Manipulation bei E-Voting gemäss ETH möglich

E-Voting geniesst derzeit grosse mediale Aufmerksamkeit. Unter anderem lässt die Post gerade ihr System öffentlich hacken. Oder Politiker sammeln Unterschriften, um E-Voting für mindestens fünf Jahre zu verbieten.

Und jetzt das: Informatik-Doktoranden der ETH Zürich zeigen, wie bei E-Voting Stimmen verkauft werden können. Ohne, dass das System dies merken könnte. Es geht um Tee.

Die Doktoranden nutzen eine spezielle Technologie. Mit dem Trusted Execution Environment (etwa «zuverlässige Ausführungsumgebung», kurz: TEE) kann ein Teil des Computer-Prozessors von aussen zugänglich machen. So kann jemand beispielsweise den Zugriff auf private Gesundheitsdaten erlauben, ohne dass die Daten selbst den Computer verlassen.

Wer und wie lange jemand Zugang hat, lässt sich mit TEE definieren. Doch die Weiterentwicklung der ETH-Doktoranden erlaubte nun noch mehr. Das System erlaubt es, bestimmte Aktionen auf bestimmten Plattformen zu vermieten. Jemand darf etwa in meinem Namen auf Facebook posten. Oder: Jemand darf in meinem Namen abstimmen auf einer E-Voting-Plattform.

Im Internet sind Daten längst Handelsware. Das Marketing-Geschäftsfeld nennt sich «Crowdturfing». User können Geld verdienen, wenn sie für einen Auftraggeber Social-Media-Posts machen. Oder Produkte, Hotels, Angebote bewerten und kommentieren. Natürlich im Sinne der Auftraggeber.

Ausführen müssen die Bezahlten diese Fake-Bewertungen und -Posts jedoch nach wie vor selbst. Mit der neuen Technologie fällt dieser Nachteil weg. Ein Nutzer kann mit TEE einfach seine Identität zur Verfügung stellen und «vermieten». Das ist problematisch, denn der Plattform-Betreiber kann nicht merken, ob der Nutzer die Aktion selber ausführt oder ob sein Account vermietet wurde.

«Es besteht zum Beispiel die Gefahr, dass diese Technologien genutzt werden, um Fake News zu verbreiten, Meinungen zu manipulieren oder Abstimmungsresultate zu beeinflussen», warnt Moritz Schneider, einer der Doktoranden.

Betreibern von sozialen Netzwerken und E-Voting-Plattformen sollte deshalb bewusst sein, dass TEE mit wenig Aufwand zu einem Manipulationsinstrument werde. Die Betreiber von sozialen Plattformen hätten grosse Fortschritte bei der Bekämpfung von Crowdturfing gemacht. «Auf authentische, aber gekaufte Accounts sind diese Systeme jedoch nicht vorbereitet», warnt Schneider.

ETH-Professor Srdjan Capkun gibt deshalb zu Bedenken: Die Technologie lässt sich so nutzen, dass anonyme digitale Marktplätze entstehen, auf denen sich digitale Stimmen genau so handeln lassen wie Facebook-Likes.