Schwächen in Excel machen ganzes Einbürgerungs-Verfahren angreifbar

Das nordamerikanische Land hatte im letzten Jahr ein neues Verfahren gestartet, bei dem die Eltern und Großeltern kanadischer Staatsbürger ebenfalls die Einbürgerung beantragen konnten. Jedes Jahr können hier nun zehntausend Antragsteller einen kanadischen Pass bekommen. Und während zuvor einfach die entsprechende Zahl der eingegangenen Anträge bearbeitet und alles andere dann auf das kommende Jahr verschoben wurde, soll seit dem letzten Jahr das Los entscheiden.

Eine Anfrage der The Globe and Mail-Redaktion an die Regierung förderte zutage, dass die Los-Auswahl über Excel abgewickelt wird. Und das wird von Experten als Problem angesehen. Denn die Zufallszahlen-Funktion in der Microsoft-Software liefert alles andere als zufällige Zahlen. Pierre L'Ecuyer, Informatik-Professor an der Université de Montréal, erklärte, dass das Microsoft-Produkt auf einen völlig veralteten Generator setze. Bei statistischen Tests, mit denen die Qualität von Zufallsgeneratoren geprüft werden kann, versage die Anwendung regelmäßig.

Das Problem beschränkt sich allerdings nicht einfach nur darauf, dass die statistische Verteilung der vermeintlichen Zufallszahlen nicht gut genug ist. "Wenn man eine Zahl an einem konkreten Schritt kennt, kann man alle noch folgenden Zahlen berechnen", führte der Informatiker aus. Zwar hat Microsoft vor einigen Jahren einen verbesserten Algorithmus hinter die RAND-Funktion gepackt, doch auch bei dieser ist die fragliche Berechnung schon verschiedenen Forscherteams gelungen.

Den Zufall sortieren

Bei den kanadischen Behörden werden bei der Verlosung alle Aktennummern in eine Excel-Tabelle eingefügt - jährlich sind das um die hunderttausend Fälle. Anschließend erhält jede dieser Tabellenzeilen per RAND eine "Zufallszahl" zugewiesen, die am Ende der Größe nach sortiert werden. Die zehntausend kleinsten Zahlen sind dann im aktuellen Jahr für die Einbürgerung vorgesehen.

Seitens der kanadischen Behörden sieht man das Verfahren als brauchbar an. Die Chancen sind durch diesen Prozess für alle gleich genug und es gebe auch keine Hinweise darauf, dass es hier zu irgendwelchen Manipulationen gekommen sei. Abgesehen davon, ob tatsächlich schon etwas schief gelaufen ist, besteht aber eben durchaus die Möglichkeit einer Beeinflussung und das Verfahren wird so im Zweifelsfall juristisch angreifbar. "Jeder beliebige Zufallsgenerator wäre besser", erklärte L'Ecuyer. Experten empfehlen inzwischen, einfach einen beliebigen Open Source-Algorithmus aus dem Krypto-Bereich zu verwenden. Dieser ist allerdings eben nicht in Excel eingebaut, was die Angelegenheit für die Sachbearbeiter wohl kompliziert machen würde.

Office macht auch anderswo Probleme: