Warum es so lange dauerte, digitale Wahlsysteme zu entwickeln, die wirklich funktionieren

Was wäre, wenn Sie einfach vom Telefon aus wählen könnten? Stellen Sie sich vor: keine Warteschlangen, keine Wahllokale. Ihre Stimme wird vollständig verschlüsselt abgegeben, Ihre Wahl bleibt absolut geheim. Es gibt keine Stimmauszähler, weil nicht einmal der Staat sehen darf, für wen Sie gestimmt haben. Und dennoch kann jeder, überall auf der Welt, unabhängig überprüfen, ob die Wahlergebnisse legitim sind – bis zur allerletzten Stimme.

Das Vertrauen in Wahlsysteme und staatliche Institutionen schwindet weltweit, was eine ernsthafte Bedrohung für die Demokratie darstellt. Bürgerinnen und Bürger, die an der Richtigkeit der Stimmauszählung zweifeln, beteiligen sich seltener an Wahlen und haben weniger Vertrauen in ihre gewählten Vertreter. Autoritäre Kräfte nutzen dieses Misstrauen, um Wahlen als gefälscht darzustellen, Ergebnisse zu ignorieren und Macht zu ergreifen. Um diesem Trend entgegenzuwirken, wurde über Jahrzehnte hinweg versucht, ein vollständig sicheres und geschütztes digitales Wahlsystem zu entwickeln – doch jeder Versuch scheiterte an derselben Wand.

Bis jetzt.

Warum alle bisherigen digitalen Wahlsysteme gescheitert sind

Der Friedhof gescheiterter digitaler Wahlexperimente zeigt deutlich: Jeder Versuch, die Demokratie zu digitalisieren, stieß auf dasselbe unlösbare Trilemma. Man konnte entweder Datenschutz, Transparenz oder Skalierbarkeit erreichen – aber nie alle drei gleichzeitig.

Die Misserfolge

Als West Virginia 2018 Blockchain-Abstimmung mit Voatz einführte, mussten Wählerinnen und Wähler blind darauf vertrauen, dass die Server des Unternehmens nicht kompromittiert waren – trotz der angeblichen Transparenz der Blockchain. Die Schweiz setzte ihr E-Voting-System 2019 aus, nachdem Forscher kritische Sicherheitslücken aufgedeckt hatten. Moskaus Blockchain-Wahlexperiment von 2019 wurde von einem französischen Forscher in nur 20 Minuten geknackt. Die App der Demokratischen Vorwahl in Iowa brach im Jahr 2020 spektakulär zusammen, verzögerte die Ergebnisse tagelang und befeuerte Verschwörungstheorien.

Das Trilemma

Jeder Misserfolg legte dasselbe grundlegende Problem offen. Um Systeme schnell genug für Millionen von Wählerinnen und Wählern zu machen, opferten Entwickler den Datenschutz. Um den Datenschutz zu gewährleisten, musste Transparenz aufgegeben werden. Für mehr Transparenz wurden Wähleridentitäten preisgegeben.

Das war nicht nur ein Problem schlechter Umsetzung. Es war eine mathematische Unmöglichkeit. Als Forscher Zero-Knowledge-Systeme als Lösung vorschlugen, stießen sie an eine rechnerische Grenze. Die Überprüfung von Millionen von Stimmen hätte Wochen gedauert und ein Vermögen gekostet. Die Technologie war schlicht nicht skalierbar.

Das Urteil

Bis 2018 war die Einschätzung eindeutig. Der Bericht der National Academies erklärte das Problem im Wesentlichen für unlösbar: Keine bekannte Technologie könne die für Wahlen erforderliche Geheimhaltung, Sicherheit und Überprüfbarkeit garantieren. Jede Regierung, die es versuchte, lernte dieselbe harte Lektion. Die Mathematik funktionierte einfach nicht.

Das änderte sich, als unser Team bei Shutter – und mehrere andere Wahlplattformen – zeigten, wie neue kryptographische Verfahren lösen konnten, was zuvor unmöglich erschien.

Der Ansatz, der alles verändert

Wir erkannten, dass die Branche versucht hatte, das falsche Problem zu lösen.

