Jusletter IT

Wie an anderer Stelle in diesem Band¹ festgehalten, bestehen all jene Gefährdungen, die sich aus der Distanz des Wählenden zum Wahllokal als solcher ergeben, in ganz gleicher Weise sowohl für den Modus der konventionellen «Briefwahl» wie für jenen des «Internet-Voting²»^3. Gegenstand der nachfolgenden Ausführungen sind daher ausschließlich jene (zusätzlichen) Gefährdungen, die sich aus der Eigenart des elektronischen Modus ergeben.

Die besondere Herausforderung liegt hier darin, einerseits die eindeutige Identifikation⁴ und Authentifizierung⁵ des Wählenden, andererseits aber die vollständige Anonymität des Inhaltes des Wahlaktes zu gewährleisten.⁶ Dazu treten der Schutz der Integrität⁷ sowie die ausreichende Nachprüfbarkeit, zumindest für ein Wahlgericht.⁸

Zur Durchführung von Internetwahlen⁹ wurden bisher¹⁰ unterschiedliche «Wahlprotokolle^11»12 entwickelt. Diese lassen sich – unbeschadet ihrer zumindest teilweisen Kombinierbarkeit – in die drei Gruppen: blinde Signaturen, mehrstufige Verfahren und andere gliedern.

Um der gerade formulierten einen generellen Anforderung zu entsprechen, ruht diese Technik auf der zu Zwecken der Identifikation und Authentifizierung im Rechtsverkehr entwickelten Technik der «digitalen» – bzw «elektronischen» – «Signatur¹³»¹⁴ auf, ergänzt diese jedoch, mit Blick auf die andere Anforderung, um eine sogenannte «blinde Signatur». Konkret bezogen auf den Wahlakt kann dies heißen:

Nach Identifikation und Authentifizierung wird dem potentiellen Wähler sein Stimmzettel elektronisch angezeigt; diesen sendet er ausgefüllt, verschlüsselt und (digital) signiert an die zur Überprüfung der Wahlberechtigung zuständige Wahlbehörde. Diese signiert gegebenenfalls den verschlüsselten und bereits vom Wähler signierten Stimmzettel blind (d.h. ohne Kenntnis vom Inhalt des Wahlaktes) und schickt ihn an den Wähler zurück. Der Wähler entfernt nun seine persönliche Signatur und schickt den Stimmzettel an die wahlauszählende Behörde weiter. Diese prüft die Wahlberechtigungssignatur (d.h., ob die Stimme von einer wahlberechtigten Person abgegeben wurde), entschlüsselt den Stimmzettel und zählt die Stimme.¹⁵ Nach einer anderen Variante wird die Stimme vom Wähler direkt an die wahlauszählende Behörde gesandt, welche sodann die Personenbindung entfernt.¹⁶

In beiden Varianten soll diese elektronische Koppelung zwischen Erhalt und Abgabe des Stimmzettels sichtlich eine ganz starke Sicherheit erzeugen, dass nur der Wahlberechtigte selbst den elektronischen Stimmzettel abgegeben habe.

Die Behörden betreiben (zumindest) zwei von einander unabhängige Einheiten (Server¹⁷), d.h. (zumindest) je einen «Registrierungsserver» und einen «Urnenserver». Für den Wähler sind zur Stimmabgabe ein Chipkartenleser¹⁸ und eine Internetverbindung erforderlich. Die Chipkarte¹⁹ ist Träger der digitalen Signatur des Inhabers; sie kann eine «Bürgerkarte», die nicht nur einmalig bei einer einzigen Wahl, sondern ständig etwa bei elektronischen Behördenwegen, elektronischem Bankverkehr oder zur Abfrage des Versicherungsstatus bei Sozialversicherungen eingesetzt werden soll²⁰, sein.

