Jusletter IT

Der Wechsel von der Präsenz- und der Briefwahl zur Onlinewahl wird auf die Erfüllung der wahlrechtlichen Aufbewahrungspflichten Auswirkungen haben. Die Stimmabgabe im Wahlraum und die briefliche Stimmabgabe werden mit Hilfe von Wahlausschreiben, Stimmzetteln, Wählerverzeichnissen, Wahlscheinverzeichnisse und Wahlniederschriften auf dem Träger Papier ausgeführt. Onlinewahlen sind hingegen auf die Verwendung elektronischer Wahlsysteme und spezieller Software angewiesen und erfolgen auf der Basis von Übertragung und Speicherung elektronischer Daten und Auszählung elektronischer Stimmen. Die Anforderungen an die Aufbewahrung der wahlrelevanten Dokumente müssen bei Onlinewahlen ebenfalls erfüllt werden. Dafür muss man die Ziele der Aufbewahrung von Wahldokumenten bei Onlinewahlverfahren identifizieren.

Die Aufbewahrung nach einer Onlinewahl erfolgt gegenwärtig meist hybrid: Die Daten werden einerseits in elektronischer Form aufbewahrt und andererseits ausgedruckt und auf Papier archiviert. Dabei erfolgt die Aufbewahrung in Papierform meist ergänzend zur elektronischen Aufbewahrung, d.h. Teile der Wahldokumentation, wie beispielsweise die Wahlergebnisse, werden gedruckt. Darin äußert sich jedoch bereits die bestehende Unsicherheit hinsichtlich der sicheren elektronischen Aufbewahrung: Eine beweiskräftige Aufbewahrung elektronischer Dokumente macht eine parallele Archivierung in Papierform überflüssig. Darüber hinaus stellt das Ausdrucken einen Medienbruch dar, der immer mit einem Informationsverlust verbunden ist.¹

Unser Beitrag untersucht rechtliche Anforderungen an die elektronische Aufbewahrung von Dokumenten bei Onlinewahlverfahren und gibt Empfehlungen bezüglich der technischen und organisatorischen Maßnahmen zu deren Umsetzung. Dazu führen wir in Abschnitt 2 zunächst rechtliche, sicherheitstechnische und wirtschaftliche Argumente für die elektronische Aufbewahrungsform auf. Daraufhin untersuchen wir in Abschnitt 3 rechtliche Anforderungen an die Aufbewahrung von Onlinewahldaten. Abschließend geben wir in Abschnitt 4 Empfehlungen hinsichtlich der Umsetzung der aufgeführten Anforderungen. Ziel der Arbeit ist, einen interdisziplinären Vorschlag auszuarbeiten, der sowohl rechtliche als auch sicherheitstechnische Kriterien berücksichtigt.

Die sichere Aufbewahrung der Wahldokumente in einer konventionellen papierbasierten Wahl dient der Durchführung von Wahlprüfungsangelegenheiten und wahlstatistischen Arbeiten und der Aufklärung von Wahlstraftaten. Bei Onlinewahlverfahren reicht alleine die Aufbewahrung der Wahldokumente zur Erfüllung dieses Zwecks nicht aus. Die Protokollierung der wesentlichen Schritte und die Dokumentation des Wahlprozesses sind zur nachträglichen Überprüfung des ordnungsmäßen Wahlablaufs erforderlich, weil sich funktionale Unstimmigkeiten oder sicherheitsrelevante Mängel auf das Wahlergebnis auswirken und somit die Wahl anfechtbar machen können. Darüber hinaus stellt die sichere Aufbewahrung der Wahldaten und der Dokumentation der Onlinewahl eine geeignete Vorkehrung dar, um die sonst bei Onlinewahlen schwer umsetzbaren Grundsätze der Öffentlichkeit sowie der Transparenz der Wahlhandlung und der Auszählung in Erfüllung zu bringen. Mit Hilfe einer sicheren elektronischen Aufbewahrung von Wahldaten könnte man die vom Bundesverfassungsgericht in seiner Entscheidung² vom 03.03.2009 gestellten Anforderungen an elektronische Wahlsysteme teils oder auch gänzlich umsetzen und somit eine zuverlässige Überprüfbarkeit der Wahlhandlung und der Wahlergebnisse ermöglichen. Es ist zu bezweifeln, dass die technischen Mechanismen, die bei einer elektronischen Dokumentation die Sicherheit, Vertraulichkeit und Integrität des Prozesses sichern (z.B. elektronische Signaturen), sich vollständig auf Papier übertragen lassen. Die elektronische Aufbewahrungsform empfiehlt sich, um die allgemeine Verifizierbarkeit der Onlinewahl sicherzustellen. Indem die Öffentlichkeit kontrolliert auf die elektronische Wahldokumentation zugreifen kann, wird eine Möglichkeit zur aktiven Beteiligung am Verifikations- und Legitimationsprozess der Wahl geschaffen.

