eVoting in den Niederlanden Proseminar Sprecherin: Michaela Götz 22.07.2005

Übersicht Wahlen allgemein Elektronische Wahlgeräte KOA: Remote Electronic Voting Project Europaratswahlen 2004 iVoting Wahlen an einer beliebigen Wahlstation Fazit

Wahlen allgemein Wahlen: Rechtsgültige Wahl durch: Europaparlament Zweite Kammer Vertreter auf Gemeindeebene Rechtsgültige Wahl durch: Papier Elektronische Wahlmaschinen Brief (nur für im Ausland Ansässige) Mobile Wahlstation (Ausnahmefall) Bevollmächtigten (Ausnahmefall) Allgemein: Wahlstation innerhalb der Gemeinde festgelgt (spezieller Antrag ermöglicht Abweichung) Ausnahmeregelungen falls persönl. Erscheinen nicht mögl: - Bevollmächtigter - mobile Wahlstation Proxy (ungebräuchlich) Brief (Registrierung in Den Haag erforderlich: Zuweisung eines Accesscodes)

Anforderungen an Wahlen aus dem Wahlgesetz Zugänglichkeit Prüfung der Wahlberechtigung Eine Person, eine Stimme Geheime Wahl Integrität des Systems Transparenz für den Wähler Aus dem Wahlgesetz Jede abgegebene Stimme ist rechtsgültig. Um Stimmenkauf zu verhindern, darf kein Wähler in der Lage sein, seine Wahl zu beweisen. Die geheime Wahl: Es darf kein Zusammenhang zwischen dem Wähler und seiner abgegebenen Stimme ersichtlich sein. Eine Stimme pro Wähler: Jeder Wahlberechtigte verfügt genau über eine Stimme, die auch nur einmal gezählt wird. Wahlrecht: Nur Stimmen von Wahlberechtigten werden gezählt. Integrität: Das Wahlsystem muss fehlerfrei funktionieren und das Resultat darf keinem Einfluss gegenüber außer dem des gesetzmäßigen Auszählens anfällig sein. Zugänglichkeit: Jedem Wahlberechtigten soll, so weit wie möglich, eine Wahl ermöglicht werden. Transparenz: Wähler müssen der Wahlprozedur trauen und sie verstehen können

Einführung elektronischer Wahlgeräte Rechtsgültigkeit seit 1965 Verbreitung: 90% Motivation: Schnelleres Wahlergebnis Genaueres Wahlergebnis Geringere Kosten Weniger Wahlhelfer El. Wahlgeräte (gebräuchlich: ‘03 Wahl der zweite Kammer 85% , ‘04 Europaparlament 95%)

Kriterienkatalog Verankerung im Wahlgesetz seit 1997 Anforderungen an Wahlmaschinen Speicherung von bestätigten Stimmen Speicherung redundant Unabhängigkeit von Stromausfällen, Bedienungsfehlern Fehlerrate unter 0,001% Einsatz von Wahlmaschinen Lizenzvergabe durch TNO Test der Wahlmaschinen alle 4 Jahre durch TNO Anfangs: Wenig Beachtung der Sicherheit / Verifikation Evtl : Wähler über Diskrepanz bei Speicherung informieren Ausschließlich abgegebene Stimmen speichern, die nicht verändert werden können. Funktion darf nicht durch Stromausfälle,... Beeinträchtigt werden Lizenzvergabe: Test des Prototypes & Test der Kompatibilität jeder 10. Maschine zum Prototyp (Auswertung nicht öffentlich)