Falls tatsächlich ein «anonymer Kanal²¹»²² zum Einsatz kommt und damit sowohl ausgeschlossen werden kann, dass die erste Wahlbehörde ihre «blinde» Signatur heimlich mit einem wähleridentifizierenden «Tag²³»²⁴ ausstatten kann, als auch, dass der erste Server mit dem Server kommunizieren kann, der die Stimme entgegen nimmt²⁵, und falls die eingesetzte Infrastruktur tatsächlich wie vorgesehenfunktioniert²⁶, so ist bei dieser Protokollklasse die Einhaltung des Wahlgeheimnissestheoretisch unabhängig von der Vertrauenswürdigkeit der Wahlbehörden, der Wähler, sowie dritter Netzteilnehmer gewährleistet. Gleichwohl bestehen in praxi erhebliche Bedenken .

Was zunächst die weniger stichhältigen anlangt:

• Die abgegebene Stimme könnte auf dem Weg zur Wahlbehörde, also noch im verschlüsselten Zustand, unbefugt entschlüsselt und ausgewertet werden.

Nun sind zwar Angriffe auf einzelne elektronische «Wahlzettel» etwa durch «Brute Force» Attacken (Durchprobieren aller möglichen Schlüssel) denkbar, sie benötigen aber große Hardware-Ressourcen, die nur militärischen oder wissenschaftlichen Einrichtungen zur Verfügung stehen. Da der Aufwand für solche Angriffe exponentiell zur Länge des Schlüssel ansteigt und, soweit zu sehen, durchgehend Schlüssel mit großer Länge eingesetzt werden, können solche Angriffe praktisch ausgeschlossen werden.²⁷

• Sollte eine zur Mehrfachverwendung vorgesehene Chipkarte eingesetzt werden, besteht immer ein gewisses Risiko, dass, etwa im Fall eines Softwarefehlers²⁸, auf dieser Karte bereits gespeicherte Daten von Unbefugten abgelesen werden. Für die österreichische «Bürgerkarte²⁹»³⁰ kann aber selbst diesfalls zumindest ausgeschlossen werden, dass Informationen über den Wahlakt als solchen nachträglich zugänglich werden; denn die Abspeicherung solcher Informationen auf der Karte – die nur zur Identifikation und Authentifizierung herangezogen wird³¹ – ist, soweit zu sehen, ja überhaupt nicht vorgesehen.³²

Wesentlich begründeter erscheint dagegen:

• Sollte der Computer des Wählers gerade dann ausfallen³³, wenn der Wahlzettel bereits «blind» signiert, aber noch nicht an die stimmzählende Wahlbehörde abgesandt wurde, kann der ausgefüllte Wahlzettelunwiederbringlich verloren gehen³⁴ . Da (aus naheliegenden Gründen) eine «Wiedereinsetzung in den vorigen Stand» nicht vorgesehen ist, wäre der Wähler in dieser Konstellation an der Abgabe seiner Stimme dauerhaft gehindert.
  
  • Das Verfahren der «blinden» Signatur benötigt eine relative aufwändige Kommunikation. Zur Abgabe der Stimme muss – jedenfalls in der erstdargestellten Variante³⁵ – mit zwei Servern kommuniziert werden. Dadurch ergeben sich schon rein abstrakt mehr Ansätze für mögliche Manipulationen.³⁶
    
    • Auch die Frage der vorgängigen Kontrolle des Verbrauches des Wahlrechtes stellt – in der besonderen Konstellation, dass ein Wahlberechtigter, der zunächst im elektronischen Modus gewählt hat, eine weitere Stimmabgabe im konventionellen Modus versuchte – eine Herausforderung dar.³⁷
      
      • Schließlich ist aber auch – jedenfalls in den bisher vorliegenden Systemen – die nachträgliche Überprüfbarkeit³⁸ problematisch: Im konventionellen Verfahren können die Wahlzettel bei Zweifeln an der Auszählung in technischer Hinsicht problemlos beliebig oft neuerlich ausgezählt und dabei in Augenschein genommen werden, wobei Manipulationen am Zettel leicht auffallen sollten. Im elektronischen Modus ist dagegen eine Manipulation der elektronischen «Wahlzettel» deshalbkaum nachzuweisen (die «Integrität» des Wahlvorganges daher nicht zu gewährleisten), da die Stimmen bei der Auszählung bereits unverschlüsselt vorliegen.

