Bund arbeitet für Passwörter mit Software aus Russland

Fedpol und Armasuisse verwenden zur Wiederherstellung und Entschlüsselung von Passwörtern auf Handys oder Computern eine russische Software. Das geht aus einer Recherche von RSI vor. Wie sich herausstellt, gehören das Bundesamt für Polizei und jenes für Rüstung zu den Kunden der Russen-Firma Elcomsoft.

Experten warnen vor der Benutzung der Software. Zu denken geben ihnen die möglicherweise relevanten Sicherheitslücken. Das kommt nicht von ungefähr: Russland sorgte jüngst erneut mit Spionagefällen für Schlagzeilen.

Doch auch andere Tatsachen über die Firma machen hellhörig. Sie verschleiert zum Beispiel ihren Hauptsitz. Gemäss Webseite liegt er in Tschechiens Hauptstadt Prag. Nachforschungen zeigten aber: Er befindet sich in Moskau.

Die Adresse und die Information zum russischen Sitz sind seit dem Beginn des Angriffskriegs auf die Ukraine entfernt.

Der frühere Datenschutzbeauftragte der Kantons Wallis, Sébastien Fanti, macht sich ernsthafte Sorgen an der nationalen Cybersicherheit.

Behörden und Nachrichtendienste in Moskau hätten potenziell Zugang zu Arbeiten, die mit der Software durchgeführt werden. Das Unternehmen unterliege schliesslich russischem Recht.

«Was garantiert, dass es keine ‹Hintertür› gibt? Nichts», sagt der Technologie-Experte. Die Schweizer Behörden sollten Produkte eines «vertrauenswürdigen Partners» wählen, aus einem Land mit demokratischen Regeln und einem guten Rechtsstaat. Das sei bei Russland «nicht der Fall».

Fanti sieht die Überwachungssoftware von Elcomsoft als «eine Waffe. Und als solche sollte sie auch behandelt werden.»

Grünen-Nationalrat Gerhard Andrey, Mitglied der Sicherheitspolitischen Kommission, teilt die Bedenken. Er findet es problematisch, «wenn die Schweizer Behörden zu sehr von ausländischen Werkzeugen und Firmen abhängig sind». Vor allem, wenn sie «ihren Sitz in für uns problematischen Ländern haben – wie zum Beispiel Russland oder China».

Armasuisse bestätigt gegenüber RSI, die Elcomsoft-Software «zu Testzwecken» bezogen zu haben. Das Fedpol gibt an, man habe dieses Jahr vier Lizenzen für vier Elcomsoft-Produkte gelöst. Sie würden aber nur offline und damit ohne Verbindung zum Netzwerk verwendet.

Informatiker und Nationalrat Andrey sieht die Gefahr durch die Offline-Nutzung deshalb aber nicht gebannt. Er weist darauf hin, dass es auch Updates gebe.

Elcomsoft-CEO Wladimir Katalow hatte in der Vergangenheit Verbindungen zum russischen Geheimdienst und versteckte Sicherheitslücken in den Produkten bestritten. Seine Firma bietet sich als Partner für Ermittlungsbehörden, Geschäfts- und Privatkunden an.

Katalow sagte RSI erst für eine Stellungnahme zu, war später aber nicht mehr erreichbar.