Wahlgerät

Datei:Referendo128408.jpg

Eine bei einem Referendum in Brasilien 2003 verwendete Wahlmaschine
(Gervásio Baptista/ABr)

Eine Wahlmaschine ist ein technisches Gerät, das zur Erfassung oder Auszählung von Stimmen bei Wahlen eingesetzt wird.

Die Befürworter von Wahlmaschinen versprechen sich davon – neben der Einsparung von Personal – eine noch geheimere Stimmabgabe, leichtere Stimmabgabe durch Behinderte, Vermeidung von Auszählungsfehlern sowie eine Reduktion der ungültigen Stimmen.

Dem stehen vor allem ungelöste technische Sicherheitsprobleme gegenüber. Kritiker von Wahlmaschinen befürchten daher Wahlmanipulationen und schließen Auszählungsfehler aufgrund von (software-)technischen Fehlern nicht aus. Die Wirtschaftlichkeit von Wahlmaschinen wird von ihnen ebenso angezweifelt, wie die erhöhte Geheimhaltung der Stimmabgabe, welche durch technische Methoden unterminiert werden kann (z.B. per TEMPEST / Van-Eck-Phreaking). Eine weitere Kritik begründet sich in der Wahlprozedur, die transparent und nachprüfbar sein muss, um eine mögliche Wahlmanipulation aufzudecken, was durch Wahlcomputer abhängig vom angewendeten Verfahren (ohne parallele Stimmzettelauswertung und Aufbewahrung) nicht gegeben ist.

Typen von Wahlmaschinen

Weltweit gibt es eine Vielzahl unterschiedlichster Wahlmaschinen (in Deutschland: Wahlgeräte). Zu den größten Herstellern gehören die US-amerikanischen Unternehmen ES&S und Diebold, sowie der spanische Hersteller INDRA und Nedap aus den Niederlanden.

Während es beispielsweise in den USA keine einheitliche Rechtsgrundlage zu dem Einsatz von Wahlgeräten gibt, werden die Geräte in Deutschland einem zentralen Prüfverfahren gemäß der Bundeswahlgeräteverordnung (durch die Physikalisch-Technische Bundesanstalt) unterzogen, bevor das Bundesministerium des Innern gegebenenfalls eine Zulassung für deren Einsatz zu bestimmten Wahlen erteilt. Sowohl technische, als auch rechtliche Aspekte spielen demnach eine wichtige Rolle, bevor Wahlgeräte zum Einsatz kommen können.

Die in Deutschland bereits eingesetzten Geräte sind also nicht mit den Geräten in den USA vergleichbar. Es ist derzeit (Stand: Juni 2006) kein amerikanisches System in Deutschland zugelassen.

Mechanische Wahlmaschinen

Zusätzlich zu verschiedensten Systemen, die es beispielsweise in den USA gibt, waren noch zur Bundestagswahl 2005 zwei Varianten mechanischer Wahlgeräte in Deutschland zugelassen. Bei einer Variante wird in der Wahlkabine ein Chip in den Schlitz, der einer bestimmten Partei oder der Stimmenthaltung zugeordnet ist, eingeführt. Dadurch wird ein mechanischen Zählwerk betätigt, das den Zählerstand der gewählten Partei erhöht. Außerdem werden die Chips für jede Partei separat in einem Beutel gesammelt, um eine eventuelle Überprüfung der Wahl zu erleichtern. Nach dem Ende der Wahl werden die einzelnen Zählerstände addiert und mit der Anzahl der abgegebenen Stimmen verglichen.

Eine andere Variante sind Geräte, bei welchen der Wähler einen Knopf bis zu einem bestimmten Widerstandspunkt ziehen muss, um somit seine Stimme abzugeben. Mechanische Geräte werden heute (Stand: Juni 2006) nur noch in wenigen Kommunen genutzt, da sie insbesondere den immer komplizierter werdenden Anforderungen (Hessische Kommunalwahlen mit Kumulieren und Panaschieren) nicht mehr gerecht werden.

