Die Wahlurne, die jeder
prüfen kann.
Wir verlangen nicht, dass Sie uns einfach glauben: Wir geben Ihnen die Werkzeuge, um alles zu überprüfen. Das ist die Mechanik unter der Haube – mit ihren technischen Bezeichnungen und ohne Kleingedrucktes.
Ändern Sie einen Stimmzettel und alles stimmt nicht mehr.
Kurz gesagt: Wenn jemand eine Stimme verändert, stimmt es nicht mehr: Während der Abstimmung können der Administrator und die Wahlbeobachter dies jederzeit prüfen, und nach dem Abschluss jede beliebige Person.
Jede Abstimmung baut einen Merkle-Baum auf: die kryptografische Struktur, durch die jede Änderung an einer Stimme für jedermann nachweisbar wird.
Ändert man einen Stimmzettel, stimmt die Wurzel nicht mehr überein.
Jeder Stimmzettel ist ein Blatt eines Merkle‑Baums, dessen Wurzel zum Abschluss mit einer unabhängigen Zeitstempelstelle versiegelt wird. Jeder kann den Baum anhand der veröffentlichten Stimmzettel neu berechnen: Ergibt sich nicht dieselbe Wurzel, ist das Protokoll nicht dasjenige, das versiegelt wurde.
Die Blätter werden nach einer zufälligen Kennung sortiert: Die Reihenfolge der Stimmabgabe wird nirgends gespeichert.
Anleitung: Prüfen Sie es selbst, Schritt für Schritt →Jeder Wähler kann seinen eigenen Stimmzettel überprüfen.
Beim Abstimmen erhalten Sie eine anonyme Quittung. Damit können Sie prüfen, dass Ihr Stimmzettel in der endgültigen Auszählung enthalten ist – ohne jemandem zu verraten, wie Sie abgestimmt haben.
Wenn die Abstimmung diese Funktion aktiviert hat, können Sie Ihrem Stimmzettel außerdem einen persönlichen Code vergeben: Damit finden Sie ihn später wieder, wenn die Abstimmung versiegelt ist.
Wie der Stimmnachweis funktioniert →Ein Protokoll als PDF, das jede Manipulation aufdeckt.
Beim Abschluss wird das Protokoll mit der Wurzel des Baums, dem Zeitstempel und einem QR-Code erzeugt. Scannen Sie ihn – oder geben Sie seinen Code ein – und die Plattform berechnet alles vor Ihren Augen neu.
Überprüfen Sie jetzt ein Protokoll →Dieselben Garantien, ohne den Hype.
Ein versiegelter Merkle-Baum bietet dieselbe überprüfbare Unveränderlichkeit, die eine Blockchain verspricht – nur ohne deren Kosten, Langsamkeit und Zwischeninstanzen. Wir erklären Ihnen, warum das keine Magie ist – und warum Sie diese nicht brauchen.
Der Blockchain-Mythos beim Wählen →Technische Details
- Fingerabdruck jedes Stimmzettels
- Ein SHA-256-Hash, berechnet über seine Kennung, den Inhalt des Stimmzettels und sein Gewicht in der Auszählung.
- Merkle-Baum
- Die Hashwerte werden paarweise kombiniert, bis eine einzige Wurzel entsteht. Die Blätter werden nach einer Zufallskennung sortiert, niemals nach Ausstellungsreihenfolge.
- Während der Abstimmung
- Jeder Stimmzettel hinterlässt beim Ausstellen seinen Hash und wird zugleich in einem separaten Datensatz der Datenbank gespiegelt. Die Integritätsprüfung vergleicht Stimmzettel, Hash und Kopie: Sie kann vom Administrator und von den Wahlbeobachtern jederzeit gestartet werden und läuft beim Abschluss automatisch. Wenn etwas nicht stimmt, wird das Protokoll nicht versiegelt.
- Zwischenwurzeln
- Alle 100 Stimmzettel oder einmal pro Stunde wird eine Zwischenwurzel des Baums festgeschrieben – als Zeuge für alles, was bis dahin ausgestellt wurde.
