Sicherheit und Wahlgeheimnis bei Online-Wahlen

Bei einer Online-Wahl bleibt die Stimme geheim, weil zwei Dinge getrennt gespeichert werden: das Wählerverzeichnis, in dem vermerkt wird, wer gewählt hat, und die digitale Urne, in der die Stimmen ohne Namen liegen. So verhindert das System doppelte Stimmabgaben, ohne zu wissen, wer was gewählt hat. Verschlüsselung, Rechtekonzepte und Protokolle sichern den Ablauf zusätzlich ab. Hier erklären wir die Grundsätze, die Restrisiken und die richtigen Fragen an Anbieter.

Fünf Anforderungen an eine geheime Online-Wahl

Grundsatz	Bedeutung online	Typische Umsetzung
Wahlberechtigung	Nur Personen im Wählerverzeichnis dürfen wählen	Persönliche Zugangsdaten, teils zweiter Faktor
Eine Person, eine Stimme	Niemand wählt doppelt	Vermerk im Wählerverzeichnis
Wahlgeheimnis	Keine Stimme lässt sich einer Person zuordnen	Getrennte Speicherung, Verschlüsselung
Integrität	Stimmen können nicht unbemerkt verändert werden	Verschlüsselung, Signaturen, versiegelte Urne
Nachprüfbarkeit	Ergebnis lässt sich kontrollieren	Prüfcodes, Protokolle, gemeinsame Auszählung

So werden Person und Stimme getrennt

Beim Login prüft das System Ihre Zugangsdaten gegen das Wählerverzeichnis. Bei der Stimmabgabe passieren zwei Dinge unabhängig voneinander: Im Verzeichnis wird vermerkt, dass Sie gewählt haben, und Ihre Stimme landet ohne Personenbezug in der Urne. Viele Systeme verschlüsseln die Stimme bereits auf Ihrem Gerät und entschlüsseln alle Stimmen erst gemeinsam bei der Auszählung. Manche verteilen den Schlüssel auf mehrere Mitglieder des Wahlausschusses, damit niemand die Urne allein vorzeitig öffnen kann.

Genau hier liegt der Unterschied zu Umfrage-Tools: Sie speichern jede Antwort als Datensatz, oft mit E-Mail-Adresse, Login oder IP-Adresse. Wie Sie diese Verbindung bei Umfragen verringern, steht unter Anonyme Umfrage erstellen. Für umstrittene Wahlen ist spezialisierte Wahlsoftware die sicherere Wahl.

Nachprüfbarkeit: Vertrauen durch Kontrolle

Bei der Urnenwahl können Wahlhelfer und Öffentlichkeit zusehen. Online braucht es andere Wege, die in der Forschung unter dem Begriff Ende-zu-Ende-Verifizierbarkeit zusammengefasst werden:

• Wie beabsichtigt abgegeben: Die Wählerin kann prüfen, dass der Stimmzettel ihre Wahl wiedergibt.
• Wie abgegeben gespeichert: Mit einem Prüfcode lässt sich kontrollieren, dass die Stimme in der Urne liegt.
• Wie gespeichert gezählt: Jede berechtigte Stelle kann nachprüfen, dass alle Stimmen korrekt ausgezählt wurden.

Viele Produkte für Vereine und Verbände setzen nur Teile davon um. Fragen Sie konkret nach.

Das BSI-Schutzprofil

Das Bundesamt für Sicherheit in der Informationstechnik hat ein Schutzprofil nach Common Criteria mit Basis-Sicherheitsanforderungen an Online-Wahlprodukte veröffentlicht (BSI-CC-PP-0037). Es ist für nicht-politische Wahlen gedacht, etwa in Vereinen, Verbänden oder Hochschulgremien. Zu den Anforderungen gehört unter anderem, dass aus der abgegebenen Stimme nicht auf die Person geschlossen werden kann, dass Wählende ihre Wahlentscheidung Dritten nicht beweisen können und dass jede wahlberechtigte Person nur einmal wählt. Produkte können gegen das Profil zertifiziert werden, POLYAS etwa gibt an, für seine Software ein solches Zertifikat erhalten zu haben. Ein Zertifikat gilt immer für eine bestimmte Version, lassen Sie sich diese nennen. Zertifizierte Produkte veröffentlicht das BSI.

Warum staatliche Wahlen auf Papier bleiben

Das Bundesverfassungsgericht hat 2009 in seiner Entscheidung zu Wahlcomputern den Grundsatz der Öffentlichkeit der Wahl betont: Die wesentlichen Schritte müssen für Bürgerinnen und Bürger ohne besondere Fachkenntnisse überprüfbar sein. Online ist das kaum zu leisten, deshalb gibt es bei Bundestags- oder Landtagswahlen keine Internetwahl. In der Schweiz ist die elektronische Stimmabgabe nur in einzelnen Kantonen und unter strengen Auflagen zugelassen. Für Vereinswahlen gilt der verfassungsrechtliche Maßstab nicht unmittelbar, die Alternative ist dort oft die Briefwahl mit eigenen Schwächen.

Restrisiken

• Endgerät: Schadsoftware auf Smartphone oder Laptop könnte theoretisch Anzeige oder Übertragung manipulieren.
• Beeinflussung zu Hause: Jemand schaut zu oder übt Druck aus. Manche Systeme erlauben eine erneute Stimmabgabe, bei der nur die letzte zählt.
• Zugangsdaten: Weitergeleitete Codes oder gemeinsame Postfächer hebeln die Berechtigungsprüfung aus.
• Administration: Geteilte Admin-Konten oder schwache Passwörter untergraben jede Technik.

Fragen an Anbieter

1. Wie genau werden Identität und Stimme getrennt? Können Administratoren einzelne Stimmen sehen?
2. Werden Stimmen verschlüsselt, und wer verwaltet die Schlüssel?
3. Wo stehen die Server, gibt es einen Auftragsverarbeitungsvertrag nach DSGVO?
4. Welche Zertifikate, Audits oder Penetrationstests sind belegt, und für welche Version?
5. Welche Prüfmöglichkeiten haben Wählende und Wahlausschuss?
6. Welches Protokoll erhält der Wahlausschuss nach der Wahl?

Was Anbieter zu diesen Punkten angeben, fasst unser Online-Wahl-Software-Vergleich zusammen. Wie Sicherheit in den Gesamtablauf passt, zeigen So funktionieren Online-Wahlen und die Anleitung zur Vorstandswahl online.