Blockchain bei Abstimmungen: was das Register garantiert und was nicht

Angebote für Abstimmungen mitBlockchain, die eine Genossenschaft, eine Berufskammer oder eine Gemeinde erhält, beruhen auf einem konkreten Versprechen: Einmal abgegeben, kann keine Stimme mehr verändert werden oder aus der Auszählung verschwinden, weil sie in einem auf mehrere Nodes replizierten Register liegt, das niemand allein kontrolliert. In dem, was es beschreibt, trifft das Versprechen zu. Es sagt aber nicht, welchen Teil einer Abstimmung es schützt, und wer über die Einführung entscheidet, muss das wissen, bevor er Anbieter vergleicht. Von der Antwort hängt ab, ob sich das System für eine interne Befragung, für die Governance eines Protokolls oder für Wahlen mit rechtlicher Wirkung eignet.

Ein gemeinsames Register schützt, was geschieht, nachdem die Stimme im Netzwerk angekommen ist: dass sie erfasst ist, dass niemand sie ändert und dass jeder die Auszählung selbst wiederholen kann. Die Garantien, die eine Abstimmung gültig machen, werden vor und rund um diesen Moment festgelegt: wer abstimmen darf, dass niemand weiß, wie jede Person abgestimmt hat, dass niemand sie zu einer bestimmten Stimmabgabe zwingen kann und dass das Gerät erfasst, was die Person gewählt hat. Deshalb eignet sich Blockchain dort, wo die Stimme öffentlich sein darf oder eine vertrauenswürdige Partei das Geheimnis wahrt, nicht aber für verbindliche öffentliche Wahlen. Zu diesem Schluss kommen auch die unabhängigen Analysen der bisher erprobten Systeme.

Die vier Garantien einer Abstimmung und welche davon ein gemeinsames Register abdeckt

Die erste Garantie ist die Wahlberechtigung: Nur wer im Wählerverzeichnis steht, stimmt ab, und zwar nur einmal. Ein Blockchain-Register weiß nicht, wer eine Person ist; es weiß, welcher Schlüssel eine Transaktion signiert hat. Jemand muss die Identität der Wählenden prüfen und ihnen einen Berechtigungsnachweis ausstellen, und dieser Schritt behält die gesamte Autorität und alle Risiken eines herkömmlichen Wählerverzeichnisses. Die zweite ist das Wahlgeheimnis: In einem öffentlichen Netzwerk ist jede Transaktion sichtbar. Wer die Stimme im Klartext speichert, legt sie offen, und wer eine Adresse mit einer Person verknüpft, erkennt, wie sie abgestimmt hat. Die dritte ist die Freiheit der Wählenden, die bei der Fernabstimmung am schwierigsten zu schützen ist, weil niemand kontrolliert, wer beim Abstimmen neben ihnen sitzt, und niemand verhindern kann, dass sie ihre Wahl jemandem zeigen, der sie bezahlt oder unter Druck setzt.

Die vierte ist die Überprüfbarkeit der Auszählung, und diese deckt ein gemeinsames Register gut ab. Mit einemCommitment-Schema kann jede wählende Person prüfen, dass ihr verschlüsselter Stimmzettel enthalten ist, ohne dessen Inhalt preiszugeben, und jeder kann verifizieren, dass das Ergebnis über alle erfassten Stimmzettel berechnet wurde. Wird die Berechnung durch einenZero-Knowledge-Beweis ergänzt, belegt das System, dass die Auszählung korrekt ist, ohne die Stimmen einzeln zu entschlüsseln. Das ist ein echter Beitrag, denn Misstrauen gegenüber der Auszählung ist ein häufiger Anlass für Anfechtungen. Es deckt aber nur eine der vier Garantien ab, und die anderen drei werden durch ein verteiltes Netzwerk nicht besser.

Moskau und West Virginia: Die Schwachstellen lagen off-chain

Im September 2019 konnten Wählende in 3 der 45 Wahlkreise der Wahl zur Moskauer Stadtduma online abstimmen, und zwar mit einem System, das nach der Analyse der Kryptografen Pierrick Gaudry und Alexander Golovnev die verschlüsselten Stimmzettel in einempermissioned Ethereum-Netzwerk erfasste. Die Stimmzettel wurden mit einer ElGamal-Variante mit 256-Bit-Schlüsseln verschlüsselt, die zu kurz waren: Die Autoren zeigten, dass sich die privaten Schlüssel mit allgemein verfügbaren Mitteln innerhalb von Minuten aus den öffentlichen ableiten ließen. Nach der Korrektur stellten sie fest, dass auch die neue Implementierung nicht semantisch sicher war. Das Register funktionierte wie vorgesehen und speicherte 9.810 verschlüsselte Stimmzettel; der Fehler lag in der Verschlüsselung, die das Wahlgeheimnis schützen sollte.

