Dritte Beschlussempfehlung

Transkript

1 Deutscher Bundestag Drucksache 16/ Wahlperiode Dritte Beschlussempfehlung des Wahlprüfungsausschusses zu 44 gegen die Gültigkeit der Wahl zum 16. Deutschen Bundestag eingegangenen Wahleinsprüchen A. Problem GemäßArtikel41Abs.1Satz1desGrundgesetzes (GG)istdieWahlprüfung SachedesDeutschenBundestages.DieserhatnachdenBestimmungendes Wahlprüfungsgesetzes (WPrüfG)aufderGrundlagevonBeschlussempfehlungendesWahlprüfungsausschussesüberdieEinsprüchezurGültigkeitder Wahlzum16.DeutschenBundestagzuentscheiden.Insgesamtsind195Wahleinsprücheeingegangen.Über113hatderDeutscheBundestagbereitsentsprechenddenBeschlussempfehlungendesWahlprüfungsausschusses (vgl. Bundestagsdrucksachen16/900und16/1800)entschieden.DiejetztzurBeschlussfassungvorgelegtenEntscheidungenbehandelnweitere44Einsprüche. BeschlussempfehlungenzudenübrigenEinsprüchenwerdenjeweilsnach Abschluss der Beratungen im Wahlprüfungsausschuss vorgelegt. B. Lösung Zurückweisungvon43WahleinsprüchenohnemündlicheVerhandlung wegenoffensichtlicherunbegründetheit ( 6Abs.1aNr.3WPrüfG)oder wegenunzulässigkeit ( 6Abs.1aNr.1und2WPrüfG) vgl.nummer1 der Beschlussempfehlung; VerfahrenseinstellungbeieinemWahleinspruchwegenRücknahmedesEinspruchs ( 2 Abs. 6 WPrüfG) vgl. Nummer 2 der Beschlussempfehlung. Offensichtlich unbegründet sind Einsprüche, a)dieeinensachverhaltvortragen,dereinenfehlerbeidervorbereitungund Durchführung der Wahl nicht erkennen lässt; b)diesichaufdiebehauptungderverfassungswidrigkeitvonrechtsvorschriftenstützen (nachständigerpraxisdesdeutschenbundestagesinwahlprüfungsangelegenheitenbleibtdiefeststellungeinerverfassungswidrigkeit dem Bundesverfassungsgericht vorbehalten); c)diemangelsausreichenderangabevontatsachennichterkennenlassen,auf welchen Tatbestand der Einspruch gestützt wird; d)diesichaufnachprüfbaremängelbeidervorbereitungoderdurchführung derwahlstützen,ohnedassdiesemängelabereineneinflussaufdiemandatsverteilung haben können.

2 Drucksache 16/ Deutscher Bundestag 16. Wahlperiode C. Alternativen Keine hinsichtlich der Ergebnisse der Entscheidungen. DerWahlprüfungsausschussistentsprechendseinemSelbstverständnisund seinerständigenpraxisallenbehauptetenwahlmängelnnachgegangen,auch wennsiekeineneinflussaufdiemandatsverteilungim16.deutschenbundestaghatten.dieseartderbehandlungsolldafürsorgetragen,dasssichfestgestellte Wahlmängel bei künftigen Wahlen möglichst nicht wiederholen. D. Kosten Keine

3 Deutscher Bundestag 16. Wahlperiode 3 Drucksache 16/3600 Beschlussempfehlung Der Bundestag wolle beschließen, 1.dieausdenAnlagen1bis43ersichtlichenBeschlussempfehlungenzuWahleinsprüchen anzunehmen, 2. das Verfahren zum Wahleinspruch WP 161/05 einzustellen. Berlin, den 30. November 2006 Der Wahlprüfungsausschuss Thomas Strobl (Heilbronn) Vorsitzender Dr. Carl-Christian Dressel Berichterstatter Ulrich Maurer Berichterstatter Bernhard Kaster Berichterstatter Petra Merkel (Berlin) Berichterstatterin Silke Stokar von Neuforn Berichterstatterin Dr. Wolfgang Götzer Berichterstatter Ernst Burgbacher Berichterstatter

4 Drucksache 16/ Deutscher Bundestag 16. Wahlperiode Inhaltsverzeichnis zum Anlagenteil Aktenzeichen Beschlussempfehlungen zu den einzelnen Wahleinsprüchen BetreffBerichterstatter/inAnlageSeite WP 145/05Elektronische Stimmabgabe Abg. Dr. Dressel1 7 WP 108/05Elektronische Stimmabgabe Abg. Dr. Dressel225 WP76/05Elektronische Stimmabgabe Abg. Dr. Dressel343 WP 182/05Elektronische Stimmabgabe Abg. Dr. Dressel453 WP 155/05Kandidatenaufstellung Abg. Dr. Dressel565 WP 160/05Kandidatenaufstellung Abg. Dr. Dressel671 WP 178/05Zulassung Partei Abg. Dr. Dressel773 WP02/05Zulassung Partei Abg. Dr. Dressel877 WP 156/05 Vermerk der Stimmabgabe Abg. Dr. Dressel983 WP45/05WahlkampfAbg. Burgbacher1085 WP 162/05Negatives StimmgewichtAbg. Burgbacher1187 WP 179/05Negatives StimmgewichtAbg. Burgbacher1289 WP 181/05Negatives StimmgewichtAbg. Burgbacher1393 WP 141/05Verwechslung Stimmzettel Abg. Dr. Götzer1495 WP82/05Wahlstatistik Abg. Dr. Götzer1597 WP96/05Wahlstatistik Abg. Dr. Götzer16101 WP13/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster17105 WP25/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster18107 WP49/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster19109 WP79/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster20111 WP 101/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster21113 WP65/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster22115 WP66/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster23117 WP 129/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster24119 WP 133/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster25123 WP 163/05 Nichtzugang von BriefwahlunterlagenAbg. Kaster26125 WP43/05WahlvorenthaltungAbg. Kaster27127 WP 121/05WahlvorenthaltungAbg. Kaster28129 WP87/05Aktives Wahlrecht/GeschäftsunfähigkeitAbg. Maurer29131

5 Deutscher Bundestag 16. Wahlperiode 5 Drucksache 16/3600 Aktenzeichen BetreffBerichterstatter/inAnlageSeite WP 104/05 Information durch WahlorganeAbg. Maurer30133 WP 184/05UnterschriftenquorenAbg. Maurer31135 WP30/05 Identitätskontrolle im Wahllokal Abg. Merkel (Berlin)32137 WP38/05 Identitätskontrolle im Wahllokal Abg. Merkel (Berlin)33139 WP 117/05 Gestaltung des Stimmzettels Abg. Merkel (Berlin)34141 WP 154/05 Gestaltung der WahlbenachrichtigungAbg. Merkel (Berlin)35143 WP 171/05 Gestaltung der WahlbenachrichtigungAbg. Merkel (Berlin)36145 WP44/05AuslandsdeutscheAbg. Stokarvon Neuforn WP56/05 Wählen in JVAAbg. Stokar von Neuforn WP 150/05 Wählen in JVAAbg. Stokarvon Neuforn WP 138/05 Ermittlung des WahlergebnissesAbg. Stokarvon Neuforn WP54/05Allgemeine GründeAbg. Dr. Dressel41157 WP97/05Allgemeine Gründe Abg. Dr. Dressel42159 WP 176/05Allgemeine GründeAbg. Maurer43161

