Bundestagswahl: Mit Telefon und Fax gegen mögliche Wahl-Hacker

• Nach Untersuchungen eines Informatikers aus Darmstadt und des Chaos Computer Clubs (CCC) klaffen in dem Programm "PC Wahl" des Anbieters Vote IT etliche Sicherheitslücken.
• Manche Probleme seien mittlerweile behoben, sagt der CCC. Die Übermittlung der Daten an die Wahlleiter könne aber nach wie vor manipuliert werden.
• Auch der Bundeswahlleiter sieht noch Nachbesserungsbedarf. Das Bundesamt für Sicherheit in der Informationstechnik soll der Firma nun helfen.

Wenn unabhängige Experten ein Produkt als "Totalschaden" bezeichnen, dann dürfen Kunden hoffen, niemals damit in Berührung zu kommen. Am 24. September wird es wohl doch passieren: Die bei der Bundestagswahl abgegebenen Stimmen von Millionen Deutschen werden von einer Software verarbeitet, der IT-Sicherheitsexperten ein katastrophales Zeugnis ausstellen.

Ein Informatiker aus Darmstadt und der Chaos Computer Clubs (CCC) haben gravierende Mängel in einer Software gefunden, mit der in etlichen Kommunen die Wahlergebnisse der Bundestagswahl zusammengetragen und an den Landeswahlleiter übermittelt werden. Ihren Untersuchungen zufolge klaffen in dem Programm "PC Wahl" des Anbieters Vote IT etliche Sicherheitslücken. "Die Menge an Angriffsmöglichkeiten und die Schwere der Schwachstellen übertraf unsere schlimmsten Befürchtungen", fassten die Hacker des Chaos Computer Club (CCC) ihre Analyse zusammen. Nach Angaben des Herstellers ist das Programm "das meistgenutzte Wahlorganisationssystem in deutschen Verwaltungen".

In einem Gastbeitrag auf Spiegel Online schreibt Thorsten Schröder vom CCC, dass "grundlegende Sicherheitsregeln missachtet" wurden. Es gebe "schwache Passwörter, selbst ausgedachte Kryptografie und den Versuch, Sicherheit durch Geheimhaltung von Algorithmen herzustellen". IT-Sicherheitsexperten raten dazu, auf Kryptografie zu setzen, die quelloffen und damit von anderen einsehbar ist, um sie auf Fehler hin zu überprüfen.

Die Zeit berichtete zuerst über den Fall. Martin Tschirsich, ein Master-Student aus Darmstadt, war auf die Schwachstellen der Software PC Wahl aufmerksam geworden. Die Journalisten hatten den CCC daraufhin darum gebeten, die Software zu prüfen.

Die Dateien auf dem Server konnten, so schreiben es die Forscher in einem technischen Bericht (hier als PDF), von unbefugten Dritten "beliebig ausgelesen" werden. Ebenfalls sei es möglich, "unter Angabe trivialer Zugangsdaten einen Upload von Dateien" zu ermöglichen. Angreifer hätten also den Server übernehmen können, um dort fingierte Versionen der Software zu platzieren. Diese hätten falsche Ergebnisse produzieren können, zum Beispiel die abgegebenen Stimmen für die Parteien SPD und CDU vertauschen. Die Dateien werden über den Upload-Server heruntergeladen auf Rechner der Gemeinden, die PC Wahl verwenden. Sie sind nicht eigens abgesichert.

Schwachstellen für diesen Angriffsweg behoben

Mittlerweile ist das Übernehmen des Servers durch Dritte wohl nicht mehr möglich, wie Linus Neumann vom CCC auf Nachfrage sagt. "Wir hätten nichts veröffentlicht, was jedem ohne weiteres ermöglicht hätte, PC Wahl sofort in der Breite zu hacken. Die Schwachstellen, die wir im Aufbau des Servers gefunden haben, wurden mittlerweile behoben." Doch auch wenn die Forscher für diesen Angriffsweg keine Schwachstellen mehr sehen, heißt das nicht unbedingt, dass es keine mehr gibt.

Es gibt noch weitere Sicherheitslücken. Eine davon betrifft die Übermittlung der Daten an die Wahlleiter. Geben Bürger bei der Bundestagswahl ihre Stimmen ab, werden diese Ergebnisse in der Regel drei Mal übermittelt: Aus dem Wahllokal meist per Telefon an die Kreiswahlleitung, von dort oft elektronisch an die Landeswahlleitung. Hier werden die Ergebnisse gesammelt und elektronisch an den Bundeswahlleiter weitergeschickt.

Werden die Dateien verschickt, gibt es keinen Weg, deren Authentizität zu überprüfen. Dafür sind eigentlich Signaturen vorgesehen, die man sich vorstellen muss wie digitale Unterschriften. Doch diese fehlen einfach. Ebenfalls ist in PC Wahl voreingestellt, von welchem Ort aus die Daten über ein internes Netzwerk verschickt werden sollen. Das Passwort lautet "test". Ein Anfängerfehler jagt den nächsten.

