-
Zur
Durchführung
von Wahlen werden zunehmend Wahlcomputer eingesetzt. Gleichzeitig
werden gegen deren Einsatz aber erhebliche Bedenken vorgebracht.
Gegenstand der Bedenken sind die Intransparenz der Abwicklung, also
eine fehlende Überschaubarkeit
des Ablaufs für
den Bürger,
Zweifel an der Manipulationssicherheit und vor allem das fast völlige Fehlen
der Möglichkeit
einer nachträglichen
Kontrolle.
-
In
einem ausführlichen
Artikel wurden in der Frankfurter Allgemeinen Zeitung die Bedenken
gegen den Einsatz von Wahlcomputern dargestellt (Nicolas Wolz, E-Wahlen – Wie sicher
ist eine Abstimmung per Computer? FAZ vom 03.01.2007, S. 1–2). Starke
Bedenken entstehen vor allem dadurch, dass das Verfahren nicht absolut
zweifelsfrei und sicher vor fremden Eingriffen ist. Es ist eben
nicht ausreichend, wenn dem Anschein nach bisher bei Wahlen in Deutschland
alles ordnungsgemäß verlaufen
ist. Wegen unzureichender nachträglicher
Prüfungsmöglichkeiten
wären manipulative
Eingriffe voraussichtlich unentdeckt geblieben. Nach dem Artikel
in der FAZ ist davon auszugehen, dass die Frage des Einsatzes von
Wahlcomputern als Wahlprüfungsbeschwerde
dem Bundesverfassungsgericht vorgelegt werden wird.
-
Auf
zahlreiche unterschiedliche Möglichkeiten
für manipulative
Eingriffe weist ein Artikel in der Fachzeitschrift Informatik Spektrum
hin (Constanze Kurz, Frank Rieger, NEDAP-Wahlcomputer – Manipulationsmethoden
an Hard- und Software; Informatik Spektrum 2007, S. 313–321). Bei
dem NEDAP-Wahlcomputer handelt es sich um einen in Deutschland eingesetzten
Wahlcomputer. Als Fazit wird in dem Artikel u. a. festgestellt: "Nach den nun bekannten
Erkenntnissen bleibt zu fordern, dass die Verwendungsgenehmigung
nicht mehr erteilt sowie die Bauartzulassung zurückgenommen wird."
-
Einen Überblick über am Markt
befindliche Wahlcomputer bietet Druckschrift D5: CCCB: Wahlcomputer,
Version vom 16. Nov. 2007, Seiten 1–11; Internet https://berlin.ccc.de/mediawiki/index. php?title
= Wahlcomputer & direction
= prev & oldid
= 6262.
-
Weil
in den Geräten
ESD1, ESD2 und ES3B der Firma Nedap "die Stimmen ausschließlich elektronisch
im Gerät
(bzw. auf dem Stimmenmodul) gespeichert werden, ist es nachträglich nicht
möglich, das
Wahlergebnis zu überprüfen. Jede
Manipulation der elektronisch gespeicherten Stimmen muss daher unentdeckt
bleiben" (Seiten
5/6 der Druckschrift D5). Für
die Wahlcomputer des US-amerikanischen Wahlcomputer-Hersteller ES & S gelten die
gleichen Bedenken: "Ebenso
wie die Nedap-Wahlgeräte speichern
die ES & S-Computer
die Stimmen ausschließlich
elektronisch." (Seite
9 der Druckschrift). Die Wahlcomputer beider Firmen verfügen also über keine
geräteunabhängige Möglichkeit,
das Wahlergebnis zu überprüfen und
haben damit einen entscheidenden Sicherheitsmangel.
-
Ein
anderes Verfahren bedient sich eines "Digitalen Wahlstiftes". Bei Einsatz dieses
Verfahrens müssen
Wahlzettel gedruckt und von dem Wähler/der Wählerin ausgefüllt werden.
Der Digitale Wahlstift erkennt über
eine integrierte Logik Markierungen auf dem Stimmzettel und ermöglicht dadurch eine
automatische elektronische Stimmerfassung. Der Aufwand bei Anwendung
des Digitalen Wahlstifts ist ungewöhnlich hoch. Gleichzeitig bringt
die Druckschrift D5 (Seite 8) gegen dessen Einsatz den sehr harten
Einwand: "Der digitale
Wahlstift ist die einzige "Wahlmaschine", bei der sich betrügen lässt, ohne das
Gerät manipulieren
zu müssen" Keiner der in der Druckschrift
D5 angeführten
Wahlcomputer verfügt über eine
Steuerleitung, die den Wahlcomputer mit dem Wahlleiter/der Wahlleiterin
verbindet und sicherstellt, dass jede vorläufige Wahlentscheidung erst nach
einer entsprechenden Anweisung, die über die Steuerleitung eingegeben
werden muss, als endgültige
Wahlentscheidung in den Speicher des Wahlcomputers übernommen
wird. Erst mit dieser technischen Voraussetzung kann ein sicherer
Wahlablauf organisiert werden. Die erforderliche Voraussetzung für eine den
Sicherheitsanforderungen entsprechende Organisation des Wahlablaufs
ist daher bei allen in D5 angeführten
Wahlcomputern nicht gegeben.