Die rechtliche Forderung nach angemessener Verifizierbarkeit der Onlinewahl impliziert die Nachvollziehbarkeit des gesamten elektronischen Wahlprozesses von Anfang bis Ende. Diese ist nur bei einer elektronischen Aufbewahrung gegeben: Eine Kontrollinstanz oder gegebenenfalls auch die Wählerschaft kann in diesem Fall nach der Wahl die Stimmen erneut auszählen lassen, um das Wahlergebnis zu überprüfen. Darüber hinaus können auch Signaturen des Stimmdatensatzes bzw. einzelner Stimmen verifiziert werden, und es ist überprüfbar, ob die Stimmen vor ihrer Auszählung korrekt entschlüsselt wurden.

Zur sicheren Umwandlung elektronischer Wahldaten in Papierform genügt es außerdem nicht, diese lediglich auszudrucken. Es ist davon auszugehen, dass die elektronischen Wahldaten in signierter Form vorliegen. Dies bedeutet, dass statt einer reinen Konvertierung der Daten eine Transformation stattfinden muss.³ Eine sichere Transformation liegt vor, sofern «das Zieldokument die durch den Zweck der Transformation bestimmte Art der Inhaltstreue zum Ausgangsdokument aufweist und dies in einer vertrauenswürdigen Form vermerkt wurde,» d.h. nachträglich überprüfbar ist.⁴ Im Rahmen des Projektes TransiDoc wurde dazu ein Phasenmodell entwickelt, welches nach einer Vorbereitungs- und Konvertierungsphase eine Prüfung und Siegelung der Transformation vorsieht. Eine Transfomationsakte enthält die im Verlauf der Transformation angefallenen Dokumente, unter anderem einen Regelsatz. Der Regelsatz für die Transformation elektronischer Wahldaten wird beispielsweise Sicherheitsanforderungen an die Umgebung sowie die verwendeten Geräte wie Drucker und Computer enthalten, die zu erfüllen sind.

Die rechtlichen Anforderungen, die an die Aufbewahrung elektronischer Wahldokumente zu stellen sind, müssen im Zusammenhang mit den jeweiligen Zwecken betrachtet werden, die mit der Aufbewahrung verfolgt werden. Wie bereits aufgeführt, werden die wahlrechtlichen Dokumente vorwiegend zur Kontrolle und Erhaltung der Beweissicherung aufbewahrt: Einerseits soll die Dokumentation und die anschließende Aufbewahrung von bestimmten Vorgängen sicherstellen, dass berechtigte Dritte das Handeln des Wahlvorstands nachvollziehen und gegebenenfalls den gesamten Ablauf der Onlinewahl kontrollieren können. Andererseits soll sichergestellt werden, dass sowohl das wahlrelevante Material als auch der elektronische Prozess beweissicher festgehalten wird, um für die Zukunft die Gewissheit zu haben, einen Sachverhalt im Rechtsstreit nachweisen zu können.

Aus diesen Zielsetzungen der Aufbewahrung ergeben sich die folgenden rechtlichen Anforderungen. Erstens müssen alle Unterlagen für die erforderliche Dauer vollständig, jederzeit verfügbar, lesbar und fälschungssicher bleiben. Es muss sichergestellt sein, dass sie weder verfälscht, verändert, vernichtet oder gelöscht noch einzelne Informationen entfernt oder hinzugefügt worden sind.⁵

Zweitens muss aus den Dokumenten eine eindeutige Bestimmung ihres Ausstellers (ausgenommen der für eine Wahl unabdingbare Unzuordenbarkeit zwischen der Stimme und dem Wähler) hervorgehen, was bei elektronischen Dokumenten nicht ohne Weiteres gegeben ist.⁶ Während Papierdokumente von ihrem Aussteller eigenhändig unterschrieben und in dieser Form dauerhaft aufbewahrt werden können, stellt die Authentizität bei elektronischer Aufbewahrung eine besondere Herausforderung dar. Der Erhalt der Beweiskraft elektronischer Dokumente erfordert den Erhalt der Sicherheit elektronischer Signaturen. Dabei ist zu beachten, dass nur qualifizierte elektronische Signaturen die Beweiskraft einer eigenhändigen Unterschrift haben und daher nur diese für eine beweiskräftige Archivierung eingesetzt werden sollten. Zum Erhalt qualifizierter Signaturen fordert die Signaturverordnung vor Ablauf der Sicherheitseignung der verwendeten Algorithmen und Parameter eine neue qualifizierte Signatur, die die bisherigen Signaturen einschließt, sowie einen qualifizierten Zeitstempel.⁷ Sofern der verwendete Hash-Algorithmus noch als sicher gilt, reicht es aus, lediglich die bisherigen Signaturen mit einem qualifizierten Zeitstempel zu versehen.⁸ Weiterhin müssen die Verifikationsdaten auch nach Jahren verfügbar sein. Um dies zu erreichen, ist es sinnvoll, nur akkreditierte Zertifizierungsdiensteanbieter heranzuziehen, da für sie im Falle der Einstellung ihrer Tätigkeit das Signaturgesetz eine Übernahme ihrer Dokumentation durch einen anderen akkreditierten Zertifizierungsdiensteanbieter oder durch die zuständige Behörde vorsieht.