Der Bundeswahlleiter nehme die Sicherheitslücken sehr ernst, sagt Klaus Pötzsch aus dem Büro des Bundeswahlleiters. Die Behörde habe Ende Juli von den Schwachstellen erfahren und die Landeswahlleiter sofort informiert. Der wichtigste Schritt gegen mögliche Manipulationen: Alle Wahlergebnisse, die auf elektronischem Wege übermittelt werden, sollen auch per Telefon oder Fax bestätigt werden. "Durch die zusätzliche telefonische Kontrolle von elektronisch übermittelten Wahlergebnissen würden Manipulationen sofort auffallen, sagt Klaus Pötzsch.

Die Behörde misstraut offenbar den Ergebnissen von PC Wahl. Das habe weitreichende Konsequenzen, sagt Neumann vom CCC: "Das ist jetzt ein großer Mehraufwand. Die sind in der Steinzeit und operieren im Notfallmodus."

Durch den Angriff können nur die vorläufigen Wahlergebnisse manipuliert werden. Diese dienen vor allem dazu, die am Bürger am Wahlabend zu informieren. Für das amtliche Endergebnis zählen Stift und Papier. Wie das im Ernstfall aussähe, beschreibt Dirk Kretzschmar von TÜV-IT, das zu TÜV-Nord gehört. "Die ersten Wahlergebnisse werden über Hochrechnungen veröffentlicht, die über solche Wahl-Software übermittelt wurde. Wenn zum Beispiel eine Partei durch Manipulation dieser Software nach ersten Hochrechnungen auf über 30 Prozent kommt, nach der offiziellen Auszählung aber nur auf 15 Prozent, dann setzt man nicht nur das komplette Vertrauen der Wähler aufs Spiel, man kann durchaus gefährliche Unruhe stiften." Kretzschmar erinnert die Software "an die 90er Jahre": "Sie ist nur dadurch 'geschützt', dass man sie an vertrauenswürdige Personen verkauft und der Einsatz der SW in einer vermeintlich gesicherten Umgebung ausreicht." Die Hersteller seien sich der Gefahren "einfach nicht bewusst" gewesen.

Klaus Pötzsch aus dem Büro des Bundeswahlleiters geht davon aus, dass die Prozesse mehrfach abgesichert seien und die Wahrscheinlichkeit, vorläufige Ergebnisse zu manipulieren "äußerst gering". "Eine erfolgreiche Manipulation wird an irgendeiner Stelle auf jeden Fall festgestellt, durch diese manuellen Rückversicherungen per Telefon. "

Anfragen der Süddeutschen Zeitung an die 16 Landeswahlleitungen ergaben, dass die meisten Bundesländer auf abgeschottete Netze setzen, die nicht mit dem Internet verbunden sind. Zudem nutzen die Statistischen Landesämter vieler Bundesländer zudem eigens entwickelte Software, um die Wahlergebnisse zu übertragen, etwa Bayern, Rheinland-Pfalz, Thüringen, Sachsen-Anhalt, Baden-Württemberg und Mecklenburg-Vorpommern.

Weiterer Nachbesserungsbedarf

Das Land Bremen verschickt die Wahlergebnisse teilweise als Bilddatei per E-Mail. Diese seien jedoch verschlüsselt und würden mit einem individuellen Passwort gestempelt.

Noch am Donnerstagabend versicherte der Bundeswahlleiter, so zitiert ihn die Tagesschau, dass der Hersteller mittlerweile nachgebessert habe. Linus Neumann vom CCC widerspricht dieser Darstellung und rät Menschen, die an seinen Aussagen zweifeln, direkt auf der Webseite von PC Wahl nachzusehen. Dort wird im Feld "Download" die aktuellste Version gelistet. Das letzte Update, "Korrekturen" genannt, ist vom fünften September. Es ist exakt die Version, die die Hacker analysiert und auseinandergenommen haben. Ihre Ergebnisse haben sie auf der Entwickler-Plattform Github veröffentlicht.

Darauf angesprochen sagte der Bundeswahlleiter, dass "nach unseren Erkenntnissen die verantwortliche Firma Vote IT inzwischen diverse Updates ausgeliefert hat, insofern hat sie auch nachgebessert." Offenbar bestehe aber über die bisherigen Updates hinaus aber noch weiterer Nachbesserungsbedarf. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sei mit der Firma im ständigen Kontakt und berate sie bei der Umsetzung der entsprechenden BSI-Empfehlungen.

Link-Tipp: Deutschland gleicht bei der Stimmauszählung einem technischen Flickenteppich. Wie dieser aussieht, lässt sich anschaulich bei Spiegel Online beobachten. Klaus Pötzsch von der Bundeswahlleitung bewertet diesen Umstand als positiv, da Hacker sich in viele verschiedene Systeme gleichzeitig einhacken müssten. Das setzt aber voraus, dass der Server, über den die Updates aufgespielt werden, weiterhin sicher bleibt.