-
Nach
der amerikanischen Patentanmeldung US 2006/0138226 A1 "PRECINCT VOTING SYSTEM" (Druckschrift 1,
D1) soll den Sicherheitsbedenken vor allem durch eine sehr detaillierte
Systemprotokollierung begegnet werden (Patentansprüche 1, letzter
Unterpunkt, 4, 5, 6, 7). Dadurch soll eine umfassende nachträgliche Kontrolle
ermöglicht
werden. Damit wird zweifellos auch die Sicherheit des gesamten Ablaufs
der Wahl erhöht.
-
Bei
einem Einsatz im Zusammenhang mit Wahlen hat eine Detailprotokollierung
aller Ereignisse aber entscheidende Nachteile. Es besteht die Gefahr,
dass die Anonymität
der Wahl eingeschränkt wird – jedenfalls
könnten
entsprechende Bedenken in der Öffentlichkeit
nur schwer ausgeräumt
werden. Außerdem
ist die konkrete nachträgliche
Kontrolle mit erheblichem Aufwand verbunden; sie ist nur von Fachleuten
durchführbar,
und der Bürger
kann die Glaubwürdigkeit
einer solchen Auswertung von Systemprotokollen nicht beurteilen.
Auf diesem Weg ist daher nur ein sehr geringer Gewinn an Vertrauenswürdigkeit
für die
Wahl erreichbar.
-
Ebenso
wie bei der Vorrichtung nach der Erfindung wird bei D1 jede einzelne
Eingabe zunächst als
vorläufige
Wahlentscheidung in einem Zwischenspeicher abgelegt (0113). Sobald
die Eingabe vollständig
ist, wird sie durch den Wähler/die
Wählerin an
deren Bildschirm (LCD DRE) überprüft (0114). Falls
das Ergebnis der beabsichtigten Wahlentscheidung entspricht, wird
die endgültige
Eingabe durch den Wähler/die
Wählerin
ausgelöst
(Cast Ballot Button, 0114–0115).
Dadurch wird die Wahlentscheidung endgültig und auch als endgültige Entscheidung
im Zentralrechner (JBC) fixiert (0099, 0106, 0110, 0115, Patentanspruch
1).
-
Ein
Stimmzettel wird nicht ausgedruckt. Ein solcher Ausdruck wäre auch
nicht möglich,
da der Drucker zum Zentralrechner gehört (2,).
Der Ausdruck eines ausgefüllten
Stimmzettels erfordert Vertraulichkeit und scheidet daher bei diesem
Konzept aus. Er wäre
auch im Rahmen des vorgesehenen Gesamtablaufs der Wahl überflüssig. Der
zentrale Drucker ist nur für
allgemeine Aufgaben vorgesehen (0037). Die Eingabestation der Wählerin/des Wählers (LCD
DRE) verfügt
nicht über
einen Drucker (3).
-
Eine
Steuerleitung wie in der Vorrichtung nach der Erfindung, über die
die Wahlleiterin/der Wahlleiter veranlassen könnte, dass eine vorläufige Wahlentscheidung
als endgültig übernommen
wird, existiert in D1 nicht. Die entsprechende Eingabe (Drücken des
Cast Ballot Button) muss durch den Wähler/die Wählerin an deren Eingabestation
(LCD DRE) erfolgen.
-
Druckschrift
D1 bietet zwar durch die Protokollierung des Ablaufs der Wahl (Patentansprüche 1, 4,
5, 6 und 7) gewisse Kontrollmöglichkeiten
nach Abschluss der Wahl. Auch überprüft der Wähler/die Wählerin jede
Eingabe durch eingehende Sichtkontrolle (4,
P442). Dennoch gibt es aber bei D1 keine Möglichkeit, mit absoluter Sicherheit
und unmanipulierbar nachträglich
nachzuweisen, dass die gespeicherten Daten mit den getroffenen Wahlentscheidungen
ausnahmslos identisch sind. Es ist allgemein bekannt, dass eine
Manipulation programmtechnischer Sicherungen nicht mit absoluter
Sicherheit ausgeschlossen werden kann. Erschwerend kommt bei der
Verwendung von Computern im Rahmen von Wahlen hinzu, dass der Einsatz
der Geräte
in einer organisatorisch und technisch wenig gesicherten Umgebung
erfolgt. Selbst bei grollen und sicher betriebenen Rechenzentren
lassen sich aber Verarbeitungsfehler nicht ausschließen.
