- Abschrift -

Bundesministerium des Innern  

Anlage

V 3 (a) - 121 144-16/2  

Berlin, 3. Mai 2006


Stellungnahme zu den Wahleinsprüchen 76/05, 108/05, 145/05

 

Die Einsprüche sind zurückzuweisen. Die Wahlgeräte sind hinreichend manipulationssicher (s.u. Ziff. 3). Eine Verletzung des Öffentlichkeitsgrundsatzes und des "Grundsatzes der Amtlichkeit der Wahl" liegen nicht vor (Ziff. 4.1. und 4.2.) Selbst wenn man Wahlfehler annehmen würde, wären sie nicht mandatsrelevant (Ziff. 5).

Zum besseren Verständnis der technischen Seite der Einsprüche wird zunächst allgemein der Aufbau der Wahlgeräte, deren Handhabung und die Rahmenbedingungen (Ziff. 1) sowie die Prüfung durch die Physikalisch-Technische Bundesanstalt (PTB) beschrieben (Ziff. 2).

1. Allgemeine Einführung

1.1 Aufbau der Wahlgeräte

Die Wahlgeräte der Fa. Nedap bestehen aus dem eigentlichen Wahlgerät, an dem der Wähler seine Wahl vollzieht, und einer per Kabel fest mit dem Wahlgerät verbundenen Bedieneinheit, die sich in der Obhut des Wahlvorstandes befindet. Diese Bedieneinheit enthält u.a. zwei Schlösser mit Schlüsseln, über die die Betriebszustände "Wählen" und "Wahlauswertung" eingestellt werden sowie Tasten, über die das Wahlgerät für jeden einzelnen Wähler freigegeben wird.

Das eigentliche Wahlgerät besteht aus einem großen Tastentableau mit ein oder mehreren Stimmzetteln, einem kleinen Display zur Kontrolle für den Wähler und einem Funktionstastenfeld, das nur vom Wahlvorstand während der Wahlauswertung benutzt wird und sonst durch eine Klappe abgedeckt ist.

Nedap Vorderseite (Bedienseite)

Des Weiteren befinden sich auf der Rückseite des Wahlgeräts ein Drucker und ein Steckplatz für ein Speichermodul (eine Art Kassette) sowie die Elektronikeinheit. In der Elektronikeinheit befinden sich zwei Speicherchips (oder Speicherbausteine), die gemeinsam das Softwareprogramm enthalten. Diese zwei Speicherchips werden Eproms genannt.

 Nedap Rückseite

Das Softwareprogramm auf den Eproms bestimmt den generellen Ablauf der Wahl, also die Schritte Freigabe, Auswahl der Erststimme und der Zweitstimme, ggf. Korrektur der Stimmen, endgültige Stimmabgabe, Stimmspeicherung und Sperrung des Geräts sowie die Auswertung der Wahl.

Das Speichermodul enthält hingegen die Daten der Stimmzettel, die Zuordnung der einzelnen Tasten zu Listen, Parteien oder Bewerbern sowie einige konkrete Angaben zur Wahl wie Wahldatum und Wahllokal und vor allem die abgegebenen Stimmen der Wähler.

Kurz gesagt bestimmt das Softwareprogramm den generellen Ablauf der Wahl, während das Speichermodul die konkreten Daten für die jeweilige Wahl liefert und als Urne dient. Das Wahlgerät kann nur mit einem eingesteckten, korrekt gefüllten Speichermodul für eine Wahl verwendet werden.

Die Eproms mit dem Softwareprogramm sind integraler Bestandteil des Wahlgeräts, während die Speichermodule ein Zubehör sind.

1.2    Handhabung der Wahlgeräte von der Herstellung bis zur Wahlauswertung

  • Die Firma Nedap baut das Gerät und liefert es an den Kunden aus. Durch eine nach § 2 Abs. 6 der Bundeswahlgeräteverordnung (BWahIGV) vorgeschriebene, auf der Rückseite des Geräts aufgeklebte Baugleichheitserklärung versichert der Hersteller, dass das Gerät baugleich zu dem angegebenen zugelassenen Baumuster ist. Das Wahlgerät enthält im Auslieferungszustand kein Speichermodul und ist damit nicht für eine Wahl verwendbar. Leere Speichermodule werden dem Kunden als Zubehör mitgeliefert.

  • Nach der Bestimmung des Wahltages muss die Gemeindebehörde das Wahlgerät entweder selbst auf Funktionstüchtigkeit überprüfen oder vom Hersteller überprüfen lassen (§ 7 Abs. 1 BWahIGV). Darüber hinaus kann der Kreiswahlleiter oder ein Beauftragter die Wahlgeräte und externe Datenträger überprüfen (§ 7 Abs. 2 BWahIGV).

  • Einige Wochen vor der Wahl, wenn aufgrund der Entscheidung der Wahlausschüsse die Kreiswahlvorschläge und Landeslisten der Parteien und damit der Inhalt der Stimmzettel feststehen, programmiert die Gemeindebehörde für jedes Wahlgerät ein Speichermodul mit den Daten der Stimmzettel und den anderen konkreten Angaben der Wahl. Mit den gleichen Daten wird ein Geräte-Stimmzettel bedruckt.

  • Der Geräte-Stimmzettel wird von der Gemeindebehörde auf dem Tastentableau des Wahlgeräts angebracht (vgl. Abb. 1, S. 2). Das programmierte Speichermodul wird hinten in das Wahlgerät eingesteckt. Erst mit dem Speichermodul ist das Wahlgerät prinzipiell für eine Wahl einsetzbar.

  • Nach dem Einstecken des programmierten Speichermoduls erfolgt ein Funktionstest des Wahlgeräts durch die Gemeindebehörde. Dabei wird unter anderem kontrolliert, ob das Wahlgerät und sein Softwareprogramm sich korrekt identifizieren, ob alle Tasten richtig programmiert sind und ob sich bisher keine Stimmen im Speichermodul befinden. Bei neueren Bauarten wird außerdem die Unversehrtheit der Versiegelung, die vom Hersteller an der Elektronikeinheit angebracht wurde, kontrolliert. Ist der Funktionstest erfolgreich, wird das Gerät verschlossen und im verschlossenen Zustand amtlich versiegelt.

  • Die Gemeindebehörde muss in der Wahlbekanntmachung darauf hinweisen, in welchen Wahlbezirken Wahlgeräte verwandt werden (§ 6 Abs. 1 BWahIGV). Die Gemeindebehörde hat den Wahlvorstand mit dem Wahlgerät und seiner Bedienung vertraut zu machen (§ 7 Abs. 3 BWahIGV).

  • Am Wahltag baut der Wahlvorstand das von der Gemeindebehörde übernommene Wahlgerät auf, kontrolliert es entsprechend den Vorgaben in § 10 BWahIGV und der Bedienungsanleitung, gibt es dann nacheinander für die Wähler frei und beendet den Wahltag durch die Feststellung des Wahlergebnisses im Wahlbezirk (Näheres dazu siehe Ziff. 1.3.).

  • Die Speichermodule mit den abgegebenen Wählerstimmen werden nach dem Wahltag zentral und gesichert aufbewahrt (§ 16 Abs. 2 BWahIGV).

  • Die Speichermodule können jederzeit nach Ablauf des Wahltages erneut in ein Wahlgerät eingesteckt werden, um das Ergebnis noch einmal (bzw. beliebig oft) zu gewinnen. Darüber hinaus können die Speichermodule im Rahmen einer Wahlprüfung ausgelesen werden. Dabei kann festgestellt werden, ob die Stimmen, die vierfach redundant gespeichert werden, Defekte aufweisen. Das Speichermodul enthält, ebenso wie ein Stimmzettel, auch Informationen über Stimmenkoppelungen (Erst- und zugehörige Zweitstimme). Über die Anwendungssoftware könnten alle gespeicherten Stimmen als Stimmzettel mit den entsprechenden Kreuzen ausgedruckt und von Hand nachgezählt werden.

  • Sind alle Einspruchsfristen verstrichen, werden die Speichermodule nach Freigabe durch den Bundeswahlleiter komplett gelöscht und können mit den Daten der nächsten Wahl programmiert werden.

1.3    Ablauf am Wahltag

  • Die Gemeindebehörde übergibt dem Wahlvorsteher vor Beginn der Wahlhandlung unter anderem die benötigten Wahlgeräte, Geräteschlüssel und die Bedienungsanleitungen (§ 8 Abs. 1 BWahIGV).

  • Der Wahlvorstand kontrolliert die Unversehrtheit der amtlichen Siegel, erbricht sie, baut das Wahlgerät auf und schaltet es ein.

