Ende Juli knackten Hacker auf der Konferenz DefCon innerhalb kürzester Zeit dreißig Wahlcomputer. Das ist ein beunruhigendes Ergebnis, aber in Deutschland dürfen Wahlcomputer nicht eingesetzt werden. Müssen wir uns deshalb für die Bundestagswahl Ende September keine Gedanken machen? Ist die Bundestagswahl sicher? Mitnichten. Eine Recherche von ZEIT Online zeigt gravierende IT-Sicherheitsprobleme bei Wahlen – selbst wenn die Abstimmung an sich mit Papier und Stift erfolgt.
Computer kommen in Deutschland noch nicht ins Spiel, wenn eine Person ihre beiden Kreuzchen setzt. Sie spielen aber eine Rolle, sobald die Wahlergebnisse erfasst und übermittelt werden sollen. Sind alle Stimmen in einem Wahllokal ausgezählt, müssen sie an die Bezirkswahlämter weitergegeben werden. Von hier aus geht es eine weitere Ebene nach oben, über die Landeswahlleiter schließlich zum Bundeswahlleiter.
Unsichere Wahlauswertungssoftware
Wie die einzelnen Wahlkreise das tun, bleibt ihre Sache. Eine häufig eingesetzte Software heißt PC-Wahl, laut Hersteller ist sie das „meistgenutzte Wahlorganisationssystem in deutschen Verwaltungen“. Der Beschreibung auf der Webseite nach stellt sie ein Rundum-Sorglos-Paket dar: Serienbriefe an Wahlhelfer erstellen, Stimmen erfassen, Ergebnisse in Echtzeit präsentieren – all das kann PC-Wahl. Obwohl es PC-Wahl schon lange gibt, scheint es bisher niemand unabhängig und gründlich geprüft zu haben. Ein rheinland-pfälzischer Wahlhelfer versuchte nach den dortigen Kommunalwahlen 2009 sogar gerichtlich, Einblick in den Quellcode des Programms zu erstreiten. Er scheiterte.
Der Informatiker Martin Tschirsich fand Teile des Programms im Internet, berichtet ZEIT Online. Er konnte sich in den Servicebereich der Herstellerfirma einloggen und es herunterladen, weil ein anderes Unternehmen die Bedienungsanleitung samt Nutzernamen und Passwort auf ihrer Seite veröffentlichte.
Danach analysierte er die Software zusammen mit dem Chaos Computer Club. Einer technischen Analyse des Chaos Computer Clubs (pdf) ist zu entnehmen, für welche Angriffsmöglichkeiten PC-Wahl anfällig war, die Tools dafür haben die Hacker veröffentlicht. Ein Angreifer hätte übermittelte Wahlergebnisse auf allen Ebenen manipulieren können.
Passwörter für alle einsehbar
Nicht nur die Ergebnisse, auch die Software hätten Dritte verändern können. Auf dem Update-Server bereitgestellte Dateien waren nicht digital signiert. Eine automatische Update-Funktion sorgte dafür, dass die dort hochgeladenen Pakete installiert wurden. Die Zugangsdaten für den Upload-Server fanden die Hacker öffentlich im Internet. Jeder hätte Update-Pakete einschleusen können, um die komplette Funktion der Software an allen Einsatzorten zu manipulieren.
Auf dem Server befanden sich PHP-Skripte, die es ermöglichten, Dateien hochzuladen. Die dafür benötigten Zugangsdaten bestanden aus Nutzernamen wie „gast“ und Passwörtern wie „test“ – oder auch „test01“ und „test02“. Das Passwort für den eigentlichen FTP-Zugang war leicht kreativer, es lautete „ftppcw7“ und war nicht direkt im Klartext abgelegt. Dafür war die verschleierte Version des Passworts zusammen mit der Entschlüsselungsmethode in einer ZIP-Datei verpackt, öffentlich abrufbar.
Nutzer: test, Passwort: test
Auch ohne die komplette Software zu manipulieren wäre eine Veränderung der übermittelten Wahlergebnisse möglich gewesen. Die Hacker testeten dies am Beispiel des Bundeslandes Hessen, wo PC-Wahl bei sämtlichen Wahlen zum Einsatz kommen und wo der kommunale Dienstleister ekom21 den Server bereitstellt, an den alle Gemeinden und Wahlkreise ihre Ergebnisse senden.
Dieser Server befindet sich in einem internen Netzwerk. Laut Recherchen des CCC haben zu diesem Intranet auch viele Firmen Zugang, „[d]arüber hinaus weisen die Zugangsdaten mitunter mangelnde Kreativität und infolge dessen auch mangelnde Sicherheit auf (Nutzer: test, Passwort: test)“. Die Zugangsdaten für Dateien mit den Wahlergebnissen fanden die Hacker schlecht „verschlüsselt“ auf der öffentlichen Website von ekom21, sodass sie leicht extrahiert werden konnten. Das Ergebnis: Schreibzugriff auf alle Wahldateien.
Doch selbst ohne direkten Schreibzugriff wäre es möglich gewesen, manipulierte Wahlergebnisse einzuspeisen. Die Dateiformate enthielten keine kryptographische Signatur. Es ließ sich also nicht prüfen, ob die eingespeisten Daten authentisch sind. Wenn also am Wahlabend eine Tabelle mit Abstimmungsergebnissen beim Wahlleiter ankommt, könnte der sich nicht sicher sein, ob die Ergebnisse authentisch sind oder ob ihm jemand eine Datei untergejubelt hat.
