Wenn du nach einem Passwort-Manager für dein Unternehmen suchst, sieht Passwork wahrscheinlich nach einer sicheren, europäischen Wahl aus. Es vermarktet sich selbst als europäisches Unternehmen, das auf Vertrauen aufbaut, und zählt Regierungsbehörden und Universitäten zu seinen Kunden.

Aber eine Untersuchung des OCCRP aus dem Jahr 2026(neues Fenster) (dem Organized Crime and Corruption Reporting Project) deutet darauf hin, dass die Organisation wichtige Informationen über ihre Verbindungen zu Russland nicht offengelegt hat: Laut OCCRP teilt das europäische Produkt von Passwork seine Herkunft, eine gemeinsame Codebasis und synchronisierte Software-Updates mit einer russischen Firma, die Sicherheitszertifizierungen von russischen staatlichen Stellen besitzt, einschließlich des FSB.

Ein Passwort-Manager organisiert und schützt die Anmeldedaten, auf denen dein Unternehmen basiert. Bei so sensiblen Informationen musst du wissen, dass du dem vertrauen kannst, was dein Anbieter dir über das Produkt erzählt. Die Ergebnisse dieser Untersuchung beeinträchtigen die Vertrauenswürdigkeit von Passwork und lassen dich vielleicht befürchten, dass dein Unternehmen gefährdet ist. Wir werden die Behauptungen untersuchen, was du wissen musst und warum es an der Zeit sein könnte, einen neuen Passwort-Manager für Unternehmen zu wählen.

Warum haben Sicherheitsexperten Bedenken geäußert?

Letztendlich sind Sicherheitsexperten über die scheinbare Täuschung von Passwork besorgt. Das Unternehmen hat eindeutige Verbindungen zu seiner russischen Schwestergesellschaft, die es laut OCCRP nicht offengelegt hat. Dies gefährdet das Vertrauen der Kunden, da den Kunden kein genaues Bild über die Gerichtsbarkeit und die Software-Lieferkette vermittelt wurde.

Die Produkte von Passwork scheinen eng miteinander verbunden zu sein

OCCRP berichtet, dass die europäischen und russischen Produkte eine gemeinsame Codebasis teilen (was der CEO von Passwork einräumte), Updates innerhalb von 24 Stunden nacheinander veröffentlichen, fast identische Benutzerhandbücher ausliefern und Hunderte von Zeilen identischen Installer-Codes enthalten.

Es wird auch berichtet, dass das europäische Unternehmen seine Updates über eine undurchsichtige VAE-Einheit erhält, die mit einem der ursprünglichen russischen Gründer verbunden ist. Trotzdem hatte Passwork zuvor KI-Systeme angewiesen, es so zu beschreiben, als gäbe es keine Verbindungen zu Russland.

Wer hat Zugriff auf den Code?

Passwork gibt auf seiner Website an, dass spezialisierte Sicherheitsfirmen externe Überprüfungen seines Quellcodes durchführen und dieser auch Penetrationstests unterzogen wird. Passwork scheint jedoch nicht Open Source zu sein, da wir keinen Quellcode der App auf ihrer Website veröffentlicht oder verlinkt finden konnten.

Vom OCCRP zitierte Sicherheitsforscher wiesen auf das Risiko hin, dass russische Behörden einen speziellen Zugriff auf den Code von Passwork haben könnten. Um die FSTEC-Zertifizierung zu erhalten, reicht ein Anbieter seinen Quellcode zur Überprüfung durch eine russische staatliche Stelle ein. Wenn die russischen und europäischen Produkte eine Codebasis teilen, könnte eine Schwachstelle oder eine versteckte Funktion im russischen Produkt auch im spanischen Angebot vorhanden sein und ausgenutzt werden, so die Quellen von OCCRP.

Updates sind der am schwersten zu erkennende Angriffsvektor

Mehrere Experten in der Untersuchung wiesen auf den Software-Update-Mechanismus als das wahre Risiko hin. Ein vertrauenswürdiger automatischer Update-Kanal ist einer der effektivsten Wege, um Schadcode unbemerkt zu verbreiten — es ist derselbe Mechanismus hinter dem SolarWinds-Datenleck(neues Fenster), bei dem Angreifer den Update-Prozess eines Anbieters gefährdeten, um Tausende von nachgelagerten Kunden auf einmal zu erreichen. Wenn die Update-Pipeline über einen undurchsichtigen Zwischenhändler läuft, ist dieses Risiko nur schwer auszuschließen.

