Anfrage: Sicherheitslücken bei Wahlsoftware

<p><em>Auszug aus der Antwort vom 28. Sep­tem­ber 2020 auf meine Anfrage zum The­ma “Sicher­heit­slück­en bei Wahlsoft­ware” (AF0835/20):</em> “In den ver­gan­genen Jahren sind schw­er­wiegende Sicher­heit­slück­en bei Wahler­fas­sungssoft­ware (z. B. “PC Wahl” der vote IT GmbH) bekan­nt gewor­den. Es sollen gegen­wär­tig min­destens 13 ver­schiedene Pro­gramme bei deutschen Kom­munen im Umlauf sein. Daher ergeben sich für mich fol­gende Fragen:</p> <h4>“1. Welche Soft­ware zur Erfas­sung und Samm­lung von Wahldat­en wird gegen­wär­tig von der Lan­deshaupt­stadt Dres­den eingesetzt?”</h4> <p>In der Lan­deshaupt­stadt Dres­den wird seit 2014 vol­lum­fänglich die mod­u­lare Wahlsoft­ware der Fir­ma IVU.elect eingesetzt.</p> <h4>“2. Ist die Lan­deshaupt­stadt Dres­den frei in ihrer Entschei­dung oder beste­hen hierzu Vor­gaben oder Vere­in­barun­gen, ggf. welche?”</h4> <p>Die Lan­deshaupt­stadt Dres­den hat im Jahr 2012 (Zuschlagserteilung im Jahr 2013) ein öffentlich­es Ver­gabev­er­fahren aus eigen­em Opti­mierungsin­ter­esse zur Ein­führung ein­er neuen Wahlsoft­ware durchge­führt, welche die Kom­plex­ität und die umfan­gre­ichen Ver­fahrens­abläufe in der Wahlor­gan­i­sa­tion und der Ergeb­nis­er­mit­tlung bei den ver­schiede­nen durchzuführen­den Wahl- und Abstim­mungsarten zielführend unter­stützt. Zu diesem Zeit­punkt wurde der Lan­deshaupt­stadt Dres­den bere­its die Ein­stel­lung des Sup­ports des bis dahin einge­set­zten Ver­fahrens (PC Wahl) angezeigt.</p> <h4>“3. Sind gegen­wär­tig oder waren in der Ver­gan­gen­heit Sicher­heit­sprob­leme bei dieser Soft­ware bekan­nt? Wenn ja, welche und was wurde bzw. wird dage­gen unternommen?”</h4> <p>Nein, es sind keine Sicher­heit­sprob­leme bekannt.</p> <h4>“4. Welche Maß­nah­men wer­den ergrif­f­en, um Manip­u­la­tio­nen durch Eingriffe/fehlerhafte Bedi­enung generell auszuschließen?”</h4> <p>Die Wahlergeb­nisse aller Urnen- und Briefwahlvorstände wer­den schriftlich in den jew­eili­gen Wahlnieder­schriften und den Schnellmelde­for­mu­la­ren fest­ge­hal­ten und unter­liegen in Vor­bere­itung der Fest­stel­lung des endgülti­gen Wahlergeb­niss­es durch den Wahlauss­chuss der reg­ulären Wahl­prü­fung. Die zur Erfas­sung einge­set­zte Wahlsoft­ware ist durch entsprechende organ­isatorische, hard­waretech­nis­che und soft­waretech­nis­che Maß­nah­men gegen Manip­u­la­tio­nen abgesichert. <strong>Organisatorische Maßnahmen</strong> Grund­sät­zlich wer­den die einge­set­zten Beschäftigten im Vor­feld geson­dert geschult und eingewiesen. Darüber hin­aus ste­hen am Wahlt­ag spezielle Ansprech­part­ner zur Ver­fü­gung. Diese Ansprech­part­ner ver­fü­gen in der Regel über mehrma­lige Ein­satzer­fahrun­gen sowie Ken­nt­nisse in der Anwen­dung der einge­set­zten Soft­ware. Die einge­set­zten und geschul­ten städtis­che Bedi­en­steten (Schnellmelder), die am Wahlabend die Wahlergeb­nisse von den Wahlvorstän­den der Urnen- und Briefwahlbezirke ent­ge­gen­nehmen, haben jew­eils einen eige­nen per­so­n­en­be­zo­ge­nen Nutzer­ac­count. Es ist damit nachvol­lziehbar, wer welche Ergeb­nisse in die Erfas­sungssoft­ware eingegeben hat. Die