-
Völlig anders
ist die Situation bei der Vorrichtung nach der Erfindung. Die Wahlzettel
enthalten die Wahlentscheidungen der Wählerinnen und Wähler im
Klartext. Sie sind von diesen überprüft und persönlich in
die Wahlbox eingeworfen worden. Es besteht daher kein Zweifel, dass
der Inhalt der Wahlbox identisch ist mit den Wahlentscheidungen
der Wählerinnen
und Wähler.
Nach Abschluss der Wahl wird die Wahlbox ohne weiteren Zugriff unmittelbar
versiegelt. Die abgegebenen Wahlzettel bleiben dann in der versiegelten
Wahlbox unmanipulierbar archiviert. Eine absolut sichere nachträgliche Kontrolle
des Wahlergebnisses ist daher noch zu jedem späteren Zeitpunkt nach der Wahl
möglich.
-
Um
diesen sehr hohen Grad der Sicherheit zu erreichen, muss eine Funktionstrennung
zwischen dem Wähler/der
Wählerin,
die den Wahlzettel in die Wahlbox einwerfen und einer anderen Instanz
realisiert werden, die bestätigt,
dass der Einwurf ordnungsgemäß erfolgt
ist. Diese andere Instanz ist der Wahlleiter/die Wahlleiterin. Es
ist ein bei Organisationsfragen allgemein bekanntes und anerkanntes Prinzip,
dass Funktionstrennungen die Sicherheit von Abläufen wesentlich erhöhen können. In
Weyer/Pütter,
Organisation und Technik der Datensicherung – Empfehlungen aus der Kontrollpraxis,
1983, DATAKONTEXT-Verlag, ISBN 3-921 899 59-1 wird z. B unter Tz.205.
gesagt: "Funktionstrennungen
stellen wichtige und sehr wirksame Sicherheitsmaßnahmen dar. Durch sie wird
eine gegenseitige interne Kontrolle verwirklicht."
-
Eine
Funktionstrennung wirkt ähnlich
wie eine real eingerichtete Kontrollinstanz. Sie erhöht die Sicherheit,
dass entsprechend den bestehenden Vorschriften verfahren wird. Die
Steuerleitung, die die Vorrichtung nach der Erfindung mit dem Wahlleiter/der
Wahlleiterin verbindet, ist die technische Grundlage für eine Funktionstrennung,
die einen ordnungsgemäßen Wahlablauf
gewährleisten
soll. Die Steuerleitung ist daher von zentraler Bedeutung für die außergewöhnliche
Sicherheit, die mit der Vorrichtung nach der Erfindung gewährleistet
werden kann.
-
Einen
anderen Weg wählen
die amerikanische Patentanmeldung US 2002/0072961 A1 (Druckschrift
2, D2) und das darauf beruhende Patent
US 6,769,613 B2 "AUTOVERIFYING VOTING SYSTEM
AND VOTING METHOD" (Druckschrift
3, D3). Ziel ist hier vor allem, dem Wähler/der Wählerin einen Wahlschein auszudrucken,
der die Wahlentscheidung des Wählers/der
Wählerin
enthält
und optisch dem Bild des Wahlscheins entspricht, das dem Wähler/der
Wählerin
in Vorveröffentlichungen
vermittelt wurde. Hier geht es um Fragen der Akzeptanz einer computergestützten Wahl.
(D3, Spalte 1, Zeile 61–65: ".... auto-verification
meaning here the process by which the voter has the opportunity
and the responsibility to verify that the ballot with which he or she
votes shows the votes as he or she intended.")
-
Nach
(vorläufigem)
Abschluss aller Wahlentscheidungen ist daher bei der Patentanmeldung
(D2) und bei dem Patent (D3) der Druck eines ausgefüllten Wahlzettels
vorgesehen. Die Wahlentscheidungen werden in einem Zwischenspeicher
abgelegt. Der Wähler/die
Wählerin überprüft, ob der
Inhalt des ausgedruckten Wahlzettels mit ihrer Wahlabsicht übereinstimmt.
Es ist auch die Möglichkeit
eines anschließenden
maschinellen Vergleichs von Wahlzettel und Zwischenspeicher vorgesehen
(z. B. Patent D3, Anspruch 1d).
-
Abschließend gibt
aber der Wähler/die
Wählerin
den Wahlschein endgültig
ab. Die Wahlentscheidung in dem Zwischenspeicher wird dadurch zur
endgültigen
Entscheidung (D3, Spalte 5, Zeilen 26–34).
