Abo
  • IT-Karriere:

PC-Wahl: Deutsche Wahlsoftware ist extrem unsicher

Die Software für die Übermittlung von Wahlergebnissen ist nicht sicher. In einem Gutachten weisen Mitglieder des CCC auf zahlreiche Missstände hin. Einige wurden immerhin behoben.

Artikel veröffentlicht am ,
Die Software PC-Wahl hat zahlreiche Sicherheitslücken.
Die Software PC-Wahl hat zahlreiche Sicherheitslücken. (Bild: PC Wahl)

Einem Gutachten des CCC zufolge hat eine in Deutschland zur Übermittlung der Wahlergebnisse eingesetzte Software zahlreiche Sicherheitslücken, die eine Manipulation der Ergebnisübermittlung ermöglichen würde [Analyse als PDF]. Zeit Online hatte zunächst über das Gutachten berichtet.

Stellenmarkt
  1. SEG Automotive Germany GmbH, Stuttgart-Weilimdorf
  2. ING-DiBa AG, Nürnberg, Frankfurt

Die von der überwiegenden Mehrzahl der Kommunen genutzte Software PC-Wahl berücksichtigt auch in ihrer aktuellen Version 10 zahlreiche etablierte Sicherheitsverfahren nicht. Mehrere Dienstleister veröffentlichten etwa Passwörter für FTP-Server. Diese waren teils in veröffentlichten Handbüchern enthalten oder schlecht obfuskiert in Testarchiven.

Über das auf dem Server des Herstellers vorhandene Skript PHP-Obfuscator gelang es nach Darstellung des CCC außerdem, beliebige Dateien von dem Server zu extrahieren, auch wenn diese eigentlich nicht öffentlich einsehbar waren. Mit den Zugangsdaten zu den FTP-Servern hätten manipulierte Versionen des Programms verteilt werden können, weil bei der Installation keine wirksame Echtheitsprüfung der Software vorgesehen war. Über andere PHP-Skripte sei es möglich gewesen, beliebige Dateien "in den Webroot zu schreiben". Mittlerweile werden entsprechende Skripte nicht mehr akzeptiert.

Unverschlüsselte Übertragung der Ergebnisse

Auch die Übertragung der in den lokalen Wahlbüros eingegebenen Stimmen erfolgte leider unverschlüsselt und ohne Integritätsprüfung der Daten. Es besteht offenbar eine Möglichkeit, die Daten per AES zu verschlüsseln, die Option scheint aber nicht standardmäßig aktiviert zu sein.

Mit einem Update will der Hersteller die Daten künftig vor dem Absenden per GPG signieren. Bei der Implementierung der Funktion gab es nach Angaben des CCC allerdings erneut Probleme, weil die verwendeten Passwörter rausgelesen werden können. Auch die gespeicherten und übertragenen Passwörter seien aller Voraussicht nach nicht sicher - denn nach wie vor würden symmetrische Verschlüsselungsverfahren eingesetzt, die keine dauerhafte Sicherheit garantieren könnten.

Auch wenn in Deutschland keine Wahlcomputer verwendet werden, könnte die Anzahl abgegebener Stimmen bei der Übermittlung manipuliert werden. Dies gilt insbesondere für die in einigen Bundesländern übermittelten Live-Resultate im Internet. Immerhin gibt es Papierkopien der Stimmzettel, so dass eine manuelle Nachprüfung jederzeit möglich ist. In Venezuela konnten Wahlcomputer allerdings dabei helfen, eine Manipulation aufzudecken.

Grundsätzlich fordert der CCC, dass die Funktionsweise der Software unabhängig überprüft werden müsse. Unzeitgemäße Software müsse außerdem unter Berücksichtigung aktueller Anforderungen neu entwickelt werden und unabhängig auditiert sein.



Anzeige
Top-Angebote
  1. (aktuell u. a. Audio-Produkte)
  2. 49,90€ (Bestpreis!)
  3. (aktuell u. a. Palit GeForce RTX 2070 Dual V1 für 399€ + Versand und Corsair Dark Core RGB für...
  4. 87,90€ + Versand

trademe 27. Okt 2017

may be nice it is Trade Me Insurance - online insurance quotes NZ trademe Great insurance...

RipClaw 10. Sep 2017

Das ist vermutlich von Bundesland zu Bundesland unterschiedlich. Ich habe bei der...

Vorlif 08. Sep 2017

Bitte einmal den verknüpften Artikel auf Zeit Online lesen. Der CCC wurde "nur...

ibsi 08. Sep 2017

Sag doch das Du spoilerst, ich hab die aktuelle Folge noch nicht gehört^^

HilariousSushi 08. Sep 2017

Warum nicht einfach jede Stimmenabgabe in einen WORM schreiben? Beispielsweise redundant...


Folgen Sie uns
       


Proglove Scanhandschuh ausprobiert

Der Mark II von Proglove ist ein Barcode-Scanner, den sich Nutzer um die Hand schnallen können. Das Gerät ist klein und sehr leicht - wir haben es nach wenigen Minuten schon nicht mehr bemerkt.

Proglove Scanhandschuh ausprobiert Video aufrufen
Bandlaufwerke als Backupmedium: Wie ein bisschen Tetris spielen
Bandlaufwerke als Backupmedium
"Wie ein bisschen Tetris spielen"

Hinter all den modernen Computern rasseln im Keller heutzutage noch immer Bandlaufwerke vor sich hin - eine der ältesten digitalen Speichertechniken. Golem.de wollte wissen, wie das im modernen Rechenzentrum aussieht und hat das GFZ Potsdam besucht, das Tape für Backups nutzt.
Von Oliver Nickel


    Doom Eternal angespielt: Die nächste Ballerorgie von id macht uns fix und fertig
    Doom Eternal angespielt
    Die nächste Ballerorgie von id macht uns fix und fertig

    E3 2019 Extrem schnelle Action plus taktische Entscheidungen, dazu geniale Grafik und eine düstere Atmosphäre: Doom Eternal hat gegenüber dem erstklassigen Vorgänger zumindest beim Anspielen noch deutlich zugelegt.

    1. Sigil John Romero setzt Doom fort

    DIN 2137-T2-Layout ausprobiert: Die Tastatur mit dem großen ß
    DIN 2137-T2-Layout ausprobiert
    Die Tastatur mit dem großen ß

    Das ẞ ist schon lange erlaubt, aber nur schwer zu finden. Europatastaturen sollen das erleichtern, sind aber ebenfalls nur schwer zu finden. Wir haben ein Modell von Cherry ausprobiert - und noch viele weitere Sonderzeichen entdeckt.
    Von Andreas Sebayang und Tobias Költzsch

    1. Butterfly 3 Apple entschuldigt sich für Problem-Tastatur
    2. Sicherheitslücke Funktastatur nimmt Befehle von Angreifern entgegen
    3. Azio Retro Classic im Test Außergewöhnlicher Tastatur-Koloss aus Kupfer und Leder

      •  /