Man möchte meinen, es ist doch schon alles gesagt worden. In der Tat: wer die Beiträge auf der NSTZ, auf Salto, auf Blogs und Rundfunk verfolgt hat, der konnte sich in den letzten Tagen ein Bild von einem Katz- und Maus-Spiel machen. Da wäre einmal die von mir lancierte Kritik an der Webseite www.selbstbestimmung.com. Eine Website, die zwar als Wahlplattform beworben wird, die aber solch eklatante Mängel im Sicherheitskonzept hat, dass nicht mal die grundlegendsten Anforderungen an einer freien Wahl eingehalten werden können. Da wäre die Replik der L.-Abg. Sven Knoll und Eva Klotz, die nicht müde werden zu beteuern, alles hätte seine Richtigkeit und die Vorwürfe wären haltlos.

 

Das Thema ist äußerst simpel, wem die Kurzfassung reicht, und die präsentiere ich auch gleich. Gleichzeitig aber ist das Thema auch schön komplex - wenn man im Detail verstehen möchte, warum die Plattform der Südtiroler Freiheit so absurd amateurhaft implementiert und welche grundlegenden Designfehler im Systems vorliegen. Wie Patrick Ohnewein im heutigen Mittagsmagazin richtig festgestellt hat, zählen Wahlsysteme im Internet mit zu den spannendsten technischen Herausforderungen - weil eine ganze Reihe von gut durchdachten Lösungen nötig ist, um die Wahl sicher und geheim durchführen zu können. Komplexe Systeme also, aber das schöne ist auch, dass sie technisch beherrschbar sind. Man muss es nur richtig anstellen.

 

Ich bin jetzt das Katz- und Mausspiel leid. Auf eine präzise Analyse meinerseits, was genau an der Plattform falsch ist, wird von Seiten der STF mit Allgemeinplätzen und, noch schlimmer, zaghaften Verteidigungsversuchen repliziert. Diese vorsichtigen Verteidigungsversuche bringen es aber mit sich, dass immer größere Löcher im Wahlsystem zum Vorschein kommen. Gleichzeitig wird die STF nicht müde zu antworten, ihre „Spezialfirma“ aus Deutschland habe versichert, dass alles mit Rechten Dingen zugehe. Was tun, also?

 

Nun, ich denke hier gilt nur noch die Flucht nach vorne: Ich poste hier mal klar und deutlich formuliert meine Vorwürfe. Und dann, bitte ich um „peer review“. Wir haben Experten im Lande, gar Universitäten und Technologiezentren. Meine Behauptungen sind hiermit öffentlich und sollen jeder kritischen Überprüfung meiner Peers – das sind Leute meines Fachs - standhalten.

 

„Peer review“ bedeutet auch: fundierte Kritik ist gefragt, oder eben auch Zustimmung. Beides verlangt nach Fachkenntnis und Klarnamen: wer hier Sachkompetenz beweisen möchte, muss auch dafür gerade stehen können. Nur zu also, zerpflücken Sie meine Kritik, falls Sie einen Fehler finden. Oder bestätigen Sie die Punkte, bei denen Sie zustimmen.

 

Let’s rock.

Die simplen Regeln einer demokratischen Wahl

Zuerst brauchen wir Übereinkunft darüber, was eine Wahl ist. Die Kurzfassung?

#1 Die Wahl ist geheim.

#2 Jede(r) kann an der Wahl teilnehmen, und jede abgegebene gültige Stimme zählt.

#3 One man, one vote. Auf Deutsch: Jede(r) hat nur eine Stimme.

Wer es genauer haben möchte, dem seien die Mindestanforderungen an freie Wahlen der Vereinten Nationen (UN) nahegelegt. Sie wissen schon: Wahlbeobachter und so.

Jetzt aber los. Die absolute Kurzfassung.

Auf der Webseite www.selbstbestimmung.com dürfen sie an dem „selbstverwalteten Referendum“ der STF teilnehmen und Ihre Stimme darüber abgeben: „bist du dafür, dass die Süd-Tiroler ihr Recht auf Selbstbestimmung ausüben, um frei über die Zukunft des Landes zu entscheiden?“.

