Diese Kolumne berichtet aus der Perspektive von GNU-Projekt und FSF über Projekte und aktuelle Geschehnisse im Umfeld freier Software. Diese Ausgabe beschäftigt sich mit dem E-Voting in Brasilien, der elektronischen Patientenakte sowie mobilen Geräten und startet einen Aufruf für Tuxmobil.

Abbildung 1: Trotz des Manipulationsverdachts setzt die brasilianische Regierung weiterhin auf den Einsatz elektronischer Wahlmaschinen, die keine Kontrolle der Stimmabgabe erlauben.

Stellen Sie sich vor, Sie erhalten dieser Tage Post, in der Angela Merkel Sie mit den folgenden Worten begrüßt: “Wie mir auffiel, haben Sie bei der letzten Bundestagswahl der SPD den Vorzug vor meiner Partei gegeben. Ich würde mich gerne mit Ihnen über die Gründe Ihrer Wahl unterhalten.” Oder vielleicht etwas subtiler: Sie haben die Grünen gewählt und erhalten plötzlich und unerwartet Einladungen zu “Liberalen Butterfahrten mit Guido Westerwelle”.

Fiktion oder Wirklichkeit?

Klingt unrealistisch? Die Diskussionen über E-Voting nehmen aber eher zu als ab. In Brasilien denken viele sogar darüber nach, ob sich die Einwohner für die elektronische Wahl per Fingerabdruck identifizieren sollen [1]. Das brasilianische Volk wählt bereits seit 1996 nur noch elektronisch, seit 2000 erfasst der Staat alle Stimmen ausschließlich elektronisch [2]. Daher scheint es sinnvoll, sich die Praxis näher anzuschauen.

Wählen ist – anders als in fast allen europäischen Staaten – in Brasilien Bürgerpflicht. Den Nichtwählern droht ein (kleines) Bußgeld. Bei rund sieben Prozent Analphabeten in der Bevölkerung wirft dies viele Fragen in Bezug auf mögliche Einflussnahmen und die Bedingungen für die freie Meinungsbildung auf. Es scheint verbreitet, ärmere Teile der Bevölkerung durch direkte Einflussnahme für sich zu gewinnen.

Zur Wahl gibt es ähnlich wie in Deutschland Wahlkarten, mit denen der Wahlpflichtige sich im Wahlbüro identifiziert. Die Bußgelddrohung erfordert es, die Stimmabgabe zentral zu kontrollieren. Das Registrieren vor der eigentlichen Wahl geschieht durch Eingabe der Wahl-Identifikationsnummer auf einem mit dem Wahlautomaten (Abbildung 1) verbunden Zahlenfeld.

Die abgegebenen Stimmen speichert das Gerät auf einer Compact-Flash-Karte und kopiert sie zur Sicherheit auf ein zweites Medium. Die Wahlleiter sammeln regional die Flash-Karten ein, lesen sie aus und schicken die Daten weiter in die Hauptstadt Brasilia. Kryptographie ist dabei nach meinen Recherchen weder beim Verschlüsseln noch zur Wahrung der Authentizität im Spiel.

Wie Prof. Pedro A. D. Rezende in seiner Studie über das brasilianische Wahlsystem berichtet [3], gab es in der Vergangenheit durchaus Unregelmäßigkeiten. So fiel die Stimmenzahl für Präsident Lula bei der Wahl im Oktober 2002 im zentralen Wahlbüro plötzlich von über einer Million um 41000, bevor sie nach Protesten und einer Polizeiblockade des Wahlbüros wenige Minuten später wieder auf dem ursprünglichen Stand war. Eine offizielle, recht lakonische Erklärung zum Vorfall sprach von einem Formatierungsfehler.

