E-Voting polarisiert die Schweiz
Schweizer Wählende sollen bald auch elektronisch Abstimmen können. Seit fast 20 Jahren läuft die Entwicklung. Doch E-Voting wird oft kritisiert.
Das Wichtigste in Kürze
- Der Bund und verschiedene Kantone wollen E-Voting als dritten Stimmkanal etablieren.
- In diesem mehrjährigen Prozess tauchten immer wieder Probleme auf.
E-Voting ist das Wählen und Abstimmen auf elektronischem Weg. Die Stimmbürgerin kann also von irgendeinem Gerät mit Internetzugang über eine spezielle Webseite ihre Stimme abgeben.
Aktuelles
Derzeit läuft der öffentliche Intrusionstest der Post, bei dem Hacker versuchen das E-Voting-System des halbstaatlichen Unternehmens zu knacken. Hacker haben eine erhebliche Sicherheitslücke gefunden. Der Test läuft bis zum 25. März.
Derweil sammelt eine Gruppe von Kritikern Unterschriften für ein Moratorium zum E-Voting. Sie wollen E-Voting für mindestens fünf Jahre verbieten. Die Unterschriftensammlung startet am 16. März.
Die Regelungen des Bundes
In der Schweiz soll es drei Abstimmungs- und Wahlkanäle geben. Dies hat das Parlament im Jahr 2000 beschlossen. Heisst: Neben der Urne und dem Brief, soll die Bevölkerung ihre Stimme auch elektronisch abgeben können.
2003 wurde das Bundesgesetz so angepasst, dass E-Voting-Versuche möglich wurden. 2004 startete Genf erste Versuche, ein Jahr darauf Neuenburg und Zürich. 2010 testeten zwölf Kantone mit drei verschiedenen Systemen.
Derzeit bieten zehn Kantone E-Voting an. Dies hat mehrere Vorteile. Ungültige Stimmen sind nicht mehr möglich, die Resultate sind schneller ermittelt und insbesondere Menschen mit Behinderung können einfacher abstimmen. Auch Auslandschweizer profitieren von einer Einführung.
Die Bundeskanzlei prüft die Sicherheit des Systems, wenn ein Kanton einen entsprechenden Antrag stellt. Zuständig für die Umsetzung sind nämlich die Kantone. Sie wählen ein Angebot aus. Mittlerweile ist die Post jedoch der letzte Anbieter.
Damit der Bund ein E-Voting-Systeme zulässt, muss dieses gewisse Bedingungen erfüllen. So muss etwa der Quellcode offengelegt werden. Weiter muss das System öffentlich getestet werden können. Dieser Härtetest wird Intrusionstest genannt. Die Systeme müssen zudem regelmässig überprüft werden.
Sollte E-Voting vom Versuchs- in den ordentlichen Betrieb überführt werden, hat das Volk das letzte Wort. Denn die nötige Revision des Bundesgesetzes über die politischen Rechte (BPR) untersteht dem fakultativen Referendum. Derzeit befindet sich diese Teilrevision in der Vernehmlassung.
Die Anbieter
Seit dem Ausstieg des Kantons Genf, auf der Plattform CHVote, verblieb noch ein letzter Akteur. Die Post hält weiter an ihrem System fest. Derzeit ist es in den Kantonen Freiburg, Thurgau, Basel-Stadt und Neuenburg im Einsatz. St. Gallen, Graubünden und Glarus sollen dazu kommen.
Vom 25. Februar bis 24. März führt die Post einen öffentlichen Intrusionstest durch. Hacker aus der ganzen Welt sollen das System auf Herz und Nieren prüfen. Ein solcher Test wurde vom Bund und den Kantonen, die das Post-System einsetzen, gefordert.
Die Post ist überzeugt: «Die heutige Technologie gewährt, dass das Stimmgeheimnis sichergestellt wird und gleichzeitig das System vollständig überprüfbar ist.» Manipulationen würden sofort erkannt werden, sagt Die Post zu Nau. «Die Sicherheitsanforderungen sind noch höher als beim E-Banking.»
So funktioniert das E-Voting
Der Wählende logt sich auf einer speziellen Abstimmungsseite ein. Dafür braucht er verschiedene Codes, die mit den üblichen Wahlunterlagen brieflich zugestellt werden. Das System kennt nur die Antwort, die Person dahinter ist anonym.
Damit wird das Stimmgeheimnis gewahrt. Die Daten werden verschlüsselt – Stimmrechtsausweis und Stimmzettel werden zudem getrennt. Dabei kann einerseits der Wählende selbst wie auch die Wahlkommission überprüfen, dass die Stimme nicht manipuliert wurde.
Die Wahlkommission besteht aus mehreren Personen. Nur zusammen können sie die Stimmen zählen und überprüfen, ob alle Stimmen korrekt gezählt wurden.
Mit der individuellen Verifizierbarkeit können Wählende checken, ob ihre Stimme manipuliert wurde. Das System bietet zudem eine «vollständige Verifizierbarkeit».
