# Bürgerabstimmung Digitale Bürgerbeteiligung mit dem Personalausweis. Die gesamte Anwendung ist **eine einzige Datei**: `index.php`. Kein Framework, kein Composer, keine externen Dienste, keine Aufrufe zu Dritten. Konzept, Fachlogik und die ehrlichen Grenzen stehen im [Whitepaper](whitepaper.md). > **Testbetrieb:** Im Auslieferungszustand läuft die Anwendung im Testmodus und > zeigt auf jeder Seite ein Banner „Testbetrieb – keine offizielle Seite der > Bundesregierung oder einer Behörde.“ Der Testmodus ist keine Variable im > Quelltext, sondern ein Zustand der Installation, und wird über die Oberfläche > beendet. --- ## Installation 1. `index.php` in das Webverzeichnis legen — Hauptverzeichnis oder Unterordner, der Basispfad wird erkannt. 2. **PHP 8.0 oder neuer** mit `pdo_sqlite`, `mbstring` und `sodium`. Alle drei gehören zur Standardausstattung jedes Hosters. 3. Seite aufrufen. Beim ersten Aufruf legt die Datei selbst an: - `data/` — SQLite-Datenbank, Server-Geheimnis, Signaturschlüssel, Protokolle und eine eigene `.htaccess`, die den Ordner sperrt - `.htaccess` — saubere Adressen und Schutz interner Dateien - `robots.txt` Mehr ist nicht nötig: **Apache und diese Datei.** Was in `data/` liegt oder im Betrieb dort entsteht (einiges erst bei Bedarf): | Datei | Inhalt | |---|---| | `buergerabstimmung.sqlite` | die Datenbank (Name aus der Entwicklung, ohne Bedeutung) | | `secret.key` | Server-Geheimnis für die Stimmen-Marker — **niemals** herausgeben | | `server_sign.key` | Signaturschlüssel für die profil.yaml | | `authorized_keys.yaml` | freigegebene öffentliche Ausweis-Schlüssel | | `config.yaml` | Einstellungen aus der Einrichtung (0600) | | `setup.token` | Einrichtungsschlüssel, nach dem Umschalten gelöscht | | `test_keys.list` | im Testbetrieb erzeugte Schlüssel, für das Aufräumen | | `issued/` | private Schlüssel ausgegebener Demo-Ausweise | | `app.log` | Sicherheitsprotokoll ohne Personenbezug | | `php-error.log` | PHP-Fehlerprotokoll, sobald etwas anfällt | Der ganze Ordner ist über eine eigene `.htaccess` gesperrt und die Anwendung beantwortet Anfragen darauf nicht — unter nginx ist die Sperre selbst zu setzen (siehe unten). Meldet die Seite „Fast geschafft“, fehlen dem Verzeichnis Schreibrechte — per FTP auf 755 oder 775 setzen und neu laden. **nginx statt Apache:** Ohne `.htaccess` arbeitet die Anwendung über automatisch erzeugte `/index.php/…`-Adressen weiter. Für saubere Adressen eine gleichwertige Regel setzen und **`/data/` serverseitig sperren**: ```nginx location /data/ { deny all; return 404; } location / { try_files $uri /index.php$is_args$args; } ``` --- ## Vom Testbetrieb in den Echtbetrieb Beim ersten Start ist der **Testmodus** aktiv. Die Anmeldeseite zeigt dann genau einen Knopf („Test-Anmeldung starten“), der eine zufällige, als gültig behandelte Sitzung erzeugt; Ausweis-Aufforderungen entfallen. So lässt sich die Plattform vorführen, ohne einen Ausweis zu benötigen. Angemeldet steht oben rechts der Chip **„Testmodus“**. Er führt auf `/setup` — **Echtbetrieb einrichten**: 1. **Voraussetzungen prüfen** — Datenverzeichnis beschreibbar, HTTPS aktiv, `sodium` vorhanden, Zugriffsschutz gesetzt, Anzahl freigegebener Ausweis-Schlüssel. 