- Zeitstempel
- Beim Abschluss wird die endgültige Wurzel mit einem RFC-3161-Zeitstempel einer externen Stelle versiegelt: Übermittelt wird nur ihr SHA-256-Hash, niemals die Stimmzettel selbst.
- Überprüfung
- Das Protokoll enthält die Wurzel, den Zeitstempel und einen QR-Code. Die öffentliche Überprüfung berechnet den Baum mit den veröffentlichten Stimmzetteln neu und vergleicht die Wurzeln.
Geschützt während der Übertragung. Verschlüsselte Backups.
Kurz gesagt: Ihre Daten werden geschützt übertragen, und die Backups werden verschlüsselt gespeichert. Hier erklären wir genau, wie.
Verschlüsselung nach offenem Standard dort, wo sie schützt: bei der Verbindung, beim Zugang und bei den Backups. Hier die Einzelheiten.
Während der Übertragung
Die Verbindungen zur Plattform sind verschlüsselt mit TLS 1.3 (oder TLS 1.2, falls Ihr Browser dies noch nicht unterstützt). TLS ist das Protokoll, das die Kommunikation zwischen Ihrem Browser und dem Server verschlüsselt – das Schloss in der Adressleiste – und Version 1.3 ist die aktuellste und robusteste. Nichts wird im Klartext übertragen.
Backups
Die täglichen Backups werden mit AES-256 verschlüsselt, bevor sie den Server verlassen, und es wird nie ein unverschlüsseltes Backup gespeichert.
Beim Zugriff
Zwei-Faktor-Authentifizierung (2FA) für Administratoren, Einmal-Abstimmungslinks und Passwörter, die niemals im Klartext gespeichert werden. Die Kennungen in den URLs sind stets verschlüsselt.
Technische Details
- Protokoll
- HTTPS mit TLS 1.3, bzw. TLS 1.2 für ältere Browser; TLS 1.1 und älter werden abgelehnt. Der HSTS-Header (ein Jahr, inklusive Subdomains) sorgt dafür, dass der Browser keine unverschlüsselte Verbindung mehr versucht.
- Backups
- Täglicher Dump, komprimiert und mit AES-256-CBC verschlüsselt, bevor er den Server verlässt; der Schlüssel wird mit PBKDF2-SHA256 aus 100.000 Iterationen abgeleitet. Fehlt der Schlüssel, wird kein Backup erstellt: Es wird niemals eine unverschlüsselte Kopie gespeichert.
- Passwörter
- Sie werden mit bcrypt gespeichert, einem langsamen Hash mit eigener Salt: Selbst mit Datenbankzugriff können sie nicht im Klartext gelesen werden.
- Kennungen
- Die internen Nummern, die in Webadressen erscheinen, werden mit AES-256 und einem eigenen Schlüssel für jeden Bereich der Anwendung verschlüsselt, damit sie weder erraten noch durchlaufen werden können.
- Sitzung und Formulare
- HttpOnly-, SameSite- und Secure-Cookies; die Sitzungskennung wird bei der Anmeldung erneuert. Jedes Formular und jede Anfrage enthält ein CSRF-Token, das stündlich rotiert.
- Versuche
- Standardmäßig sperren fünf fehlgeschlagene Anmeldeversuche innerhalb von 15 Minuten das Konto. Auch Verifizierungscodes, Abstimmungslinks und die öffentliche Protokollprüfung haben ein Limit an Versuchen.
Wir wissen dass Sie gewählt haben. Niemals was Sie gewählt haben.
Kurz gesagt: Sobald Ihre Stimme erfasst ist, besteht keinerlei Verbindung mehr zu Ihrer Identität, und niemand kann zweimal abstimmen – auch nicht über unterschiedliche Zugangswege.
Die Verknüpfung wird im Moment der Stimmabgabe aufgehoben.
Die Korrelation zwischen Identität ↔ Inhalt wird bei der Abgabe zerstört. Getrennte Tabellen, kein korrelierbarer Schlüssel. Sobald die Stimme gespeichert ist, kann selbst ein Administrator mit Vollzugriff auf die Datenbank nicht mehr rekonstruieren, wer wie abgestimmt hat.