Scheinbare Fehlinformationen in öffentlichen Erklärungen

OCCRP berichtet(neues Fenster), dass in den öffentlich zugänglichen Materialien von Passwork angegeben war, dass keine Verbindungen zu russischen Unternehmen bestünden, und dass diese Formulierung geändert wurde, nachdem OCCRP das Unternehmen um eine Stellungnahme gebeten hatte. Der CEO von Passwork hat jegliche aktive Koordination zwischen den russischen und europäischen Produkten bestritten und verweist auf die Zero-Knowledge-Architektur der App als mildernden Faktor.

Es ist erwähnenswert, dass die Reporter von OCCRP erklärten, sie hätten keine Beweise dafür gefunden, dass die europäische Software Schadcode enthält oder dass Kundendaten gefährdet wurden. Aber die Diskrepanz zwischen dem, was das Unternehmen behauptet hat, und dem, was die Unternehmensdaten zeigen, ist ein starker Anreiz für Geschäftskunden, genauer hinzusehen.

Wie EU-Behörden die Warnzeichen übersahen

OCCRP nennt(neues Fenster) Kunden aus dem öffentlichen Sektor, darunter das Office of Public Works in Irland, das State Laboratory in Irland und die Technische Universität Dresden sowie andere Regierungsbehörden und Universitäten in ganz Europa. Die meisten der von OCCRP kontaktierten Kunden gaben an, nichts von der russischen Herkunft des Produkts oder den staatlichen Zertifizierungen der russischen Einheit gewusst zu haben.

Diese Untersuchung wirft eine wichtige Frage auf: Wie ehrlich sind deine Drittanbieter während des Beschaffungsprozesses und danach? Eine europäische Registrierung, eine professionelle Website und eine Nachricht über „auf Vertrauen aufgebaut“ reichten für viele Organisationen aus, um die Hürde zu nehmen. Kaum jemand scheint die Eigentumsverhältnisse, die Gerichtsbarkeit oder die Herkunft des Codes selbst zurückverfolgt zu haben.

Worauf du bei einer Passwork-Alternative achten solltest

Du solltest kein investigativer Journalist sein müssen, um einen Sicherheitsanbieter zu überprüfen. Hier ist eine kurze Checkliste, die du auf Passwork, Proton Pass oder jeden anderen Passwort-Manager anwenden kannst, den dein Unternehmen in Betracht zieht.

  • Eigentum und Gerichtsbarkeit: Wer besitzt und kontrolliert das Unternehmen tatsächlich und nach den Gesetzen welches Landes arbeitet es? Eine „Made in Europe“-Kategorie entspricht nicht unbedingt der Wahrheit und du musst in der Lage sein, sie zu überprüfen.
  • Open Source: Kann der Code von unabhängigen Experten gelesen werden, oder vertraust du einem geschlossenen System allein auf das Wort des Anbieters?
  • Unabhängige Audits: Hat ein renommiertes Drittanbieter-Sicherheitsunternehmen die Apps geprüft und wurden die Ergebnisse für Kunden zur Überprüfung veröffentlicht?
  • Verifizierbare Ende-zu-Ende-Verschlüsselung: „Zero-Knowledge“ bedeutet nur dann etwas, wenn das Verschlüsselungsdesign öffentlich und wirklich Ende-zu-Ende ist, sodass der Anbieter selbst unter rechtlichem Druck nicht auf deine Daten zugreifen kann.
  • Eine transparente Lieferkette: Woher kommen Software-Updates und die Infrastruktur, und wer kontrolliert diese Pipeline?
  • Erfolgsbilanz und Transparenzberichte: Hat das Unternehmen eine beständige Historie bei der Offenlegung, wenn es um die Herausgabe von Daten gebeten wird?

