hessi.net

Die bayerische Kommunalwahl und die IT

In den letzten 24 Stunden ist aus einem leichten “Staub aufwirbeln” ein ziemlicher Wirbelsturm geworden, und schuld daran sind Artikel wie dieser und dieser.

Aber von Anfang an…

Halb durch die “Hacker zu Wahlhelfern” Aktion des CCC, halb aus Interesse und “BĂźrgerverantwortung” habe ich mich in Germering schon circa Mitte letzten Jahres als Wahlhelfer angemeldet. Bei der Gelegenheit wollte ich auch gleich meine Meinung und Expertise zu Wahlcomputern kundtun und anbieten, aber es war niemand da, der mir zuhĂśren wollte. Die Rathausangestellte war allerdings so nett, sich neben meinen Kontaktdaten auch zu notieren, dass ich ein IT-Experte mit Security-Hintergrund sei.

Dann war lange nichts, und ich hatte schon befĂźrchtet, meine Kontaktdaten seien verloren gegangen - bis mich vor drei Wochen dann abends ein Anruf vom Wahlleiter der Stadt Germering erreichte, der mich nicht nur als Wahlhelfer einsetzen wollte, sondern aufgrund meiner Ausbildung und meiner Erfahrung auch auf einen speziellen Job positionieren wollte - den des EDV-Wahlhelfers. Er erklärte mir, man setze in Bayern selbstverständlich keine Wahlcomputer ein, hätte aber fĂźr die komplizierten Kommunalwahlen (StichwĂśrter Panaschieren, Kumulieren, Streichen) eine elektronische Auszählhilfe, die mittels Barcodes und -lesern die Berechnung des Endergebnisses vereinfacht. Neben den “normalen” Wahlhelfern setze man in Germering auch auf Freiwillige mit IT-Kenntnissen, die zur Administration der erforderlichen Hard- und Software sowie Fehlerbehebung während der Auszählung verantwortlich seien.

Natßrlich sagte ich, auch aus Interesse an dieser Technik, zeitnah zu, und so wurde ich am 20. Februar zu einer EDV-Wahlhelferschulung ins Rathaus eingeladen. In netter Atmosphäre wurden mir und einem weiteren ehrenamtlichen Helfer (pensionierter Elektrotechniker) von zwei IT-Angestellten des Rathauses ein paar Details zu den Verfahren der Wahl, unserer Aufgabe, der Software und ihren mÜglichen Fehlern sowie weitere interessante, aber unkritische Fakten erzählt. Zum Abschluss durften wir dann selber kurz einen Stimmzettel per Barcode einlesen sowie die wichtigsten Fehler und ihre Behebung testen.

Direkt im Anschluss dokumentierte ich die mir nun bekannten Details im Wiki des CCC Regensburg, den ich bereits vorher auf der Suche nach Details zu Wahlverfahren und Software gefunden hatte. Die Mutmaßungen und Abschätzungen der anderen Teilnehmer wurden dabei von mir nicht verändert, sondern nur die Kapitel 8 und 9 ergänzt.

Zeitgleich schrieb ich eine Mail an eine interne CCC-Mailingliste zum Thema Wahlcomputer in Bayern:

Moin,

ich habe im Regensburg-Wiki einen längeren Abschnitt zu meinen
Informationen mit dem Zählsystem und dem Ablauf der Auszählung im Zuge
einer Schulung zum EDV-Wahlhelfer in Germering geschrieben.

Vermutungen Ăźber Sicherheit wollte ich dort erstmal nicht
unterbringen, bin aber an Euren Meinungen interessiert.

Ich persĂśnlich stehe dem hier eingesetzten System eher aufgeschlossen
gegenĂźber.
Es handelt sich grob gesagt um eine elektronische Hilfe/Vereinfachung
zu den bisher Ăźblichen Strichlisten der Wahlhelfer.

Die Wahl selber erfolgt komplett mit Papier und Stift, d.h. auf dem
Stimmzettel kann der Wählerwille nicht gefälscht werden.
Im Gegensatz zum Hamburger Wahlstift erfolgt hier eine Kontrolle
bezüglich der Übereinstimmung von Wählerwille und gezähltem Ergebnis.
Hierzu müssen natürlich die Vorgaben zur Überprüfung der Auszählung
eingehalten werden, aber dies war IMHO auch bereits bei rein manuellen
Auszählungen notwendig.

