Samstagsfrage: Beeinflusst das Wetter unsere Wahlen? (Teil 1)

Am Abend des 18. Mai 2003 saßen in einem Auszählungslokal in Schaerbeek, einer Gemeinde der Region Brüssel-Hauptstadt, mehrere Wahlhelfer vor einem unmöglichen Ergebnis. Die belgische Parlamentswahl war eigentlich ohne große Vorkommnisse verlaufen. Die elektronischen Wahlmaschinen (Belgien experimentierte damals seit über einem Jahrzehnt mit digitalen Stimmabgaben) hatten ihre Zahlen ausgespuckt.

Maria Vindevogel, eine wenig bekannte Kandidatin der Partei Workers' Party of Belgium hatte mehr Stimmen erhalten, als mathematisch überhaupt möglich war. Ihre persönliche Stimmenzahl überstieg die Gesamtzahl der abgegebenen Stimmen in dem betreffenden Wahlkreis. Etwas musste also schiefgegangen sein.

Was dann folgte, wurde zu einer der berühmtesten Anekdoten der digitalen Demokratiegeschichte und zu einer der unterhaltsamsten Anwendungen von Astrophysik auf das Wahlrecht.

Ein einziger Anomaliewert

Die Wahlkommission tat das, was Wahlkommissionen tun, wenn etwas nicht stimmt: Sie zählte nach. Die Magnetkarten, auf denen die Stimmen elektronisch hinterlegt waren, wurden erneut ausgelesen. Stunden vergingen. Bei jedem einzelnen Kandidaten stimmte die neue Auszählung exakt mit der ersten überein. Nur bei Maria Vindevogel nicht, denn bei ihr war die Differenz exakt 4.096 Stimmen.

Diese Zahl ist der eigentliche Aufhänger der Geschichte. Wer einen Hintergrund in Informatik hat, sieht 4.096 und denkt sofort 2 hoch 12. Eine glatte Zweierpotenz, und zwar genau die Zweierpotenz, die einer einzelnen Stelle in einer Binärzahl entspricht. Wenn in einem Speicherregister an genau einer Position ein Bit umgekippt wäre (von 0 auf 1), dann wäre das Ergebnis genau diese Differenz: eine Stimmenzahl, die um 4.096 erhöht erscheint, obwohl real keine zusätzliche Stimme abgegeben wurde.

Computerexperten wurden hinzugezogen, sie testeten den Programmcode, durchforsteten ihn nach Bugs, sie testeten die Hardware, sie versuchten, den Fehler zu reproduzieren. Aber nichts, der Code war sauber, die Hardware funktionierte und das Phänomen ließ sich nicht wiederholen. Der offizielle Bericht der belgischen Behörden formulierte am Ende vorsichtig: Da kein Softwarefehler nachweisbar gewesen sei, sei „der Fehler höchstwahrscheinlich durch eine spontane und zufällige Inversion einer binären Position verursacht worden". Eine bemerkenswert sperrige Formulierung für etwas, das in Wahrheit eine kleine wissenschaftliche Sensation darstellt.

Ein Single Event Upset?

In der Computerwissenschaft hat das Phänomen einen Namen: Single Event Upset, kurz SEU. Es bezeichnet den Vorgang, dass ein einzelnes Bit im Speicher eines Computers durch ein hochenergetisches Partikel von außen umgekippt wird ohne dass die Hardware kaputtgeht, ohne dass die Software irgendetwas falsch macht. Einfach ein Zufallsereignis auf subatomarer Ebene, das sich in den Zustand eines Transistors einschleicht und ihn umschaltet.

Die Quelle dieser Partikel ist nach gegenwärtigem Stand der Forschung in den allermeisten Fällen kosmische Strahlung (also hochenergetische Teilchen, die aus dem Weltraum auf die Erde treffen). Sie stammen ursprünglich aus Supernova-Explosionen, von schwarzen Löchern oder aus anderen extremen astrophysikalischen Ereignissen, oft in Galaxien weit jenseits unserer eigenen. Wenn ein solches Primärpartikel auf die obere Erdatmosphäre trifft, kollidiert es mit Luftmolekülen und löst eine Kaskade von Sekundärpartikeln aus (Neutronen, Myonen, Elektronen). Diese Sekundärpartikel regnen auf die Erdoberfläche herab. Die meisten passieren materielle Strukturen folgenlos, manche treffen aber genau auf einen empfindlichen Transistor in einem Computerchip und richten dort genau das Chaos an, das im Schaerbeek-Fall die Stimmen aufblähte.

