CISA-Wahlplan 2026 nimmt die Lücken zwischen IT-Netzen und Wahlsystemen ins Visier

Die US-amerikanische Cybersecurity and Infrastructure Security Agency hat ihren Sicherheitsplan für die Wahlinfrastruktur 2026 veröffentlicht. Im Mittelpunkt stehen Schwachstellen, durch die der Wahlbetrieb gefährdet werden kann – selbst wenn die eigentliche Wahltechnik isoliert bleibt.

Der Plan befasst sich mit Cyberangriffen, Aktivitäten von Insidern, Verzögerungen beim Einspielen von Software-Updates und physischen Bedrohungen. Außerdem stellt er kostenlose Dienste des Bundes vor, die Wahlverantwortlichen im Wahlzyklus 2026 zur Verfügung stehen.

CISA richtet den Blick nicht nur auf Wahlmaschinen. Wählerdatenbanken, öffentliche Websites zur Wählerregistrierung, E-Mail-Konten in Behörden, Arbeitsplätze von Beschäftigten, Anbieter, Auftragnehmer und Aushilfskräfte können allesamt Zugangswege zu sensiblen Systemen eröffnen.

Mehr als 10.000 Wahlbezirke tragen gemeinsam die Verantwortung für die Sicherheit

In den USA liegt die Hauptverantwortung für die Wahlsicherheit bei den Bundesstaaten und Kommunen. Mehr als 10.000 lokale Wahlbezirke organisieren Wahlen. Dadurch entsteht eine stark dezentralisierte Struktur mit erheblichen Unterschieden bei Personal, Budgets, Technik und dem Reifegrad der Cybersicherheit.

Die Bundesregierung stellt Ressourcen und technische Unterstützung bereit, sichert aber nicht jedes lokale System selbst ab. Heimatschutzminister Markwayne Mullin beauftragte CISA im Juli mit der Ausarbeitung des Plans. In welchem Jahr der Auftrag erteilt wurde, ist nicht bekannt.

CISA-Bewertungen zufolge haben Wahlbehörden häufig Schwierigkeiten mit grundlegender Cyberhygiene und der Behebung von Schwachstellen. Besonders ausgeprägt ist das Problem dort, wo die Wahlinfrastruktur Verbindungen oder Vertrauensbeziehungen zu regulären Netzen von Bundesstaaten, Kommunen, indigenen Stammesverwaltungen und US-Territorien unterhält.

Angreifer müssen möglicherweise nicht direkt in spezialisierte Wahlsoftware eindringen. Der Zugriff auf das E-Mail-Konto oder den Arbeitsplatz eines Beschäftigten könnte als Einstiegspunkt dienen. Von dort aus könnten sie sich im Unternehmensnetzwerk weiterbewegen und Systeme zur Wählerregistrierung oder Wahlverwaltung ins Visier nehmen.

Der Plan nennt weder eine bestimmte Hackergruppe noch eine laufende Kampagne oder einen jüngsten Einbruch. Ausländische Gegner, Hacker und böswillige Insider werden als allgemeine Bedrohungskategorien behandelt.

Zertifizierung macht routinemäßige Updates zum Sicherheitsdilemma

Für Wahltechnik gelten Zertifizierungsanforderungen, die sicherstellen sollen, dass Systeme ordnungsgemäß und zuverlässig funktionieren. Diese Vorgaben können in Konflikt mit der Sicherheit geraten, wenn ein Anbieter nach der Zertifizierung ein Sicherheitsupdate veröffentlicht.

Wird das Update installiert, kann sich die zugelassene Konfiguration ändern. Wird es zurückgehalten, bleibt möglicherweise eine bekannte Schwachstelle offen.

CISA fordert Patch-Management-Verfahren, die mit den Zertifizierungsregeln vereinbar sind. So sollen Sicherheitsupdates zeitnah – bei Bedarf auch in Echtzeit – eingespielt werden können, ohne dass dadurch automatisch die Zertifizierung eines Systems erlischt.

Dabei geht es nicht nur um ein technisches, sondern auch um ein organisatorisches Problem. Wahlbehörden müssen wissen, ob eine Schwachstelle ihre eingesetzte Konfiguration betrifft, ob ein Patch verfügbar ist und ob dessen Installation den zertifizierten Status des Systems verändert. Verzögerte oder unvollständige Informationen von Anbietern können jeden dieser Schritte erschweren.

Softwareanbieter sollten daher:

• Sicherheitslücken mit CVE-Kennungen versehen.
• Kunden umgehend informieren, wenn Quellcode gestohlen oder offengelegt wurde.
• Sicherheitsvorfälle den zuständigen Behörden melden.
• Für jedes Produkt eine Software Bill of Materials bereitstellen.
• Klar über die Betroffenheit durch Schwachstellen und den Status von Patches informieren.