Um eine Stimme abgeben zu können, müssen sie sich identifizieren. Dazu geben Sie bitte Ihren Vornamen, Nachnamen, Geburtsdatum, und die ersten 2-3-4 Ziffern aus Ihrem Geburtsakt ein. Los geht’s! Sie dürfen dann wählen!

Fakten-Check 1

Um eine Stimme abzugeben, braucht es nur Name, Geburtsdatum und Geburtsakt. Diese Daten sind leider in den Wählerverzeichnissen öffentlich zugänglich. Jeder Bürger hat Anrecht auf Einsicht in diese Wählerverzeichnisse, sei es aus politischen Gründen, aber auch für historische, soziale, oder gesellschaftliche Gründe. So steht es im Gesetz. Es reicht, wenn Sie ein formloses Schreiben an den Bürgermeister Ihrer Gemeinde stellen, eine Kopie des Ausweises beilegen und Einsicht in den Daten verlangen.

Was das bedeutet? Jeder, der in der Gemeinde um Einsicht bittet, kann sich die Namen von 10-100-1000 MitbürgerInnen samt Geburtsdatum und Geburtsakt besorgen. Und mit diesen Daten können Sie 10-100-1000 Stimmen im „Wahlsystem“ der STF abgeben. Sie haben damit soeben gegen Postulat #3 verstoßen. Sie erinnern sich? „Jede/r hat nur eine Stimme.“

Es ist Wahlbetrug, wenn die Plattform den Missbrauch so einfach macht, dass jede/r beliebig viele Stimmen im Namen anderer abgeben kann. Wie seriös ist eine poltische Aussage zur Selbstbestimmung, wenn die abgegebenen Stimmen allesamt gefälscht sein könnten?

So, liebe Community. Das war der erste Fakten-Check. Ich ersuche um „peer review“ dieser Aussage! Gehen Sie morgen in Ihre Gemeinde und verlangen Einsicht in die Wählerlisten. Fragen Sie den Gemeindenverband, wenn Sie möchten. Fragen Sie Ihre Partei, wenn Sie einer angehören, ob diese die WählerInnenlisten hat. Antworten sie bitte mit „Fakten-Check1“ bestanden, oder beweisen Sie mir das Gegenteil.

Mehr davon? Jetzt wird’s aber technisch!

Hier wird’s spannend, wenn Sie im Detail die zahlreichen Vorwürfe prüfen möchten, die ich der Plattform der STF mache. Wenn Ihnen das zuviel ist, keine Sorge. Bleiben Sie bei der „absoluten Kurzfassung“. Sie reicht eigentlich, um die Absurdität des Systems zu beweisen. Ganz unten finden Sie mein Resümee, den sollten Sie noch lesen.

Irrtum 1. Die Zugangsdaten sind sicher.

Sie erinnern sich? Einloggen geht über 2-3-4 Ziffern aus Ihrem Geburtsakt. Mal ganz langsam auf der Zunge zergehen lassen. Ihr „Passwort“ zum Anmelden zur Wahl sind, neben ihrem Namen und Geburtsdatum, einfach nur ein paar Ziffern! Hallo? Denken Sie mal nach, ob Sie Ihren PC mit einem Passwort absichern würden, dass nur aus zwei Ziffern besteht.

Will sagen: wenn Sie keine Lust haben, in der Gemeinde die Wählerliste zu holen, dann ist das System immer noch so grottenschlecht, dass sie sogar durch reines „ausprobieren“ einer Zahlenkombination eine Stimme abgeben können. Die restlichen Daten, also zum Beispiel Name, Vorname, und Geburtsdatum, besorgen sie sich woanders. Schauen Sie zum Beispiel beim deutschen Schulamt nach, dort können Sie die Daten einiger Südtiroler Lehrer frei einsehen:

http://www.provinz.bz.it/schulamt/download/defBewertungsrangordnungKlassenlehrer.pdf

Fakten-Check 2

Ein Passwort, das aus 2-3-4 numerischen Ziffern besteht, ist allgemein als unsicher zu betrachten. Durch blosses „Ausprobieren“ kann ein Angreifer in wenigen Minuten sich Zugang zum System verschaffen und damit eine Stimme abgeben. Peer review, bitte.

Irrtum 2. Auch wenn das Passwort unsicher ist, es braucht schon viel Zeit, um durch „Ausprobieren“ sich Zugang zum System zu verschaffen.