  • Der Wahlvorstand kontrolliert die Identifikation des Wahlgeräts und seines Softwareprogramms, das Wahldatum und den Wahlbezirk bzw. -kreis und die Anzeige "0" für die Zahl der abgegebenen Wählerstimmen. Die durchzuführenden Kontrollen sind detailliert im Handbuch sowie überblicksartig in der Kurzanleitung für die Wahlvorstände beschrieben und entsprechen den Vorgaben des § 10 Abs. 1 BWahIGV.

  • Der Wahlvorstand stellt das Wahlgerät mit Hilfe eines Schlüssels auf den Betriebszustand "Wählen" ein und verriegelt diesen Betriebszustand durch einen zweiten Schlüssel. Die beiden Schlüssel werden während des Wahltages bei zwei verschiedenen Mitgliedern des Wahlvorstands aufbewahrt (vgl. § 10 Abs. 2 BWahIGV).

  • Der Wahlvorstand gibt das Wahlgerät frei und die einzelnen Wähler geben ihre Stimmen ab. Näheres dazu siehe Punkt 1.4.

  • Am Ende des Wahltages entriegelt der Wahlvorstand mit Hilfe der beiden Schlüssel den Betriebszustand "Wählen" und stellt den Betriebszustand "Wahlauswertung" ein (§ 12 BWahIGV).

  • Zur Feststellung der Zahl der Wähler wird die Zahl der Stimmabgabevermerke und der eingenommenen Wahlscheine mit den vom Wahlgerät angezeigten Zahlen der Stimmabgaben verglichen und in der Wahlniederschrift vermerkt (§ 13 BWahIGV).

  • Der Wahlvorstand wählt nun am Wahlgerät die Funktion "Wahlauswertung per Drucker" und gewinnt so das vom Wahlgerät errechnete Ergebnis. In dem Moment, in dem dieses Ergebnis ausgedruckt wird, können keine weiteren Stimmen mehr hinzugefügt werden.

  • Der Ausdruck des Wahlergebnisses wird in die Wahlniederschrift aufgenommen. Der Wahlvorsteher stellt die Zahl der insgesamt abgegebenen Erst- und Zweitstimmen und der für jeden Bewerber und jede Liste abgegebenen Stimmen fest und kontrolliert, ob die Summe der einzelnen Ergebnisse mit der Zahl der insgesamt abgegebenen Stimmen übereinstimmt. Sollte der Drucker defekt sein, dann kann entweder das Wahlergebnis am Display angezeigt und von dort in die Wahlunterlagen übertragen werden oder das Speichermodul mit den Stimmen wird in ein anderes Wahlgerät eingesteckt und mit diesem wird der Ergebnisausdruck angefertigt.

  • Der Wahlvorstand entfernt das Speichermodul mit den Stimmen und übergibt es verpackt und versiegelt der Gemeindebehörde. Das Wahlgerät wird ebenfalls verschlossen und zurücktransportiert.

1.4    Ablauf für einen Wähler

  • Der Wahlvorstand kontrolliert die Wahlberechtigung wie üblich und gibt dann, statt dem Wähler einen Stimmzettel auszuhändigen, das Wahlgerät über eine Taste auf der Bedieneinheit frei.

  • Der Wähler kann nun an das Wahlgerät herantreten und seine Stimmen durch Tastendruck auswählen, seine Auswahl auf dem Display kontrollieren, ggf. korrigieren und dann seine Stimmen endgültig abgeben, indem er die dafür vorgesehene Stimmabgabetaste drückt. Dieser letzte Schritt entspricht dem Einwurf des Stimmzettels in die Urne. Der Schriftführer vermerkt im Wählerverzeichnis die Stimmabgabe (§ 11 Abs. 3 S. 3 BWahIGV).

  • Die Stimmen werden redundant und mit Sicherheitsmaßnahmen versehen an einer zufällig ausgewählten Stelle des Speichermoduls gespeichert.

  • Nach der Speicherung der Stimmen ist das Wahlgerät für weitere Stimmabgaben gesperrt. Der Wähler verlässt das Wahlgerät.

  • Die Anzeige auf der Bedieneinheit des Wahlvorstandes über die Zahl der Wähler erhöht sich um eins. Diese Anzeige dient dem Wahlvorstand für die Entscheidung, ob der Wähler seine Wahl ordnungsgemäß abgeschlossen hat.

  • Das Wahlgerät bleibt gesperrt, bis es für den nächsten Wähler wieder freigegeben wird.

1.5. Vorgeschriebene Funktionskontrollen durch Gemeindebehörde und Wahlvorstand

Die Bedienungsanleitung, die auch Gegenstand der Prüfung durch die PhysikalischTechnische Bundesanstalt ist, und §§ 7 und 10 BWahIGV schreiben folgende Kontrollen der Funktionsfähigkeit des Geräts durch die Gemeindebehörde bzw. den Wahlvorstand vor:

Vor dem Einstecken des Speichermoduls:

  • Kontrolle des äußeren Zustands des Wahlgeräts,

  • Kontrolle des Zubehörs auf Vollständigkeit,

  • Kontrolle der Startvorgänge beim Einschalten (Lampe, Signaltöne, Anzeigen beim Selbsttest des Wahlgeräts),

  • Kontrolle der Funktionsfähigkeit des Druckers,

  • Kontrolle der Funktionsfähigkeit des Wahlgerätedisplays und des Displays auf der Bedieneinheit,

  • Kontrolle der Funktionsfähigkeit der fest installierten Stimmabgabe- und Korrekturtasten, aller Tasten des Funktionstastenfeldes für den Wahlvorstand, aller Tasten auf der Bedieneinheit, der beiden Schlösser auf der Bedieneinheit und einiger Tasten vom großen Tastentableau,

  • ggf. Kontrolle der auf dem Tastentableau integrierten LEDs (nicht bei allen Bauarten vorhanden),

  • Kontrolle der Notstromversorgung,

  • Kontrolle der Siegel der Elektronikeinheit (nicht bei allen Bauarten vorhanden),

  • Vergleich der Anzeigen des Wahlgeräts mit der Baugleichheitserklärung hinsichtlich Wahlgeräte-Seriennummer, Hardware- und Softwareversionsnummer und Prüfsummen,

  • Ausdruck des Kenndatenprotokolls mit der Wahlgeräte-Seriennummer, der Hardware- und Softwareversionsnummer und den Prüfsummen.

Nach dem Einstecken des Speichermoduls:

  • Kontrolle der Anzeigen während des Selbsttests des Wahlgeräts und während des Tests des Speichermoduls,

  • Bestätigung, dass das Speichermodul mit einer politischen oder einer nicht politischen Wahl programmiert wurde,

  • Kontrolle von Wahldatum und Wahlbezirk,

  • Kontrolle, dass "0" Wähler angezeigt werden,

  • Kontrolle der richtigen Belegung aller Tasten, die für die Wahlen benutzt werden sollen,

  • Ausdruck eines Prüfprotokolls, das alle Daten aus dem Speichermodul enthält und später in die Wahlniederschrift aufgenommen wird,

  • Kontrolle des Prüfprotokolls hinsichtlich Hardware- und Softwareversionsnummer, Prüfsummen, Wahldatum, Wahlbezirk bzw. -kreis, Gemeindebezeichnung, Wahlstatistik sowie der Listen, Kandidaten und Parteien,

  • Wiederholung der Kontrolle auf "0" Wähler,

  • Kontrolle des Druckerpapiers.

Anschließend wird das Wahlgerät mit dem eingesteckten Speichermodul verschlossen und amtlich versiegelt. In diesem Zustand verbleibt es bis zum Morgen des Wahltages. Der Wahlvorstand hat beim und nach dem Aufbau öffentlich folgende Funktionskontrollen durchzuführen:

Vor dem Aufbau:

  • Kontrolle der Versiegelung. Nach dem Aufbau:

  • Bestätigung, dass das Speichermodul mit einer politischen Wahl programmiert wurde,

  • Kontrolle der Wahlgeräte-Seriennummer, des Wahlbezirks bzw. -kreises und des Wahldatums durch Vergleich von aktueller Anzeige, Gerätestimmzettel und Prüfausdruck,

  • Kontrolle, dass der Inhalt der gerätespezifischen Darstellung der Wahlvorschläge mit dem amtlichen Stimmzettel übereinstimmt sowie dass eine Abbildung des Wahlgerätes und der gerätespezifischen Darstellung der Wahlvorschläge und einer Anleitung zur Stimmabgabe im Wahlraum aufgehängt sind,

  • Kontrolle, dass "0" Wähler angezeigt werden,

  • Vergleich der Hardware- und Softwareversionsnummern und der Prüfsummen auf dem Prüfausdruck mit der Baugleichheitserklärung (nicht bei allen Bauarten),

  • Kontrolle des Druckerpapiers.

Auch das Wahlgerät selbst enthält umfangreiche Diagnosefunktionen und führt mit Hilfe dieser Funktionen beim Gerätestart, während des laufenden Betriebs sowie vor und nach der Speicherung von Stimmen Selbsttests durch.