Der Fall Voatz liegt anders und führt zum selben Ergebnis. West Virginia erlaubte bei den Midterm-Wahlen 2018 bestimmten Wählenden, per Smartphone über diese App abzustimmen, deren Sicherheit auf einem permissioned Blockchain-Netzwerk, Biometrie und der Speicherung von Schlüsseln auf dem Gerät beruhte. Ein Team des MIT analysierte die Android-App undfand Schwachstellen, die es verschiedenen Angreifern ermöglichten, die Stimme zu verändern, zu blockieren oder offenzulegen, darunter eine, bei der ein passiver Beobachter des Netzwerkverkehrs sie in Erfahrung bringen konnte. West Virginia und ein County im Bundesstaat Washington verzichteten bei den Vorwahlen 2020 auf die App. Der Titel der Studie fasst das Problem zusammen: Der Stimmzettel ist kompromittiert, bevor er on-chain ankommt.

Die National Academies of Sciences, Engineering, and Medicine der USA hatten dies 2018 in ihrem BerichtSecuring the Vote festgehalten: Blockchain-Netzwerke gewährleisten kein Wahlgeheimnis, sie sind dezentral, während Wahlen ihrem Wesen nach zentral organisiert sind, und sie tragen wenig zur Lösung der grundlegenden Sicherheitsprobleme der Online-Stimmabgabe bei. Ihre Empfehlung lautete, Stimmzettel erst dann über das Internet zurückzusenden, wenn Garantien für Geheimnis, Sicherheit und Überprüfbarkeit vorliegen, die keine Technologie bot. Eng begrenzte Pilotprojekte wie die Testbefragung der Schweizer Stadt Zug vom 25. Juni bis 1. Juli 2018 mit72 Teilnehmendenmit digitaler Identität zeigten, dass das System unter realen Bedingungen funktionierte, nicht aber, dass es das Problem der Nötigung oder das Geräterisiko löste.

Geheime Abstimmung auf einem öffentlichen Register hat ihren Preis: Vertrauen in einen Koordinator

Die am weitesten ausgearbeitete technische Antwort auf das Problem von Wahlgeheimnis und Stimmenkauf in öffentlichen Netzwerken ist MACI (Minimal Anti-Collusion Infrastructure), eine Open-Source-Infrastruktur, die vom Team Privacy and Scaling Explorations gepflegt wird und in Version 3 vorliegt. Die Stimmen werden verschlüsselt an einen Smart Contract gesendet; ein Koordinator entschlüsselt sie off-chain, berechnet das Ergebnis und veröffentlicht einen zk-SNARK-Beweis, dass die Auszählung korrekt ist. Laut derDokumentation kann die wählende Person einem Dritten nicht nachweisen, welche Option sie gewählt hat, und genau diese Unmöglichkeit macht Stimmenkauf wirkungslos: Wer bezahlt, kann nicht überprüfen, was er gekauft hat.

Die Kehrseite ist ebenso klar dokumentiert. Das Geheimnis bleibt gegenüber allen gewahrt, außer gegenüber dem Koordinator, der jede Stimme entschlüsseln kann, und der Schutz vor Absprachen hängt davon ab, dass er ehrlich handelt. Ein unehrlicher Koordinator kann keine Stimmen zensieren und die Berechnung nicht verändern, weil der Beweis das verhindern würde, wohl aber erfahren, wie jede Person abgestimmt hat. MACI beseitigt das Vertrauen nicht: Es verlagert es von einer intransparenten Auszählung auf eine benannte Instanz, deren Befugnisse begrenzt und überprüfbar sind. Für eine Organisation kann diese Instanz eine unabhängige Stelle sein, und ihre Auswahl ist eine Governance-Entscheidung, keine Softwarefrage.

Fernabstimmung in einer Genossenschaft: Welche Garantie jeder Baustein abdeckt

Das folgende Beispiel ist fiktiv: Eine Genossenschaft, deren Mitglieder über mehrere Provinzen verteilt sind, möchte für die Neuwahl ihres Vorstands die Fernabstimmung ermöglichen, weil die Präsenzversammlung schwach besucht ist. Ein Anbieter schlägt vor, die Stimmen in einem Blockchain-Netzwerk zu erfassen. Die erste Entscheidung ist keine technische: Wer prüft, dass jeder Berechtigungsnachweis einem Mitglied gehört, das seinen Pflichten nachgekommen ist, und wie wird dieser Nachweis ausgegeben, ohne dass der Anbieter ihn später einer Person zuordnen kann? Das Mitgliederverzeichnis führt weiterhin die Genossenschaft, wie bisher.

Die zweite Entscheidung betrifft die Frage, wer die Stimmen einsehen kann. Werden sie im Klartext erfasst, ist die Wahl jedes Mitglieds für jeden sichtbar, der seine Adresse identifiziert. Mit einem Verfahren wie MACI bleibt das Geheimnis gegenüber den übrigen Mitgliedern gewahrt, und der Koordinator, hier etwa ein Notar oder eine von der Genossenschaft benannte externe Stelle, kann die Stimmen entschlüsseln, aber nicht verändern. Die dritte betrifft den Fall, dass jemand ein anderes Mitglied drängt, in seiner Anwesenheit abzustimmen: Das System kann erlauben, die Stimme bis zum Abstimmungsschluss zu ändern und nur die letzte zu zählen. Diese Maßnahme mindert den Nutzen des Drucks, beseitigt ihn aber nicht.