-
Ein
den Abschluss der Wahl sicherndes fest geregeltes Eingreifen des
Wahlleiters/der Wahlleiterin ist nicht vorgesehen. Eine Steuerleitung
zum Wahlleiter/zu der Wahlleiterin, wie sie die Vorrichtung nach
der Erfindung vorsieht, gibt es daher bei D2 und D3 nicht.
-
Die
Wahl mit dem ausgedruckten Wahlschein ist bei den Wahlverfahren
D2 und D3 erheblich umständlicher
als eine Wahl mit der Vorrichtung nach der Erfindung. Dem Wähler/der
Wählerin
werden bei D2 und D3 mit dem ausgedruckten Wahlschein mehrere komplexe
Handlungen zugemutet, während
bei der Vorrichtung nach der Erfindung nur ein abschließender Gang
zur Wahlbox erfolgt. Durch das umständlichere Vorgehen wird die
Wahl bei den Wahlverfahren D2 und D3 aber auch störungsanfällig. Der
Wähler/die
Wählerin
gibt selbst den Wahlschein zu Kontrollzwecken in ein Lesegerät ein (D3, Spalte
5, Zeilen 20–29),
und später
wird der erneut abgegebene Wahlschein noch einmal optisch gelesen
(D3, Spalte 5, Zeilen 26–34).
-
Die
amerikanische Patentanmeldung US 2007/0051805 A1 "SECURE ELECTRONIC
VOTING DEVICE" (Druckschrift4,
D4) ist in ihrer Zielrichtung vergleichbar der Vorrichtung nach
der Erfindung. Angestrebt wird vor allem, eine zuverlässige Kontrolle nach
Abschluss der Wahl zu ermöglichen
(Absätze 003,
Sätze 2
und 3, 0017, letzter Satz, 0019, 0020, 0022, 0023). Dies Ziel soll
erreicht werden, indem die Berechtigung des Wählers und seine Wahlentscheidungen
in verschlüsselter
Form auf einem nicht löschbaren
Speicher gespeichert werden. Zusätzlich wird
jeder einzelne Speichervorgang programmgesteuert geprüft, indem
die gespeicherten Daten gelesen und maschinell mit den zu speichernden
Daten verglichen werden ("write
confirmation", 1,
Nr. 135 und Absatz 0053, 2, Nr. 230
und Absatz 0062).
-
Die "write confirmation" in D4 ist ein programminterner
Ablauf ohne äußere Veranlassung. Sie
ist nur eine zusätzliche
programminterne Schreibkontrolle. Mit der Steuerleitung der Vorrichtung
nach der Erfindung, die diese Vorrichtung mit dem Wahlleiter/der
Wahlleiterin verbindet, ist sie nicht vergleichbar. Die Steuerleitung
der Vorrichtung nach der Erfindung ist eine Datenverbindung zwischen
der Vorrichtung und dem Wahlleiter/der Wahlleiterin, die diesem/dieser
ermöglicht,
der Vorrichtung mitzuteilen, dass gerade ein Wahlschein ordnungsgemäß in die
Wahlbox eingeworfen wurde.
-
D4
ermöglicht
eine spätere
Kontrolle, ob in die Auswertung der Wahlentscheidungen die Daten eingegangen
sind, die während
des Wahlvorgangs gespeichert wurden. D4 ermöglicht es aber nicht zu kontrollieren,
ob vor der Aktion 130 in 1 der Wählerwille durch einen Programmfehler
oder eine Manipulation verfälscht
wurde. Eine solche Verfälschung würde dazu
führen,
dass falsche Daten als Wahlentscheidungen gespeichert werden. Die "write confirmation" könnte diese
Verfälschung
nicht aufdecken. Sie würde
lediglich bestätigen,
dass entsprechend der (falschen) Vorgabe gespeichert wurde. Der Nachweis,
dass die gespeicherten Daten mit den Wahlentscheidungen des Wählers/der
Wählerin übereinstimmen,
kann bei D4 also insoweit nicht geführt werden.
-
Anders
ist die Situation bei der Vorrichtung nach der Erfindung. Den Wahlzettel,
also die Wahlentscheidungen, hat der Wähler/die Wählerin selbst in die Wahlbox
eingeworfen. Der Inhalt der Wahlbox ist damit authentisch. Bei späteren Kontrollen
kann auf diese unverfälschbaren
Wahlentscheidungen Bezug genommen werden.
-
Vertrauenswürdigkeit
und Sicherheit einer Wahl unter Einsatz von Wahlcomputern bedürfen besonderer
Maßnahmen.
Erforderlich sind technische und organisatorische Maßnahmen,
die sich gegenseitig stützen.
