Wenn unabhängige Experten einem Produkt einen "Totalschaden" bescheinigen, dann dürfen Kunden hoffen, niemals damit in Berührung zu kommen. Genau das aber wird am 24. September passieren. Die bei der Bundestagswahl abgegebenen Stimmen von Millionen Deutschen werden von einer Software verarbeitet, der IT-Sicherheitsexperten ein katastrophales Zeugnis ausstellen. "Die Menge an Angriffsmöglichkeiten und die Schwere der Schwachstellen übertraf unsere schlimmsten Befürchtungen", fassten die Hacker des Chaos Computer Club (CCC) ihre Analyse des Programms "PC-Wahl" zusammen.
Per Telefon und Fax sollen die elektronischen Ergebnisse bestätigt werden
Ohne großen Aufwand hätten Angreifer den Server demnach übernehmen und dort eine fingierte Version der Software platzieren können. Eine Version, die etwa die Stimmen für SPD und CDU vertauscht. Die Schwachstellen seien mittlerweile behoben worden, sagt Linus Neumann vom CCC. "Wir hätten nichts veröffentlicht, das es jedem ohne Weiteres ermöglichen würde, sofort in der Breite PC-Wahl zu hacken." Doch andere Sicherheitslücken bestehen nach wie vor.
Eine davon betrifft die Übermittlung der Daten an die Wahlleiter. Werden die Dateien verschickt, gibt es keinen Weg, deren Authentizität zu prüfen. Dafür sind eigentlich Signaturen vorgesehen, gewissermaßen digitale Unterschriften. Sie fehlen einfach. Und das Passwort, um in das interne Netz von PC-Wahl zu gelangen, ist nicht nur für Profis leicht zu knacken. Es lautet "test". Ein Anfängerfehler jagt den nächsten.
Bundeswahlleiter Dieter Sarreither nehme die Sicherheitslücken sehr ernst, sagt Sprecher Klaus Pötzsch. Die Behörde habe Ende Juli von den Schwachstellen erfahren und die Landeswahlleiter sofort informiert. Die wichtigste Maßnahme gegen mögliche Manipulationen: Alle Wahlergebnisse, die auf elektronischem Wege übermittelt werden, sollen per Telefon oder Fax bestätigt werden. Das gilt in der Regel für die Datenübertragung zwischen Kreis- und Landeswahlleitung sowie zwischen Landeswahlleitung und Bundeswahlleiter. "Durch die zusätzliche telefonische Kontrolle von elektronisch übermittelten Wahlergebnissen würden Manipulationen sofort auffallen", sagt Pötzsch. Neumann vom CCC kritisiert dagegen den "großen Mehraufwand": "Die sind in der Steinzeit und operieren im Notfallmodus."
Das Endergebnis der Bundestagswahl lässt sich durch einen Angriff auf PC-Wahl nicht verändern - die Werte lassen sich überprüfen, gewählt wird schließlich analog, mit Stift und Papier. Manipulieren ließen sich aber die Hochrechnungen, die am Wahlabend die Bürger informieren und über die Software übermittelt werden. Auch das kann weitreichende Folgen haben, warnt Dirk Kretzschmar von Tüv-IT, das zu TÜV-Nord gehört. "Wenn zum Beispiel eine Partei durch Manipulation dieser Software nach ersten Hochrechnungen auf über 30 Prozent kommt, nach der offiziellen Auszählung aber nur auf 15 Prozent, dann setzt man nicht nur das komplette Vertrauen der Wähler aufs Spiel, man kann durchaus gefährliche Unruhe stiften."
Pötzsch hält dagegen, dass die Prozesse mehrfach abgesichert seien und die Wahrscheinlichkeit, vorläufige Ergebnisse zu manipulieren "äußerst gering" sei. "Eine erfolgreiche Manipulation wird an irgendeiner Stelle auf jeden Fall festgestellt, durch diese manuellen Rückversicherungen per Telefon."
SZ-Anfragen an die 16 Landeswahlleitungen ergaben, dass die meisten Bundesländer auf abgeschottete Netze setzen, die nicht mit dem Internet verbunden sind. Zudem nutzen die Statistischen Landesämter etwa in Bayern oder Thüringen eigens entwickelte Software, um die Wahlergebnisse zu übertragen. Bremen verschickt die Wahlergebnisse teilweise als Bilddatei per E-Mail. Diese seien jedoch verschlüsselt und mit einem individuellen Passwort gestempelt.
Noch am Donnerstagabend versicherte der Bundeswahlleiter, so zitiert ihn die Tagesschau, dass der Hersteller mittlerweile nachgebessert habe. Neumann widerspricht - und verweist auf die Webseite von PC-Wahl. Dort wird im Feld "Download" die aktuellste Version gelistet. Das letzte Update, "Korrekturen" genannt, ist vom 5. September. Es ist exakt jene Version, die die Hacker analysiert und auseinandergenommen haben.