Een wachtwoordkluis is de sleutelbos van uw organisatie. Wie die kluis bouwt en onderhoudt, zit dicht bij alles wat u probeert te beschermen. Vandaag werd bekend dat verschillende Europese bedrijven met vitale infrastructuur die sleutelbos jarenlang hebben toevertrouwd aan software die zich presenteert als made in EU, maar in werkelijkheid in Rusland is opgericht — en die op de Russische markt staatsbedrijven en door de EU gesanctioneerde raketfabrikanten als klant noemt. Het is een casus die laat zien waarom geopolitiek risicomanagement voor bestuurders geen abstractie meer is.

Dat blijkt uit onderzoek van het journalistencollectief OCCRP, in samenwerking met onder meer Investico, NU.nl, De Groene Amsterdammer, Le Monde en De Tijd. Het gaat om Passwork, een zakelijke wachtwoordmanager die onder meer in gebruik was bij een van de grootste beheerders van Nederlandse zonneparken, een Frans havenbedrijf en Ierse overheidsinstanties.

Laten we beginnen met wat het onderzoek niet aantoont. De onderzoekers vonden geen bewijs dat de software bewust achterdeurtjes bevat, en geen bewijs dat de software wachtwoorden heeft buitgemaakt. Passwork zelf stelt dat de software veilig en betrouwbaar is en dat wachtwoorden uitsluitend op de servers van klanten zelf worden opgeslagen. Toch is dit een leerzame casus — juist omdat het risico hier niet in een lek zit, maar in een structuur die bij de bevraagde klanten niet in beeld was.

Wat het onderzoek blootlegde

Op de Engelstalige website oogt Passwork onberispelijk Europees: made in EU, conform de Europese privacy- en cybersecuritywetgeving. De werkelijkheid achter die etalage is aanmerkelijk ingewikkelder.

Passwork werd in 2014 in Rusland opgericht. Enkele jaren later schreven de bestuurders op een Russisch techblog onomwonden dat software uit Rusland buiten de eigen landsgrenzen op weinig vertrouwen kan rekenen: om Passwork in het Westen te promoten, was een bedrijf in een “normaal” land nodig. Eerst kwam er een samenwerking met een Finse ondernemer die ook als adviseur voor de Russische regering werkte. Na de invasie van Oekraïne werd het Finse bedrijf opgeheven en verschenen er nieuwe entiteiten in Spanje en de Verenigde Arabische Emiraten.

Sindsdien staat er een hoofdkantoor in Barcelona op de site. Toen een collega van het collectief er langsging, bleek dat adres een brievenbus. Op hetzelfde adres zit een Russischtalig advocatenkantoor dat klanten helpt met het oprichten van bedrijven in Spanje.

Op de Russische website presenteert Passwork zich heel anders. Daar staan staatsbedrijven als Gazprom en de raketfabrikanten Almaz-Antey en Avangard op de klantenlijst. Almaz-Antey en Avangard vallen onder Europese sancties. Daarnaast beschikt Passwork over licenties van het Russische ministerie van Defensie en van veiligheidsdienst FSB om defensiebedrijven te mogen bedienen. Voor zulke licenties moet de Russische staat gedetailleerde informatie krijgen over de werking van het product.

Waarom juist een wachtwoordkluis zwaar weegt

Bij een wachtwoordmanager is de vertrouwensvraag scherper dan bij vrijwel elke andere applicatie. IT-deskundige Bert Hubert vat het in het onderzoek kort samen: van een partij die ook zaken doet in Rusland, of die aan Russische wetgeving moet voldoen, zou je meteen moeten zeggen: laat maar.

Het technische tegenargument — “de wachtwoorden staan lokaal” — is minder geruststellend dan het klinkt. Cybersecurityexpert Ronald Prins wijst erop dat de software hoe dan ook contact maakt met een centrale server, bijvoorbeeld om te controleren of een gebruiker een geldig abonnement heeft. Daardoor blijven wachtwoorden volgens hem kwetsbaar voor diefstal, zelfs als ze in principe alleen lokaal worden opgeslagen en de server in Europa staat. “Daar kunnen ze vanuit Moskou natuurlijk ook gewoon op inloggen”, zegt Prins.

