Op 20 maart 2019 zijn gelijktijdig de Provinciale Staten en Waterschapsverkiezingen. De uitslagen van de Provinciale Staten verkiezingen worden op enig moment tussen 22 en 27 maart bekendgemaakt door de provincies.
Nu twee jaar later na aangetoond te hebben hoe onze verkiezingen gehackt kunnen worden sinds 2009, is óók dit jaar het weer mogelijk om ongezien met de uitslag te frauderen. Gemeenten nemen niet de moeite om de door de onveilige en verouderde optelsoftware berekende verkiezingsuitslag na te rekenen.
Optelsoftware zit vol met beveiligingslekken
In 2017 vond ik tientallen beveiligingslekken in de optelsoftware, wat door meerdere beveilingsonderzoekers bevestigd werd. De Kiesraad heeft cyber-security bedrijf Fox-IT in 2017 gevraagd de optelsoftware te onderzoeken. Fox-IT rapporteerde dat de verkiezingsuitslag gemakkelijk zou kunnen worden gemanipuleerd. Vorig jaar vond ik zelf nog 47 beveiligingslekken in de optelsoftware en processen eromheen. De beveiliging is dit jaar weliswaar iets opgeschroefd, maar volstrekt onvoldoende gezien het huidige dreigingslandschap.
Kiesraad: optelsoftware voldoet niet meer
De Kiesraad is inmiddels wel bewust van de problemen, maar heeft geen directe oplossing voor handen. Dat staat in hun net gepubliceerde jaarverslag over 2018 (pdf). De Kiesraad stelt daarin dat de bijna tien jaar oude optelsoftware (OSV):
- “[..] mede door veranderende inzichten over beïnvloeding van verkiezingen door statelijke actoren aan vervanging toe is. Het beveiligings- en software-concept waarop de OSV-programma’s is gebaseerd, moet dan ook worden herzien. [..]”
Minister Ollongren heeft aangekondigd te streven naar ontwikkeling van nieuwe software in 2021. De Kiesraad stelt daarbij de kanttekening:
- “[..] dat de Kiesraad die nieuwe programmatuur graag al eerder had willen hebben, is het van het grootste belang snel de hiervoor benodigde stappen te zetten. Dat kan de Kiesraad niet alleen. [..]”
Geen compenserende maatregelen
Volgens de Kiesraad en minister Ollongren zullen we het tot die tijd maar met die onveilige optelsoftware moeten doen. Er worden geen compenserende maatregelen genomen.
Oplossing: handmatig stemtotalen optellen
De oplossing ligt voorhanden: gemeentes zullen alle stemtotalen op partijniveau handmatig bij elkaar moeten optellen en deze uitkomst vergelijken met wat de optelsoftware heeft berekend. Zo kan er niet meer gehackt worden, en controleert de software ook of handmatig correct is opgeteld.
In Duitslands vertrouwt men optelsoftware niet om de definitieve uitslag op te baseren. Daar wordt het alleen gebruikt om de voorlopige uitslag te berekenen.
Er is gelukkig nog tijd om alles goed in goede banen te regelen voor komende verkiezingen. De Tweede Kamer moet dan wel snel ingrijpen en minister Ollongren erop aanspreken.
Zelf verkiezingsuitslag narekenen
Tot die tijd kunnen bezorgde burgers en politici sinds dit jaar zelf de processen-verbaal (N10 en N11) downloaden van gemeentesites en controleren of de optelsoftware (OSV) niet gehackt is.
Wat gaat er mis?
- Via verouderde en onveilige optelsoftware (OSV) wordt de definitieve verkiezingsuitslag in Nederland berekend.
- Gemeentes, de Kiesraad en het ministerie van Binnenlandse Zaken achten het niet noodzakelijk om stemtotalen van politieke partijen handmatig na te rekenen. Dat is behoorlijk naïef, zeker in het licht van de actuele dreiging van Russische inmenging in Amerikaanse en Europese verkiezingen.
- De Kiesraad erkent dat OSV niet meer voldoet, maar heeft geen oplossing voorhanden voor 2021.
- Gemeentes willen niet handmatig optellen omdat ze dit ouderwets, foutgevoelig en veel tijd vinden kosten. Gemeentes vinden software betrouwbaar en zien het gevaar niet in.
