Cool or not cool?

Cryptographic Voting the MIT style.

Wahlcomputer und die behauptete Fälschung

Kürzlich deutete ich in ein paar Nebensätzen die Möglichkeit an, Computerwahlen nicht tatsächlich zu fälschen, sondern eine Fälschung lediglich zu behaupten. Die Intransparenz wesentlicher Abläufe würde dafür sorgen, dass solche Anschuldigungen zwar nicht per se glaubwürdiger, aber schwerer zu widerlegen wären. Nun tut die CIA genau dies für einige der üblichen Verdächtigen, darunter zum Beispiel Venezuela. Kann ja sein, dass die Berichte alle korrekt sind, aber wenn ein Geheimdienst etwas verbreitet, weiß man nie so genau, was die Ziele sind und wieviel vom Gesagten wahr ist.

Kontrollierbarkeit von Wahlen

Nach dem Urteil des Bundesverfassungsgerichts zum Einsatz von Wahlcomputern tauchte ein altes Argument wieder auf: Wahlen mit Stift und Papier ließen sich doch auch fälschen. Der Blogger Zettel, der das Urteil für weltfremd hält, formuliert es so (via):

»Kein Bürger kann den Wahlvorgang “zuverlässig nachvollziehen”, wenn mit Bleistift oder Kugelschreiber Formulare markiert werden. Er müßte dann kontrollieren können, daß die Urne bei Öffnung des Wahllokals leer war; er müßte nicht nur der Auszählung mit Argusaugen folgen können, sondern auch bei der telefonischen Übermittlung der Wahlergebnisse zugleich im Wahllokal und in der Zentrale sitzen, in der die Ergebnisse gesammelt werden.«

Außerdem meint er, in einer funktionierenden Demokratie kämen groß angelegte Wahlfälschungen ohnehin nicht vor oder wir verhielten uns zumindest so und vertrauten dem Staat, statt die Wahlen gründlich zu prüfen.

Blauäugig

Sichere Elektrowahlen sind doch ganz einfach. Das glaubt zumindest der Autor eines Leserbriefes in der aktuellen CACM. Man müsse nur sieben Regeln einhalten und schon könne man mit Wahlsoftware-CD und Onion Routing kostengünstig demokratieren. Die Regeln:

1. Mathematisch bewiesene Sicherheit aller Protokolle und Verfahren.
2. Entwurf durch Behörden, da der Wirtschaft nicht zu trauen sei.
3. Veröffentlichter Quellcode.
4. Wähler können die Zählung ihrer Stimme überprüfen.
5. Öffentliches Wählerverzeichnis.
6. Anonymität, gemeint ist wohl: Anonymität bei der Stimmabgabe.
7. Aufsicht durch ein Expertengremium, in dem alle Beteiligten vertreten sind.

Klingt gut, nicht wahr? Ist aber größtenteils Blödsinn. Brauchbare, aber allein nicht ausreichende Ideen sind (3) und (5), unabhängig vom Wahlverfahren und der verwendeten Technik.

Trotz Wahlcomputer: Hessenwahl ist gültig

Mit Wahlcomputern haben wir uns hier bereits beschäftigt, zuletzt aus Anlass der Hessenwahl im Januar. In einigen Wahlkreisen hatten Computer den Stimmzettel ersetzt, was zu einer ungewöhnlich intensiven Beobachtung der Wahl unter anderem durch den Chaos Computer Club führte. Erwartungsgemäß hatten die Beobachter einige Ungereimtheiten bemerkt. In der Folge kam es zu Wahleinsprüchen. Die hat das Wahlprüfungsgericht nach einem Bericht des Hessischen Rundfunks nun abgewiesen:

»(…) Weitere Beschwerden betrafen Stimmabgaben von Türken, die ihre deutsche Staatsbürgerschaft verloren hatten oder den Einsatz von Wahlcomputern. Für letzteren gebe es eine rechtliche Grundlage, urteilten die Richter. Als Wahlfehler wertete das Gericht die Übergabe von Computern vor Ende der Wahl und die Aussperrung von Wahlbeobachtern für einige Minuten. Beides habe sich aber nicht auf die Sitzverteilung im Wiesbadener Landtag ausgewirkt.«

Mit elektronischen Wahlen und Wahlcomputern wird sich übrigens auch der übernächste CAST-Workshop am 17. Oktober 2008 befassen. Das Programm steht auch schon fest, Kritiker sind anscheinend nicht geladen.

Update: Heise hat das schon vor einem halben Tag gemeldet, das war mir entgangen.

Misstrauen in Wahlcomputer breitet sich aus

Hessen hat gewählt, der Chaos Computer Club beobachtete, Berichte gibt es bei Holger Klein, im Heise-Ticker – man schaue jeweils auch in die Kommentare und Trackbacks – sowie bei den Beobachtern selbst. Zeit für die erste Interpretation.