Vor allem aber stehen bei diesem Verfahren – bei dem eine anfängliche elektronische Identitätsoffenbarung unabdingbar ist – alle nachfolgenden Anonymisierungsschritte letztlich – genau komplementär zu den eingangs aufgestellten Bedingungen³⁹ – unter dem Damoklesschwert der Rückverfolgbarkeit.

Mehrstufige Verfahren trennen Identifikation und Authentifizierung einer wahlberechtigten Person samt Ausgabe eines Stimmzettels von dessen Abgabe.⁴⁰ Diese Modelle verzichten demnach auf die im in Punkt 2.1. beschriebenen, «klassischen» System der «blinden Signatur» enthaltene elektronische Koppelung:

• Im Verfahren Prosser/Müller⁴¹ läuft das Protokoll in zeitlich strikt getrennten Phasen ab, nämlich zunächst als Registrierung als elektronischer Wähler, bei dem ein blind signiertes Wahltoken (eine elektronische Briefwahlkarte, d.h., soweit zu sehen, eine «Chipkarte») ausgegeben wird, und sodann als Stimmabgabe. Nach der Registrierung wird beim Registrator vermerkt, dass der Wahlberechtigte für die elektronische Stimmabgabe registriert wurde. Zur Stimmabgabe weist der Wähler zuerst dem «Trust Center» gegenüber seine Wahlberechtigung nach, und gibt dann die Stimme an der virtuellen Urne ab und erhält eineBestätigungsmeldung ,dass die Stimme akzeptiert wurde. Nach der Stimmabgabe werden die gesammelten Stimmen veröffentlicht.Zusätzlich kann jeder Wählerüber eine Nummer nachvollziehen, ob seine Stimme in dasErgebnis eingeflossen ist. Wohl weniger aus Voraussicht der erst Jahre später explizierten rechtlichen Rahmenbedingungen⁴², denn aus bereits früher technischer Einsicht in das gegenüber dem konventionellen deutlich «effektivere» Manipulationspotential deselektronische n Modus⁴³, wird hier bereits besonderer Wert auf «Verifikation» durch eine«unabhängige Stelle» gelegt: «Mithilfe der öffentlichen Teile … der blinden Signaturen von Registrator und Trust Centers» können «dieTokenteile …von jedem-»Internet-User «auf ihre Authentizität überprüft werden⁴⁴».⁴⁵
  
  • Bei Wahlen über das Internet in derSchweiz⁴⁶ erhält dagegen jeder Stimmberechtigte per Post einen Stimmrechtsausweis⁴⁷. Mit diesem kann brieflich, über die Urne oder das Internet abgestimmt werden. Zum letzteren Zweck sind eine «UserId⁴⁸»⁴⁹ und ein PIN-Code enthalten. Zusätzlich ist der «Fingerabdruck⁵⁰»⁵¹ des Servers abgedruckt, mit dem später überprüft werden kann, ob eine Verbindung zu einem gültigen Wahlserver aufgebaut wurde. Der PIN-Code ist erst nach dem Aufreißen einer Lasche und dem Aufrubbeln eines Sicherheitslackes sichtbar. Nach Eingabe der Benutzeridentifikation und des PIN-Codes im Webbrowser kann die Stimme abgegeben werden.⁵² Nach der Prüfung des Votums muss noch ein Sicherheitssymbol verglichen und das Geburtsdatum eingegeben werden.