6

7 Deutscher Bundestag 16. Wahlperiode 7 Drucksache 16/3600 Beschlussempfehlung Anlage 1 Zum Wahleinspruch des Herrn Dr. U. W., Neu-Isenburg Az.: WP 145/05 gegen die Gültigkeit der Wahl zum 16. Deutschen Bundestag am 18. September 2005 hat der Wahlprüfungsausschuss in seiner Sitzung vom 30. November 2006 beschlossen, dem Bundestag folgenden Beschluss zu empfehlen: Der Wahleinspruch wird zurückgewiesen. Tatbestand MitSchreibenvom6.November2005hatderEinspruchsführergegendieBundestagswahlam18.September2005 Einsprucheingelegt.DerEinspruchbetrifftdieDurchführung der Wahl mittels elektronischer Wahlgeräte. DerEinspruchistnachDarstellungdesEinspruchsführersin seinerbegründungsowiederschilderungdessachverhalts imwesentlicheninhaltsgleichmiteinemwahleinspruchin derselbensache (WP108/05).Abweichungengebeesinder Antragsstellung sowie im Abschnitt Mandatsrelevanz. DerEinspruchsführerbeantragt,dieStimmbezirkeunddie genaueanzahldermitnedap-gerätenabgegebenenstimmenzuermittelnunddiewahlindenbetroffenenwahlbezirkenzuwiederholen.erbeantragtfestzustellen,dassdie eingesetztengerätenichtdenanforderungendesbwghinsichtlichderöffentlichenkontrollevonwahlensowieden RichtlinienfürdieBauartvonWahlgeräten (Anlage1zu 2 derbundeswahlgeräteverordnung [BWahlGV])entsprochen hättenunddassnichtmehrfestzustellensei,obdieeingesetztengerätefehlerfreiprogrammiertgewesenseien.erbeantragtferner,diedurchdiephysikalisch-technischebundesanstalt (PTB)erstelltenPrüfberichtezuveröffentlichen oderihmzuüberlassensowiedasbundesamtfürsicherheit inderinformationstechnikalsgutachterfürdiebewertung dersicherheitdereingesetztensoftwareundeinenstaatsrechtleralsgutachterfürdiebewertungderwahlrechtlichen Problematik beizuziehen. DenBundestagfordertderEinspruchsführerauf,durchKonkretisierungvon 35desBundeswahlgesetzes (BWG)die Sicherstellungderverfassungs-undwahlrechtlichenGrundsätzeauchbeiWahlenmitWahlgerätenzugewährleisten. DerDeutscheBundestagsollzudemsicherstellen,dassbei zukünftigenwahlenmitsoftwaregesteuertenwahlgeräten diezumeinsatzkommendengeräteeinschließlichihrer SoftwareineinemöffentlichenZulassungsverfahrenbegutachtetwerden,diegutachterlichenPrüfberichtederÖffentlichkeitzugänglichsind,dieAuthentizitätdereingesetzten SoftwareimWahllokalbeijedemeinzelnenGerätunmittelbarvordemWahlgangöffentlichverifiziertwirdund entwederdiegeräteunabhängigeverifizierbarkeitdeswahlergebnissesmöglichistoderalleprüfunterlagenausdem ZulassungsverfahreneinschließlichderKonstruktionsunterlagen,desQuellcodesderzumEinsatzkommendenSoftware der Öffentlichkeit zugänglich gemacht werden. ZurBegründungseinesEinspruchsträgterimWesentlichen vor,dassdieverwendetenwahlgerätedestypsnedap ESD1undESD2 inihrerderzeitigenhardware-architektur,dersoftwareundinihrenfunktionennichtdenjenigen Erfordernissen (genügen),dieerfülltseinmüssen,umdas verfassungsrechtlichundwahlrechtlichgeboteneöffentlichkeitsprinziptechnisch,apparativundfunktionalzuverwirklichen.dervorgangderergebnisfeststellungmitdiesen GerätenstelleeinegeheimeAuszählungdar,dervonAnfang angesetzeswidrigsei.zudementsprächendiegeräte,insbesonderehinsichtlichdermanipulationssicherheit,nichtdem StandderTechnik.SchließlichlassesichaufgrundderBauartderGerätenachträglichnichtmehrfeststellen,obdas Wahlergebnis rechtmäßig zustande gekommen ist. I. DiebeiderBundestagswahl2005eingesetztenWahlgeräte derniederländischenfirmanedap (NederlandscheApparatenfabriek)bestehenausdemeigentlichenWahlgerät,an demderwählerseinewahlvollzieht,undeinerperkabel festmitdemwahlgerätverbundenenbedieneinheit,diesich inderobhutdeswahlvorstandesbefindet.diesebedieneinheitenthältu.a.zweischlössermitschlüsseln,überdie diebetriebszustände Wählen und Wahlauswertung eingestelltwerden,sowietasten,überdiedaswahlgerätfür jedeneinzelnenwählerfreigegebenwird.daseigentliche WahlgerätbestehtauseinemgroßenTastentableaumiteinemodermehrerenStimmzetteln,einemkleinenDisplayzur KontrollefürdenWählerundeinemFunktionstastenfeld, dasnurvomwahlvorstandwährendderwahlauswertungbenutztwirdundsonstdurcheineklappeabgedecktist.des WeiterenbefindensichaufderRückseitedesWahlgerätsein DruckerundeinSteckplatzfüreinSpeichermodul (eineart Kassette)sowiedieElektronikeinheit.InderElektronikeinheitbefindensichzweiSpeicherchips (auchalsspeicherbausteinebzw.speichermodulebezeichnet),diegemeinsam dassoftwareprogrammenthalten.diesezweispeicherchips werden Eproms genannt.

8 Drucksache 16/ Deutscher Bundestag 16. Wahlperiode DasSoftwareprogrammaufdenEpromsbestimmtdengenerellenAblaufderWahl,alsodieSchritteFreigabe,Auswahl dererststimmeundderzweitstimme,ggf.korrekturder Stimmen,endgültigeStimmabgabe,Stimmspeicherungund SperrungdesGerätssowiedieAuswertungderWahl.Das SpeichermodulenthälthingegendieDatenderStimmzettel, diezuordnungdereinzelnentastenzulisten,parteienoder BewerbernsowieeinigekonkreteAngabenzurWahlwie WahldatumundWahllokalunddientdamitvorallem,weiles diedatenüberdieabgegebenenstimmenenthält,als Urne.DasWahlgerätkannnurmiteinemeingesteckten undgefülltenspeichermodulfüreinewahlverwendetwerden.dieepromsmitdemsoftwareprogrammsindintegraler BestandteildesWahlgeräts,währenddieSpeichermodule ein Zubehör sind. DieFirmaNEDAPbautdasGerätundliefertesandenKundenaus.DurcheineaufderRückseitedesGerätsaufgeklebte BaugleichheitserklärungversichertderHersteller,dassdas GerätbaugleichzudemangegebenenzugelassenenBaumusterist.DasWahlgerätenthältimAuslieferungszustandkein SpeichermodulundistdamitnichtfüreineWahlverwendbar.LeereSpeichermodulewerdendemKundenalsZubehör mitgeliefert. FürdieWählerstelltsichderAblaufwiefolgtdar:Der WahlvorstandkontrolliertdieWahlberechtigungwieüblich undgibtdann,stattdemwählereinenstimmzettelauszuhändigen,daswahlgerätübereinetasteaufderbedieneinheitfrei.derwählerkannnunandaswahlgerätherantretenundseinestimmendurchtastendruck (anstelledurch Ankreuzen)aufeinerFolientastaturauswählen,diedem ErscheinungsbildeinesStimmzettelsnachgebildetist.Das digitaletextdisplaybestätigtdiegetroffeneauswahlund fordertzumnächstenschrittauf.derwählerkannalsoseine AuswahlaufdemDisplaykontrollieren,ggf.überdieKorrekturtasteberichtigenunddannseineStimmenendgültig abgeben,indemerdiedafürvorgesehenestimmabgabetaste drückt.dieserletzteschritt (Abgabeeinergültigenbzw. ungültigenstimme)entsprichtdemeinwurfdesstimmzettelsindieurne.derschriftführervermerktimwählerverzeichnisdiestimmabgabe.diestimmenwerdenredundant undmitsicherheitsmaßnahmenversehenaneinerzufällig ausgewähltenstelledesspeichermodulsgespeichert.nach derspeicherungderstimmenistdaswahlgerätfürweitere Stimmabgabengesperrt.DerWählerverlässtdasWahlgerät. DieAnzeigeaufderBedieneinheitdesWahlvorstandesüber diezahlderwählererhöhtsichumeins.dieseanzeige dientdemwahlvorstandfürdieentscheidung,obderwählerseinewahlordnungsgemäßabgeschlossenhat.das Wahlgerätbleibtgesperrt,bisesfürdennächstenWähler wieder freigegeben wird. II. ImEinzelnenbemängeltderEinspruchsführerfolgendeAspekte des Einsatzes von Wahlgeräten: DasverfassungsrechtlicheFundamentdesWahlsystems bildedasdemokratie-prinzip.ihmentsprächendiegrundsätzeunmittelbarer,freier,gleicherundgeheimerwahlen (Artikel38Abs.1Satz1GG).IndiesemZusammenhang verfassungsrechtlichergrundentscheidungenstelltenparlamentarischewahlenstaatsaktedesvolkesdar,verkörpert inallenseinenwahlberechtigtenindividuen.dieverletzung desdemokratie-prinzipsundallerdarausresultierender Wahlrechtsnormenund-vorschriftenstelledeshalbunmittelbareineVerletzungdergrundgesetzlichgarantiertenRechte deseinzelnenwahlbürgersdar.somitseienverletzungender einfachgesetzlichennormenauchverletzungenderverfassung und damit des Rechtsstaatsprinzips. AusdemDemokratie-PrinzipwerdedasÖffentlichkeitsprinzipabgeleitet: DieÖffentlichkeitübtgegenüberdenWahlorganeneineKontrollfunktionaus. Geheime Auszählungensinddanachgesetzwidrig (Schreiber,Handbuchdes Wahlrechts,7.Auflage,2002,S.249f.,Rn.1mitVerweis aufbverfge89,291,302f.).sohabejedermannauch ZutrittzudenSitzungenderWahlausschüsseundWahlvorstände (ebenda),d.h.,jederkönnewahlhandlungensowiedieermittlungundfeststellungvonwahlergebnissen beobachten.diesehöchstrichterlicherechtsprechungund RechtsmeinungseigrundlegendfürseineBeschwerde,dass beimeinsatzvonwahlgerätendervorgangeinesteilesder Wahlhandlung (nämlichkeinekontrollederdokumentation derabgegebenenstimmenimgerät,vergleichbarderablagederstimmenbeimurneneinwurf)sowiedieermittlung undfeststellungderergebnisseiminnerendesgerätesstattfänden und deswegen nicht beobachtet werden könnten. DieKontrollfunktionderÖffentlichkeitsollegewährleisten, dassdiewahlenrechtmäßigdurchgeführtwürdenundsomit das Parlament richtig zusammengesetzt sei. DieStimmabgabemitWahlgerätenerlaubeundregele 35 BWG.DortwerdezwardieBeachtungdesGrundsatzes dergeheimhaltunggefordert (Absatz2),nichtjedochder GrundsatzfreierWahlen,ausdemdasÖffentlichkeitsprinzipzwingendhervorgehe undauchnichtdergrundsatz derwahlgleichheit. 35BWGseisomitinderWiederholung grundgesetzlicher Prinzipien defizitär. 34BWGorganisieredasindividuelleWahlgeheimnismit Stimmzetteln,machezugleichaberdenäußerenAblauf transparent: DerWählerfaltetdaraufhindenStimmzettelin derweise,dassseinestimmabgabenichterkennbaristund wirftihnindiewahlurne. DerStimmzettel-Einwurfindie UrneseialsoeinöffentlichzubeobachtenderTeilder Wahlhandlung,dessenÖffentlichkeitnichtdasErfordernis deswahlgeheimnissesbeeinträchtige.dieeingesetzten NEDAP-GeräteaberorganisiertendiesesErfordernisder Öffentlichkeit,nämlichderbeobachtbarenStimmen-Ablage vergleichbarmitdemeinwurfindieurne ebennicht undentsprächendeshalbnichtdemöffentlichkeitsgebot. 37BWGimplizieredieunbestritteneÖffentlichkeitder Stimmenauszählung.Dieinden 67bis70derBundeswahlordnung (BWO)geregeltenöffentlichenErmittlungshandlungenfehltenbeiWahlgeräten,bzw.eswerdebeidiesennichterkennbar,dassdieDokumentationundFeststellung innerhalb der Geräte manipulationsfrei vor sich gehe. Inder Disparatheit derbundeswahlgeräteverordnungzwischendetailliertenapparatetechnischenanweisungeneinerseitsundihrernurallgemeinenforderungnachgeltungder Bundeswahlordnungandererseits unddamitsinngemäß desbwg liegewohldergrundfürdietatsache,dassdie Prüf-undZulassungsverfahrensichvornehmlichodersogar ausschließlichaufdietechnischenvorschriftenkonzentrierten.