Elektronische Wahlmaschinen

Die derzeit einzigen in Deutschland zugelassenen Wahlgeräte sind die Geräte des Integralen Wahlsystems (Geräte mit zugehöriger Wahl- und Geräteanwendungssoftware) der Firma Nedap / HSG Wahlsysteme GmbH. ‚Integrales Wahlsystem‘ heißt es deshalb, weil es nicht nur die Durchführung der Wahlhandlung mit Hard- und Software unterstützt, sondern als weltweit einziges Wahlsystem ebenso Software für die Vor- und Nachbereitung einer Wahl beinhaltet.

Die Geräte sehen in abgebautem Zustand aus, wie ein Koffer, der sich mit wenigen Handgriffen in eine Wahlkabine verwandelt. Für den Wahlvorstand gibt es eine mit dem Gerät verbundene Bedieneinheit, mit welcher er die Wahl für jeden einzelnen Wähler freigibt. Der Stimmzettel ist auf einer integrierten Bedieneinheit abgebildet und der Wähler kann per Tastendruck seine Stimmen auswählen. Nachdem er dies getan hat, drückt er einen Knopf ‚Stimmabgabe’. Dieser Vorgang ist dann damit vergleichbar, bei einer herkömmlichen Wahl einen Stimmzettel in die Wahlurne zu werfen. An den Geräten erfolgten bislang (Stand: Juni 2006) ca. 15 Millionen Stimmabgaben in 84 deutschen Städten und Gemeinden bei Wahlen auf kommunaler, Landes- und Bundesebene. Zu den Anwendern gehören unter anderem Städte wie Köln, Dortmund, Cottbus oder Koblenz.

Internet-Wahl

Es ist fraglich, ob man Internet-Wahlen unter die Rubrik Wahlmaschinen oder Wahlgeräte einordnen kann, da hier erhebliche Unterschiede bestehen:

Wahlmaschinen werden grundsätzlich in einem öffentlichen Wahllokal aufgebaut und es besteht nicht die Möglichkeit, von zu Hause aus zu wählen (was an sich kritisch gesehen werden muss, wenn man bedenkt, dass Wahlen öffentlich und frei ablaufen müssen und selbst die Briefwahl eine umstrittene ‚Ausnahmeregelung’ ist). Des weiteren werden in Deutschland nur Wahlgeräte zugelassenen, die nicht untereinander vernetzt sind, um Angriffe von außen ausschließen zu können. Insgesamt bleibt festzuhalten, dass es sich um völlig unterschiedliche technische Lösungen handelt.

In den USA fanden bei den Präsidentenwahlen 2004 Tests mit einem SERVE genannten Online-Wahlsystem statt. Das Projekt wurde vom zum US-amerikanischen Verteidigungsministerium gehörenden Federal Voting Assistance Program in Auftrag gegeben und unter Leitung der Firma Accenture durchgeführt. Online wählen konnten in Übersee lebende US-Amerikaner, sowie uniformierte Kräfte (Militär) einschließlich Familienangehörige. Ein im Rahmen des Experiments mit der Überprüfung der Sicherheit des Systems beauftragtes Expertenteam riet jedoch dringend dazu, das Projekt zu stoppen und kam in seiner Analyse zu dem Fazit, dass eine sichere Internetwahl unter gegebenen Bedingungen derzeit unmöglich sei. Seither wurden die Bemühungen in Richtung Internetwahlen in den USA auf unbestimmte Zeit eingestellt.

Trotzdem sind Internetwahlen in den meisten europäischen Ländern noch ein viel diskutiertes Thema. Die Argumente der Befürworter und Gegner entsprechen größtenteils denen in Deutschland: Bei Internetwahlen erhofft man sich eine höhere Wahlbeteiligung und auf lange Sicht eine Einsparung von Kosten, fürchtet aber andererseits fehlende Transparenz und Sicherheit. Hinzu kommen Konflikte mit Gesetzen und Demokratieverständnis.

