Update

Rein äußerlich soll der Wahlvorgang für die 1,2 Millionen Hamburger Wähler in den Wahllokalen gleichbleiben. Jeder Wähler geht in die Wahlkabine und kreuzt dort seine Stimmen auf dem Papier an. Dafür bekommt er einen Digitalen Wahlstift ausgehändigt. Der elektronische Stift zeichnet über ein für Menschen kaum sichtbares Muster auf dem Stimmzettel auf, wo auf dem Papier der Wähler seine Kreuze macht. Der Stift wird anschließend in eine Auslesestation gesteckt, um das digitale Kreuz vom Stift über ein Kabel auf einen Laptop zu übertragen. Im Laptop werden dann die Kreuze zu Stimmen umgerechnet. Am Wahlende wird aus den gespeicherten Kreuzen ein Ergebnis errechnet, welches dann über einen Drucker ausgegeben wird. Aus Gründen der Ausfallsicherheit werden alle Stimmen zusätzlich auf einem USB-Stick gespeichert.

Laut dem neuen Hamburger Wahlgesetz sollen dabei ausschließlich die vom Wahlstift aufgezeichneten digitalen Kreuze als Ausdruck des Wählerwillens gelten, das Papier dient nur als wählerberuhigende Dekoration. Folgerichtig werden die Stimmen auf dem Papier auch nur in 17 der ca. 1.300 Wahllokale zur Überprüfung nachgezählt. Stimmen, welche nicht mit dem Digitalen Wahlstift, sondern erkennbar mit einem herkömmlichen Kugelschreiber oder Füller abgegeben werden, gelten als ungültig und werden aussortiert. Bei einer Differenz zwischen der Stichprobenzählung und den digital ermittelten Stimmen zählen deshalb nicht, wie vom Wähler erwartet, die Stimmzettel, sondern die vom Computer ermittelten Ergebnisse. Bei der Briefwahl werden die Stimmen von zwei Wahlhelfern mit dem Digitalen Stift nachgemalt, um damit ebenfalls ein computergestütztes Ergebnis zu ermitteln.

Mit dieser Konstruktion wird dem Wähler nur eine Papierwahl vorgegaukelt, de facto findet aber eine Computerwahl mit allen bekannten Risiken und ohne Nachprüfbarkeit für den Wähler statt. Der Hamburger Wahlstift reiht sich so nahtlos an die umstrittenen NEDAP-Wahlcomputer, die gerade in den Niederlanden wegen zahlreicher Sicherheitsprobleme und mangelnder Nachprüfkeit des Zustandekommens des Ergebnisses abgeschafft wurden. [1]

Um die technische Sicherheit des Digitalen Wahlstift Systems (DWS) zu belegen, wurde ein Schutzprofil nach den sogenannten Common Criteria erstellt, einem Standard der eigentlich zur Standardisierung von Teilbereichen der IT-Sicherheit, nicht aber für Wahlsysteme entwickelt wurde. Die Verwendbarkeit von Common Criteria für die Beurteilung von Wahlsystemen gilt demzufolge unter Experten als äußerst zweifelhaft. Gegenstand des Schutzprofils soll dabei die Auslesestation und der Wahlstift selbst, die Software auf dem Stift sowie die Auswertungs- und Zählsoftware auf dem Laptop sein. Die Prüfung umfaßt jedoch nicht den Drucker, den Laptop, auf dem Windows XP als Betriebssystem laufen wird, und die zentrale Auswertungssoftware beim Statistikamt Nord. Die ebenfalls beteiligte Physikalisch-Technische Bundesanstalt (PTB) führt lediglich eine Prüfung zur funktionalen Korrektheit des Wahlstiftsystems durch. Die PTB hatte schon die Wahlcomputer der Firma NEDAP für Deutschland als sicher eingestuft, welche in den Niederlanden gerade aufgrund von Sicherheitsbedenken komplett aus dem Verkehr gezogen wurden. Daher ist es begrüßenswert, daß sie derzeit nicht mit Fragen der Sicherheit des Systems befaßt ist.

Eine Manipulation der Wahl durch Innentäter, also etwa durch Wahlhelfer, Administratoren der Behörde für Inneres oder Mitarbeiter der Herstellerfirmen wird im Schutzprofil per Definition ausgeschlossen. Der Sprecher des Chaos Computer Clubs, Dirk Engling, sagte dazu: "Die Ignoranz gegenüber der Innentätergefahr entlarvt das konzeptionell falsche Herangehen an computerisierte Wahlvorgänge. Es erinnert an einen Flugzeugbauer, der bei der Konstruktion mal eben die Erdanziehung vergißt und sich nachher wundert, daß das Flugzeug nicht abheben kann." Die von Hersteller und Hamburger Senat getroffene Annahme, daß es keine Innentäter geben wird, die eine Wahlfälschung versuchen würden, disqualifiziert die Sicherheitsannahmen für das System vollständig.

Eine Veröffentlichung der Software des Digitalen Wahlstiftsystems und damit der zugrundeliegenden Technik ist nicht vorgesehen, womit eine öffentliche Prüfung durch unabhängige Sicherheitsexperten unterbunden wird. Kritische Aussagen der Verfassungsexperten Dr. Stephanie Schiedermair und Prof. Dr. Ulrich Karpen werden ignoriert. Auch Warnungen von Sicherheitsexperten wie Prof. Dr. Klaus Brunnstein und dem CCC wurden als theoretisch oder populistisch abgetan. "Die Geheimniskrämerei erinnert fatal an das Vorgehen bei NEDAP-Wahlcomputern, offenbar unterschätzen die Hamburger Entscheidungsträger die Sicherheitsprobleme und haben aus dem Desaster im Nachbarland Niederlande nichts gelernt", sagte CCC-Sprecher Dirk Engling.

Obwohl der Chaos Computer Club vom Hamburger Wahlleiter kein komplettes System für eine Analyse erhalten hat, konnten anhand der verfügbaren Informationen und durch Untersuchung der Basistechnologie des Wahlstifts, dem Anoto-Digitalstiftsystem, eine Reihe von schwerwiegenden prinzipiellen Mängeln identifiziert werden. Dabei wurde das grundlegende Problem computergestützter Wahlen – die mangelnde Überprüfbarkeit durch den Wähler – überdeutlich.

Vor dem Hintergrund der prinzpiellen und sicherheitstechnischen Probleme des Digitalen Wahlstifts, insbesondere der mangelnden Überprüfbarkeit durch den Wähler, fordert der Chaos Computer Club den Hamburger Gesetzgeber dazu auf, das Wahlstiftsystem aufzugeben. Selbst mit massiver Nacharbeit an den heute sichtbaren Sicherheitslücken ist das System prinzipbedingt nicht dazu geeignet, die Anforderungen an Wahlen in Deutschland zu erfüllen.

Weiterführende Informationen

[1] http://www.ccc.de/updates/2007/wahlcomputer-ausgemustert