Jahrelang verfolgte die Entwicklergemeinde die vollständig homomorphe Verschlüsselung (Fully Homomorphic Encryption, FHE) – eine Technologie, die beliebige Berechnungen auf verschlüsselten Daten ermöglicht. Das ist wie der Bau eines Formel-1-Wagens, um zum Supermarkt zu fahren. Beeindruckend, aber für diesen Zweck völlig unnötig und unpraktisch. FHE ist nach wie vor zu langsam und zu teuer für reale Wahlen. Sie erfordert enorme Rechenressourcen für jede einzelne Stimme.

Deshalb konzentrierte sich unser Team (und andere Teams wie Secure Internet Voting und DAVINCI) stattdessen auf die ElGamal-homomorphe Verschlüsselung. Das Konzept ist einfach: Es ist nicht notwendig, jede mögliche Berechnung auf verschlüsselten Stimmen durchzuführen, weil das Einzige, was benötigt wird, ein abschließendes, genaues Stimmergebnis ist.

Wenn die ElGamal-Verschlüsselung mit modernen Zero-Knowledge-Beweisen und Schwellenverschlüsselung kombiniert wird, entsteht etwas Bemerkenswertes. Die Stimmen bleiben für immer verschlüsselt, aber jeder kann überprüfen, dass das Endergebnis mathematisch korrekt ist. Es ist so, als könnte man Stimmzettel in versiegelten Umschlägen zählen, ohne auch nur einen einzigen zu öffnen.

Wie die Technologie funktioniert

Shutters Permanent Shielded Voting-System sichert Stimmen mithilfe der ElGamal-homomorphen Verschlüsselung. Das ist eine besondere Art der Verschlüsselung, bei der Stimmen addiert werden können, während sie noch verschlüsselt sind. Die Wahlbehörde muss die einzelnen Stimmen nicht entschlüsseln, um sie auszuzählen. Sie addiert einfach alle verschlüsselten Stimmen und entschlüsselt nur die Endsumme.

Die naheliegende Folgefrage: Könnten verschlüsselte Stimmen nicht beliebigen Inhalt haben – ungültige Auswahlen oder mehrfache Stimmabgaben? Genau hier kommen Zero-Knowledge-Beweise ins Spiel. Wenn Sie Ihre verschlüsselte Stimme abgeben, fügen Sie auch einen mathematischen Beweis bei, der zeigt, dass Ihre Stimme gültig ist, ohne Ihre Wahl preiszugeben. Die Beweise sind an die eindeutige Wähleridentität geknüpft, sodass jede berechtigte Person nur einen gültigen Beweis pro Wahl einreichen kann. Versucht jemand, zweimal zu wählen, erkennt das System, dass bereits ein Beweis dieser Person vorliegt, und lehnt das Duplikat ab. Das System lehnt jede Stimme ohne gültigen Beweis und jede doppelte Einreichung ab – womit Wahlbetrug und Doppelstimmabgabe ausgeschlossen sind.

Der Entschlüsselungsprozess verwendet Schwellenkryptographie, bei der der Entschlüsselungsschlüssel auf mehrere unabhängige Parteien aufgeteilt wird – etwa Wahlbeobachter, Bürgerorganisationen und internationale Beobachter. Eine vorher festgelegte Anzahl dieser Parteien (zum Beispiel drei von fünf) muss zusammenwirken, um das Endergebnis zu entschlüsseln, da keine einzelne Instanz die Stimmen allein entschlüsseln kann. Dieser verteilte Ansatz macht eine zentrale Autorität überflüssig, die frühere digitale Wahlsysteme angreifbar gemacht hatte.

Das Ergebnis? Ein System, das dauerhaft privat, öffentlich überprüfbar und praktisch auf Millionen von Wählerinnen und Wählern skalierbar ist.

Warum das gerade jetzt so wichtig ist

Das Vertrauen in Wahlen schwindet weltweit. Die venezolanische Wahl 2024 reiht sich in eine wachsende Liste angefochtener Ergebnisse ein. Eine Gallup-Umfrage ergab, dass 43 % der Amerikanerinnen und Amerikaner “nicht sehr” oder “gar kein” Vertrauen in die Genauigkeit der US-Präsidentschaftswahlen haben. Soziale Medien verstärken jede Unregelmäßigkeit zu einer Verschwörungstheorie. In Nepal wählten jugendliche Demonstranten ihren Übergangspremierminister über Discord – eine Gaming-Plattform – nachdem sie das Vertrauen in traditionelle Institutionen verloren hatten. Es war das erste Mal, dass eine Weltführungsperson über eine virtuelle Abstimmung gewählt wurde. Papierwahlzettel galten einst als Goldstandard, werden heute aber als leicht manipulierbar abgetan.

