38C3 - Der Thüring-Test für Wahlsoftware

Wähle Dein Risiko!

Vor der Bundestagswahl 2017 veröffentlichten wir unsere Analyse über haarsträubende Sicherheitslücken in einer weit verbreiteten Wahlsoftware.

Seitdem ist einiges passiert: Der Hersteller hat die Probleme nicht behoben, das BSI hat einen Stapel Papier produziert, die deutschen Anbieter von Wahlsoftware haben ihr Kartell vergrößert und unterschiedliche Wahl-Pannen untergraben weiterhin das Vertrauen in die Demokratie.

Wurden unsere Empfehlungen von 2017 umgesetzt?
Wir nehmen den Decompiler und schauen mal nach.

Linus Neumann, Thorsten Schröder

#38c3 #EthicsSocietyPolitics

[thejackimonster]

War sicher harte Arbeit diese tausenden von Java-Klassen zu implementieren und dabei so grundlegende Sicherheitsaspekte zu vernachlässigen.

[einl]

Kommentar für den Algorithmus. Hoffentlich wird dieses Thema zumindest etwas in den Medien angeschnitten, der Laden nicht mehr unter Vertrag genommen und Software dieser Art von einer Firma entwickelt die wirklich Ahnung von IT-Sicherheit hat - eventuell ja sogar Open-Source. Das ist ja wirklich Wahnsinn. Danke für den Vortrag!

[invarietateconcordia]

Zur Ehrenrettung der Stadt Köln: Ich war in Köln schon Wahlhelfer und habe Ergebnisse telefonisch durchgegeben. Es hat atsächlich relativ zügig funktioniert. Die Abfrage läuft in einem effizient standardisierten Verfahren. Es folgt direkt eine Plausibilitätskontrolle. Zudem ist zu bedenken, dass nicht alle gleichzeitig fertig werden mit der Auszählung, sodass ohnehin nicht alle gleichzeitig in der Leitung hängen. Funktionierte viel besser als ich gedacht hätte.

[LarsEckert_Molimo]

Könnte man da nicht als gemeinnützige GmbH beim nächsten mal ein eigenes Angebot für die Ausschreibung einreichen, so auf FSJ Basis oder so?

[EndloseLeere]

wo ist die anzeige gegen die vote group der kartellbehörde wegen monopol? Wenn die wirklich mit dieser Software ins netz gehen ist es doch für euch die große chance mal ein eigenes funktionierendes update mit einzuweben^^.

[ttt]

Wahlsoftware von Deutschlands Java Opis. Hervorragend!

[dsd]

Warum zum Geier gibt es für Wahlen eigentlich keine OpenSource-Software, die prinzipiell überall zur Anwendung kommt, die jeder einsehen kann und die vom BSI zertifiziert ist?

[alles_moegliche]

Wer sagt eigentlich das öffentliche Güter sich der Marktliberalisierung unterzuordnen haben? Doch nur für den Fall das die staatlichen Kontrollinstanzen wie das BSI dann auch genug Hebel gegenüber den PPPs haben, oder? Das sehe ich beides nicht als gegeben an.

[ElectronTinkerer]

Genialer Vortrag. Ihr beide seid großartig.

[lysalia]

Hab so lang darauf gewartet den vortrag schauen zu können :'D

[Goajunkie]

Sehr interessanter Vortrag. Vor allem wenn man dann erkennt, dass unsere Gemeinde Gesellschafter bei diesem “Verein” ist, und bei uns in der Region komplett für die kommunale IT zuständig sind.

[niklasstg]

Immer wieder ein schöner Vortrag.
Nur eine Sache noch... da das Ding anscheinend (teilweise) in Java geschrieben ist, ist das dekompilieren so leicht, das ist schon fast open source xD

[jogshoggoth]

Im Wahlraum hört dich keiner schreien.

[X]

Was ist denn überhaupt in der Software drin?
Bei Wahlsoftware hab ich irgendwie nur die Simpelste Oberfläche im Kopf, die praktisch nichts macht außer "Gib hier die Zahlen ein", "Hier Wahlzettel Teilnehmer eingeben und drucken" und "Übertrage an 'server'"

Kann doch nicht so schwer sein, da mal an einem Wochenende was auf mindestens besserem Niveau hoch zu klöppeln

[tobiiias]

Ich frag mich auch wieso bei der coming soon Webseite von votegroup beim Impressum und Datenschutz eine andere URL aufgeht?

[angegeben]

Wie kommt man bei so einem simplen Programm auf über 8000 Klassen? Das verstehe ich wirklich nicht.

[DesaMii]

Wild, einfach echt wild. Hab zwar nicht alles verstanden, aber das was ich verstanden hab, lässt einfach Haare zu Berge stehen.

[lukashei]

Wobei man zu Köln sagen muss: ich hatte jetzt bisher nie großartig Probleme mit der Telefonmeldu g gibt (und so lange mussten die SchrF nie warten, bis die Leitung frei war, weniger als 5 min idR): wozu tut man sich den Krampf an?

[fibonacci]

Behörden kann man gefühlt einfach alles verkaufen und die finden es dann toll, innovativ und sicher.

[Nereus]

3:58 In Sachsen wurde zuerst mit dem falschen Sitzverteilungsverfahren gerechnet. Bei der Wahl 2019 kam noch D’Hondt zur Anwendung, 2024 Sainte-Laguë. Ich glaube da hat jemand ganz einfach das falsche Verfahren in der Software ausgewählt.