HAUPTBEITRAG / RISIKEN VON E-VOTING }

Risiken von E-VotingSicherheit und Probleme elektronischer Wahlen

Barbara Ondrisek

Der Entschluss derPolitik, bei den kom-menden Wahlen der

Österreichischen Hoch-schülerInnenschaft im

Frühling 2009 E-Votingeinzusetzen, alarmiertKritiker wie Rechtsex-

perten. Die Transparenzdes Wahlvorgangesginge verloren unddie Grundsätze des

freien, geheimen undpersönlichen Wahlrechtsseien gefährdet. Zudemgäbe es eine Reihe von

weiteren Risiken und Si-cherheitsproblemen beielektronischen Wahlen.

E-Votingund Wahlrecht

Elektronische Wahlensind ein sehr umstrit-tenes Gebiet. EineReihe von Fehlernund Schwachstellenin E-Voting-Systemenwurden vor allem in denUSA gefunden [11, 13]:Es gibt nur schwacheoder unvollständigeStandards zur Im-plementierung vonelektronischen Wahl-systemen [1] und viele(wissenschaftliche)Experten wie M. Bishopund D. Wagner spre-

chen sich explizit gegen den Einsatz von E-Votingaus. Dennoch gibt es weitreichende Bestrebungen,E-Voting in Staaten einzusetzen, in denen bisherUrnenwahlen stattfanden, wie z. B. in Österreich.

Mit E-Voting (engl. für ,,elektronische Wahlen“)ist jene Wahlmethode gemeint, mit der Stimmenauf elektronischem Weg repräsentiert oder gesam-melt werden können. Die verschiedenen Arten vonelektronischen Wahlen reichen von Internetwahl-systemen über Wahlmaschinen bis hin zu optischenScannern, die Papierstimmzettel automatisiertauswerten.

Die Wahlrechtsgrundsätze, auf denen jedeWahlform basiert, sind in der (österreichischen)Verfassung verankert und besagen, dass jederBürger oder jede Bürgerin das Recht auf eine all-

gemeine, freie, gleiche, persönliche, unmittelbareund geheime Ausübung seines oder ihres Wahlrechtshat. Bei elektronischen Wahlen sind allerdings dieGrundsätze des freien, geheimen und persönlichenWahlrechts, besonders in Hinblick auf Stimmenkaufund Wahlzwang, umstritten, worauf später nähereingegangen wird.

Vorteile von E-VotingTrotz der Kontroversen, die dieses Thema hervor-bringt, gibt es durchaus Vorteile des E-Votings, dievon den Befürwortern immer wieder hervorgehobenwerden: Schnellere Auszählungen, Modernisierungund Zukunftsorientierung, das Verhindern un-absichtlich ungültiger Stimmen (besonders beispeziellen Auswertungsformen wie Panaschierenoder Kumulieren) und Vorteile für körperlich be-nachteiligte Personen (Stichwort: barrierefreiesWählen). Weiters werden finanzielle Ersparnisse,Steigerung der Wahlbeteiligung, leichtere Ein-bindung von Wählern aus dem Ausland wie auchAnwendung der direkten Demokratie genannt [14].

Wo liegen die Probleme?Der Einsatz elektronischer Wahlen hat, Kritikernzufolge, allerdings nicht nur positive Aspekte. ZumEinen ergibt sind bei E-Voting das generelle Problemder Transparenz. Die Maschine – eine Blackbox –macht etwas, das selbst für Techniker nicht direkt

DOI 10.1007/s00287-009-0341-x© Springer-Verlag 2009

Barbara OndrisekTechnische Universität Wien,Karlsplatz 13, 1040 Wien, ÖsterreichE-Mail: barbara.ondrisek@gmx.net

Informatik_Spektrum_32_5_2009 373

{ RISIKEN VON E-VOTING

ZusammenfassungE-Voting ist ein sehr kontroverses Gebiet. DieWahlbeteiligung nimmt kontinuierlich ab,weshalb einige Politiker meinen, ein Allheil-mittel entdeckt zu haben: Internetwahlen alszusätzliche Wahlmethode. Obwohl IT-Expertenund Datenschutzrechts-Spezialisten sich gegenelektronische Wahlen aussprechen, wird esin Österreich bei der kommenden Wahl derÖsterreichischen HochschülerInnenschaft imFrühling 2009 dennoch einen Echtwahlversuchmit Internetwahlen geben. Die Vorteile vonE-Voting wie Erhöhung der Wahlbeteiligungdurch zusätzliche Wahlkanäle und Kostener-sparnis wurden allerdings durch Studien bereitsentkräftet: Durch elektronische Verfahren seienvielmehr die Wahlrechtsgrundsätze gefährdetund die Transparenz des Wahlvorgangs gingeverloren, meinen Kritiker.