Das klingt erstmal esoterisch, ist aber gut dokumentiert und noch lange kein Einzelfall. Sun Microsystems hatte Anfang der 2000er Jahre Probleme mit ihren Enterprise-Servern, deren Cache-Speicher von solchen Bit-Flips betroffen war. Cisco hatte 2003 Ausfälle in seinen Hochleistungsroutern aus demselben Grund. Cypress Semiconductor verlor laut Berichten zeitweise täglich Produktionsstunden in einer Milliarden-Dollar-Fabrik wegen Single Event Upsets in der Netzwerktechnik. Und es gibt einen berühmten Fall eines Mario-64-Speedruns, der nur deshalb möglich war, weil eine bestimmte Speicherstelle in der Nintendo 64 eines Spielers durch ein SEU manipuliert wurde, ein Fall, der so gut dokumentiert ist, dass er als anekdotischer Beweis für die Realität dieser Phänomene gilt. Cosmic Rays sind also nicht Science-Fiction. Die spannende Frage ist hierbei wie oft sie einen Unterschied machen und wie wir damit umgehen.

Ein Vorbehalt

Bevor die Geschichte zu rund klingt, ein kleiner kritischer Einwurf: Die Cosmic-Ray-Erklärung ist die führende Theorie für den Schaerbeek-Fall, aber sie ist nicht definitiv bewiesen. Skeptiker (allen voran der Sicherheitsforscher Paco Hope, der jahrelang Wahlmaschinen-Code geprüft hat) halten andere Erklärungen für mindestens ebenso plausibel, etwa einen Hardwarefehler im DigiVote-System, eine bislang übersehene Anomalie in der Software, einen Fehler beim Lesen der Floppy Disks oder Magnetkarten. Die belgische Untersuchung sagte am Ende präzise nichts anderes als dass es ein Bit-Flip unbekannten Ursprungs war. Was sich aber aus der Zahl 4.096 selbst schließen lässt ist, dass es ein Einzelbit-Fehler war. Das verrät die mathematische Struktur. Ob dieser Einzelbit-Fehler nun von einem kosmischen Strahl aus einer Millionen Lichtjahre entfernten Supernova kam oder von einem fehlerhaften Lötpunkt auf einer Platine, ist eine sekundäre Frage, die Art des Fehlers ist eindeutig.

Warum das für Wahlen so wichtig ist

Der eigentliche Skandal des Schaerbeek-Vorfalls ist nicht die Existenz von Single Event Upsets. Es ist die Tatsache, dass das System sie überhaupt nicht erkannt hätte, wenn Maria Vindevogel zufällig eine populärere Kandidatin gewesen wäre. Der Fehler fiel ja nur deshalb auf, weil ihre Gesamtstimmenzahl die mathematisch mögliche Obergrenze überschritten hatte. Hätte das fehlerhafte Bit eine andere Kandidatin oder einen Kandidaten betroffen, der ohnehin Tausende Stimmen erhielt, wäre der Zusatz von 4.096 Stimmen vermutlich weniger schnell aufgefallen.

Genau das ist die Lektion, die seit 2003 in jeder ernsthaften Diskussion über digitale Wahlsysteme gezogen wird. Computer machen Fehler, nicht weil sie schlecht programmiert sind, sondern weil das Universum, in dem sie betrieben werden nicht ganz still ist. Jede Stromschwankung, jede Hitzefluktuation, jedes Teilchen aus dem All kann theoretisch einen Bit-Flip auslösen. In Anwendungen, in denen es nicht auf jede einzelne Zahl ankommt, ist das verschmerzbar. In Wahlen, wo jede Stimme zählt, ist es ein Problem.

