Relative Anonymität in LQFB … Ideen zur Technik

In der Piratenpartei läuft gerade eine große Diskussion über Liquid Feedback (LQFB) – ein Tool zur parteiinternen Umsetzung von Liquid Democracy. Ein Teil dieser Diskussion bezieht sich auf die Frage, ob die Teilnahme an LQFB auch anonym möglich sein soll oder nicht.

Ich persönlich bin der Ansicht, dass eine anonyme Teilnahme möglich sein muss. Anonym ist natürlich bei einem technischen System nur relativ zu verstehen – absolute Anonymität gibt es technisch sowieso nicht. (Siehe auch hier).

Warum ich dieser Überzeugung bin habe ich lang begründet (beispielsweise auf der Aktiven Maillingliste, zum Teil auch in meinem Antrag an den Bundesvorstand). Mehrfach wurde ich aber aufgefordert ein System zu entwerfen, in dem relative Anonymität umgesetzt werden könnte … Ich bin kein Experte, kein Kryptologe und meine Notizen dazu sind sicherlich verbesserungsfähig – aber ich will mir Mühe geben.

Voraussetzung für jede Form von Anonymität nach meinem Verständnis ist es, dass es zwei unterschiedliche Systeme gibt: Ein System, dass Benutzer zuordnen kann (Benutzersystem BS) und ein System, dass die Abstimmungen speichert und den Anwendern präsentiert (LQFB-System LQFB). Logisch ist dabei, dass es für die Systeme unterschiedliche Administratoren geben muss – und dass spätestens das "Benutzersystem" paranoid aufgebaut sein muss (mit Paranoid meine ich Paranoid, nicht nur "auf Sicherheit wurde ein bisschen Wert gelegt").

Das Benutzersystem speichert die zu Abstimmungsteilnahmen eines Benutzers die Benutzer-ID, die Abstimmungs-ID und die (gesalzene und irgendwie personenbezogen verschlüsselte) Stimmen-ID. Abstimmungs-ID ist dabei die ID der Abstimmung an sich, die Stimmen-ID kennzeichnet die einzelne Stimme. LQFB speichert eine Stimmen-ID, eine Abstimmungs-ID und das Abstimmungsergebnis. Weiterhin kann LQFB in einem Feld speichern, ob Anonym oder Offen abgestimmt wurde (gegebenenfalls steht die Benutzer-ID drin).

Bei einer Abstimmung fragt LQFB beim BS nach einer Stimmen-ID für den Benutzer nach. Dazu übergibt es dem BS die anonyme ID des Benutzers (beim Login zugewiesen) und die Abstimmungs-ID. BS kann einfach feststellen, ob der Benutzer bereits abgestimmt hat ohne die Stimme zuzuweisen (dann gibt es einen Fehler zurück) oder eine neue Stimmen-ID eintragen und dem LQFB mitteilen. LQFB speichert die Abstimmung dann mit dieser Stimmen-ID ab. (Eine asynchrone Verschlüsselung wäre natürlich möglich – BS müsste nur den Public-Key aufbewahren, der Benutzer hätte den Private-Key). Falls eine offene Abstimmung erwünscht ist, könnte BS noch die eigentliche Benutzer-ID zurückgeben.

Aus LQFB lassen sich also anonyme Stimmen nachträglich NICHT zuordnen (Traffic-Sniffer während einer Abstimmung sind eine andere Sache). Auf Wunsch des Benutzers wäre aber eine nachträgliche Zuordnung wieder möglich (die Stimmen sind verschlüsselt gespeichert, können also wieder entschlüsselt werden). Dies könnte beispielsweise relevant sein um bei einer Kandidatur Transparenz zu ermöglichen. Gleichzeitig könnten anonyme Stimmen anderweitig nicht einfach zugeordnet werden – selbst wenn man Zugriff auf die Datenbank hat – und eine Zuordnung wäre in jedem Fall absichtlich erfolgt (und illegal).

Und gleichzeitig würde LQFB offene Abstimmungen ermöglichen und es ließe sich eine Kontrolle einbauen, WER anonynm abstimmen darf. Ich sehe durchaus ein, dass Vorstandsmitglieder offen abstimmen sollen (Transparenz) und dass jemand der für eine Abstimmung Delegationen hält, offen abstimmen sollte (Transparenz und Nachvollziehbarkeit für die Delegierenden). Auch eine nachträgliche de-anonymisierung wäre möglich (mit Zustimmung des Benutzers).