- Duitsland gebruikt stemoptelsoftware van dezelfde Duitse leverancier, alleen zij achten de uitkomst niet betrouwbaar genoeg om definitief de verkiezingsuitslag op te baseren. Dat wil wat zeggen. Daar wordt de digitaal berekende uitkomst alleen gebruikt om de handmatig opgetelde stemtotalen te valideren en als voorlopige uitslag. In Duitsland volgt na drie weken de definitieve uitslag, als alle stemtotalen handmatig bij elkaar zijn opgeteld. Zo is optelsoftware ook bedoeld: het versterkt zo de betrouwbaarheid van de verkiezingsuitslag. Nederland slaat deze essentiële handmatige optelling over, met hackbare verkiezingen tot gevolg.
- Op 13 maart 2018 constateerde RTL Nieuws dat minister Kajsa Ollongren van Binnenlandse Zaken stilzwijgend belangrijke veiligheidsmaatregelen rond de verkiezingen heeft teruggedraaid. Zo wordt er door gemeentes niet meer handmatig opgeteld. De gedachte achter die beslissing was dat de nieuwe OSV-versie voldoende beveiligd zou moeten zijn tegen hackers.
- De Kiesraad heeft in zijn adviserende rol richting gemeentes vorig jaar beveiligingsrichtlijnen opgesteld (pdf). Niemand controleert echter of deze juist worden doorgevoerd door gemeentes.
- Voor burgers is het ook niet mogelijk om aanwezig te zijn wanneer stemtotalen in OSV worden ingevoerd.
Veranderingen ten opzichte van vorig jaar
Openbaarmaking processen-verbaal
Ten opzichte van vorig jaar is er één grote verbeteringen qua transparantie: alle 10.000 processen-verbaal van stembureau moeten nu verplicht door de gemeentes gepubliceerd worden op hun website.
Kieswet is aangepast
De Eerste Kamer heeft unaniem een wetswijziging op 4 december 2018 goedgekeurd die dit mogelijk maakt. Op 1 maart 2019 is deze wet ingetreden. De Vereniging Nederlandse Gemeenten heeft op 20 februari 2019 alle gemeentes nog geattendeerd op verplicht openbaar maken van de processen-verbaal. Aanleiding was een motie van Bosma (PVV) omdat de verkiezingssoftware onveilig bleek te zijn.
Processen-verbaal mochten vroeger niet op internet
In het verleden mochten processen-verbaal niet op internet gezet worden omdat deze na drie maanden echt vernietigd moesten worden, zodat er niet over over de uitslag meer gediscussieerd kon worden. Dit zou negatief uitwerken op het vertrouwen in het verkiezingsproces.
Zelf verkiezingsuitslag narekenen
Dat de processen-verbaal van stembureaus op internet gezet moeten worden door gemeentes is een grote stap voorwaarts in transparantie. Bezorgde burgers en politici kunnen nu zelf eenvoudig en laagdrempelig narekenen of OSV hun stemmen wel goed geteld heeft, en er niet met de uitslag gefraudeerd is. Dit raad ik dan ook iedereen met klem aan om te doen, aanzien de optelsoftware oud en onveilig is, en gemeentes niet handmatig willen optellen.
Afwijkingen aan het centraal stembureau doorgegeven
De Kiesraad merkt het volgende op (pdf, pagina 7 en 13) over deze wetswijziging:
- “[..] De Kiesraad wijst erop dat op het moment dat het gemeentelijk stembureau zijn taken vervult, de processen-verbaal van de stembureaus nog niet openbaar zijn. Kiezers kunnen op dat moment dus niet zelf nagaan of deze goed leesbaar zijn of optelfouten bevatten. Kiezers kunnen tijdens de openbare zitting van het gemeentelijk stembureau kortom niet controleren of het gemeentelijk stembureau de stemtotalen correct heeft vastgesteld. Dat kunnen zij pas als het gemeentelijk stembureau zijn werkzaamheden heeft afgerond en de processen-verbaal van het gemeentelijk stembureau en de stembureaus openbaar zijn gemaakt. [..]
Kiezers kunnen tot vierentwintig uur voor aanvang van de openbare zitting van het centraal stembureau waarin het de verkiezingsuitslag officieel vaststelt, bij het centraal stembureau melding maken van vermeende fouten in de openbaar gemaakte en ter inzage gelegde processen-verbaal.”