Der größte Vorzug des Verfahrens nach Prosser/Müller liegt in der Gewährleistung einer dem traditionellen Modus zumindest gleichwertigen Transparenz: Zum einen kann selbst ein Administrator keine Stimmzettel für sich der Wahl enthaltende elektronische Wähler einfügen, da nicht nur eine Signatur des Registrators, sondern auch eine solche des Trust Centers notwendig ist. Zum andern vermag buchstäblich jedermann überprüfen, ob ausschließlich berechtigte Stimmen in das Ergebnis eingegangen sind. Das Löschen, Einschleusen und Ändern von Stimmen würde also bereits durch diese jederzeitige Möglichkeit einer öffentlichen Überprüfung zuverlässig ex ante verhindert werden; dazu tritt die damit zugleich eröffnete – dem traditionellen Modus gleichwertige – Möglichkeit nachträglicher behördlicher Überprüfung, zuallererst durch ein Wahl-, aber auch etwa durch ein Strafgericht.⁵³ Beide genannte Aspekte lassen ein hohes Maß an Vertrauen gegenüber diesem System erwarten. Auch die Anonymität der Wählenden wird grundsätzlich dadurch gesichert, dass die Registrierung und Stimmabgabe in getrennten Schritten erfolgen, womit eine direkte Zuordnung der abgegebenen Stimme zu einer bestimmten Person ausgeschlossen wird.⁵⁴

Das System setzt aber, in seiner gegenwärtig vorgeschlagenen Form, eine Chipkarte voraus; je nach konkreter Ausgestaltung kann diese, im Falle vorgesehener Mehrfachverwendung sowie insbesondere «Verschränkungen», ein gewisses Rest-Risiko implizieren.⁵⁵ Auch dieses wäre aber durch die ausschließliche Verwendung von «Einmalkarten» aufhebbar.

Das in der Schweiz angewandte System⁵⁶ stellt die Anonymität auf strikt konventionellem Wege bereits in der Phase vor dem eigentlichen, elektronischen Wahlakt her und erübrigt damit – in grundsätzlich gleicher, jedoch noch konsequenterer Weise als im Verfahren Prosser/Müller – nachfolgende komplizierte technische Verfahren zur Sicherung ebendieser: denn aufgrund der zu diesem Zeitpunkt bereits gesicherten Anonymität kann selbst bei allfälliger Entschlüsselung der Kommunikation bei der Stimmabgabe keine direkte Zuordnung zu einer Person mehr abgeleitet werden.⁵⁷ Überdies bietet die geringere Komplexität als bei anderen Wahlprotokollen – zur Stimmabgabe ist nur eine einmalige Kommunikation mit den Servern auf Behördenseite erforderlich, die Ausgabe der Stimmberechtigungskarte erfolgt konventionell – eben deshalb weniger mögliche Angriffspunkte für elektronische Manipulation. Tatsächlich scheint, dass insbesondere dieser – nicht vollständig elektronische – Weg der Wahrung der Anonymität, d.h. des Wahlgeheimnisses, am ehesten gerecht werden kann.

Eine ernste Schwäche zeigt dieses System jedoch bislang in puncto Nachprüfbarkeit :

Nach Braun/Brändli⁵⁸ widerstanden zwar die für die Pilotversuche in Genf, Neuenburg und Zürich ergriffenen Sicherheitsmaßnahmen allen «registered attacks», unabhängige Experten hätten eine «exzellente Sicherheitsarchitektur» bescheinigt. Im «Bericht» des Schweizerischen Bundesrates vom 31.5.2006 «über die Pilotprojekte zum Vote éléctronique» wird jedoch eingeräumt: «Die Pilotkantone haben bei der Umsetzung Lösungsmöglichkeiten entwickelt, die zwar nicht eine individuelle, wohl aber eine demokratische Validierung der Abstimmungs- und Wahlresultate zulassen (kryptografische Schlüssel der Ausschüsse, Testgemeinden).»⁵⁹

Diese Varianten beschreiben theoretische Möglichkeiten, die jedoch bislang bei Wahlen⁶⁰ keine praktische Anwendung fanden.