Als Lula schließlich mit der deutlichen Mehrheit von 62 Prozent der Stimmen die Präsidentschaft erlangte, erhielt seine Partei in derselben Wahl auf Landesebene keinen einzigen Gouverneursposten. Die Medien berichteten in der Folge zwar über die langen Schlangen an den wenigen Wahlstationen, die eine Kontrolle der abgegebenen Stimme über verplombte Drucker erlauben. Die Verwaltung blieb von kritischen Nachfragen jedoch weitgehend verschont.

Verlässlichkeit des Systems

Im Allgemeinen erlauben die Wahlautomaten keine Kontrolle über das korrekte Zählen der Stimmen: Das Speichern erfolgt vollständig elektronisch und ohne Nachweis für die abgegebene Stimme. Vermuten die Bürger Wahlfälschungen, bleiben ihnen kaum Möglichkeiten zum Überprüfen des Ergebnisses.

Den optionalen Drucker, der dem Wähler die abgegebene Stimme auf einem Papierausdruck präsentiert, bevor dieser in einen verplombten Sack fällt, schreibt der Staat erst seit Januar 2002 vor. Anlass für dieses Gesetz gab ein Skandal im Mai 2001: Bei der Wahl des brasilianischen Senats waren ähnliche Maschinen im Einsatz. Damals kamen Manipulationen ans Licht, die die Notwendigkeit schärferer Kontrollen begründeten.

Durch starken Druck einer Gruppe um den Chef der Wahlbehörde verwässerten die Parlamentarier das Gesetz aber so weit, dass für die Wahl im Jahr 2002 nur drei Prozent der Wahlbüros über derartige Drucker verfügten. Die Standorte legte die Wahlleitung zudem zwangsweise vor Beginn der Wahl fest und verhinderte so zufällige Stichproben.

Zudem informierte niemand die Leiter der Wahllokale vor Ort über den korrekten Einsatz der Geräte – insbesondere nicht darüber, dass ein Transports-Sicherheitssiegel zu entfernen sei. In vielen Stellen führte genau dies zum Papierstau. In einem Wahlkreis funktionierten die Drucker anscheinend gut genug, um eine Nachzählung zu ermöglichen.

Als ein Kandidat aus Lulas Partei, der mit 0,2 Prozent knapp hinten lag, diese beantragte, lehnte die Wahlkommission mit dem Hinweis ab, eine solche Prozedur könne das Vertrauen in das elektronische Wahlsystem auf nationaler Ebene unterminieren. Wie zufällig fielen die von Lulas Parteigenossen nicht gewonnenen Gouverneursposten fast ausnahmslos an die Partei des ehemaligen Präsidenten Cardoso, der seinerzeit den Chef der Wahlbehörde, Nelson Jobim, ernannte.

Anonyme Wahl?

Da das Wahlgerät sowohl das Registrieren zur Wahl vornimmt als auch die abgegebene Stimme selber elektronisch erfasst, scheint es mehr als wahrscheinlich, dass die Korrelation von Wähler und abgegebener Stimme bereits heute in Brasilien möglich ist. Natürlich handelt es sich bei der eingesetzten Software vollständig um proprietäre Komponenten, deren Algorithmen jenseits öffentlicher Kontrolle liegen. Außerdem stammen mehrere Wahlmaschinen von Herstellern aus den USA.

Doch es kommt noch schlimmer: Wie bereits erwähnt gibt es nun Pläne, die Wahlmaschinen mit Fingerabdruck-Scannern auszurüsten. Statt über eine Wahlkarte mit Wahlnummer erfolgt die Identifikation über das individuelle Linienmuster auf der Fingerkuppe. Das bedeutet logischerweise das Anlegen einer nationalen Fingerabdruck-Datenbank sowie das Übertragen großer Mengen von Fingerabdrücke zur Wahl.

Das genaue Vorgehen der Regierung scheint zurzeit unklar. Die Ausschreibungsunterlagen der brasilianischen Wahlbehörde für diese nächste Generation der Wahlmaschinen erhalten Interessenten nur gegen die nationale Identifikationsnummer – sowie nach vollständigem Ausfüllen eines Formulars mit Namen, Adresse, E-Mail, Telefon, Mobiltelefon, Fax und Ansprechpartner.