erkennbar ist. Das Speichern und das Berechnen derWahlergebnisse bleibt dem Wähler verborgen [18].Es könnten sich beabsichtigte wie auch unbeab-sichtigte Fehler oder Schwachstellen eingeschlichenhaben, die auch durch strenge Qualitätskontrollenschlüpfen können. So wurden bei vergangenenWahlen oft Unregelmäßigkeiten im Wahlergebnisgefunden [23, 24], bei Untersuchungen der einge-setzten Wahlmaschinen wurden sogar gravierendeSicherheitsmängel entdeckt [3, 8, 13] sowie möglicheAttacken nachgewiesen, wie etwa ein Tempest-Angriff oder die Manipulation des Boot-Loaders derMaschine. Zudem beharren Hersteller von E-Voting-Systemen meist auf proprietärer Soft- und Hardware,die nicht offen gelegt werden, da sie fürchten,dass Sicherheitslücken oder Betriebsgeheimnisseausspioniert werden könnten.

Bei Wahlsystemen muss eine Unterscheidungzwischen sogenanntem Retail bzw. Wholesale Fraudgemacht werden [20, S. 37]: Bei einem Wholesale-Angriff kann schon eine einzige Person das gesamteWahlergebnis manipulieren. Auf diese Art kann mitkleinem Aufwand [4] großer Schaden entstehen. ImVergleich dazu können bei einem dezentralen Retail-Angriff nur einige wenige Maschinen in kurzer Zeitmanipuliert werden, wie auch bei der Papierwahl.

Zum Anderen konnte das Argument der Kosten-einsparung durch E-Voting durch konkrete Zahlen

aus Belgien (parlamentarische Anfragen belegen,dass sich die Kosten pro Wählerstimmer verdreifachthaben) und durch Studien in Quebec (Steigerung derKosten um 25%) [10] widerlegt werden. Ebenfallswurde gezeigt, dass diese These in England nichtbelegt werden konnte, als bei fünf Pilotversuchen beiKommunalwahlen Anfang Mai 2007 die Kosten proWählerstimme nach offiziellen Angaben umgerech-net zwischen 150 und 900 € gelegen haben [22]. EinePapierstimme kostet im Vergleich dazu etwa 1,5 €.

Zusätzlich sind aus Schweden [9] wie auchaus England Entkräftungen des Arguments für dieSteigerung der Wahlbeteiligung bei Multi-Channel-Voting bekannt, da sich die von der Regierungerwartete höhere Wählerbeteiligung bei den Pilot-versuchen nicht eingestellt hat [18]. Eine Steigerungdes politischen Interesses scheint somit nicht durchalternative Möglichkeiten der Stimmabgabe, son-dern nur durch eine Änderung der demokratischenKultur möglich zu sein.

Papierbelege bei E-VotingEin weiteres Problem bei Wahlcomputern sindfehlende Papierbackups für erneute, aussage-kräftige Auszählungen [6]. Eine von vielenSeiten [8, 12, 13, 15] geforderte Maßnahme ist derEinsatz von Kontrollbelegen, die von Wählernüberprüfbar sind – der sogenannte Voter-VerifiedPaper Trail (VVPT). Zusätzlich zur elektronischenSpeicherung wird die Stimme hier auch auf einemPapierbeleg gesichert, mit dem gezeigt wird, dassdie Stimme, die abgegeben wurde, auch tatsäch-lich der entspricht, die man abgeben wollte. Mitdiesen Papierbelegen kann mittels sogenannterBulletinboards überprüfbar sein, dass die Stimmeim Ergebnis enthalten ist. Ein Kontrollbeleg kann fürspätere geräteunabhängige Nachzählungen verwen-det werden und dient ebenfalls zur Überprüfung derKorrektheit einzelner Maschinen. Dieses Verfahrenermöglicht bedeutungsvolle Neuzählungen undAudits und stichprobenartige Überprüfungen derMaschinen [5].

