Wahlcomputer für Deutschland
Da ich immer wieder über Wahlcomputer herziehe und behaupte, dass sie schlecht, gefährlich und unbrauchbar seien, hier mal zur Abwechslung ein Beispiel, wie ein Wahlcomputer für Deutschland aussehen könnte:- Einfach zu bedienen (Prinzip "Alte Oma kann ihn bedienen")
- Absolut sicher und problemlos
- Integriert sich vollkommen in die vorhandene Wahl
Grundlage
Ein Wahlcomputer ist ein Gerät, das folgende offensichtliche Funktionen erfüllen muss:- Es muss geeignet sein, eine Wahl vollständig zu bestreiten, d. h. den Wahlzettel vollständig zu ersetzen
- Es muss die Personen, die die Wahl durchführen entlasten, z. B. von der mühseligen Handzählung, zu der immer weniger Personen sich bereit finden
- Es muss vom Bürger akzeptiert werden und genauso einfach oder einfacher funktionieren als Papier und Stift
- Es muss die Auswertung der Wahl beschleunigen
- Es muss die Wahlgesetze einhalten
- Es muss vertrauenswürdig konstruiert werden, so dass auch nicht-Experten dessen korrekte Funktionsweise feststellen können. Experten sind niemals vor Ort bei der Wahl verfügbar, also sind Manipulationen an den Geräten eben von Laien nicht erkennbar. Eine Schulung des Personals reicht dazu nicht aus, da davon ausgegangen werden muss, dass der Manipulator ebenso diese Schulung genossen hat, also dafür sorgt, dass man die Manipulation mit der Schulung alleine nicht entdecken kann.
- Die Funktion muss einer Nachzählung standhalten. Das bedeutet, erstens muss eine Nachzählung, die immer manuell erfolgt, möglich sein, zweitens muss diese dazu geeignet sein, die korrekte Funktion der Wahlmaschinen zu bestätigen (Stichprobenkontrolle)
- Man muss mit dem Gerät in der Lage sein, ungültig zu wählen! Es mag seltsam klingen, aber es gibt einen gravierenden Unterschied zwischen "ich wähle nicht" und "ich wähle ungültig". Mich kann jemand mit der Pistole bis zum Wahlbüro zwingen und auch sicherstellen (optisch) dass ich wähle. Aber er kann nicht sicherstellen was ich wähle. In diesem Fall muss es außerdem weiterhin möglich sein, die volle Wahlvielfalt zu erhalten, somit also anonym nicht oder "ungültig" zu wählen.
- Es darf kein "Wahlkontrollzettel" beim Wähler verbleiben. Anderenfalls könnten Arbeitgeber die für den Landtag kandidieren, von ihren Arbeitnehmern verlangen, den "Wahlkontrollzettel" abzugeben, um sicherzustellen, dass sie "betriebskorrekt" gewählt haben.
Komponenten des Wahlcomputers
1. Zentraleinheit mit Touchscreen
Dies ist das Gerät, mit dem der Wählende primär in Berührung kommt. Das Gerät besteht aus einem großen Touchscreen zur Darstellung von gut lesbaren Zeichen. Es muss so ausgelegt sein, dass die Darstellung wesentlich übersichtlicher und größer vorgenommen werden kann als auf den üblichen Wahlzetteln. Das Gerät wird über den Touchscreen bedient, indem man einfach auf die Auswahl mit dem Finger vornimmt. Dies ist inzwischen hinreichend erprobt, bekannt und bewährt. Die Zentraleinheit verfügt über wLAN, Speicherkarte und Stromschalter. Lediglich die Speicherkarte befindet sich innerhalb eines gegen Herausnahme gesicherten Plastikabdeckung, die man mit einem Standardschlüssel (der für die Baureihe identisch ist) oder normalen Inbus-Schlüssel/Schraubendreher öffnen kann. Zusätzlich verfügt das Gerät über fest eingebauten internen Speicher (HDD oder SSD), der als Backup-Medium bei Störungen dient und aus dem das Gerät auch booten kann. Die Zentraleinheit ist außerdem mit einer eindeutigen Nummer bzw. Alphanumerischen Zeichen versehen. Eindeutig bezogen auf das Wahllokal, so dass sich der Wählende diese Nummer leicht merken kann. Vorne auf dem Display ist ein entsprechender Platz vorzusehen, so dass man diese Kennzeichnung auch bei extremer Kurz- bzw. Langsichtigkeit (20 Dioptrien) sowie Sehfehlern ohne Brille gut erkennen kann.2. Papiertuchspender