Ich sehe somit eine große Chance auf Aufdeckung, was simple
Wahlfälschungen durch falsche Zuordnung von Barcode und Kandidat oder
Rekonfiguration des Lesers anbelangt.

Was die weiteren im Wiki angesprochenen Angriffsszenarien betrifft:
Gegen systematisches “Verrutschen” des Lesers ist man genauso wenig
gefeit wie bei analogem Auszählen, im Gegensatz dazu kann hier sogar
jederzeit das eingelesene Ergebnis mit dem physikalischen Stimmzettel
verglichen werden, ohne alle Zettel neu auszählen zu mßssen.

Internet-Schnittstellen sind (nach Aussage der zuständigen EDV) nicht
vorhanden, ich werde am 2. März darauf achten.

Mitgebrachte Rechner hinterlassen einen faden Beigeschmack, auch wenn
mir momentan noch nicht klar ist, wie man hierdurch unauffällig die
Ergebnisse fälschen kann.

Eine verdeckte Individualisierung der Stimmzettel erscheint mir nur
schwer denkbar. Vom logistischen Aufwand mal abgesehen sind die
dreistelligen Barcodes der Kandidaten ziemlich kurz (max 2cm,
schlechte AuflĂśsung). Meine Kenntnisse, was Barcodes anbelangt, sind
mangelhaft, aber bei fast 30.000 Wahlberechtigten allein in Germering
wĂźrde es mich wundern, wenn man mit handelsĂźblichen Barcodelesern
knapp 12.000.000 (30.000 Wähler x 40 Kandidaten x 5 Parteien x 2
Wahlen) individuelle Barcodes in dieser GrĂśsse unterscheiden kann.
Hier lasse ich mich aber gern eines besseren belehren. Die vorgesehene
Individualisierung der Stimmzettel erfolgt nach Abschluss der Wahl
durch Aufkleben eines Barcodes auf jeden Stimmzettel. Hier ist
natßrlich darauf zu achten, dass dies tatsächlich erst nach der Wahl
erfolgt.

Die einzige echte Problematik sehe ich in der Zuordnung der einzelnen
Stimmen eines Stimmzettels auf das Gesamtergebnis. Hier ist keine
Livekontrolle während der Auszählung vorgesehen (aber umständlich
mĂśglich), d.h. auch wenn das Programm die Stimmverteilung auf dem
Stimmzettel korrekt wiedergibt, kĂśnnte es im Hintergrund nach einer
nicht mehr Ăźberschaubaren Anzahl von Stimmzetteln die Verteilung
(fast) beliebig verteilen.

Hier erscheint mir eine stichprobenhafte Kontrolle einzelner
Wahllokale erforderlich, im ersten Schritt vielleicht durch Nutzung
der anscheinend sehr umfangreich und simpel gespeicherten csv-Dateien
des Programms, darßber hinaus auch durch manuelles Auszählen der
Stimmzettel.

Eure Meinung?

Der nächste Tag begann dann vielversprechend - mit einer Mail des EDV-Leiters der Stadt mit der “dringendsten” Bitte um RĂźckruf “bzgl. CCC”.

Man schien sich vorbereitet zu haben, ich war anscheinend auf Lautsprecher geschaltet, im Hintergrund konnte ich mehrere Personen vernehmen, darunter wahrscheinlich die beiden Schulungsleiter.

Nach anfänglich mßhsam unterdrßckter EmpÜrung ßber meine Aktion der VerÜffentlichung der Schulungsdetails konnten wir dann doch noch ein halbwegs konstruktives Gespräch ßber IT-basierte Hilfsmittel zu Wahlen, den Zielen des CCC und den Grundsatzentscheidungen Sicherheit durch Offenheit vs. security through obscurity fßhren. Hier kam es zu einigen interessanten Aussagen des EDV-Angestellten, wie beispielsweise:

Jede Software hat Fehler, auch die Auszählungssoftware. Als EDV-Wahlhelfer ist man in der bestmöglichen Position, diese Fehler auszunutzen, um die Wahl zu stören oder gar zu fälschen. Es kann daher nicht im Interesse der die Wahl durchführenden Organe sein, diese Fehler in der Öffentlichkeit vor der Wahl diskutiert zu wissen.