2. Ablauf der Prüfung bei der Physikalisch-Technischen Bundesanstalt (PTB)

Bei der Physikalisch-Technischen Bundesanstalt wird ein Mustergerät geprüft. Die Prüfung orientiert sich strikt an der BWahIGV und der Anlage 1 zu § 2 BWahIGV, den Richtlinien für die Bauart von Wahlgeräten (BGBI. I 1999, S. 749, 753). Diese schreiben die zu prüfenden Anforderungen vor.

Die Anforderungen gliedern sich in konstruktionstechnische, funktionale und einige ergonomische Anforderungen. Anforderungen bezüglich der Sicherheit sind implizit ebenfalls enthalten.

Bei der Prüfung werden verschiedene Prüfmethoden verwendet. Anforderungen wie z.B. die, dass das Wahlgerät in seiner Konstruktion dem Stand der Technik entsprechen muss, werden durch Inspektionen der technischen Unterlagen und durch Sichtprüfungen am Gerät geprüft. Anforderungen wie z.B. die nach bestimmten Funktionen oder Abläufen werden durch Funktionstests am Wahlgerät geprüft. Dabei werden generell auch Fehlersituationen, Defekte, falsche Handhabung, Stromausfälle usw. berücksichtigt. Anforderungen an die Verträglichkeit gegenüber bestimmten Umwelteinflüssen werden durch Klimakammertests, Vibrations- und Falltests, Messungen der Empfindlichkeit gegenüber elektromagnetischen Feldern, Stromschwankungen u.ä. geprüft. Auch die elektromagnetische Abstrahlung der Wahlgeräte wird kontrolliert. Parallel zu diesen Prüfungen erfolgt die gründliche Inspektion des Quellcodes des in den Wahlgeräten verwendeten Softwareprogramms, dynamische Funktionstests des Softwareprogramms sowie Reviews der Entwicklungsdokumentation, der Testdokumentation und der Bedienungsanleitung. Die Softwareprüfung nimmt in der Regel 90 % des zeitlichen Aufwands der Baumusterprüfung in der PTB in Anspruch.

Die Baumusterprüfung wird durch eine Arbeitsgruppe der PTB durchgeführt, die langjährige Erfahrungen mit Wahlgeräteprüfungen hat und als Softwareprüfstelle akkreditiert ist. Die Arbeitsgruppe stützt sich bei der Baumusterprüfung auch auf externe, akkreditierte Prüflaboratorien, z. B. bei den mechanischen Tests.

An bestimmten Stellen legt die Bundeswahlgeräteverordnung ein spezielles Sicherheitsniveau fest, wie z.B. beim allgemeinen Zuverlässigkeits- und Sicherheitsniveau, bei der Rückwirkungsfreiheit usw. Wo die BWahIGV keine besonderen Festlegungen trifft,

wird bei der Prüfung der Wahlgeräte ein Maßstab angelegt, mit dem mindestens ein vergleichbares Sicherheitsniveau gewährleistet wird wie bei der konventionellen Wahl. Bei der Prüfung und Bewertung wird als Voraussetzung angenommen, dass sich das Wahlgerät am Wahltag permanent unter der Kontrolle des Wahlvorstandes befindet und dass die Speichermodule, die die Stimmen enthalten, mit der gleichen Sorgfalt behandelt werden wie Stimmzettel und Urnen bei der konventionellen Wahl.

Die konventionelle Wahl mit den gesetzlich festgelegten Zuständigkeiten und Verantwortlichkeiten der Wahlvorstände hat sich über eine lange Zeit bewährt. Genau diese Rolle der Wahlvorstände bleibt beim Einsatz von Wahlgeräten erhalten.

3. Technische Aspekte des Einspruchs

3.1 Identifikation der Hardware und des Softwareprogramms

Die Hardware der Wahlgeräte wird über einen Namen und eine Versionsnummer identifiziert. Der Name befindet sich auf dem Typenschild an der Vorderseite der

Geräte. Name und Versionsnummer können darüber hinaus vom Gerät auf Anforderung angezeigt und ausgedruckt werden. Sie können somit jederzeit mit den Angaben auf der Baugleichheitserklärung verglichen werden.

Die Einspruchsführer kritisieren, dass das Softwareprogramm nicht ausreichend identifizierbar sei und dass die Identifikation des Softwareprogramms nicht ausreichend geprüft werde.

Das Softwareprogramm identifiziert sich über eine Versionsnummer und zwei Prüfsummen. Die Prüfsummen werden durch das Gerät selbst gebildet, indem ein im Softwareprogramm enthaltener Prüfsummenalgorithmus verwendet wird. Der Prüfsummenalgorithmus wird im Rahmen der Baumusterprüfung geprüft. Dabei wird festgestellt, dass der Algorithmus korrekt arbeitet, dass er das gesamte Softwareprogramm einbezieht, dass er nicht ausgeschaltet oder umgangen werden kann und dass seine Ergebnisse unverändert an den Drucker und das Display übergeben werden.

Die Versionsnummer und die beiden Prüfsummen der Software können jederzeit, auch während des Wahltags und im Beisein von Wählern, am Gerät angezeigt und ausgedruckt werden und mit der Baugleichheitserklärung verglichen werden. Das Softwareprogramm ist damit jederzeit identifizierbar.

Vor der Verwendung der Geräte finden zwei Kontrollen der Softwareidentifikation statt, und zwar durch die Gemeindebehörde einige Wochen vor der Wahl und durch die Wahlvorstände am Tag der Wahl (im Detail vgl. oben unter Ziff. 1.2 ff.).

Die Gemeindebehörde komplettiert die Wahlgeräte, indem die Speichermodule mit den konkreten Angaben zur Wahl programmiert und in die Wahlgeräte eingesteckt werden. Die Gemeindebehörde führt anschließend einige Kontrollen aus. Dabei wird u.a. geprüft, ob die Softwareidentifikation des Seriengerätes mit der des zugelassenen Baumusters übereinstimmt. Die Softwareidentifikation des Baumusters wird in der Verwendungsgenehmigung veröffentlicht und mittels eines Aufklebers auf dem Gerät angebracht.

Nach der Kontrolle der Softwareidentifikation (und weiteren Prüfungen) werden die Wahlgeräte verschlossen und amtlich gesiegelt. In diesem Zustand verbleiben sie bis zum Aufbau durch den Wahlvorstand am Morgen des Wahltags. Der Wahlvorstand ist angewiesen, vor dem Aufbau die Unverletztheit der Siegel zu überprüfen.

Nach dem Aufbau der Geräte führt der Wahlvorstand ebenfalls eine Kontrolle der Softwareidentifikation durch.

Bei allen Schritten werden nicht nur die Anzeigen kontrolliert, sondern auch Ausdrucke angefertigt, die für nachträgliche Überprüfungen zur Verfügung stehen.

Die Prüfungen der Softwareidentifikation durch die Gemeindebehörde und durch den Wahlvorstand sind in der Bedienungsanleitung der Wahlgeräte vorgeschrieben. Die Bedienungsanleitung ist Bestandteil der Bauart, sie ist ebenfalls durch die PTB geprüft worden und stellt eine verbindliche Vorschrift für die Handhabung der Wahlgeräte dar.

3.2 Authentifizierung des Softwareprogramms

Die Einspruchsführer vermuten, dass es möglich ist, die Eproms mit dem Softwareprogramm zu ändern oder auszutauschen, ohne dass dies bemerkt wird. Die Frage ist also, ob die in den Seriengeräten befindlichen Eproms tatsächlich Kopien der bei der Baumusterprüfung geprüften Eproms sind, ob also das Softwareprogramm auf den Eproms der Seriengeräte authentisch (echt) ist.

3.2.1 Prüfsummen und andere informationstechnische Mittel

Die durch das Wahlgerät angezeigten oder ausgedruckten Prüfsummen sind nicht dazu geeignet und deshalb auch nicht dafür vorgesehen, die Authentizität des Softwareprogramms zu sichern. Es ist theoretisch möglich, Eproms zu schaffen, die ein verändertes Softwareprogramm enthalten und trotzdem auf Nachfrage die ursprünglichen, erwarteten Prüfsummen liefern, indem neben dem Softwareprogramm auch der Prüfsummenalgorithmus manipuliert wird. Die Prüfsummen dienen deshalb allein der Identifikation, nicht der Authentifizierung. Sie schützen vor unabsichtlichen Veränderungen, aber nur beschränkt vor beabsichtigten Manipulationen.

