Vote électronique

Falsch. Der Schutz des Stimmgeheimnisses ist auch beim E-Voting gewahrt, so wie es die Bundesverfassung und das Gesetz vorschreiben. Die Behörden müssen wissen, wer abstimmt, aber sie dürfen nicht wissen, wie Einzelne abgestimmt haben. Um das Stimmgeheimnis zu gewährleisten, gibt es beim E-Voting spezielle technische Verfahren. Und nur diese Systeme bekommen eine Bewilligung des Bundesrats.

Bevor die elektronischen Stimmen entschlüsselt werden, wird beim «kryptografischen Mischen» die Identität der Stimmberechtigten von der Stimme getrennt. Es ist ausgeschlossen, dass diese Informationen später wieder zusammengesetzt werden können. Die Entschlüsselung und Auszählung der Stimmen erfolgt erst am Abstimmungssonntag durch die Mitglieder einer offiziellen Wahlkommission. Die Schlüssel sind auf verschiedene Personen verteilt, nur zusammen können sie die elektronische Urne entschlüsseln. Für die Entschlüsselung werden mehrere Computer eingesetzt, darunter auch solche, welche nie ans Internet angeschlossen werden. Das ist vergleichbar mit der der Auszählung von Papierstimmzetteln, bei welcher auch viele Personen mitarbeiten.

Auch wenn einer oder mehrere der Computer, aus denen die E-Voting-Systeme bestehen, wirklich manipuliert wären: Solange nur einer von den vielen Computern korrekte Beweise führt, kann jeder Manipulationsversuch aufgedeckt werden. Für alle Schritte generieren die Computer Beweise, die aufzeigen, ob der Urnengang korrekt verlaufen ist. Behörden, deren Fachexperten sowie Vertreter der Stimmberechtigten können sich die Beweise am Ende ansehen. Wenn alle Beweise stimmen, dann sind erfolgreiche Manipulationen ausgeschlossen. Auch weil die Aufgaben eines Urnengangs auf viele verschiedene Computer und verschiedene Personen verteilt sind, ist E-Voting gegen Fehler und Manipulationen sehr gut geschützt. 

Falsch. Die Sicherheit der Systeme hat höchste Priorität. Seit der Einführung von E-Voting in der Schweiz (Projektstart im Jahre 2000) gilt stets „Sicherheit vor Tempo“. Der Bund lässt nur E-Voting-Systeme zu, die die hohen bundesrechtlichen Sicherheitsanforderungen erfüllen. Die Nichteinhaltung der Anforderungen führt dazu, dass Systeme nicht zugelassen werden.

Diese Sicherheitsanforderungen sind mit Vertretern aus Wissenschaft und Technik abgestimmt. Die sicherheitstechnischen Anforderungen an E-Voting sind dynamischer Natur, Entwicklungen fliessen in die Zulassungsbedingungen ein. So wird die Offenlegung des Quellcodes zum neuen Bewilligungserfordernis ab 1. Juli 2018, und es ist vorgesehen, dass die Systeme einen öffentlichen Intrusionstest durchlaufen. Zudem müssen die Systeme regelmässig und wiederholt überprüft werden (unabhängige Überprüfung und Zertifizierung durch spezialisierte Stellen).

Die elektronische Stimmabgabe lässt sich wirksam vor unbemerkten Manipulationen schützen. Gestützt auf spezielle kryptografische Verfahren bietet die Verifizierbarkeit Transparenz über den korrekten Ablauf des Urnengangs, dies unter Wahrung des Stimmgeheimnisses. Mit der Verifizierbarkeit ist sichergestellt, dass Manipulationen entdeckt werden.

Manipulationsversuche lassen sich nicht verhindern. Mit der individuellen Verifizierbarkeit ist aber sichergestellt, dass die Stimmberechtigten mit den ihnen zugestellten Codes allfällige Manipulationsversuche während des Abstimmungsvorgangs erkennen können. Sie haben dann die Möglichkeit, ihre Stimmen brieflich oder an der Urne abgeben zu können. Mit der vollständigen Verifizierbarkeit kann mit mathematischen Verfahren über den gesamten Urnengang bewiesen werden, ob eine Manipulation stattgefunden hat oder nicht. Es ist also nicht möglich, dass eine Stimme unbemerkt von einem Dritten geändert wird.

Die Benutzerfreundlichkeit orientiert sich zum einen an den genannten Sicherheitsbedürfnissen. Die Stimmberechtigten benötigen für die elektronische Stimmabgabe verschiedene, für sie individuell generierte Codes. Die verschiedenen Codes dienen der Sicherheit beim E-Voting. Sie sind einerseits für das Log-in notwendig. Andererseits können die Stimmberechtigten die korrekte Übermittlung und Speicherung ihrer Stimme mit den erhaltenen Codes prüfen. Korrekt angezeigte Prüfcodes aus der individuellen Verifizierbarkeit bestätigen den Stimmberechtigten, dass ihre Stimme im System korrekt registriert wurde. Diese Codes werden weiterhin auf einem von der IT unabhängigen Weg – per Post – zugestellt und sind daher nicht manipulierbar. Die physische Zustellung der Codes gilt demnach als ein Sicherheitselement unter vielen beim E-Voting.

Das elektronische Abstimmen und Wählen ist gleichzeitig aber auch so auszugestalten, dass die Stimmabgabe nicht mit einer Online-Umfrage verwechselt wird. Mit einem „Mausklick“ ist es also bewusst nicht getan. 