Verbindung zwis­chen dem Wahlvor­stand und dem Schnellmelde­platz, welch­er die Ergeb­nisse über einen Client ein­gibt, erfol­gt am Wahlabend nach dem Zufall­sprinzip. <strong>Hardwaretechnische Maßnahmen</strong> Die Erfas­sungssoft­ware WAS läuft am Wahlabend auf zwei ver­schiede­nen, physisch voneinan­der getren­nten Servern, dem Erfas­sungsserv­er, an welchem die ganzen Erfas­sungs-Clients (Schnellmelde­plätze) angeschlossen sind, und dem Rep­lika­tion­sserv­er. Die erfassten Ergeb­nisse wer­den ständig über eine sichere (ver­schlüs­selte) Verbindung vom Erfas­sungs- an den Rep­lika­tion­sserv­er über­tra­gen. Dort sind keine Clients angeschlossen, d. h., die Ergeb­nisse kön­nen dort nicht durch direk­ten Zugriff geän­dert wer­den. Eingaben und Kor­rek­turen der Wahlergeb­nisse des Wahlbezirkes wer­den pro­tokol­liert. Somit ist nachvol­lziehbar, wer, wann, welch­es Ergeb­nis eingegeben hat. Frühere, kor­rigierte Eingaben sind repro­duzi­er- und nach­weis­bar. Der Erfas­sungsserv­er und der Rep­lika­tion­sserv­er befind­en sich in einem geschützten Bere­ich und haben keine Inter­netverbindung nach außen. Eben­so haben die PCs, auf denen die Ergeb­nisse von den Schnellmeldern eingegeben wer­den, am Wahlabend keine Inter­netverbindung. Der Erfas­sungsserv­er erzeugt am Wahlabend laufend eine Ergeb­nis­präsen­ta­tion, welche auf den Web­serv­er (3. Serv­er) über­tra­gen wird. Der Web­serv­er zeigt die Ergeb­nisse dann über das Inter­net an (www.dresden.de). Von diesem Serv­er erfol­gt keine Rück­kop­plung auf den Erfas­sungs- oder Rep­lika­tion­sserv­er. Von einem unberechtigten Zugriff auf den Web­serv­er sind die anderen Serv­er NICHT betrof­fen, da diese physisch getren­nt in einem anderen Sub­netz laufen. Die Erfas­sungssoft­ware besitzt darüber hin­aus eine Rei­he von Plau­si­bil­ität­sprü­fun­gen, welche noch mal in „harte Plau­si­bil­ität­sprü­fun­gen” (Muss-Fehler) und „weiche Plau­si­bil­ität­sprü­fun­gen” (Kann-Fehler) unterteilt wer­den. Während die „harten Plau­si­bil­ität­sprü­fung” sta­tisch sind, kön­nen die „weichen Plau­si­bil­ität­sprü­fun­gen” kalib­ri­ert werden.</p> <h4>“5. Wie hoch sind die Lizenz- und Sup­port­kosten für die ver­wen­dete Soft­ware pro Jahr?”</h4> <p>Die Soft­warepflege wird pauschal vergütet. Die monatlichen Kosten belaufen sich net­to auf 1.650,00 Euro/Monat = 19.800,00 Euro/Jahr netto.</p> <table> <tbody> <tr> <td> Ser­vice-Tag vor Ort</td> <td>950,00 Euro/Tag</td> </tr> <tr> <td>für Hot­line­tage an Feierta­gen, die keine Wahlt­age sind</td> <td>1.000,00 Euro/Tag</td> </tr> <tr> <td>Unterstützung am Wahlt­ag von</td> <td>2.700,00 Euro/Tag</td> </tr> </tbody> </table> <p>(24 h — an Wahlt­a­gen ist ein Hot­li­ne­ser­vice von 07:00 Uhr des Wahlt­ages bis 07:00 Uhr des Fol­ge­tages vorge­se­hen) Ggf. kön­nen Reisekosten entste­hen, wenn bei Bedarf eine Ein­satzun­ter­stützung vor Ort geson­dert vere­in­bart wird.</p> <h4>“6. Welche Stelle ist inner­halb oder im Auf­trage der Ver­wal­tung für die Betreu­ung der Soft­ware zuständig?”</h4> <p>Für die Ver­fahrens­be­treu­ung ist der Eigen­be­trieb IT-Dien­stleis­tun­gen (EB IT) der Lan­deshaupt­stadt Dres­den zuständig.”</p>