Werden die bisher verwendeten Prüfsummen durch andere informationstechnische Verfahren wie z.B. MD5-Hashwerte ersetzt, dann ändert sich an dieser Situation grundsätzlich nichts. Solange für die Erzeugung und Anzeige dieser Werte ein Algorithmus verwendet wird, der Bestandteil des Wahlgerätes ist, könnte zusammen mit dem Softwareprogramm auch der Algorithmus manipuliert werden. Er könnte so verändert werden, dass der ursprüngliche Wert vorgespiegelt wird. Alle Werte, die durch Bauteile oder Softwareprogramme des (eventuell manipulierten) Wahlgerätes bereitgestellt werden, sind für eine Authentifizierung nur beschränkt geeignet bzw. sogar ungeeignet.

Eine Authentifizierung über solche Verfahren wäre nur vollständig, wenn die Eproms bei jedem einzelnen Seriengerät entnommen und außerhalb des Wahlgeräts mit unabhängigen Hilfsmitteln geprüft würden. Sind die Werte unabhängig ermittelt worden, könnten sie mit den Werten des Baumusters verglichen werden.

Auch bei einer Stückprüfung aller ausgelieferten Eproms gäbe es weitere Manipulationsmöglichkeiten. So könnte z.B. die Elektronikeinheit so geändert werden, dass nicht mehr die kontrollierten und als korrekt befundenen Eproms benutzt werden, sondern neu hinzugefügte, verändert programmierte Eproms.

Bestünden also berechtigte Zweifel daran, dass die vom Hersteller produzierten Seriengeräte mit dem Baumuster übereinstimmen, dann müsste eine Stückprüfung aller ausgelieferten Geräte erfolgen, bei denen nicht nur die Baugleichheit der Eproms, sondern auch die Baugleichheit der Elektronikeinheit und aller anderen wichtigen Bestandteile der Wahlgeräte überprüft werden müsste.

Dies wäre grundsätzlich machbar, aber mit erheblichem zusätzlichem Aufwand verbunden.

3.2.2  Zugriffsmöglichkeiten auf das Softwareprogramm

Falls das Softwareprogramm des Wahlgerätes durch ein manipuliertes ersetzt werden sollte, dann müsste dieses manipulierte Softwareprogramm die Funktionstests vor der Wahl bestehen. Es müsste sich also größtenteils wie das korrekte Softwareprogramm verhalten. Außerdem müsste es mit der Hardware der Wahlgeräte zusammenarbeiten, da sonst Tasten, Displays usw. nicht funktionieren würden. Es erscheint deshalb unrealistisch, das Softwareprogramm komplett neu zu schreiben; eher ist eine Modifikation des bestehenden Softwareprogramms denkbar.

Um das bestehende Softwareprogramm modifizieren zu können, müsste der Quellcode verfügbar sein. Dieser liegt nur beim Hersteller Nedap sowie beim Prüflaboratorium in der PTB vor. Beide Stellen sind durch standardmäßige Sicherheitsmaßnahmen wie Firewalls, Virenschutz, Rechtevergabe und Zugangskontrollen vor dem Eindringen unbefugter Dritter geschützt.

3.2.3  Auswirkungen geänderter oder ausgetauschter Egroms

Das Wahlgerät einschließlich seines auf den Eproms befindlichen Softwareprogramms funktioniert nur als Wahlgerät, wenn ein korrekt programmiertes Speichermodul eingesteckt wird. Während das Softwareprogramm den generellen Ablauf des Wählens und des Auswertens der Wahl bestimmt, enthält das Speichermodul die Daten der Stimmzettel und die anderen konkreten Daten der Wahl (vgl. Ziff. 1.1.).

Die Eproms mit dem Softwareprogramm werden durch den Hersteller produziert, in das Wahlgerät eingebaut und dieses dann ausgeliefert. Die Daten der Stimmzettel und die anderen konkreten Wahldaten stehen erst einige Wochen vor dem Wahltermin fest und werden erst dann unabhängig vom Hersteller von der Gemeindebehörde in die Speichermodule einprogrammiert.

Würden nun die Eproms beim Hersteller oder nach der Auslieferung manipuliert, dann wären nur Manipulationen ohne genaue Kenntnis der Tastenbelegung und der Nummerierung von Bewerbern möglich. Es wäre zum Beispiel nur möglich, das Softwareprogramm so zu ändern, dass der Bewerber 3 einen Teil der Stimmen des Bewerbers 4 bekommt oder dass Stimmen mit einem festen Verhältnis auf die Listen der Parteien 7 und 8 aufgeteilt werden. Welche Bewerber sich am Wahltag unter den Nummern 3 und 4 verbergen oder welche Listen am Wahltag die Nummern 7 und 8 haben werden, ist bis einige Wochen vor der Wahl in der Regel nicht bekannt. Die Belegung der Tasten ändert sich außerdem von Wahl zu Wahl. Manipulationen müssten also in der Regel "blind" erfolgen und würden sich dann auf alle Wahlen in gleicher Art und Weise auswirken.

Gezielte Manipulationsversuche sind damit in der Regel schwierig, solange sie sich auf die Manipulation der Eproms beschränken. Sie wären nur sinnvoll, wenn die Manipulation auch die gefüllten Speichermodule mit den Daten für eine bestimmte Wahl umfassen würde. Sobald diese aber vorliegen, eingesteckt und überprüft sind, sind die Wahlgeräte verschlossen, amtlich versiegelt und besonders geschützt aufbewahrt. Zusammenfassend lässt sich sagen, dass die Authentizität des Softwareprogramms bei den Wahlgeräten durch eine Gesamtheit von Gegebenheiten und flankierenden Maßnahmen gewährleistet wird. Hierzu zählt vor allem die Tatsache, dass für eine Manipulation der Zugriff auf den Quellcode des Softwareprogramms und der Zugriff auf die gefüllten Speichermodule nötig wäre. Der Zugriff auf den Quellcode würde strafbare Handlungen, wie ein unbefugtes Eindringen beim Hersteller oder der PTB voraussetzen. Ein Zugriff auf die Speichermodule wäre erst dann sinnvoll, wenn die Wahlgeräte bereits auf die Wahlämter verteilt, dort komplettiert und versiegelt worden sind. Zu diesem Zeitpunkt werden sie aber besonders geschützt aufbewahrt, so dass ein Zugriff ebenso unwahrscheinlich erscheint wie ein Zugriff auf die von der Gemeindebehörde aufbewahrten Stimmzettel.

3.3    Übereinstimmung von Quellcode und Softwareprogramm

Die Einspruchsführer vermuten, dass der bei der PTB geprüfte Quellcode nicht mit dem Softwareprogramm übereinstimmen könnte, das in den Wahllokalen zum Einsatz kommt.

Dieses Problem besteht aus zwei Teilen: a) Gehören der in der PTB geprüfte Quellcode und das in der PTB als Bestandteil des Baumusters geprüfte Softwareprogramm zusammen? b) Entsprechen die in den Wahllokalen eingesetzten Seriengeräte mit ihren Softwareprogrammen dem Baumuster? Problem b} betrifft die in Punkt 3.2 schon behandelte Authentifizierung des eingesetzten Softwareprogramms. Problem a) wird im Folgenden besprochen.

Der Quellcode wird beim Hersteller der Wahlgeräte durch die Programmierer geschrieben. Aus ihm geht durch einen Übersetzungsvorgang das Softwareprogramm hervor, das sich auf den Eproms im inneren des Wahlgeräts befindet.

Der Hersteller sendet ein Wahlgerät einschließlich der Eproms mit dem Softwareprogramm für die Baumusterprüfung bei der PTB ein. Gleichzeitig reicht er auch den Quellcode ein, aus dem das Softwareprogramm hervorgegangen ist.

Der Hersteller versichert verbindlich, dass das Softwareprogramm aus genau dem Quellcode hervorgegangen ist, der zur Prüfung vorgelegt wird.

Da die Funktionalität des Wahlgerätes sowohl am Baumuster mit dem darin enthaltenen Softwareprogramm als auch durch eine Inspektion des Quellcodes geprüft wird, würden Abweichungen zwischen beiden mit großer Wahrscheinlichkeit während der Prüfung entdeckt werden. Zu solchen Abweichungen ist es bisher nicht gekommen.

Als zusätzliche vertrauensbildende Maßnahme wurde außerdem im Rahmen der ersten Baumusterprüfungen durch die PTB ein Audit der Softwareentwicklung beim Hersteller durchgeführt.

3.4    Sicherung der Stimmen im Speichermodul

Die Einspruchsführer führen an, dass die Stimmen im Speichermodul nicht verschlüsselt abgelegt sind, und vermuten, dass diese einfach geändert oder gelöscht werden können.