Für die ÖH-Wahlen 2009⁶¹ wurde neben dem konventionellen Modus die zusätzliche Möglichkeit zur Abgabe der Stimme mittels I-Votings geschaffen.⁶² Dafür war die Sozialversicherungskarte e-card als Bürgerkarte⁶³ auszurüsten.⁶⁴ Zur Stimmabgabe war die Karte im Wahlzeitraum – aus Gründen der Ausfallssicherheit wurde das I-Voting eine Woche vor der Papierwahl durchgeführt – in das Lesegerät⁶⁵ einzustecken und ein PIN-Code einzugeben, worauf die Stimmzettel angezeigt wurden. Nach deren Ausfüllung durch den Wähler wurden die elektronischen Stimmen verschlüsselt, mit der Bürgerkarte digital signiert und über das Internet abgegeben. Sie wurden bis zum Ende der Papierwahl im Bundesrechenzentrum aufbewahrt. Danach trat die Wahlkommission zusammen, entfernte die digitalen Signaturen, vermischte die Stimmzettel und zählte schließlich die Stimmen aus.⁶⁶ Überdies⁶⁷ hatte jeder Wähler nach seinem Wahlakt einen Prüfcode erhalten, mit dem er feststellen konnte, ob seine Stimme tatsächlich in der elektronischen Urne landete.⁶⁸

Bei der ÖH-Wahl wurde im Wesentlichen das (klassische) System der «blinden» Signatur eingesetzt. Demnach kommen hier sämtliche oben in Punkt 2.1.3. angeführten Bedenken zum Tragen.⁶⁹

Nach dem hier Gesagten wundert es nicht, dass gerade das bei der ÖH Wahl zum Einsatz gelangende Verfahren schon im Vorfeld kritisiert wurde⁷⁰ , zumal ja diese Wahl einen Testlauf für die Einführung der elektronischen Wahl für andere Bereiche darstellen sollte.⁷¹ Auch wenn viele befürchtete Manipulationen wohl nur theoretische Möglichkeiten darstellen, bleibt für den einzelnen Wähler wohl immer ein unangenehmer Beigeschmack bei der Verwendung eines derartigen Wahlmodus.⁷² Dies zeigt schon die in diesem (Pilot-)Fall tatsächlich eingetretene «Beschwerdeflut»⁷³ recht deutlich (dies ganz unabhängig von der Frage, ob gerade auf diese Wahl der hier implizit zugrundegelegte rechtliche Standard überhaupt Anwendung zu finden habe).⁷⁴

Allerdings bestehen, wie ausgeführt, durchaus zuverlässige Alternativen , die die einleitend in Punkt 1 genannten Anforderungen – allein oder allenfalls auch inKombination – zu erfüllen vermögen: Zum einen kann ein mehrstufiges Verfahren durchaus als in puncto Anonymität ausreichend sicher eingestuft werden. Zum andern erfüllt – allerdings, soweit zu sehen, bislanglediglich – das Verfahren nachProsser/Müller auch zumindest den, wie ausgeführt, in Österreich geltenden Standard der «Nachprüfbarkeit^75».⁷⁶ Diese «Nachprüfbarkeit» scheint überdies ein selbständiges – und damit mit anderen Modellen grundsätzlich kombinierbares⁷⁷ – Modul darzustellen.