Aha. Nochmal zur Seite https://vote.selbstbestimmung.com/registry/login/personal

Welche Daten müssen hier nochmal eingegeben werden? Name, Geburtsdatum, und die blöden paar Ziffern. Wie lange brauchen Sie, um die Zahlen von 0-100 auszuprobieren? Ein Mensch braucht dafür etliche Minuten. Aber eine Maschine?

Eine Maschine, soso. Schon mal im Internet gewesen? Schon bemerkt, dass man ab und zu einen Captcha-Code ausfüllen muss? Das sind diese verwischten Zahlen- und Buchstaben, die man eintippen muss. Die meisten wissen wohl, wozu die da sind. Es ist ein klassischer Turing Test. Ein Turing Test dient dazu, zu erkennen, ob ein Mensch oder eine Maschine vor einem steht.

Wichtige Sache, glaubt mir. Ein Mensch muss ein blödes Formular nämlich ausfüllen, und braucht dafür ziemlich viel Zeit. Eine Maschine kann in einer Sekunde 100 oder 1000 Versuche machen, so viele es braucht. Wenn ein Formular durch ein Captcha-Code geschützt ist, ist das blosse „Ausprobieren“ von Zugangsdaten nicht möglich, zumindest nicht, wenn das Passwort lange genüg *wäre* (was es hier sowieso nicht ist, 2-3 Zahlen sind leider überhaupt kein Passwort, sondern eine offene Tür).

Fakten-Check 3

Wer den Zugang zu einem System über ein Loginformular definiert, das nicht per Captcha-Code geschützt ist, handelt grob fahrlässig. Eine Maschine kann in Millisekunden das Passwort „erraten“ und damit maschinell hunderte oder tausende Stimmen abgeben. Peer review, bitte.

Irrtum 3. Wir können anhand der Logfiles jeden Missbrauch identifizieren.

Sven Knoll meint, das System sei so ausgelegt, dass anhand der Logfiles identifiziert werden kann, ob ein einzelner Rechner „viele Loginversuche“ probiert. Oder ob für ein bestimmtes Login mehrfach versucht wurde, sich einzuloggen. Aha.

Fakten-Check 4

Zu glauben, im Internet sei der Absender nachverfolgbar, ist naiv. Zahlreiche Dienste (Tor, Proxy Server) ermöglichen es, hunderte von Anfragen zu schicken, bei denen der Absender jedes Mal ein anderer Rechner ist. Sie können damit den Absender nicht blockieren. Peer review, bitte.

Na gut, ignorieren wir also den Absender, an den kommen wir nicht ran. Dann sperren wir halt das Login. Wenn jemand also mehr als 10 Mal sich einzuloggen versucht (und dabei ein falsches Passwort ausprobiert), dann sperren wir diesen Datensatz und gut ist.

Fakten-Check 5

Gratuliere. Sie haben soeben eine neue Angriffsfläche geschaffen. Techniker nennen das „Denial of Service“. Wie das geht? Nun, gehen Sie zum Beispiel die Liste der Lehrer durch. Und geben Sie solange falsche Passwörter ein, bis dieser Zugang gesperrt ist.

Herzlichen Glückwunsch. Sie haben soeben gegen #2 verstoßen. „Jede(r) kann an der Wahl teilnehmen, und jede abgegebene gültige Stimme zählt“. Diese armen Lehrer sind ab sofort vom System gesperrt und werden nicht mehr an der Wahl teilnehmen können. Nicht so schlimm, meinen Sie? Sie können immer noch Offline wählen?

Hmm, dummerweise schließen Sie dabei diejenigen aus, die gerade im Ausland sind, oder die sich darauf verlassen haben, dass sie bequem von zu Hause aus am letzten Tag wählen würden. Diese Menschen *wollten* Ihre Stimme abgeben, dürfen es aber nicht mehr, weil jemand ihr System so missbraucht hat, dass Unschuldige gesperrt wurden.

Ein freier und gleicher Zugang zu einer Wahl ist was anderes. Peer review, bitte.

Irrtum 4. Wir können anhand der Logfiles diese irregulären Stimmen später entfernen.