9 Deutscher Bundestag 16. Wahlperiode 9 Drucksache 16/3600 Fehlende Kontrollmöglichkeit GegenstandseinesEinspruchesseies,dieVerfassungs-und WahlrechtswidrigkeitenderartigerZusammenhängeimEinzelnenherauszuarbeitenund jenseitsdeseigentlicheneinspruchs auch eine Korrektur de lege ferenda einzufordern. DazuträgterfolgendeMängelvor,dieausseinerSichtbestehen: DiedurchdasBWGfürWahlgangundWahlgeschäftvorgeschriebene Öffentlichkeit seieinkontrollmechanismus, derdieordnungsgemäßedurchführungderwahlengewährleiste.werdederkontrollmechanismus Öffentlichkeit im WahlgeschäftoderWahlgangteilweiseeingeschränkt,so müsseerdurchandereentsprechendwirksamekontrollmechanismenersetztwerden.dieseäquivalentenkontrollmechanismenmüsstentransparentundöffentlichverifizierbarsein,wennsiewirksamdiemanipulationvonwahlen verhindernsollen.beidennedap-wahlgerätenhandelees sichumwahlcomputer,aufdeneneinkomplexessoftwareprogramminstalliertsei.dadiestimmabgabegeheimerfolgeunddiefunktionsweisedersoftwarenichttransparent alsovomwählernichtunmittelbareinsehbar sei,seies prinzipiellnichtmöglich,dieordnungsgemäßespeicherung undzählungderstimmenzukontrollieren.vorstellbarsei z.b.,dasseinefehlerhaftesoftwareeinenbestimmtenanteilderabgegebenenstimmenunabhängigvonderwahldes jeweiligenwählerseinerbestimmtenparteizuweise,oder dasseinemanipuliertesoftwarelediglichdieabgegebenen StimmenzähleundnacheinemvorgegebenenVerhältnisauf diezurwahlstehendenparteienverteile.daherseiesfürdie NEDAP-Geräteerforderlich,dieordnungsgemäßeWahldurchführungdurcheinenalternativenKontrollmechanismus sicherzustellen. Gefährdungspotential durch Manipulation BeiWahlenmitsoftwaregesteuertenWahlgerätengeheeine besonderegefahrvondemumstandaus,dassdergeräteherstellereinenzentralenangriffspunktdarstelleunddass sichwahlenübereinemanipulationdersoftwarenochvor derauslieferungdergeräte (alsonochbeimgerätehersteller)wesentlichwirkungsvolleralsbeiurnenwahlenmanipulierenließen.einesolchemanipulationkönneetwavoneinem durchdrohungenoderpolitischoderfinanziell motivierten InsiderbeimHerstellerpraktiziertwerden.Ein AngriffaufdenHerstellerseiauchvonaußendenkbar,etwa übervirenodertrojaner,diedritten (z.b.einerpolitischen GruppierungodereinemausländischenGeheimdienst)einen ZugangaufdieRechnerdesHerstellersermöglichten.WegenderKomplexitätdereingesetztenSoftwaremitüber zweihunderttausendzeilenquellcodekönneeinesolche ManipulationauchbeisorgfaltigerQualitätskontrolleseitens desherstellersunentdecktbleiben.derwähleralssouverän habeeinenanspruchdarauf,dassvondenmitderdurchführungderwahlbeauftragtenorganenwirksamemittelergriffenwerden,umsolchemanipulationenauszuschließen.solchekontrollmöglichkeitenhabedieöffentlichkeitderzeit abernicht;sieseiimgegenteilvonderkontrolledereingesetztensoftwarederzeitvölligausgeschlossen.diejetzige PraxisstellenichtnurkeineManipulationssicherheither. sondernsiemacheessogarunmöglich,manipulationen überhauptseitensdeutscherbehördenverhindernzukönnen. Fehlendes verifizierbares Protokoll EinenwirksamenKontrollmechanismuskönnez.B.einverifizierbares,vomWählereinsehbaresPapierprotokollder abgegebenenstimmendarstellen,dasdiemöglichkeiteiner ÜberprüfungdesWahlergebnissesbietet (engl.voter-verifiableaudit-trail [VVPAT]).DamitseieinSystemgemeint, beidemeinindaswahlgerätintegrierterdruckerdiewahlentscheidungdeswählersprotokolliere.diesesprotokollsei vomwählerhinterglaseinsehbar.umdaswahlgeheimnis sicherzustellen,fielendiesequittungeneinzelnineine WahlurneundstündengegebenenfallsnachEndederWahl füreinemanuellekontrollzählungzurverfugung.die NEDAP-GeräteverfügtenhingegenüberkeinerleiKontrollmöglichkeitundseiendeshalbperseanfälligfürManipulationen.DieBedeutungderfehlendenKontrollmöglichkeitseianalogverständlichaneinemBeispielausdemGeldgeschäft:EinerBank,dieihrenKontoinhabernzwarmonatlichdieZahlderUmsätzeaufderenGirokontenunddie neuenkontosaldenmitteile,ihrenkundenaberkontoauszügemitverifizierbarenumsatzinformationenvorenthielte,würdemanzurechtnichtvertrauenwollen.eben diesesvertrauenwerdeabervomwählerbeimeinsatzder NEDAP-Geräte verlangt. Vertrauenswürdigkeit/Verifizierbarkeit der Software AusdemVerzichtaufeinealternativeKontrollmöglichkeit derstimmenspeicherungfolgeunmittelbar,dassandievertrauenswürdigkeitdersoftwarebesondershohemaßstäbe anzulegenseien.dabeikönnees verfassungsrechtlichund wahlrechtlich keinesfallsausreichendsein,dassdieeingesetztesoftwaredembundesministeriumdesinnern (BMI) alsobersterwahlbehördevertrauenswürdigerscheine.das ÖffentlichkeitsprinzipunddieimplizierteKontrollfunktion durchdieöffentlichkeiterfordertenvielmehr,dassdievertrauenswürdigkeitdersoftwareallgemeinverifizierbarsei. EinesolcheVerifizierbarkeitseiderzeitjedochnichtgegeben,dadasZulassungsverfahrenfürdieGeräteeinschließlichderPrüfungdurchdiePhysikalisch-TechnischeBundesanstaltnichtöffentlichundschondeshalbnichtverifizierbar sei,dienedap-geräteeinschließlichdereingesetztensoftwarederinteressiertenöffentlichkeitnichtfüreineunabhängigeüberprüfungzurverfügungstündenunddiesoftware dergerätenichtquelloffen ( OpenSource )sei,obwohldie VerfügbarkeildesOuellcodesfüreineEinschätzungderVertrauenswürdigkeitunabdingbarsei.DieseForderungfinde sichauchinderanlage1zu 2derBWahlGVwieder,die einevorlagedesquellcodesimrahmendeszulassungsverfahrens erfordere. Authentizität der Software EinprinzipiellesProblembeiderVertrauenswürdigkeitvon SoftwareseidieFrage,obdievomAnwendereingesetzte KopiederSoftwaremiteinerursprünglichgeprüftenSoftwareidentischunddamitfreivonManipulationensei.Zur AuthentifizierungvonSoftwaregebeesverschiedeneetablierteVerfahren.WesentlichbeisolchenPrüfverfahrensei, dassderprüfalgorithmusunddiezuprüfendekopieder SoftwarenichtausderselbenQuellestammten,dasonstdie VertrauenswürdigkeitdesPrüfalgorithmusmitgeprüftwer- denmüsse.genaudieseanforderungerfülltendienedap- Gerätenicht,dadiebeimGerätestartangezeigtenundauch ausgedrucktenprüfsummenvondereingesetztensoftware

