Het grootste deel van het jaar is het koud in Archangelsk, een industriële stad vlak bij de poolcirkel, in het noordwesten van Rusland. Winterse nachten zijn pikzwart, de korte dagen nauwelijks meer dan schemer. ‘Juist die zware omstandigheden maken mensen hier vindingrijk,’ zegt de gouverneur van de regio tegen jonge ondernemers en wetenschappers die zich in april 2017 verzameld hebben in een universiteitsgebouw in de stad.¹

Ze zijn afgekomen op de ‘Startup Tour’ van de Skolkovo Foundation, een prestigieus, door het Kremlin gesteund innovatieprogramma dat het Russische antwoord op Silicon Valley moest zijn.² Twee dagen lang volgen bijna vijfhonderd jonge uitvinders³ masterclasses, en pitchen zij hun project aan een jury van investeerders en bekende ondernemers. Zo ook Archangelsker Ilya Garakh, een 32-jarige softwareontwikkelaar met een kort opgeschoren kapsel en volumineuze kuif.⁴ Samen met zijn co-founder verkoopt hij dan al een paar jaar software voor een alledaags probleem: het vergeten van je wachtwoorden. De oplossing? Een manager die alle wachtwoorden beheert. De oprichters omschrijven het als ‘Dropbox, maar dan voor bedrijfswachtwoorden’⁵ – en noemen het Passwork.

Passwork wint de prijs voor het innovatiefste idee in de IT-categorie. Op de foto’s van de prijsuitreiking staat Garakh met een bescheiden blik op het podium, een certificaat in zijn handen. Achter hem prijkt een grote kaart van Rusland.⁶ Na de winst mag Garakh door naar de jaarlijkse startupconferentie in Moskou - waar de meeste Russische tech bro’s uiteindelijk neerstrijken. Maar Garakh opent liever een kantoor in het verre noorden.⁷

Onder toezicht van de FSB

Van Archangelsk groeit Passwork uit tot een softwareleverancier van grote Russische banken,⁸ staatsbedrijven als Gazprom⁹ en Transneft,¹⁰ en een flink aantal defensiebedrijven die door de Europese Unie gesanctioneerd zijn¹¹ – waaronder raketfabrikant Avangard¹², producent van luchtverdedigingssystemen Almaz-Antey¹³, en vliegtuigbouwer United Aircraft Corporation.¹⁴ Het gaat opereren onder toezicht van de FSB¹⁵ - de belangrijkste Russische veiligheidsdienst - en komt zelfs in een officieel register van binnenlandse software, dat bedoeld is om buitenlandse software van overheden en staatsbedrijven te vervangen door Russische alternatieven.¹⁶

Terwijl andere Russische bedrijven in de afgelopen jaren van het Europese toneel verdwenen,¹⁷ vindt Passwork óók zijn weg naar klanten in Europa. Dat lukt door online precies het juiste jasje aan te trekken. Het bedrijf ontwikkelt twee websites; een Engelstalige en een Russische.¹⁸ Op de Cyrillische prijst het zich aan als Russische software,¹⁹ terwijl de Engelstalige versie juist belooft ‘Made in Europe’ te zijn²⁰. En met teksten als ‘Gekozen door overheidsinstanties en sterk gereguleerde sectoren in heel Europa,’²¹ speelt het in op de Europese wens voor digitale soevereiniteit.²²

En dat slaat aan. Journalistencollectief OCCRP identificeerde in samenwerking met verschillende Europese media, waaronder Investico, De Groene Amsterdammer, NU.nl, Le Monde en De Tijd, meerdere bedrijven die Passwork de afgelopen jaren in gebruik namen of uitprobeerden. Een deel van die bedrijven wordt door Passwork zelf genoemd op hun website en bevestigde ons de software te gebruiken,²³ van anderen konden we online een inlogportal voor Passwork terugvinden.²⁴ Vier van die bedrijven zijn Nederlands.²⁵ Zij vormen waarschijnlijk het topje van de ijsberg: Passwork levert software voor intern gebruik, wat in de meeste gevallen van buitenaf niet te traceren is.²⁶ Zelf zegt Passwork wereldwijd meer dan tienduizend klanten te bedienen.²⁷

