschlossene Cyber Resilience Act ordnet Passwortmanager den Produkten zu, für die vor dem Marktzugang in der EU dokumentierte Sicherheitskontrollen verlangt werden (CRA). Frankreichs nationale Cybersicherheitsbehörde empfiehlt Produkte mit formaler Sicherheitszertifizierung; Passwork besaß eine solche Zertifizierung nicht. Die NIS2-Richtlinie verpflichtet betroffene Organisationen zudem, Sicherheitspraktiken ihrer Lieferanten zu prüfen, nicht nur deren Rechnungen (NIS2).

Aus den bisherigen öffentlichen Stellungnahmen entsteht der Eindruck, dass die Behörden stark auf die europäische Selbstdarstellung des Anbieters vertrauten. Beschaffung darf sich bei sicherheitskritischer Software aber nicht mit der Frage begnügen, wo eine Firma registriert ist. Sie muss klären, wer den Code kontrolliert, wer Aktualisierungen ausspielen kann, wer die Supportkanäle betreibt und welche unabhängige Sicherheitsprüfung vorliegt.

Finnlands Inlandsnachrichtendienst Supo und der militärische Nachrichtendienst warnten im Juli 2026, russische FSB-Cyberspionage richte sich aktiv gegen finnische Unternehmen, vor allem über schlecht geschützte Netzwerkgeräte in Unternehmensumgebungen (Supo, Kyberturvallisuuskeskus). Diese Warnungen beziehen sich nicht auf Passwork. Sie erklären aber, warum ein Produkt mit einer FSB-lizenzierten Schwestergesellschaft zwingend in eine ernsthafte Lieferantenrisikoprüfung gehört.

Das französische Parlament schätzte zuletzt, dass rund 80 Prozent der öffentlichen Softwarekäufe über die zentrale Beschaffungsstelle des Landes an amerikanische Anbieter gehen, mit einem Volumen von etwa 1,5 Mrd. EUR jährlich für nicht-europäische Software (Banque des Territoires). Der Fall Passwork zeigt eine zweite Souveränitätslücke: undurchsichtige Eigentümerstrukturen hinter europäischen Etiketten. In Deutschland macht die NIS2-Umsetzung dieses Thema bereits zur Leitungsaufgabe. Geschäftsführungen können Lieferantenzugänge nicht mehr als bloße IT-Verwaltung behandeln (ComplyCheck).

Wenn das Vertrauen in einen Zugangstresor wegbricht, beginnt die Reaktion nicht mit der Deinstallation und endet auch nicht dort. Jedes gespeicherte Passwort, einschließlich Administratorzugängen und maschinell genutzter Zugangsdaten, muss als potenziell offengelegt behandelt und erneuert werden. Das Zero-Trust-Modell des amerikanischen NIST warnt genau vor der Annahme, eine einzelne vertrauenswürdige Schicht könne ein System dauerhaft absichern (NIST SP 800-207).

13.281 EUR kauften drei irischen Behörden einen Passwortmanager. Zugleich erhielt Europa eine Fallstudie darüber, was passiert, wenn Beschaffung Preis und Etikett prüft, aber nicht die Lieferkette hinter der Software, die die Schlüssel schützt.