Sind diese Entscheidungen getroffen, lässt sich der Beitrag des Netzwerks klar benennen. Jedes Mitglied erhält einen Beleg, mit dem es prüfen kann, dass sein verschlüsselter Stimmzettel erfasst ist, und jedes Mitglied kann anschließend überprüfen, dass das veröffentlichte Ergebnis den registrierten Stimmzetteln entspricht. Eine herkömmliche elektronische Abstimmung ermöglicht das nur über ein Audit, das beauftragt werden muss und dessen Ergebnis man vertrauen muss. Ebenso klar ist, was das Netzwerk nicht leistet: Es erkennt nicht, ob das Smartphone, von dem aus ein Mitglied abgestimmt hat, kompromittiert war, es verhindert nicht, dass jemand über die Schulter schaut, und es ersetzt nicht die Prüfung des Mitgliederverzeichnisses. Die Genossenschaft gewinnt eine überprüfbare Stimmauszählung und behält alle übrigen Verantwortlichkeiten.

In der Governance eines Protokolls ist die öffentliche Stimmabgabe eine Designentscheidung

Am sinnvollsten ist die On-Chain-Abstimmung in der Governance eines Netzwerks oder einer dezentralen Anwendung. Dort ist die Stimmabgabe in der Regel bewusst öffentlich: Die Teilnehmer wissen, dass ihre Adresse und ihre Wahl sichtbar sind, und genau dieser Eintrag ermöglicht es, das Ergebnis per Smart Contract umzusetzen, ohne dass jemand es manuell anwenden muss. Das Problem des Wahlgeheimnisses entfällt, weil man darauf verzichtet. Zu gestalten ist stattdessen etwas anderes:tokengewichtete Abstimmung, bei dem ein Token einer Stimme entspricht und nicht eine Person einer Stimme, außerdemDelegation, die Zustimmungsschwelle und der Zeitpunkt, zu dem die Stimmkraft jedes Teilnehmers festgelegt wird.

Diese Regeln haben Folgen. Wird die Stimmkraft zum Zeitpunkt der Abstimmung berechnet und nicht anhand eines früheren Blocks, kann jemand Token kaufen oder leihen, nur um eine Entscheidung zu beeinflussen, die bekannteste Form vonGovernance-Angriff. Bewegt der angenommene Vorschlag Mittel aus einer Treasury, ist es ratsam, die Ausführung an eine Wartefrist zu knüpfen, die eine Prüfung ermöglicht. Und wenn die Abstimmung außerhalb des Netzwerks stattfindet, wie beimOff-Chain-Abstimmungmit Signaturen, wird das Ergebnis nicht automatisch ausgeführt und benötigt einen Mechanismus, der es in den Smart Contract überträgt. Keine dieser Entscheidungen trifft die Blockchain-Technologie selbst: Sie trifft, wer die Governance gestaltet.

Blockchain-Abstimmungen machen die Auszählung überprüfbar, nicht die Freiheit der Wählenden

Der Beitrag ist real und klar abgegrenzt. Ein gemeinsames Register macht die Auszählung zu etwas, das jeder Teilnehmer selbst überprüfen kann, statt ihr vertrauen zu müssen, und in der Governance eines Protokolls kann ein Smart Contract das Ergebnis umsetzen, ohne dass jemand es manuell anwenden muss. Für eine interne Befragung, eine Genossenschaft oder eine DAO kann dieser Nutzen das Projekt rechtfertigen, sofern die übrigen Garantien gelöst sind: durch ein verlässliches Wählerverzeichnis, ein Geheimhaltungsverfahren mit einem identifizierten Koordinator und eine klare Regel zur Änderung der abgegebenen Stimme.

Außerhalb dieses Rahmens verliert das Argument an Gewicht. Bei öffentlichen Wahlen mit Rechtswirkung lagen die dokumentierten Fehler in der Verschlüsselung, in der Anwendung oder im Endgerät, nicht im Register, und für Nötigung bei der Fernabstimmung gibt es heute keine vollständige technische Lösung. Aus der in der Branche geteilten Perspektive, die Privatsphäre und Nutzerkontrolle in den Mittelpunkt stellt, spricht zudem ein weiterer Grund für Zurückhaltung: Ein System, das die Stimme offenlegt oder sie einem unkontrollierten Koordinator überlässt, schwächt gerade die Freiheiten, die die Technologie schützen soll. Die sinnvolle Frage bei einem Vorschlag lautet nicht, ob er Blockchain nutzt, sondern welche Garantie jede Komponente abdeckt und wer für die übrigen einsteht.

Bei Metlabs entwickeln wirSmart Contractsfür Governance und Abstimmungen, bei denen diese Aufteilung von Anfang an explizit festgelegt ist. Den Einsatz von Blockchain in Registern, digitaler Identität und öffentlichen Diensten über Abstimmungen hinaus beschreibt die Seite zuBlockchain im öffentlichen Sektor.