VVPT-Verfahren werden allerdings oft kriti-siert, da sie versuchen, Transparenz in einen vonHaus aus nicht transparenten Prozess zu bringen.Daher ist der Einsatz von VVPT, besonders bei nach-träglicher Installation in einem bereits eingesetztenE-Voting-System, umstritten. Zudem kann derVVPT das geheime Wahlrecht untergraben, da manso einen Beleg für die Stimme erhält. Ein weiterer

374 Informatik_Spektrum_32_5_2009

AbstractE-Voting has become a very controversially dis-cussed topic during the last few years. Primarilycaused by the fact of decreasing voter partici-pation, some politicians regard e-voting as themagic bullet. Although IT experts and dataprivacy specialists disapprove of it, e-voting willbe introduced during the upcoming AustrianStudents’ Union polls in early 2009.

All advantages of e-voting, like an increasedturnout of voters due to additional votingchannels or cost reduction, have already beenrebutted by a number of studies. Critics alsostrongly emphasize the disadvantages of elec-tronic elections, such as violating the principlesof electoral law as well as the loss of transparencyof the voting process.

Kritikpunkt ist, dass es durch den Einsatz von VVPTnur zu höherer Komplexität und zu zusätzlichenKosten kommen würde [2].

InternetwahlenWählen über das Internet, auch I-Voting genannt,als Spezialfall elektronischer Wahlen ist ein Beispielfür Distanzwahlen und birgt durch die Verknüpfungzum Internet weit höhere Sicherheitsrisiken insich als andere E-Voting-Verfahren. Den Vortei-len von Internetwahlen wie Wählen ,,im Pyjama“,höhere Wahlbeteiligung, Steigerung der Mobili-tät für Wähler (vor allem für Auslandswähler),Kostenersparnisse, breiterer Zugang und weitereZugriffsmöglichkeiten [16] werden schwerwiegendeNachteile von Kritikern entgegengehalten.

Zunächst sind diese zusätzlichen Sicher-heitsrisiken des E-Votings mit den allgemeinenSicherheitsproblemen des Internets eng ver-bunden, speziell der Möglichkeit verschiedenerAngriffe wie z. B. Hacker_Attacken, Phishing, Vi-ren, Trojaner, Lauschangriffe, Malware, Spyware,Rückverfolgbarkeit, vor allem aber (Distribu-ted) Denial-of-Service-Attacken, gegen die esbeim heutigen Stand der Technik keinen hin-reichenden Schutz gibt. Das geheime Wahlrechtkönnte durch Vorratsdatenspeicherung, Online-Durchsuchungen (etwa mittels Bundestrojaner),Deep Packet Inspection oder das Ausspionierenvon IP-Adressen nicht gewährleistet werden, da

eine Zuordnung von Stimmen zu Wählern möglichwäre.

Zusätzlich beherbergen Internetwahlen (wieauch jede andere Form von Distanzwahlen) einweiteres großes, nicht-technisches Problem: DenStimmenkauf. Der Wähler gibt seine Stimme ineiner nicht von der Wahlkommission kontrollier-ten Umgebung ab. So werden bei DistanzwahlenMethoden der unzulässigen Wählerbeeinflussungerleichtert, wie Erpressung (etwa Anordnungenim Familienkreis, auch Family Voting genannt,oder Andere) [7]. Bereits bei den erst kürzlich inÖsterreich eingeführten Briefwahlen, für die dieÖsterreichische Bundeswahlbehörde bei den BigBrother Awards 2008 nominiert wurde, gab mandem allgemeinen Wahlrecht zugunsten des freien,geheimen und persönlichen Wahlrechts den Vorzug.

Weiters befinden sich die Möglichkeiten derVerbrechensverfolgung von Tätern über das Internet– zu deren Gunsten – in einem rechtlichen Grau-bereich. So sind etwa Angriffe über ausländischeServer aus strafrechtlichen Gründen nicht nachösterreichischem Recht verfolgbar. Auch stellenInternetwahlen die Gleichberechtigung der Bürger(Bevorzugung von Personen mit Internet, Technolo-gieverständnis älterer Mitbürger, eventuelle Kostenzusätzlicher Geräte, wie etwa Chipkartenlesegeräten,etc.) vor ein Problem.

Wahlen über das Internet bieten zudemweder eine Möglichkeit für aussagekräftigeAudit-Verfahren (Audits bezeichnen allgemeineUntersuchungsverfahren), noch für authentische,erneute Auszählungen, da keine Papierbelegeverwendet werden können. Die Stimmauszäh-lung entzieht sich vollständig den Augen derWahlkommission und Wahlbeobachtern, was inWiderspruch zum Öffentlichkeitsprinzip und zumTransparenzgebot steht und den Nachweis vonManipulationsfreiheit unmöglich macht. Damit istes bei E-Voting-Verfahren äußerst schwierig, Trans-parenz und die Überprüfbarkeit der Richtigkeitdes Wahlergebnisses sicherzustellen, wodurch auchdas Vertrauen in diese Systeme schwindet. SolcheProbleme haften allen Distanzwahlverfahren, wieauch der Briefwahl, an.