Die traurige Realität: Der Versuch nach Transparenz kann Wählerinnen und Wähler Nötigung aussetzen, während Geheimhaltung Misstrauen schürt. Briefwahlstimmen können gekauft oder erpresst werden, weil Wähler beweisen können, wie sie gestimmt haben. Elektronische Wahlgeräte sind schwarze Boxen, denen Wähler blind vertrauen müssen. Selbst Papiersysteme müssen manuell gehandhabt werden – was zu berechtigten Zweifeln führt.

Ein besseres System ist endlich möglich

Shutters Permanent Shielded Voting-System beseitigt diese Abwägungen. Es ist dauerhaft privat. Und es ist öffentlich prüfbar – das bedeutet, jeder kann die Ergebnisse überprüfen, ohne einer einzigen Behörde vertrauen zu müssen.

Systeme, die früher auf zentralisierte, hackanfällige Server angewiesen waren, können jetzt auf handelsüblichen Smartphones laufen – was einzelne Angriffspunkte eliminiert, da es keinen zentralen Server mehr gibt, der kompromittiert werden könnte.

Shutters System funktioniert über einfache APIs, sodass jede bestehende Wahlplattform es integrieren könnte, ohne von Grund auf neu aufzubauen. Länder mit elektronischen Wahlgeräten könnten es als Datenschutz- und Verifikationsschicht hinzufügen. Sogar Papierwahl-Systeme könnten es für Auslands- und Militärwähler einsetzen, die derzeit mit den schlechtesten Abwägungen zwischen Zugänglichkeit und Sicherheit konfrontiert sind.

Es macht auch wirtschaftlich Sinn: Die Rechenkosten wachsen linear mit der Wählerzahl, nicht exponentiell. Die Überprüfung von 100 Millionen Stimmen ist nicht wesentlich teurer als die Überprüfung von 1.000 Stimmen. In einer Zeit, in der die Wahlkosten in den USA allein 2 Milliarden Dollar übersteigen, könnte diese Technologie die Ausgaben drastisch senken und gleichzeitig die Sicherheit verbessern.

Diese Technologie könnte auch nahtlos mit digitalen Identitätsverifikationssystemen wie kryptographischen Pässen kombiniert werden, um eine lückenlose sichere Abstimmung von der Identitätsprüfung bis zur endgültigen Auszählung zu ermöglichen (wie es derzeit Freedom Tool von Rarimo umsetzt). Das bietet eine Lösung, die dem physischen Wählen in jeder Hinsicht überlegen ist: Privatsphäre, zuverlässige Prüfbarkeit und Schutz vor Stimmenkauf.

Eine verbleibende Herausforderung: Auch wenn der gesamte Code offen ist, sind die meisten Wählerinnen und Wähler nicht technisch versiert genug, um die Zero-Knowledge-Beweise, die eine korrekte Auszählung belegen, realistisch selbst zu überprüfen. Sie verlassen sich dabei weiterhin auf andere. Die gute Nachricht: Jeder mit den entsprechenden Kenntnissen kann diese Beweise prüfen und seine Erkenntnisse teilen – was Vertrauen durch viele unabhängige Kontrollen schafft, statt durch eine einzige Behörde. Und da persönliche KI-Programmierassistenten immer verbreiteter werden, könnten bald auch Durchschnittswähler Tools wie ChatGPT nutzen, um Ergebnisse selbst zu überprüfen.

Digitales Wählen in großem Maßstab ist jetzt bereit

Nach Jahrzehnten gescheiterter Versuche, halbherziger Maßnahmen und theoretischer Abhandlungen ist das Unmögliche zur Gewissheit geworden. Shutters Permanent Shielded Voting-System – und die Arbeit anderer Teams – zeigt: Private und überprüfbare digitale Wahlen sind nicht länger Theorie, sondern skalierbar und einsatzbereit.

Wir haben jetzt Wahltechnologie, die mathematisch garantiert fair, dauerhaft privat und vollständig überprüfbar ist.

Die Zukunft der Demokratie ist bereits hier.