Moderne Computersysteme haben darauf Antworten entwickelt. Server in Rechenzentren nutzen ECC-Speicher (Error Correcting Code), der Bit-Flips erkennen und in den meisten Fällen automatisch korrigieren kann. Raumfahrt-Elektronik wie der Mars-Rover Perseverance fliegt mit speziell strahlungsgehärteten Prozessoren, aus diesem Grund verwendet die NASA dort auch nicht den schnellsten verfügbaren Chip, sondern den PowerPC RAD750, einen seit zwanzig Jahren bewährten, strahlungsresistenten Veteranen. Kryptografische Hashes und redundante Prüfungen werden eingebaut, um Manipulationen und zufällige Fehler gleichzeitig abzufangen.

Die belgischen Wahlmaschinen von 2003 hatten von all dem wenig. Sie waren handelsübliche PC-Hardware mit handelsüblichem Speicher, ergänzt durch eine Wahlsoftware. Genau darin liegt das eigentliche Problem.

Was Belgien daraus lernte

Belgien hat seinen Umgang mit elektronischen Wahlen in den Jahren nach dem Vorfall mehrfach überarbeitet. Es wurden Pilotversuche mit Voter Verified Paper Audit Trails (VVPAT) gestartet, also Druckern an den Wahlmaschinen, die einen Papierausdruck der Stimme produzieren, den der Wähler vor dem Einwerfen verifizieren kann. Diese Papierbelege werden dann separat ausgezählt und mit dem elektronischen Ergebnis verglichen. Wenn beide Zahlen voneinander abweichen, hat der Papierausdruck Vorrang.

Das ist ein lehrreiches Designprinzip, denn es vertraut keinem System allein.Das heißt, mache jeden Zähler überprüfbar gegen einen unabhängigen zweiten. Auch hier folgt Belgien einer guten alten Erkenntnis der Wahlrechtsgeschichte. Stimmzettel waren immer schon dazu da, dass sich Wahlen nachvollziehen lassen, nicht nur, dass sie gezählt werden. Die digitale Stimme verliert genau diese Nachvollziehbarkeit, wenn nicht etwas Physisches dazwischen vermittelt.

Andere Länder sind aus diesem und ähnlichen Gründen ganz vom rein elektronischen Wählen abgekommen. Die Niederlande haben elektronische Wahlmaschinen 2007 abgeschafft. Deutschland hat sie 2009 nach einem Verfassungsgerichtsurteil verboten, nicht wegen Bit-Flips, sondern wegen mangelnder Nachprüfbarkeit für den durchschnittlichen Bürger. Frankreich verwendet sie nur in begrenztem Umfang. Die Diskussion ist global aber keineswegs vom Tisch.

Demut vor der Komplexität

Die Maria-Vindevogel-Anekdote eignet sich wunderbar zum Erzählen, weil sie zwei Welten zusammenbringt, die normalerweise getrennt diskutiert werden: die hochabstrakte Physik des Universums und die ganz konkrete Frage, wer in einer Demokratie wie viel Macht bekommt. Sie zeigt, dass Wahlsysteme keine luftleeren Konstrukte sind, sondern in physischer Hardware leben, die wiederum in einer physischen Welt voller Zufall existiert.

Und sie zeigt, dass digitales Wählen kein einfaches „weniger Papier" ist. Es ist eine Verlagerung des Vertrauens weg vom direkt überprüfbaren Stimmzettel, hin zu einem Bündel aus Software, Hardware, Verfahren und Audit-Mechanismen, das in seiner Gesamtheit so robust sein muss, dass es nicht nur böse Akteure abwehrt, sondern auch sehr seltene, sehr seltsame Ereignisse aus dem Weltall überlebt. Wer in dieser Welt verantwortungsvoll digitale Wahlsysteme baut, muss Vertrauen mit Defense in Depth zurückzahlen, etwa durch redundante Speicher, Hash-Verifizierung, Audit-Trails, unabhängige Kontrollen, im Idealfall papierbasierte Verifizierungsmöglichkeiten.

Maria Vindevogel ist übrigens nie mit dem Skandal in Verbindung gebracht worden, der zu ihr gar nicht passte. Sie war eine wenig bekannte Linke aus einer kleinen Partei, der die zusätzlichen 4.096 Stimmen niemand zugetraut hätte, was ironischerweise erst dazu führte, dass der Fehler entdeckt wurde. Vielleicht ist das die schönste Pointe der Geschichte: Eine Demokratie hat in jenem Moment ihre eigene Fehlertoleranz bewiesen.