Zunächst wäre festzuhalten, dass des Pudels Kern gar keine technische Kategorie, sondern weit mehr eine der Transparenz war. Als ich vor einigen Monaten nachwies, dass der erste Wurf der Wahlplattform der STF sehr schlicht gestrickt war und einfach missbraucht werden konnte, um Stimmen im Namen beliebiger WählerInnen abzugeben, haben die Verantwortlichen der STF nicht mit einem „vielen Dank für den Hinweis, wir werden dem nachgehen und sofort richtigstellen“ geantwortet – wie es bei einem White Hat Security Hinweis (wenn jemand dem Betreiber eines Systems Sicherheitsmängel mitteilt, mit dem Ziel das System sicherer zu machen und nicht um dieses zu missbrauchen) eigentlich üblich ist. Wer einen solchen Sicherheitshinweis ernstnimmt müsste ganz professionell das beschriebene Problem nachvollziehen, das System sofort abschalten, nachbessern und anschließend in einem öffentlichen Vorgang belegen, wie alle belasteten Punkte richtiggestellt wurden. Leider lief das Krisenmanagement anders, und die Betreiber bevorzugten es, die Sicherheitslücken tagelang zu beschwichtigen und lieber die Kompetenz und Motivation des Überbringers der schlechten Nachrichten zu diskreditieren.

Dies ist letztlich das eigentliche Problem an der ganzen Sache. Es ist nämlich sogar normal, dass ein technisches System Löcher und Angriffsflächen hat! Wenn aber die „Richtigstellung“ nicht mit den entsprechenden Kriterien von professioneller Kollegialität stattfindet, und nicht mit der eigenen Überzeugung einhergeht, dass nur eine rigorose Aufklärung und völlige Transparenz die Glaubwürdigkeit einer solchen wahlähnlichen Umfrage wiederherstellen kann, dann wird man nie abschließend der Zweifel Herr werden, dass man vielleicht etwas zu verstecken hat.

Aber passiert ist passiert, übersehen wir also „wie“ diese Problemsituation gemeistert wurde, und konzentrieren uns auf das Problem selbst. Zunächst war, wie hier ausführlich belegt, das System offen und einem potentiellen Mißbrauch Tür und Tor geöffnet. Zunächst lange verneint, dann herumgeredet, schließlich also zähneknirschend nachgebessert, und eine zusätzliche Operation eingeführt (der Zugangsschlüssel, der auf dem Kuvert abgedruckt wurde), die das offensichtliche verhinderte: Es war nicht mehr möglich, sich sofort und ohne weiteren Aufwand im Namen eines Anderen einzuloggen. Dieser Vorgang hat also die ursprünglich breite Angriffsfläche reduziert, und zwar ausdrücklich: weit! reduziert. Und für mich – nachdem wir hier von einer Umfrage sprechen – ist dieser Eingriff damit auch völlig ausreichend gewesen.

Es stimmt aber auch, dass eine weitere Gruppe von potentiellen Problemen, die die Plattform innehatte (unter anderem auch die Möglichkeit, eine abgegebene Stimme einer Person zuzuordnen, und damit die Anonymität der Wahl in Frage zu stellen) nicht gelöst wurde, oder zumindest nicht abschließend bewiesen wurde, dass der Vorwurf nicht haltbar wäre. Es wurde schlicht und ergreifend nicht der Rede wert gehalten, diesen doch kritischen Punkt zu vertiefen.

Ein Beispiel: in Kürze wird die Südtiroler Freiheit eine Pressemeldung veröffentlichen, in der man erfahren wird, wie das Wahlergebnis in bestimmten Gemeinden oder unter Berücksichtigung bestimmter demografischer Aspekte ausgefallen ist. Ist uns klar dass derjenige, der das System kontrolliert, zumindest theoretisch (und ohne dass ich hiermit behaupte, dass dies effektiv getan wird) auch eine Karte darüber erstellen könnte, wer wie gewählt hat, und dies zum Beispiel für zukünftige Werbesendungen nutzen kann?