Vergroting transparantie en controleerbaarheid
Minister Ollongren informeert gemeentes op 11 december 2018 in een circulaire over deze wetswijziging (pagina 9 en 10):
- “[..] Dat nu ook de processen-verbaal N10 en de opgave N11 elektronisch openbaar worden gemaakt, heeft als doel een vergroting van de transparantie en controleerbaarheid van het verkiezingsproces. ledere belangstellende kan op deze manier nagaan hoe de verkiezingsuitslag tot stand is gekomen. [..] Ik attendeer met nadruk op het belang van de digitale openbaarmaking en de terinzagelegging. Ik verzoek u dus dringend om zich strikt te houden aan de nieuwe wettelijke regels. De kiezer wordt daarmee beter in staat gesteld om het proces van uitslagvaststelling te volgen.”
Kiesraad is bewust geworden van digitale dreigingen
De Kiesraad geeft zelf aan een stuk bewuster geworden te zijn van de digitale dreigingen van verkiezingsfraude en hacking. In het jaarverslag over 2018 (pdf) wat de Kiesraad op 4 maart 2019 heeft gepubliceerd staat het volgende:
- “[..] Al een aantal jaren pleit de Kiesraad voor vernieuwing van Ondersteunende Software Verkiezingen (OSV), de software die wordt gebruikt bij kandidaatstelling en uitslagvaststelling. [..]
De minister van Binnenlandse Zaken en Koninkrijksrelaties heeft aangekondigd te streven naar een nieuw proces van uitslagvaststelling en naar nieuwe, daarvoor benodigde, programmatuur in 2021. Met de kanttekening dat de Kiesraad die nieuwe programmatuur graag al eerder had willen hebben, is het van het grootste belang snel de hiervoor benodigde stappen te zetten. Dat kan de Kiesraad niet alleen. [..]
In 2018 werden technische verbeteringen doorgevoerd in de OSV programma’s 4 en 5 in verband met de beveiliging van deze programma’s. Desondanks is geconstateerd dat, mede door de veranderde inzichten over beïnvloeding van verkiezingen door statelijke actoren, de software aan vervanging toe is. Deze software wordt inmiddels ruim negen jaar, voor het eerst bij de Europees Parlementsverkiezing van 4 juni 2009, toegepast in het verkiezingsproces. Het beveiligings- en software-concept waarop de OSV-programma’s is gebaseerd, moet dan ook worden herzien. De Kiesraad en de minister van BZK zijn hierover in overleg.”
Overige verbeteringen
- Ethische hackers van Fox-IT hebben wederom OSV onderzocht. Verbeteringen zijn in OSV doorgevoerd door de leverancier IVU. Dit rapport komt binnenkort online. Begin 2017 heeft Fox-IT ook al een beveiligingsonderzoek op OSV uitgevoerd.
- Op 1 oktober 2018 is oud directeur Fox-IT en cyber-security expert Ronald Prins bij de Kiesraad als lid aangetreden. Dit is een waardevolle aanwinst voor de Kiesraad en biedt hoop voor de toekomst.
Risico’s en dreigingen
Een verkiezing kan kwetsbaar zijn voor manipulatie. Dit wil niet zeggen dat er ook altijd daadwerkelijk misbruik van wordt gemaakt. Daarvoor moet er ook een dreiging zijn. Deze dreiging kan van meerdere kanten komen. Zo kunnen buitenlandse overheden baat hebben bij het manipuleren van Nederlandse verkiezingen, of is het met relatief weinig moeite voor elkaar te krijgen, zoals voor een gemeentelijke systeembeheerder.