Nachfragen unerwünscht

Nachfragen hört der Staat nicht gerne und diffamiert diese mit einer zu etwa 50 Prozent aus Steuermitteln finanzierten Anzeigenkampagne als unpatriotisch. Diese nennt die Drucker zur Kontrolle und zum Nachzählen der Stimmen unnötig und dumm. Dementsprechend erwähnen die brasilianischen Medien nichts über die Pläne in Bezug auf die Fingerabdrücke. Ein Link auf Softwarelivre.org scheint bis jetzt die einzige öffentliche Referenz zu sein.

Deutschland ist nicht unbedingt für seine Überwachungsunwilligkeit bekannt. Die Telekommunikations-Überwachungsverordnung [4] beweist dies auf eindrucksvoll-traurige Weise. Wer nun einwendet, dass derartige Dinge in Deutschland nicht so ohne weiteres möglich wären, dem sei nicht nur ein Blick auf die Autobahn-Maut empfohlen, sondern insbesondere auch das Studium der elektronischen Gesundheitskarte oder der elektronischen Patientenakte.

Seit einer Weile arbeiten Techniker in Deutschland an der elektronischen Patientenakte. Der IT-Sicherheitsberater Thomas Maus unterzog die bestehenden Konzepte einer Analyse und grub sich in seiner Freizeit durch die Einzelheiten des Systems. Seine ersten Befunde machte er bereits 2004 öffentlich. Die Verantwortlichen reagierten auf die kritischen Hinweise mit dem Versuch, Thomas Maus durch Schadensersatzforderungen mundtot zu machen.

Bald auch in Deutschland?

Trotz der Drohungen setzte er seine Arbeit fort und präsentierte auf dem CCC-Kongress 2005 sein Ergebnis: Das Konzept ist insgesamt irreparabel unsicher. An vielen Stellen weist es Lücken auf, die Dritten Zugriff auf den gesamten Datensatz ermöglichen.

So könnten Versicherungen ihre Lebensversicherungspolicen nach dem Auswerten der persönlichen Gesundheitsdetails anpassen, Banken legen ihre Kreditrisiken entsprechend aus, politische Gegner könnten versuchen den Gesundheitszustand eines gegnerischen Kandidaten für ihre Zwecke zu nutzen.

Die medizinischen Systeme der Zukunft sollen uns automatisch wiegen, vermessen, analysieren und protokollieren. Ein automatischer Gehaltsabzug wegen eines Glases Sekt zu viel am Abend davor und demzufolge verminderter Effizienz am Arbeitsplatz ist technisch bereits heute denkbar – wenn auch noch nicht praktisch machbar. Die logische Konsequenz hieße, sich bereits heute auf solche Szenarien einzustellen und die Systeme so zu planen, dass ein Mißbrauch nicht vorkommt. Öffentliche Analysen der Sicherheitskonzepte gehören auf jeden Fall dazu.

Leider genießt Sicherheit zumeist keine vordringliche Priorität bei jenen, die solche Systeme entwerfen. Nach internen Unterlagen, die der FSFE vorliegen, plant der Systementwickler der elektronischen Gesundheitsakte [5] nun, Thomas Maus wegen Reverse Engineering und Urheberrechtsverletzung zu verklagen. Mit ähnlichen Methoden versuchte bereits die US-amerikanische Firma Diebold eine Sicherheitsanalyse ihrer Wahlmaschinen zu verhindern.

Hier zeigt sich die große soziale und politische Brisanz der jüngsten Verschärfungen des Urheberrechts sowie die extreme Gefahr durch Softwarepatente und die geplante EU-Richtlinie zur strafrechtlichen Verfolgung beim Verletzen von Urheber- und Patentrechten [6]. Die Legislative nimmt billigend in Kauf, dass eine demokratische Kontrolle staatlicher Prozesse durch zivil- und strafrechtliche Drohungen unmöglich wird.