Als fest integrierte Zusatzausstattung muss ein Papiertuchspender in der Wahlkabine vorhanden sein, der dazu dient, dass der Wählende das Gerät ohne Hinterlassen von Fingerabdrücken bedienen kann. Es mag nicht erkennbar sein, warum dies notwendig ist. Dieser Schritt ist notwendig, um sicherzustellen, dass die Wahl mit dem Wahlcomputer identisch ist zu der Wahl mit Papier und Stift. Auf dem Stift hinterlässt man zwar seinen Fingerabdruck, allerdings keine, die auf den Ausgang der Wahl schließen lassen könnten. Bei einem Wahlcomputer wäre es anders, wenn kein Papiertuchspender vorhanden wäre. Natürlich könnte man die Nutzung des Geräts per Handschuhe etc. dem Wählenden überlassen. In der Wahlordnung ist aber nicht niedergelegt, dass der Wählende etwas am Körper tragen muss, das in der Lage wäre, Fingerabdrücke zu vermeiden, also muss eine entsprechende Möglichkeit vorhanden sein, weiterhin geheim zu wählen. Billige einweg-Papiertücher vom Discounter lösen dieses Problem leicht und effizient.3. Din-A4 Seitendrucker
Das Ergebnis des Wahlvorgangs wird auf einen Wahlzettel in Din-A4-Größe ausgedruckt. Die Schriftgröße ist dabei größtmöglich zu wählen. Diese A4-Seite stellt den eigentlichen Wahlzettel dar. Dieser Zettel enthält klar geschrieben die Wahl des Wählenden, so das dieser es einfach überprüfen kann. Des Weiteren umgibt den Rand des Zettels ein Barcode, der die Wahl in digital einfach scanbarer Form enthält. Im Zweifel gilt der vom Menschen lesbare Aufdruck!4. Papierumschlag (optional)
Ist die Papierqualität der gedruckten Seite so schlecht, dass es bei zweifacher Faltung des Zettels zu unerwünschten Durchscheinungseffekten kommen kann, dann muss dieser A4-Zettel gefaltet und in einen Papierumschlag (Briefumschlag) gesteckt werden. Dieser Schritt ist deshalb vorteilhaft, weil das Falten und in-den-Umschlag-Stecken ein für den Menschen bekannter und damit leicht nachvollziehbarer und somit nicht erklärungsbedürftiger Weg ist, etwas zu verbergen.Wahlvorgang
- Wähler betritt das Wahllokal
- Wähler wird registriert und bekommt optional den Papierumschlag auf dem die Erklärung abgedruckt ist
- Wähler betritt die Wahlkabine und zieht den Vorhang zu
- Wähler bedient den Wahlcomputer
- Wahlcomputer druckt den Wahlzettel aus
- Wähler faltet den Wahlzettel und - optional - steckt ihn in den Umschlag
- Wähler verlässt die Wahlkabine und wirft den Wahlzettel/Umschlag in die Urne
- Wähler verlässt das Wahllokal oder baut seinen mit wLAN-Sniffer bewehrten Laptop auf um den Wahlvorgang zu beobachten wie im Wahlgesetz vorgesehen
Software
Einige Hinweise zur Software, Initialisierung der Wahlmaschinen usw.Rebootfest
Fällt während der Wahl der Strom aus oder wird die Maschine Aus-Eingeschaltet (der entsprechende Schalter ist frei zugänglich), fährt die Maschine sofort neu hoch und ist innerhalb von Sekunden (Max. 10s) wieder voll einsatzfähig. Dies ist eine notwendige Voraussetzung für Wahlcomputer, da es dem Wähler gestattet sein muss, die Maschine Aus-Ein zu schalten (er darf ja auch den Wahlzettel umdrehen etc.). Beim Reboot bleibt die Maschine stumm. Nach dem Reboot erscheint kurz ein zusätzliches Administrations-Icon auf dem Bildschirm an einer unauffälligen Stelle so dass es nicht stört, über das man per Klick in den PIN-gesicherten Administrationsmodus des Geräts gelangt. Beim Betreten dieses Menüs piepst das Gerät lautstark (laut genug, dass es selbst Pressluftarbeiten im selben Raum übertönen würde), so dass sichergestellt ist, dass niemand diesen Modus unbemerkt benutzen kann.Public wLAN