In Deutschland wurde beispielsweise das Forschungsprojekt Internetwahlen bzw. das Projekt W.I.E.N. (Wählen in Elektronischen Netzen) insgesamt von 1999 bis 2004 mit einem Gesamtvolumen von 5,7 Millionen Euro staatlich gefördert, was jedoch nicht zu dem erhofften Ergebnis einer sicheren Internetwahl führte. Die Forschung und Entwicklung von Wahlgeräten wurde in Deutschland nicht staatlich gefördert.

Siehe auch: E-Voting

Rechtliche Aspekte

Es ist wichtig, zwischen Wahlgeräten und Internetwahlen zu unterscheiden. Für Internetwahlen gibt es derzeit (Stand: Juni 2006) keine rechtliche Grundlage in Deutschland, wohingegen die Stimmabgabe an Wahlgeräten in §35 Bundeswahlgesetz geregelt ist. Weitere relevante Gesetze, insbesondere zu den Anforderungen an das Gerät im Vorfeld der Zulassung sind:

• Bundeswahlgesetz (BWG) vom 23. Juli 1994 (BGBl. I S. 1288,1594), geändert am 27. April 2002 (BGBl. I S. 1467)
• Bundeswahlordnung (BWO) vom 8. März 1994 (BGBl. IS. 495), geändert am 27. April 2002 (BGBl. I S. 1467)
• Wahlstatistikgesetz (WStatG) vom 21. Mai 1999 (BGBl. IS. 1023), geändert am 17. Januar 2002 (BGBl. I S. 412)
• Bundeswahlgeräteverordnung (BWahlGV) vom 3. September 1975 (BGBl. I S. 2459), geändert am 20. April 1999 (BGBl. IS. 749) mit Anlage 1: Richtlinien für die Bauart von Wahlgeräten

Rechtlich-technische Aspekte

Kriterien, welchen das Wahlgerät laut Bundeswahlgeräteverordnung entsprechen muss, sind die Folgenden:

• Korrekte Durchführung des Wahlprozesses
• Sichere Speicherung der abgegebenen Stimmen
• Wahrung des Wahlgeheimnisses
• Richtige Zählung der Stimmen
• Bedienbarkeit der Geräte
• Sichere und langlebige Konstruktion
• Sicherheit bei Störungen
• Unempfindlichkeit gegen mechanische, klimatische und elektromagnetische Umgebungseinflüsse

Diese und weitergehende Kriterien werden von der Physikalisch-Technischen Bundesanstalt geprüft, bevor ein Wahlgerät Zulassung durch das Bundesministerium des Innern erlangen kann.

Eine Kontrollmöglichkeit derart zugelassener Wahlmaschinen für den Wähler besteht zur Zeit nicht, da eine Veröffentlichung der vollständigen Prüfprotokolle und zugehörige Unterlagen bislang unter Berufung auf Betriebsgeheimnisse des Maschinenherstellers verweigert wird.

Wirtschaftliche Aspekte

Durch ein Auskunftsbegehren nach dem niederländischen Informationsfreiheitsgesetz konnte die niederländische Gruppe Wirvertrouwenstemcomputersniet ("Wir vertrauen Wahlcomputern nicht") im Juli 2006 Unterlagen zur Umstellung von Wahlurnen auf Wahlcomputer in Amsterdam veröffentlichen. Dadurch stiegen die Kosten pro Wahl von 1,6 Millionen auf 2,7 Millionen Euro.

Manipulationssicherheit

Der CCC (Chaos Computer Club) fordert ein Verbot von Wahlcomputern bei bundesdeutschen Wahlen. Der CCC konnte zeigen, dass in Deutschland zugelassene Wahlcomputer sehr leicht manipulierbar sind, ohne dass die Manipulation nachweisbar ist.

Die PTB hatte die Prüfung für die Wahlgeräte in Deutschland durchgeführt. Die PTB hält eine Manipulation für grundsätzlich möglich. Allerdings müsste ein Angreifer Fachkenntnis und sehr viel kriminelle Energie mitbringen. Zumindest die kriminelle Energie ist durch die CSU Dachau schon bewiesen worden. In den USA sind Fälle bekannt geworden, in denen möglicherweise Wahlen durch die Gestaltung von Wahlzetteln für mechanische Wahlmaschinen sowie Softwaremanipulationen manipuliert wurden.

