Mitternachtshacking

Die kalifornische Ministerin Debra Bowen hat die angekündigte Sicherheitsprüfung der amerikanischen Wahlmaschinen abgeschlossen. Ebenfalls wenig überraschend ist, dass keine einzige der bisher zertifizierten Wahlmaschinen grundlegende Sicherheitsanforderungen erfüllt. Soweit nichts neues.

Überraschend ist die Konsequenz mit der Frau Bowen dabei agiert. Sämtlichen(!) vier Anbietern von Wahlmaschinen wurde die Zulassung entzogen, trotz vermutlich heftigster Lobbyarbeit der Hersteller. Betroffen sind Diebold Election Systems, Hart InterCivic, Sequoia Voting Systems und Election Systems and Software. Dem letztgenannten Anbieter wurde die Zulassung für das Wahlsystem InkaVote Plus komplett entzogen, da er sich laut Rücknahmebescheid (PDF, 300 KB) geweigert hatte, sein System inklusive Source Code zur Überprüfung einem Sicherheitsteam der University of California zur Verfügung zu stellen.

Die anderen Systeme scheinen jedoch auch nicht viel besser zu sein. Die Source Code Analyse (PDF, 560 KB) der Wahlmaschine von Diebold kam zu folgenden Ergebnissen:

• Vulnerability to malicious software
• Susceptible to viruses
• Failure to protect ballot secrecy
• Vulnerability to malicious insiders

Die detaillierte Liste der „Issues“ enthält 45 Einzelsicherheitsprobleme!

Zusammenfassend lässt sich sagen, dass diese Wahlmaschinen durch Viren und Trojaner manipulierbar sind, das Wahlgeheimnis nicht ausreichend schützen und von Mitgliedern der Wahlaufsicht trivial manipuliert werden können. Erschreckend aber nicht erstaunlich. In diesem Zusammenhang noch ein paar Verweise:

• Diebold stellt ja nicht nur Wahlmaschinen sondern auch Geldautomaten her, und die waren 2003 schon anfällig für Viren und Würmer. Da scheint sich nichts verbessert zu haben.
• In den Niederlanden hat der Quasi-Monopol-Hersteller von Wahlmaschinensoftware Groenendaal versucht, die Behörden zu erpressen damit seine Software auf Nedap-Wahlmaschinen eingesetzt werden darf. Die gleichen Geräte kommen auch in Nordrhein-Westfalen zum Einsatz.
• Der deutsche Importeur der Nedap-Wahlmaschinen war über die Sicherheitsprobleme vermutlich frühzeitig informiert, gab sich jedenfalls wenig überrascht, nur erstaunt darüber, dass die Veröffentlichung so lange gedauert hat.

Und mal wieder voll an der Realität vorbei ist die Prüfung der Geräte durch die Physikalisch-Technische Bundesanstalt. Die Prüfung der Manipulationsfreiheit kann wie folgt durchgeführt werden: „Am Wahlgerät werden nach entsprechender Betätigung die gespeicherten Daten der Hardware- und der Software-Version sowie zwei Checksummen des enthaltenen Programmspeichers zum Vergleich mit den Angaben auf dem Typenschild und der Baugleichheitserklärung des Herstellers angezeigt und ausdruckt.“ Diese Ausgabe kann natürlich trivial gefälscht werden, wenn die Software erst einmal manipuliert wurde. Die PTB hat das nur leider nicht realisiert, der Prüfbericht ist faktisch ein Witz. Die PTB sollte besser bei ihrer Atomzeit bleiben, das wenigstens kriegen sie gerade noch so hin.