Jedes Gerät meldet sich über ein öffentliches wLAN an dem zentralen Wahl-Leitrechner des Wahllokals an. Das dabei verwendete Protokoll ist nicht nur ungesichert, sondern auch öffentlich bekanntgegeben, so dass jeder mit einem geeigneten Laptop mitlauschen kann, dass die Wahlcomputer keine geheimen Informationen an den Leitrechner weitergeben.Zeitverzögerte, gefälschte Wahlprotokolle
Der Wahlcomputer liefert von sich aus über das wLAN gefälschte Wahlprotokolle an den Leitrechner ab. Er erzeugt dabei für jeden Wähler einen Dummy-Wähler, der eine zufällige Stimme abgibt. Des Weiteren liefert der Wahlcomputer die Daten nur verzögert aus, d. h. die Stimmen der letzten 10 Wähler auf dem Wahlcomputer werden nicht an den Leitrechner weitergeleitet. Der Update erfolgt außerdem immer "en-Block", d. h. es gehen immer die Wahlergebnisse von N Wählern (logischerweise ist N>10) in jeden Update-Block ein. Der Wahlcomputer stellt durch die Dummy-Wähler außerdem sicher, dass je Block jede mögliche Stimme mindestens eine Stimme bekommt. Außerdem ist mindestens eine ungültige Wahl dabei. Dabei ist nicht sichergestellt, dass diese Mindeststimme von einem Dummy-Wähler stammt. Ist ausreichend "übliches" Stimmmaterial vorhanden, braucht der Wahlcomputer die Werte nicht abzuändern.
Da die Informationen öffentlich zugänglich sind, um den Erfordernissen des Wahlgesetzes zu entsprechen, muss sichergestellt sein, dass die Information so verschleiert wird, dass diese nicht auf den einzelnen Wähler heruntergebrochen werden kann.
Die Information muss im Klartext übertragen werden können, damit der hinreichend ausgebildete Fachmann garantieren ("Hobbyhacker") kann, dass eben kein Eingriff in das Wahlgeheimnis durch die Online-Übertragung der Wahlergebnisse möglich ist.
Die Möglichkeit eine Wahl öffentlich zu beobachten ist ein Grundlagemerkmal der freien demokratischen Wahl. Wäre die Übertragung der Wahlmaschinen an den Leitrechner nicht von jedermann abhörbar, müsste sie unterlassen werden, womit der Vorteil der leichten Hochrechenbarkeit der Wahlergebnisse verlorengehen würde. Dass die Hochrechnung dann nicht akkurat sein kann ist erwünscht, handelt es sich doch um eine Hochrechnung und nicht um offizielle Wahlergebnisse.
Statistische Auswertung für Hochrechnungen
Aufgrund der Normalverteilung nivellieren sich die Effekte der "Dummy-Wähler" zu der statistischen 0. Da bekannt ist, dass die Hälfte der Stimmen "Normalverteilt" hereinkommen müssen, kann man diese statistisch herausrechnen und so eine zuverlässige ständige Wahlprognose herstellen.Auslesen der Endergebnisse
Am Ende der Wahl werden den Wahlmaschinen durch den Aus-Einschaltvorgang in den Administrationsmodus versetzt um das Endergebnis an den Leitrechner zu übertragen. Dieser Schritt macht folgendes:- Er nimmt die binär aufgezeichneten Daten auf der Speicherkarte und führt sie in ein XML-Datei über. Die binären Daten werden dabei überschrieben und gelöscht.
- Die XML-Datei ist mit der ID des Wahlcomputers sowie des Wahlkreises ein-eindeutig benannt.
- Die XML-Datei wird über das (offene!) wLAN über ein offenes Protokoll an den Leitrechner übertragen.
- Die XML-Datei wird zusätzlich auf dem internen Speicher als Historie verewigt. Damit meine ich, die Datei wird dort niemals gelöscht.
- Die Speicherkarte kann im Wahlcomputer verbleiben, allerdings ist der Wahlcomputer ohne Neuprogrammierung der Speicherkarte nicht mehr für die Wahl verwendbar.