Freies Zitat

Nach längerer Diskussion versicherte er mir, er glaube mir, keine destruktiven Motive zu haben, würde die endgültige Entscheidung, ob ich als EDV-Wahlhelfer noch einsatzfähig sei, aber seinen Mitarbeitern überlassen - diese ließen anscheinend aber keinen Zweifel daran, dass sie (aus Angst vor Störung der Wahl? aus Ärger über mein Verhalten? aus Kränkung?) nicht mehr mit mir zusammenarbeiten möchten. Er bat mich, die mir ausgehändigte Dokumentation über Ablauf und Hard- und Software schnellstmöglich wieder ins Rathaus zu bringen und bat mich um Verständnis, dass ich als EDV-Wahlhelfer nicht mehr erwünscht sei.

Zum Abschluss riet er mir, mich doch noch als normaler Wahlhelfer eintragen zu lassen - dies mĂźsse zwar nun durch den Wahlleiter, der Ăźber den Vorgang informiert sei, genehmigt werden, aber da man mich dabei ja genau beobachten kĂśnne, sei die Gefahr einer StĂśrung durch mich ja gering.

Sichtlich beeindruckt von den Argumenten schrieb ich auch Ăźber dieses Telefonat eine Mail an die CCC-Mailingliste:

Nun, es war ein kurzes VergnĂźgen.
Der Stadt Germering ist die Wahl ‘08 Webseite des CCC bekannt, nach
meinen gestrigen AusfĂźhrungen dort ist man heute sehr schnell an mich
herangetreten und hat mir offenbart, dass ich “ja gehĂśrig Staub
aufgewirbelt” habe.

Die EDV-Verantwortlichen fĂźhlten sich auf den Schlips getreten, dass
ich Informationen, die mir nur im Zuge meiner Aufgabe als EDV-
Wahlhelfer bekanntgegeben wurden, Ăśffentlich verbreitet habe und
darĂźber hinaus auch noch ManipulationsmĂśglichkeiten aufzeige.
Noch dazu sei ein Großteil der Seite ja fehlerhaft - im späteren
Verlauf des Gesprächs kam heraus, dass sich dies wohl, wie auch die
ManipulationsmĂśglichkeiten, auf bereits vorher von Anderen verfasste
Absätze des Wikis bezog.
Es sei bedauerlich, dass ich nicht während meiner Schulung auf
Geheimhaltung hingewiesen wurde, allerdings hätte mir klar sein
kĂśnnen, dass diese Informationen mindestens als Verwaltungs-interna
anzusehen seien, die nicht publik gemacht werden sollten.
Ich wurde gradheraus gefragt, ob ich eine Manipulation der Wahl plane
beziehungsweise welche Agenda ich verfolge.

Man habe ein ernsthaftes Problem, mich unter diesen Umständen mit der
verantwortungsvollen und sensitiven Aufgabe des EDV-Wahlhelfers zu
beschäftigen und bitte mich um Verständnis, dass ich hiermit von
meinen Pflichten befreit sei und die bisher ausgehändigten
Informationen zeitnah zurĂźckgeben soll. Ich dĂźrfe mich gerne noch als
normaler Wahlhelfer bewerben, ßber eine Betätigung in diesem Feld habe
dann der Ăźber die Tatsachen informierte Wahlleiter zu entscheiden.

Ich muss gestehen, dass ich an dieser Situation zum Teil selber schuld
bin. Es wäre fairer gewesen, die Verantwortlichen darßber zu
informieren, dass ich plane, alle mir bekannten Informationen zu
verÜffentlichen. Hier hätte ich deutlich geschickter vorgehen kÜnnen.
Dass die Umstände nun ein merkwßrdiges Bild auf mein Engagement
werfen, ist verständlich. Man kann mir allerdings zugutehalten, dass
ich mehrmals darauf hingewiesen habe, dass meine Bewerbung “politisch”
motiviert ist und ich zum einen zur Verhinderung von Wahlcomputern,
zum anderen zur Informationssammlung der PC-gestßtzten Auszählung
mitarbeite.

Ein wenig irritiert bin ich Ăźber die Aussage, dass die Prozeduren und
Informationen als “Interna” zu behandeln seien. Man ging sogar so
weit, einzuräumen, dass in den Hilfsmitteln zur Wahl wahrscheinlich
Schwachstellen vorhanden seien (”Software ist nie fehlerfrei”), diese
aber vor der Wahl nicht bekannt sein sollten, um eine Ausnutzung
selbiger zu verhindern (= security through obscurity).
Inwieweit dies dem Verständnis von freien und transparenten Wahlen
entspricht, mag ich nicht beurteilen.