Von hervorragender Bedeutung ist dabei die Möglichkeit der Kontrolle. So
wird in Weyer/Pütter,
Organisation und Technik der Datensicherung – Empfehlungen aus der Kontrollpraxis,
1983, DATAKONTEXT-Verlag, ISBN 3-921 899 59-1 unter Tz. 7 ausgeführt: "Nur über interne
Kontrollen kann eine datenverarbeitende Stelle sicherstellen, dass auch
entsprechend den organisatorischen Regelungen verfahren wird. ..."
-
Die
Technik muss also so ausgestaltet werden, dass sie eine mit möglichst
einfachen Mitteln realisierbare Kontrolle ermöglicht. Bisher völlig unzureichend
geregelt sind bei einem Einsatz von Wahlcomputern die Möglichkeiten
nachträglicher
Kontrollen, also die Möglichkeiten,
Kontrollen durchzuführen, wenn
die Wahl vorbei ist. Nach Abschluss der Wahl bleibt bisher vor allem
die Möglichkeit
einer Programmanalyse oder einer Auswertung von Systemprotokollen,
soweit diese angefertigt wurden, um festzustellen, ob ein manipuliertes
Programm eingesetzt wurde. Der Aufwand ist hoch, die Durchführung ist
ausschließlich
eine Angelegenheit für
Spezialisten, und es wird immer die Frage bleiben, ob eine eventuelle
Manipulation vor der Kontrolle – durch
personellen Eingriff oder sogar durch das Programm selbst – wieder
aufgehoben wurde
-
Eine
Lösung
bietet hier die Vorrichtung nach der Erfindung. Sie ermöglicht es,
mit praktisch absoluter Sicherheit jederzeit später festzustellen, ob die ermittelten
Zahlen dem bei der Wahl abgegebenen Wählerwillen entsprechen. Im
Verhältnis
zu dem erzielbaren Gewinn an Sicherheit ist der dafür erforderliche
Aufwand gering.
-
Die
Vorrichtung nach der Erfindung arbeitet zur Sicherung der Vertrauenswürdigkeit
mit sehr einfachen technischen Mitteln. Es wird ein ausgedruckter
Wahlzettel, der den Wählerwillen
im Klartext enthält
und der von dem Wähler/der
Wählerin überprüft worden
ist, in die Wahlbox eingeworfen, und die Wahlbox wird nach Abschluss
der Wahl ohne weiteren Zugriff versiegelt. Jede Manipulationsmöglichkeit scheidet
hier aus. Für
den Bürger
ist daher unmittelbar einsehbar, dass eine Manipulation des in dem Speicher
für endgültige Wahlentscheidungen
und des daraus in der Vorrichtung nach der Erfindung errechneten
Wahlergebnisses jederzeit später
durch Vergleich mit dem Inhalt der Wahlbox nachweisbar sein wird.
Die Wahlzettel mit dem darauf aufgezeichneten Wählerwillen werden ja unverfälschbar
in der versiegelten Wahlbox während
beliebig langer Zeträume
aufbewahrt.
-
Die
Vorrichtung nach der Erfindung ist damit geeignet, rechtliche und
emotionale Einwände
gegen den Einsatz von Wahlcomputern zu beseitigen. Gleichzeitig
bleiben alle Vorzüge,
die mit dem Einsatz von Wahlcomputern verbunden sind, erhalten.
Diese Vorzüge
liegen vor allem im Bereich der Durchführung der Wahl. Die Wahlvorbereitung
wird erheblich vereinfacht, Wahlzettel brauchen nicht gedruckt und verteilt
zu werden. Die Wahlergebnisse für
ein Wahllokal liegen wenige Minuten nach dessen Schließung vor.
Zählfehler
sind ausgeschlossen, die Ergebnisse sind insoweit endgültig.
-
Die
Vorrichtung nach der Erfindung ermöglicht eine Durchführung der
Wahl, bei der die Vorzüge der
Automationsunterstützung
voll zur Geltung kommen. Es entfallen aber die bisherigen Einwände gegen
den Einsatz von Wahlcomputern. Die endgültige Wahlentscheidung, die
eigentliche Wahl, erfolgt durch Einwurf eines (ausgedruckten) Wahlzettels
unter Aufsicht des Wahlleiters/der Wahlleiterin. Die Abgabe der
zutreffenden Wahlentscheidung ist damit für den Wähler/die Wählerin erkennbar sicher. Auch nach
Abschluss der Wahl ist durch Überprüfung der Stimmzettel
und erneute Auszählung
jederzeit prüfbar,
ob die Auswertung ordnungsgemäß erfolgt
ist.
-
Erreicht
wird das Ziel durch Einsatz einer Vorrichtung zur automationsgestützten Durchführung einer
Wahl (Vorrichtung) gemäß der Erfindung.