10 Drucksache 16/ Deutscher Bundestag 16. Wahlperiode selbstberechnetwürdenunddeshalbnichtgeeignetseien, einemanipulationdersoftwarezuverhindern.siekönnten allenfallsdazudienen,denversehentlicheneinsatzeinerfalschenoderunvollständigensoftware-versionzuverhindern. Authentizität des vorgelegten Quellcodes FürdieEinschätzungderVertrauenswürdigkeiteinerkomplexenSoftwareseiinderRegeleinEinblickindenQuellcodederSoftwareerforderlich.DieseHinschätzungfinde sichinabschnittb.lder RichtlinienfürdieBauartvon Wahlgeräten (Anlage1zu 2BWahlGV)wieder,derneben dervorlagedeslauffähigenprogramms (Objektcode)auch dievorlagedeskommentiertenquellcodesverlange.umdie VertrauenswürdigkeitdeslauffähigenProgrammszugewährleisten,seiaberdiegleichzeitigeVorlagevonObjektundQuellcodenichtausreichend.Esmüsseauchgeprüft werden,obsichdaslauffähigeprogrammtatsächlichaus demvorgelegtenquellcodeerzeugenlasse.soweitsichder PrüfansatzderPTBausderBWahlGVerschließenlasse,erfolgeeinesolcheÜberprüfungjedochnicht.Daherseinicht sichergestellt,dassderptbnichtbereitseinmanipulierter Objektcodevorgelegtwerdenkönne,indemsichetwa irgendeine Hintertür oder ein Trojaner befänden. Authentizität der eingesetzten Software DieBWahlGVverlangevomHerstellerderWahlgerätedie AbgabeeinerBaugleichheitserklärung ( 2Abs.6)fürjedes indenverkehrgebrachtegerät.eineüberdasvorliegendieserbaugleichheitserklärunghinausgehendeprüfungderausgeliefertenwahlgeräteerfolgenicht.insbesondereerfolge keineauthentifizierungdereingesetztensoftware,sodass sichdiemitderdurchführungderwahlbefasstenorgane aufeinewirksamequalitätssicherungbeimherstellervertrauensvollverlassenmüsstensowiedarauf,dassdiesoftwarenachderherstellerüberprüfungnichtmehrmanipuliert wordensei.dieauthentifizierungdereingesetztensoftware ausschließlichdemherstellerzuüberlassen,seiaberebenso groteskwieesalleinschondergedankewäre,dieauszählungderstimmenbeieinerurnenwahlnichtöffentlichdurch einen privaten Dienstleister ausführen zu lassen. Technische und konstruktive Mängel Sicherheit und Vertrauenswürdigkeit des Systems DieeingesetztenGeräteentsprächenhinsichtlichihrerManipulations-Sicherheitnichtdem StandderTechnik,wie diesesdurchdierichtlinienzurbwahlgv (BuchstabeB, Ziffer2.1.)rechtlichgebotensei.EinevonderRegierungder RepublikIrlandam1.März2004eingesetzteKommission zuelektronischenwahlen (CommissiononElectronicVoting [CEV])habeinihremBerichtvomDezember2004erheblicheSicherheitsbedenkengegendieirischeVarianteder GerätegeäußertundsichgegeneineVerwendungderGeräte inirlandausgesprochen.diecevhabesichnichtinder Lagegesehen,denGebrauchdesauchbeiderBundestagswahlverwendetenSystemszuempfehlen,weildasSystem bishernichthabenachweisenkönnen,dasses (trotzmannigfacherapparativerundfunktionalervorzüge)denvonder KommissiongesetztenStandards (TermsofReference)zu genügen vermöge. EsseifürDeutschlandswahlrechtlicheVerhältnissevöllig unakzeptabel,dasseinwahlsystem,dasaufeinesystem- unabhängigeverifizierbarkeitdeswahlergebnissesver- zichte,inseinemsicherheitsansatznichtdenallgemeinan- erkanntenkonzeptenundstandardsfolgeundentgegender BWahlGVnicht unterbeachtungderfürsystememit schwerwiegendenschadensfolgenbeifehlverhalten (hohe Kritikalität)anerkanntenRegelnderTechnikaufgebaut sei. DerEinsatzderNEDAP-GeräteunddiedabeizustandegekommenenWahlergebnisseseienschondeshalbrechtswidrig. Mangelhafte Gerätesicherheit NachderAuslieferungderGerätehängedieVertrauenswürdigkeitderGerätewesentlichdavonab,obunbefugter ZugangzudenGerätenwirksamverhindertwerdeundob ManipulationenandenGerätenerkennbarseien.NachEinschätzungvonExpertenlassesichderSpeicherbaustein,auf demdiewahlsoftwaregespeichertist,innerhalbvonzwei Minutenauswechseln.Deshalbseiesunerlässlich,dassdie GeräteelektronikvorManipulationgesichertsei.DieElektronikbefindesichaufderRückseitedesGerätesuntereiner verschraubtenabdeckungundseidurchzweivomherstellerangebrachte alsodurchnichtamtliche Siegelgesichert.DieseSiegelkönntenoffenbarohnegroßeSchwierigkeitentferntwerden.Somitbestehekeinausreichender SchutzgegeneineManipulationdesWahlgerätes.WieinkonsistentundlückenhaftdasSicherheitskonzeptdesHerstellerssei,zeigesichdaran,dassvorundnachdemWahlgangdieGeräteüberzweifarbigmarkierteSchlüsselin einenanderenbetriebszustandversetztwürden,derdie KonfigurationunddasAuslesenderStimmenspeicherermögliche.DieseSchlüsselseien,zumindestinIrland,bei allengerätenidentisch,wodurchderunautorisiertezugang zu solchen Schlüsseln erheblich erleichtert werde. Mangelhaft gesicherter Stimmenspeicher DieStimmenwürdenindenStimmenspeichernunverschlüsseltabgelegt.BeidenStimmenspeichernhandeleessichum einfachstebauelementeausstandardkomponenten,deren Spezifikationöffentlichverfügbarsei.DieBausteineseien ohneweiterebeschädigungzuöffnenundwiederzuschließen.dadiestimmenindenstimmenspeichernunverschlüsseltabgelegtwürden,bestehedieeinzigesicherungsmaßnahmederspeichergegeneinbösartigesmanipulierender SpeicheralleininallenNEDAP-spezifischenSteckverbindungen,überdiedieSpeichermitdenWahlgerätenbzw. Lesegeräten verbunden würden. Sicherheitsmängel der Auswertecomputer DieWahlgerätewürdenüberbesondersgesichertePersonalcomputerfürdieWahlenkonfiguriert.DiesegesichertenPCs würdenauchfürdieauswertungderstimmenspeicherim Wahlamteingesetzt.DieirischeCEVhabebeidiesengesichertenComputernerheblicheSicherheitsmängelfestgestellt,diedasAushebelnderSicherheitsmaßnahmenermöglichten. Organisatorische Mängel Fachliche Zuständigkeit: BMI PTB Bundesamt für Sicherheit Esseioffensichtlich,dassdieBWahlGVunddieRichtlinien fürdiebauartvonwahlgerätenuntermitwirkungderptb

