Chaos Computer Club hackt Hamburger Wahlstift

Am 24. Februar 2008 soll in Hamburg mit dem neuen "Digitalen Wahlstift" gewählt werden. Durch eine grundlegende Änderung des Wahlrechts wird unter anderem ein Computer-Wahlverfahren eingeführt, das nur oberflächlich wie die vertraute Wahl mit Zettel und Stift aussieht. Der Chaos Computer Club (CCC) weist nun mit der Demonstration eines Wahlstift-Trojaners auf die erheblichen Manipulationsrisiken dieses Verfahrens hin.

Rein äußerlich soll der Wahlvorgang für die 1,2 Millionen Hamburger Wähler in den Wahllokalen gleich bleiben. Jeder Wähler geht in die Wahlkabine und kreuzt dort seine Stimmen auf dem Papier an. Dafür bekommt er einen Digitalen Wahlstift ausgehändigt. Der elektronische Stift zeichnet über ein für Menschen kaum sichtbares Muster auf dem Stimmzettel auf, wo auf dem Papier der Wähler seine Kreuze macht. Der Stift wird anschließend in eine Auslesestation gesteckt, um das digitale Kreuz vom Stift über ein Kabel auf einen Laptop zu übertragen. Im Laptop werden dann die Kreuze zu Stimmen umgerechnet. Am Wahlende wird aus den gespeicherten Kreuzen ein Ergebnis errechnet, welches dann über einen Drucker ausgegeben wird. Aus Gründen der Ausfallsicherheit werden alle Stimmen zusätzlich auf einem USB-Stick gespeichert.

Laut dem neuen Hamburger Wahlgesetz sollen dabei ausschließlich die vom Wahlstift aufgezeichneten digitalen Kreuze als Ausdruck des Wählerwillens gelten, das Papier dient nur als wählerberuhigende Dekoration. Folgerichtig werden die Stimmen auf dem Papier auch nur in 17 der ca. 1300 Wahllokale zur Überprüfung nachgezählt. Stimmen, welche nicht mit dem Digitalen Wahlstift, sondern erkennbar mit einem herkömmlichen Kugelschreiber oder Füller abgegeben werden, gelten als ungültig und werden aussortiert. Bei einer Differenz zwischen der Stichprobenzählung und den digital ermittelten Stimmen zählen deshalb nicht, wie vom Wähler erwartet, die Stimmzettel, sondern die vom Computer ermittelten Ergebnisse. Bei der Briefwahl werden die Stimmen von zwei Wahlhelfern mit dem Digitalen Stift nachgemalt, um damit ebenfalls ein computergestütztes Ergebnis zu ermitteln.

Mit dieser Konstruktion wird dem Wähler nur eine Papierwahl vorgegaukelt, de facto findet aber eine Computerwahl mit allen bekannten Risiken und ohne Nachprüfbarkeit für den Wähler statt. Der Hamburger Wahlstift reiht sich so nahtlos an die umstrittenen NEDAP-Wahlcomputer, die gerade in den Niederlanden wegen zahlreicher Sicherheitsprobleme und mangelnder Nachprüfkeit des Zustandekommens des Ergebnisses abgeschafft wurden.

Um die technische Sicherheit des Digitalen Wahlstift Systems (DWS) zu belegen, wurde ein Schutzprofil nach den sogenannten Common Criteria erstellt, einem Standard der eigentlich zur Standardisierung von Teilbereichen der IT-Sicherheit, nicht aber für Wahlsysteme entwickelt wurde. Die Verwendbarkeit von Common Criteria für die Beurteilung von Wahlsystemen gilt demzufolge unter Experten als äußerst zweifelhaft. Aufgrund dieses Schutzprofils soll nun eine Baumusterprüfung durch die Physikalisch-Technische Bundenanstalt (PTB) stattfinden. Gegenstand der Prüfung soll dabei die Auslesestation und der Wahlstift selbst, die Software auf dem Stift sowie die Auswertungs- und Zählsoftware auf dem Laptop sein. Die Prüfung umfasst jedoch nicht den Drucker, den Laptop, auf dem Windows XP als Betriebssystem laufen wird, und die zentrale Auswertungssoftware beim Statistikamt Nord. Die PTB hatte schon die Wahlcomputer der Firma NEDAP für Deutschland als sicher eingestuft, welche in den Niederlanden gerade aufgrund von Sicherheitsbedenken komplett aus dem Verkehr gezogen wurden.