Nach Patentanspruch 1 verfügt
die Vorrichtung über
eine Verarbeitungslogik, die es ermöglicht, einen Ablauf entsprechend
den Anforderungen der Wahl sicherzustellen. Sie ist mit einem Speicher
versehen, der zum Speichern der für die Wahl vorgegebenen Alternativen
und der in den Wahlvorgängen
getroffenen vorläufigen
und endgültigen
Wahlentscheidungen dient. Sie verfügt über eine Eingabevorichtung, über die eine
Wahlentscheidung eingegeben werden kann sowie über einen Drucker zum Ausdrucken
der eingegebenen Wahlentscheidungen.
-
Nach
Patentanspruch 1 wird die Wahlentscheidung des Wählers/der Wählerin nach Eingabe über die
Eingabevorrichtung nicht sofort als endgültige Entscheidung übernommen.
Sie wird vielmehr zunächst
als vorläufige
Wahlentscheidung in einem Speicher für vorläufige Wahlentscheidungen abgelegt.
Gleichzeitig wird durch einen Drucker in der Wahlkabine ein Ausdruck
dieser vorläufigen
Wahlentscheidung, ein Wahlzettel, erstellt. Dieser Wahlzettel wird
von dem Wähler/der
Wählerin überprüft.
-
Falls
der Inhalt des Wahlzettels mit dem Wählerwillen übereinstimmt, wird der Wahlzettel
anschließend
durch den Wähler/die
Wählerin
unter Aufsicht des Wahlleiters/der Wahlleiterin in die Box für den Einwurf
der Wahlzettel zur endgültigen
Wahlentscheidung (Wahlbox) eingeworfen. Dieser Einwurf ist die eigentliche
Wahl. Deren Endgültigkeit
wird der Vorrichtung in einem getrennten Vorgang durch den Wahlleiter/die
Wahlleiterin über
die Steuerleitung mitgeteilt. Diese Mitteilung bewirkt, dass die
vorläufige Wahlentscheidung
als endgültige
Wahlentscheidung in den Speicher für endgültige Wahlentscheidungen übernommen
wird.
-
Organisatorisch
ist daher zu regeln, dass der Wahlleiter/die Wahlleiterin der Vorrichtung über die Steuerleitung
die Anweisung erteilt, die noch im Speicher für vorläufige Wahlentscheidungen abgelegte vorläufige Wahlentscheidung
als endgültige
Wahlentscheidung zu übernehmen.
Diese Anweisung ist dann und nur dann zu erteilen, wenn der Wähler/die Wählerin vorher
den Wahlzettel in die bereitstehende Wahlbox eingeworfen hat. Damit
ist sichergestellt, dass der Speicher für endgültige Wahlentscheidungen ein
vollständiges
inhaltliches Abbild der in die Wahlbox eingeworfenen endgültigen Wahlentscheidungen
enthält.
-
Anspruch
2 bestimmt, dass der der Wahlkabine zugeordnete Teil des Speichers
für vorläufige Wahlentscheidungen
gelöscht
wird bei Übernahme von
dessen Inhalt als endgültige
Wahlentscheidung.
-
Nach
Anspruch 3 gibt es für
jede Wahlkabine einen Kabinenschlüssel, der in der Wahlkabine
erforderlich ist, um die Eingebevorrichtung benutzen zu können und
den Drucker zu aktivieren und der bei der Eingabe einer Anweisung über die
Steuerleitung bestimmt, auf welche Wahlkabine sich diese Anweisung bezieht.
Dadurch wird insbesondere sichergestellt, dass keine Verwechslungen
auftreten können,
falls mehrere Wahlkabinen eingerichtet sind.
-
Nach
Anspruch 4 wird jeder Wahlzettel mit einem eindeutigen Kennzeichen
versehen, das keine Zusatzinformation enthält, insbesondere keine Rückschlüsse auf
Zeitpunkt oder Reihenfolge der Eingaben ermöglicht. Das Kennzeichen dient
der Durchführung
von Kontrollen nach Abschluss der Wahl. Um die Anonymität des Wahlvorgangs
nicht zu gefährden,
muss dann allerdings gewährleistet
sein, dass das Kennzeichen keine Rückschlüsse auf Zeitpunkte oder Reihenfolge
der Eingaben ermöglicht.
-
Nach
Anspruch 5 sollen die Kennzeichen maschinenlesbar gedruckt werden.
Mit diesem Anspruch soll die Durchführung späterer Kontrollen erleichtert
werden. Nach Anspruch 6 sollen auch die Wahlzettel maschinenlesbar
gedruckt werden. Auch damit werden spätere Kontrollen erleichtert.
-
Nach
Anspruch 7 werden die Wahlentscheidungen in der Vorrichtung jeweils
zusammen mit den ihnen auf den Wahlzetteln zugeordneten Kennzeichen
gespeichert. Das bedeutet, in der Vorrichtung wird ein vollständiges logisches
Abbild der Wahlzettel gespeichert. Damit sind nach Abschluss der
Wahl besonders weitgehende Kontrollen möglich, ob Durchführung und
Speicherung ordnungsgemäß waren.