Die Stimmen sind im Speichermodul nur insoweit unverschlüsselt abgelegt, als man unter Verschlüsselung die Anwendung eines kryptografischen Algorithmus versteht. Sie sind keineswegs einfach ablesbar im Speichermodul abgelegt. Um sie zu ändern, ist neben dem Zugriff auf das (geschützt bei den Gemeindebehörden aufbewahrte) Speichermodul und ein passendes Programmiergerät auch die Information erforderlich, wie die Stimmen im Speichermodul abgelegt werden müssen, damit das Wahlgerät sie beim Zählen berücksichtigt. Die Stimmen werden außerdem redundant und mit einigen Sicherungsmaßnahmen abgelegt, so dass sie bei der Auswertung hinsichtlich ihrer Integrität geprüft werden können. Verletzen die manipulierten Stimmen eine der Integritätsregeln, werden sie nicht gezählt und eine Fehlermeldung erscheint.

Eine Offenlegung des Quellcodes würde die Integritätsbedingungen allgemein bekannt machen und damit Ansatzpunkte für Manipulationsversuche bieten.

Einfacher als die gezielte Manipulation einzelner oder aller Stimmen wäre die Löschung von Stimmen, sofern Zugriff auf die Speichermodule und ein passendes Programmiergerät besteht. Um dies zu verhindern, werden die Speichermodule während der Wahl beaufsichtigt und nach der Wahl genauso sicher aufbewahrt wie ausgefüllte Stimmzettel.

3.5    Sicherheitsmängel der Auswertecomputer

Die Einspruchsführer verweisen auf die zahlreichen Probleme, die in Irland mit den PCs und der speziellen Software aufgetreten sind, die für die Wahlauswertung verwendet wurden.

Das irische Wahlsystem legt fest, dass die Inhalte mehrerer Wahlurnen vor der Auszählung gemischt werden müssen. Damit ist es in Irland erforderlich, die Speichermodule mehrerer Wahlgeräte an einer zentralen Stelle zusammenzuführen und (in einer Datenbank auf einem PC) zu mischen, bevor die Wahlauswertung stattfinden darf. Das Ergebnis wird also mit Hilfe eines PCs und darauf befindlicher spezieller Software gewonnen.

Diese Situation besteht in Deutschland nicht. In jedem Wahllokal stellt der Wahlvorstand mit Hilfe des Wahlgerätes am Ende des Wahltages das Wahlergebnis des Wahlbezirkes fest (vgl. oben Ziff. 1.3).

Die Wiederholung der Wahlauswertung in der Gemeindebehörde ist demgegenüber keine Feststellung des amtlichen Endergebnisses. Im Wahlamt werden in der Regel die Speichermodule aus den einzelnen Wahllokalen noch einmal gelesen, die Ergebnisse auf einem PC gesammelt und dann addiert. Stattdessen oder parallel dazu können jedoch auch die von den Wahlvorständen ermittelten Ergebnisse aus den Wahllokalen verwendet und diese manuell oder mit einem Taschenrechner addiert werden.

Die in Irland für die Umrechnung der Stimmen in Sitze verwendete und ebenfalls von der irischen Kommission kritisierte spezielle Software ist nur für so genannte STVWahlen (Single Transferable Vote Elections) geeignet, die in Deutschland keine Verwendung finden.

Da das in den Wahlämtern zum Addieren verwendeten Verfahren und demzufolge auch die dafür verwendeten PCs und ihre spezielle Software für die Gewinnung des amtlichen Endergebnisses nicht relevant sind, unterliegen sie keinen speziellen Anforderungen. Sie sind nicht Bestandteil der Bauart und werden nicht geprüft.

3.6    Fehlen eines verifizierbaren Protokolls

Die Einspruchsführer verweisen auf das Fehlen eines transparenten, unabhängigen und öffentlichen Verfahrens zur Überprüfung (Verifizierung) der Stimmspeicherung und schlagen die Verwendung einer Papierquittung, des so genannten Voter Verifiable Paper Audit Trail (WPAT), vor. Dieser WPAT würde durch das Wahlgerät vor der endgültigen Stimmabgabe ausgedruckt, dem Wähler hinter Glas präsentiert und nach der Bestätigung durch den Wähler und damit endgültiger Stimmabgabe in eine angeschlossene Urne geworfen werden.

Die Verwendung von WPATs hat Vor- und Nachteile und ist in der Fachwelt keineswegs, wie die Einspruchsführer behaupten, unumstritten. Insbesondere ist durch die Verwendung eines WPAT keine unabhängige Verifikation möglich.

  • Der WPAT kann, wie jedes Papierprodukt, manipuliert werden. Es gibt ungezählte Möglichkeiten, professionell aussehende Drucksachen herzustellen. Für das zusätzlich erforderliche Zerstören oder Austauschen von Stimmzetteln sind keinerlei besondere Fähigkeiten nötig. Im Gegensatz dazu erfordert das Manipulieren elektronischer Daten spezielle Kenntnisse. Aus diesen Gründen ist der WPAT grundsätzlich unzuverlässiger als die elektronischen Daten.

  • Der WPAT ist nicht unabhängig. Er kann nicht das mangelnde Vertrauen in die Funktionsfähigkeit des Wahlgeräts ersetzen, da er vom Wahlgerät erzeugt wird. Nachdem der Wähler die Wahlkabine verlassen hat, könnte das Wahlgerät z.B. den gerade erzeugten WPAT als ungültig markieren und einen neuen drucken. Dies könnte zwar mit Tests entdeckt werden. Der WPAT soll aber gerade deswegen verwendet werden, weil den Tests des Wahlgeräts kein Vertrauen entgegengebracht wird. Wird der WPAT um verschlüsselte Merkmale ergänzt, um das Einfügen zusätzlicher Papierquittungen oder das Ersetzen von Papierquittungen zu verhindern, dann kann er wiederum nicht mehr durch den Wähler überprüft werden. Der Wähler ist dann nicht mehr in der Lage zu entscheiden, ob der ihm präsentierte WPAT korrekt markiert wurde und später mitgezählt wird.

  • Für die Realisierung ist ein Drucker nötig, der nicht nur ausfallen kann, sondern während des Wahltages auch kleinere Probleme wie Papierstau, auslaufende Tinte usw. verursachen kann.

  • Bei Wahlen mit vielen Stimmen ist es möglich, dass der Wähler seine Auswahl teilweise vergisst und fälschlicherweise annimmt, dass der WPAT nicht korrekt sei. Dies erhöht unberechtigterweise die Zweifel gegenüber dem Wahlgerät und könnte zu einer überflüssigen Nachzählung führen.

  • WPATs so zu gestalten, dass auch behinderte Wähler mit ihnen zurecht kommen, ist sehr schwierig. So könnten z.B. Sehschwache wieder auf Hilfe angewiesen sein, um ihren WPAT zu kontrollieren.

  • Eine kleine Studie des Massachusetts Institute of Technology, eines der renommiertesten Technologie-Forschungsinstitute der USA, hat ergeben, dass der größte Teil der Testwähler den WPAT ungelesen bestätigt oder, wenn er ihn gelesen

und als fehlerhaft empfunden hat, trotzdem bestätigt (in der Annahme, dass das Papier nicht lügen kann).

Das WPAT kann allerdings u.U. auch Vorteile haben. Bisher fehlen jedoch praktische Erfahrungen mit diesem Hilfsmittel. In den nächsten Jahren stehen mehrere Wahlen im Ausland mit WPAT bevor, die wissenschaftlich untersucht werden sollten. Die PTB wird die weitere Entwicklung auf diesem Gebiet beobachten. Derzeit spricht nichts dafür, dass ein WPAT die ohnehin schon hohe Sicherheit der Wahlgeräte noch erhöhen würde. Ein generelles Misstrauen der Bevölkerung in die Sicherheit der Wahlgeräte ist ebenfalls nicht ersichtlich, so dass auch dieser Aspekt nicht die Einführung des WPAT angeraten erscheinen lässt.

4. Rechtliche Aspekte des Einspruchs

4.1. Verletzung des Öffentlichkeitsgrundsatzes

Eine Verletzung des Öffentlichkeitsgrundsatzes liegt nicht vor.

Das Öffentlichkeitsprinzip wird nach herrschender Auffassung aus dem Demokratieprinzip im Sinne von Art. 20 Abs. 1 GG abgeleitet (Schreiber, Handbuch des Wahlrechts, 7. Auf 1., § 10 Rnr. 1; Karpen, Elektronische Wahlen? Einige verfassungsrechtliche Fragen, 2005, S. 31). Die Öffentlichkeit der Wahl ist eine Grundvoraussetzung für eine demokratische politische Willensbildung. Die Öffentlichkeit übt gegenüber den Wahlorganen eine Kontrollfunktion aus; geheime Auszählungen oder Beratungen sind daher unzulässig. Das Öffentlichkeitsprinzip dient damit dem Schutz vor Wahlfälschungen und dem Vertrauen der Bürger in manipulationsfreie Wahlen (VerfGH NW NVwZ 1991, 1179; OVG Koblenz NVwZ 1991, 600).