Bart van den Berg van Instituut Clingendael wijst op een tweede laag: doordat de Russische staat voor de licentieverlening gedetailleerd inzicht in het product krijgt, kan het Kremlin volgens hem “vergaand inzicht in de software en zijn kwetsbaarheden” hebben. Omdat de Europese en Russische versies van Passwork sterk op elkaar lijken, vreest hij dat die kennis ook tegen Europese gebruikers kan worden ingezet. Dat zou volgens hem passen in de schaduwoorlog die Rusland met Europa voert.

Op het hoogste niveau klinken deze week vergelijkbare zorgen. EU-buitenlandchef Kaja Kallas veroordeelde afgelopen maandag het “kwaadaardige cyberecosysteem” van de Russische veiligheidsdienst FSB, die volgens haar achter spionage en hacks in tien EU-landen zit, gericht op overheden en cruciale infrastructuur. De EU en het Verenigd Koninkrijk kondigden daarbij hun grootste gezamenlijke cybersanctiepakket tot nu toe aan. Eerder deze maand meldde de AIVD nog dat Nederland doelwit is van een Russische spionageoperatie via IP-camera’s.

Wie de software gebruikten — en hoe zij reageerden

Hoeveel Europese klanten Passwork precies heeft, valt van buitenaf niet vast te stellen. Zestien organisaties bevestigden tegenover de onderzoekers dat zij de software hebben gebruikt. Onder de gebruikers die het onderzoek identificeerde: Novar, een van de grootste bouwers en beheerders van zonneparken in Nederland; Haropa Port, dat drie grote Franse havens exploiteert; twee Ierse overheidsinstanties; de Duitse regio Hildesheim; en de Universiteit van Zürich. Het Franse telecombedrijf Orange laat weten dat Passwork op een “zeer bescheiden” manier werd ingezet bij een dochteronderneming. In Nederland gebruikten ook regionale omroep RTV Noord en ICT-bedrijf Lucrasoft de software; Lucrasoft installeert Passwork blijkens de eigen site ook bij mkb-klanten.

Belangrijk voor een eerlijk beeld: enkele grote bedrijven die door Passwork zelf als klant werden genoemd, waaronder het Italiaanse energiebedrijf Enel en Deutsche Telekom, ontkennen de software ooit te hebben gebruikt. Geen van de bevraagde klanten wist van de Russische achtergrond.

De reactie van Novar is in dit opzicht leerzaam. Het bedrijf nam Passwork na de melding per direct buiten gebruik, paste wachtwoorden aan en deed melding bij het Nationaal Cyber Security Centrum en bij branchevereniging Holland Solar. Dat is precies de volgorde die u wilt zien: isoleren, roteren, melden. RTV Noord zegt overtuigd te zijn dat Passwork “een Spaans bedrijf met wortels in Finland” is en blijft de software gebruiken.

Dat Novar hier opdook, is geen toeval. Volgens Chris van ’t Hof van het Dutch Institute for Vulnerability Disclosure vormen partijen met veel zonnepanelen “onder de knop” een aantrekkelijk doelwit: wie genoeg omvormers beheerst, kan een grootschalige stroomstoring veroorzaken. Dat is in zijn woorden veel effectiever dan een vliegtuig of een bom. Wie wil begrijpen wat zo’n uitval betekent, leest ons artikel over buitenlandse digitale diensten en de Nederlandse digitale autonomie.

Directeur Alexander Muntyan van het Spaanse bedrijf achter Passwork claimt dat de Europese versie volledig wordt losgekoppeld van de Russische: geen gedeelde servers, klantgegevens of systemen. Uit het onderzoek blijkt echter dat beide versies tot nu toe in een vergelijkbaar tempo updates krijgen, met dezelfde versienummers en omschrijvingen. Muntyan, die zelf de Russische nationaliteit heeft, spreekt van een “transitiefase” en zegt dat de Europese tak vanaf augustus op eigen benen staat.

Geopolitiek risicomanagement voor bedrijven begint bij één vraag: wie is de eigenaar?

De meeste inkooptrajecten toetsen op functionaliteit, prijs, certificering en verwerkersovereenkomst. Op de Engelstalige site van Passwork valt te lezen dat de software “made in EU” is en voldoet aan Europese privacy- en cybersecuritywetgeving — precies het soort geruststelling waarop zo’n lijstje afgaat. En toch bleek de vraag die daaronder ligt niet gesteld. Goed geopolitiek risicomanagement voor bedrijven begint daarom niet bij het product, maar bij de eigendomsstructuur erachter.

