Maandag 30 januari bracht RTL Nieuws een primeur: “Met potlood stemmen onveilig: verkiezingsuitslag eenvoudig te hacken” En zoals verwacht konden de politici niet wachten om dit te veroordelen, immers verkiezingen moeten betrouwbaar zijn. Maar waar gaat het nu eigenlijk om? Welke software is precies ‘lek’ en wat valt er tegen te doen?
Journalist Sijmen Ruwhof heeft in zijn lezenswaardige blog zijn analyse gedeeld over de OSV software. OSV staat voor Ondersteunende Software Verkiezingen, welke in opdracht van de Kiesraad is ontwikkeld door het bedrijf IVU. De Kiesraad stelt de software om niet beschikbaar aan alle gemeenten, en vrijwel alle gemeenten gebruiken de software dan ook.
Wat doet de OSV software?
OSV bestaat uit vijf losse programma voor specifieke taken. De programma modules waar het nu om gaat zijn P4 en P5. P4 is gericht op de stemopneming: het totaliseren van de telresultaten van elk stembureau. P5 wordt gebruikt door het centraal stembureau om de zetelverdeling te berekenen.
OSV telt de stemmen niet
De misvatting in de media is dat OSV de stemmen telt. Dat ligt genuanceerder: de leden van het stembureau tellen de stemmen met de hand. Wil je weten hoe dat gaat: blijf 15 maart na sluiting in het stemlokaal en observeer hoe de telling gaat. Heel leerzaam… De basis voor de uitslag is het proces-verbaal dat de voorzitter van het stembureau ondertekent. Alle stemmen gaan, samen met het proces-verbaal, naar het hoofdstembureau. Daar worden de gegevens van het proces-verbaal van het stembureau overgenomen en ingevoerd in het programma P4 van OSV. OSV totaliseert alle ingevoerde proces-verbalen en geeft de optie om die totaaltelling als digitaal bestand op te slaan. De digitale bestanden worden verstuurd naar het Centraal Stembureau (bij de TK verkiezingen is dat de Kiesraad) welke met behulp van OSV de uitslag berekent en de zetelverdeling bepaalt. Met name dat laatste is in ons kiesstelsel dusdanig ingewikkeld door de systematiek van restzetels, voorkeursstemmen, lijstverbindingen, lijstgroepen en kiesdistricten. Lees maar eens de formele specificatie daarvan en je begrijpt de behoefte aan inzet van computers.
Maar wat is er dan mis?
Sijmen Ruwhof heeft laten zien hoe eenvoudig het is om op basis van openbare bronnen (een instructievideo op Youtube) informatie te verzamelen die je kan gebruiken voor een aanval. Hij geeft daarbij een analyse van allerlei zwakheden die je zou kunnen misbruiken, mocht je dat willen. Dat betekent overigens niet dat bewezen is dat de OSV software ook lek is of dat iemand de verkiezingen gemanipuleerd heeft. Hij legt de vinger wat mij betreft ook op een andere zwakke plek: er is momenteel geen alternatief, of beter gezegd het alternatief wordt niet gebruikt.
Zwakke plek: het alternatief wordt niet gebruikt
Juist bij verkiezingen mag er geen discussie bestaan over de correctheid van de uitslag. Een van de belangrijkste redenen om de stemcomputers in 2007 af te schaffen was dat de computer zich als ‘black-box’ gedroeg en er geen paper-trail was; geen papieren bewijs. We tellen wel vanaf papier, maar vanaf het hoofdstembureau wordt het telresultaat weer digitaal doorgegeven. Goed voor de snelheid en makkelijker te tellen, maar ook makkelijker door derden aan te passen. En zoals Sijmen laat zien zijn de maatregelen om de integriteit te borgen niet goed genoeg. Er is wel een alternatief, maar dat wordt zelden gebruikt. Dat alternatief is hertellen. En dan niet hertellen van de resultaten zoals door het hoofdstembureau is doorgegeven, maar vanaf de bron: de papieren stemmen en het proces-verbaal van elk stembureau.
Nu is de hertelling voorbehouden aan het centraal stembureau (Kieswet art P22 voor TK verkiezingen) en wordt de hertelling alleen uitgevoerd als “een ernstig vermoeden bestaat dat door een of meer stembureaus bij de stemopneming zodanige fouten zijn gemaakt dat zij van invloed op de zetelverdeling kunnen zijn”. In de praktijk is het verzoek om een hertelling steeds afgewezen omdat indicaties van fraude bij één of enkele stemlokalen waren en dus geen invloed hadden op de zetelverdeling. Maar ook omdat de Kieswet weinig tijd geeft aan het centraal stembureau om een hertelling uit te voeren. Op woensdag is de stemming, op maandag de zitting van het centraal stembureau en op donderdag treedt de nieuwe Kamer aan.
Is het weleens misgegaan?
Is het in het verleden dan weleens misgegaan, zijn er verschillen tussen de uitgebrachte stemmen en de formele uitslag? We zullen het nooit weten. Stembiljetten moeten namelijk (op grond van de kieswet art N12 lid 3) vernietigd worden tenzij er een strafrechtelijk onderzoek wordt ingesteld door het OM. En ook de processen-verbaal moeten vernietigd worden (Kieswet art O5), door het orgaan waarvoor de verkiezing wordt georganiseerd. Dit vanuit de gedachte dat het niet goed is als er later twijfels komen over de legitimiteit van gekozen leden.
Maak controle mogelijk door processen-verbaal openbaar te maken
Mijn pleidooi is dan ook: maak controle mogelijk: bewaar elk proces-verbaal en maak deze openbaar. Dan kan iedereen die dat wil, zelf de totaaltelling uitvoeren en de zetelberekening berekenen en zodoende controleren. De Tweede Kamerleden die nu het hardst roepen dat het veiliger moet, doen er goed aan om niet alle kaarten op een veiliger ICT omgeving te zetten, maar op het creëren van een alternatief, een plan B zogezegd dat niet afhankelijk is van ICT. De inspanning om alle mogelijke risico’s te voorkomen is namelijk ondoenlijk groot, zo heeft ook ons onderzoek naar risico’s van internetstemmen aangetoond. En als we de Kieswet op dit punt toch aanpassen, geef dan het centraal stembureau ook iets meer tijd om de uitslag zorgvuldig te kunnen controleren.
Naschrift: zojuist heeft de minister van BZK besloten om OSV uit voorzorg niet te gebruiken voor de komende Tweede Kamer verkiezing. Op zich een goede stap, nu nog openbaarmaking van de processen-verbaal.