De volgende actoren vormen een extra dreiging en risico in de betrouwbaarheid van de verkiezingsuitslag:
- Frauderende gemeentelijke systeembeheerders
Kunnen vrij eenvoudig de verkiezingsuitslag in hun gemeente aanpassen, omdat zij volledige administrator rechten hebben op Windows. Daar kan geen vier-ogen principe voor bedacht worden die sluitend is. - OSV-invoerders
De OSV-invoerders hebben fysiek toegang tot de ruimte waar het OSV-netwerk staat en de OSV-server. In een grote gemeente kunnen dit wel zes tot acht invoerders zijn. Kwaadwillende, omgekochte, of onder druk gezette invoerders kunnen een hardware hacking apparaat met SIM-kaart aansluiten op het netwerk, zodat een hacker via 4G remote kan inbellen op het air-gapped netwerk en de OSV-server hacken. - Vijandige buitenlandse inlichtingendiensten
Vijandige buitenlandse inlichtingendiensten kunnen de Nederlandse politiek naar hun hand willen zetten. Zo wordt bijvoorbeeld Rusland verdacht de Amerikaanse verkiezingen op tal van manieren te hebben beïnvloed in 2016, en meer recent Europese verkiezingen met nepnieuws en het mogelijk lekken van Macron’s e-mails.De gemeentelijke IT-afdeling is geen match voor een well-funded en equipped hackersteam van een buitenlandse inlichtingendienst. Die gaan dat sowieso verliezen. - Ervaren hackersgroep
Een hackersgroep die de air-gap naar het lokale OSV-netwerk weet te overbruggen, door fysiek in te breken en hackdevices (zoals een Raspberry Pi, of LAN Turtle) achter te laten, of door de gemeentelijke infrastructuur vooraf te hacken. En zodoende in opdracht, eventueel betaald, of voor eigen gewin de verkiezingen weet te beïnvloeden.
In 2016 bekende een hacker uitgebreid tegenover Bloomberg dat hij veel geld heeft verdiend door bijna tien jaar lang overal verkiezingen in Latijns America te manipuleren. - Personen die vanuit hun functie toegang hebben tot de centraal stembureaugebouwen
Iedereen die toegang heeft tot het gebouw waar het lokale OSV-netwerk actief is zou zich toegang kunnen verschaffen tot de (afgesloten) vergaderkamer waar de hardware en invoercomputers staan. Zie ook het ‘OSV-invoerders’ scenario. - Optelsoftwareleverancier is gehackt
De Duitse softwareleverancier IVU kan gehackt zijn en de OSV-broncode kan op die manier gecompromitteerd zijn. IVU kan opdracht krijgen van de Duitse overheid om de software heimelijk aan te passen. Medewerkers van IVU kunnen omgekocht of afgeperst worden.
Voor mensen die niet dagelijks in cyber-security werken klinken sommige scenario’s misschien vergezocht. Dit is echter helaas niet het geval.
Waarom handmatig stemtotalen optellen?
Zoals gesteld kan OSV door allerlei partijen gehackt worden. Sinds twee jaar is de beveiliging opgeschroefd en de drempel ligt inmiddels een stuk hoger doordat OSV op een air-gapped netwerk draait. Dat is goed, maar niet voldoende.
Wat moeten we doen?
De oplossing is vrij eenvoudig, maar wel bewerkelijk: stemtotalen met de hand optellen.
1. Gemeentes zouden ten minst op partijniveau de stemtotalen handmatig bij elkaar op moeten tellen.
- Er zou als compromis ook gekozen kunnen worden om de stemtotalen van een vooraf vastgesteld aantal politieke partijen na te rekenen. Dit naar voorbeeld van Gemeente Utrecht die van drie willekeurige partijen de totaaltelling handmatig natelt. De Kieswet schrijft een scherpe deadline voor waarin de uitslag bekend moet zijn. Veel tijd voor handmatig stemtotalen optellen is er ook niet.
- Tijdens een uitgevoerde steekproef vorig jaar in gemeente Utrecht bleek dat het momenteel vier uur tijd kost om voor één politieke partij alle stemtotalen bij elkaar op te tellen van alle 180 stembureaus in Utrecht.
- De tijd van 4 uur kan drastisch verkort worden als goed nagedacht wordt over hoe efficiënt en effectief handmatig getotaliseerd kan worden. Zo staat nu op elk proces-verbaal (N10) de totaaltelling per partij niet op het voorblad. Hierdoor moet er 180 keer gebladerd en gezocht worden naar de juiste bladzijde om de totaaltelling van een partij op te zoeken.