Drittens muss die in den elektronischen Dokumenten niedergelegte Information von Menschen gelesen werden können. Dies setzt voraus, dass sowohl die nötige Hardware, die die auf einem Datenträger gespeicherten Daten sichtbar macht, als auch die nötige Software, die die Daten interpretiert und präsentiert, verfügbar sind. Dazu müssen für die elektronische Aufbewahrung der Wahldaten geeignete Datenformate gewählt werden. Diese sollten standardisiert und langlebig sein, da Formatänderungen während der Aufbewahrungsfrist mit erheblichem Aufwand verbunden sind.

Viertens müssen die elektronischen Wahldokumente als Beweismittel geeignet sein.⁹ Daraus ergibt sich zunächst die Anforderung der Verkehrsfähigkeit der aufzubewahrenden elektronischen Dokumente: Es muss die Möglichkeit bestehen, sie auf einem portablen Datenträger zu speichern oder sie auf elektronischem Wege zu übermitteln.¹⁰ Wenn die in Frage kommenden elektronischen Dokumente als Beweismittel in einem Prozess eingeführt werden, muss ferner ein hoher Beweiswert angestrebt werden und somit die Anforderungen von § 371a ZPO erfüllt werden.¹¹ Nicht zuletzt müssen datenschutzrechtliche Anforderungen ihre Berücksichtigung finden können, solange die aufzubewahrenden Dokumente, wie etwa die Wählerverzeichnisse, personenbezogene Daten erhalten. Sofern im Rahmen der Wahldokumentation verschlüsselte Daten aufbewahrt werden, ist zu beachten, dass die verwendeten kryptographischen Verfahren (ebenso wie die Signaturen) einem Alterungsprozess unterliegen und mit der Zeit angreifbar werden können.

Die wesentlichen Anforderungen bestehen somit darin, die Integrität und Authentizität der Dokumente nachweisen zu können, ihre Verkehrsfähigkeit und jederzeitige Lesbarkeit sicherzustellen und, wenn diese in einen bestimmten Vorgang eingebunden sind, dessen Vollständigkeit zu gewährleisten.¹²

Zur Erfüllung der rechtlichen Anforderungen sind geeignete Sicherungsmittel zu wählen. Erste Wahl sind dokumentbezogene Sicherungsmittel wie z.B. elektronische Signaturen oder Zeitstempel, da diese unabhängig vom verwendeten Datenträger und eingesetztem System durch Dritte überprüft werden können und damit in besonderem Maße die Verkehrsfähigkeit der Wahldokumentation gewährleisten.¹³ Wie bereits erwähnt sollten qualifizierte elektronische Signaturen verwendet werden. Zu signieren sind alle Dokumente, deren Integrität und Authentizität gewahrt bleiben muss, insbesondere das Wählerverzeichnis und der Stimmdatensatz ebenso wie die einzelnen Stimmen. Dies sollte jedoch nicht erst nach Ende der Wahl geschehen, sondern bereits durch das eingesetzte Wahlprotokoll vorgesehen sein, da sonst Manipulationen während der Wahl nicht beweiskräftig widerlegt werden können.¹⁴ Dagegen dürfen die Stimmen während der Wahl (zum Beispiel bei Eingang in die elektronische Wahlurne) nicht mit einem Zeitstempel versehen werden, da dies die Anonymität der Wahl gefährden kann.

Als für die Langzeitaufbewahrung geeignete Formate gelten unter anderem PDF/A sowie XML. Dabei eignet sich XML insbesondere für strukturierte Datensätze, die sowohl menschen- als auch maschinenlesbar dargestellt werden. Wir empfehlen daher XML als Format für die Stimmdatensätze. Zum Signieren dieser Daten sollten XML-Signaturen eingesetzt werden, da diese speziell auf XML-Dateien abgestimmt sind und überdies hohe Flexibilität bieten. So könnten beispielsweise die Stimmen, welche aus einer bestimmten Region stammen, vom jeweiligen Wahlleiter signiert sein und das aus diesen Datensätzen bestehende Gesamtdokument zusätzlich durch die Signatur des übergeordneten Wahlleiters geschützt sein. Auf diese Weise kann sowohl die Integrität und Authentizität als auch die Vollständigkeit der Daten gewährleistet werden.