NEDAP-Wahlmaschinen Systemintegrität Datenintegrität Wähleranonymität Benutzerfreundlichkeit Systemverfügbarkeit Authentifizierung der Bediener Personalintegrität Während einer Wahl ist keine Änderung an Software oder Hardware der Maschinen möglich (Systemintegrität). Stimmen werden vierfach gespeichert. Bei Diskrepanz ist nur noch ein Lesen der Stimmen möglich. Weitere Stimmen können nicht mehr abgegeben werden (Datenintegrität). Während der Wahl ist ein Auszählen der Stimmen nicht möglich, bzw. nach dem Auszählen kann der Wahlprozess nicht weitergeführt werden. Die abgegebenen Stimmen werden an einem zufällig ausgewähltem Speicherplatz gespeichert (Wähleranonymität). Gestartet werden kann das Wahlsystem nur durch zwei verschiedene physikalische Schlüssel, die im Besitz von zwei autorisierten Personen sind (Authentifizierung der Bediener). Das Benutzerinterface ist einfach strukturiert und ausführlich erklärt (Benutzerfreundlichkeit). Das Wahlsystem ist zu jeder Zeit benutzbar. Es existieren keine “tödlichen” Tastenkombinationen, wie control-alt-delete (Systemverfügbarkeit). Jede Person, die Wahlmaschinen bedient oder entwickelt, wurde von NEDAP oder der Gemeinde ausgewählt (Personalintegrität).

Kritikpunkte von Bürgern Spärliche Verifikation Keine Veröffentlichung der Software Keine Veröffentlichung TNO Berichte Keine Ausdrucke zum manuellen Nachzählen „Mal sehen, wie meine Stimme gezählt wird!“ Späte Kritik von Bürgern (seit Irland Diskussion) Zusammenhang zwischen der Stimmenzahl für eine Partei, für einen Kandidaten zu der Gesamtzahl der Abgegebenen Stimmen Kein Wähler weiß, wie seine Stimme ausgewertet wird Eigentumsrecht der Regierung <-> Öffentlichkeitsrecht. Nedap befürchtet geistigen Diebstahl. Ausdrucke könnten bei Wähler versichern, dass seine abgegebene Stimme gezählt wurde <-> kein Nachweis über die Stimme möglich (sonst evtl. Stimmenkauf).

Verbesserungsmöglichkeit Chaum zweischichtiger Ausdruck Mercuri Ausdruck hinter Glas, manuelles Nachzählen NEDAP Kamera, manuelles Nachzählen David Chaum schlägt zu oben genanntem Problem Folgendes vor: Ein Beleg soll eingeführt werden, der dem Wähler seine Wahl bescheinigt und Integrität der Wahl gewährleistet, aber gleichzeitig nicht als Nachweis anderen gegenüber dienen kann. Chaums Idee zur Realisierung ist die der Kryptographie. Der Ablauf ist der folgende: Nach der Wahl über einen Touchscreen, liefert ein Drucker-ähnliches Gerät einen Ausdruck, auf dem die gewählte Partei und der Kandidat verzeichnet sind. Ein Teil dieses Ausdrucks wird später der Beleg sein. Zunächst einmal muss der Wähler den Inhalt des Ausdrucks überprüfen und bestätigen oder einen neuen fordern. Nach einer Bestätigung folgt die Frage, ob der Wähler obere oder untere Schicht des Ausdrucks erhalten möchte. Daran wird eine Eigenschaft des Druckers deutlich, nämlich die, dass er in der Lage ist, eben obere und untere Schicht getrennt, aber abgestimmt aufeinander, zu bedrucken. Die Auswahl zwischen den beiden Schichten garantiert ein zuverlässiges System. Eine Trennung der Schichten bewirkt, dass die abgedruckte Partei und der Kandidat nun unleserlich werden. Es sind nur noch Quadrate in scheinbar zufällig verteilter Reihenfolge sichtbar. Nur ein Übereinanderlegen beider Schichten führt zur alten Lesbarkeit. Diese Vorgehensweise wird im Anhang anhand eines Beispiels verdeutlicht. Auf der gewählten Schicht steht ein Hinweis, dass dies der mit nach Hause zu nehmende Beleg ist. Die andere Schicht ist dem Wahlhelfer abzugeben, der sie umgehend vernichtet durch einen Aktenvernichter. Ein Code auf jeder Schicht garantiert, dass es sich auch wirklich um die Schicht des Wählers handelt und nicht um irgendeine. Mit einem solchen Beleg, kann dem Wähler mit einer akzeptablen Wahrscheinlichkeit versichert werden, dass seine Stimme, wenn sie korrekt ausgedruckt wurde, auch korrekt gewertet wird. Eine Möglichkeit der Überprüfung könnte das Einrichten einer web site bieten, auf der der Wähler nach Eingabe seiner Seriennummer seine ausgesuchte Schicht ausdrucken und sie mit der, die er mitgenommen hat, vergleichen kann. Zusätzlich kann der Wahlhelfer durch die Seriennummer auch leicht überprüfen, dass von der Maschine nicht zwei Belege mit der gleichen Nummer ausgedruckt wurden, die dann nur einmal gezählt werden würden. Alternativ schlägt Rebecca Mercuri folgendes vor: Ein Drucker könnte eine Wahlbestätigung anfertigen, die der Wähler durch eine Glasscheibe sehen und überprüfen kann, bevor sie mechanisch in eine Wahlbox geworfen wird. Die Auszählung erfolgt dann redundant durch die elektronische Wahlmaschine und Wahlhelfer, die die Ausdrucke auswerten. Wobei bei Diskrepanz das Auszählen durch Wahlhelfer ausschlaggebend ist. Dies würde jedoch die oben genannten Vorteile von eVoting einschränken, denn das Auszählen durch Wahlhelfer braucht Zeit und Geld und ist fehleranfällig. Generell besteht das Problem, dass Drucker unzuverlässig sind, sodass NEDAP eher dazu tendiert, eine Kamera zu installieren, die an zufällig ausgewählten Wahlstationen die Wahl aufnimmt unter Aufrechterhaltung der Geheimhaltung. Dadurch kann ein Vergleich zwischen der Auszählung durch Kameraaufnahmen und der durch die Wahlmaschine erfolgen.