Schneller Scan der Wahlzettel
Zur Überprüfung können die Wahlzettel von einem Scanner eingelesen werden. Dieser kann anhand der Barcodes schnell und einfach ermitteln, welche Stimmen sich auf dem Wahlzettel befinden. Obwohl die Wahlzettel von den Wahlcomputern erstellt wurden, können die Wahlzettel manipuliert worden sein. Scherzkekse können zuhause falsche Wahlzettel produziert haben und anstelle des Richtigen abgeben. Solche Stimmen sind dann ungültig, außer sie erzeugten zufällig eine gültige Stimmabgabe (Barcode, Inhalt und Papier stimmen augenscheinlich). Es ist auch möglich, einen Stimmzettel durch "Streichen" ungültig zu machen (per Stift). Dies wird der Scanner nicht ein-eindeutig erkennen können. Dies muss auch nicht vorgesehen werden. Einzig was passieren kann ist, dass einzelne gezählte Stimmen aus dem Wahlergebnis nachträglich verschwinden. Dies sollte Wahlergebnisse nicht allzu stark beeinflussen. Wähler, die so etwas machen, sind eine derart verschwindende Minderheit, dass man ein Wahlverfahren dagegen nicht sichern muss. Eine "ordentliche ungültige Stimme" kann auch der Scanner erkennen, da der Wahlcomputer dann einen Wahlzettel ausgedruckt hat, auf dem klar zu lesen ist "Ungültige Stimmabgabe, Abgabe einer Nichtwahl" (jemand anderes kann das sicher prägnanter formulieren als ich es kann), begleitet mit einem passenden Barcode-Eintrag. Ein solcher Scan ist schnell und einfach möglich, und ist auch bei großen Stimmzettelvolumen mit hinreichender Technik (Semiautomatischer Kamerascanner mit 1 Zettel pro Sekunde) leicht möglich. Da die Technik nicht sofort vor-Ort sein muss, kann diese "Reisen", in Form eines "Stimmzettelzählbusses", der die Korrektheit der Wahlergebnisse hinterher überprüft und so Unregelmäßigkeiten (die meist gar nicht erwünscht sein dürften) erkennen kann.Langsames manuelles Nachzählen
Auch das manuelle Nachzählen wird vereinfacht, da die Wahlzettel ein klares Format aufweisen und keine unwichtigen Informationen enthalten. Außerdem können Scanner zur Vorsortierung eingesetzt werden, die die Wahlzettel nach bestimmten Kriterien (die man selber bestimmen kann) ordnen. Auch diese Technik kann man sich aus anderen Wahlkreisen holen, sie muss nicht selber vorgehalten werden. Es muss nur für die Wahlkreise, die manuell nachzählen wollen, genug Technik in der gesamten Republik zur Verfügung stehen. Dies sollte gerade auf Dauer keinerlei Problem darstellen. Anfangs kann man sich sogar mit einfachen "Aldi-PCs" helfen, an die ein Scanner angesteckt wird. Außerdem dürften in Kürze leistungsfähige OCR-Systeme auf Standard-PCs basierend die Wahlzettel auf Unregelmäßigkeiten prüfen und somit sortieren können. Dafür dürften bei normalen Wahlverfahren selbst Aufnahmen wie von HDV-Kameras ausreichen (bei komplizierten mit mehr als 5 Stimmen natürlich nicht mehr).Optionen
Man kann den Wahlcomputer mit einer Braille-Zeile und Braille-Druckern ausstatten, wodurch auch Blinde diesen bedienen könnten. In diesem Fall gilt die Braille-Schrift, die ja einem Barcode sehr ähnlich ist, wenn man die Stanzungen mit Farbe versieht.Fazit
Das hier vorgestellte Verfahren ist mehrschichtig in der Lage, Vorteile zu bieten:- Es ist weiterhin das normale bewährte Verfahren mit einem Wahlzettel
- Der Wahlzettel/Wahlvorgang wird für Wähler mit Sichtproblemen leichter
- Da der Wahlzettel durch den Computer ausgefüllt wird, wird der Wahlzettel manuell einfacher sortierbar
- Durch die Protokollfunktion und Verwendung offener und standardisierter Protokolle kann jeder selber beobachten, ob der Wahlverlauf korrekt abläuft