‘Veel te gevaarlijk’

Experts noemen het gebruik van de software ‘naïef’ en ‘amateuristisch’.²⁸ ‘We hoeven ons geen illusies te maken’, zegt Bart van den Berg, hoofd van de veiligheidsafdeling bij het Clingendael Instituut.²⁹ We vonden geen bewijs voor onwettige praktijken van Passwork, maar bedrijven die onder Russische wetgeving en invloed vallen, zijn verplicht mee te werken aan verzoeken van de veiligheids- en inlichtingendiensten.³⁰ Bovendien wordt de software van bedrijven als Passwork, die overheidsorganisaties bedienen, óók technisch onderzocht door staatsgeaccrediteerde instanties.³¹ Dat vergroot volgens experts de kans dat de Russische autoriteiten toegang kunnen afdwingen tot gevoelige systemen, of gebruik kunnen maken van kwetsbaarheden in de software.³² Van den Berg: ‘Rusland voert een schaduwoorlog met Europa. Dus het lijkt me niet verstandig om de digitale sleutels van je huis aan zo’n partij te overhandigen. Dat is veel te gevaarlijk.’³³

‘De sleutel van je sleutelkastje’, zo omschrijft cyberbeveiligingsexpert Bert Hubert wachtwoordmanagers.³⁴ De software helpt individuen en bedrijven om grote hoeveelheden wachtwoorden op te slaan, te delen en te beheren. De overheid moedigt het gebruik van dit soort software actief aan, omdat zo’n digitale kluis in principe veel veiliger is dan één wachtwoord dat voor twintig verschillende accounts wordt hergebruikt.³⁵

Toch vindt Hubert het gebruik ervan ‘ontzettend spannend’. Hij vergelijkt wachtwoordmanagers met airbags: ‘Je kunt het niet testen - hij doet het maar één keer.’ Het probleem is dat je zo’n programma niet zelf kunt testen. Je moet er dus blind op vertrouwen dat de software precies doet wat hij zegt dat hij doet, en niet stiekem wachtwoorden doorgeeft aan iemand anders of onversleuteld opslaat op ‘het moederschip’ - de centrale server waar jij als gebruiker geen zicht op hebt.

‘Het kan zelfs zo zijn dat jij, als je een interessante gebruiker bent, een “speciale” update krijgt’, zegt Hubert. Of, nog wat sneakier, de softwarebouwer laat de achterdeur op een kier staan en op dat moment wandelen de staatshackers binnen.’ Dat betekent, vat Hubert samen, dat je enorm veel vertrouwen moet hebben in de leverancier. ‘En van een club die ook zaken doet in Rusland, of aan Russische wetgeving moet voldoen, zou je meteen moeten zeggen: “Laat maar.”’

Passwork wist zich binnen te wurmen bij minstens zestien Europese organisaties.³⁶ Zo wordt het in Ierland gebruikt door het laboratorium van de Ierse overheid en de dienst Openbare Werken, die het merendeel van het vastgoed van de staat beheert.³⁷ Afdelingen van universiteiten van het Zwitserse Zürich en het Duitse Dresden beheren er ook wachtwoorden mee. Tot de gebruikers horen verder Haropa Port, het havenbedrijf van onder meer Le Havre, de belangrijkste haven van Frankrijk.³⁸ Het Duitse district Hildesheim en het Franse telecombedrijf Orange bevestigen de software te gebruiken.³⁹

Vier Nederlandse organisaties

Ook in Nederland duikt Passwork op. Minstens vier organisaties hebben de software gebruikt.⁴⁰ Waaronder de regionale publieke omroep RTV Noord, die in november 2025 al getroffen werd door een ongerelateerde hack.⁴¹ ICT-groep Lucrasoft gebruikt Passwork én installeert het ook bij klanten.⁴² En Novar - voorheen Solarfields⁴³ - was in ieder geval in 2023 al klant bij Passwork.⁴⁴