-
Nach
Anspruch 8 wird dem Speicher für
endgültige
Wahlentscheidungen nach Abschluss der Wahl eine Kennzahl als elektronische
Unterschrift zugeordnet, die jede Änderung des Inhalts erkennbar macht.
Diese Kennzahl stellt sicher, dass eine unbemerkte nachträgliche Änderung
des Inhalts des Speichers für
endgültige
Wahlentscheidungen unmöglich gemacht
werden kann.
-
Nach
Anspruch 9 wird nach Abschluss der Wahl über einen der angeschlossenen
Drucker ein Ausdruck erstellt, der das Wahlergebnis und die Kennzahl
nach Anspruch 8 enthält,
falls diese errechnet wurde. Dieser Ausdruck ist von den Verantwortlichen
zu unterzeichnen. Falls eine Kennzahl errechnet wurde, ist es damit
unmöglich,
das Wahlergebnis zu verfälschen,
ohne eine Spur zu hinterlassen.
-
Nach
Anspruch 10 kann der Speicher für endgültige Wahlentscheidungen
der Vorrichtung nach Abschluss der Wahl entnommen werden. Der entnommene
Speicher kann dann gesichert abgelegt werden.
-
Die
Vorrichtung wird nachfolgend als Ausführungsbeispiel dargestellt
und in ihrer Anwendung erläutert.
Eingesetzt wird eine Vorrichtung mit der erforderlichen Verarbeitungs-
und Speicherfähigkeit.
In 1 sind die Vorrichtung, die mit dieser verbundene
Wahlkabine, die vom Wahlleiter/der Wahlleiterin zu bedienende Steuerleitung
und die Wahlbox dargestellt. Es wird angenommen, dass nur eine Wahlkabine
angeschlossen ist. Vorausgesetzt wird eine Wahl, bei der einzelne
Kandidaten zur Wahl stehen. Die Namen der Kandidaten sind in der
Vorrichtung gespeichert.
-
Bei
dem Wahlvorgang werden die Kandidaten über die Eingabevorrichtung
in der Wahlkabine zur Auswahl angeboten. Der Wähler/die Wählerin trifft je nach den Bedingungen
der Wahl eine Entscheidung für
(oder auch gegen) einen oder mehrere Kandidaten und teilt alle Entscheidungen
der Eingabevorrichtung mit. Die Entscheidungen werden in dem der
Wahlkabine zugeordneten Teil des Speichers für vorläufige Wahlentscheidungen der
Vorrichtung gespeichert.
-
Sobald
die Entscheidungen vollständig
getroffen sind, wird der Eingabevorrichtung durch den Wähler/die
Wählerin
mitgeteilt, dass der Wahlvorgang insoweit abzuschließen ist.
Der Inhalt des Speichers für
vorläufige
Wahlentscheidungen wird dadurch zur vorläufigen Wahlentscheidung, und
die Vorrichtung veranlasst deren Ausdruck als Wahlzettel über den
Drucker in der Wahlkabine. Der Wähler/die
Wählerin überprüft den Inhalt
des Wahlzettels auf Übereinstimmung
mit der getroffenen Wahlentscheidung.
-
Für dies Ausführungsbeispiel
wird angenommen, dass auch ein Kennzeichen entsprechend Anspruch
4 vergeben wird. Das Kennzeichen soll aus einer Zufallszahl bestehen.
Dabei muss gewährleistet
sein, dass der Algorithmus zum Ermitteln der Zufallszahlen sicherstellt,
dass aus den einzelnen Zufallszahlen nicht auf die Reihenfolge von
deren Ermittlung geschlossen werden kann. Es wird zusätzlich angenommen,
dass das Kennzeichen und die Wahlentscheidung maschinenlesbar auf
den Wahlzettel gedruckt werden.
-
Der
Wähler/die
Wählerin
faltet den Wahlzettel und geht zum Wahlleiter/der Wahlleiterin.
Dort wird der Wahlzettel unter Aufsicht des Wahlleiters/der Wahlleiterin
in die Wahlbox eingeworfen. Dieser Vorgang ist die eigentliche Wahl.
Abschließend
teilt der Wahlleiter die Wahlleiterin der Vorrichtung über die Steuerleitung
mit, dass die Wahl entsprechend dem Inhalt des Speichers für vorläufige Wahlentscheidungen
durchgeführt
wurde. Die Vorrichtung übernimmt daraufhin
automatisch den Inhalt dieses Speichers in den Speicher für endgültige Wahlentscheidungen und
löscht
den Speicher für
vorläufige
Wahlentscheidungen. Bei diesem Ausführungsbeispiel werden in dem
Speicher für
endgültige
Wahlentscheidungen die einzelnen Wahlentscheidungen zusammen mit ihren
Kennzeichen gespeichert.