Einfachrechtlich ist das Öffentlichkeitsprinzip in §§ 10, 31 des Bundeswahlgesetzes (BWG) und § 54 der Bundeswahlordnung (BWO) geregelt. Gemäß § 10 BWG findet die Verhandlung, Beratung und Entscheidung der Wahlausschüsse und Wahlvorstände in öffentlicher Sitzung statt. Der gesamte Willensbildungs- und Entscheidungsprozess, der zu der Feststellung des Ergebnisses für den Wahlbezirk führt, muss im Lichte der Öffentlichkeit geschehen. § 54 BWO konkretisiert dies dahingehend, dass während der Wahlhandlung und der Ergebnisermittlung jedermann Zutritt zu den Wahlräumen hat, soweit dies ohne Störung des Wahlgeschäfts möglich ist.

Allerdings ist das Öffentlichkeitsprinzip nicht grenzenlos gewährleistet. Ebenso wenig wie die in Art. 38 Abs. 1 GG ausdrücklich geregelten Wahlrechtsgrundsätze kann es in voller Reinheit verwirklicht werden. Das Ziel der Wahl, in kurzer Zeit eine handlungsfähige Volksvertretung zu bilden, steht mit dem Öffentlichkeitsgrundsatz in Konflikt. Insofern gilt für die herkömmliche Urnen- und Briefwahl dasselbe wie für die Wahl an elektronischen Wahlgeräten. Auch dort wird das Öffentlichkeitsprinzip nicht in letzter Konsequenz verwirklicht.

4.1.1 Öffentlichkeit der Stimmabgabe

Die Einspruchsführer bemängeln, dass bei der Wahl mit Wahlgeräten die Stimmabgabe nicht öffentlich sei.

§ 31 Satz 1 BWG bestimmt, dass die Wahlhandlung öffentlich ist. Die Wahlhandlung umfasst den gesamten Wahlvorgang vom Zusammentritt des Wahlvorstandes, dem Betreten des Wahllokals durch die Wähler, die Überprüfung der Wähler durch den Wahlvorstand, dem Einwurf des Stimmzettels in die Urne bis zur Erklärung des Wahlvorstehers, dass die Wahlhandlung beendet ist. Ausnahmen sind gemäß Satz 2 lediglich für Personen gestattet, die die Ordnung und Ruhe stören. Gemäß § 54 BWO ist der Zutritt der Wahlräume insoweit gestattet, wie dies ohne Störung des Wahlgeschäfts möglich ist.

Die Öffentlichkeit der Wahlhandlung dient mehreren Zwecken. Zum einen wird vertreten, dass die öffentliche Wahl ein wichtiger Integrationsfaktor sei (OVG NW, NVwZ 1991, 1179). Die Wahl stelle einen symbolisch-rituellen Akt dar, durch den der Bürger sich öffentlich als Souverän erfahre (Karpen a.a.0. S. 31). Zum anderen dient die öffentliche Wahlhandlung der Kontrollierbarkeit der Wahlhandlung. Die Öffentlichkeit soll überwachen können, dass nur Wähler, die vom Wahlvorstand daraufhin kontrolliert worden sind, ob sie tatsächlich im Wählerverzeichnis eingetragen waren, einen (einzigen) Stimmzettel einwerfen. Der öffentliche Einwurf des Stimmzettels in die Wahlurne - im Gegensatz zum geheimen eigentlichen Wahlakt - dient aber auch der Kontrolle durch die Wahlvorstände, dass der Wähler tatsächlich den - und nur diesen einen - Stimmzettel einwirft.

Unter Berücksichtigung dieser Ziele ist der Öffentlichkeitsgrundsatz bei der Wahl mit Wahlgeräten nicht verletzt.

Bei der Wahl mit Wahlgeräten erfolgt das Betreten des Wahlraumes durch die Wähler und die Überprüfung der Wähler durch den Wahlvorstand in gleicher Weise wie bei der Urnenwahl. Lediglich der Einwurf der Stimme in die Wahlurne (= Drücken der Taste "Stimmabgabe") erfolgt jedenfalls bei der Wahl mit Nedap-Wahlgeräten noch in der Wahlkabine, da die Kennzeichnung des Stimmzettels und die Stimmabgabe an einem einzigen Gerät erfolgt.

Der Integrationsfaktor der Wahl ist demnach bei der Wahl mit Wahlgeräten in gleicher Weise gegeben wie bei der Urnenwahl.

Das Ziel der Kontrollierbarkeit der Wahlteilnahme wird bei der Wahl mit elektronischen Wahlgeräten ebenfalls erreicht: dass nur berechtigten Wählern der Zugang zur Wahlkabine gewährt wird, kann die Öffentlichkeit ebenso kontrollieren wie bei der Urnenwahl. Die Kontrolle, dass jeder Wähler, der seine Wahlbenachrichtigungskarte abgegeben hat, auch tatsächlich - und nur einmal - gewählt hat, kontrolliert der Wahlvorstand durch Ablesen der Bedieneinheit.

Im Übrigen ist der Öffentlichkeitsgrundsatz auch bei der Urnenwahl und der Briefwahl nicht in voller Reinheit verwirklicht. Zum einen regeln § 31 BWG und § 54 BWO, dass durch die Verwirklichung des Öffentlichkeitsgrundsatzes der ordnungsgemäße Ablauf der Wahl nicht gestört werden darf. Das Ziel der Wahl, in kurzer Zeit ein handlungsfähiges Parlament zu bilden, darf durch die Gewährung der Öffentlichkeit nicht beeinträchtigt werden. Das Bundeswahlgesetz misst damit dem Ziel, die Wahl zeitgerecht ablaufen zu lassen und das Wahlergebnis in angemessener Zeit zu ermitteln, eine größere Bedeutung bei als der minutiösen Kontrolle durch die Öffentlichkeit.

Der Öffentlichkeitsgrundsatz unterliegt noch weiteren Einschränkungen: zur Wahrung des informationellen Selbstbestimmungsrechts dürfen andere Wahlberechtigte oder Beobachter der Wahl Angaben zur Person anderer Wähler grundsätzlich nicht zur Kenntnis nehmen. Der Einblick in das Wählerverzeichnis zu anderen Personen ist daher nur ausnahmsweise gestattet (§ 17 BWG), und der Wahlvorstand darf grundsätzlich Angaben zur Person des Wählers nur so verlautbaren, dass sie von anderen im Wahlraum anwesenden Personen nicht vernommen werden können (§ 54 Abs. 4 Satz 2 BWO). Damit entfällt weitgehend die Möglichkeit einer Kontrolle der Wahlberechtigung eines Wählers durch die Öffentlichkeit. Eine hierauf gerichtete Kontrolle muss sich auf die Überprüfung beschränken, ob der Wahlvorstand die Wahlberechtigung der Wähler überprüft.

Die Öffentlichkeit der Stimmabgabe ist z.B. auch bei der Briefwahl stark eingeschränkt. Bei dieser Form der Wahl fehlt es gänzlich an dem integrierenden Faktor der Wahl, da die eigentliche Wahlhandlung in der Privatsphäre und nicht im öffentlichen Raum stattfindet. Damit entfällt bei der Briefwahl auch die Kontrollierbarkeit der Wahlhandlung durch die Öffentlichkeit. Denn die Öffentlichkeit hat naturgemäß keinen Einblick, ob z.B. bestimmte Personen von ihrem Wahlrecht Gebrauch gemacht haben oder nicht.

4.1.2. Öffentlichkeit der Stimmenauszählung

Die Einspruchsführer führen weiter aus, die Öffentlichkeit der Stimmenauszählung sei nicht gegeben. Die Stimmen lägen im Wahlgerät in nicht verkörperter Form vor, so dass die Öffentlichkeit nicht nachvollziehen könne, wie das Wahlgerät die Summenbildung vorgenommen habe.

Wie oben ausgeführt, dient der aus Art. 20 Abs. 1 GG abgeleitete und in §§ 10 BWG, 54 BWO geregelte Öffentlichkeitsgrundsatz bei der Stimmenauszählung und der Beratung und Abstimmung durch die Wahlvorstände der Kontrolle durch die Öffentlichkeit und damit dem Schutz vor Wahlfälschungen und Manipulationen.

Ohne weiteres durch die Öffentlichkeit kontrollierbar ist der Ausdruck des vom Wahlgerät errechneten Ergebnisses des Wahlbezirks durch den Wahlvorstand nach Abschluss der Wahlhandlung und die Übernahme des Ergebnisses in die Wahlniederschrift.