1. Wie is de uiteindelijke eigenaar — en waar zit die?

Niet: waar staat het postadres. Maar: wie zijn de uiteindelijk belanghebbenden, waar wonen de ontwikkelaars, en waar staat de broncode. Een Spaanse BV zegt weinig als het engineeringteam elders zit. Een bezoek aan het opgegeven hoofdkantoor — of een blik in het handelsregister — is soms al genoeg.

2. Onder welke jurisdictie valt de leverancier werkelijk?

Een leverancier die in een land actief is, valt onder de wetgeving van dat land — inclusief medewerkingsplichten tegenover diensten. Dat geldt niet alleen voor Rusland; het is precies de discussie die ook over Amerikaanse clouddiensten wordt gevoerd. De vraag is niet of een bedrijf te goeder trouw is, maar of het te allen tijde zelf kan bepalen wat het doet.

3. Waar staat de data — en waar staat de controle?

Dataresidentie en zeggenschap zijn twee verschillende dingen. Zoals Prins opmerkt: een licentieserver, een updatekanaal of een telemetrieverbinding kan de controle buiten uw regio leggen terwijl de data er formeel binnen blijft. Vraag naar élke uitgaande verbinding die het product maakt.

4. Wat is het plan als deze leverancier morgen onbruikbaar is?

Dit is de continuïteitsvraag, en hij is bij een wachtwoordkluis bijzonder pijnlijk: als u de kluis per direct moet verlaten, moet u in korte tijd alle daarin opgeslagen geheimen roteren. Novar deed dat. Heeft u dat scenario ooit geoefend?

Van inkooplijst naar continuïteitsscenario

ISO 22301, de norm voor business continuity management, biedt hier het methodische houvast. De business impact analyse dwingt u om per kritiek proces te benoemen welke leveranciers eraan vastzitten en wat er gebeurt als die wegvallen. Cruciaal is dat u “wegvallen” ruim genoeg definieert: niet alleen faillissement of storing, maar ook onbruikbaar geworden door een vertrouwensbreuk. Dat laatste scenario is precies wat deze week op tafel kwam bij de organisaties die Passwork gebruikten. Zie ook onze complete gids over business continuity management.

Daar komt de regelgeving bij. Onder NIS2 strekt de zorgplicht zich uitdrukkelijk uit tot de keten: uw leveranciers zijn onderdeel van uw risicobeheer, niet een excuus ernaast. Wat dat concreet betekent voor uw organisatie, leest u in ons overzicht van de NIS2-richtlijn en crisismanagement.

Lessen voor Nederlandse organisaties

Inventariseer uw geheimenbeheer. Weet u welke wachtwoordkluis, secrets manager of certificaatbeheerder in gebruik is — ook bij dochters en bij uw IT-dienstverlener? Lucrasoft rolde Passwork uit bij mkb-klanten; die klanten hebben de software vermoedelijk niet zelf gekozen.
Voeg een herkomsttoets toe aan inkoop. Uiteindelijke eigendom, jurisdictie, locatie van het engineeringteam. Drie vragen, één keer per leverancier.
Oefen de vertrouwensbreuk. Een tabletop waarin een kernleverancier van de ene op de andere dag onbruikbaar wordt, legt binnen een uur bloot hoe lang uw rotatie werkelijk duurt.
Leg de meldroute vast. Novar wist het NCSC en de branchevereniging te vinden. Weet uw dienstdoende manager dat om 23.00 uur ook?
Wees eerlijk over wat u niet weet. “Geen bewijs van misbruik” is geen bewijs van veiligheid — maar het is ook geen bewijs van schuld. Beoordeel op risico, niet op verontwaardiging.

De ongemakkelijke kern van deze zaak is niet dat er iets is misgegaan. Het is dat de klanten die het onderzoek benaderde niet wisten aan wie ze hun sleutels hadden gegeven — en dat pas van een journalist hoorden. Geopolitiek risicomanagement voor bedrijven is geen abstractie meer voor de directiekamer; het is een inkoopvraag, een continuïteitsvraag en een oefenvraag geworden.

Wilt u toetsen hoe uw organisatie reageert als een kernleverancier van de ene op de andere dag onbruikbaar blijkt? In onze crisissimulaties en tabletop-oefeningen spelen we precies dat scenario — met uw eigen leverancierslandschap als uitgangspunt.