Um datenschutzrechtliche Anforderungen zu erfüllen, können verschiedene Maßnahmen angewandt werden. Eine Möglichkeit ist eine im Archivsystem implementierte Zugriffskontrolle, die dem Benutzer beispielsweise den Zugriff auf das Wählerverzeichnis nur in der Rolle «Wahlvorstand» gestattet. Nachteilig ist hierbei jedoch, dass der Zugriffsschutz erlischt, sobald das Dokument aus dem Archivsystem herausgenommen wird, um es beispielsweise vor Gericht einzubringen. Um das Dokument direkt vor unbefugtem Zugriff zu schützen, kann es auch verschlüsselt werden. In diesem Fall müssen die verwendeten Schlüssel ebenfalls in das Archivsystem aufgenommen werden. Die Schlüssellänge ist dabei von vornherein so zu wählen, dass die eingesetzten kryptographischen Verfahren für diesen Zeitraum voraussichtlich sicher bleiben. Dies ist möglich, da die Aufbewahrungsdauer bei Wahlen unter zehn Jahren liegt. Dennoch sollte an Hand einschlägiger Quellen kontinuierlich beobachtet werden, ob die verwendeten Verfahren kompromittiert wurden, damit gegebenenfalls rechtzeitig neuverschlüsselt werden kann.

Die relevanten Wahldaten sind unter Einsatz einer rollenbasierten Zugriffskontrolle so aufzubewahren, dass der Benutzer (z.B. Wähler oder Wahlvorstand) Auszüge davon je nach Verfügbarkeitsbedarf und -notwendigkeit einsehen kann. Wir empfehlen, dass beispielsweise der Wählerkreis für den Zeitraum, in dem eine Anfechtung der Wahl möglich ist, Zugriff auf die Stimmen bekommt und diese durch eine vom Wahlsystem bereitgestellte vertrauenswürdige Routine erneut auszählen lassen kann, um das Ergebnis zu überprüfen. Dies geht über die Verifikationsmöglichkeiten hinaus, die der Wähler bei konventionellen papierbasierten Wahlen hat; angesichts der bei Onlinewahlen schwierigen Transparenz der Wahlhandlung und der Auszählung halten wir diese Maßnahme jedoch für angemessen und förderlich für die Akzeptanz der Onlinewahl in der Öffentlichkeit. Der Zugriff auf andere Wahldaten sollte Aufsichts- und Kontrollbehörden vorbehalten sein. Der Quellcode des Wahlsystems wird als Geschäftsgeheimnis behandelt.¹⁵ Über seine Einsichtnahme hat allerdings bei einer Anfechtung der Wahl im Rahmen eines Wahlprüfungsverfahrens der Richter zu entscheiden. Die mangelnde Nachvollziehbarkeit des Quellcodes kann zum Teil durch eine Zertifizierung des Wahlsystems beispielsweise nach Common Criteria ersetzt werden. Während beispielsweise Vereinswahlen ohne Zertifizierung des eingesetzten Wahlsystems auskommen sollten, ist eine Zertifizierung bei Wahlen von höherem Rang wie z.B. Betriebsratswahlen zu empfehlen; bei politischen Wahlen ist diese als zwingend erforderlich anzusehen.

Eine beweiskräftige elektronische Aufbewahrung relevanter Wahldaten ist eine Voraussetzung für gesetzlich bindende Onlinewahlen. Aufgrund der bestehenden Unsicherheit hinsichtlich einer beweiskräftigen elektronischen Aufbewahrung wird gegenwärtig allerdings häufig auf ein Ausdrucken elektronischer Wahldaten zurückgegriffen. Diese Vorgehensweise ist jedoch nicht nur aufgrund des Medienbruchs problematisch, sondern darüber hinaus nicht dazu geeignet, den Prozess der Onlinewahl als Ganzes abzubilden. Wir haben rechtliche Anforderungen an die beweissichere Aufbewahrung untersucht und konkrete Maßnahmen für deren Ausgestaltung vorgeschlagen. Auch in Zukunft ist ein Dialog zwischen Juristen und Informatikern für die Etablierung sicherer und rechtskräftiger Onlinewahlen unerlässlich.

Lucie Langer, Technische Universität Darmstadt, Fachbereich Informatik, Kryptographie und Computeralgebra
Hochschulstraße 10, 64289 Darmstadt, DE, langer@cdc.informatik.tu-darmstadt.de
Zoi Opitz-Talidou, Universität Kassel, FB 07, Wilhelmshöher Allee 64-66, 34109 Kassel, DE, z.talidou@uni-kassel.de