Zeker dat laatste bedrijf is volgens experts een aantrekkelijk doelwit voor buitenlandse inmenging.⁴⁵ Novar ontwikkelde afgelopen jaren tientallen grote duurzame energieprojecten in Nederland en omringende landen, zoals zonneparken en laadpleinen - en beheert die in veel gevallen ook.⁴⁶ In de Groningse Eekerpolder realiseerde het kortgeleden het grootste zonnepark van Nederland.⁴⁷

Door meerdere van zulke energiebedrijven te hacken, zouden kwaadwillenden een grootschalige stroomstoring kunnen veroorzaken. Een ‘hackout’ noemt Chris van ‘t Hof dat.⁴⁸ Hij is directeur van het Dutch Institute for Vulnerability Disclosure (DIVD) - ‘helpende hackers’ noemen ze zichzelf - dat onder andere kwetsbaarheden in het energiesysteem onderzoekt. Volgens Van ‘t Hof is Rusland bij zo’n hack out verdachte nummer één, het is voor hen een interessante manier om te saboteren. ‘Je kan op afstand heel veel schade toebrengen in een korte tijd. En het is heel moeilijk aan te tonen wie de dader was. Kijk, ze kunnen ook een vliegtuig of een raket sturen. Maar dan kunnen we vrij snel zeggen: daar komt een Russische raket. Nu is het oorlog.’

Passwork is natuurlijk niet de enige mogelijke ingang voor hackers. Maar hoe minder kwetsbaar dit soort bedrijven zijn voor een digitale inbraak, hoe kleiner de kans op een succesvolle aanval. Eind december wisten aan Rusland gelieerde hackers bijvoorbeeld tientallen wind- en zonnepanelenparken in Polen te verstoren. Polen kon toen nog maar net voorkomen dat een half miljoen mensen zonder stroom kwam te zitten.⁴⁹ Dat risico loopt Nederland ook, vreest Van ‘t Hof. Nederland is een van de snelst groeiende landen binnen de Europese Unie op het gebied van duurzame energie,⁵⁰ maar in al die innovatiedrift is er niet altijd tijd voor cybersecurity. Die nieuwe, kleinere partijen beseffen volgens Van ‘t Hof niet altijd dat zij de zwakste schakel kunnen zijn.

Doordat Nederland zo’n belangrijk knooppunt in het Europese elektriciteitsnetwerk is⁵¹, heeft een hack-out in ons land extra impact. ‘Met een grote hack zit de rest van Europa hoogstwaarschijnlijk ook zonder stroom.’ Van ‘t Hof ligt daar wakker van. ‘Ik zal er eerlijk over zijn: het is een groot wonder dat het nog niet is gebeurd. Dit gaat een keer mis.’

‘Russische advocaten’

Op het bord naast de ingang van het verzamelgebouw in de binnenstad van Barcelona staan tientallen bedrijfsnamen, maar Passwork is er niet één van.⁵² Op haar Europese website presenteert Passwork zich als een Fins bedrijf, dat haar hoofdkantoor van Helsinki naar Spanje verplaatste.⁵³ Maar als een collega-journalist van OCCRP zich begin mei naar dat adres begeeft, ziet hij geen spoor van al die medewerkers die softwareupdates schrijven of nieuwe producten ontwikkelen. De naam van het bedrijf doet ook geen belletje rinkelen bij de portier. Op de tweede etage, vijfde deur, zitten volgens de portier ‘Russische advocaten’. Die advocaten helpen klanten onder andere met verblijfsvergunningen en het openen van bedrijven in Spanje.⁵⁴

Waarom een Russisch softwarebedrijf zich achter een adres in Europa verschuilt, legden de oprichters van Passwork in 2017 zelf uit op een Russisch techplatform.⁵⁵ De zaken gaan dan best goed, maar ze hebben zich gerealiseerd dat ‘mensen producten uit Rusland niet echt vertrouwen’. Ze werden naar eigen zeggen ‘Poetins project om wachtwoorden te stelen’ genoemd, en ook ‘de freelance-afdeling van de FSB’. ‘Om Passwork in het westen te promoten, hebben we een officieel bedrijf nodig in een “normaal” land.’