Der Plan nennt weder Anbieter, Produkte, Software-Builds noch betroffene Versionen. Auch enthält er keine CVE-Kennung, keinen CVSS-Wert, keine formale Schweregradbewertung, keine Umgehungslösung und keine produktspezifischen Indicators of Compromise.

Es handelt sich nicht um einen Hinweis zu einem Eintrag im Katalog der von CISA bekannten, aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV). Weder ein Aufnahmedatum noch eine Frist zur Behebung durch Bundesbehörden werden genannt, denn der Plan befasst sich mit systemischen Risiken für die Wahlsicherheit und nicht mit einer einzelnen bestätigten Software-Schwachstelle.

Wählerdatenbanken bleiben ein attraktives Angriffsziel

Nach Angaben von CISA haben Angreifer in allen 50 Bundesstaaten versucht, in Wählerregistrierungssysteme einzudringen. In mindestens 20 Bundesstaaten waren sie erfolgreich. Die Einschätzung stützt sich auf Berichte aus den vergangenen zehn Jahren; welche Bundesstaaten betroffen waren, wer die Angreifer waren, welche Methoden sie einsetzten und wann die Vorfälle stattfanden, ist nicht bekannt.

Wählerdatenbanken sind wertvoll, weil sie die Datensätze enthalten, anhand derer die Wahlberechtigung und der zuständige Wahlort ermittelt werden. Ein unbefugter Zugriff könnte Änderungen an diesen Daten ermöglichen oder den Wahlbetrieb beeinträchtigen.

Öffentlich zugängliche Dienste schaffen eine zusätzliche Angriffsfläche. Online-Portale zur Wählerregistrierung und Dienste zur Suche nach dem eigenen Wahllokal müssen Anfragen aus dem Internet entgegennehmen. Die zentrale Wählerdatenbank hingegen muss deutlich stärker geschützt werden.

CISA empfiehlt, diese öffentlichen Dienste von der maßgeblichen Datenbank zu trennen. Ein Angriff auf eine von außen erreichbare Website sollte keinen direkten Zugriff auf die zugrunde liegenden Datensätze ermöglichen.

Zu den empfohlenen Schutzmaßnahmen gehören:

• Mehr-Faktor-Authentifizierung für Datenbanken und administrative Zugriffe.
• Berechtigungen nach dem Prinzip der geringsten Rechte für Beschäftigte, Auftragnehmer und Dienstleister.
• Netzwerküberwachung, die ungewöhnliche Aktivitäten erkennen kann.
• Aufbewahrung wichtiger Sicherheitsprotokolle für mindestens ein Jahr.
• Trennung öffentlicher Anwendungen von den zentralen Wählerregistrierungssystemen.

Der Plan enthält keine konkreten Protokollabfragen, bösartigen IP-Adressen, Dateihashes, Domains oder sonstigen Erkennungsmerkmale. Wahlbehörden müssen sich daher auf Verhaltensanalysen, regelmäßige Überprüfungen von Zugriffsrechten und Telemetriedaten aus ihrer eigenen Umgebung stützen.

Zu Insidern zählen Aushilfskräfte, Auftragnehmer und Anbieter

Im Wahlbetrieb arbeiten nicht nur dauerhaft bei Behörden beschäftigte Personen. Saisonkräfte, Aushilfen, ehrenamtliche Wahlhelfer, Auftragnehmer und Technologieanbieter können ebenfalls mit Geräten umgehen oder Zugang zu sensiblen Abläufen erhalten.

Ein Teil dieses Personals wird möglicherweise weniger gründlich überprüft als fest angestellte Beschäftigte. In arbeitsintensiven Wahlzeiten kann der Zugang außerdem schnell ausgeweitet werden, wodurch einheitliche Identitätsverwaltung und angemessene Aufsicht schwieriger werden.

Ein böswilliger Insider könnte versuchen, Wählerregistrierungsdaten, Stimmzetteldefinitionen, Einstellungen zur Stimmenauszählung oder gemeldete Ergebnisse unbefugt zu ändern. Auch versehentliche Handlungen stellen ein Risiko dar: Beschäftigte könnten auf Phishing hereinfallen, nicht zugelassene Wechseldatenträger anschließen, Geräte unsachgemäß behandeln oder Zugangsdaten offenlegen.

CISA empfiehlt ein dokumentiertes Programm zum Umgang mit Insider-Risiken, statt sich allein auf informelle Aufsicht zu verlassen. Bestehende Verfahrenssicherungen können ein solches Programm unterstützen. Dazu zählen die gemeinsame Handhabung von Stimmzetteln durch Vertreter beider Parteien, Beobachter bei der Auszählung und eine lückenlose Dokumentation der Beweismittelkette.

