E-Voting Intrusionstest der Post eine PR-Aktion?

Dieser Moment wurde mit Spannung erwartet. Die Post gab heute Montag in Bern den Startschuss zum öffentlichen Belastungstest für ihr E-Voting-System. Für den sogenannten Intrusionstest haben sich bereits 2700 Personen angemeldet, welche die Software auf Herz und Nieren prüfen wollen.

Internationale Kryptografie-Experten hatten den Quellcode bereits letzte Woche einsehen können. Er sei extrem kompliziert und entspreche nicht den üblichen Qualitätsanforderungen. Die Kritik habe ihn aber nicht überrascht, erklärt der Verantwortliche bei der Post, Denis Morel.

Auf Kritiker, die sich nicht auf der Plattform registriert haben, gehe die Post aber nicht zu. Dafür habe man den Feedback-Prozess.

«Das Ziel ist, dass sich möglichst viele Fachleute weltweit mit E-Voting in der Schweiz befassen und das System herausfordern. So können wir allfällige Schwachstellen möglichst früh beheben», sagt Oliver Spycher von der Bundeskanzlei.

Ziel sei aber auch, dass die Leute sich allgemein einbringen können zu sicherheitsrelevanten Fragen. Bereits seien über 40 Rückmeldungen eingegangen, sagt Denis Morel.

«Wir haben manche der Kritiken auf Twitter analysiert, wir werden aber nicht allem nachgehen», sagt Morel. Man habe aber davon Kenntnis genommen und werde sie für die zukünftigen Entwicklungen berücksichtigen.

Nicht am Test teilnehmen werden selbstredend die Hacker mit kriminellen Absichten. Die behalten ihre Erkenntnisse lieber für sich, um sie später verkaufen zu können. Das sagte Hernani Marques vom Schweizer Chaos Computer Club letzte Woche zu Nau.

Aber auch für ihn selbst ist klar: «Der CCC wird sich an dieser Marketing-Aktion der Post nicht beteiligen. Man kann Sicherheit mit keinem Test beweisen. Man kann immer nur zeigen, wie unsicher ein System ist.» Gleicher Meinung sind die Kritiker vom geplanten Moratorium gegen E-Voting.

Die Post hat gewisse Angriffe ausgeschlossen und will nur die Software an sich testen lassen. Das sei so üblich, erklärt Denis Morel. Stellt sich also noch die Frage, wer die 2700 Personen sind, die das Post-E-Voting hacken wollen?

Der Test dauert bis Ende März. Der Quellcode bleibt weiterhin öffenltich, das fordert die entsprechende Bundesverordnung zum E-Voting. Der Intrusionstest ist eine Auflage der Kantone, welche das E-Voting-System schlussendlich einsetzen wollen.

Das System soll eine «vollständige Verifizierbarkeit» ermöglichen. Oliver Spycher erklärt, was damit gemeint ist.