Auch eine Woche nach dem Bundesverbandstag des Deutschen Journalistenverbandes in Weimar schlagen die emotionalen Wogen um die Wahlcomputer, die der Bundesvorstand des DJV weiterhin durchdrücken will, immer noch hoch. Viele Mails haben mich zu dieser Thematik erreicht. Viele Telefonate habe ich geführt. Vielen vom Verhalten der Bundesvorstandsmitgleider empörten Kolleginnen und Kollegen habe ich vom Austritt aus dem DJV abgeraten.

 

Einzelne Vorstandsmitglieder wie Jebsen, Grebenhof oder Konken können offensichtlich noch immer nicht von ihrer schon recht böswilligen Kampagne lassen, in der sie - in voller Kenntnis, dass sie die Unwahrheit sagen - einfach mal behaupten, ich hätte das Digivote-Abstimmungssystem auf dem Verbandstag manipulieren und insofern hacken wollen. Daraus wurde dann sehr schnell die Parole, Welchering sei ein Hacker. Und aus der Parole wurde eine von Bundesvorstandsmitgliedern initiierte Kampagne - direkt und sehr persönlich gegen den 3. Landesvorsitzenden des DJV-Landesverbandes Baden-Württemberg gerichtet.

 

Ich habe das zunächst als das übliche Betriebsgeräusch interpretiert, das immer zu hören ist, wenn man einen Vorstand bei einer politischen Sauerei ertappt. Außerdem konnte ich mich ja durchsetzen, und die Personalwahlen auf dem Verbandstag wurden per Stimmzettel durchgeführt. Doch wie ein Mitglied des Bundesvorstandes bereits am 3. November drohte: Das wird Folgen haben.

 

Seitdem läuft also die seltsame Kampagne: Welchering ist ein Hacker, und es wird insinuiert: Ein Hacker tue natürlich kriminelle Dinge. (Liebe Kollegem Hacker: Ich schäme mich für diese unsinnige Parole des Bundesvorstandes sehr als DJV-Mitglied. Hacker waren und sind es, die die Demokratie in diesem Land schützen. Ich weiß auch nicht, welche Motive die Mitglieder des Bundesvorstanes hier haben oder was sie geraucht haben.)

 

Diese Kampagne stützt sich im wesentlichen darauf, dass ich die Community in einem Tweet fragte, ob jemand Lust habe mit mir zu zeigen, wie man Digivote-Systeme hacken kann.

 

Ich habe Michael Konken von den Reaktionen auf diesen Tweet am 31. Oktober 2014 in einer Mail berichtet. Wenn wir also einmal unterstellen, nur so als Gedankenexperiment, völlig ahnungslose Menschen ohne weitergehende Sprachkenntnis könnten meinen Tweet vom 28. Oktober vielleicht als Aufruf zum Hacken missverstehen, und Konken sei ein solcher Mensch - nur unterstellt -, dann müsste die Sachlage spätestens nach Lektüre dieser Mail klar gewesen sein.

 

Ich habe keine Antwort auf diese Mail erhalten. Aber gleichwohl mühen sich verschiedene Mitglieder des Bundesvorstandes sehr, Wahlcomputer hoffähig zu machen. Das wird in dieser Republik nicht gelingen! Gleichwohl läuft die Kampagne gegen mich weiter.

Jungs und Mädels vom Bundesvorstand: Das ist lächerlich!

 

 

Hier die am 31. Oktober 2014 um 14:10 Uhr an den Bundesvorsitzenden des DJV versandte Mail:

 

 

 

 

Hallo Kollege Konken,

 

ich habe ja Bundesvorstand und Bundesgeschäftsstelle bereits angemailt und darum gebeten, von der Schnapsidee, Wahlcomputer bei den anstehenden Personalwahlen auf dem Verbandstag einzusetzen, Abstand zu nehmen. Vom Sicherheitslevel her gesehen, kann man mit solchen Dingern gern darüber abstimmen, ob es zum Mittagessen Kürbiscremesuppe oder Ochsenschwanz geben soll oder ob der Vorsitzende seinen Namen tanzen soll, aber bitte keine Personalwahlen damit durchführen.

 

Ich erläutere auch gern, warum man das nicht tun sollte:

 

 

Das Bundesverfassungsgericht hat am 3. März 2009 geurteilt, dass der Einsatz von Wahlcomputern bei den Wahlen zum 16. Deutschen Bundestag verfassungswidrig gewesen ist. Damals waren Wahlcomputer des Herstellers Nedap eingesetzt. Die Argumentation der Verfassungsrichter lässt sich jedoch auch auf den Einsatz von Wahlcomputern anwenden, wie sie vom Digivote-System verwendet werden.

