Auf der Website der Herstellerfirma ist der Service-Bereich mit einem Passwort geschützt. Doch Tschirsich findet das Passwort im Internet, denn ein anderes Unternehmen, das PC-Wahl vertreibt, hat es versehentlich veröffentlicht. Die Firma ekom21 ist ein kommunaler IT-Dienstleister in Hessen, der als Vertriebspartner PC-Wahl verkauft. Auf der Webseite der ekom21 entdeckt Tschirsich eine Bedienungsanleitung für das Programm. Und in dieser Bedienungsanleitung stehen auch die Zugangsdaten zum internen Servicebereich des Herstellers von PC-Wahl: "Nutzername: service", "Kennwort: pcwkunde". Damit lädt sich Tschirsich wichtige Teile der Software runter. Nun kann der Informatiker wie ein Chirurg den Code der Software sezieren. Und entdeckt den nächsten gravierenden Fehler.

PC-Wahl ist im Kern eine Art Tabellenkalkulationsprogramm. Die Stimmen für jeden Kandidaten werden in Zeilen und Spalten summiert und die Ergebnisse in eine neue Datei geschrieben. Tschirsich analysiert die Struktur dieser Datei, die die Wählerstimmen enthält. Sie ist zu seiner Überraschung nicht eigens gesichert. Wenn PC-Wahl diese Datei an die Wahlleiter verschickt, gibt es keine Authentifizierung, keine Signatur, keinen einzigartigen Schlüssel. Es gibt kein System, das beweist, dass die korrekten Wahldaten der richtigen Gemeinde beim Wahlleiter ankommen. Somit ist es problemlos möglich, diese Wahldateien zu fälschen.

Gemeinden infizierte Software unterschieben

Tschirsichs nächste Entdeckung ist nicht weniger  frappierend. Gemeinden, die das Programm nutzen, müssen es aktualisieren, beispielsweise, um die korrekten Vorlagen für die Bundestagswahl zu erhalten. Die neuen Programmversionen stehen bei der Herstellerfirma auf einer speziellen Seite, wieder ist sie durch ein Passwort geschützt. Und wieder findet Tschirsich dieses Passwort im Netz. Es lautet "ftp,wahl". Damit könnte er auf dieser Seite eine gehackte Version von PC-Wahl verstecken und Gemeinden würden sich diese dann, ohne es zu bemerken, beim Aktualisieren herunterladen. Das wäre kein Angriff auf die Wahlergebnisse eines einzelnen Wahlkreises mehr, es wäre ein Flächenbrand. Hacker könnten den Kommunen bundesweit falsche Ergebnisse unterjubeln.

Und das ist noch nicht das Ende der Probleme. In der Software sind die Vorgaben zur Übertragung der jeweiligen Auszählungen aus den Wahllokalen bereits vorinstalliert. Am Wahlabend werden die Stimmergebnisse in Hessen aus Sicherheitsgründen nicht über das Internet übertragen, sondern über ein internes Netzwerk, das eine Firma den Gemeinden zur Verfügung stellt. Doch der Einwahlpunkt in dieses Netzwerk, das eigentlich niemand kennen soll, ist in PC-Wahl bereits voreingestellt, damit die Beamten am Wahlabend weniger Arbeit haben. Es ist zwar durch ein Passwort geschützt, aber das Passwort für Hessen ist nicht sonderlich schwer zu erraten. Es lautet: "test".

Tschirsich weiß jetzt, wie die Software arbeitet und wie sie die Dateien erstellt, mit denen die Stimmverhältnisse weitergeleitet werden. Er kennt das interne Netzwerk, über welches diese Dateien in Hessen weitergeschickt werden. Und er hat einen Weg gefunden, viele Gemeinden mit einer infizierten Version der Software zu bestücken. Ihm genügt das als Beweis, dass das System gefährliche Lecks hat. Er kontaktiert Gerhard Bennemann.

Bennemann ist Gemeindewahlleiter der kleinen Stadt Büdingen im Wetteraukreis in Hessen, ein Mann mit kurzgeschnittenen, grauen Haaren, randloser Brille und aufmerksamen Augen, die derzeit etwas erschrocken blicken. Denn Tschirsich hat ihm an seinem Rechner vorgeführt, dass er die Wahlergebnisse von Büdingen verändern könnte, ohne dass Bennemann es beim Verschicken der Wahldaten merken würde.

"Es gibt bessere Passworte als 'test'"

Zögerlich räumt Bennemann die Fehler ein. "Es gibt bessere Passworte als 'test'", sagt er. "Das ist unangemessen." Und die Manipulation der Software sei "zumindest störend". Aber die Wahlergebnisse könnten jederzeit nachgeprüft werden, sie stünden letztlich noch immer auf Zetteln. "Das Endergebnis ist nichtsdestotrotz gesichert."

Das sagt auch Volker Berninger, der Entwickler von PC-Wahl. "Bei dem schlimmsten Szenario würde jemand damit Verwirrung stiften. Dann würden zwar irgendwelche falschen Ergebnisse im Internet stehen, aber auf dem Papier wären noch immer die richtigen vorhanden. Das gibt Ärger und Verwirrung, hat aber keine Relevanz."

Um das Vertrauen der Bürger in eine demokratische Wahl zu erschüttern, muss jedoch nicht unbedingt das Endergebnis gefälscht werden. Zweifel genügen. Angreifer könnten beispielsweise die verfälschten Ergebnisse übertragen und zugleich die Übertragung der richtigen Ergebnisse blockieren. Was würde etwa passieren, wenn mit dem vorläufigen Ergebnis am Wahlabend verkündet würde, die AfD sei an der Fünfprozenthürde gescheitert – dieses Ergebnis dann aber später korrigiert werden müsste, weil die AfD tatsächlich sieben Prozent der Stimmen bekommen hat? Wie verliefe dann die Diskussion in Deutschland? "Das wäre wahrscheinlich verhängnisvoll", sagt Bennemann, der Gemeindewahlleiter.

ZEIT ONLINE und DIE ZEIT haben Experten vom Chaos Computer Club (CCC) gebeten, die Qualität von PC-Wahl zu prüfen. Das Programm sei so schlecht, dass es "nie hätte eingesetzt werden dürfen", sagt Linus Neumann, einer der Sprecher des CCC. Neumann hat zusammen mit seinem Kollegen Thorsten Schröder das Programm begutachtet. PC-Wahl ignoriere grundlegende Prinzipien von Sicherheit und Verschlüsselung, urteilen sie.