2. **Zugang festlegen** — entweder **eigener eID-Server** (BSI TR-03130) oder **eigene Trust-Liste**. Erfasst werden SOAP-Adresse, Client-Zertifikat und -Schlüssel, die Aktivierungsadresse der Ausweis-App, die Abgleich-Adresse der Freigabeliste und die Startadresse von Nect. Ein Knopf **prüft die Verbindung**, bevor irgendetwas verändert wird. 3. **Umschalten** — erst bei gültigen Eingaben und passendem **Einrichtungsschlüssel** werden die Einstellungen nach `data/config.yaml` (Rechte 0600) geschrieben, alle Testdaten gelöscht und der Echtbetrieb dauerhaft aktiviert. Die Verbindungsprüfung ist dabei nur auf dem eID-Server-Weg zwingend; auf dem Weg über die eigene Trust-Liste wird kein Server kontaktiert. Der **Einrichtungsschlüssel** steht in `data/setup.token` und ist nur über Dateizugriff oder `php index.php setup-token` lesbar. Damit kann nur umschalten, wer den Server betreibt — im Testbetrieb erzeugt sich sonst jeder per Knopfdruck eine Sitzung. Nach dem Umschalten wird die Datei gelöscht und `/setup` ist zu. Beim Umschalten werden nur die **im Testmodus erzeugten** Schlüssel aus der Freigabeliste entfernt; ausgegebene oder abgeglichene Ausweise bleiben erhalten. Danach zeigt die Anmeldeseite die Ausweis-Apps. **Eine Einschränkung, die man kennen muss:** Auf dem Weg über die eigene Trust-Liste (`eid_mode = demo`) erscheint zusätzlich der Knopf „Ausweis auflegen“, sobald in der Sitzung bereits ein freigegebener Schlüssel liegt — etwa nach dem Öffnen eines `/claim/`-Links aus `php index.php issue-card`. Dieser Weg ist für die Ausgabe von Demo- und Pilot-Ausweisen gedacht; wer ihn nicht will, setzt beim Umschalten `eid_mode = eid`. --- ## Anmeldung mit dem Ausweis - **AusweisApp direkt eingebunden (BSI TR-03124).** Der Knopf leitet den Browser auf die Aktivierungsadresse des eID-Clients (`http://127.0.0.1:24727/eID-Client?tcTokenURL=…`). Die AusweisApp fängt diese Adresse ab — am PC wie am Smartphone — und holt das **tcToken** unter `/eid/tctoken`. Dieser Teil braucht **keine Konfiguration**. Weil die App das Token als eigener HTTP-Client **ohne Browser-Cookie** holt, verbindet ein Einmal-Nonce in der tcTokenURL beide Seiten (10 Minuten gültig). - **Ohne eingerichteten eID-Server** liefert das tcToken bewusst nur eine `CommunicationErrorAddress`: Die App bricht sauber ab, der Browser kommt zurück, **angemeldet wird niemand**. - **Wichtig:** Der Rücksprung `/eid/callback` ist in dieser Fassung noch **nicht ausgeprägt** — er weist grundsätzlich ab. Über die Ausweis-Apps kommt daher aktuell **niemand hinein**, auch mit eingerichtetem eID-Server nicht. Was fehlt, ist die Prüfung der signierten Zusicherung des eID-Servers und die Entnahme der geprüften Kennung. **Nect Wallet** ist als zweiter Anbieter konfigurierbar und endet an derselben Stelle. - **Nur freigegebene Ausweise.** Anmelden kann sich nur, wessen öffentlicher Schlüssel in `data/authorized_keys.yaml` steht **und** wer den passenden privaten Schlüssel besitzt (Signatur-Challenge). Die Identität ist der öffentliche Schlüssel selbst — kein abgeleitetes Pseudonym. - **Zeitfenster:** Der Anmeldenachweis gilt nur kurz — 5-Minuten-Fenster, höchstens zwei; danach ist erneutes Auflegen nötig. **Im Testbetrieb ist diese Prüfung abgeschaltet**, dort greifen nur die Sitzungs-Timeouts (30 Minuten Leerlauf, 8 Stunden absolut). > **Ehrlich zur eID:** In Deutschland gibt es **keine** staatliche Liste aller > Ausweis-Schlüssel und keine API, die sie liefert. Echte Prüfung läuft über die > BSI-Zertifikatskette (TR-03110) in einem eID-Server, und ein Ausweis-Chip ist > nur mit der AusweisApp und PIN lesbar — kein Browser kann das. Die Freigabeliste > ist der Platzhalter für genau diese Vertrauensprüfung, `sync-keys` der > Anschlusspunkt für eine eigene Trust-Liste. Kein Griff in ein Behördenregister. --- ## Was die Seite kann - **Eine Seite.** Thema einbringen und Suche öffnen je ein eigenes Fenster; darunter Merkzettel-Chips, die Gruppe „kürzlich abgestimmt (noch änderbar)“ und die Themenliste. `/` , `/topics` und `/me` führen auf dieselbe Seite. In der Kopfzeile steht rechts „Abmelden“, im Testbetrieb zusätzlich der Chip „Testmodus“ und bei anstehender Jury-Aufgabe ein Hinweis darauf. - **Ein Thema pro Tag** je Ausweis; das nächste ab Mitternacht. - **Geltungsbereich** ohne Freitext. Mit JavaScript in drei Stufen (Ebene → Land → Kreis); ohne JavaScript bleibt die einfache Auswahlliste mit allen rund 400 Kreisen stehen. - **Ende der Abstimmung — Datum, Zielwert oder beides.