Ein Logbuch:Spezial zur Analyse der Bundestagswahlsoftware "PC-Wahl"
Das Gespenst der Wahlcomputer zur Erfassung der Wählerstimmen konnte in Deutschland schon vor Jahren erfolgreich vertrieben werden. Das Bundesverfassungsgericht hat dem Einsatz solcher Abstimmungsautomaten unüberwindbare hohe Grenzen gesetzt und das ist auch gut so. Trotzdem kommt hinter den Kulissen noch Software zum Einsatz, über die wenig bekannt ist und denkbar gruselig daherkommt. Eines der in Deutschland weit verbreiteten Systeme ist die Windows-Software "PC-Wahl". Nachdem Martin Tschirsich erste Erkenntnisse gewonnen hatte, nahmen auch Thorsten Schröder und Linus Neumann die Software genauer unter die Lupe und entdeckten teilweise haarsträubende Sicherheitslücken und konzeptionelle Fehler. In dieser Folge von Logbuch:Netzpolitik stellen wir mit allen Beteiligten die gewonnenen Erkenntnisse vor und diskutieren die daraus resultierenden Risiken für den Wahlprozess und das Vertrauen in Wahlen allgemein.

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.
Bitte beachten: das Transkript wurde automatisiert erzeugt und wurde nicht nachträglich gegengelesen oder korrigiert. Dieser Prozess ist nicht sonderlich genau und das Ergebnis enthält daher mit Sicherheit eine Reihe von Fehlern. Im Zweifel gilt immer das in der Sendung aufgezeichnete gesprochene Wort. Formate: HTML, WEBVTT.
Transkript
Verwandte Episoden
Shownotes
- Thorsten Schröder, Linus Neumann, Martin Tschirsich: Analyse einer Wahlsoftware
- github: Walrus PC-Wahl 10 Hacking Tools
- Pressemitteilung Chaos Computer Club: Software zur Auswertung der Bundestagswahl unsicher und angreifbar
- Bericht Zeit Online: Die Bundestagswahl kann manipuliert werden
- Kommentar Zeit Online: Hack der Bundestagswahl: Das Vertrauen in die Demokratie wird fahrlässig gefährdet
- Spiegel Online: Bundestagswahl 2017: Unsichere Software
- Bundesverfassungsgericht: Leitsätze zum Urteil des Zweiten Senats vom 3. März 2009, 2 BvC 3/07, 2 BvC 4/07
- pc-wahl.de
- vote-it.de: PC-Wahl
- vote-it.de: Votemanager
- vote-it.de: Zwei führende Wahllösungen unter einem Dach und in neuer Gesellschaft
- netzbuergerrechte.de: Archiv der Kategorie: PC-Wahl
- ekom21: Das FTP-Modul zum Download
SSL Report: pc-wahl.de
Assessed on: Thu, 07 Sep 2017 12:12:39 UTC | Hide | Clear cache
Ignore Certificate Mismatch >>
Certificate name mismatch
Click here to ignore the mismatch and proceed with the tests
Try these other domain names (extracted from the certificate(s)):
http://www.wahlinfo.de
wahlinfo.de
Kann man das Überprüfen/Offenlegen des Quellcode von öffentlich genutzter Software, insbesondere in so einem dramatischen Fall, juristisch durchsetzen? Wäre da die GFF – Gesellschaft für Freiheitsrechte e.V. https://freiheitsrechte.org/ eine Idee?
01:39:23
„Ja warum haben Sie denn Ihre Demokratie zerstört??“
„Die Leute waren ungeduldig“
[Hier; Die Leute = Die Nachrichten-Industrie]
Schön, dass du wieder am Mikrophon bist Tim!
Tja, die Zeiten als Spezial-Experten sind für euch jetzt vorbei.
Laut NDR Info seid ihr, Zitat „Hacker-Experten“.
Herrlich!
Leute, ihr seid klasse! Ich musste beim Zuhören sooo herzlich lachen denn bei der Bundestagswahl 2013 sollte ich bei einer Gemeinde in BaWü besagte Software PC-Wahl so einzurichten, dass sie die Wahlergebnisse per FTP auf einen Server schiebt. Weil es mit dem eingebauten FTP-Client einfach nicht funktioniert hat, habe ich den Zugriff einfach mal mit einem frei verfügbaren FTP-Client getestet. Das hat auf Anhieb funktioniert. Auf dem Server konnte ich Dutzende, nach Wahlkreisnummern benannte, Ordner sehen. Mir ist damals aufgefallen, dass ich in die Ordner anderer Wahlkreise reinschauen und beliebige Dateien hochladen konnte. Ich hatte dann Kontakt mit dem kommunalen Rechenzentrum welches für den Betrieb der Software zuständig war. Keiner der drei Ansprechpartner wusste was FTP überhaupt ist! Und niemand konnte nachvollziehen wie ich die ganzen Ordner überhaupt sehen kann denn in der GUI von PC-Wahl wurden sie ja nicht angezeigt. Fazit: Das Problem konnte nicht gelöst werden. Versprochene Rückrufe sind nie erfolgt. Und ich weiß bis heute nicht wie die Gemeinde ihre Wahlergebnisse damals weitergemeldet hat … über PC-Wahl sicher nicht! Vielen Dank für eure Arbeit und diesen Podcast!!!