11 Deutscher Bundestag 16. Wahlperiode 11 Drucksache 16/3600 entstandenseien.daslassesichausderreduktionderwahlrechtlichenanforderungenaufdenapparatetechnischen Bereich (Belastbarkeit,Haltbarkeit,Rückwirkungsfreiheit, Energieversorgung)sowieausdenlediglichfunktionalen Anforderungenerschließen,diesichimKompetenzbereich derptbbefänden.beidennedap-gerätenhandeleessich aberumcomputermiteinerkomplexensoftware,dieauf überzweihunderttausendzeilenquellcodeberuhe.einebeschränkungderzulassungsprüfungaufapparattechnische Kriterienseidahervölligunangemessen.DasfürSoftware- SicherheitzuständigeBundesamtfürSicherheitinderInformationstechnikhätteindieGestaltungderBWahlGVund indaszulassungsverfahrenvonwahlgeräteneinbezogen werden müssen. Sicherheitsmängel in der Organisation des Wahlgeschäfts AufgrunddererheblichenProbleme,diedurchunautorisiertenZugangzudenGeräten,zuZubehörundSoftwareentstehenkönnten,sehedieirischeKommissionfürelektronisches WählendiedringendeNotwendigkeit,unautorisiertenZugangzudenGerätenauchzwischenverschiedenenWahlen durchgeeignetesicherheitsmaßnahmenzuverhindern.eine solchekontrollefindeaberindeutschlandnichtstatt,undes seienauchkeineangemessenenregelungeninkraft,die einesolchezugangskontrollesicherstellenkönnten.essei deshalbdavonauszugehen,dassdiegeräteinderregelausschließlichamwahltagversiegeltwürden.diesseiaber nicht ausreichend. Mandatsrelevanz In13Wahlkreisen,diederEinspruchsführerauflistet,sei ausschließlichoderüberwiegendmitdennedap-geräten gewähltworden.diebeanstandetenmängelbeiderwahldurchführungseienhieroffensichtlichmandatsrelevant,weil nichtüberprüftwerdenkönne,obdaserstimmenergebnisin diesen Wahlkreisen rechtmäßig zustande gekommen sei. Angesichtsvonetwa2000eingesetztenNEDAP-WahlgerätendürfedieZahlderbetroffenenStimmendeutlichüber 2Millionenbetragen.Diesentsprecheetwa5ProzentderabgegebenenStimmenunddamitetwa15der300Listenmandate.SomitseiendiebeanstandetenMängeloffensichtlich mandatsrelevanthinsichtlichdeszweitstimmenergebnisses. SoweitderEinspruchsführerinsoweitdiebetreffenden Wahlkreise aufzählt, wird auf die Akten verwiesen. III. ZudemVortragdesEinspruchsführershatdasBundesministeriumdesInnern (BMI)unterEinbeziehungderPhysikalisch-TechnischenBundesanstaltunddesBundeswahlleiters ebensowiezuweitereneinsprüchen,diesichaufdas ThemaderelektronischenWahlgerätebeziehen mitschreiben vom 3. Mai 2006 Stellung genommen. DanachseidervorliegendeEinspruchzurückzuweisen.Die WahlgeräteseieninsbesonderehinreichendmanipulationssicherundaucheinPapierprotokollerhöhedieManipulationssicherheitnicht.AucheineVerletzungdesÖffentlichkeitsgrundsatzeshabenichtvorgelegen.Selbstwennman Wahlfehlerannehmenwürde,seiensienichtmandatsrelevant. ZumbesserenVerständnisdertechnischenSeitederEinsprüchewerdeninderStellungnahmezunächstallgemein derweitereablaufderwahlmitwahlgeräten (Nummer1) sowiedieprüfungdurchdieptbbeschrieben (Nummer2). SodannfolgtdieStellungnahmezudenvomEinspruchsführergerügtenAspektenderWahlmitWahlgeräten (Nummer3 bis 5). 1. Ablauf der Wahl mit Wahlgeräten EinigeWochenvorderWahl,wennaufgrundderEntscheidungderWahlausschüssedieKreiswahlvorschlägeundLandeslistenderParteienunddamitderInhaltderStimmzettel feststehenwürden,programmierediegemeindebehördefür jedeswahlgeräteinspeichermodulmitdendatender StimmzettelunddenanderenkonkretenAngabenderWahl. MitdengleichenDatenwerdeeinGeräte-Stimmzettelbedruckt.DerGeräte-StimmzettelwerdevonderGemeindebehördeaufdemTastentableaudesWahlgerätsangebracht. DasprogrammierteSpeichermodulwerdeaufderRückseite deswahlgerätseingesteckt.erstmitdemspeichermodulsei daswahlgerätprinzipiellfüreinewahleinsetzbar.nachdem EinsteckendesprogrammiertenSpeichermodulserfolgeein FunktionstestdesWahlgerätsdurchdieGemeindebehörde. Dabeiwerdeunteranderemkontrolliert,obdasWahlgerät undseinsoftwareprogrammsichkorrektidentifizierten,ob alletastenrichtigprogrammiertseienundobsichkeine StimmenimSpeichermodulbefänden.BeineuerenBauarten werdeaußerdemdieunversehrtheitderversiegelung,die vomherstelleranderelektronikeinheitangebrachtworden sei,kontrolliert.seiderfunktionstesterfolgreich,werdedas GerätverschlossenundimverschlossenenZustandamtlich versiegelt. AmWahltagkontrollierederWahlvorstanddieUnversehrtheitderamtlichenSiegel,erbrechesie,bauedasWahlgerät aufundschalteesein.derwahlvorstandkontrollieredie IdentifikationdesWahlgerätsundseinesSoftwareprogramms,dasWahldatumunddenWahlbezirkbzw.-kreis unddieanzeige 0 fürdiezahlderabgegebenenwählerstimmen.diedurchzuführendenkontrollenseiendetailliert imhandbuchsowieüberblicksartiginderkurzanleitungfür diewahlvorständebeschrieben.derwahlvorstandstelledas WahlgerätmitHilfeeinesSchlüsselsaufdenBetriebszustand Wählen einundverriegelediesenbetriebszustand durcheinenzweitenschlüssel.diebeidenschlüsselwürden währenddeswahltagesbeizweiverschiedenenmitgliedern deswahlvorstandsaufbewahrt.derwahlvorstandgebedas WahlgerätfreiunddieeinzelnenWählergäbenihreStimmen ab.amendedeswahltagesentriegelederwahlvorstandmit HilfederbeidenSchlüsseldenBetriebszustand Wählen und stelle den Betriebszustand Wahlauswertung ein. ZurFeststellungderZahlderWählerwürdendieZahlder StimmabgabevermerkeunddereingenommenenWahlscheinemitdenvomWahlgerätangezeigtenZahlender StimmabgabenverglichenundinderWahlniederschriftvermerkt.DerWahlvorstandwählenunamWahlgerätdieFunktion WahlauswertungperDrucker undgewinnesodas vomwahlgeräterrechneteergebnis.indemmoment,indem diesesergebnisausgedrucktwerde,könntenkeineweiteren Stimmen mehr hinzugefügt werden. DerAusdruckdesWahlergebnisseswerdeindieWahlniederschriftaufgenommen.DerWahlvorsteherstelledieZahl derinsgesamtabgegebenenerst-undzweitstimmenundder fürjedenbewerberundjedelisteabgegebenenstimmen