-
Nach
Schließung
des Wahllokals erfolgt kein weiterer Zugriff mehr auf die Wahlbox.
Die Wahlbox wird vielmehr sofort versiegelt. Das Wahlergebnis des
Wahllokals wird durch maschinelle Auswertung von der Vorrichtung
bereitgestellt und ausgedruckt. Entsprechend den Ansprüchen 8 und
9 enthält
der Ausdruck auch die Kennzahl als elektronische Unterschrift. Der
Ausdruck wird von den Verantwortlichen für die Wahl unterschrieben.
-
Der
unterschriebene Ausdruck, die Wahlbox und der Speicher für endgültige Wahlentscheidungen werden
gesichert archiviert. Sie repräsentieren
das praktisch unverfälschbare
Wahlergebnis des Wahllokals und stehen für spätere Überprüfungen zur Verfügung. Verfälschungen
sind damit ausgeschlossen. Die Überprüfungen sind
sogar weitgehend automatisiert möglich,
da die Wahlzettel maschinenlesbar gedruckt wurden. Mit Hilfe der
Kennzeichen kann bei einer Prüfung
festgestellt werden, ob sich jede Eintragung im Speicher für endgültige Wahlentscheidungen
umkehrbar eindeutig den Wahlscheinen in der Wahlbox zuordnen lässt.
-
Eine
Wahl auf der Grundlage einer Vorrichtung entsprechend der Erfindung
bietet folgende Vorzüge:
- – Die
Durchführung
der Wahl entspricht weitgehend dem bisher bekannten Verfahren bei
Einsatz von Wahlcomputern. Die damit für die Abwicklung verbundenen
Vorzüge
bleiben daher gewahrt.
- – Bei
dem eigentlichen Vorgang der Wahl, dem Einwerfen des Wahlzettels
in die Wahlbox, wird ein Wahlzettel eingeworfen, dessen Inhalt dem Wähler/der
Wählerin
bekannt ist. Manipulation ist insoweit in gleicher Weise ausgeschlossen
wie bei den früheren
Wahlen mit Papier und Bleistift.
- – Daher
bestehen gleichzeitig die von der Wahl mit Papier und Bleistift
bekannten Vorzüge
in wenigstens gleichem Umfang wie bisher (Offenheit des Ablaufs, Überschaubarkeit,
jederzeitige spätere
Nachprüfbarkeit).
- – Da
die Wahlbox unmittelbar nach Abschluss der Wahl ohne weitere Arbeit
mit den Wahlzetteln versiegelt wird, sind Manipulationen an den
Wahlzetteln praktisch ausgeschlossen.
- – Für eventuell
gewünschte
spätere Überprüfungen der
Wahl sind erheblich bessere Voraussetzungen gegeben als bisher.
Insbesondere kann jederzeit nach der Wahl das Siegel der Wahlbox entfernt
und ein Vergleich zwischen dem Inhalt der Wahlbox und dem Inhalt
des Speichers für endgültige Wahlentscheidungen
sowie dem zum Abschluss der Wahl erstellten und unterschriebenen
Ausdruck erfolgen. (Ein Archivieren der Unterlagen ist eine Selbstverständlichkeit.)
Es handelt sich hierbei um eine echte Überprüfung, da die Wahlbox unmittelbar
nach Schließung
des Wahllokals versiegelt wurde und über die Kennzahl auf dem Ausdruck überprüfbar ist,
ob der Inhalt des Speichers für
endgültige
Wahlentscheidungen verändert
wurde.
- – Es
sollte festgelegt werden, dass nach jeder Wahl entsprechende Stichprobenkontrollen durchgeführt werden.
Die Manipulationssicherheit würde
dadurch zusätzlich
erheblich verbessert.
- – Durch
eingehende Aufklärung
der Bürger über das
Verfahren beim Ablauf der Wahl sollte es möglich sein, Zweifel an der
Vertrauenswürdigkeit dieses
Ablaufs völlig
zu beseitigen. Bedenken gegen den Einsatz eines "Wahlcomputers" entbehren jetzt nachweisbar jeder Grundlage.
Manipulationen können
mit großer
Sicherheit ausgeschlossen werden, weil eine absolut sichere Überprüfung auch
jederzeit nach der Wahl noch möglich ist.
Das Verfahren ist dadurch sogar deutlich sicherer als das bisherige
Verfahren mit Papier und Bleistift.
- – Durch
Nutzung maschinenlesbarer Wahlzettel lässt sich eine nachträgliche Wahlprüfung sogar mit
nur geringern Aufwand automationsgestützt durchführen.