Wie wir das Wahlgeheimnis gewährleisten

Blinde Signatur: Die Verknüpfung ist unmöglich, nicht nur "nicht gespeichert"

1. Ihr Browser erzeugt ein zufälliges Token und "maskiert" es mit einer Zahl, die nur er kennt.
2. Erste Anfrage, mit Ihrem persönlichen Link: Der Server prüft, ob Sie stimmberechtigt sind, vermerkt "abgestimmt" und signiert das maskierte Token, ohne es sehen zu können.
3. Der Browser entfernt die Maske: Er hat nun ein signiertes Token, das der Server nie im Klartext gesehen hat.
4. Zweite Anfrage, einige Sekunden später und ohne Daten, die Sie identifizieren: Der Browser gibt den Stimmzettel mit dem signierten Token ab. Der Server nimmt ihn an, weil die Signatur gültig ist, kann aber nicht wissen, von wem er stammt.
5. Jedes Token gilt für genau einen Stimmzettel. Der Code, der das Token maskiert, läuft in Ihrem Browser und ist öffentlich (js/AN05_blind.js): Jeder mit technischen Kenntnissen kann ihn prüfen.

Was wir nicht speichern

• die genaue Uhrzeit der Stimmabgabe, weder bei Ihrem Namen noch auf dem Stimmzettel: Mit der Uhrzeit ließen sich die Stimmen in eine Reihenfolge bringen;
• eine fortlaufende Nummer des Stimmzettels: Der Schlüssel ist zufällig, die Reihenfolge in der Urne verrät also nicht, wer zuerst abgestimmt hat;
• den Belegcode: In der Urne liegt nur sein Fingerabdruck, eine Einwegberechnung; den Code kennen nur Sie;
• Ihre Auswahl in der Bestätigungs-E-Mail.

Was Sie selbst prüfen können

1. Direkt nach der Stimmabgabe sehen Sie die beiden soeben gespeicherten Datensätze, erneut aus der Datenbank gelesen: Bei Ihrem Namen steht keine Auswahl, auf dem Stimmzettel kein Name.
2. Mit dem Belegcode prüfen Sie auf der Ergebnisseite, dass Ihr Stimmzettel in der Urne liegt und gezählt wurde.
3. Nach dem Ende der Abstimmung ist die Urne öffentlich (ohne Namen): Sie können alle Stimmzettel mit einem Klick nachzählen und mit den Ergebnissen vergleichen.
4. Das System vergleicht die Summen mit den Stimmzetteln und mit einer verschlüsselten Kopie der Zähler und meldet jede Abweichung.

Grenzen, offen gesagt

Mit der blinden Signatur ist die Verknüpfung selbst für den Serverbetreiber unmöglich, weil der Server das Token nie zusammen mit Ihrem Namen sieht. Zwei indirekte Spuren bleiben, verringert, aber nicht beseitigt: die Internetadresse, von der die Anfragen kommen (wir speichern sie nicht in unseren Tabellen, aber die technischen Protokolle des Hosting-Anbieters bewahren sie auf), und die zeitliche Nähe der beiden Anfragen, abgeschwächt durch die zufällige Wartezeit vor der Abgabe.

Bei Abstimmungen ohne blinde Signatur gilt die Trennung zwischen Name und Auswahl für die gespeicherten Daten: Niemand, nicht einmal der Organisator, kann sie nachträglich wiederherstellen. Wer den Server technisch betreibt und das System genau während Ihrer Stimmabgabe live beobachtet, hätte theoretisch mehr Möglichkeiten.

Aus demselben Grund wird die Urne nicht veröffentlicht, wenn es weniger als 5 Stimmzettel gibt: Bei sehr wenigen Wählern könnten die Kombinationen der Auswahl verraten, wer wie abgestimmt hat.