Dann steht dem „100% plus X“ Ziel der Partei ja nichts mehr im Weg.
Danke! Bitte unbequem bleiben.
Dann bin ich ja beruhigt, dann bekommen die vom Zitis auch nichts auf die Reihe.
Nur einen Programmierer und kein Audit? Das ist doch schon fast fahrlässig. Der hätte ja alles machen können. Wer sagt den „Das ist ein hoch kritischer Bereich das kann dann ja jemand allein machen“.
Ich bin fassungslos.
Da ja im Verlauf des Podcasts Rop einmal zitiert wird, will ich ein weiteres Zitat von ihm hinzufügen, das Eure Erkenntnisse ganz gut zusammenfasst, auch wenn es ihm damals um Wahlcomputer in irgendeinem Land ging:
XYZ (hier natürlich: ’s/XYZ/Germany/‘) has perfectly secure voting machines (hier dann natürlich:’s/machines/software/‘) …
(kurze, dramatische Pause)
…. until wet get our hands on them.
Danke für Eure Analysen und besonderen Dank an THS für den Lacher des Tages („Quellen-TKM“), auch wenn ich danach den Monitor putzen musste.
HW
Ich danke für Euer Engagement und die unschätzbar wichtige Arbeit mit dieser Software.
Mich stört ein wenig die Stammtisch-ähnliche Häme, mit der über die Verfehlungen des Herstellers (des Entwicklers!) hergezogen wird, andererseits ist die Fassung angesichts dieser Sicherheitslücken tatsächlich kaum zu wahren.
Trotzdem, nochmals Danke.
Ich hatte zwischendurch ein bisschen Mitleid mit dem Entwickler, wenn man bedenkt wie lange es die Software schon gibt, kann man ja ungefähr auf das Alter zurückschließen. Dann habe ich aber irgendwo gelesen, dass seine Firma damit ca. eine halbe Million Euro Umsatz im Jahr macht. Da war das Mitleid ganz schnell wieder weg. Jetzt wäre es neben den technischen Vorgängen auch mal interessant, die organisatorischen Vorgänge aufzuzeigen. Wie kann also jemand allein und ohne Aufsicht dorthin kommen und da über Jahre bleiben?
Wunder mich schon sehr lange, dass die Bevölkerung nach all den „goldenen“ Jahren so konstant hinter den neoliberalen Heilsbringern steht, wenn mal Wahlen anstehen.
Aluhut auf:
Am Ende vermutlich auch so ein vertrauenswürdiger/verdeckter BND-/Verfassungsschutz-/IM-ler.
Überraschen würds mich zumindest nicht…Fußball-like, Brot und Spiele alle 4 Jahre + paar Prozente für die Linken, damit sich keiner wundert.
Wirklich schade, das die letzten Wahlen nicht mal überprüft/neu ausgezählt werden können. Gibt bestimmt genug Arbeitslose, die dies schon allein aus Liebe & Dank zu den Großparteien für lau bzw weniger als`nen Euro/Std machen würden…prinzipiell, in jeder größen Stadt paar Tausend stimmen für SPD & CDU dazu mogeln = große Koalition = Wahnsinn der letzten Jahre.
An Tim & Linus und an alle anderen Beteiligten:
Auch rückblickend wirklich erstklassige Arbeit von Euch, mit Abstand der beste Podcast bzw thementechnisch auch für Laien sehr gut zu verstehen.
Danke für Eure Arbeit!
Wow, leute!
Das ist schockierend. Ich bin kein ITler, höchstens „interessierter nutzer“ und habe entsprechend eher wenig technische vorkenntnis. Aber selbst mit diesem nur kleinen basisverständnis, gepaart mit euren ausführungen, entsteht doch ein sehr deutlicher eindruck von der einfachheit und vielfältigkeit der möglichen manipulationen.
Und dann auch noch dieses logo und interface… nicht die platteste, schlechteste persiflage könnte das toppen… unfassbar.
Herzlichen glückwunsch (oder ist das unangemessen?), auf jeden fall aber dicksten, herzlichen dank für eure arbeit!
Und ich möchte mal meine unterstützung für die klare haltung des CCC kundtun, trotz oder besser wegen solcher veröffentlichungen und arbeit des clubs sich nicht zum offiziellen bundesprüfdienst für technische errungenschaften machen zu lassen.