12 Drucksache 16/ Deutscher Bundestag 16. Wahlperiode festundkontrolliere,obdiesummedereinzelnenergebnissemitderzahlderinsgesamtabgegebenenstimmen übereinstimme.solltederdruckerdefektsein,könneentwederdaswahlergebnisamdisplayangezeigtundvondortin diewahlunterlagenübertragenwerdenoderdasspeichermodulmitdenstimmenwerdeineinandereswahlgeräteingestecktundmitdiesemwerdederergebnisausdruckangefertigt.derwahlvorstandentfernedasspeichermodulmit denstimmenundübergebeesverpacktundversiegeltder Gemeindebehörde.DasWahlgerätwerdeebenfallsverschlossen und zurücktransportiert. DieSpeichermodulekönntenjederzeitnachAblaufdes WahltageserneutineinWahlgeräteingestecktwerden,um dasergebnisnocheinmal (bzw.beliebigoft)zugewinnen. DarüberhinauskönntendieSpeichermoduleimRahmen einerwahlprüfungausgelesenwerden.dabeikönnefestgestelltwerden,obdiestimmen,dievierfachredundantgespeichertwürden,defekteaufwiesen.dasspeichermodul enthalte,ebensowieeinstimmzettel,auchinformationen überstimmenkoppelungen (Erst-undzugehörigeZweitstimme).ÜberdieAnwendungssoftwarekönntenallegespeichertenStimmenalsStimmzettelmitdenentsprechendenKreuzenausgedrucktundvonHandnachgezähltwerden.SeienalleEinspruchsfristenverstrichen,würdendie SpeichermodulenachFreigabedurchdenBundeswahlleiter komplettgelöschtundkönntenmitdendatendernächsten Wahl programmiert werden. SchließlichenthalteauchdasWahlgerätselbstumfangreiche DiagnosefunktionenundführemitHilfedieserFunktionen beimgerätestart,währenddeslaufendenbetriebssowievor und nach der Speicherung von Stimmen Selbsttests durch. 2. Ablauf der Prüfung bei der PTB BeiderPhysikalisch-TechnischenBundesanstaltwerdeein Mustergerätgeprüft.DiePrüfungorientieresichander BundeswahlgeräteverordnungundderAnlage1zu 2 BWahlGV,denRichtlinienfürdieBauartvonWahlgeräten. Diese schrieben die zu prüfenden Anforderungen vor. DieAnforderungengliedertensichinkonstruktionstechnische,funktionaleundeinigeergonomischeAnforderungen. AnforderungenbezüglichderSicherheitseienimplizitebenfalls enthalten. BeiderPrüfungwürdenverschiedenePrüfmethodenverwendet.Anforderungenwiez.B.die,dassdasWahlgerätin seinerkonstruktiondemstanddertechnikentsprechen müsse,würdendurchinspektionendertechnischenunterlagenunddurchsichtprüfungenamgerätgeprüft.anforderungenwiez.b.dienachbestimmtenfunktionenoderabläufenwürdendurchfunktionstestsamwahlgerätgeprüft. DabeiwürdengenerellauchFehlersituationen,Defekte, falschehandhabung,stromausfälleusw.berücksichtigt.anforderungenandieverträglichkeitgegenüberbestimmten UmwelteinflüssenwürdendurchKlimakammertests,Vibrations-undFalltests,MessungenderEmpfindlichkeitgegenüberelektromagnetischenFeldern,Stromschwankungen u.ä.geprüft.auchdieelektromagnetischeabstrahlungder Wahlgerätewerdekontrolliert.ParallelzudiesenPrüfungen erfolgtendiegründlicheinspektiondesquellcodesdesin denwahlgerätenverwendetensoftwareprogramms,dynamischefunktionstestsdessoftwareprogrammssowiereviewsderentwicklungsdokumentation,dertestdokumenta- tionundderbedienungsanleitung.diesoftwareprüfung nehmeinderregel90prozentdeszeitlichenaufwandsder Baumusterprüfung in der PTB in Anspruch. DieBaumusterprüfungwerdedurcheineArbeitsgruppeder PTBdurchgeführt,dielangjährigeErfahrungenmitWahlgeräteprüfungenhabeundalsSoftwareprüfstelleakkreditiert sei.diearbeitsgruppestützesichbeiderbaumusterprüfung auchaufexterne,akkreditierteprüflaboratorien,z.b.bei den mechanischen Tests. AnbestimmtenStellenlegedieBundeswahlgeräteverordnungeinspeziellesSicherheitsniveaufest,wiez.B.beim allgemeinenzuverlässigkeits-undsicherheitsniveau,bei derrückwirkungsfreiheitusw.wodiebwahlgvkeinebesonderenfestlegungentreffe,werdebeiderprüfungder WahlgeräteeinMaßstabangelegt,mitdemmindestensein vergleichbaressicherheitsniveaugewährleistetwerdewie bei der konventionellen Wahl. BeiderPrüfungundBewertungwerdealsVoraussetzungangenommen,dasssichdasWahlgerätamWahltagpermanent unterderkontrolledeswahlvorstandesbefindeunddassdie Speichermodule,diedieStimmenenthielten,mitdergleichenSorgfaltbehandeltwürdenwieStimmzettelundUrnen bei der konventionellen Wahl. DiekonventionelleWahlmitdengesetzlichfestgelegtenZuständigkeitenundVerantwortlichkeitenderWahlvorstände habesichübereinelangezeitbewährt.genaudieserolle derwahlvorständebleibebeimeinsatzvonwahlgerätenerhalten. 3. Technische Aspekte des Einspruchs 3.1 Identifikation der Hardware und des Softwareprogramms DieHardwarederWahlgerätewerdeübereinenNamenund eineversionsnummeridentifiziert.dernamebefindesich aufdemtypenschildandervorderseitedergeräte.name undversionsnummerkönntendarüberhinausvomgerätauf Anforderungangezeigtundausgedrucktwerden.SiekönntensomitjederzeitmitdenAngabenaufderBaugleichheitserklärung verglichen werden. SoweitderEinspruchsführerkritisiert,dassdasSoftwareprogrammnichtausreichendidentifizierbarseiunddassdie IdentifikationdesSoftwareprogrammsnichtausreichendgeprüft werde, stellt das BMI fest: DasSoftwareprogrammidentifizieresichübereineVersionsnummerundzweiPrüfsummen.DiePrüfsummenwürdendurchdasGerätselbstgebildet,indemeinimSoftwareprogrammenthaltenerPrüfsummenalgorithmusverwendet werde.derprüfsummenalgorithmuswerdeimrahmender Baumusterprüfunggeprüft.Dabeiwerdefestgestellt,obder Algorithmuskorrektarbeite,oberdasgesamteSoftwareprogrammeinbeziehe,obernichtausgeschaltetoderumgangenwerdenkönneundobseineErgebnisseunverändertan den Drucker und das Display übergeben würden. DieVersionsnummerunddiebeidenPrüfsummenderSoftwarekönntenjederzeit,auchwährenddesWahltagsundim BeiseinvonWählern,amGerätangezeigtundausgedruckt werdenundmitderbaugleichheitserklärungverglichenwerden.dassoftwareprogrammseidamitjederzeitidentifizierbar.

13 Deutscher Bundestag 16. Wahlperiode 13 Drucksache 16/3600 VorderVerwendungderGerätefändenzweiKontrollender Softwareidentifikationstatt,undzwardurchdieGemeindebehördeeinigeWochenvorderWahlunddurchdieWahlvorstände am Tag der Wahl. DieGemeindebehördekomplettieredieWahlgeräte,indem diespeichermodulemitdenkonkretenangabenzurwahl programmiertundindiewahlgeräteeingestecktwürden. DieGemeindebehördeführeanschließendeinigeKontrollen aus.dabeiwerdeu.a.geprüft,obdiesoftwareidentifikation desseriengerätesmitderdeszugelassenenbaumusters übereinstimme.diesoftwareidentifikationdesbaumusters werdeinderverwendungsgenehmigungveröffentlichtund mittels eines Aufklebers auf dem Gerät angebracht. NachderKontrollederSoftwareidentifikation (undweiteren Prüfungen)würdendieWahlgeräteverschlossenundamtlich gesiegelt.indiesemzustandverbliebensiebiszumaufbau durchdenwahlvorstandammorgendeswahltags.der Wahlvorstandseiangewiesen,vordemAufbaudieUnverletztheit der Siegel zu überprüfen. NachdemAufbauderGeräteführederWahlvorstandebenfalls eine Kontrolle der Softwareidentifikation durch. BeiallenSchrittenwürdennichtnurdieAnzeigenkontrolliert,sondernauchAusdruckeangefertigt,diefürnachträgliche Überprüfungen zur Verfügung stünden. DiePrüfungenderSoftwareidentifikationdurchdieGemeindebehördeunddurchdenWahlvorstandseieninderBedienungsanleitungderWahlgerätevorgeschrieben.DieBedienungsanleitungseiBestandteilderBauart,sieseiebenfalls durchdieptbgeprüftwordenundstelleeineverbindliche Vorschrift für die Handhabung der Wahlgeräte dar. 3.2Authentifizierung des Softwareprogramms ZurVermutungdesEinspruchsführers,dassesmöglichsei, dieepromsmitdemsoftwareprogrammzuändernoderauszutauschen,ohnedassdiesbemerktwerde,wirdwiefolgt Stellung genommen: DieFragesei,obdieindenSeriengerätenbefindlichen EpromstatsächlichKopienderbeiderBaumusterprüfung geprüftenepromsseien,obalsodassoftwareprogrammauf den Eproms der Seriengeräte authentisch (echt) sei Prüfsummen und andere informationstechnische Mittel DiedurchdasWahlgerätangezeigtenoderausgedruckten Prüfsummenseiennichtdazugeeignetunddeshalbauch nichtdafürvorgesehen,dieauthentizitätdessoftwareprogrammszusichern.esseitheoretischmöglich,epromszu schaffen,dieeinverändertessoftwareprogrammenthielten undtrotzdemaufnachfragedieursprünglichen,erwarteten Prüfsummenlieferten,indemnebendemSoftwareprogramm auchderprüfsummenalgorithmusmanipuliertwerde.die PrüfsummendientendeshalballeinderIdentifikation,nicht derauthentifizierung.sieschütztenvorunabsichtlichen Veränderungen,abernurbeschränktvorbeabsichtigtenManipulationen. WürdendiebisherverwendetenPrüfsummendurchandere informationstechnischeverfahrenersetzt,dannänderesich andiesersituationgrundsätzlichnichts.solangefürdieerzeugungundanzeigedieserwerteeinalgorithmusverwen- detwerde,derbestandteildeswahlgerätesist,könnezusam- menmitdemsoftwareprogrammauchderalgorithmusma- nipuliertwerden.erkönnesoverändertwerden,dassderur- sprünglichewertvorgespiegeltwerde.allewerte,diedurch BauteileoderSoftwareprogrammedes (eventuellmanipulierten)wahlgerätesbereitgestelltwerden,seienfüreine Authentifizierungnurbeschränktgeeignetbzw.sogarungeeignet. EineAuthentifizierungübersolcheVerfahrenkönnenur vollständigsein,wenndieepromsbeijedemeinzelnen SeriengerätentnommenundaußerhalbdesWahlgerätsmit unabhängigenhilfsmittelngeprüftwürden.seiendiewerte unabhängigermitteltworden,könntensiemitdenwerten des Baumusters verglichen werden. AuchbeieinerStückprüfungallerausgeliefertenEproms könneesweiteremanipulationsmöglichkeitengeben.so könnez.b.dieelektronikeinheitsogeändertwerden,dass nichtmehrdiekontrolliertenundalskorrektbefundenen Epromsbenutztwerden,sondernneuhinzugefügte,verändert programmierte Eproms. BestündenalsoberechtigteZweifeldaran,dassdievomHerstellerproduziertenSeriengerätemitdemBaumusterübereinstimmen,dannmüsseeineStückprüfungallerausgeliefertenGeräteerfolgen,beidenennichtnurdieBaugleichheit dereproms,sondernauchdiebaugleichheitderelektronikeinheitundalleranderenwichtigenbestandteilederwahlgeräte überprüft werden müsse. Dieswäregrundsätzlichmachbar,abermiterheblichemzusätzlichem Aufwand verbunden Zugriffsmöglichkeiten auf das Softwareprogramm FallsdasSoftwareprogrammdesWahlgerätsdurcheinmanipuliertesersetztwerdensolle,dannmüssediesesmanipulierteSoftwareprogrammdieFunktionstestsvorderWahl bestehen.esmüssesichalsogrößtenteilswiedaskorrekte Softwareprogrammverhalten.Außerdemmüsseesmitder HardwarederWahlgerätezusammenarbeiten,dasonstTasten,Displaysusw.nichtfunktionierenwürden.Eserscheine deshalbunrealistisch,dassoftwareprogrammkomplettneu zuschreiben;eherseieinemodifikationdesbestehenden Softwareprogramms denkbar. UmdasbestehendeSoftwareprogrammmodifizierenzu können,müsstederquellcodeverfügbarsein.dieserliege nurbeimherstellernedapsowiebeimprüflaboratoriumin derptbvor.beidestellenseiendurchstandardmäßige SicherheitsmaßnahmenwieFirewalls,Virenschutz,RechtevergabeundZugangskontrollenvordemEindringenunbefugter Dritter geschützt Auswirkungen geänderter oder ausgetauschter Eproms DasWahlgeräteinschließlichseinesaufdenEpromsbefindlichenSoftwareprogrammsfunktionierenuralsWahlgerät, wenneinkorrektprogrammiertesspeichermoduleingestecktwerde.währenddassoftwareprogrammdengenerellenablaufdeswählensunddesauswertensderwahlbestimme,enthaltedasspeichermoduldiedatenderstimmzettel und die anderen konkreten Daten der Wahl. DieEpromsmitdemSoftwareprogrammseiendurchden Herstellerproduziert,indasWahlgeräteingebautunddieses