Sven Knoll meint, das System sei so ausgelegt, dass die Online Stimmen getrennt von den Offline erfasst werden. Später würden die Stimmzettel abgeglichen, und wenn jemand sowohl Online als auch Offline gestimmt hat, würde der Offline Stimme Vorzug gegeben und die Online Stimme gelöscht. Im Originalton heisst das so:

"Für alle drei Abstimmungen gibt es eigene Wahlurnen, diese werden getrennt gezählt und dann erst zusammengerechnet." Und weiters "Der Mehrfachabstimmung werde noch vor dem Öffnen der eigentlichen Wahlkarten mit einem Vergleich der Identifikationsdaten auf den - realen wie virtuellen - Kuverts vorgebeugt". Wenn man also erkennt, dass jemand mehrfach abgestimmt hat, zählt (nur noch) die Wahlkarte."

Fakten-Check 6

Eigentor. Wenn das System so gebaut ist, dass sie *später* in der Lage sind, Online Stimmen zu löschen, wenn jemand auch im Wahllokal eine Stimme abgibt, dann haben Sie soeben gegen #1 verstoßen. Sie wissen schon. „Die Wahl ist geheim“.

Sie wiedersprechen sogar den eigenen Hinweisen auf der Abstimmungsseite. Achtung, dort steht:

„Im nächsten Schritt verlässt Du den rückverfolgbaren Teil dieser Seite. Um Deine Stimme nun anonym abzugeben, klicke bitte auf „Weiter zur Abstimmung“. Danach wirst Du weitergeleitet zur virtuellen Wahlurne.“

Was nun. Wird meine Stimme nun anonym gespeichert (dann könnt ihr sie aber später nicht mehr löschen) oder nicht?

Ganz konkret: wenn Sie uns weismachen wollen, dass sie „später“ die Stimmzettel aus der Wahlurne mit den Stimmzettel Online „abgleichen“ wollen, gibt es nur zwei Möglichkeiten:

1. Das ist das, was Techniker bullshit nennen.
2. Oder die Wahl ist entgegen Ihren Beteuerungen nicht anonym. Versuchen Sie sich nicht rauszureden. Wenn Sie in der Lage sind, die online Stimme von Christoph Moar herauszufischen, dann ist ihre Wahl nicht anonym.

Eine anonyme Wahl ist was anderes. Peer review, bitte.

Irrtum 5. Ok, falls das System wirklich so schlecht ist, können wir immer noch alle Online Stimmen ungültig erklären.

Endlich sagen Sie was Vernünftiges. Ja, das System ist so schlecht. Und sie *müssen* die Online Stimmen entfernen. Tun sie das, bitte. Am besten gleich Heute und nicht erst Morgen.

Warum?

Fakten-Check 7

Nun, sie riskieren dass Leute jetzt Online ihre Stimme abgeben, und dann in den Urlaub gehen, weil sie ja wissen, dass sie abgestimmt haben. Jetzt erklären Sie nachträglich die Online Wahl für ungültig, und diese Teilnehmer sind soeben Ihrer Stimme beraubt worden. Kompliment, Sie haben soeben gegen #2 verstoßen. „Jede(r) kann an der Wahl teilnehmen, und jede abgegebene gültige Stimme zählt.“

Eine freie Wahl, an der jeder die gleichen Zugangsvoraussetzungen hat, ist etwas anderes. Peer review, bitte.

Irrtum 6. Es gibt keine besseren Zugangssysteme im Internet.

Leider falsch. Es gibt bessere Zugangssysteme. Man spricht von einer „two factor Authentification“, Wikipedia hilft hier weiter. Kurz gefasst bedeutet das, dass der Zugang durch zwei Faktoren geschützt wird: Techniker sprechen vom „something you know, and something you have“. Also etwas, was theoretisch nur Sie wissen (ein Passwort, aber das kann ja schließlich kopiert oder geklaut werden), und etwas, was nur Sie besitzen.

Der Grund ist einfach: das Passwort kann eben geklaut werden oder relativ unsicher sein (könnte zum Beispiel Ihr Geburtsdatum sein, oder eben die ersten paar Stellen Ihres Geburtsaktes). Aber etwas, was nur Sie haben, kann nicht kopiert werden. Und wenn es geklaut wird, merken Sie es.