** Zwei Haken: „an einem Datum“ und „bei erreichter Stimmenzahl“ (Einheit *X Stimmen* oder *% Stimmen*). Beides zusammen ist erlaubt — es endet, was zuerst eintritt. - **Abstimmen dafür/dagegen**, neutral heißt nicht abstimmen. Die eigene Stimme ist 24 Stunden änderbar, danach fest. Der Zustand steht in den Knöpfen: beide grau, die gewählte Seite blau solange änderbar, danach blass-blau gegen abgedunkelt und nicht mehr bedienbar. - **Zahlen aktualisieren sich ohne Neuladen** — ein schlanker JSON-Endpunkt, alle zwölf Sekunden und beim Zurückkehren auf den Tab. Ohne JavaScript bleibt der gerenderte Stand stehen. - **Themen werden nie gelöscht.** Ein Thema ohne Stimmen kann der Verfasser **archivieren**: es verschwindet aus Listen und Suche, bleibt aber unter seiner Adresse erhalten. Ab der ersten Stimme entfällt auch das. - **Gleiche Titel sind erlaubt, aber sichtbar** — das Formular zeigt beim Tippen ähnliche Themen, die Themenseite listet sie unter „Ähnliche Themen“. - **Drei Symbole oben rechts am Thema**, auf einer Höhe mit den Schildern für Kategorie und Gebiet: - **Lesezeichen** — merken: dieses Thema, seine Kategorie, sein Gebiet - **Archivbox** — archivieren; nur für den Verfasser und nur solange noch niemand abgestimmt hat - **rote Flagge** — melden; nicht für den Verfasser und nicht bei beendeten Themen. Läuft bereits eine Meldung, steht die Flagge unterlegt und ohne Funktion da. - **Themen lassen sich nicht bearbeiten.** Was eingebracht ist, bleibt wie es ist — eine stille Umdeutung nach bereits abgegebenen Stimmen ist damit ausgeschlossen. Wer sich vertan hat, archiviert (solange noch keine Stimme da ist) und bringt das Thema neu ein. - **Ohne JavaScript** funktionieren Anmeldung, Themen, Abstimmen, Melden und Jury vollständig. JavaScript ergänzt Countdown, NFC-Auslösung, die stufige Bereichsauswahl, die Live-Zahlen und den Duplikat-Hinweis — und ist für die Selbstauskunft `profil.yaml` derzeit **erforderlich**. - **Melden nur bei Gesetzesverstoß.** Ein Suchfeld führt zum eingebauten Gesetzesregister, der gewählte Paragraph wird **1:1 zitiert** und der Jury wortgleich vorgelegt. - **Bürger-Jury:** 1 % der Nutzerschaft wird per Los gezogen (mindestens 5), Quorum 0,5 % (mindestens 3), 24 Stunden Frist, 3 Tage Karenz. Melder, Verfasser und laufende Jurorinnen sind ausgeschlossen. - **Deutsch und Englisch**, gewählt beim Sitzungsbeginn, nirgends gespeichert. - **Hell und dunkel** folgen der Systemeinstellung. --- ## Adressen | Pfad | Zweck | |---|---| | `/start` | Sprachwahl beim Sitzungsbeginn (erster Aufruf landet hier) | | `/auth` | Anmeldung mit dem Ausweis | | `/` , `/topics` , `/me` | die Hauptseite | | `/topic/{id}` | ein Thema | | `/topic/{id}/archive` | archivieren (nur Verfasser, nur ohne Stimmen) | | `/vote` , `/favorite` | Stimme, Merkzettel (POST) | | `/report/{id}` , `/report` | melden | | `/jury` , `/jury/vote` | Jury-Aufgabe | | `/setup` , `/setup/check` , `/setup/finish` | Echtbetrieb einrichten (nur im Testbetrieb) | | `/eid/start` , `/eid/tctoken` , `/eid/callback` | Ausweis-App | | `/claim/{handle}` | Demo-Ausweis in die Sitzung laden | | `/tap` , `/logout` , `/lang` | anmelden, abmelden, Sprache (POST) | | `/profil.yaml` | verschlüsselte Selbstauskunft | | `/server.pub` | öffentlicher Prüfschlüssel für die Selbstauskunft | | `/api/topics` , `/api/similar` | JSON für Live-Zahlen und Duplikat-Hinweis | | `/imprint` , `/privacy` | Impressum, Datenschutz | | `/a/app.css` , `/a/app.js` , `/a/icon.svg` | Oberfläche | | `/favicon.ico` , `/favicon.png` , `/apple-touch-icon.png` | Icons | | `/robots.txt` | verbietet die Indexierung | | `/data/…` | wird immer mit 404 beantwortet | --- ## Kommandozeile ```bash php index.php selftest # 122 automatisierte Prüfungen der Fachregeln php index.php cron # Wartungslauf (sonst beiläufig bei Seitenaufrufen) php index.php seed 400 # Demo-Stimmen, anonym wie im Echtbetrieb php index.php jurysim # Demo-Jury stimmt in laufenden Prüfungen ab php index.php issue-card 3 # autorisierte Demo-Ausweise samt Abhol-Verweis php index.php sync-keys # Freigabeliste aus der konfigurierten Trust-Liste php index.php setup-token # Einrichtungsschlüssel für die Umschaltung php index.php config # wirksame Einstellungen aus data/config.yaml php -S 127.0.0.1:8080 index.php # lokale Vorführung ohne Webserver ``` Für den Wartungslauf genügt eine Cron-Zeile; ohne sie läuft er beiläufig mit: ```cron */5 * * * * php /var/www/html/index.php cron >/dev/null 2>&1 ``` --- ## Sicherheit - Ausschließlich Prepared Statements, durchgängiges Output-Escaping - CSP `default-src 'none'` ohne `unsafe-inline`; CSS, JavaScript und Icons liefert die Datei selbst als eigene Routen aus. Keine Inhalte von Dritten, keine Tracker, keine CDN - Einmal-Token für **jede** POST-Anfrage — deckt CSRF ab und verhindert Replay - Jede Änderung läuft über einen **versiegelten, zeitgebundenen Umschlag**: die Karte versiegelt die Aktion, der Server öffnet mit dem öffentlichen Schlüssel - **Stimmen ohne Ausweis-Bezug gespeichert** — nur ein HMAC aus Thema und öffentlichem Schlüssel mit Server-Geheimnis. Ohne dieses Geheimnis lässt sich nicht rückschließen, welcher Ausweis wie gestimmt hat; Doppelstimmen bleiben ausgeschlossen - **profil.yaml** wird bei jedem Seitenaufruf frisch angefordert, an den öffentlichen Ausweis-Schlüssel verschlüsselt und servergegengezeichnet (Prüfschlüssel unter `/server.pub`); „Abmelden“ löscht sie - Sitzungen: HttpOnly, SameSite, ID-Rotation, Idle- und Absolut-Timeout - Kernregeln zusätzlich als DB-Constraints: 1 Thema/Tag, 1 Stimme/Thema, 1 offene Meldung/Thema, 1 Jury-Sitz/Meldung - Jury-Losverfahren mit CSPRNG, Ratenbegrenzung ohne Klar-IP-Speicherung - Keine Klaridentitäten, keine Passwörter, keine externen Abhängigkeiten --- ## Vor einem echten Betrieb - **Die Datenschutzerklärung sagt derzeit drei Dinge, die nicht stimmen.** `/privacy` behauptet (a) es werde „ausschließlich ein Pseudonym (Hash mit serverseitigem Geheimnis)“ gespeichert — tatsächlich ist die Kennung der öffentliche Ausweis-Schlüssel selbst; (b) es werde „nichts im Browser gespeichert“ — die `profil.yaml` liegt im `sessionStorage`; (c) das Konto lasse sich „jederzeit in ‚Meine Übersicht‘ löschen“ — diese Seite und dieser Knopf existieren nicht. **Das ist vor jedem öffentlichen Betrieb zu korrigieren**, es sind Falschangaben gegenüber Nutzern. - **Impressum füllen.** `/imprint` enthält nur einen Platzhalter (`*`) und ist mit den Pflichtangaben des Betreibers zu ersetzen. - **Selbstauskunft ohne JavaScript ermöglichen** und einen Weg zur **Konto-Löschung in der Oberfläche** ergänzen — die Routine `account_delete` existiert, hat aber keine Schaltfläche. Ohne beides ist die DSGVO nicht erfüllt. - **Den Rücksprung `/eid/callback` ausprägen** — ohne ihn führt kein Ausweis-App-Weg zu einer Anmeldung. - **`data/` außerhalb des Webroots legen.** Datenbank und Geheimnisse liegen derzeit im Webroot und sind nur durch `.htaccess` und eine 404-Regel der Anwendung geschützt. - **Gesetzestexte** wortgleich gegen gesetze-im-internet.de abgleichen. - **Gebietsverzeichnis** (16 Länder, rund 400 Kreise) gegen das amtliche Verzeichnis (ARS/Destatis) abgleichen. - **Externes Sicherheits-Audit und Pentest**, Datenschutz-Folgenabschätzung, Barrierefreiheit nach BITV. - Die Seite ist **kein Wahlsystem** und darf nicht als solches bezeichnet werden. Sie hat keine Rechtsverbindlichkeit.