Die Politik ergreift dabei gerne die Rolle der Scharfmacher für die Urheberrechtsnovellierung und ignoriert grundlegende Schwierigkeiten – sie hofft nur stur auf Arbeitsplätze durch den Export derartiger Technologien. Politischen Rückhalt für die demokratisch wichtige Arbeit des Thomas Maus sucht der mündige Bürger dagegen vergebens.

Handy unter Kontrolle

Freie Software auf dem Mobiltelefon gehört schon lange zu den Dingen auf meiner Wunschliste. Wie Harald Welte in seinem Blog [7] berichtet, geht Motorola mit dem A780 (Abbildung 2) einen ersten Schritt in die richtige Richtung: Das Gerät basiert auf einem PXA270-Chip von Intel mit einer Bluetooth-Schnittstelle und einem GPS-Empfänger. Als Betriebssystem integrierte das Unternehmen Montavistas CEE Linux 3.0 basierend auf Kernel 2.4.20.

Abbildung 2: Das Motorola A7780 kommt mit Linux Kernel 2.4 und weckt die Bastelfreude der freien Entwickler.

Da das Telefon offenbar auf dem normalen GNU-System mit Libc und einer relativ Ressourcen-hungrigen, Qt-basierten Oberfläche beruht, bietet es viel Raum für Optimierung. Etliche Leute haben daher damit begonnen, Kernel 2.6 für das Telefon zu kompilieren. Außerdem passen einige die weniger anspruchsvolle Kombination Uclibc/Busybox an die Hardware an. Harald Welte hat die Netfilter-Komponenten ausprobiert, damit das Telefon mit einem guten Paketfilter ins drahtlose Datennetz geht.

Auch sonst setzt Motorola auf freie Software, beispielsweise den Bootloader Blob [8]. Dadurch gewinnen hier also alle Seiten, das Unternehmen ist gut damit beraten, derartige Arbeit zu unterstützen. Eine der ersten Anlaufstellen für Linux und mobile Geräte ist die Webseite von Werner Heuser [9].

Tuxmobil

Tuxmobil hostet die bei weitem umfangreichste Sammlung an Informationen zu freier Software auf mobilen Geräten, speziell Laptops, aber auch Mobiltelefonen, PDAs, tragbaren Video- und Musikplayern sowie den im Englischen Wearables genannten tragbaren Systemen. Auf der Webseite finden sich mittlerweile mehr als 5000 verlinkte Installationsberichte von Linux und BSD-Derivaten auf Laptops und Notebooks.

Wie Werner Heuser kürzlich mitteilte, gibt es aber zunehmend Probleme: Viele Seiten mit Informationen liegen auf provisorischen Accounts – und verschwinden gemeinsam mit diesen. Dabei wären sie durchaus noch hilfeich. Dazu kommt, dass nur ein Bruchteil der Berichte unter einer freien Lizenz steht. Damit ist es unmöglich, Passagen aus den Berichten in eigene Dokumente zu übernehmen, fehlende Informationen zu ergänzen oder bestimmte Angaben zu aktualisieren. Außerdem fehlen teilweise Bilder oder Sourcecode-Archive.

Durch geeignete Wahl einer entsprechenden freien Lizenz ließe sich hier bereits viel erreichen. Daher ergeht ein Aufruf an alle, die einen Bericht geschrieben haben, der jetzt offline ist, eine Mail an Werner Heuser [10] oder mich zu schicken, um den Bericht doch noch zu retten und möglichst unter eine freie Lizenz zu stellen.

Die Augen offenhalten

Gegen Ende sei noch der Hinweis auf die Fellowship der FSFE [11] erlaubt. Wer Interesse an der Sache der freien Software hat, kann sich jederzeit bei der FSF Europe melden. (agr)