Der Wahlvorstand und jeder Wahlbeobachter können durch Kontrolle und Gegenüberstellung der Stimmabgabevermerke in dem Wählerverzeichnis mit den vom Gerät registrierten gültigen und ungültigen Erst- und Zweitstimmen feststellen, ob das Gerät alle Stimmabgaben erfasst und korrekt addiert hat. Denn die Zahl der Stimmabgabevermerke im Wählerverzeichnis muss identisch sein mit der jeweiligen Summe von gültigen und ungültigen Erst- bzw. Zweitstimmen. Beim Wahlgerät kann der Wähler seine Erstund Zweitstimme nur korrekt abgeben oder bewusst die Taste ungültig drücken. Wenn er - was kaum vorkommen dürfte - sich zwar zum Wahlgerät begibt, aber dort nicht beide Stimmen gültig oder ungültig abgibt, sieht der Wahlvorstand an der Bedieneinheit, dass keine Stimme abgegeben wurde, so dass kein Stimmabgabevermerk im Wählerverzeichnis eingetragen werden darf.

Darüber hinaus wird jede Stimme einzeln im Speichermodul - mehrfach gesichert - gespeichert und kann jederzeit reproduziert werden. Im Falle eines Speicherfehlers enthält das Speichermodul auch hierzu Informationen. Das Speichermodul enthält, ebenso wie ein Stimmzettel, auch Informationen über Stimmenkoppelungen (Erst- und zugehörige Zweitstimme). Über die Anwendungssoftware könnten alle gespeicherten Stimmen als Stimmzettel mit den entsprechenden Kreuzen ausgedruckt und von Hand nachgezählt werden.

Es fehlt allerdings an der körperlichen Erfassbarkeit der einzelnen Stimmen, so dass es an einer für die Allgemeinheit nachvollziehbaren Summenbildung fehlt.

Dies ist jedoch auch nicht erforderlich. Der Schutz vor Verfälschungen des Wahlergebnisses wird durch eine Reihe anderer Maßnahmen gewährleistet.

Zum einen wird das Wahlgerät vor seiner Zulassung durch die PTB gründlich daraufhin untersucht, ob es einwandfrei funktioniert, auch unter widrigen Umständen (kurzfristige Stromausfälle, falsche Handhabung), ob es dem Stand der Technik entspricht usw. (genauer zum Umfang der Prüfung vgl. oben Ziff.2). Im Vorfeld der Wahl wird das Gerät durch die Gemeindebehörde, die das Speichermodul programmiert, einer umfassenden Prüfung unterzogen. Auch der Wahlvorstand hat beim und nach dem Aufbau des Geräts umfangreiche Funktionskontrollen durchzuführen, die öffentlich erfolgen (genauer s.o. Ziff. 1.5.).

Der Ausdruck des Ergebnisses des jeweiligen Wahlbezirks findet in dem Wahllokal statt. Durch die dezentrale Ergebnisgewinnung entfällt die Möglichkeit einer Manipulation an dem Speichermodul während des Transports des Wahlgeräts oder während der Auslesung in einem zentralen Wahlamt. Die dezentrale Ergebnisgewinnung gewährleistet auch, dass Manipulationen Einzelner allenfalls auf das Wahlergebnis im jeweiligen Wahlbezirk Auswirkungen haben könnten.

Durch diese umfangreichen gesetzlichen Vorkehrungen wird bei der Wahl mit Wahlgeräten eine mindestens ebensolche Zuverlässigkeit des Ergebnisses erreicht wie bei der Urnenwahl.

Bei der Prüfung einer etwaigen Verletzung des Öffentlichkeitsgrundsatzes bei der Wahl mit Wahlgeräten ist wiederum ein Vergleich mit der Verwirklichung des Öffentlichkeitsgrundsatzes bei der Urnenwahl anzustellen.

Auch bei der Urnenwahl ist der Öffentlichkeitsgrundsatz nicht in letzter Konsequenz verwirklicht. Wie oben bereits dargelegt, regeln § 31 BWG und § 54 BWO, dass durch die Verwirklichung des Öffentlichkeitsgrundsatzes der ordnungsgemäße Ablauf der Wahl nicht gestört werden darf. Wahlbeobachter können, schon um den Auszählungsprozess der Wahlvorstände nicht zu behindern, nicht kontrollieren, ob im Einzelnen die abgegebene Stimme der vom Wahlvorstand laut ausgerufenen entspricht oder ob die Stimmzettel korrekt gezählt werden. Sie können auch nicht nachprüfen, ob die ermittelten Daten korrekt in die Wahlniederschrift aufgenommen wurden oder richtig an den Kreiswahlleiter weitergegeben wurden. Es kann nur eine eingeschränkte Kontrolle stattfinden, die sich auf das beschränkt, was ein einzelner Beobachter erfassen kann, ohne den Ablauf der Auszählung zu stören. Auch für die Öffentlichkeit bei der Auszählung der Stimmen und Beratung durch die Wahlvorstände gilt, dass dieser Grundsatz mit dem Ziel, zügig ein funktionsfähiges Parlament zu bilden, in Einklang gebracht werden muss.

Es ist auch nicht erforderlich, den Öffentlichkeitsgrundsatz bei der Auszählung der Stimmen stärker zur Geltung zu bringen. Denn dem Ziel, das Vertrauen der Bevölkerung in manipulationsfreie Wahlen zu stärken, dienen noch weitere Vorkehrungen im Bundeswahlgesetz und in der Bundeswahlordnung. Bei der Auszählung gilt durchgängig ein Mehr-Augen-Prinzip, so dass die Ergebnisse der Wahl jeweils von mehreren Mitgliedern des Wahlvorstands kontrolliert werden (§ 69 BWO). Die Stimmzettel sind für eine gewisse Zeit aufzubewahren, so dass eine Nachzählung möglich ist (§ 73 BWO). Die Auszählung der Stimmen findet, wie auch bei der Ergebnisgewinnung bei der Wahl mit Wahlgeräten, dezentral im Wahllokal statt; dadurch entfällt die Möglichkeit von Manipulationen an der Urne während des Transports. Durch die dezentrale Auszählung beschränken sich die Auswirkungen von Manipulationen auf das Wahlergebnis im jeweiligen Wahlbezirk.

Bei der Verhinderung von Unregelmäßigkeiten bei der Wahl ist die öffentliche Kontrolle nur ein - wenn auch wichtiger - Faktor unter vielen. Keine Maßnahme könnte für sich genommen Manipulationen oder unbeabsichtigte Verfälschungen des Wahlergebnisses verhindern. Sämtliche Maßnahmen gemeinsam gewährleisten jedoch einen weitestgehenden Schutz der Wahl vor Wahlfälschungen.

4.1.4. Vorverlagerung der Öffentlichkeit durch öffentliche Prüfung des Geräts/Veröffentlichung des Prüfergebnisses?

Da der Öffentlichkeitsgrundsatz bei der Wahlhandlung und dem Wahlgeschäft nicht verletzt ist, ist eine "Vorverlagerung" der Öffentlichkeit in der Weise, dass die Öffentlichkeit Einblick in die Prüfergebnisse der PTB oder den Quellcode des Wahlgeräts nehmen müsste, nicht erforderlich. Aber selbst wenn man davon ausginge, dass es bei der Wahl mit Wahlgeräten ein Öffentlichkeitsdefizit gäbe, könnte dieses durch eine Veröffentlichung des Quellcodes nicht behoben werden.

Wie oben dargestellt, gilt der Grundsatz der Öffentlichkeit nicht schrankenlos. Dem demokratischen Staat des Grundgesetzes ist zwar die Öffentlichkeit wesenseigen. Die grundsätzliche Öffentlichkeit schließt jedoch notwendige Geheimhaltung nicht aus (Sachs, Kommentar zum GG, 3_ Auflage, Art. 20 Rnr. 18; instruktiv Jestaedt AöR 126 (2001) S. 205 ff.). Sie ist unter anderem dort gesetzlich beschränkt, wo es um Rechte Dritter geht. So darf der Staat um der Öffentlichkeit willen weder die Individualsphäre des Einzelnen noch Betriebs- und Geschäftsgeheimnisse verletzen. Der Vorrang des Schutzes von privaten sowie Geschäftsdaten vor dem Informationsinteresse der Öffentlichkeit wird in vielen Vorschriften deutlich: so ist, wie oben dargestellt, die grundsätzliche Öffentlichkeit des gesamten Wahlgeschäfts und der Wahlvorbereitung insoweit eingeschränkt, als Einsichtnahme in das Wählerverzeichnis nur bezüglich der eigenen Daten möglich ist; die Kenntnis von Daten fremder Personen ist nur ausnahmsweise zulässig (§§ 17 BWG, 56 Abs. 4 Satz 4 BWO). Die für Gerichtsverhandlungen grundsätzlich vorgeschriebene Öffentlichkeit kann zum Schutz von privaten oder Geschäfts- und Betriebsgeheimnissen ausgeschlossen werden (§ 172 Nr. 2 und 3 GVG, § 52 ArbGG, § 55 VwGO). Das gemäß Art. 42 Abs. 1 Satz 1 GG grundsätzlich öffentlich tagende Plenum des Bundestages kann mit Zweidrittelmehrheit die Öffentlichkeit ausschließen (Satz 2). Ein solcher Ausschluss der Öffentlichkeit kommt namentlich bei nach der Geheimschutzordnung geheimhaltungsbedürftigen Angelegenheiten in Betracht (SchmidtBleibtreu/Klein-Kretschmer, Kommentar zum GG, 10. Auflage, Art. 42 Rnr. 7). Zu den geheimhaltungsbedürftigen Angelegenheiten zählen auch Geschäfts- und Betriebsgeheimnisse (§ 2 a Geheimschutz0 BT).