Beispiel gefällig? Sind Sie Kunde einer Bank? Dann haben Sie sicher gemerkt, dass sie, um eine Transaktion im Internet durchzuführen, manchmal einen Code von Ihrem Handy eingeben müssen. Oder von einem kleinen „Token“, dass Ihnen die Bank überreicht hat. Haben Sie die Bürgerkarte? Nun, da kennen Sie doch bestimmt ihren PIN Code und die Tatsache, dass sie die Chipkarte ins Lesegerät stecken müssen.

Fakten-Check 8

Ein sicherer Zugang kann durch eine two-factor-Authentication erreicht werden. Peer review, bitte.

Kritik wird laut, dass auch die Grünen ein blödes Wahlsystem im Internet hatten. Stimmt. Der Unterschied war: das Online Wahlsystem der Grünen hatte eine solche „two-factor-Authentication“. Sie mussten Ihre Handynummer angeben: damit war sichergestellt, dass Sie ein physisches Handy vorliegen haben mussten, um eine Stimme abzugeben. Sie werden jetzt sagen, dass jemand mehr als ein Handy haben kann. Korrekt. Das ist von vornherein erkannt und für den Zweck (eine Vorwahl! einer Partei, bei der es um die Platzierung der ersten sechs ging) als völlig tolerabel eingestuft worden. Sie hätten, um das System der Grünen zu missbrauchen, sich die Daten von anderen WählerInnen besorgen müssen *und* mehr als ein Handy zur Hand haben müssen. Und es gab Leute, die unsere SMS nicht erhalten haben, weil die Telefonprovider manchmal schludern.

Aber all das war von vornherein klar, und es wurde im Kauf genommen, um den größten anzunehmenden Unfall zu verhindern: dass Wahlbetrug aufkommen würde, also dass jemand sich den Spaß machen würde, im Namen von 100 oder mehr Leuten eine Stimme abzugeben.

Fakten-Check 9

Wenn jemand mehr als eine Stimme abgeben wollte, musste er zumindest Kenntnis der persönlichen Daten, und für jede Stimme ein eigenes Handy haben. Und er wurde nachverfolgbar. Sie wissen schon. Telefonverträge sind registriert, hinter jeder Nummer steht eindeutig ein Mensch.

Technisch gesprochen: die “Angriffsfläche” des Systems der Grünen ist und war sehr schmal. Die “Angriffsfläche” des STF Systems ist scheunenweit offen.

Und vergessen Sie nicht: bei der Vorwahl der Grünen ging es nur darum, welche Leute die ersten sechs Plätze erhalten. Harmlose Sache. Beim „selbstverwalteten Referendum“ wird politisch damit Hof gehalten, dass eine seriöse Meinungsbekundung der Bevölkerung eingeholt wird. Peer review, bitte.

Irrtum 7. Ein waschechter Tiroler schwindelt nicht.

Fakten-Check 10

Sorry, das stimmt natürlich. Sie vergessen aber, wer sich noch so im Internet tummelt. Haben Sie Lust darauf, dass die Damen und Herren von, sagen wir mal, #CasaPound bei Ihrem „selbstverwalteten Referendum“ ein paar Stimmen mehr oder weniger abgeben? Peer review, bitte.

Irrtum 8. Herr Moar hat Datenmissbrauch ausgeführt. Oder zum Datenmissbrauch angestachelt.

Irrtum. Ich brauche keinen realen Hackversuch, um die Schwächen eines Systems aufzuzeigen, mein Beruf bringt es mit sich, dass ich Systeme analysieren kann und Schlußfolgerungen ziehen kann, ohne dabei effektiv ein System zu missbrauchen. Beispiel gefällig? Es ist erlaubt, mit seinen eigenen Daten sich ein paarmal am System anzumelden und zu schauen, was dann passiert. Ich kann mich doch mal bei meinem eigenen „Passwort“ (also, die Zahl meines Geburtsaktes) vertippen, nicht wahr?

Die von mir kontaktierten Journalisten sind alle darauf hingewiesen worden, sich *nicht* mit Daten anderer Leute einzuloggen. Wie ich höre, kann man sogar noch im Namen von Eva Klotz abstimmen. Es scheint, dass sich auch die Leserschaft an diese Direktive hält, ich bin überglücklich.

Fakten-Check 10

Eine kritische Inspektion eines Systems („security audit“) benötigt nicht notwendigerweise den effektiven Versuch eines Missbrauchs. Peer review, bitte.

 

Mein Resümee?