Eine Stimme pro Person – ganz gleich, über welchen Weg sie abgegeben wird.
Sie können mit Benutzername und Passwort abstimmen, über einen persönlichen Einmal-Link oder im Wahllokal vor Ort. Alle drei Wege vermerken die Teilnahme im selben Register, das nur einen Eintrag pro Person und Abstimmung zulässt: Wer bereits über einen Weg abgestimmt hat, kann keinen anderen mehr nutzen. Dieses Register hält fest, dass Sie abgestimmt haben, niemals wie.
Der Schutz vor doppelter Stimmabgabe, einfach erklärt →Technische Details
- Speicherung
- Wer gewählt hat und was gewählt wurde, wird in getrennten Tabellen gespeichert – ohne irgendeinen Schlüssel, der sie miteinander verknüpft.
- Reihenfolge der Stimmabgabe
- Die Uhrzeit wird nicht gespeichert: Stimmzettel werden über einen Zufallswert identifiziert, sodass sich die Uhrzeit der Stimmabgabe nicht mit der Zugriffszeit abgleichen lässt.
- Doppelte Stimmabgabe
- Eine eindeutige Bedingung (Person + Abstimmung) im Teilnahmeprotokoll innerhalb derselben Transaktion, die auch den Stimmzettel speichert: Treffen zwei Stimmen gleichzeitig ein, wird nur eine angenommen. Beim Abstimmen über Link wird außerdem der Link in derselben Transaktion als verwendet markiert.
- Stimmbeleg
- Der Verifizierungscode ist zufällig und steht in keinem Zusammenhang mit Ihrem Konto: Nur wer ihn besitzt, kann seinen Stimmzettel finden.
Wahlbeobachter jeder Liste, mit reinem Lesezugriff.
Kurz gesagt: Jede Liste kann jemanden haben, der den Ablauf live mitverfolgt, ohne ihn verändern zu können.
Transparenz bedeutet nicht ein PDF am Ende, sondern den Prozess verfolgen zu können, während er stattfindet.
Ein reiner Lesezugang für die Aufsicht.
Die Wahlbeobachter überwachen Wählerverzeichnis, Beteiligung und Schließung in Echtzeit, ohne Zugriff auf die Administration. Jede Liste kann ihre eigenen Wahlbeobachter benennen.
Physische Wahlurne, digitale Garantien.
Bei der betreuten Präsenzwahl markiert der Wahlvorstand, wer gewählt hat, und die Stimmzettel werden anschließend eingeworfen, ohne jemandem zugeordnet zu werden. Das Wahlgeheimnis bleibt damit auch außerhalb des Bildschirms gewahrt.
- Identifikation Der Wahlvorstand sucht die Person im Wählerverzeichnis und markiert sie. Von diesem Moment an kann sie nicht mehr online abstimmen.
- Stimmzettel in der Wahlurne Sie stimmen auf Papier ab und werfen den Stimmzettel in die physische Wahlurne ein.
- Eröffnung Am Ende öffnet der Wahlvorstand die Wahlurne und zählt die Stimmzettel.
- Auszählung Die Stimmzettel werden einzeln erfasst, ohne jegliche Angabe dazu, von wem sie stammen.
- Schließung und Niederschrift In der Niederschrift werden markierte Personen, gezählte Stimmzettel und eingeworfene Stimmzettel miteinander verglichen. Stimmen sie überein, wird „Stimmt“ vermerkt; wenn nicht, wird dies zusammen mit den Anmerkungen des Wahlvorstands festgehalten.
Ihre Daten liegen in Europa. Und sie bleiben hier.
Kurz gesagt: Ihre Daten bleiben in Spanien, werden nur für Ihre Abstimmung genutzt und niemals verkauft.
Alle unsere Server sind in Rechenzentren innerhalb der Europäischen Union (Spanien) untergebracht. Wir erfüllen die DSGVO vom ersten Moment an vollständig: Die Daten Ihrer Abstimmungen – Stimmen, Wählerverzeichnis und Teilnehmende – werden ohne Übermittlungen außerhalb des Europäischen Wirtschaftsraums und ohne Dritte verarbeitet. Ohne Kleingedrucktes und ohne Überraschungen.