14 Drucksache 16/ Deutscher Bundestag 16. Wahlperiode dannausgeliefertworden.diedatenderstimmzettelunddie anderenkonkretenwahldatenstündenersteinigewochen vordemwahlterminfestundwerdenerstdannunabhängig vomherstellervondergemeindebehördeindiespeichermodule einprogrammiert. WürdennundieEpromsbeimHerstellerodernachderAuslieferungmanipuliert,dannseiennurManipulationenohne genauekenntnisdertastenbelegungunddernummerierung vonbewerbernmöglich.esseizumbeispielnurmöglich, dassoftwareprogrammsozuändern,dassderbewerber3 einenteilderstimmendesbewerbers4bekommtoderdass StimmenmiteinemfestenVerhältnisaufdieListenderParteien7und8aufgeteiltwerden.WelcheBewerbersicham WahltagunterdenNummern3und4verbergenoderwelche ListenamWahltagdieNummern7und8habenwerden,sei biseinigewochenvorderwahlinderregelnichtbekannt. DieBelegungderTastenänderesichaußerdemvonWahlzu Wahl.ManipulationenmüsstenalsoinderRegel blind erfolgenundwürdensichdannaufallewahleningleicherart und Weise auswirken. GezielteManipulationsversucheseiendamitinderRegel schwierig,solangesiesichaufdiemanipulationdereproms beschränken.sieseiennursinnvoll,wenndiemanipulation auchdiegefülltenspeichermodulemitdendatenfüreine bestimmtewahlumfasse.sobalddieseabervorliegen,eingestecktundüberprüftwordenseien,seiendiewahlgeräte verschlossen,amtlichversiegeltundbesondersgeschützt aufbewahrt. Zusammenfassendseizusagen,dassdieAuthentizitätdes SoftwareprogrammsbeidenWahlgerätendurcheineGesamtheitvonGegebenheitenundflankierendenMaßnahmen gewährleistetwerde.hierzuzählevorallemdietatsache, dassfüreinemanipulationderzugriffaufdenquellcodedes SoftwareprogrammsundderZugriffaufdiegefülltenSpeichermodulenötigseien.DerZugriffaufdenQuellcode würdestrafbarehandlungen,wieeinunbefugteseindringen beimherstelleroderderptbvoraussetzen.einzugriffauf diespeichermoduleseierstdannsinnvoll,wenndiewahlgerätebereitsaufdiewahlämterverteilt,dortkomplettiert undversiegeltwordenseien.zudiesemzeitpunktseiensie aberbesondersgeschütztaufbewahrt,sodasseinzugriff ebensounwahrscheinlicherscheinewieeinzugriffaufdie von der Gemeindebehörde aufbewahrten Stimmzettel. 3.3 Übereinstimmung von Quellcode und Softwareprogramm DieEinspruchsführerhättenvermutet,dassderbeiderPTB geprüftequellcodenichtmitdemsoftwareprogrammübereinstimmenkönne,dasindenwahllokalenzumeinsatz komme. DiesesProblembesteheauszweiTeilen:a)Gehörenderin derptbgeprüftequellcodeunddasinderptbalsbestandteildesbaumustersgeprüftesoftwareprogrammzusammen?b)entsprechendieindenwahllokaleneingesetzten SeriengerätemitihrenSoftwareprogrammendemBaumuster?Problema)werdeimfolgendenAblaufdargestellt,währendProblemb)dieinPunkt3.2bereitsbehandelteAuthentifizierung des eingesetzten Softwareprogramms betreffe. DerQuellcodewerdebeimHerstellerderWahlgerätedurch dieprogrammierergeschrieben.ausihmgehedurcheinen ÜbersetzungsvorgangdasSoftwareprogrammhervor,das sichaufdenepromsiminnerendeswahlgerätsbefinde.der HerstellersendeeinWahlgeräteinschließlichderEproms mitdemsoftwareprogrammfürdiebaumusterprüfungbei derptbein.gleichzeitigreicheerauchdenquellcodeein, ausdemdassoftwareprogrammhervorgegangensei.der Herstellerversichereverbindlich,dassdasSoftwareprogrammausgenaudemQuellcodehervorgegangensei,der zurprüfungvorgelegtwird.dadiefunktionalitätdeswahlgerätessowohlambaumustermitdemdarinenthaltenen SoftwareprogrammalsauchdurcheineInspektiondes Quellcodesgeprüftwerde,würdenAbweichungenzwischen beidenmitgroßerwahrscheinlichkeitwährendderprüfung entdecktwerden.zusolchenabweichungenseiesbisher nicht gekommen. AlszusätzlichevertrauensbildendeMaßnahmewürdeaußerdemimRahmendererstenBaumusterprüfungendurchdie PTBeinAuditderSoftwareentwicklungbeimHersteller durchgeführt. 3.4 Sicherung der Stimmen im Speichermodul DerEinspruchsführerhabeangeführt,dassdieStimmenim Speichermodulnichtverschlüsseltabgelegtsind,undvermute,dassdieseeinfachgeändertodergelöschtwerdenkönnen. DieStimmenseienimSpeichermodulnurinsoweitunverschlüsseltabgelegt,alsmanunterVerschlüsselungdieAnwendungeineskryptografischenAlgorithmusverstehe.Sie seienkeineswegseinfachablesbarimspeichermodulabgelegt.umsiezuändern,seinebendemzugriffaufdas (geschütztbeidengemeindebehördenaufbewahrte)speichermodulundeinpassendesprogrammiergerätauchdieinformationerforderlich,wiediestimmenimspeichermodulabgelegtwerdenmüssen,damitdaswahlgerätsiebeimzählen berücksichtigt.diestimmenwürdenaußerdemredundant undmiteinigensicherungsmaßnahmenabgelegt,sodasssie beiderauswertunghinsichtlichihrerintegritätgeprüftwerdenkönnten.verletztendiemanipuliertenstimmeneineder Integritätsregeln,würdensienichtgezähltundeineFehlermeldung erscheine. EineOffenlegungdesQuellcodeswürdedieIntegritätsbedingungenallgemeinbekanntmachenunddamitAnsatzpunkte für Manipulationsversuche bieten. EinfacheralsdiegezielteManipulationeinzelneroderaller StimmenseidieLöschungvonStimmen,sofernZugriffauf diespeichermoduleundeinpassendesprogrammiergerät bestehe.umdieszuverhindern,würdendiespeichermodule währendderwahlbeaufsichtigtundnachderwahlgenauso sicher aufbewahrt wie ausgefüllte Stimmzettel. 3.5Sicherheitsmängel der Auswertecomputer DerEinspruchsführerhabeaufdiezahlreichenProbleme,die inirlandmitdenpcsundderspeziellensoftwareaufgetretenseien,diefürdiewahlauswertungverwendetworden seien, verwiesen. DasirischeWahlsystemlegefest,dassdieInhaltemehrerer WahlurnenvorderAuszählunggemischtwerdenmüssten. DamitseiesinIrlanderforderlich,dieSpeichermodulemehrererWahlgeräteaneinerzentralenStellezusammenzuführenund (ineinerdatenbankaufeinempc)zumischen,be-