Auch wenn ich enttäuscht bin, nicht als EDV-Wahlhelfer an der Wahl
teilnehmen zu kĂśnnen, mĂśchte ich den EDV-Leiter der Stadt hier
ausdrĂźcklich loben. Zum einen ist er mit den Kampagnen des CCC bzgl.
Wahlcomputern sehr gut vertraut und unterstĂźtzt diese auch (er habe
bereits mehrere Vorträge des CCC-Vorstands (Frank?) zu diesem Thema
gehĂśrt und sei von den Inhalten sehr angetan gewesen), zum anderen bot
er mir an, mit ihm ein Gespräch ßber die EDV-Hilfsmittel der Wahl, den
Ablauf und die Prozeduren zu fĂźhren. DarĂźber hinaus bin ich
eingeladen, während der Wahl und der Auszählung eine rein beobachtende
Rolle einzunehmen.
Dies hat mich ausserordentlich positiv Ăźberrascht, herzlichen Dank
hierfĂźr.

Wenn gewĂźnscht, halte ich Euch gerne weiterhin auf dem Laufenden,
vielleicht kĂśnnt Ihr meinen langen AusfĂźhrungen ja ein paar Lehren
entnehmen - beispielsweise, den Verwaltungen gegenĂźber immer mit
mĂśglichst offenen Karten zu spielen. Sie sind beileibe nicht unser
Feind, aber wenn wir verdeckt arbeiten, sehen sie uns vielleicht so.

Meine Ansichten zur VerÜffentlichung der Informationen waren zu diesem Zeitpunkt sehr durch meinen eigenen, kommerziell geprägten Hintergrund der Informationspolitik und die Ansichten der Rathausangestellten geprägt. Im Verlauf der nächsten Stunden wurde ich durch einige Gespräche mit Freunden und CCC-lern aber davon ßberzeugt, dass diese Politik der Interna bei Wahlen und deren Prozeduren aufgrund der vorgeschriebenen Transparenz keinerlei Gßltigkeit haben kann.

Die am nächsten Tag folgende, negative Bescheinigung des Wahlleiters (“wegen der Staubentwicklung”) auf meine Anfrage, als normaler Wahlhelfer tätig sein zu kĂśnnen, konnte ich daher schon differenzierter und in einem anderen Ton beantworten:

Sehr geehrter Herr xxx,

auch wenn ich Ihre Entscheidung auf einer persĂśnlichen Ebene verstehen
kann, bedauere ich sie zutiefst.

Es spricht meines Erachtens nach nicht fĂźr die Sicherheit des
Wahlverfahrens, wenn Sie einer Person, die sich im Vorfeld Ăśffentlich
Gedanken Ăźber die Verfahren der Wahl macht, von einem Hilfsposten
ausschliessen, den jeder andere ohne weitere PrĂźfung erhalten kann.

Herr [EDV-Leiter] sagte mir gegenĂźber gestern wortwĂśrtlich, in der
Position des EDV-Wahlhelfers hätte ich die besten MÜglichkeiten, die
Wahl zu fälschen. Mßssen wir uns nicht Gedanken darßber machen, ob ein
Verfahren, das von einem Menschen mit IT-Kenntnissen anscheinend
gefälscht werden kann, tatsächlich fßr freie und Üffentliche Wahlen
tauglich ist?

Bitte haben Sie Verständnis dafßr, dass ich trotz dieses Ausschlusses
vom Amt des Wahlhelfers von meinem Recht Gebrauch machen werde, die
Wahl und insbesondere die Auszählung zu beobachten.

Ich bekam hierauf tatsächlich noch eine sehr lange, sachliche Antwort, in der er die Öffentlichkeit des Verfahrens, kritische Bemerkungen hierzu sowie Beobachtungen der Wahl ausdrücklich begrüßte. Es folgten einige nicht sonderlich überzeugende Argumente (reine Ehrenämter der Kandidaten, keine finanziellen Vorteile; Wahlfälschungen sind eine Straftat) sowie einige durchaus gute Anmerkungen zum Verfahren (bessere Nachprüfbarkeit der Stimmzettelablesung, geringere Fehleranfälligkeit des Einlesens).