Falsch. Die Mitsprache von Politik und Bevölkerung beim E-Voting war und ist stets gewährleistet. Die örtlich, zeitlich und sachlich begrenzten Versuche mit der elektronischen Stimmabgabe sind in Artikel 8a des Bundesgesetzes über die politischen Rechte (BPR; SR 161.1) geregelt. Die Schaffung von formell-gesetzlichen Grundlagen untersteht dem fakultativen Referendum. Im Rahmen der ordentlichen demokratischen Prozesse können die Stimmberechtigten also mitwirken. Auch auf Stufe Kantone sind gesetzliche Grundlagen geschaffen worden und entsprechende finanzielle Mittel waren respektive sind durch die Parlamente zu beschliessen. Auch das eidgenössische Parlament begleitet das Projekt Vote électronique seit Beginn aktiv.  

Soll E-Voting vom Versuchs- in den ordentlichen Betrieb überführt werden, braucht es eine Änderung des BPR. Bevor das Parlament diese Änderung berät, braucht es eine Vernehmlassung. Eine solche ist für die 2. Hälfte 2018 vorgesehen. Die Gesetzesrevision ist nach Abschluss der Beratung in den eidgenössischen Räten dem fakultativen Referendum unterstellt, sodass auch hier die Stimmberechtigen im Falle einer Abstimmung das letzte Wort hätten. Den Kantonen bliebe weiterhin freigestellt, ob sie die elektronische Stimmabgabe anbieten oder nicht.

Falsch. In Estland ist die elektronische Stimmabgabe seit Jahren etabliert. Frankreichs Präsident Macron hat im Oktober 2017 angekündigt, E-Voting im Hinblick auf die nächsten Wahlen ermöglichen zu wollen.

Es ist richtig, dass einige Länder entschieden haben, E-Voting nicht einzuführen. Andere Staaten haben laufende Projekte gestoppt. Die Gründe dafür sind von Land zu Land unterschiedlich und abhängig von der Ausgangslage im Bereich der politischen Rechte. In der Schweiz ist dank langjähriger Erfahrung mit der brieflichen Stimmabgabe zum Beispiel etabliert und akzeptiert, dass die Stimmabgabe in einer nicht behördlich kontrollierten Umgebung, sondern im privaten Bereich stattfindet. In anderen Staaten, welche die briefliche Stimmabgabe nicht kennen, bedeutet E-Voting einen weit grösseren Paradigmenwechsel und das Risiko beispielsweise von Stimmenkauf wird höher eingestuft. Die politischen Voraussetzungen für die Einführung von E-Voting sind ebenfalls sehr unterschiedlich, wenn man bedenkt, dass in der Schweiz Urnengänge mehrere Male pro Jahr stattfinden, im Ausland möglicherweise nur alle vier Jahre.

Nein. Für den Beitrag wurde ein gefälschtes Stimmportal ins Internet gestellt, das dem echten Stimmportal ähnlich ist. Stimmen, die über das gefälschte Portal abgegeben werden, könnten dort einem Angriff ausgesetzt sein. Dazu müssten die Stimmenden jedoch tatsächlich mit dem gefälschten Portal verbunden sein. Dies hätten sie jedoch bemerken können.

Ja. Indem sie sich an die Instruktionen für die Stimmabgabe halten, können die Stimmberechtigten zwischen dem echten und einem gefälschten Stimmportal unterscheiden. Die dazu nötigen Informationen erhalten die Stimmberechtigten mit dem Stimmmaterial.

Sofern in der Adresszeile die korrekte Internet-Adresse sowie das Schlosssymbol erscheinen, haben die Stimmenden einen sehr aussagekräftigen Beleg, dass sie mit dem echten Stimmportal verbunden sind.

Die korrekte Anzeige des Fingerprints des Webseitenzertifikats ist ein zusätzlicher Beleg, dass die Stimmenden mit dem echten Stimmportal verbunden sind.

Korrekt angezeigte Prüfcodes belegen, dass die Stimme unverändert im echten Stimmportal angekommen ist. Nur das echte Stimmportal kann die korrekten Prüfcodes berechnen. Demzufolge sind korrekt angezeigte Prüfcodes sogar dann aussagekräftig, wenn die Stimme den Umweg über ein gefälschtes Stimmportal macht.

Wir gehen davon aus, dass kein Hack stattgefunden hat und keine Stimmenden auf das gefälschte Portal umgeleitet wurden. Im Beitrag wurde demonstriert, wie ein fiktiver Benutzer auf das gefälschte Portal umgeleitet wurde. Um sich zu verbinden, hat der Benutzer die Internet-Adresse des echten Stimmportals eingegeben, allerdings ohne einleitendes „https://“. Die Umleitung auf das gefälschte Portal lässt sich in der eigenen Infrastruktur leicht herbeiführen. Von einem Hack kann dabei keine Rede sein.

Damit die Umleitung auch im Internet grossflächig funktioniert, müssten zentrale Elemente der Internet-Infrastruktur unter Kontrolle gebracht werden. Das wäre sehr schwer unbemerkt vorzunehmen.

Nein. Das Umleiten auf das gefälschte Portal hängt nicht vom Vorliegen einer Sicherheitslücke beim E-Voting-System ab. Es kann den Genfer Behörden keine Unterlassung vorgeworfen werden, durch die das Umleiten von Internet-Nutzern entscheidend begünstigt worden wäre.