2. Burgers en politici zouden stemtotalen handmatig moeten gaan narekenen
Totdat gemeentes hun verantwoordelijkheid nemen en handmatig gaan totaliseren, kunnen bezorgde burgers en politici de processen-verbaal (N10 en N11) downloaden om te verkiezingsuitslag te controleren: is er gefraudeerd met de optelsoftware?
- Daarnaast is het aan te om te controleren of de digitaal openbaar gemaakte documenten overeenkomen met de ter inzage gelegde stukken op het gemeentehuis. Dit kan tussen 22 en 27 maart. Daarna worden de originele stukken N10 en N11 in een kluis bewaard en na drie maanden vernietigd.
Conclusie
Verbetering en bewustzijn komt langzaam op gang binnen de overheid over de kwetsbaarheid van onze verkiezingen voor hackaanvallen. We zijn er helaas nog niet. Als OSV in de komende verkiezingen gehackt is door bijvoorbeeld een gemeentelijk systeembeheerder, dan komt daar waarschijnlijk niemand achter, tenzij de uitkomst ver afwijkt van gemaakte exit-polls.
Deze situatie is totaal niet acceptabel. Optelsoftware berekent wie ons land mag regeren en gemeentes, de Kiesraad en het ministerie van Binnenlandse Zaken achten het niet noodzakelijk om stemtotalen van politieke partijen handmatig na te rekenen. Dat is behoorlijk naïef, zeker in het licht van de dreiging van Russische inmenging in Amerikaanse en Europese verkiezingen.
Duitsland gebruikt stemoptelsoftware van dezelfde Duitse leverancier als Nederland, alleen zij achter de uitkomst niet betrouwbaar genoeg om definitief de verkiezingen op te baseren. Dat wil wat zeggen. In Duitsland wordt de digitaal berekende uitkomst alleen gebruikt om de handmatig opgetelde stemtotalen te valideren en als voorlopige uitslag. Zo is optelsoftware bedoeld: het versterkt zo de betrouwbaarheid van verkiezingsuitslagen. Nederland slaat deze essentiële handmatige optelling over, met hackbare verkiezingen tot gevolg. Erg onverstandig.
Er is gelukkig nog tijd om alles goed in goede banen te regelen voor komende verkiezingen. De Tweede Kamer moet dan wel snel ingrijpen en minister Ollongren erop aanspreken.
Tot die tijd kunnen bezorgde burgers en politici sinds dit jaar zelf de processen-verbaal (N10 en N11) downloaden van gemeentesites en controleren of de optelsoftware (OSV) niet gehackt is.
BNR Nieuwsradio: wéér onveilige verkiezingen
27 februari 2019 was ik al te gast op BNR Nieuwsradio om te praten over de onveiligheid van de verkiezingen van 20 maart 2019 en wat we er tegen kunnen doen:
Na afloop van het interview bij BNR heb ik de huidige stand van zaken omtrent hackbare verkiezingen verder uitgeschreven in deze weblogpost. Het kan niet zo zijn dat de verkiezingen op 20 maart 2019 wéér ongezien te hacken zijn. Er moet georganiseerd gaan worden dat gemeentes steekproeven gaan nemen om handmatig op partijniveau stemtotalen bij elkaar gaan optellen.
Update 13 maart 2019: Kiesraad reageert bij BNR Nieuwsradio
Vandaag was Ronald Prins van de Kiesraad te gast bij BNR Nieuwsradio om te praten over de stand van zaken omtrent de onveilige stemoptelsoftware:
BNR schrijf op hun website na afloop van het interview:
“De Kiesraad moet meer bevoegdheden krijgen om onder meer te kunnen garanderen dat er niet wordt gesjoemeld met de software die wordt gebruikt bij het tellen van verkiezingsstemmen. Dat zegt Ronald Prins, lid van de Kiesraad, in BNR Digitaal. Prins vindt dat een strengere autoriteit past in de huidige tijd waarin landen operaties uitvoeren om verkiezingen te beïnvloeden.
Prins hint daarmee op een soort ‘Kiesautoriteit’ in plaats van de Kiesraad zoals we die nu hebben. Het Kiesraad-lid heeft er overigens wel vertrouwen in dat eventuele hacks, gesjoemel of beïnvloeding ook nu al tijdig kan worden gesignaleerd. De Kiesraad heeft voor gemeenten beveiligingsrichtlijnen opgesteld, om de software zo veilig mogelijk in te zetten, maar het ontbreekt de Kiesraad aan de bevoegdheid om dat proces te controleren.”
