Elektronische Wahlen besser vor Nötigung schützen

Während die Hälfte der Weltbevölkerung in diesem Jahr zur Wahl ging, haben Wissenschaftler der EPFL eine neue Technologie entwickelt und in der Praxis getestet, die gegen Nötigung und Stimmenkauf bei Online-Abstimmungen helfen soll.

Im Jahr 2024 fanden in Ländern, in denen fast die Hälfte der Weltbevölkerung lebt, nationale oder regionale Wahlen statt. Diese fanden vor dem Hintergrund zunehmend komplexer geopolitischer Herausforderungen und wachsender Bedenken hinsichtlich der Freiheit, Fairness und Transparenz von Wahlen in vielen Ländern statt.

Weltweit sind persönlich gekennzeichnete und abgegebene Papierstimmzettel bei weitem die häufigste Form der Stimmabgabe . Die persönliche Stimmabgabe ist nicht perfekt, aber sie ist der aktuelle Standard, wenn es um den Widerstand gegen Nötigung geht. Die Wählerinnen und Wähler legen ihren Ausweis vor, betreten eine Wahlkabine, kennzeichnen ihren Papierwahlzettel und werfen ihn in die Wahlurne, während der gesamte Vorgang normalerweise von unabhängigen Beobachterinnen und Beobachtern überwacht wird.

Die elektronische Fernwahl ist aufgrund ihrer Bequemlichkeit und der potenziell höheren Wahlbeteiligung attraktiv. Die heutige Spitzentechnologie kann die elektronische Stimmabgabe universell überprüfbar machen - so dass jeder, nicht nur Wahlbeamte und Wahlbeobachter, überprüfen kann, ob die Stimmen korrekt gezählt wurden. Allerdings sind die meisten Online-Wahlsysteme anfälliger für Stimmenkauf und Nötigung als die persönliche Stimmabgabe, z. B. wenn eine andere Person, die neben der Wählerin oder dem Wähler sitzt, ihr oder ihm sagt, wie sie oder er zu wählen hat.

Falsche Belege für eine sicherere elektronische Wahl

So seltsam es auch klingen mag, eine vielversprechende Strategie gegen diese Anfälligkeit für Nötigung ist die offiziell zugelassene digitale Fälschung. Experimentelle E-Voting-Systeme ermöglichen es den Wählerinnen und Wählern, gefälschte Stimm-IDs zu erstellen, die sie einem "Einschüchterer" geben - oder verkaufen - können, der keine Möglichkeit hat, zu erkennen, ob sie gültig sind oder nicht. Stimmen, die unter Verwendung gefälschter Stimmidentifikatoren abgegeben werden, werden stillschweigend ignoriert und bei der Wahl nicht berücksichtigt.

Dennoch bleiben wichtige Fragen bestehen. Verstehen normale Wählerinnen und Wähler die Bedrohung durch Zwang, wenn es darum geht, online zu wählen? Glauben sie, dass es wichtig ist? Würden sie eine Mitigationstechnologie, die gefälschte Anmeldeinformationen verwendet, verstehen und richtig anwenden?

Um diese Fragen zu beantworten, führten Forscherinnen und Forscher der Fakultät für Informatik und Kommunikation der EPFL in Boston, USA, eine systematische Studie mit 150 Teilnehmerinnen und Teilnehmern durch, die sich bei einer simulierten Wahl registrieren ließen und ihre Stimme abgaben. In ihrem Artikel , der auf dem ⁴⁵. IEEE-Symposium über Sicherheit und Datenschutz vorgestellt wurde, beschreiben die Forscherinnen und Forscher, wie 120 der Teilnehmerinnen und Teilnehmer falschen Identifikatoren ausgesetzt wurden, während die anderen eine Kontrollgruppe bildeten.