Der Vertrieb der in der Bundesrepublik Deutschland zugelassenen Geräte der Firma Nedap, HSG Wahlsysteme GmbH, äußert sich zu diesem Thema folgendermaßen:

"Diese aus der Presse bekannten Skandale lassen sich nicht auf das in Deutschland zugelassene System übertragen, da es sich um unterschiedliche technische und rechtliche Rahmenbedingungen handelt.

Die Authentizität des Softwareprogramms wird durch eine Gesamtheit von Gegebenheiten und Maßnahmen gewährleistet. Insbesondere ist hier die Tatsache zu nennen, dass für eine Manipulation der Zugriff auf den Quellcode des Softwareprogramms und der Zugriff auf die gefüllten Speichermodule nötig wäre. Der Zugriff auf den Quellcode kann nur durch strafbare Handlungen, wie ein unbefugtes Eindringen beim Hersteller oder der PTB gelingen.

Manipulationsversuche an den Speichermodulen wären erst dann sinnvoll, wenn die Wahlgeräte bereits auf die Wahlämter verteilt, dort komplettiert und versiegelt worden sind. Zu diesem Zeitpunkt werden die Geräte jedoch besonders geschützt aufbewahrt, so dass ein Zugriff ebenso unwahrscheinlich erscheint wie ein Zugriff auf die von der Gemeindebehörde aufbewahrten Stimmzettel.

Des weiteren wird beispielsweise die Lieferung der richtigen Geräte durch ein beim Hersteller installiertes Qualitätssicherungssystem sichergestellt, welches ständig durch eine unabhängige und zertifizierte Prüfanstalt kontrolliert wird und es finden genau definierte Kontrollen sowohl im Wahlamt (Zentralstelle), als auch in jedem Wahllokal selbst statt. Es ist somit ausgeschlossen, dass nicht zugelassene oder falsch funktionierende Geräte zum Einsatz kommen."

Dem bleibt hinzuzufügen, dass entgegen obigen Behauptungen des Herstellers zur Manipulation der Software keineswegs der Zugriff auf den Quellcode erforderlich ist, da man sicherlich die im Gerät enthaltene Software disassemblieren oder noch leichter vom Programm benutzte Datenbereiche (Konstanten, ...) im Voraus oder zur Laufzeit manipulieren könnte. Des Weiteren können Wähler und Wahlbeobachter die Funktion der Wahlmaschine nicht überprüfen, sondern sind dazu gezwungen, blind den entsprechenden Behörden zu vertrauen, da die Erfassung und Auszählung der Stimmen geheim durch die in der Wahlmaschine ausgeführte Software erfolgen. Die Geräte geben auch keine Quittung auf Papier aus, was als Mindestanforderung an eine Wahl mit elektronischen Wahlmaschinen gelten dürfte, sodass Nachzählungen unmöglich sind.

Rechtliche Einspruchsverfahren

Gegen die Verwendung von Wahlgeräten bei Bundestagswahlen gab es eine Reihe von Einsprüchen, die bisher nicht entschieden wurden. .

Seit dem 17.10.2006 läuft auch eine Bundestagspetition zur Streichung des §35 Bundeswahlgesetz .

Anforderungen an die technische Sicherheit von Wahlmaschinen

In einer Wahlmaschine findet die Erfassung und Auszählung der Stimmen nicht länger öffentlich, sondern durch die Wahlmaschine statt. Gewissermaßen wird dadurch beides an den Hersteller der Wahlmaschine delegiert. Die Sicherheitsanforderungen unterscheiden sich sicherlich je nach Wichtigkeit der Wahl (und damit dem Aufwand, den ein Angreifer investieren könnte, um das Wahlsystem zu manipulieren).