Auch über das Fehlen von Captcha-Codes, was damit – zumindest theoretisch und ohne dass ich behaupten würde, dass dies auch tatsächlich ausgenutzt wurde – sowohl „brute force“ Angriffsflächen schuf (also die Möglichkeit, dass jemand automatisiert eine große Anzahl von Einloggversuchen erprobt), die im Gegenzug zu „denial of service“ Angriffen führen könnten – nämlich dann, wenn ein rechtmäßiger Zugang vom System gesperrt würde, weil jemand anderes damit herumgespielt hat. Alles schon lange her, kann aber immer noch hier nachgelesen werden.

Nun, was ist nun meine Einschätzung?

1. Muss man eine perfekte Plattform haben, um eine einfache Meinungsumfrage durchzuführen? Nein, absolut nicht. Schließlich kann ich auch eine Runde Telefonumfragen machen, und die sind auch alles andere als sicher. Aus diesem Grund besteht aus meiner Sicht hier kein weiterer Handlungsbedarf.
2. Muss man eine perfekte Plattform haben, um ein Referendum durchzuführen? Sir, yes Sir, würde ich sagen! Aus den dargelegten Gründen wäre für mich die Vorgehensweise der Südtiroler Freiheit für ein echtes, rechtsgültiges Referendum inakzeptabel.
3. Können wir sicher sein, dass die Ergebnisse zuverlässig sind? Rein technisch betrachtet: nein. Wir hätten uns davon versichern können, wenn man uns „gezeigt“ hätte, wie bestimmte Dinge in ihrem technischen System gelöst sind. Ein unabhängiges Audit hätte dafür durchgeführt werden müssen. Da dies nicht stattgefunden hat, mehr noch, man immer unter Verschluss gehalten hat, wer das System überhaupt implementiert hat, können wir nur den Betreibern „glauben“, oder eben nicht.

Was mich persönlich angeht, kann ich den Betreibern ganz friedlich und entspannt glauben. Ich habe nicht die geringste Schwierigkeit und Grund darin, ihnen keine bona fide und sauberes Vorgehen zu glauben - wäre ja noch schöner. Das Thema ist für mich vom Tisch. Wer das aber nicht möchte, kann genausogut auch nicht an der Sache glauben. Und das ist das eigentlich Schade daran: Das ist einfach keine tolle Basis, um sich nun besonnen mit den Inhalten auseinanderzusetzen.

Kann man elektronische Wahlsysteme überhaupt sicher machen?

Um ein online Wahlsystem sicherer und glaubwürdiger zu gestalten, gibt es verschiedene Mechanismen, die man implementieren kann. Einige davon habe ich zum Beispiel hier aufgezeigt. Und auch die sind beileibe nicht ausreichend. Wie von mir in dem verlinkten Text aufgezeigt, hat auch das Online Wahlsystem (für eine Vorwahl!) der Europäischen Grünen eine Angriffsfläche. Sie ist verhältnismäßig klein und hat einschätzbar überschaubare, für das Ziel des Systems wohl nicht ergebnisverzerrende Auswirkungen, wie ich selbst schreibe. Der Ansatz ist aber ein anderer: zunächst wird ein System so stark wie möglich und in völliger Transparenz gebaut, und dann erst akzeptiert man eine Angriffsfläche, indem man die Auswirkungen abschätzt und in Relation stellt.

Ecco. Transparenz ist der Schlüssel zur ganzen Angelegenheit. Transparenz darüber, wie ein System implementiert ist, und darüber, wer es wie kontrolliert. Transparenz darüber, welche Maßnahmen ergriffen wurden, um Manipulationen und Datenzugriffe zu verhindern, und Transparenz darüber, wie man mit dem Thema Sicherheit überhaupt umgeht. All das habe ich im Umfeld des “selbstverwalteten Referendums” leidlich vermisst.

Christoph Moar