Verantwortungslos

Es ist schlicht verantwortungslos, wie ein politisch so sensibles Thema wie das der Selbstbestimmung im Alleingang und mit einseitiger parteipolitischer Vereinnahmung (die Umfrage wird als Wahlwerbung der STF genutzt) ausgeführt wird. Eine Umfrage dieser Art gehört neutral und im Konsens mit weiten Teilen der Zivilgesellschaft erarbeitet.

Wahlbetrug

Es ist Wahlbetrug, wenn die Plattform den Missbrauch so einfach macht, dass jede/r beliebig viele Stimmen im Namen anderer abgeben kann. Dies ist nach der Umfrage im Sommer, bei der auch auf Suggestivfragen zurückgegriffen wurde, die zweite Aktion der STF, die aus methodischer Sicht völlig unzulänglich ist. Kokettieren Sie nicht damit, ein „selbstverwaltetes Referendum“ durchzuführen, wenn Sie nicht in der Lage sind, die grundsätzlichen Prinzipien einer freien und demokratischen Wahl zu garantieren.

Mission gescheitert

Angesichts der politischen Aussage, die die STF anhand der Ergebnisse dieser amateurhaften “Umfrage” letztlich machen wollte, muss man die STF Mission “Selbstbestimmungsreferendum” als gescheitert bezeichnen. Die Ergebnisse der Umfrage sind nicht das Papier wert, auf das sie mal ausgedruckt werden. Dafür, dass die ganze Operation 180.000 Euro kosten soll, ist das ein harter Schlag.

Problem lösbar?

Tut mir furchtbar leid, aber die drei Voraussetzungen einer demokratischen Wahl (Sie wissen schon, #1, #2, #3) kriegt man mit dem System der STF nicht mehr unter einem Hut, die Katze beisst sich sozusagen in den Schwanz.

Das ist so eine Eigenschaft von unsicheren technischen Systemen. Egal, wie man es dreht, und egal wie oft man beteuert dass alles nicht so schlimm ist, die System werden davon nicht sicherer. Sichere Systeme entstehen beim Design des Ganzen, und nicht nachträglich, wenn sie bereits laufen. Wer beim Design schlampt (und dies ist hier eklatant passiert), kann den Fehler nicht mehr beheben.

Was ist zu tun?

Ich empfehle ein persönliches Gespräch mit jemand, der sich mit der Thematik Online Wahlen wirklich auseinandergesetzt hat. Gerne auch mit mir, ich sehe das wirklich nicht so Ideologisch wie mir vorgeworfen wird. Ihr würdet staunen - ich halte Frau Klotz sogar sehr in Ehren ob ihrer Konsequenz und ihrem Einsatz. Wer zum Beispiel ihren Auftritt vor Santoro schmäht, der verkennt mit welcher Konsequenz sie sich in eine solche „Höhle des Löwens“ bewegt hat.

 

Oder mit jemand neutralem wie einem Experten aus dem TIS, oder der Uni Bozen. Gehen Sie mit einem Professor meine Fakten-Checks durch, und lassen Sie sich deren Korrektheit bestätigen, wenn Sie mögen.

Wenn die Community möchte, könnten wir gerne fortführen, zum Beispiel wie man eine Rückverfolgbarkeit einer einzelnen Wahlstimme (#2) implementiert, ohne dass man das Wahlgeheimnis (#1) beeinträchtigt. Das ist ein spannendes Thema, knifflig, aber technisch durchaus beherrschbar.

 

Die Flucht nach Vorne

In Fachkreisen herrscht Übereinkommen darüber, was zu tun ist, wenn ein Dienst oder ein Server kompromittiert ist.

Imageverlust vermeiden, ist der Begriff. Das System muss sofort abgeschaltet werden und alle Kunden oder Nutzer sind davon zu informieren, dass die Sache professionell bereinigt wird, gesichert wird, von unabhängigen Dienstleistern getestet wird und erst nach Ausstellung einer Unbedenklichkeitserklärung (zum Beispiel durch den TÜV-Cert) wieder in Betrieb genommen wird.

So wirkt man Vertrauensverlust entgegen. Wer sich, wie die STF, windet und mit fadenscheinigen Argumenten versucht, das System irgendwie zu retten, eskaliert das Problem nur noch weiter.

 

Einen lieben Gruß an die Community, und an die peer reviewer :)

Christoph