Manfred Kloiber: Wahlen sind ja bekanntlich das Fundament unserer Demokratie. Doch gerade diese Basis ist sehr empfindlich und zum beliebten Angriffspunkt für Manipulationen geworden. Sie können ganz einfach - z.B. in Form von Wahlbetrug mit gefälschten Stimmzettel - oder eher subtil per Meinungsmache beeinflusst werden. In Deutschland war es an dieser Front eher ruhig. Aber das europäische und globale Bild hat sich in den vergangenen Jahren sehr gewandelt. Plump manipuliert wird dabei eher selten, doch medial gestreute Lügen über Kandidaten wie zuletzt im US-Präsidentschaftswahlkampf sind deutliche Alarmzeichen. Genauso wenn auf einmal massenhaft Daten im Internet veröffentlicht werden, die mutmaßlich aus Hackerangriffen stammen. Nun stehen hierzulande demnächst die Europawahl und auch einige Landtagswahlen an. Jan Rähm, wie sicher sind denn die bevorstehenden Wahlen und vor allem, welche Rolle spielt die IT dabei?

Jan Rähm: Zum ersten Teil Ihrer Frage: Wahlen an sich können in Deutschland als ziemlich bis sehr sicher angesehen werden. Die IT spielt dabei heute eine vergleichsweise große Rolle. Denn es geht ja nicht nur um die Wahl an sich, sondern auch um die Zeit davor. Der offensichtlichste IT-Einsatz bei der Wahl sind Wahlcomputer, die aus guten Gründen in Deutschland bei politischen Wahlen gar nicht eingesetzt werden dürfen. Aber bei der Auszählung der Stimmen werden Computer genutzt, was 2017 zu einigen Verstimmungen führte, wie wir gleich hören werden. Darüber hinaus sind im Vorfeld und während der Wahl allerlei Computersysteme relevant. Das reicht von der IT in den Parlamenten über die Rechner der Politiker und ganz wichtig, auch die IT der Medien und nicht zuletzt der Bürger. Und alle diese Systeme können einen Einfluss auf den Ausgang der Wahl haben.

Kloiber: Dann schauen wir uns einige der genannten Systeme an und hören, wie es um ihre IT-Sicherheit bestellt war und bestellt ist. Es ist noch gar nicht so lang her, 2015 war es, da erschütterte ein ziemlich erschreckender Hacker-Angriff das Land. "Unbekannte Hacker haben den Bundestag ins Visier genommen. Mindestens seit Dienstag wird versucht, auf das Internet Daten System des Parlaments zuzugreifen."

Mitte Mai 2015 bemerkte die IT-Abteilung des deutschen Bundestages: Hier stimmt etwas nicht. Was genau? Das ist bis heute nicht ganz klar, erklärt Markus Feilner. "Die Details sind nicht ganz geklärt und es wird sich wahrscheinlich auch nie klären lassen."

Der IT-Journalist Feilner hat versucht, den Hack 2015 nachzuzeichnen. Sicher ist, dass die Netzverwaltung des Bundestages, basierend auf dem System eines US-Konzerns, zumindest falsch konfiguriert war. So hatten mehr Mitarbeitende höchste Systemrechte im Netzwerk als nötig und gut war. Unter anderem über diese Schwachstelle konnten die Angreifenden in die Netze eindringen.

Entsprechend lautet Feilners Fazit noch heute: "Der Bundestagshack war insofern besonders erschreckend, weil wir bei der Recherche feststellen mussten, dass grundlegende Sicherheitsaspekte nicht beachtet oder bedacht wurden."

Welche Daten damals abhanden kamen, bleibt unklar. Gemeinsam mit dem BSI, dem Bundesamt für die Sicherheit in der Informationstechnik, baute der Bundestag sein Netz neu auf. Teilweise tagelang waren die Rechner abgeschaltet. Technik wurde großflächig getauscht. Ist das Netz nun heute sicher? Aus dem Bundestag heißt es: "Zu Angelegenheiten der eigenen IT-Sicherheit veröffentlicht die Bundestagsverwaltung grundsätzlich keine Erklärungen."

Experten wie Markus Feilner bezweifeln, dass die IT des Bundestages nun als sicher gelten kann. So seien auch heute noch Systeme im Einsatz, für die aktuelle Angriffswerkzeuge bereitstünden. Zudem sei das deutsche Parlament ein extrem attraktives Angriffsziel. Doch nicht immer ist es die Technik, die Angreifenden den Zugang ermöglicht. Oft genug ist es der Mensch. Der wird getäuscht mit präparierten Mails oder gefährlichen E-Mail-Anhängen. Da hilft nur Aufklärung, erklärt Arne Schönbohm, Präsident des BSI.

"Wir haben eine Vielzahl von Sensibilisierungsmaßnahmen auf der Bundesebene durchgeführt im Vorfeld der Bundestagswahl 2017, wo sehr viele auch teilgenommen haben. […] Mit der Bundestagsverwaltung arbeiten wir sehr eng zusammen, damit eben auch die Bundestagsinfrastruktur entsprechend geschützt wird. […] Das was natürlich jeder zuhause privat macht als Bundestagsabgeordneter, ist natürlich auch dementsprechend private Dinge und da haben wir gesehen, dass einige eben dort noch Nachholbedarf haben, Verbesserungsbedarf haben, um ihre Sicherheit zu erhöhen."