"In unserem System müssen die Menschen ihre legitimen und gefälschten Wahl-IDs noch persönlich erstellen, um eine zuverlässige Kommunikation zwischen der Wählerin oder dem Wähler und der Aufsichtsbehörde herzustellen - das ist der Ausgangspunkt für Vertrauen", erklärt Professor Bryan Ford, Leiter des Laboratoriums für dezentrale und verteilte Systeme (DEDIS). "Aber die Wählerinnen und Wähler müssen das nur alle paar Jahre tun, nicht jedes Mal, wenn eine Wahl ansteht", fährt er fort. "Sobald die Wählerinnen und Wähler ihre IDs erstellt haben, können sie sie auf jedem Gerät verwenden, mit dem sie wählen wollen, und sie können wählen, wo sie wollen."

Modernste kryptografische Technologie

Zur Erstellung ihrer Wahlkennungen verwendeten die Teilnehmerinnen und Teilnehmer TRIP, ein prototypisches, zwangsresistentes Online-Wahlsystem. Das von Bryan Ford und seinem Team entwickelte System nutzt eine etablierte kryptografische Technologie namens "Zero Disclosure Proof of Knowledge", um eine echte Kennung und eine oder mehrere gefälschte Kennungen zu erstellen. So weiß der Wähler oder die Wählerin, welche Kennung echt ist, kann dies aber niemandem sonst beweisen.

"Mit dem TRIP-System können Wählerinnen und Wähler sowohl eine echte ID als auch eine beliebige Anzahl von gefälschten IDs ausdrucken, die QR-Codes verwenden. Jeder von ihnen enthält einen Null-Offenlegungsnachweis für Wissen, der in den echten Identifikatoren gültig und in den gefälschten ungültig ist. Nur der Wähler oder die Wählerin, der oder die diese Identifikatoren erstellt hat, kann den Unterschied erkennen, indem er oder sie die Reihenfolge der Druckschritte beachtet. Am Ausgang der Wahlkabine können die Identifikatoren nicht voneinander unterschieden werden", sagt Louis-Henri Merino, Doktorand bei DEDIS und Hauptautor des Forschungsartikels.

Eine Technologie, die sich noch durchsetzen muss

Von den 120 Studienteilnehmerinnen und -teilnehmern, die gefälschten IDs ausgesetzt waren, verstanden fast alle deren Verwendung (96 %), während etwas mehr als die Hälfte angab, dass sie in einem echten Wahlszenario gefälschte IDs erstellen würden, wenn sie die Gelegenheit dazu bekämen. Allerdings stimmten 10 % der Teilnehmerinnen und Teilnehmer versehentlich mit einem falschen Benutzernamen ab.

22% der Studienteilnehmer gaben an, Vorfälle von Nötigung oder Stimmenkauf persönlich erlebt zu haben oder direkt davon gewusst zu haben. Diese schätzten das erzwingungsresistente System insgesamt als ebenso zuverlässig ein wie die persönliche Stimmabgabe mit handschriftlich gekennzeichneten Papierwahlzetteln.

Insgesamt gelang es 87 % der 150 Teilnehmerinnen und Teilnehmer, die das System nutzten, ihre IDs ohne Hilfe zu erstellen, und 83 % gelang es, sie korrekt zu erstellen und zu verwenden. Die Teilnehmerinnen und Teilnehmer bewerten das System auf der Skala für Benutzerfreundlichkeit mit 70,4 und liegen damit leicht über dem Branchendurchschnitt von 68.

Stärkung der Demokratie

"Ich interessiere mich für E-Voting, weil Demokratie für mich ein langjähriges Anliegen ist. Sie muss eine regelmäßigere Beteiligung gewährleisten und gleichzeitig Vertrauen und Vertraulichkeit sicherstellen. Um das Funktionieren der Demokratie zu verbessern, können wir die heutigen Technologien nicht wirklich nutzen, wenn wir die Probleme der Transparenz und des Zwangs nicht lösen", sagte Bryan Ford. "Unsere Ergebnisse scheinen die Bedeutung des Problems der Nötigung im Allgemeinen zu bestätigen und bestätigen, dass falsche Identifikatoren ein mögliches Mittel zur Abschwächung sein könnten. Dennoch bleiben die Fehlerquoten der Nutzerinnen und Nutzer eine wichtige Herausforderung in Bezug auf die Benutzerfreundlichkeit für die zukünftige Arbeit."