Internet-/Telefon-Voting Europaparlamentswahlen ‘04 Teilnehmer 600 000 im Ausland ansässige Niederländer Registriert in Den Haag mit Accesscode Briefwahl rechtmäßig 7196 mögliche Teilnehmer 5351Stimmabgaben (4871 Internet, 480 Telefon) Gesetzesgrundlage: Experimentgesetz Evaluation Motivation: 81% Einfachheit Auswirkung auf Wahlbeteiligung: 16% Wahl aufgrund dieses Angebots Kosten: 3,5 Millionen Euro 10-tägige Wahl

Ablauf der Wahl Erzeugung eines Wahlregisters Registrierte Daten (Name, Adr., Accesscode) Wahlcode Kandidatenlisten mit eindeutigen Nummern Zusendung der Wahlunterlagen Stimmabgabe Authentifizierung durch Accesscode, Wahlcode Eingabe der Kandidatennummer Datenübertragung Auszählen Wahlregister: Verschiedene Datenbanken: - HD : Name, Adr, Accesscode - ED : Hashwert v. Accesscode, Wähler ID - VCD : Wähler ID, Wahlcode - VDD : Name, Adr, ID, Wahlcode - Kandidatenliste : Nummern (zufällig ausgewählt, aber verschieden) Stimmabgabe: Information der Kandidaten (freie Wahl), nicht-wählen mögl.

Eingabe der Kandidatennummer

Wählen an einer beliebigen Wahlstation innerhalb der Gemeinde Motivation: Umgehung eines umständlichen Antrags Neue Wahlkarte erforderlich Teilnehmer: 4 Städte: Heelen, Assen, Deventer, Nieuwegein Insg. 87568 Wähler Resultat der Evaluation: 2% - 27% Stimmenabgabe an anderer Wahlstation 2% - 6% Wahl nur wegen dieses Angebots Teil des mit 8,1 Millionen Euro ausgestattetem KOA Projektes Wahlen finden an einem Arbeitstag statt, an dem sich viele Erwerbstätige nicht in der Nähe der zugeordneten Wahlstation aufhalten.

Fazit Wählen an einer beliebigen Wahlstation: Experiment 2007 Provinzwahlen Beliebige Station innerhalb des Landes Zentrales Wahlregister Wahlkarte mit authentifizierender Eigenschaft Zuordnung von abgegebenen Stimmen zu Wahlbezirken

Vielen Dank für die Aufmerksamkeit Fragen? goetz.michaela@gmail.com