Beschlussvorschlag:

Die Stadtverordnetenversammlung der Universitätsstadt Marburg stellt fest, dass die bundesweit weitestgehend flächendeckend eingesetzte Wahlsoftware PC-Wahl nachweislich nicht manipulationssicher ist [1].

Der Magistrat wird gebeten, der Stadtverordnetenversammlung zu berichten:

1. Wurde die Software PC-Wahl bei Kommunalwahlen oder Bürgerentscheiden eingesetzt oder ist dies geplant?

Wenn ja,

(A)  Welche Konsequenzen zieht der Magistrat aus der jüngsten Berichterstattung?

(B)  Welche Maßnahmen wurden nach Bekanntwerden der Sicherheitslücken in der Software PC-Wahl seitens der Verwaltung ergriffen?

a)          Wurden die Passwörter geändert und werden diese jetzt geheim gehalten?

b)          Werden zukünftig unsichere Transportwege vermieden, gegebenenfalls    durch Nutzung von VPN oder Ähnlichem?

c)          Welche Sicherheitsauflagen wurden dem Hersteller von PC-Wahl gemacht?

d)          Welche Updates liefert der Hersteller?

e)          Wie ist die sichere Verteilung der Software geplant?

f)          Wird zum Download in Zukunft https mit einem vertrauenswürdigen Zertifikat eingesetzt?

g)          Wird die Software neu konzipiert und zukünftig digital signiert?

h)          Ist geplant für die Übertragung der Wahlergebnisse zeitgemäß Zwei-Faktor-Authentifizierung einzusetzen?

(C)  Ist es richtig, dass ekom21 der verantwortliche Dienstleister ist und falls nicht, wer zeichnet verantwortlich?

(D)  Inwieweit beeinflusst die jüngste Berichterstattung die Einschätzung des Magistrats bzgl. der Zuverlässigkeit und Kompetenz des Dienstleisters?

(E)  Bezieht die Kommune weitere Software von dem IT-Dienstleister ekom21?

a)        Wenn ja, welche Software wird bezogen und liegt für diese Software ein Sicherheitszertifikat vor?

b)        Wenn nein, wie stellt der Magistrat sicher, dass die Software keine eklatanten Sicherheitslücken aufweist?

Wenn nein,

(A)  Welche Software wird eingesetzt und wann wurde sie das letzte Mal unter sicherheitstechnischen Aspekten einer Überprüfung unterzogen?

(B)  Von wem wurde die Software in welcher Weise geprüft und mit welchem Ergebnis?

(C)  Falls keine sicherheitstechnische Überprüfung stattgefunden hat, ist diese geplant?

a)      Wenn ja, zu welchem Zeitpunkt und durch wen?

b)      Wenn nein, warum nicht?

2. Welche Kosten entstehen der Stadt Marburg jährlich durch den Kauf, den Einsatz und die Wartung der verwendeten Wahlsoftware?

3. In welchem Verhältnis stehen die bislang jährlich aufzubringenden Kosten zu einer auch vom CCC geforderten, quelloffenen Neuentwicklung (der Haushalt der Stadt Kassel weist für 2017 allein für PC-Wahl Kosten in Höhe von 64.000,- € aus)?

Der Magistrat wird gebeten, dafür Sorge zu tragen, dass in der Universitätsstadt Marburg bei der Bundestagswahl das Programm PC-Wahl in seiner derzeit mangelhaften Ausgestaltung nicht zum Einsatz kommt. Darüber hinaus setzt sich der Magistrat auch bei den übergeordneten Ebenen für ein Abstellen seiner Verwendung ein.

Begründung:

Unsachgemäß durchgeführte oder gar vorsätzlich manipulierbare Wahlen gefährden in massivster Weise unser demokratisches System.

Laut Angaben des Vertriebspartners ekom21 werden in Hessen seit vielen Jahren „sämtliche Wahlen mit PC-Wahl erfasst und ausgewertet“ [4]. Angesichts der im Detail durch den Chaos Computer Club (CCC) aufgedeckten eklatanten Sicherheitsmängel der Software PC-Wahl [1] stellt sich die Frage, inwieweit bereits durchgeführte Wahlen manipuliert worden sein könnten und was zu unternehmen ist, um anstehende Wahlen entsprechend abzusichern.

Zudem ist unklar, auf welcher zweifelhaften Grundlage das Bundesministerium für Sicherheit in der Informationstechnik (BSI) das Unternehmen ekom21 nach ISO 27001 zertifiziert hat [5]. Spätestens die Tatsache, dass PC-Wahl die Wahlergebnisse auf Wunsch auch noch per Standard-eMail versendet [6], hätte die Zertifizierungsstelle wohl stutzig machen müssen. Die Vermutung, ekom21 sei möglicherweise nur Vertriebspartner, entpuppt sich laut Angaben auf der ekom21-Webseite eindeutig als unzutreffend, da dieser Dienstleister das gesamte Wartungspaket von Administration bis hin zum Datenschutz anbietet [4].

Die Reaktion des derzeitigen Chefs des BSI auf die Analyse der Sicherheitsmängel durch den CCC [3] gibt darüber hinaus erheblichen Anlass zur Sorge, ob und inwieweit minimale Sicherheitsstandards überhaupt ernst genommen werden: Der Einsatz eines elektronischen Wahlsystems soll laut Schönbohm (trotz Urteils des Bundesverfassungsgerichtes aus dem Jahr 2009 gegen Wahlcomputer) weiter vorangetrieben werden.

Die Universitätsstadt Marburg muss daher zeitnah Vorkehrungen treffen, ordnungsgemäß Wahlen durchführen und gegen Manipulation schützen zu können.

Quellen:

[1] CCC deckt am 07.09.2017 detaillierte Sicherheitslücken in PC-Wahl auf:

http://www.ccc.de/de/updates/2017/pc-wahl

[2] Zeit-Artikel vom 07.09.2017:

http://www.zeit.de/digital/datenschutz/2017-09/bundestagswahl-wahlsoftware-hackerangriff-sicherheit-bsi-bundeswahlleiter/komplettansicht

[3] BSI-Chef propagiert elektronisches Wahlsystem trotz PC-Wahl-Sicherheitslücken:

http://www.spiegel.de/netzwelt/netzpolitik/bundestagswahl-bsi-bringt-elektronische-wahl-ins-gespraech-trotz-sicherheitsluecken-a-1167218.html

[4] Produktbeschreibung von PC-Wahl auf ekom21-Webeseite:

https://www.ekom21.de/Produkte/Allgemeine_Verwaltung/Wahlauswertung/PC-Wahl/Seiten/default.aspx

[5] ekom21 durch BSI nach ISO 27001 zertifiziert:

https://www.ekom21.de/ekom21/Zertifizierungen/Seiten/Zertifikat_BSI.aspx

[6] Versand von PC-Wahl-Wahldateien per Standard-eMail:

https://www.ekom21.de/wahlen/faq/Seiten/PC_Wahldateien_versenden.aspx

Dr. Michael Weber