Wobei dieser Punkt laut der Analyse nicht nur ein Problem von PC-Wahl ist. Eine entsprechende Anforderung müsse vom Bundes- und den Landeswahlleitern spezifiziert werden. Da dies bisher nicht der Fall ist, sei eine entsprechende Schwäche ebenso bei den Konkurrenzprodukten zu erwarten.
Wahlmanipulation auch ohne „staatlich finanziertes Hacker-Team“
Der CCC nennt die geprüfte Software in seiner Pressemitteilung „unsicher und angreifbar“. Sie sei in einem „traurigen Zustand“. Man brauche gar kein „vielbeschworenes staatlich finanziertes Hacker-Team“, sondern könne aufgrund der amateurhaft erstellten Software die Wahlauswertung ohne viel Mühe vollständig kompromittieren:
Der fehlerhafte Update-Mechanismus von „PC-Wahl“ ermöglicht eine one-click-Kompromittierung, die gepaart mit der mangelhaften Absicherung des Update-Servers eine komplette Übernahme erleichtert. Aufgrund der überraschend trivialen Natur der Angriffe muss zudem davon ausgegangen werden, dass die Schwachstellen nicht allein dem CCC bekannt waren.
Gescheiterte Reparaturversuche
Infolge der Erkenntnisse kontaktierten die Hacker den Hersteller der Software, zuerst im Juni, damit dieser seine Sicherheitslücken schließen kann. Wie das geschah, lässt sich in der Versionshistorie der Software-Updates nachverfolgen. Lange Zeit tauchten in der Änderungsliste primär Punkte kosmetischer Natur auf – etwa „Bereinigung eines Schatteneffekts hinter Texten“ oder „Optischer Darstellungsfehler in Erfassungsmaske bereinigt“. Am 29. August kippt die Natur der Änderungen ins Gegenteil. Sie heißen jetzt „E‑Mail-Ergebnisbenachrichtigung optional mit verschlüsselbarem Anhang“ oder wie die letzte Modifikation vor zwei Tagen „Digitale Signatur“.
Sie erzählen die Geschichte, wie versucht wird, PC-Wahl zu reparieren. Die Hacker prüften Teile der Updates, zufrieden waren sie nicht. Das Problem der unberechtigten Software-Updates versuchte der Hersteller von PC-Wahl Ende August durch Prüfsummen zu lösen. Sie sollten beweisen, dass die zum Download bereitgestellte Datei die richtige ist. Der Haken: Eine simple Prüfsumme kann jeder generieren. Ein Video demonstriert, wie es gelingt, auch in der aktuellen Version ein schadhaftes Update einzupflanzen.
Daher eine erneute Nachbesserung, etwa eine Woche später: Digitale Signaturen. In ihrer Analyse stellten die Hacker fest, dass die Update-Dateien nun tatsächlich mit einem Zertifikat des Herstellers signiert sind. Eine Überprüfung dieses Zertifikates vor der Installation erfolgt weiterhin nicht.
Das Fazit der Hacker ist ernüchternd:
Sämtliche durch mehrere Updates vorgenommenen technischen Gegenmaßnahmen in der Software selbst erwiesen sich bereits bei oberflächlicher Überprüfung als ungeeignet zur Beseitigung der gemeldeten Schwachstellen.
Was bedeutet das für die Wahl?
Es ist unwahrscheinlich, dass eine manipulierte Ergebnisübertragung niemals auffallen würde. Immerhin können und sollen Wahlleiter und Helfer die final bekanntgegebenen Ergebnisse mit den von ihnen gezählten und übertragenen vergleichen. Damit verteidigte sich auch der PC-Wahl-Entwickler Volker Berninger gegenüber ZEIT Online. Im schlimmsten Fall würde „jemand damit Verwirrung stiften. Dann würden zwar irgendwelche falschen Ergebnisse im Internet stehen, aber auf dem Papier wären noch immer die richtigen vorhanden. Das gibt Ärger und Verwirrung, hat aber keine Relevanz.“
Verwirrung – man könnte es auch Vertrauensverlust nennen. Sowohl gegenüber den Wahlsystemen als auch gegenüber der Wahl als solche. Das ist nicht allein bei PC-Wahl der Fall, bei anderen Softwares sieht es nicht besser aus. Das ebenso in Deutschland genutzte IVU.elect wurde in den Niederlanden bereits wegen Sicherheitsproblemen verboten. Eine dritte eingesetzte Software namens votemanager gehört zum gleichen Hersteller wie PC-Wahl.
Was bleibt, ist eine Prüfung der übermittelten Wahlergebnisse auf Korrektheit, ganz ohne Computer. Der hessische Landeswahlleiter hat bereits einen solchen Erlass versendet. Doch welchen Sinn hätte die Software dann noch? Um ein Sicherheitsdesaster wie bei PC-Wahl zu vermeiden – oder besser: früher zu beheben -, wäre es nötig gewesen, die Software nicht etwa geheimzuhalten, sondern ihren Quelltext zur Verfügung zu stellen. Eine Software darf ihre Sicherheit nicht daraus beziehen, dass niemand sie kennt. Die Geschichte hat oft genug – und hier wieder – verdeutlicht, dass das nicht ewig so bleiben wird.
Derart kritische Programme müssen unabhängig auditiert werden, fordert der CCC. Die Berichte dazu sollen öffentlich sein. Wie bei der Auszählung auch müssten alle Wählenden die Möglichkeit haben, die Wahlergebnisse nachzuvollziehen.