Währenddessen bereitete der CCC seine Presseerklärung vor, die dann am gestrigen Montag den Staub erst so richtig aufwirbelte und es ßber diverse IT-Ticker (interessanterweise weder heise noch golem) auch in die Mainstreampresse schaffte - unter anderem sueddeutsche.de sowie diverse regionale Portale.

Nach einem kurzen Hinweis per Mail fßhrte ich dann noch ein sehr nettes Gespräch mit der Fßrstenfeldbrucker Landkreisredaktion der Sßddeutschen Zeitung, deren Redakteur von meinen Schilderungen sichtlich begeistert und betroffen war. Der daraus entstandene, bereits oben kurz verlinkte Artikel stellt zwar meine Ansichten etwas extrem dar, macht aber recht ßberzeugend klar, dass die Sicherheit der Wahl zumindest umstritten ist - fßr den Hauptartikel der Regionalausgabe wohl das bestmÜgliche Ergebnis.

Nun mehren sich, auch CCC-intern, langsam die kritischen Stimmen zur Ablehnung des Verfahrens durch den CCC, und auch ich hadere zum Teil mit mir, ob wir hier nicht zu weit gehen - aber ich denke, ich habe inzwischen meine Bedenken sehr genau eingegrenzt (aus meiner Antwort an obige Kritik):

An vielen Stellen stimme ich mit Dir überein. Die Barcodes und die Leser sind auch in meinen Augen nicht das Problem - die anonyme Individualisierung der Stimmzettel ist IMHO sogar ein grosser Vorteil zum alten System - anstatt einen großen Stapel Stimmzettel neu auszählen zu müssen, um die Rechnungen eines Wahlhelfers nachvollziehen zu können, kann man im Rechner einfach nachschauen, ob der Stimmzettel so abgelesen wurde, wie er physikalisch vorliegt.

Aber:
Alles, was danach passiert, ist eine black box. NatĂźrlich muss der Computer “nur noch” addieren, aber fĂźr die Wahlhelfer ist nicht auf einen Blick ersichtlich, ob ein ausgewerteter Stimmzettel korrekt den jeweiligen Parteien oder Kandidaten zugeordnet wird.
NatĂźrlich kann man im Kopf mitzählen und nach jedem zweiten Stimmzettel auf den Reiter der Ergebnisse gucken und schauen, ob diese noch passen. Aber eine evtl. Fälschungsroutine kann auch intelligenter vorgehen und erst dann Ergebnisse fälschen, wenn schon länger niemand mehr die akkumulierten Werte ĂźberprĂźft hat. Mal ganz davon abgesehen, dass sich Programmierer auch schon bei ganz anderen trivialen Tätigkeiten vertan haben. Wer sagt mir, dass da nirgendwo ein PufferĂźberlauf stattfindet - dass beim Sicherungszustand einspielen nach einem Absturz nicht eine Routine fehlerhaft/doppelt einliest - dass die Software nicht bei einer bestimmten Konstellation von Parteienanzahl und Kandidatenanzahl “durcheinanderkommt”?

Und bei all diesen Kontrollen darf man nicht vergessen, dass der typische Computernutzer seinem Gerät vertraut. Er bekommt die Anweisung, nach einer Eingabe alles zu kontrollieren. Das macht er 20 Minuten lang. Spätestens dann glaubt er dem Computer, weil der macht immer das gleiche und hat ja eh immer Recht.

Auf weitere Aspekte wie den Transfer der Ăźbermittelten Daten (Klartext, keine Hashes, keine Sicherung) per USB-Stick durch einen ehrenamtlichen Wahlhelfer, die teilweise Nutzung von Computern in Schulen, die ans Internet angeschlossen sind, oder gar Rechnern, die die Wahlhelfer selber mitbringen, will ich gar nicht erst eingehen.

Was die Zeitersparnis anbelangt: In Germering wurde mir gesagt, ohne Auszählsoftware wäre man bis ca. 4 Uhr morgens beschäftigt gewesen (~700 Wahlberechtigte pro Wahllokal). Mit Auszählsoftware, die bereits vor sechs Jahren probehalber eingesetzt wurde, hätte man die Chance, bis 2:30/3:00 Uhr fertig zu sein. Ist es das wert?

Ich bleibe dabei - auch diese sanfte Form der “Wahlcomputer” lĂśst ein Problem, das es nicht gibt.