Dat land wordt aanvankelijk Finland.⁵⁶ Dat komt door de Finse techondernemer Pekka Viljakainen, adviseur van de Skolkovo Foundation, én geestelijk vader van de startup tour.⁵⁷ Viljakainen vertelt later in een interview met Skolkovo hoe hij oprichter Ilya Garakh ontmoette in de rij voor het toilet tijdens het evenement in Archangelsk. ‘Er kwam een jonge man naar me toe, die begon te praten over zijn startup. Zijn naam was Ilya, en hij was zo overtuigend dat ik investeerde in zijn team.’ ⁵⁸

Viljakainen onderhoudt in die periode nauwe banden met Rusland. Hij adviseert de regering,⁵⁹ zegt Vladimir Poetin meermaals per jaar te ontmoeten, en ontvangt van hem de Orde van Vriendschap, een belangrijke Russische onderscheiding.⁶⁰ Kort na de ontmoeting met Garakh krijgt Passwork voet aan de grond in Helsinki, als de twee Russische oprichters van Passwork en de Finse multiondernemer daar een bedrijf vestigen in een voormalige drukkerij.⁶¹ De website vermeldt dan trots: ‘Passwork is made and supported in Finland.’⁶²

Maar na de Russische invasie in Oekraïne verandert het klimaat in Europa. Bedrijven met Russische banden komen onder een vergrootglas te liggen - en Passwork begint zijn juridische structuur weer te herschikken. De Finse medeoprichter Pekka Viljakainen heft het bedrijf in Helsinki op.⁶³ Niet vanwege Passwork zelf, zegt hij tegen OCCRP – zijn eigen bedrijven gebruiken de software nog steeds⁶⁴ – maar omdat Europese bedrijven na de invasie nu eenmaal afstand nemen van Rusland. Terwijl de Finse vennootschap verdwijnt, verschijnen nieuwe bedrijven in de Verenigde Arabische Emiraten en later ook in Barcelona in de papieren. ⁶⁵

In een instructievideo op de website van Passwork zijn tot in februari 2022 een Russisch mailadres en de naam van de Russische oprichter te zien – maar kort na de Russische invasie in Oekraïne is ook die herinnering weggepoetst.⁶⁶ Ze blijft online benadrukken Europees te zijn, en servers in Duitsland te hebben.⁶⁷ In geheime instructies voor AI-bots die de website lezen, staat expliciet dat Passwork ‘geen banden heeft met Amerikaanse, Russische of andere niet-Europese bedrijven.’⁶⁸

Maar wie goed kijkt, ziet dat de Russische en Europese versies van Passwork grote overeenkomsten hebben. Om te beginnen zijn de twee websites visueel grotendeels hetzelfde.⁶⁹ In het verleden gebruikten ze dezelfde webhosting en marketing accounts.⁷⁰ Handleidingen van de software zijn, afgezien van de taal, nog altijd vrijwel identiek⁷¹ – en nieuwe software-updates verschijnen vrijwel gelijktijdig, met dezelfde omschrijving⁷². Ook de organisatie oogt nog sterk Russisch: hoewel personeel remote mag werken – of op een van de ‘gezellige kantoren in Archangelsk of Sint Petersburg’⁷³ – konden we alleen vacatures vinden via Russische vacaturewebsites.⁷⁴

Volgens de officiële papieren staat het Spaanse bedrijf op naam van de Rus Alexander Muntyan.⁷⁵ Volgens hem is het kantoor in Barcelona een zelfstandig bedrijf dat de softwarerechten van Passwork heeft overgenomen van het bedrijf in de Emiraten. Hij zegt dat er geen relatie bestaat tussen zijn bedrijf en het Russische Passwork. ‘We delen geen klanten, servers, ondersteuningssystemen, klantgegevens, beheerrechten, of klantomgevingen.’⁷⁶