Zahlreiche Wissenschaftler, Techniker undGruppierungen, wie etwa Peter G. Neumann, derChaos Computer Club in Deutschland oder Ronald L.Rivest vom MIT sowie viele andere [15, 19] sprechensich ebenfalls explizit gegen Internetwahlen aus.

Informatik_Spektrum_32_5_2009 375

{ RISIKEN VON E-VOTING

Internetwahlen werden häufig fälschlicherweisemit E-Banking oder anderen Online-Anwendungenverglichen. Allerdings hinkt der Vergleich stark, dabei E-Voting im Gegensatz zu allen anderen Internet-Applikationen eines gewährleistet werden muss: Aufder einen Seite Kontrolle über den Benutzer (Identi-fikation, Authentifizierung etc.) und auf der anderenSeite Anonymität (geheimes, freies Wahlrecht). BeimOnline-Banking ist der Benutzer bekannt und mankann jederzeit den Geldfluss nachverfolgen, beimE-Voting gibt es keine direkte Nachvollziehbarkeit,da die Stimme anonym abgegeben und gespeichertwird.

PapierwahlenDas heutige Papierwahlsystem überzeugt undbesticht durch seine Einfachheit. Man kann dieSchritte, die für jeden verständlich sind, selbst ei-nem Volksschüler erklären. Es ist ein durchdachtes,bewährtes System mit einem bestimmten Ablauf mitmehreren Kontrollfunktionen. Es ist transparent,da es auch Wahlbeisitzer und Wahlbeobachter ein-bezieht. Jeder, auch Leute ohne technisches Wissen,können sich vor, während und bei der Wahl von derKorrektheit überzeugen. Bei E-Voting-Systemenist die Kenntnis des genauen Ablaufes nur wenigenExperten vorbehalten, in technischen Details kannsich allerdings auch der beste Programmierer ver-stricken, zumal Fehler niemals hundertprozentigausgeschlossen werden können.

Eine weitere Frage ist die generelle Motiva-tion, warum E-Voting überhaupt eingesetzt werdensoll. Wieso ein bestehendes, vertrauenswürdigesSystem ersetzen, das funktioniert? Vertreter vonE-Voting argumentieren in diesem Zusammen-hang, dass traditionelle Wahlverfahren ebenfallsSicherheitslücken enthalten (etwa Stimmenkauf mitBriefwahl, Kameras in Wahlzellen), die teilweisemit elektronischen Verfahren gesichert werdenkönnten.

SicherheitNeben den bereits erörterten aktuellen Proble-men bei elektronischen Wahlen stellt sich auch dieFrage, ob die derzeit verfügbare Soft- und Hardwareüberhaupt schon sicher genug ist, um für ein der-artig kritisches Szenario wie elektronische Wahleneingesetzt zu werden. Einige Kritiker behaupten,Sicherheitskonzepte und Sicherheitsmechanismenseien mit dem heutigen Stand der Technik überhaupt

nicht möglich und heutige elektronische Systemeinhärent fehlerhaft [7].

So erwartet auch der Sicherheitsexperte KlausBrunnstein eine markante Steigerung der Sicherheitin der IT-Branche erst in 20 Jahren, wenn ,,dieUnfälle so gravierend geworden sind, dass man dieSicherheitsdefizite nicht mehr akzeptiert“ [21]. DieComputertechnik durchläuft die gleichen Zyklenwie jede andere technologische Veränderung: Zu-erst gibt es Hoffnung, dass die neue TechnologieProbleme lösen wird, dann Verzweiflung, weil dieTechnologie die hohen Erwartungen nicht erfüllt,und letztendlich greift ein regulierendes Element(etwa eine staatliche Behörden) ein, um die neueTechnologie in die Gesellschaft zu integrieren.

Die größten Probleme von E-Voting sind derMangel an Vertrauen und Akzeptanz, die fehlendeTransparenz des Vorganges, keine oder unzuläng-liche Papierbackups für erneute Auszählungen,fehlende Nachweisbarkeit über die Manipulati-onsfreiheit des Systems, schlechte Handhabbarkeitsowie fehlende Kontrolle für die Wahlkommissionvom Source-Code bis zum Transfer der Stimme.Zusätzlich dazu gibt es den großen Widerspruch,der im E-Voting steckt: Die Stimmabgabe soll einer-seits geheim, andererseits aber auch kontrollierbarbleiben, um Manipulationen auszuschließen. MitE-Voting wird blindes Vertrauen in die Technikvorausgesetzt und somit die Sicherheit des gesamtendemokratischen Prozesses gefährdet.