Ablameyko/Kalosha/D.Lipen/V.Lipen, New Technologies for remote Observation and Verification of electronic Votes: Foundation of a better E-voting System, in: Prosser/Parycek, EDEM 2009 (s dort), 255 ff.
Balthasar, Mögliche rechtliche Grenzen für Änderungen des Wahlrechts [in Vorbereitung]
Braun/Brändli, Swiss E-Voting Pilot Projects: Evaluation, Situation Analysis and How to Proceed, in: Krimmer, Electronic Voting 2006 (s dort), 27 ff.
Buchsbaum, Rechtliche Herausforderungen der E-Democracy, in: Prosser/Parycek (Hrsg.), Elektronische Demokratie in Österreich. Proceedings der EDEM 2007, 27.-28. September 2007, Wien (2007)
Burmester/Magkos, Towards secure and practical e-elections in the new era, in: Gritzalis, Secure Electronic Voting (siehe dort), 63 ff.
Dåmgard/Groth/Salomonsen, The theory and implemantation of electronic voting systems, in: Gritzalis, Secure Electronic Voting (s dort), 77 ff.
Gritzalis (Hrsg), Secure Electronic Voting (2003)
Hahn,Österreichische E-Voting Premiere bei den ÖH-Wahlen 2009, direkt 2009, 6 f.
Karning/Kustor, E-Government, in: Bauer/Reimer (Hrsg), Handbuch Datenschutzrecht (2009), 231 ff.
Krimmer (Hrsg), Electronic Voting 2006, [Proceedings of the] 2nd International Workshop Co-Organized by Council of Europe, ESF TED, IFIP WG 8.6 and E-Voting.CC (2006)
Krimmer, E-Voting in Österreich, Academia, 2009/1, 14 f.
Krimmer/Volkamer, Wählen auf Distanz: ein Vergleich zwischen elektronischen und nicht elektronischen Verfahren, in: Schweighofer/Liebwald/Augeneder/Menzel (Hrsg), Effizienz von e-Lösungen in Staat und Gesellschaft. Aktuelle Fragen der Rechtsinformatik. IRIS 2005 (2005), 256 ff.
Kustor, Aktuelle Entwicklungen rund um die Bürgerkarte seit dem «Novellenpaket 2007/2008», in: Jahnel (Hrsg), Datenschutzrecht und E-Government. Jahrbuch 2009(2009), 285 ff.
Kustor, Update Bürgerkarte 2008 Quo Vadis, NetV 2009, 23 ff.
Langer/Schmidt/Volkamer/Buchmann, Ein PKI-Basiertes Protokoll für sichere und praktikable Online-Wahlen, in:
Prosser/Parycek, EDEM 2009 (s dort), 243 ff.
Leitold , Technische Aspekte des E-Voting, JRP 2004, 77 ff.
Maaten/Hall, Improving the Transparency of Remote E-Voting: The Estonian Experience, in: Krimmer/Grimm (Hrsg), [Proceedings of the] 3rd International Conference Co-organized by Council of Europe, Gesellschaft für Informatik and E-Voting.CC (2008), 31 ff.
Madise/Martens, E-Voting in Estonia 2005. The first practise of country-wide binding Internet voting in the world, in: Krimmer, Electronic Voting 2006 (s dort), 15 ff.
Ondrisek, Sicherheit elektronischer Wahlen. Eine Methode zur Bewertung und Optimierung der Sicherheit von E-Voting-Systemen (2008)
Prosser, The Ruling of the Federal Constitutional Court on Evoting and its Technical Consequences for Internet Voting, in: Prosser/Parycek, EDEM 2009 (s dort), 17 ff.
Prosser/ Kofler/ Krimmer, e-Voting. at – Vom e-Government zur e-Demokratie, in: Schweighofer/Menzel/ Kreuzbauer (Hrsg.), IT in Recht und Staat. IRIS 2002 (2002), 135 ff.
Prosser/ Müller-Török, E-Democracy Eine neue Qualität im demokratischen Entscheidungsprozess, WI 2002, 545 ff.
Prosser/ Parycek (eds), EDEM 2009 – Conference on Electronic Democracy 2009, Proceedings of EDEM 2009 (2009)
Prosser/Schiessl/ Fleischhacker, E-Voting: Usability and Acceptance of Two-Stage Voting Procedures, in: Wimmer/Scholl/Grönlund (Hrsg.), Electronic Government. EGOV 2007 Regensburg, Germany, September 3-7, 2007 Proceedings (2007), 378 ff.
Schwarz, Die österreichische Bürgerkarte in der Praxis – Status quo, in: Jahnel (Hrsg.), Datenschutzrecht und E-Government. Jahrbuch 2008 (2008), 246 f.
Schweizerischer Bundesrat, Bericht vom 31.5.2006 «über die Pilotprojekte zum Vote électronique» (www.admin.ch)

Alexander Balthasar, Ministerialrat im Bundeskanzleramt/Präsidium, Sektionsleitung, Wien AT; Alexander.Balthasar@bka.gv.at

Robert Klausner, Software-Entwickler, XIMES, Wien AT; klausner@ximes.com