15 Deutscher Bundestag 16. Wahlperiode 15 Drucksache 16/3600 vordiewahlauswertungstattfindendarf.dasergebnis werdealsomithilfeeinespcsunddaraufbefindlicherspezieller Software gewonnen. DieseSituationbesteheinDeutschlandnicht.Injedem WahllokalstellederWahlvorstandmitHilfedesWahlgeräts amendedeswahltagesdaswahlergebnisdeswahlbezirkes fest. DieWiederholungderWahlauswertunginderGemeindebehördeseidemgegenüberkeineFeststellungdesamtlichen Endergebnisses. ImWahlamtwürdeninderRegeldieSpeichermoduleaus deneinzelnenwahllokalennocheinmalgelesen,dieergebnisseaufeinempcgesammeltunddannaddiert.stattdessen oderparalleldazukönntenjedochauchdievondenwahlvorständenermitteltenergebnisseausdenwahllokalenverwendetunddiesemanuellodermiteinemtaschenrechner addiert werden. DieinIrlandfürdieUmrechnungderStimmeninSitzeverwendeteundebenfallsvonderirischenKommissionkritisiertespezielleSoftwareseinurfürsogenannteSTV-Wahlen (SingleTransferableVoteElections)geeignet,diein Deutschland keine Verwendung fänden. DadasindenWahlämternzumAddierenverwendeteVerfahrenunddemzufolgeauchdiedafürverwendetenPCsund ihrespeziellesoftwarefürdiegewinnungdesamtlichen Endergebnissesnichtrelevantseien,unterlägensiekeinen speziellenanforderungen.sieseiennichtbestandteilder Bauart und würden nicht geprüft. 3.6 Fehlen eines verifizierbaren Protokolls ZurKritikdesEinspruchsführers,dassdieVerwendungvon Wahlgerätenohne (Papier-)Protokollfunktiondazuführe, dasseineauszählungnichtüberprüfbarsei,wirdwiefolgt Stellung genommen: Eindenkbares,beiGerätenderFirmaNEDAPabernichterstelltes,Papierprotokoll (auchengl.voterverifiablepaper AuditTrail [VVPAT]genannt)werdedurchdasWahlgerät vorderendgültigenstimmabgabeausgedruckt,demwähler hinterglaspräsentiertundnachderbestätigungdurchden WählerunddamitendgültigerStimmabgabeineineangeschlossene Urne geworfen. DieVerwendungvonVVPATshabeVor-undNachteileund seiinderfachweltnichtunumstritten.insbesonderesei durchdieverwendungeinesvvpatkeineunabhängigeverifikationmöglich.sokönnedervvpat,wiejedespapierprodukt,manipuliertwerden.esgebeungezähltemöglichkeiten,professionellaussehendedrucksachenherzustellen. FürdaszusätzlicherforderlicheZerstörenoderAustauschen vonstimmzettelnseienkeinerleibesonderefähigkeitennötig.imgegensatzdazuerforderedasmanipulierenelektronischerdatenspeziellekenntnisse.ausdiesengründensei dervvpatgrundsätzlichunzuverlässigeralsdieelektronischendaten.dervvpatseiauchnichtunabhängig.er könnenichtdasmangelndevertrauenindiefunktionsfähigkeitdeswahlgerätsersetzen,daervomwahlgeräterzeugt werde.nachdemderwählerdiewahlkabineverlassenhabe, könnedaswahlgerätz.b.dengeradeerzeugtenvvpatals ungültigmarkierenundeinenneuendrucken.dieskönne zwarmittestsentdecktwerden.dervvpatsolleabergeradedeswegenverwendetwerden,weildentestsdeswahl- gerätskeinvertrauenentgegengebrachtwerde.werdeder VVPATumverschlüsselteMerkmaleergänzt,umdasEinfügenzusätzlicherPapierquittungenoderdasErsetzenvonPapierquittungenzuverhindern,dannkönneerwiederumnicht mehrdurchdenwählerüberprüftwerden.derwählersei dannnichtmehrinderlagezuentscheiden,obderihmpräsentiertevvpatkorrektmarkiertwordenseiundspätermitgezähltwerde.weiterseifürdierealisierungeindrucker nötig,dernichtnurausfallenkönne,sondernwährenddes WahltagesauchkleinereProblemewiePapierstau,auslaufendeTinteusw.verursachenkönne.ZudemseiesbeiWahlenmitvielenStimmenmöglich,dassderWählerseineAuswahlteilweisevergesseundfälschlicherweiseannehme, dassdervvpatnichtkorrektsei.dieserhöheunberechtigterweisediezweifelgegenüberdemwahlgerätundkönnezu einerüberflüssigennachzählungführen.schließlichseies sehrschwierig,vvpatssozugestalten,dassauchbehindertewählermitihnenzurechtkämen.sokönntenz.b. SehschwachewiederaufHilfeangewiesensein,umihren VVPATzukontrollieren.AbschließendverweistdasBMI aufeinekleinestudiedesmassachusettsinstituteoftechnology,einesderrenommiertestentechnologie-forschungsinstitutederusa,dieergebenhabe,dassdergrößteteilder TestwählerdenVVPATungelesenbestätigeoder,wenner ihngelesenundalsfehlerhaftempfundenhabe,trotzdembestätige (inderannahme,dassdaspapiernichtlügenkönne). DasVVPATkönneallerdingsu.U.auchVorteilehaben.BisherfehltenjedochpraktischeErfahrungenmitdiesemHilfsmittel.IndennächstenJahrenstündenmehrereWahlenim AuslandmitVVPATbevor,diewissenschaftlichuntersucht werdensollten.dieptbwerdedieweitereentwicklungauf diesemgebietbeobachten.derzeitsprechenichtsdafür, dasseinvvpatdieohnehinschonhohesicherheitder Wahlgerätenocherhöhenwürde.EingenerellesMisstrauen derbevölkerungindiesicherheitderwahlgeräteseiebenfallsnichtersichtlich,sodassauchdieseraspektnichtdie Einführung des VVPAT angeraten erscheinen lasse. 4. Rechtliche Aspekte des Einspruchs 4.1Verletzung des Öffentlichkeitsgrundsatzes EineVerletzungdesÖffentlichkeitsgrundsatzesliegenicht vor. DasÖffentlichkeitsprinzipwerdenachherrschenderAuffassungausdemDemokratieprinzipimSinnevonArtikel20 Abs.1GGabgeleitet (Schreiber,KommentarzumBWG, 7.Auflage,2002, 10Rn.1;Karpen,ElektronischeWahlen?EinigeverfassungsrechtlicheFragen,2005,S.31).Die ÖffentlichkeitderWahlseieineGrundvoraussetzungfüreine demokratischepolitischewillensbildung.dieöffentlichkeit übegegenüberdenwahlorganeneinekontrollfunktionaus; geheimeauszählungenoderberatungenseiendaherunzulässig.dasöffentlichkeitsprinzipdienedamitdemschutz vorwahlfälschungenunddemvertrauenderbürgerin manipulationsfreiewahlen (VerfassungsgerichtshofNordrhein-Westfalen,NVwZ1991,S.1175,1179;Oberverwaltungsgericht Koblenz, NVwZ 1991, 598, 600). EinfachrechtlichseidasÖffentlichkeitsprinzipinden 10, 31desBundeswahlgesetzesund 54BWOgeregelt.Gemäß 10BWGfindedieVerhandlung,BeratungundEntscheidungderWahlausschüsseundWahlvorständeinöffentlicher Sitzungstatt.DergesamteWillensbildungs-undEntschei-