 

Die Verfassungsrichter haben zum einen geurteilt,

„Der Wähler selbst muss - auch ohne nähere computertechnische Kenntnisse - nachvollziehen können, ob seine abgegebene Stimme als Grundlage für die Auszählung oder - wenn die Stimmen zunächst technisch unterstützt ausgezählt werden - jedenfalls als Grundlage einer späteren Nachzählung unverfälscht erfasst wird. Es reicht nicht aus, wenn er darauf verwiesen ist, ohne die Möglichkeit eigener Einsicht auf die Funktionsfähigkeit des Systems zu vertrauen. Es genügt daher nicht, wenn er ausschließlich durch eine elektronische Anzeige darüber unterrichtet wird, dass seine Stimmabgabe registriert worden ist. Dies ermöglicht keine hinreichende Kontrolle durch den Wähler. Gleiche Nachvollziehbarkeit muss auch für die Wahlorgane und die interessierten Bürger gegeben sein.“

Weiterhin haben die Verfassungsrichter festgestellt:

 

„Die demokratische Legitimität der Wahl verlangt nach Kontrollierbarkeit des Wahlvorgangs, damit Manipulation ausgeschlossen oder korrigiert und unberechtigter Verdacht widerlegt werden kann. Nur dies ermöglicht begründetes Vertrauen des Souveräns in die Ordnungsmäßigkeit der Bildung des Repräsentationsorgans. Die Verpflichtung von Legislative und Exekutive, dafür zu sorgen, dass das Wahlverfahren verfassungsgemäß gestaltet und ordnungsgemäß durchgeführt wird, reicht zur Vermittlung der notwendigen Legitimität für sich genommen nicht aus. Nur wenn sich das Wahlvolk zuverlässig selbst von der Rechtmäßigkeit des Übertragungsaktes überzeugen kann, wenn die Wahl also „vor den Augen der Öffentlichkeit“ (vgl. Schreiber, Handbuch des Wahlrechts zum Deutschen Bundestag, 7. Aufl. 2002, § 31 Rn. 2) durchgeführt wird, kann das für das Funktionieren der Demokratie und die demokratische Legitimität staatlicher Entscheidungen notwendige Vertrauen des Souveräns in die dem Wählerwillen entsprechende Besetzung des Parlaments gewährleistet werden (vgl. NRW VerfGH, Urteil vom 19. März 1991 - VerfGH 10/90 -, NVwZ 1991, S. 1175 <1179>; Hanßmann, Möglichkeiten und Grenzen von Internetwahlen, 2004, S. 184).“

 

Auch heißt es in dem Urteil:

 

„Ein Wahlverfahren, in dem der Wähler nicht zuverlässig nachvollziehen kann, ob seine Stimme unverfälscht erfasst und in die Ermittlung des Wahlergebnisses einbezogen wird und wie die insgesamt abgegebenen Stimmen zugeordnet und gezählt werden, schließt zentrale Verfahrensbestandteile der Wahl von der öffentlichen Kontrolle aus und genügt daher nicht den verfassungsrechtlichen Anforderungen.“

Daraus folgt, dass Wahlcomputer nur eingesetzt werden dürfen, wenn die Nachvollziehbarkeit der Stimmabgabe und des daraus resultierenden Wahlergebnisses sichergestellt ist. Dazu muss ein entsprechender Sicherungsalgorithmus implementiert sein. Axel Heppener von der Firma Braehler ICS Konferenztechnik AG konnte mir meine Frage, ob ein solcher Algorithmus auf dem Auswertungscomputer des Digivote-System implementiert ist, nicht beantworten. Wenn ein solcher Algorithmus nicht implementiert ist, verbietet sich der Einsatz eines solchen Abstimmungssystems. Ist ein solcher Algorithmus implementiert, muss dargelegt werden, auf welche Weise die Stimmabgabe protokolliert wird, ohne dass sie einem Stimmabgebenden nachträglich zugeordnet werden kann. Denn ansonsten wäre der Grundsatz der geheimen Wahl verletzt.

Zudem weisen die Verfassungsrichter auf folgendes hin:

 

„Der Grundsatz der geheimen Wahl gewährleistet, dass ausschließlich der Wähler vom Inhalt seiner Wahlentscheidung Kenntnis hat, und verpflichtet den Gesetzgeber, die erforderlichen Maßnahmen zum Schutz des Wahlgeheimnisses zu treffen (vgl. H.H. Klein, in: Maunz/Dürig, GG, Art. 38 Rn. 110 [März 2007]; Pieroth, JuS 1991, S. 89 <91>). Die Geheimheit der Wahl bildet den wichtigsten institutionellen Schutz der Freiheit der Wahl (vgl. BVerfGE 99, 1 <13>).“

 