Die Sicherheit wurde auch bei den Werkzeugen erhöht, die für die Wahlen in Deutschland eingesetzt werden. So waren 2017 Sicherheitslücken in Programmen bekannt geworden, die zur Auszählung der Stimmen genutzt werden. Aufgedeckt hatte das unter anderem der Chaos Computer Club, der auch entsprechende Software-Flicken bereitstellte. CCC-Sprecher Frank Rieger erklärt:

"Die Situation ist gegenüber der letzten Bundestagswahl quasi unverändert. Was aus meiner Sicht eigentlich ein Skandal ist. Das heißt, es wird immer noch Software eingesetzt, die eigentlich nicht eingesetzt werden sollte und die anfällig ist."

Dem widersprechen BSI und Bundeswahlleiter Georg Thiel. Demnach seien umfangreiche Änderungen an den Programmen vorgenommen worden. Die Fehler seien abgestellt. Auch die elektronische Kommunikation sei abgesichert. So werden laut Georg Thiel nach Auszählung der Papierwahlzettel die Ergebnisse …

"… an unser sicheres Bundesbehördennetz gegeben. Dieses Bundesbehördennetz ist mehrfach abgesichert, wird in der Wahlnacht permanent beobachtet, ob es da Attacken auf das Netz geben könnte. […] Die Monitoring-Stellen des BSI überprüfen dieses. Dieses Behördennetz, was wir haben, das ist mehrfach abgesichert."

Kloiber: Jan, diese Auszählungssoftware ist ja nur ein Hilfsmittel für den Wahlabend. Das amtliche Endergebnis dagegen beruht nach wie vor auf den Papierwahlzetteln. Was ist dann das Problem mit der Software?

Rähm: Das Problem ist, dass wenn es einem Angreifer gelingt, die Zahlen maßgeblich zu verändern, dass die vorläufigen Wahlergebnisse am Wahlabend signifikant von den späteren amtlichen endgültigen Wahlergebnissen abweichen. Das birgt das Potential für, sagen wir, starke Verwirrung beim Bürger. Der könnte hier Wahlmanipulation oder ähnliches wittern. Gerade in Zeiten von Fake News und gesteigerter Aufmerksamkeit für Verschwörungstheorien wäre das fatal. Bürger und Bürgerinnen könnten das Vertrauen in die politischen Prozesse, ja in den Wahlprozess verlieren oder beides zumindest stark in Zweifel ziehen.

Kloiber: Damit ist es noch nicht genug mit Gefahren, die die IT-Welt für die Politik und Wahlen bereithält. Im Beitrag war ja von der Sensibilisierung der Parlamentarier die Rede, die unter anderem das BSI durchführt. Das führt mich zu den Daten-Leaks, die wir erst zu Anfang dieses Jahres sahen. Wie gefährlich sind solche Leaks und sind sie auch im Vorfeld der kommenden Wahlen zu erwarten?

Rähm: Erwartet werden solche Veröffentlichungen. Beim letzten Datenleck war "nur" zum Teil sehr persönliche Daten wie Personalausweisdaten, geheime Telefonnummern und ähnliches enthalten, schlimm genug. Es könnten aber auch echte oder gefälschte interne Papiere aller Art sein. Damit könnte dann beispielsweise Stimmung für oder gegen Kandidatinnen oder Kandidaten gemacht werden. Wie das aussehen könnte, erklärten mir Beobachter im Gespräch, sahen wir im US-Präsidentschaftswahlkampf. Da ging es nicht mehr nur darum, einen der beiden Kandidaten zu stützen oder zu diskreditieren, es ging auch darum, die Wähler einer Seite von der Wahl abzuhalten.

Kloiber: Womit wir in der medialen Sphäre wären. Wie gefährdet ist diese für Angriffe?

Rähm: Sehr gefährdet, da sind einmal die Medien selbst, die sich nur schlecht gegen Angriffe beispielsweise durch entsprechend präparierte Dokumente wehren können. Zu groß ist der Datenverkehr in Medienhäusern, wie mir beispielsweise Frank Rieger erklärte. Dann ist immer wieder und immer noch die Rede von Bots in sozialen Netzwerken und Fake News. Hier sind sich viele Experten sicher, dass Bots eigentlich keine Rolle mehr spielen, wenn sie es je taten. Viel gefährlicher ist und das wurde bereits mehrfach beobachtet – Stichwort Chemnitz und Köthen letztes Jahr oder auch die Wahl in Brasilien zuletzt, dass sich Kommunikation und Beeinflussung in nicht öffentliche Kanäle verlagert. Das sind beispielsweise WhatsApp-Gruppen, über die dann manipulative Inhalte oder Falschinformationen geteilt werden. Auf eine weitere Gefahr wies mich Frank Rieger hin. Er deutete Richtung Großbritannien und eine sagen wir "Strategie des Chaos" im Umfeld der Brexit-Entscheidung. Da sei es nicht darum gegangen, konkret in eine Richtung zu manipulieren, sondern darum, größtmögliche Unsicherheit und in gewisser Weise Chaos zu erzeugen. Ähnliches erwartet der CCC-Sprecher auch für die kommenden Europa- und Landtagswahlen hierzulande.

Kloiber: Jan Rähm über die Bedeutung von informationstechnischen Systemen für die kommenden Wahlen. Vielen Dank.