Grüße aus darmstadt (auch nach darmstadt an martin),
timm
So viele Ziegelsteine sind schon lange nicht mehr unter meinem Stuhl gelandet.
Fri, 08 Sep 2017 14:40:35 +0200, Testing: pc-wahl.de_217.160.50.68 443 with ciphers ALL:eNULL:aNULL
Get CERT & KeyExchange: OK
CERT Subject: OU=GT30995744, OU=See http://www.geotrust.com/resources/cps (c)15, OU=Domain Control Validated – QuickSSL(R) Premium, CN=www.wahlinfo.de
CERT Verify return code: 0 (ok)
Checking names (CN/SAN):
CN/SAN names: wahlinfo.de http://www.wahlinfo.de (NO MATCH)
Testing protocols:
SSLv2: NO
SSLv3: NO
TLSv1: YES
TLSv1.1: YES
TLSv1.2: YES
Testing ciphers using protocol TLSv1.2:
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=ECDH Au=RSA Enc=AESGCM(256) Mac=AEAD TempKey: ECDH, prime256v1, 256 bits
…
TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(128) Mac=SHA1 TempKey: DH, 2048 bits
TLS_RSA_WITH_AES_128_GCM_SHA256 AES128-GCM-SHA256 TLSv1.2 Kx=RSA Au=RSA Enc=AESGCM(128) Mac=AEAD
TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA256 TLSv1.2 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA256
TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1
TLS_RSA_WITH_CAMELLIA_128_CBC_SHA CAMELLIA128-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(128) Mac=SHA1
TLS_DHE_RSA_WITH_SEED_CBC_SHA DHE-RSA-SEED-SHA SSLv3 Kx=DH Au=RSA Enc=SEED(128) Mac=SHA1 TempKey: DH, 2048 bits
TLS_RSA_WITH_SEED_CBC_SHA SEED-SHA SSLv3 Kx=RSA Au=RSA Enc=SEED(128) Mac=SHA1
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA SSLv3 Kx=ECDH Au=RSA Enc=3DES(168) Mac=SHA1 TempKey: ECDH, prime256v1, 256 bits
SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA SSLv3 Kx=DH Au=RSA Enc=3DES(168) Mac=SHA1 TempKey: DH, 2048 bits
SSL_RSA_WITH_3DES_EDE_CBC_SHA TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA SSLv3 Kx=RSA Au=RSA Enc=3DES(168) Mac=SHA1
CIPHER_COUNT: 27
Checking supported Curves:
CURVE NID_X9_62_prime256v1 P-256 prime256v1, X9.62/SECG curve over a 256 bit prime field
Getting DH param modulus:
static unsigned char dh2048_p[]={
0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xC9, 0x0F, 0xDA, 0xA2,
…
0xFF, 0xFF, 0xFF, 0xFF };
dh2048_p bin sha1sum: b95c799aa5dd388c6df5e72398cb9d7df40519e4
WARNING: DH params look like RFC 3526 May 2003, 2048-bit MODP Group; Apache 2.2 Ubuntu with rfc3526-Patch Builtin
Ist nicht ganz so schlecht, auch wenn noch einiges optimierbar ist. Aber Ciphers aus SSL3 müssen nicht mehr sein.
Wenn hier ein einfaches Hosting bei einem der großen Anbieter gemacht wird, stelle ich mir doch folgende Fragen:
– Liegt die Software auch dort auf dem Server?
– Liegt etwa noch der Quelltext da auf dem Server?
– Liegt die Software auch dort auf dem Server?
Ja, das haben wir glaube ich auch ausführlich dargestellt, da wir von dort das Update ausrollen könnten.
– Liegt etwa noch der Quelltext da auf dem Server?
Nein.
Zu der SSL-Sache: Wenn wir findings dieser Art mit aufgenommen hätten, wären wir nie fertig geworden. Ein auf signierten Updates basierender Update-Prozess könnte aber übrigens auch über HTTP stattfinden, deshalb ist das desaströs kaputte SSL auch kaum der Rede wert in Anbetracht der anderen nuklearen Krater.
Mhh, sowas hatte ich mir schon gedacht. Dennoch vielen Dank für die Recherche, Analyse und natürlich den schönen Podcast :-)
Letztes Jahr habe ich mal hier an der Landtagswahl als Helfer mitgewirkt. Das Ganze erschien mir damals schon haarsträubend und auch die mangelhafte Organisation und Einweisung (auch abseits von IT) waren für mich Gründe, in Zukunft so nicht mehr an unserer Demokratie mitzuwirken.
Was mir technisch damals aufgefallen ist, dass die Schnellmeldung über private Handys, ohne Losung oder Authentifizierung erfolgten. Auch das Zusammentragen, Transportieren und Lagern der Wahlzettel war ohne Legitimation und quasi auf Zuruf. Sollte da jemand wirklich Lust haben für Verzerrungen zu sorgen, erschien mir das definitiv nicht ausgesc