Die Zählung
Wie baut man eine Auszählung, bei der Person und Stimme technisch nie zusammenkommen — und niemand die Geheimhaltung nur versprechen muss?
Status, zuerst: Das ist ein Entwurf. Es existieren ein Datenmodell, ein Prüfmittel und ein Phasenplan — kein laufendes Wahlsystem. Die nächste Phase ist blockiert, weil sie eine externe kryptografische Abnahme braucht, die noch nicht stattgefunden hat. Alles Weitere auf dieser Seite ist vor diesem Satz zu lesen.
Das Problem
Ein Umfrage-System, das einen Nutzer an seine Antwort bindet, ist für Meinungsbilder richtig — und für eine geheime Wahl disqualifizierend. Der Unterschied ist nicht graduell: Sobald irgendwo ein Datensatz existiert, der Person und Stimme zusammen enthält, ist die Geheimhaltung keine Eigenschaft des Systems mehr, sondern ein Versprechen seines Betreibers. Der Entwurf hier setzt darauf, dass dieses Versprechen nie gegeben werden muss.
Drei Zonen, keine Brücke
A · Identität
Weiß, wer wahlberechtigt ist. Sieht nie eine Stimme, kennt keine Kennung, die im Stimmzettel vorkommt.
B · Wahlvorgang
Weiß, dass jemand berechtigt ist — über einen anonymen Nachweis. Weiß nie, wer. Speichert den Zettel nur verschlüsselt.
C · Öffentlichkeit
Ein verkettetes, unveränderliches Brett: jeder Eintrag bindet seinen Vorgänger. Ein nachträglich geänderter Eintrag bricht alle folgenden Prüfsummen.
Zwischen A und B gibt es keine Datenbank-Beziehung. Das ist keine Konvention, die jemand einhalten muss, sondern die Sicherheitseigenschaft selbst. Die Verbindung existiert nur im Moment der Nachweisausgabe und wird nicht gespeichert.
Das Prüfmittel — und wie es beim ersten Mal versagte
Ein Gate liest das Datenmodell und wird rot, sobald ein Identitätsfeld — Name, E-Mail, Konto, IP-Adresse, Gerätekennung — in einer Tabelle steht, die eine einzelne Stimme trägt. Die erste Fassung dieses Gates prüfte Tabellen nach ihrem Namen aus einer Liste und meldete ein bekannt verletztes Modell als sauber, weil dessen Tabelle anders hieß als erwartet. Eine Wache, die auf Namen hört statt auf Inhalt.
Die zweite Fassung erkennt eine Stimmtabelle an dem, was sie enthält. Ihr Selbsttest führt vier Fälle vor: ein sauberes Modell bleibt still; ein verletztes wird gemeldet; ein verletztes unter fremdem Namen wird gemeldet; und ein Modell, das nach Stimme aussieht, aber keine ist, bleibt still — der Fehlalarm, den die erste Reparatur erzeugt hatte. Ein Gate, das nie rot war, ist eine Behauptung; eines mit Fehlalarmen wird ignoriert. Beides ist geprüft.
Was das Verfahren leisten soll — und was nicht
Drei Eigenschaften werden im Alltag als eine behandelt, sind aber verschieden:
| Eigenschaft | bedeutet | schützt gegen |
|---|---|---|
| Individuelle Nachprüfbarkeit | Der Wähler sieht, dass sein Zettel im Brett liegt — über eine Prüfsumme, die den Inhalt nicht verrät. | Verschlucken von Stimmen |
| Quittungsfreiheit | Der Wähler kann einem Dritten nicht beweisen, wie er gewählt hat — auch wenn er wollte. | Stimmenkauf |
| Zwangsresistenz | Schützt auch dann, wenn jemand beim Wählen zusieht oder die Zugangsdaten verlangt. | Nötigung |
Die ersten beiden sind mit erprobten, quelloffenen Verfahren erreichbar. Die dritte ist der schwere Teil: Die Verfahren, die sie vollständig leisten, skalieren schlecht, und die, die skalieren, leisten sie nur teilweise — etwa durch Nachwählen, bei dem eine unter Aufsicht abgegebene Stimme später unbeobachtet überschrieben werden kann. Der Entwurf setzt keine eigene Kryptografie ein. Was hier gebaut wird, ist die Trennung; das Verfahren wird ausgewählt, nicht erfunden.
Die Grenze, die Technik nicht überschreitet
Ein solches System kann Geheimhaltung und Nachprüfbarkeit herstellen. Es kann ohne ein anerkanntes Wählerverzeichnis nicht beweisen, dass jede Stimme von einer anderen wahlberechtigten Person stammt. Und es erzeugt keine Legitimität — die entsteht woanders. Beides steht hier, damit es niemand hineinlesen muss.
Phasen und Stand
| Phase | Inhalt | Abnahme | Stand 18.09.2026 |
|---|---|---|---|
| 0 | Verfahrenswahl, Bedrohungsmodell, Trennung der Begriffe | externe kryptografische Bestätigung: kein Eigenbau | inhaltlich durch, Bestätigung ausstehend |
| 1 | funktionaler Kern, anonyme Nachweise, Brett, unabhängiger Nachrechner | Ergebnis auf getrenntem Rechner identisch reproduziert | blockiert durch Phase 0 |
| 2 | verteilter Betrieb, Lasttest, Ausfall während laufender Annahme | keine bestätigte Stimme geht verloren | offen |
| 3 | externe Prüfung, Angriffstest | keine offenen kritischen Befunde | offen |
| 4 | öffentliche Testwahl mit begrenztem Verzeichnis | Beobachter können das Ergebnis selbst nachrechnen | offen |
Jede Phase endet an einer Abnahme, die bestanden sein muss, bevor die nächste beginnt. Fünf Abbruchkriterien gelten durchgehend, das erste lautet: Identität und Stimme sind verbindbar.
Stand: 18.09.2026 · ImpressumDatenschutz