Dat beide producten vrijwel gelijktijdig nieuwe updates ontvangen, komt volgens hem omdat zij hun oorsprong hebben in dezelfde codebase. Tot augustus dit jaar ontvangt zijn bedrijf nog technische support, ‘codebase’ en updates uit Dubai.⁷⁷ Na die periode wordt de navelstreng doorgeknipt en staat de Europese tak écht op eigen benen, belooft Muntyan. Hoe dat vóór 2024 zat, beantwoordt hij niet. De bedrijven in Rusland en de Verenigde Arabische Emiraten reageerden niet op vragen.

Muntyan benadrukt dat de meeste klanten de software op hun eigen server draaien, en dat de software zo gebouwd is dat Passwork geen toegang heeft tot de opgeslagen gegevens.

Maar of software nu in de cloud of op het eigen systeem staat maakt volgens cybersecurityexpert Ronald Prins niet uit, ‘Het is een beetje naïef om te denken dat het gebruik van de software daarmee veilig is.’⁷⁸ Dat Passwork een server in Duitsland heeft zegt volgens Prins ook niets. ‘Daar kunnen ze vanaf Moskou natuurlijk ook gewoon op inloggen.’

Doorgaan of stoppen met gebruik?

‘Passwork lijkt een rookgordijn op te werpen met allerlei ingewikkelde juridische constructies’, denkt Bart van den Berg van Clingendael. Volgens hem past die ondoorzichtigheid in een breder patroon, waarbij het lastig is vast te stellen wie de eigenaar van een bedrijf is en in hoeverre er banden met Rusland zijn. De constructie is juridisch gezien misschien in de haak, maar dat zou volgens hem niets uit moeten maken. ‘Je verruilt je identiteit voor een andere. Als een bedrijf zich anders voordoet dan ze is, maak ik me toch zorgen over de belangen en beweegredenen die daaronder liggen.’

Russische bedrijven hebben er alle reden toe zo’n façade te bouwen. Sinds 2023 raadt de overheid Nederlandse ambtenaren af om apps op hun werktelefoon te installeren uit landen met ‘een offensief cyberprogramma tegen Nederland en de Nederlandse belangen’.⁷⁹ Rusland valt daar ook onder.⁸⁰ ‘Op het moment dat je zaken doet met een organisatie, waarvan het weken kost om te doorgronden hoe die structuur eruit ziet, dan zijn dat rode vlaggen’, zegt Van den Berg. ‘Er zijn aanwijzingen voor een diepe verbondenheid met Rusland. En het gaat over wachtwoorden voor vitale processen. Dan is dus de vraag: Moet je echt met zo’n partij in zee?’

RTV Noord is er nog altijd van overtuigd dat Passwork een bedrijf uit Spanje ‘met zijn oorsprong in Finland’ is. Die veronderstelling bleek tekenend voor de reacties die we kregen. Een aantal van de bedrijven die we benaderden, zoals het Franse havenbedrijf Haropa Port, gaven geen verder commentaar ‘in verband met veiligheidsredenen’ of bagatelliseerden het gebruik van Passwork door te benadrukken dat slechts een klein onderdeel van de organisatie ermee werkt, zoals Orange Telecom en de Universiteit van Zürich deden.⁸¹ Het Nederlandse ICT-bedrijf Lucrasoft hield zich onbereikbaar voor Investico.

