Die Zählung

Wie baut man eine Auszählung, bei der Person und Stimme technisch nie zusammenkommen — und niemand die Geheimhaltung nur versprechen muss?

Status, zuerst: Das ist ein Entwurf. Es existieren ein Datenmodell, ein Prüfmittel und ein Phasenplan — kein laufendes Wahlsystem. Die nächste Phase ist blockiert, weil sie eine externe kryptografische Abnahme braucht, die noch nicht stattgefunden hat. Alles Weitere auf dieser Seite ist vor diesem Satz zu lesen.

Das Problem

Ein Umfrage-System, das einen Nutzer an seine Antwort bindet, ist für Meinungsbilder richtig — und für eine geheime Wahl disqualifizierend. Der Unterschied ist nicht graduell: Sobald irgendwo ein Datensatz existiert, der Person und Stimme zusammen enthält, ist die Geheimhaltung keine Eigenschaft des Systems mehr, sondern ein Versprechen seines Betreibers. Der Entwurf hier setzt darauf, dass dieses Versprechen nie gegeben werden muss.

Drei Zonen, keine Brücke

A · Identität

Weiß, wer wahlberechtigt ist. Sieht nie eine Stimme, kennt keine Kennung, die im Stimmzettel vorkommt.

B · Wahlvorgang

Weiß, dass jemand berechtigt ist — über einen anonymen Nachweis. Weiß nie, wer. Speichert den Zettel nur verschlüsselt.

C · Öffentlichkeit

Ein verkettetes, unveränderliches Brett: jeder Eintrag bindet seinen Vorgänger. Ein nachträglich geänderter Eintrag bricht alle folgenden Prüfsummen.

Zwischen A und B gibt es keine Datenbank-Beziehung. Das ist keine Konvention, die jemand einhalten muss, sondern die Sicherheitseigenschaft selbst. Die Verbindung existiert nur im Moment der Nachweisausgabe und wird nicht gespeichert.

Das Prüfmittel — und wie es beim ersten Mal versagte

Ein Gate liest das Datenmodell und wird rot, sobald ein Identitätsfeld — Name, E-Mail, Konto, IP-Adresse, Gerätekennung — in einer Tabelle steht, die eine einzelne Stimme trägt. Die erste Fassung dieses Gates prüfte Tabellen nach ihrem Namen aus einer Liste und meldete ein bekannt verletztes Modell als sauber, weil dessen Tabelle anders hieß als erwartet. Eine Wache, die auf Namen hört statt auf Inhalt.

Die zweite Fassung erkennt eine Stimmtabelle an dem, was sie enthält. Ihr Selbsttest führt vier Fälle vor: ein sauberes Modell bleibt still; ein verletztes wird gemeldet; ein verletztes unter fremdem Namen wird gemeldet; und ein Modell, das nach Stimme aussieht, aber keine ist, bleibt still — der Fehlalarm, den die erste Reparatur erzeugt hatte. Ein Gate, das nie rot war, ist eine Behauptung; eines mit Fehlalarmen wird ignoriert. Beides ist geprüft.

Was das Verfahren leisten soll — und was nicht

Drei Eigenschaften werden im Alltag als eine behandelt, sind aber verschieden:

Eigenschaftbedeutetschützt gegen
Individuelle NachprüfbarkeitDer Wähler sieht, dass sein Zettel im Brett liegt — über eine Prüfsumme, die den Inhalt nicht verrät.Verschlucken von Stimmen
QuittungsfreiheitDer Wähler kann einem Dritten nicht beweisen, wie er gewählt hat — auch wenn er wollte.Stimmenkauf
ZwangsresistenzSchützt auch dann, wenn jemand beim Wählen zusieht oder die Zugangsdaten verlangt.Nötigung

Die ersten beiden sind mit erprobten, quelloffenen Verfahren erreichbar. Die dritte ist der schwere Teil: Die Verfahren, die sie vollständig leisten, skalieren schlecht, und die, die skalieren, leisten sie nur teilweise — etwa durch Nachwählen, bei dem eine unter Aufsicht abgegebene Stimme später unbeobachtet überschrieben werden kann. Der Entwurf setzt keine eigene Kryptografie ein. Was hier gebaut wird, ist die Trennung; das Verfahren wird ausgewählt, nicht erfunden.

Die Grenze, die Technik nicht überschreitet

Ein solches System kann Geheimhaltung und Nachprüfbarkeit herstellen. Es kann ohne ein anerkanntes Wählerverzeichnis nicht beweisen, dass jede Stimme von einer anderen wahlberechtigten Person stammt. Und es erzeugt keine Legitimität — die entsteht woanders. Beides steht hier, damit es niemand hineinlesen muss.

Phasen und Stand

PhaseInhaltAbnahmeStand 18.09.2026
0Verfahrenswahl, Bedrohungsmodell, Trennung der Begriffeexterne kryptografische Bestätigung: kein Eigenbauinhaltlich durch, Bestätigung ausstehend
1funktionaler Kern, anonyme Nachweise, Brett, unabhängiger NachrechnerErgebnis auf getrenntem Rechner identisch reproduziertblockiert durch Phase 0
2verteilter Betrieb, Lasttest, Ausfall während laufender Annahmekeine bestätigte Stimme geht verlorenoffen
3externe Prüfung, Angriffstestkeine offenen kritischen Befundeoffen
4öffentliche Testwahl mit begrenztem VerzeichnisBeobachter können das Ergebnis selbst nachrechnenoffen

Jede Phase endet an einer Abnahme, die bestanden sein muss, bevor die nächste beginnt. Fünf Abbruchkriterien gelten durchgehend, das erste lautet: Identität und Stimme sind verbindbar.

Stand: 18.09.2026 · ImpressumDatenschutz