Europees lijkende wachtwoordmanager lijkt Russisch te zijn

Een wachtwoordmanager die zich presenteert als Europees en veilig, blijkt in werkelijkheid Russische oorsprong te hebben en wordt mogelijk gebruikt door de Russische veiligheidsdienst FSB en het Ministerie van Defensie. Dit roept vragen op over de veiligheid van gevoelige data, aangezien bedrijven die in Rusland actief zijn vaak verplicht informatie over hun werking te delen met de overheid. ## Wat is Passwork en waarom is de oorsprong problematisch? Passwork is een wachtwoordmanager die zich richt op zowel particuliere als zakelijke gebruikers. Het bedrijf presenteert zich als Europees, met een vestiging in Spanje, en biedt een dienst aan voor het veilig opslaan en beheren van wachtwoorden en andere gevoelige informatie. Verschillende organisaties, waaronder overheidsinstanties, havens en zelfs een Nederlandse beheerder van zonneparken, hebben de software in gebruik genomen, vaak in de overtuiging dat ze een veilige en Europese oplossing kozen. Het onderzoek van Investico, NU.nl, De Groene Amsterdammer en De Tijd onthult echter dat Passwork in 2014 in Rusland is opgericht. Na de Russische invasie van Oekraïne werd het bedrijf verplaatst naar een brievenbusmaatschappij in Spanje om de Russische connectie te verbergen. Ondanks de verplaatsing blijft het bedrijf actief in Rusland en wordt het gebruikt door gevoelige overheidsinstanties, zoals de FSB en het Ministerie van Defensie. Dit roept serieuze vragen op over de onafhankelijkheid en de veiligheid van de software. De Russische wetgeving vereist dat bedrijven die actief zijn in de militaire sector uitgebreide informatie over hun werking verstrekken om een licentie te verkrijgen. Dit betekent dat de Russische overheid potentieel inzicht heeft in de werking van Passwork, wat een risico vormt voor de gebruikers, zelfs als er geen direct bewijs is van misbruik. Experts waarschuwen dat de makers van de software in theorie een ‘achterdeur’ zouden kunnen hebben ingebouwd, waardoor ongeautoriseerde toegang tot de data mogelijk is. ## Achtergrond en context: Russische software en nationale veiligheid De onthulling over Passwork past in een bredere trend van toenemende bezorgdheid over de veiligheid van software afkomstig uit landen met een autoritair regime. In de afgelopen jaren zijn er meerdere gevallen aan het licht gekomen waarbij software, aanvankelijk gepresenteerd als onafhankelijk en veilig, in werkelijkheid banden had met buitenlandse overheden en mogelijk werd gebruikt voor spionage of dataverzameling. Dit heeft geleid tot een heroverweging van de afhankelijkheid van buitenlandse software, met name in sectoren die cruciaal zijn voor de nationale veiligheid. De Russische invasie van Oekraïne heeft de aandacht op dit onderwerp nog verder vergroot. Westerse landen hebben sancties opgelegd aan Rusland, maar de afhankelijkheid van Russische software en technologie blijft een uitdaging. Het is vaak moeilijk om te bepalen waar software daadwerkelijk is ontwikkeld en wie er controle heeft, wat de risico's bemoeilijkt. De verplaatsing van bedrijven naar landen als Spanje, waar de regelgeving minder streng is, maakt het nog lastiger om de oorsprong en de controle over software te traceren. De situatie met Passwork illustreert de complexiteit van de internationale softwaremarkt. Bedrijven kunnen hun oorsprong verbergen en hun activiteiten verspreiden over verschillende landen, waardoor het voor gebruikers moeilijk is om een weloverwogen keuze te maken. Dit benadrukt de noodzaak voor meer transparantie en strengere regelgeving op het gebied van softwareontwikkeling en -distributie. Het Instituut Clingendael benadrukt dat de Russische overheid door deze constructies een aanzienlijk inzicht kan verkrijgen in de werking van de software. ## Reacties en gevolgen: Bezorgdheid en herbeoordeling De onthulling over Passwork heeft geleid tot bezorgdheid bij de organisaties die de software gebruiken. Hoewel er geen bewijs is van datalekken of misbruik, zijn veel gebruikers nu aan het heroverwegen of ze de software nog wel willen gebruiken. De Nederlandse beheerder van zonneparken, evenals de Franse havens, Ierse en Duitse overheidsorganisaties en universiteiten, zijn inmiddels aan het onderzoeken welke gevolgen dit heeft voor hun eigen beveiliging. De Nederlandse overheid heeft aangegeven de situatie te volgen en de risico's te evalueren. Het is mogelijk dat er aanbevelingen worden gedaan om het gebruik van Passwork te beperken of te verbieden, vooral in kritieke infrastructuur. Ook andere Europese landen zullen waarschijnlijk hun afhankelijkheid van Russische software herzien. De kwestie heeft de discussie over de veiligheid van digitale infrastructuur en de risico's van afhankelijkheid van buitenlandse technologie nieuw leven ingeblazen. Experts waarschuwen dat zelfs als klanten de dienst zelf hosten, er nog steeds een verbinding met de servers van Passwork vereist is, wat de potentiële risico's vergroot. Dit maakt het lastig om de software volledig te isoleren en de data te beschermen. De situatie onderstreept het belang van due diligence bij de selectie van softwareleveranciers en de noodzaak om de oorsprong en de eigendomsstructuur van software zorgvuldig te onderzoeken.