Obwohl die Studie in den USA durchgeführt wurde, sind die Forscherinnen und Forscher der EPFL der Ansicht, dass die Technologie auch in der Schweiz eingesetzt werden könnte. Ihrer Meinung nach erfüllt das schweizerische Briefwahlsystem, ebenso wie elektronische Wahlsysteme, nicht die Anforderung, dass die Wählerinnen und Wähler keinem Zwang unterliegen, da sie ebenfalls in einer unkontrollierten Umgebung abstimmen.

"Die Haltung der Schweiz besteht im Wesentlichen darin, dass Zwang illegal ist und dass sich die Schweizer an das Gesetz halten, dass es also nicht vorkommt. Ich würde gerne eine Studie darüber sehen, was die Schweizer über Zwang denken und wie sie potenzielle Lösungen wahrnehmen. Schließlich würde ich es sehr begrüßen, wenn neben einer solchen Plattform auch partizipativere Ansätze für die Demokratie entwickelt würden. Können wir die Demokratie mit einem System, das wirklich sicher zu benutzen ist, grundlegend stärken?", schloss Bryan Ford.

Wie würde TRIP in der Praxis funktionieren?

Andrea (fiktiver Name) ist gerade 18 Jahre alt geworden und wählt zum ersten Mal. Ihr Land organisiert eine Online-Wahl: Andrea muss zunächst persönlich in einen Wahlraum gehen, der mit Datenschutzkabinen und dem TRIP-System ausgestattet ist, um ihreWahldatenzu erstellen.

Andrea entscheidet sich dafür,zusätzlich zuihrer echten Wahl-IDzwei falsche IDs zu erstellen.Um jede von ihnen zu erstellen, benutzt Andrea einen Kiosk in der Datenschutzkabine, um einen Papierbeleg auszudrucken und in einen speziellen Umschlag zu stecken, den sie ebenfalls in der Kabine erhält. Während sie sich noch in der Kabine befindet, markiert Andrea mit einem Stift den Umschlag mit ihrem eigentlichen Beleg auf eine Weise, die nur sie kennt und an die sie sich später erinnern wird. Als sie die Wahlkabine verlässt, hat sie drei Umschläge, in denen jeweils einer ihrer Identitätsnachweise steckt - aber nur Andrea kennt ihren echten Identitätsnachweis, mit dem sie bei der Wahl ihre Stimme abgeben kann. Ihre beidenfalschen IDswerden zwar zur Wahl gehen, aber diese Stimmen werden nicht gezählt.

Andrea lebt bei ihren Eltern, die sie dazu gedrängt haben, für die von ihnen unterstützte politische Partei zu stimmen. Am Wahltag soll Andrea an der Seite ihrer Eltern online abstimmen, wie es die Familientradition verlangt. Für diese Stimmabgabe verwendet sie jedoch einen ihrer falschen Benutzernamen. Die Stimme, die sie unter der Aufsicht ihrer Eltern abgegeben hat, wird später bei der Auszählung der Stimmen gelöscht, weil sie mit einer falschen Kennung abgegeben wurde, ohne dass sie zu ihr zurückverfolgt werden kann. Um ohne das Wissen ihrer Eltern frei für die politische Partei ihrer Wahl zu stimmen, gibt Andrea mit ihrer echten Kennungzu einem anderen Zeitpunkt online ihre Stimme ab, wenn sie einen engen Freund besucht, dem sie vertraut. Nur diese echte Stimme wird bei der Wahl berücksichtigt.