CCC: Software zur Bundestagswahl hat "eklatante Schwachstellen"

Im Gegensatz zu den USA ist eine Wahl in Deutschland eine weitgehend analoge Angelegenheit: Denn sowohl die Abgabe als auch die Auszählung der Stimmen erfolgt hierzulande auf dem traditionellen Weg, nämlich per Hand. Dennoch gibt es auch Bundestagswahl Möglichkeiten zur Manipulation, wie der Chaos Computer Club (CCC) herausgefunden hat. Am 24. September stimmen mehr als 61 Millionen Deutsche ab, wer sie im Bundestag die kommenden Jahre vertritt. Die Stimmen werden hierbei ganz klassisch abgegeben, nämlich per Kreuz auf dem Papier. Die Auszählung übernehmen zahlreiche Wahlhelfer, auch hier gibt es keinerlei Gelegenheit für Hackerangriffe.

"Gravierende Schwachstellen"

Doch danach kommen Computer ins Spiel und diese Auswertungssoftware weist nach einer Analyse des Chaos Computer Club "gravierende Schwachstellen" auf, so die deutschen White-Hat-Hacker. Wie man auf der Webseite des CCC schreibt, wurde eine in mehreren Bundesländern zur Erfassung und Auswertung der kommenden Bundestagswahl verwendete Software auf Angriffsmöglichkeiten untersucht. Infografik: Wer wählt eigentlich wen? Und dabei fand man auch eine Vielzahl von Schwachstellen und mehrere praktikable Angriffsszenarien. Der CCC schreibt, dass diese die Manipulation von Wahlergebnissen auch über die Grenzen von Wahlkreisen und Bundesländern hinweg erlaubten. Das CCC erklärt: "Die untersuchte Software 'PC-Wahl' wird seit mehreren Jahrzehnten für die Erfassung, Auswertung und Präsentation von Wahlen auf Bundes-, Landes- und Kommunalebene eingesetzt."

"Totalschaden"

Das Urteil der Hacker ist vernichtend, man bezeichnet das Ergebnis als "Totalschaden für das Software-Produkt". CCC-Sprecher Linus Neumann, der auch an der Analyse von PC-Wahl beteiligt war: "Elementare Grundsätze der IT-Sicherheit werden in dieser Software nicht beachtet. Die Menge an Angriffsmöglichkeiten und die Schwere der Schwachstellen übertraf unsere schlimmsten Befürchtungen."

Für Angriffe benötige man laut CCC auch kein ausgesprochenes Können: So ist der fehlerhafte Update-Mechanismus besonders einfach kompromittierbar, zusammen mit einem schlecht abgesicherten Update-Server ist eine komplette Übernahme möglich.

Neumann: "Eine ganze Kette aus eklatanten Schwachstellen vom Update-Server des Herstellers, über die Software selbst bis hin zu den exportierten Wahlergebnissen, ermöglicht uns die Demonstration von gleich drei praktisch relevanten Angriffsszenarien."