Damit ist klar, dass solche Abstimmungssysteme nur eingesetzt werden dürfen, wenn die Identifizierungsnummer eines Gerätes, das einem Delegierten ausgehändigt wurde, nicht dem Namen dieses Delegierten zugeordnet werden kann. Hierbei darf nicht mit einer einfachen Pseudonymisierung gearbeitet werden. Nach den mir vorliegenden Informationen ist aber genau das geplant. Jeder Delegierte soll ein Abstimmungsgerät erhalten. In einer Liste soll die externe Gerätenummer und der Name des Delegierten vermerkt sein. Die interne ID des Gerätes ist nach Aussagen des Herstellers der externen Gerätenummer wiederum zugeordnet. Damit wäre lediglich das Schutzkonzept einer Pseudonymisierung realisiert, das leicht zurückgerechnet werden kann. Es würde nach Ansicht zum Beispiel des schleswig-holsteinischen Datenschützers Thilo Weichert auch keine faktische Anonymisierung reichen, sondern nur eine absolute Anonymisierung, bei der der Name des Delegierten nicht über das Abstimmungsgerät re-identifiziert werden kann. Weder Bundesgeschäftsstelle noch Bundesvorstand haben bisher dargelegt, wie sie die Zuordnung von Abstimmungsgerät und Delegiertennamen ausschließen wollen. Statt dessen haben sich Informationen aus der Bundesgeschäftsstelle verdichtet, dass eine bloße Pseudonymisierung geplant ist. Damit wäre die Geheimheit der Wahl nicht gewährleistet. Die Bundesrichter haben aber das Merkmal der Geheimheit einer Wahl ausdrücklich gefordert.

 

Doch die Verfassungsrichter haben sich auch mit den Sicherheitsproblemen solcher Wahlcomputer beschäftigt. Hierzu schrieben sie:

 

„Die Notwendigkeit einer (...) Kontrolle ergibt sich nicht zuletzt im Hinblick auf die Manipulierbarkeit und Fehleranfälligkeit elektronischer Wahlgeräte. Bei diesen beruht die Entgegennahme der Wählerstimmen und die Berechnung des Wahlergebnisses auf einem Rechenvorgang, der von außen und für Personen ohne informationstechnische Spezialkenntnisse nicht überprüfbar ist. Fehler in der Software der Wahlgeräte sind daher nur schwer erkennbar. Darüber hinaus können derartige Fehler nicht nur einen einzelnen Wahlcomputer, sondern alle eingesetzten Geräte betreffen.“

 

Typische Angriffsmöglichkeiten liegen hier in der Datenfunkschnittstelle, bei der Verschlüsselung, im Transponder-System sowie in der Schnittstelle des Transponders zur Präsentationssoftware. Diese vier klassischen Sicherheitslücken sind ja bereits im Gespräch mit Professor Hartmut Pohl diskutiert worden. Weder Bundesvorstand noch Bundesgeschäftsstelle haben sich zu diesen Sicherheitsbedenken geäußert. Statt dessen erreichte mich am 29. Oktober eine Mail, die mir Professor Pohl von Herrn Heppener von der Herstellerfirma der Digivote-Systeme weitergeleitet hatte.

 

Darin schreibt Herr Heppener:

„Frau von der Heyden vom Deutschen Journalisten-Verband aus Bonn bat mich, mit Ihnen Kontakt aufzunehmen. Hintergrund der Bitte sind von Ihnen benannte „Sicherheitslücken im Zusammenhang mit digitalen Wahlverfahren“ und die Absicht des Verbandes, elektronische Abstimmsysteme ggf. einzusetzen. Wir sind ein Unternehmen, das u.a. drahtlose Bewertungs- und Abstimmungssysteme entwickelt und vermietet und in diesem Zusammenhang auch mit Frau von der Heyden in Kontakt stehen. Dort hat man nun Bedenken gegen diese Technik und berichtet uns von „einer leicht zu manipulierenden Software Digivote“, bezugnehmend auf Ihre Person. Obwohl unser System ebenfalls Digivote heißt, vermuten wir, dass die Firma Brähler nicht konkret Bestandteil Ihrer wissenschaftlichen Forschung ist und Sie im Bereich der Informationssicherheit auf ganz anderen Ebenen arbeiten. Dennoch werden Dinge in Zusammenhang gebracht (vier bekannte Sicherheitslücken), die wir aufgrund sehr allgemeiner Formulierung derzeit gegenüber Frau von der Heyden nicht auflösen können. Möglicherweise ließe sich gemeinsam etwas mehr Klarheit in die Thematik bringen, was sich Frau von der Heyden wünscht.“

 

Da ich bereits am 28. Oktober die Community per Twitter angefragt hatte, ob jemand bereit sei, mit mir gemeinsam zu zeigen, wie leicht solche Wahlcomputer zu hacken seien (im Sinne eines „proof of concept“ und den könnte ich auch gern am 3.11. zeigen) und ich mehr als 40 Rückmeldungen mit teilweise sehr detaillierten Schwachstellenbeschreibungen innerhalb weniger Stunden erhalten hatte, konnte ich mit dem von Herrn Heppener vermittelten Entwickler der Herstellerfirma die Thematik gut vorbereitet diskutieren. Um das Ergebnis vorwegzunehmen: Keines der Sicherheitsbedenken konnte ausgeräumt werden. Die meisten Fragen konnte die Herstellerfirma nicht einmal beantworten. Allein deshalb sollte das Digivote-System nicht für Personalwahlen auf dem Verbandstag eingesetzt werden.

 

Aber ich beschreibe gern ausführlich die einzelnen Schachstellen und möglichen Angriffspunkte, die das System so hochgradig unsicher machen.

 

1: Wenn eine Wahl erfolgen soll, wird das Abstimmungsgerät vom Transponder angefragt. Dabei authentifiziert sich das Abstimmungsgerät mit einer Identifizierungsnummer. Wer diese Identifizierungsnummer abgreift, kann die Bitfolge mit dem Abstimmungsergebnis manipulieren bzw. austauschen.

 

2: Das Abstimmungsergebnis wird als Bitfolge per Datenfunk verschickt. Die Herstellerfirma konnte mir nicht sagen, ob und nach welchem Standard verschlüsselt wird. Wenn gar nicht verschlüsselt wird, verbietet sich der Einsatz eines solchen Gerätes wohl von selbst. Wenn lediglich eine Transportverschlüsselung zum Einsatz kommt, muss dieses Verfahren als hochgradig unsicher gelten.

 

3:Die Herstellerfirma konnte mit nicht sagen, wie lang und von welcher Struktur die Bitfolge ist, die das Abstimmungsergebnis repräsentiert. Auch die strukturale Relation von ID und Abstimmungsergebnis wurde nicht mitgeteilt. Hier liegt bei unzureichender Absicherung ebenfalls ein Angriffspunkt.

 

4: Abstimmungsergebnis und ID werden üblicherweise auf Frequenzen zwischen 800 und 900 MHz sowie ab 1,2 GHz transportiert. Die Herstellerfirma konnte nicht mitteilen, ob ein Frequenzwechsel mit welchem Zufallseffekt vorgenommen wird. Wird auf einer Frequenz mehrfach gesendet, erhöht sich das Risiko einer Man-in-the-Middle-Attacke bekanntermaßen.

 

5: Die Herstellerfirma konnte nicht mitteilen, wie das vom Transponder empfangene Abstimmungsergebnis nachvollziehbar gespeichert wird. Dies ist aber eine Voraussetzung, die das Bundesverfassungsgericht als unabdingbar vorsieht.

 

6: Die Schnittstelle von Transponder zum Präsentationsprogramm für die Anzeige des Wahlergebnisses ist ebenfalls eine beliebte Angriffsstelle. Da hier Powerpoint zum Einsatz kommen soll, ist Unsicherheit von vornherein garantiert. Die OLE-Fuktion ist seti zwei Wochen als korrumpiert bekannt. Die aktuelle Schadsoftware namens Sandworm nutzt genau diese Sicherheitslücke aus.

 

7: Üblicherweise wird  bei solchen Transpondercomputern eine virtuelle Maschine aufgesetzt, um Angriffe auf den eingesetzten Laptop zu erschweren. Interpol und Europol machen das sogar bei „Vorher-Nachher-Befragungen“ auf Publikumsveranstaltungen. Deshalb war ich ein wenig irritiert, als mir die Herstellerfirma mitteilte, dass sie einfach ein Image verwenden. Das ist fahrlässig!

 

Sie sehen, ich habe viel Zeit und Mühe aufgewendet, um meine Bedenken vorzutragen. Dass ich bisher keinerlei Rückmeldung von Bundsgeschäftsstelle und Bundesvorstand erhielt, werte ich als eine gewisse Respektlosigkeit einem einzelnen Delegierten gegenüber.

 

Ich bin auch gern bereit, diese Sicherheitslücken am 3. November zu erläutern und zu zeigen. Und wenn der Bundesvorstand dann immer noch uneinsichtig ist und Wahlcomputer weiterhin hoffähig machen will, obwohl das Bundesverfassungsgericht sie unter diesen Bendingungen für verfassungswidrig erklärt hat, dann müssen wir eben die mathematischen Beweise für diese Unsicherheit durchgehen – Fourier-Transformation für Fourier-Transformation – bis ihr das endlich einseht. (und das kann dann vier bis sechs Stunden dauern – ich sags ja nur.)

 

Freundliche Grüße

pw