Literatur1. Barr E, Bishop M, Gondree M (2007) Fixing Federal E-Voting Standards. In: Com-

munications of the ACM, vol. 50. Emergency response information systems: emer-ging trends and technologies. Column: Viewpoint. ACM 3:19–24, ACM, New York,NY, USA

2. Castro D (2007) Stop the Presses: How Paper Trails Fail to Secure e-Voting. Re-port. The Information Technology & Innovation Foundation (18. September 2007),S 1–19

3. Chaos Computer Club (2006) Bericht der CCC-Wahlbeobachtergruppe von derOberbürgermeisterwahl in Cottbus (24. Oktober 2006)

4. Di Franco A, Petro A, Shear E, Vladimirov V (2004) Small vote manipulations canswing elections. In: Communications of the ACM, vol. 47. Voting systems –SPECIAL ISSUE: The problems and potentials of voting systems 10:43–45

5. Dill D, Rubin A (2004) E-Voting Security. IEEE Security Priv Magazine 2(1):1540–7993

6. Dill D, Schneier B, Simons B (2003) Voting and Technology: Who Gets to CountYour Vote? Communications of the ACM 46(8):29–31

7. Evans D, Paul N (2004) Election security: Perception and reality. IEEE Security PrivMagazine 2(1):24–31

8. Feldman A, Halderman J, Felten E (2006) Security Analysis of the DieboldAccuVote-TS Voting Machine. Princeton University, Princeton

9. Grönlund Å (2002) Private Sanctity – e-Practices Overriding Democratic Rigor ine-Voting. In: Traunmüller R, Lenk K (Hrsg) EGOV 2002. Lect Notes Comput Sci2456:52–60

10. Gyulai L (2006) Plug pulled on electronic voting – High-tech balloting cost 25 percent more. The Gazette (25. Oktober 2006)

376 Informatik_Spektrum_32_5_2009

11. Harris B (2004) Black Box Voting: Ballot-Tampering in the 21st Century. Talion Pu-blishing, Renton, USA

12. Jones M (2005) The Pedagogic Opportunities of Touch-Screen Voting. In: ACMSIGCSE Bulletin, SESSION: E-voting, ethics, and infrastructure for computing edu-cation. ACM 37(3):223–226

13. Kohno T, Stubblefield A, Rubin A (2004) Analysis of an Electronic Voting System.In: Security and Privacy, 2004. Proceedings 2004 IEEE Symposium on 9–12 May2004, S 27–40

14. Maidou A, Polatoglou H (2004) E-Voting and the architecture of virtual space. In:Proceedings of the 1st International Workshop on Electronic Voting. “ElectronicVoting in Europe: Technology, Law, Politics and Society”. GI, Bonn, S 133–142

15. Mercuri R (2002) A better ballot box? Spectr IEEE 39(10):46–5016. Mohen J, Glidden J (2001) The case for Internet Voting. Commun ACM 44(1):72–8517. Ondrisek B (2008) Sicherheit elektronischer Wahlen. Verlag Dr. Müller

18. Open Rights Group (2007) Election Report – Findings of the Open Rights GroupElection Observation Mission in Scotland and England (20. Juni 2007)

19. Philippsen M (2002) Internetwahlen – Demokratische Wahlen über das Internet.Informatik-Spektrum 25(2):138–150

20. Rubin A (2006) Brave new ballot – the battle of safeguard democracy in the ageof electronic voting. Morgan Road Books

21. Sagatz K (2004) Den sicheren PC gibt es erst in zwanzig Jahren. Interview geführtmit Kurt Brunnstein. Der Tagespiegel (12. Mai 2004)

22. Sietmann R (2007) Wähler-Selbstkontrolle – Experten ringen um Vertrauen inelektronische Wahlmaschinen. c’t 19:84

23. USA Today (2004) More than 4,500 North Carolina votes lost because of mistakein voting machine capacity. The Associated Press (4. November 2004)

24. K Zetter (2004) E-Vote Snafu in California County. Wired Magazine, Politics: Secu-rity (31. September 2004)

Informatik_Spektrum_32_5_2009 377