Eine Manipulation der Wahl durch Innentäter, also etwa durch Wahlhelfer, Administratoren der Behörde für Inneres oder Mitarbeiter der Herstellerfirmen wird im Schutzprofil per Definition ausgeschlossen. Der Sprecher des Chaos Computer Club, Dirk Engling, sagte dazu: "Die Ignoranz gegenüber der Innentätergefahr entlarvt das konzeptionell falsche Herangehen an computerisierte Wahlvorgänge. Es erinnert an einen Flugzeugbauer, der bei der Konstruktion mal eben die Erdanziehung vergisst und sich nachher wundert, dass das Flugzeug nicht abheben kann." Die von Hersteller und Hamburger Senat getroffene Annahme, dass es keine Innentäter geben wird, die eine Wahlfälschung versuchen würden, disqualifiziert die Sicherheitsannahmen für das System vollständig.

Eine Veröffentlichung der Software des Digitalen Wahlstiftsystems und damit der zu Grunde liegenden Technik ist nicht vorgesehen, womit eine öffentliche Prüfung durch unabhängige Sicherheitsexperten unterbunden wird. Kritische Aussagen der Verfassungsexperten Dr. Stephanie Schiedermair und Prof. Dr. Ulrich Karpen werden ignoriert. Auch Warnungen von Sicherheitsexperten wie Prof. Dr. Klaus Brunnstein und dem CCC wurden als theoretisch oder populistisch abgetan. "Die Geheimniskrämerei erinnert fatal an das Vorgehen bei NEDAP-Wahlcomputern, offenbar unterschätzen die Hamburger Entscheidungsträger die Sicherheitsprobleme und haben aus dem Desaster im Nachbarland Niederlande nichts gelernt", sagte CCC-Sprecher Dirk Engling.

Obwohl der Chaos Computer Club vom Hamburger Wahlleiter kein komplettes System für eine Analyse erhalten hat, konnten anhand der verfügbaren Informationen und durch Untersuchung der Basistechnologie des Wahlstifts, dem Anoto-Digitalstiftsystem, eine Reihe von schwerwiegenden prinzipiellen Mängeln identifiziert werden. Dabei wurde das grundlegende Problem computergestützter Wahlen - die mangelnde Überprüfbarkeit durch den Wähler - überdeutlich.

Der CCC hat zur beispielhaften Illustration der vielfältigen Angriffsmöglichkeiten gegen den Wahlstift für die Hamburger Bürgerschaft einen trojanischen Wahlstift entwickelt, der äußerlich nicht als solcher erkennbar ist. Solch ein Stift kann sowohl von Wählern als auch von an der Wahlvorbereitung und -durchführung beteiligten Personen unbemerkt ins Wahllokal mitgebracht und statt dem echten Wahlstift in die Auslesestation gesteckt werden. Der manipulierte Stift überträgt dann nicht nur digitale Stimmkreuze zum Auswertungscomputer, sondern agiert als ein sogenanntes Trojanisches Pferd zum Einschleusen von Schadsoftware. Sobald der Stift in die Auslesestation gesteckt wird, aktiviert sich ein Manipulationsprogramm, welches automatisch auf das Zielsystem übertragen und dort ohne Zutun des Bedieners ausgeführt wird. Das Programm kann nun problemlos Manipulationen auf dem Auswertungslaptop vornehmen, indem es z. B. die Position der digital gespeicherten Stimmkreuze ve rändert, das Endergebnis verfälscht, speichert und ausgibt.

"Der trojanische Wahlstift ist nur einer von vielen verschiedenen Angriffen gegen das Wahlstiftsystem. Es geht hier nicht um das eine oder andere Sicherheitsloch, das noch irgendwie gestopft werden kann. Das prinzipielle Problem ist, dass der Wähler bewusst in die Irre geführt wird. Ihm wird eine Papierwahl vorgegaukelt, die in Wahrheit eine unsichere und intransparente Computerwahl ist", sagte CCC-Sprecher Dirk Engling.

Vor dem Hintergrund der prinzpiellen und sicherheitstechnischen Probleme des Digitalen Wahlstifts, insbesondere der mangelnden Überprüfbarkeit durch den Wähler, fordert der Chaos Computer Club den Hamburger Gesetzgeber dazu auf, das Wahlstiftsystem aufzugeben. Selbst mit massiver Nacharbeit an den heute sichtbaren Sicherheitslücken ist das System prinzipbedingt nicht dazu geeignet, die Anforderungen an Wahlen in Deutschland zu erfüllen.

Quelle: Pressemitteilung CCC