Het ANP heeft dat bericht vervolgens overgenomen.
Mijn eerdere onderzoeken naar hackbare verkiezingen
- 13-03-2018: Security assessment of Dutch election software
- 30-01-2017: How to hack the upcoming Dutch elections – and how hackers could have hacked all Dutch elections since 2009
Bijlage: Berekening van verkiezingsuitslag
Hoe zat het ook alweer? In Nederland verloopt een verkiezing als volgt: er wordt met potlood en papier gestemd in één van de 10.000 stembureaus.
Stembureau (10.000x)
Deze stemmen wordt handmatig geteld door stembureauleden en vastgelegd in een proces-verbaal (N10). Dit proces-verbaal wordt vervolgens naar het gemeentelijk centraal stembureau gebracht, wat regelmatig het stadhuis is. Tot zover het voor iedereen welbekende, transparante en robuuste proces.
Gemeentelijk Centraal Stembureau (355x)
Wat weinig mensen weten, is dat op het Gemeentelijk Centraal Stembureau vervolgens een aantal ambtenaren klaar staan die alle stemmen per partij en voorkeurskandidaat invoeren in het computerprogramma Ondersteunende Software Verkiezingen (OSV).
- Het gemeentelijk centraal stembureau verzamelt alle papieren processen-verbaal (N11) van stembureaus.
- De stemtotalen worden vervolgens elk door twee personen overgetypt in OSV.
- Als alle processen-verbaal (N10) zijn ingevoerd, dan berekent OSV de uitslag voor de gemeente.
- Als alle processen-verbaal (N10) van alle stembureaus zijn overgetypt, dan berekent OSV de uitslag in een gemeente.
- Deze wordt vervolgens geprint (N11) en ondertekend door de voorzitter van het centraal stembureau, wat vaak de burgemeester is.
- De ondertekende uitslag wordt vervolgens naar de Kieskring gebracht waar de gemeente onder valt.
Hoofdstembureau (20x)
In iedere kieskring wordt een hoofdstembureau ingesteld. De hoofdstembureaus moeten de uitslagen van de verschillende gemeentes goed bij elkaar optellen.
- Het hoofdstembureau van een Kieskring verzamelt alle papieren processen-verbaal (N11) van onderliggende gemeentes.
- De stemtotalen worden vervolgens elk door twee personen overgetypt in OSV.
- Als alle processen-verbaal zijn ingevoerd, dan berekent OSV de uitslag voor de Kieskring.
- De uitslag wordt vervolgens geprint (O3) en ondertekend door de voorzitter van het hoofdstembureau en naar het centraal stembureau gebracht.
- Via een openbare zitting wordt kort daarna de uitslag officieel bekendgemaakt, waar ook eventuele bezwaren tegen de uitslag officieel doorgegeven kunnen worden.
Centraal stembureau (12x)
Bij provincies die precies één kieskring vormen treedt het hoofdstembureau tevens als centraal stembureau op. De centraal stembureaus zijn verantwoordelijk voor het vaststellen van verkiezingsuitslagen.
- Voor de Provinciale Staten zijn er twaalf centraal stembureaus ingericht, die elk van onderliggende Kieskringen de uitslag (O3) op papier ontvangen.
- De stemtotalen worden vervolgens elk door twee personen overgetypt in OSV.
- Als alle uitslagen (O3) ingevoerd, dan berekent OSV de uitslag voor de provincie.
- Deze wordt vervolgens geprint en ondertekend door de voorzitter van het centraal stembureau.
- Via een openbare zitting wordt kort daarna de uitslag officieel bekendgemaakt, waar ook eventuele bezwaren tegen de uitslag officieel doorgegeven kunnen worden.
Gemeente Utrecht
Komende verkiezingen zal gemeente Utrecht net als vorig jaar een steekproef houden op de stemtotalen van drie willekeurig gekozen politieke partijen. Van deze drie partijen worden alle stemmen per partij handmatig opgesteld en vergeleken met de uitslag van OSV, om eventuele fraude aan het licht te brengen.
Alle andere gemeentes vertrouwen volledig op de OSV-uitslag zonder handmatig te totaliseren.