Die grundsätzliche Öffentlichkeit der Wahlvorbereitung und des Wahlgeschäfts kann mithin aus Gründen des Schutzes privater Daten oder von Betriebs- und Geschäftsgeheimnissen eingeschränkt werden. Ebenso wenig wie der Öffentlichkeitsgrundsatz uneingeschränkt die Einsichtnahme in private Daten anderer Personen im Wählerverzeichnis rechtfertigen kann, kann die Einsichtnahme in die Konstruktionsunterlagen und den Quellcode der Wahlgeräte der Firma Nedap verlangt werden.

Der Schutz der Betriebsgeheimnisse der Firma Nedap muss dem Interesse der Öffentlichkeit an der Offenlegung dieser Geheimnisse auch insbesondere deshalb vorgehen, weil die Geheimhaltung der Betriebsgeheimnisse zusammen mit anderen Faktoren zur Sicherheit des Wahlgerätes und damit der Wahl beiträgt (s. oben unter 3.4.). Die Bauartzulassung sowie die Prüfungen der Wahlgeräte vor ihrer Zulassung durch die PTB sowie die abschließende Prüfung durch die Gemeinden ersetzen insoweit zulässigerweise die Kontrolle durch die Öffentlichkeit.

4.2. Verletzung des "Grundsatzes der Amtlichkeit der Wahl"

Eine unzulässige Verlagerung staatlicher Aufgaben bei der Wahlvorbereitung und -durchführung auf Private liegt nicht vor.

Die Einspruchsführer meinen, der von ihnen so genannte Grundsatz der "Amtlichkeit der Wahl" sei dadurch verletzt, dass keine amtliche Prüfung jedes einzelnen Geräts erfolge. Vorgeschrieben sei lediglich eine Baugleichheitserklärung des Herstellers, die jedoch keinen amtlichen Charakter habe. Außerdem müsse die Prüfung der Funktionstüchtigkeit der Wahlgeräte zwingend durch die Gemeindebehörde oder den Kreiswahlleiter erfolgen. Die in § 7 Abs. 1 BWahIGV alternativ vorgesehene Wartung durch den Hersteller sei mit dem angeblichen Grundsatz der Amtlichkeit der Wahl nicht vereinbar.

Dass es sich bei der Wahlvorbereitung und -durchführung um eine öffentliche Aufgabe handelt, ist unbestritten (vgl. nur Schreiber a.a.0. Einf. Teil I, Rnr. 8). Es kann dahin gestellt bleiben, ob dies tatsächlich in einem Grundsatz der Amtlichkeit der Wahl zum Ausdruck kommt.

Dass die Wahlvorbereitung und -durchführung eine öffentliche Aufgabe ist, besagt jedoch nicht, dass jede für die Wahl erforderliche Handlung tatsächlich von Amtspersonen durchgeführt werden muss, sondern nur, dass die Staatsorgane die Einrichtungen und Mittel zur Verfügung stellen und die Verantwortung für die Wahlorganisation tragen. Falls einzelne Handlungen von Privaten durchgeführt werden, müssen die staatlichen Organe die erforderliche Kontrolle ausüben. So wird bspw. der Druck der amtlichen Stimmzettel durch private Druckereien erledigt; die Versendung der Wahlbenachrichtigungen und der Briefwahlunterlagen erfolgt durch private Postunternehmen. Ob die Durchführung korrekt erfolgt, kann jedenfalls bei der Versendung von Wahlunterlagen nicht im Einzelnen überprüft werden. Hier genügt seit jeher, dass die Behörde das jeweils beauftragte Unternehmen als vertrauenswürdig einstuft.

Gleiches gilt für die Herstellung und Auslieferung von Wahlgeräten mit einer Baugleichheitserklärung des Herstellers und eine eventuelle Wartung durch den Gerätehersteller. Eine amtliche Baugleichheitserklärung würde die Überprüfung jedes einzelnen Gerätes durch die PTB erforderlich machen. Dies wäre sehr aufwändig und mit hohen Kosten

verbunden, die den Einsatz von Wahlgeräten unrentabel machen dürfte. Das Wahlgerät selbst enthält nur die Basisdaten für das Bundestagswahlsystem. Daher erscheint eine Manipulation an dem Wahlgerät als so unwahrscheinlich, dass es einer besonderen amtlichen Überprüfung eines jeden Wahlgeräts nicht bedarf.

Aus eben diesen Gründen ist auch die in § 7 BWahIGV vorgesehene Wartung durch den Hersteller nicht zu beanstanden. Die in bestimmten Abständen vorgenommene Wartung durch den Hersteller gehört zu den üblichen Serviceleistungen bei der Lieferung von Geräten. Da, wie oben ausgeführt, das Wahlgerät selbst nur die Basisdaten für das Bundestagswahlsystem enthält, ist eine Manipulation an dem Wahlgerät so unwahrscheinlich, dass der Ausschluss der Herstellerwartung oder eine besondere amtliche Überprüfung der Wartung weder erforderlich ist noch zu rechtfertigen wäre.

Von der Herstellerwartung zu unterscheiden sind die amtlichen Funktionskontrollen, die nach Ziff. 4 Nr. 6 der Richtlinien für die Bauart von Wahlgeräten zwingend in der Bedienungsanleitung vorgeschrieben sein müssen und deren Inhalt auch Bestandteil der Prüfung der PTB ist. Die Wahlgeräte werden einige Wochen vor der Wahl von der Gemeindebehörde mit den Speichermodulen komplettiert. Danach erfolgt die in der Bedienungsanleitung vorgeschriebene Kontrolle der Funktionsfähigkeit jedes einzelnen Seriengeräts zunächst durch die Gemeindebehörde, und unmittelbar vor Beginn der Wahlhandlung öffentlich durch den Wahlvorstand (vgl. im einzelnen Ziff. 1.5.).

5. Mandatsrelevanz

Wie dargestellt, liegt bereits kein Wahlfehler vor. Selbst wenn man aber von einem Wahlfehler ausgehen wollte, wäre dieser jedenfalls nicht mandatsrelevant.

Ein Wahlfehler ist nur dann relevant, wenn nach den gegebenen Umständen des Falles eine konkrete und nicht ganz fern liegende Wahrscheinlichkeit besteht, dass sie auf das Wahlergebnis und damit auf die Sitzverteilung von Einfluss gewesen sein kann (BVerfGE 89, 291, 304; Schreiber a.a.O., § 49 Rnr. 10). Es gibt keine absoluten Ungültigkeitsgründe.

Ist der Öffentlichkeitsgrundsatz verletzt, so ist zu prüfen, ob der Sachverhalt einen hinreichenden, konkreten und greifbaren Anhalt dafür bietet, dass bei uneingeschränkter Öffentlichkeit Entscheidungen der Wahlorgane anders getroffen worden wären und diese im Ergebnis dadurch zu einer Mandatsverschiebung geführt hätten (BVerfGE 89, 291, 304).

Ein mandatsrelevanter Wahlfehler bei der Wahl mit Wahlgeräten ist danach nur dann gegeben, wenn Anhaltspunkte dafür vorliegen, dass eine alternativ durchgeführte Urnenwahl zu anderen Wahlergebnissen geführt hätte.

Die Einspruchsführer führen keine konkreten Anhaltspunkte dafür an, dass in bestimmten Wahlräumen aufgrund des Einsatzes von Wahlgeräten andere Wahlergebnisse erzielt wurden als dies bei einer Urnenwahl der Fall gewesen wäre. Sie halten lediglich theoretisch eine nicht korrekte Arbeitsweise oder Manipulationen der Geräte für möglich.

Dem Bundeswahlleiter sind bei der Wahl zum 16. Deutschen Bundestag keine Unregelmäßigkeiten im Zusammenhang mit der Wahl mit Wahlgeräten bekannt geworden. Eine Abfrage bei den Länderinnenministerien ergab hierfür ebenfalls keine Anhaltspunkte. Hinweise auf gezielte Manipulationen oder unbeabsichtigte Veränderungen an den eingesetzten Wahlgeräten liegen nicht vor. Ein entsprechender konkreter Verdacht wurde bisher von keiner Seite geäußert.