Technische Maßnahmen sollten diese Vorkehrungen ergänzen. Zugriffsrechte nach dem Prinzip der geringsten Rechte, starke Authentifizierung, detaillierte Protokollierung und die umgehende Deaktivierung nicht mehr benötigter Konten schränken ein, was einzelne Personen unbemerkt tun können.

Papierstimmzettel und manuelle Prüfungen nach der Wahl bieten eine zusätzliche Absicherung. Sie schaffen Belege, die unabhängig von elektronischen Aufzeichnungen und der maschinellen Auszählung überprüft werden können.

Bombendrohungen machen den Großteil der gemeldeten physischen Vorfälle aus

Der Plan befasst sich nicht nur mit Cybersicherheit. Von 107 wahlbezogenen Sicherheitsvorfällen, die seit Januar 2022 anhand öffentlich zugänglicher Berichte erfasst wurden, entfielen 96 auf Bombendrohungen.

Die Zahl zeigt, warum die Sicherheitsplanung für Wahlen neben der Netzwerksicherheit auch Gebäude, Personal, den Transport von Geräten, Kommunikation und Notfallverfahren berücksichtigen muss. Selbst wenn eine Drohung die Wahltechnik nicht beschädigt, kann sie die Stimmabgabe oder Auszählung unterbrechen und Beschäftigte wie Wähler gefährden.

Der Plan schlüsselt die übrigen Vorfälle nicht auf und enthält keine detaillierten Angaben zu den Bombendrohungen. Auch nennt er keine Täter und stellt keinen Zusammenhang mit einer gemeinsamen Kampagne her.

Physische Sicherheitsmaßnahmen und Cyberverfahren müssen aufeinander abgestimmt sein. Eine Evakuierung kann beispielsweise verändern, wer Zugang zu Geräten hat, oder die üblichen Kontrollen der Beweismittelkette unterbrechen. Notfallpläne müssen gewährleisten, dass diese Kontrollen auch unter Druck bestehen bleiben.

Kostenlose CISA-Dienste helfen, Schwachstellen vor Angreifern aufzudecken

Für den Wahlzyklus 2026 unterstützt CISA eine kostenlose Plattform zum Informationsaustausch für Fusionszentren sowie Wahlverantwortliche auf Ebene der Bundesstaaten und Kommunen. Über die Plattform können sich Fachkollegen und Partner auf Bundesebene nahezu in Echtzeit austauschen.

Nach Angaben von CISA kam dieses Modell bei der FIFA-Fußball-Weltmeisterschaft 2026 erfolgreich zum Einsatz. Für Wahlbehörden könnte ein solcher Kanal die Weitergabe von Warnungen zu verdächtigen Aktivitäten, wiederkehrenden Angriffsmustern und betrieblichen Bedrohungen zwischen verschiedenen Wahlbezirken beschleunigen.

Die Behörde bietet außerdem Schwachstellenscans, Scans von Webanwendungen, kontinuierliche Penetrationstests sowie umfassendere Risiko- und Schwachstellenbewertungen an. Ködersysteme und Canary Tokens können dabei helfen, unbefugte Zugriffe oder Bewegungen innerhalb eines Netzwerks zu erkennen.

Wahlverantwortliche sollten sich zunächst auf einige unmittelbare Maßnahmen konzentrieren: Verbindungen zwischen Büronetzwerken und Wahlinfrastruktur erfassen, privilegierte Zugriffe überprüfen, Mehr-Faktor-Authentifizierung durchsetzen, die Aufbewahrung von Protokollen sicherstellen und öffentliche Dienste zur Wählerregistrierung von den maßgeblichen Datenbanken trennen.

Außerdem sollten sie festlegen, wie Notfall-Patches geprüft werden können, damit sie nicht zwischen Zertifizierungsvorgaben und einer akuten Gefährdung aufgerieben werden. Verträge mit Anbietern sollten eine zeitnahe Offenlegung, klare Angaben zum Patch-Status, die Meldung von Sicherheitsvorfällen und eine SBOM vorschreiben.

Die im Zusammenhang mit dem Plan veröffentlichten Erkenntnisse beschreiben allgemeine Risiken und liefern keine Belege für einen landesweiten Angriff, der derzeit im Gange ist. Die Herausforderung ist struktureller Art: Tausende unabhängig organisierte Wahlbezirke müssen unter engen Fristen vernetzte Technologien, öffentliche Dienste, sensible Daten und eine große Zahl temporärer Arbeitskräfte schützen.