Zur Erinnerung: Der wichtigste und am schwersten auszuräumende Einwand gegen Wahlcomputer ist der Einwand der Intransparenz. Auch das herkömmliche Verfahren mit Papier, Stift und Urne lässt vielerlei Möglichkeiten zur Manipulation. Es ist aber für die Mehrzahl der Wähler durchschaubar und lässt sich ohne besonde Kenntnisse und Fähigkeiten prüfen, durch bloße Beobachtung. Das herkömmliche Verfahren ist also unsicher, aber das macht nichts. Wir müssen dem Verfahren und den beteiligten Personen nicht vertrauen, denn wir können prüfen. Wahlcomputer ändern das. Sie verlagern wesentliche Vorgänge in eine Black Box, der wir vertrauen sollen, ob sie nun sicher ist oder nicht. Außerdem wissen wir aus Erfahrung, dass es ziemlich schwer ist, Computer wirklich sicher zu machen.

Hessen sucht noch Wahlbeobachter

Genauer gesagt sucht der CCC noch Wahlbeobachter für die Hessische Landtagswahl am Sonntag, dem 27. Januar, und zwar für jene Gemeinden, die Wahlcomputer einsetzen. Über seine Eindrücke von der Testwahl in Langen berichtete Oliver hier bereits. Warum »erfolgreiche« Testwahlen kein Anlass zur Entwarnung und Sorglosigkeit sind, erklärt Fefe aus gegebenem Anlass in seinem Blog noch einmal.

Wahlcomputer: die FAQ als Lackmustest für Bullshit

Woran erkenne ich, wie gründlich jemand nachgedacht hat? Nun, im Netz bietet sich die jeweilige FAQ an, die Liste häufig gestellter Fragen. In der Blütezeit des Usenet und der Mailinglisten, in den 80er und 90er Jahren des letzten Jahrhunderts also, handelte es tatsächlich noch um häufig gestellte Fragen. Heute ist daraus ein Stilmittel für Online-Texte geworden und es handelt sich in aller Regel um antizipierte Fragen. Das ist gut, denn eine so entstandene FAQ gibt uns tiefen Einblick in die Gedankenwelt ihrer Autoren. Man kann sie als Lackmustest für das Problemverständnis und die Komplexität einer Lösung verwenden. Das haben wir bereits früher festgestellt. Interessanter als die Antworten sind dabei die Fragen selbst, vor allem auch die nicht gestellten.

Wahlverfahren sind ein Gebiet, auf dem so ein Lackmustest gut funktioniert. Nötig ist er: leider fühlen sich Ingenieure und Informatiker von aktuellen Themen angespornt, mal schnell ein paar Lösungsansätze zu skizzieren. Die sind dann oft nicht zu Ende gedacht; heraus kommen Kindereien wie das Bingo Voting des E.I.S.S. der Uni Karlsruhe. Als wissenschaftliche Fingerübung ist so etwas gewiss akzeptabel, aber der Öffentlichkeit präsentiert man es bereits als Lösung, für welches Problem auch immer. Sogar eine eigene Domain hat man schon reserviert, als wolle man bald eine Firma gründen und ein Produkt daraus machen. Der Heise-Ticker berichtete, und im Forum dazu stehen bereits allerlei kluge Kommentare. Wie gesagt, Diskussion und Untersuchung sind vollkommen legitim, man muss die Sache nur richtig einordnen.

Pr/W ahltag – Schilda in Langen

Am Mittwoch war Probewahl in Langen und weil das gleich um die Ecke ist, bin ich mal vorbeigehuscht, um mich von der Sicherheit der Wahlcomputer zu überzeugen. Das wollte die Stadt Langen nämlich nach eigenem Bekunden mit dem Versuch erreichen. Dabei ging es allerdings nicht um IT-Sicherheit, sondern vielmehr um eine Beamte beim Wahljogging.

Das stört Bürgermeister Pitthan nicht, der in einer absurden Pressmitteilung flux verlautbaren ließ: „Die Wahlmaschinen arbeiten zu hundertprozent zuverlässig und sie sind sicher.” Das ist ungefähr so also ob ich einen Klempner rufe, um die Qualität meines Trinkwassers zu testen, der dann 20 Mal die Spülung drück und anschließend sagt – die Wasserversorgung arbeitet zuverlässig und ihr Wasser ist sicher. Im Hinblick auf IT-Sicherheit war die Wahlinszenierung ein echtes Possenstück, das tiefe Einblicke in die gelebte Demokratie erlaubt.

»Hinreichende Sicherheit« ohne Anforderungsanalyse?

Heise berichtete am 4. Mai über eine Kleine Anfrage im Bundestag und die Antwort des Innenministeriums darauf. Es geht um Wahlcomputer und Zweifel an ihrer Brauchbarkeit. Das Ministerium hält die Geräte für hinreichend manipulationssicher. Die Sicherheit werde durch technische und organisatorische Maßnahmen gewährleistet, absolute Sicherheit sei auch bei Wahlen mit Stimmzettel und Stift nicht gegeben und überhaupt sei Wahlfälschung ja auch verboten.

Das Original der Antwort liegt leider nur den Heise-Redakteuren vor. Was in deren Bericht auffällt und in der Antwort des Ministeriums vermutlich nicht anders ist: mit den Sicherheitsanforderungen setzt man sich nicht auseinander. Ohne die aber ist Sicherheit ein leerer Begriff. Wenn ich nicht weiß, was ich vor wem schützen möchte, wie kann ich dann von hinreichender Sicherheit reden?