Um maximale Integrität einer Wahl zu gewährleisten, müssen aus wissenschaftlich-technischer Sicht folgende Anforderungen an eine Wahlmaschine gestellt werden:

1. Alle verwendete Hardware muss beweisbar korrekt und manipulationssicher sein
2. Alle verwendete Software muss beweisbar korrekt und manipulationssicher sein
3. Zum Übermitteln und Sammeln von Ergebnissen genutzte Kommunitationsmechanismen müssen ebenso beweisbar korrekt und manipulationssicher sein.
4. Die Authentizität der Hardware und Software muss durch Behörden und Wähler kontrollierbar sein.

Viele der im folgenden genannten Kriterien sind noch Forschungsgebiet oder erst in Einzelfällen gelungen.

Kriterien zur Sicherheit der Hardware

• Der Prozessor muss beweisbar korrekt sein. Anderenfalls wäre es denkbar, dass z. B.:
  • Fehler im Prozessor zu einer falschen Auswertung führen (siehe z. B. Pentium-FDIV-Bug)
  • Ein Prozessorhersteller versteckte Funktionen einbaut (oder jemand diese später durch manipulierten Microcode einfügt), die z. B. nur ausgeführt werden, wenn ein Wahlprogramm ausgeführt wird.
• Sämtliche Peripheriechips und der Aufbau müssen beweisbar korrekt sein.
• Sämtliche Peripheriegeräte müssen beweisbar korrekt sein. Da heutzutage z. B. Tastaturen, Festplatten oder Monitore Mikroprozessoren enthalten, durch die z. B. ein Speichergerät etwas anderes speichern oder ein Monitor etwas anderes darstellen könnte, ist das ein nicht zu unterschätzendes Problem.
• Manipulationsmöglichkeiten von außen müssen durch geeignete Maßnahmen ausgeschlossen werden:
  • Mechanischer Zugriffsschutz durch geeignetes Gehäuse und Versiegelung
  • Überwachung der Stromversorgung im Gerät
  • Abschirmung vor magnetischen und elektrischen Feldern und anderer Strahlung.

Bei Korrektheit in Bezug auf Hardware ist dabei immer gemeint, dass die Hardware innerhalb der unvermeidbaren Fehlerwahrscheinlichkeit durch einen Hardwarefehler korrekt arbeiten soll.

Kriterien zur Sicherheit der Software

• Alle Programme, die die Maschine steuern (Betriebssystem, Wahlprogramm), müssen beweisbar korrekt sein.
• Der zum Übersetzen der Programme benutzte Compiler muss beweisbar korrekt sein.
• Möglichst sollte auch die Authentizität des Wählers gegenüber der Wahlmaschine sichergestellt werden können, um Manipulationen zu vermeiden.

Kriterien zur Sicherheit der Kommunikation bei zentraler Auswertung

• Die Authentizität von Client (Wahlmaschine/Datenträger) und Server müssen gegenseitig sichergestellt werden.

Kriterien zur Sicherstellung der Authentizität der Wahlmaschine

• Da die Software die Auszählung durchführt, sollte sämtliche Software (und möglichst auch die Hardware) als Open Source verfügbar sein, damit sie durch die Wähler kontrollierbar ist.
• Bei sämtlichen verwendeten Komponenten muss die Authentizität durch Seriennummern mit digitalen Signaturen durch den Wähler überprüfbar sein.
• Die Sicherheit und Korrektheit dieser digitalen Signaturen muss wiederum beweisbar sein. Das dürfte das schwierigste Problem sein.

Weblinks

• Umfangreicher Übersichtsartikel beim Chaos Computer Club zu Wahlmaschinen
• ODP-Linkliste Elektronische Wahlen
• Bundeswahlgeräteverordnung
• HSG Wahlsysteme GmbH
• Wahleinspruch gegen die Verwendung von Wahlcomputern
• Chaosradio-Sendung vom: 27.09.2006, 22:00 Uhr CR117
• Petition gegen Wahlmaschinen beim Petitionsausschuss des Deutschen Bundestags
• Schach dem E-Voting (c't 22/2006, S. 52)

Siehe auch

• Wahlfälschung
• Wahlbetrug
• Wahlurne