- Durch die Kontrollfunktion werden manipulierte Wahlcomputer sehr schnell und sicher erkennbar (man muss nur nachzählen)
- Es ist eine sofortige Online-Hochrechnung möglich
- Es ist ein extrem schnelles vorläufiges amtliches Wahlergebnis verkündbar (nur Minuten nach der Wahl)
Szenarien
Papierstau
Erna von Kleinkleckersdorf kommt total verwirrt aus der Wahlkabine. "Der Wahlcomputer ist kaputt." meint sie nur. Sie bekommt eine andere Kabine. Als der Wahlleiter die Kabine betritt sieht er schon das Übel: Papierstau im Drucker, irgendwer hat seinen Kaugummi in den Drucker fallen lassen. Vandalismus. Die Maschine hat das Problem erkannt und die so abgegebenen Stimmen (Erna hat es mehrfach versucht) als fraglich markiert. Das weiß der Wahlleiter aber nicht, da er das nicht wissen muss. Da die Kabine ausfällt bis der Drucker repariert ist, schaltet er sie aus und wieder an und aktiviert das Auslesen des Endergebnisses. Die Maschine meldet sich anschließend als "gesperrt", da das Endergebnis bereits geliefert wurde. Sollte später jemand den Drucker reparieren, bekommt die Maschine eben wieder eine Neuprogrammierung ihrer Speicherkarte vom Leitrechner.Zu wenig Wähler
Die Maschine in der Wahlkabine ganz hinten links sucht nur selten jemand auf. Deshalb hat sie am Abend, als die Wahl vorüber ist, nur 3 aufgezeichnete Stimmen. Deshalb füllt die Maschine die Ergebnisse zu 10 Stimmen auf, markiert die Stimmen passend als "fraglich" und überträgt dies an den Leitrechner.Der Möchtegern-Hacker
Hans Hacker wähnt sich genial als er 100 mal seine Stimme ausdrucken lässt und nur eine zuhause produzierte Seite "Ätsch" in den Umschlag in die Urne wirft. Tatsächlich stellt die Wahlleitung sehr schnell fest, dass von den Geräten mehr Stimmen gezählt wurden als in der Urne sind. Dazu müssen sie nicht einmal die eingeworfenen Umschläge zählen, sondern der Leitrechner findet das beim Abgleich von gemeldeten Stimmabgaben durch die Wahlcomputer mit dem Register der registrierten Wähler heraus, das ja ebenfalls auf dem Leitrechner geführt wird. Alles was Hans Hacker damit erreicht ist, dass per Scanner nachgezählt werden muss um das bevor das offizielle Endergebnis vorliegt. Da Hans sich nicht nehmen lässt, diese Mist bei jeder Wahl zu machen, entschließt sich der Wahlkreis die Barcode-Scanner-Option zuzukaufen. Ab sofort ist auf den Umschlägen ein Barcode abgedruckt, den man dem Scanner am Gerät halten muss damit dieses die Stimmabgabe freigibt. Da so eine doppelte Stimmabgabe unmöglich wird, ist das Problem beseitigt. Hans Hacker fliegt indes auf, da er meint, er könne ja vielleicht die Stimme mehrfach abgeben indem er die 20 Wahlkabinen nacheinander aufsucht. Natürlich wird er vom aufmerksamen Wahlleiter dabei erwischt (der ihn schon in Verdacht hatte) und kassiert deshalb eine saftige Watschn. Das war zwar vom Wahlleiter ein hinten und vorne nicht korrektes Verhalten, aber es erzielt die notwendige Wirkung, Hans macht solchen Mist in Zukunft nicht mehr. Hans hat außerdem Glück, dass ihn niemand wegen versuchter Wahlmanipulation (Straftat!) belangen kann, schließlich käme die Ohrfeige dann zur Sprache.
Nebenbei: Die Wahlcomputer verständigen sich gegenseitig über das wLAN und teilen die bereits benutzten Umschlag-IDs mit und sperren so eine Mehrfachnutzung. Der Leitcomputer prüft außerdem, ob unberechtigte Umschläge zum Einsatz kommen, und spuckt dann eine Warnung aus.
Da die Umschlags-Barcodes und die Wähler und erst Recht die Stimmen nichts miteinander zu tun haben, sind diese Codes nicht für die Geheimhaltung der Wahlen relevant, können also im Klartext über ein ungesichertes offenes wLAN gehen.