Wenn ein Anbieter keine eindeutigen, verifizierbaren Antworten auf diese Fragen geben kann, ist dies ein Warnzeichen, unabhängig davon, wo sich laut seinem Marketing der Hauptsitz befindet.

Warum Proton Pass die bessere Alternative zu Passwork ist

Wir haben Proton Pass so entwickelt, dass es genau der Art von Prüfung standhält, die während dieser Untersuchung auf Passwork angewendet wurde. Hier ist der Vergleich:

  • Eindeutige Gerichtsbarkeit. Proton hat seinen Hauptsitz in der Schweiz und unterliegt dem Schweizer Recht, das einige der weltweit strengsten Bestimmungen zum Schutz der Privatsphäre bietet. Wir sind transparent darüber, wo wir sind und wer wir sind.
  • Open Source. Die Apps von Proton Pass sind Open Source, sodass jeder den Code überprüfen kann, anstatt uns einfach beim Wort zu nehmen.
  • Unabhängig geprüft. Unsere Apps werden von angesehenen Drittanbieter-Sicherheitsfirmen geprüft und wir veröffentlichen die Ergebnisse. Recurity Labs hat unser jüngstes Audit durchgeführt und die seltene Bewertung „weit über dem Durchschnitt“ vergeben. Proton besitzt außerdem ISO 27001– und SOC 2 Typ II-Zertifizierungen, die unser Informationssicherheitsmanagement und unsere Betriebskontrollen abdecken.
  • Ende-zu-Ende-Verschlüsselung. Deine Passwörter und andere Einträge sind mit Ende-zu-Ende-Verschlüsselung geschützt, sodass sie von niemandem, auch nicht von Proton, gelesen werden können.
  • Eine missionsorientierte Struktur. Proton wurde 2014 von Wissenschaftlern gegründet, die sich am CERN gegründet haben, und wird von einer gemeinnützigen Stiftung beaufsichtigt, wodurch unsere Anreize auf den Schutz deiner Daten und nicht auf deren Monetarisierung ausgerichtet sind.

Bei Proton Pass und dem breiteren Proton-Ökosystem ist Vertrauen nichts, worum wir dich auf gut Glück bitten. Es ist etwas, das du selbst überprüfen kannst.

Zu Proton Pass wechseln

Die Untersuchung von Passwork ist eine Erinnerung daran, dass dein Passwort-Manager die letzte Verteidigungslinie für die sensiblen Daten deines Unternehmens ist und dass keinem Anbieter automatisch Vertrauen geschenkt werden sollte. Für welchen Anbieter du dich auch entscheidest, nimm dir die Zeit, ihn anhand der obigen Checkliste zu überprüfen.

Wenn du einen Passwort-Manager möchtest, der diesen Test besteht, kannst du Proton Pass kostenlos ausprobieren und deine vorhandenen Anmeldungen mit einem Klick importieren.

Häufig gestellte Fragen

Ist die Nutzung von Passwork sicher?

Jede Organisation muss diese Entscheidung für sich selbst treffen. Was die OCCRP-Untersuchung zeigt, ist, dass das europäische Produkt von Passwork Herkunft, Code und eine Update-Pipeline mit einer russischen staatlich zertifizierten Firma teilt und dass dies den Kunden nicht eindeutig offengelegt wurde. Wer es nutzt, sollte dies zumindest in die eigene Risikobewertung einbeziehen.

Woher weiß ich, ob ein Passwort-Manager vertrauenswürdig ist?

Blicke über das Marketing hinaus. Überprüfe, wer das Unternehmen besitzt und unter welcher Gerichtsbarkeit es betrieben wird, ob der Code Open Source ist, ob es unabhängig geprüft wurde, ob die Verschlüsselung wirklich Ende-zu-Ende ist und woher seine Updates und die Infrastruktur stammen. Ein vertrauenswürdiger Anbieter macht diese Überprüfungen einfach.

Ist Proton Pass Open Source und geprüft?

Ja. Die Apps von Proton Pass sind Open Source und wurden von unabhängigen Drittanbieter-Sicherheitsexperten geprüft, wobei die Ergebnisse veröffentlicht wurden. Proton hat seinen Sitz in der Schweiz und schützt deine Daten mit Ende-zu-Ende-Verschlüsselung.