DSGVO-konform
Wir verarbeiten nur die für den Wahlprozess unbedingt erforderlichen Daten – auf klarer Rechtsgrundlage und mit festgelegten Aufbewahrungsfristen.
Keine Übermittlungen außerhalb des EWR
Die Abstimmungsdaten verlassen den Europäischen Wirtschaftsraum nicht. (Wenn Sie sich mit Ihrem Google- oder Microsoft-Konto anmelden, läuft diese Authentifizierung über diese Anbieter.)
Wir verkaufen Ihre Daten niemals
Keine Werbung, kein Profiling und keine Weitergabe an Dritte. Ihr Wählerverzeichnis und Ihre Ergebnisse gehören Ihnen — und nur Ihnen. Punkt.
Kein Abstimmungssystem schützt alles.
Wir sagen Ihnen das lieber klar: Ein Versprechen, das nicht eingehalten wird, ist schlimmer, als gar keines zu geben.
| Risiko | Abgedeckt? | Wie |
|---|---|---|
| Dass jemand eine Stimme nach der Schließung der Abstimmung verändert | Ja | Die Wurzel des Baums wird mit einem Zeitstempel versiegelt: Jeder kann sie nachrechnen und prüfen, ob sie übereinstimmt. |
| Dass Ihre Stimme nicht mitgezählt wird | Ja | Mit Ihrem Verifizierungscode überprüfen Sie, dass Ihr Stimmzettel in der Auszählung enthalten ist – genau so, wie Sie ihn abgegeben haben. |
| Dass jemand zweimal abstimmt | Ja | Jede Person hat einen Einmalzugang, der bei der Stimmabgabe verbraucht wird. |
| Dass Ihre Identität nach der Speicherung mit Ihrer Stimme in Verbindung gebracht wird | Ja | Sie werden getrennt gespeichert, ohne irgendeinen Schlüssel, der sie verbindet, und ohne die Reihenfolge der Stimmabgabe. |
| Was auf dem Server im Moment der Stimmabgabe passiert | Teilweise | Wer den Server kontrolliert, während die Abstimmung geöffnet ist, könnte Wähler und Stimmzettel verknüpfen, bevor der Stimmzettel gespeichert wird. Deshalb ist die Geheimhaltung gegenüber dem Betreiber der Plattform eine vertragliche Zusage in unseren Bedingungen; gegenüber der Organisation und gegenüber Dritten ist sie dagegen eine technische Garantie. |
| Dass jemand Ihren persönlichen Zugang nutzt | Teilweise | Der Zugang ist nur einmal nutzbar, aber wenn jemand vor Ihnen in Ihr E-Mail-Konto oder auf Ihr Handy gelangt, könnte er ihn verwenden. Schützen Sie diese, und informieren Sie die Organisation, wenn Sie einen Zugang erhalten, den Sie nicht erwartet haben. |
| Wer stimmberechtigt war | Nein | Über das Wählerverzeichnis entscheidet die Organisation. Die Wahlbeobachter können es vor Öffnung der Abstimmung überprüfen. |
| Eine Stimme, die nie im System angekommen ist | Nein | Das Protokollierte wird mit dem Versiegelten verglichen: Was nicht gespeichert wurde, hinterlässt keine sichtbare Lücke. |
| Dass jemand Sie unter Druck setzt, während Sie von zu Hause aus abstimmen | Nein | Keine Form der Fernabstimmung kann das verhindern. Wenn das in Ihrem Prozess ein Risiko ist, kombinieren Sie die Online-Abstimmung mit einer Präsenzwahlurne. |
| Dass Ihr Gerät infiziert ist | Nein | Das hängt von Ihrem Gerät ab: Stimmen Sie von einem aktuell gehaltenen Gerät aus ab. |
Ihr Wahlprozess, geschützt vom ersten Votum an.
Wählen Sie Ihren nächsten Schritt.