Van de bedrijven die wél in gingen op onze vragen, stelde geen een op de hoogte te zijn van de Russische oorsprong van Passwork. De dienst Openbare Werken in Ierland zegt alleen op de hoogte te zijn geweest van de ‘Spaanse versie’. Dat geldt ook voor Landkreis Hildesheim: ‘Het stelde zich voor als een Finse softwareontwikkelaar dat het hoofdkantoor naar Barcelona heeft verplaatst.’ ⁸²

Pas toen we ze onze bevindingen voorlegden, begonnen organisaties zich af te vragen met wie ze eigenlijk zaken deden. Het Ierse staatslaboratorium stelde de software na onze vragen opnieuw te beoordelen, ‘evenals eventuele risico’s en zorgen die daarmee samenhangen’. Ook de universiteit van Dresden, dat in 2025 met Passwork ging werken, doet nu onderzoek naar de veiligheidsrisico’s.⁸³

Toen we zonneparkbouwer Novar informeerden over de achtergrond van Passwork, haalde het bedrijf de online inlogportal binnen een dag offline. Het liet weten per direct te stoppen met het gebruik van de software. Volgens Novar zijn er vooralsnog geen aanwijzingen gevonden voor misbruik en is er geen bevestigd datalek als gevolg van de situatie. ‘Onze keuze is geweest om vroeg en preventief te handelen.’ Ook deed het bedrijf melding bij het Nationaal Cyber Security Center (NCSC). Vanwege de Russische achtergrond van Passwork vroegen we de AIVD of de software ook bij de dienst op de radar staat, en of de melding van Novar tot vervolgacties heeft geleid. De AIVD wil daar niets over zeggen. Wel wijst ze erop al langere tijd te waarschuwen voor de dreiging die uitgaat van landen met een offensief cyberprogramma.

RTV Noord besloot na bericht van Investico vooralsnog met het product door te gaan. ‘We monitoren onze systemen continu op kwetsbaarheden,’ stelt de omroep, en aanwijzingen dat er gegevens zijn buitgemaakt of onregelmatigheden zijn aangetroffen heeft ze niet.⁸⁴

De vraag is echter niet zozeer of er op dit moment bewijs is dat de software wordt misbruikt, maar of dat mogelijk is. Volgens Van den Berg draait het risico niet alleen om technische kwetsbaarheden, maar vooral om invloed. Onder welke politieke en juridische invloedssfeer opereert een bedrijf uiteindelijk? ‘Dat bedrijven onder controle staan in autoritaire landen moet je aannemen als een gegeven’, zegt Van den Berg. ‘Als een essentieel beveiligingsproduct uit Rusland komt, en je niet weet wie daar aan de knoppen zit - want dat weet je niet - dan loop je risico’s.’

In 2018 besloot de Rijksoverheid te stoppen met de Russische antivirussoftware Kaspersky Lab, vanwege het risico dat die als spionagemiddel kan worden ingezet.⁸⁵ Ook de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) waarschuwde onlangs dat sommige inlichtingendiensten voor hun spionage- en hackaanvallen steeds vaker ‘vernuftig gebruik’ maken van bestaande bedrijven en structuren.⁸⁶

Wie zijn vitale processen - zoals wachtwoorden - uit handen geeft aan een Russisch bedrijf, moet er rekening mee houden dat de autoriteiten uit dat land meekijken, waarschuwt Van den Berg. Een website met de slogan: ‘Made in Europe’, een vennootschap in Dubai en een flinterdun gipswandje tussen een paar bv’s nemen dat risico niet weg. ‘De schaduwvloot vaart ook niet onder de Russische vlag.’

Investico werkt altijd samen met andere media. Zo versterken we de onderzoeksjournalistiek in Nederland.

Lees meer over ons

Luister naar Speurwerk

In de podcast Speurwerk hoor je hoe Passwork meerdere klanten in Europa binnen weet te halen en tegelijkertijd dubieuze Russische klanten bedient. Investico-journalisten Linda van der Pol en Sylvana van den Braak zoeken samen met NU.nl-journalist Jeroen Kraan uit welke Nederlandse bedrijven en organisaties in de slimme marketing van Passwork trapten. Samen met journalistencollectief OCCRP en andere Europese media onderzoeken ze welke risico’s dat met zich meebrengt. Wordt deze software ingezet om te spioneren? Lopen Europese bedrijven die Passwork gebruiken risico op het weglekken van bedrijfsgeheimen of persoonlijke en belangrijke informatie van klanten?