Diese gewährleistet, dass Softwarefehler, menschlichen Fehlleistungen oder Manipulationsversuche erkannt werden. Wird ein Fehler festgestellt, kann man seine Stimme an der Urne oder brieflich abgeben.
00:00 / 00:00
Die Kantone
Der Kanton Genf hatte im November 2018 bekannt gegeben, sein E-Voting-System einzustellen. Die Behörden gaben an, dass die Weiterentwicklung zu hohe Kosten verursachen würde. Der Chaos Computer Club (CCC) hatte eine Sicherheitslücke gefunden. Wählende wurden auf eine falsche Seite umgeleitet.
Genf relativierte, man kenne das Problem und habe entsprechende Sicherheitsmassnahmen ergriffen. Etwa durch die eindeutige Registrierung durch individuelle Codes – eine Stimmmanipulation sei nicht möglich. Bis 2020 wird das System noch angeboten, dann wird der Stecker gezogen. Das System stand auch anderen Kantonen zur Verfügung, unter anderem St. Gallen, Luzern, Aargau und Bern.
Im Kanton Basel-Stadt hat der Grosse Rat die elektronische Stimmabgabe im Februar bachab geschickt. Die Sicherheitsbedenken waren zu gross. Da das Stimm- und Wahlrecht eine wichtige Grundsäule der Demokratie sei, dürfe man keine Fehler riskieren, um das Vertrauen nicht zu riskieren.
Im Kanton Bern können Auslandschweizer ihre Stimme für eidgenössischen und kantonalen Abstimmungen über das Internet abgeben.
Im Kanton Thurgau können Auslandschweizer seit 2017 elektronisch abstimmen. Im Kanton Freiburg können sie dies seit 2016 tun. Seit 2017 wird das System in gewissen Pilotgemeinden auch für Inlandschweizer getestet.
Der Kanton St. Gallen wechselt in diesem Jahr auf das System der Post. Nutzen können das E-Voting Ausland- wie Inlandschweizer.
Die Kritik
Eric Dubuis, Informatik-Professor an der Berner Fachhochschule glaubt an E-Voting. «Wenn ein E-Voting-System alle Anforderungen der Verordnung des Bundes erfüllt, können wir die Einführung des Systems verantworten», sagt er. Mehr noch: Dubuis ist der Meinung, dass E-Voting gar sicherer als die briefliche Abstimmung ist. Denn: Per Brief erhalte man keine Bestätigung, dass die Stimme wirklich angekommen ist.
Der Zürcher Kantonsrat hatte sich im Rahmen der Budgetdebatte im Dezember 2018 gegen E-Voting-Projekte positioniert. Eine Mehrheit war der Meinung, dass die Risiken von E-Voting zu gross seien.
Die Initiative «Für eine sichere und vertrauenswürdige Demokratie» will eine Aufschiebung der E-Voting-Bemühungen um fünf Jahre erwirken. Das E-Voting-Moratorium wird von SVP-Nationalrat Franz Grüter präsidiert. Er sagt: «Erfahrungen aus vielen Ländern zeigen, dass E-Voting-Systeme interessante Angriffsziele für Hacker und Grossmächte sind. Werden Wahlen und Abstimmungen manipuliert, so gefährdet dies das Vertrauen in unsere Demokratie.» Im März beginnt die Unterschriftensammlung.
Kritik erntete die Post auch für ihren öffentlichen Intrusionstest. Über 3000 Hacker aus der ganzen Welt versuchen das System der Post zwischen dem 24. Februar und dem 25. März zu knacken. Dafür werden sie finanziell belohnt, Bund und Kantone haben insgesamt 250'000 Franken Belohnung ausgestellt, sollten Probleme gefunden werden. Doch der Test sei ein Witz, lautete die Kritik. Denn den Hackern ist vieles nicht erlaubt. So sind beispielsweise Massenanfragen (dDos-Attacken), Angriffe auf die Endgeräte oder Irreführung der User mit gefälschten Nachrichten verboten.
Spannend am #eVoting-Intrusiontest der @postschweiz sind die «verbotenen» Methoden – es sind u.a. Angriffsmöglichkeiten, die «in vivo» grossflächige Manipulationen erlauben, etwa Angriffe auf:
— Claudio Kuster (@cloudista) February 7, 2019
- User PC (Malware)
- E-Urne entschlüsselnde Person (Social Engineering) pic.twitter.com/eXIyszRJjF
CCC ebenfalls gegen E-Voting
Unterstützer des E-Voting-Moratoriums ist auch der Schweizer Chaos Computer Club. Sie kritisieren den Intrusionstest auch als «Marketing-Aktion». Denn: «Die Schweiz wird sich gegen ernstzunehmende Angreifer in keinem Fall schützen können», sagt Hernani Marques, Experte für Computersicherheit vom Schweizer Chaos Computer Club zu Nau.
Die Kritiker weisen einerseits darauf hin, dass IT-Infrastrukturen verwanzt werden können. Das Eindringen in das System ist damit physisch über die Hardware möglich. Andererseits sind auch Schlupflöcher in der Software möglich. Ein System kann nie gänzlich verifiziert werden, so der CCC, es können lediglich Fehler gefunden werden.
Schlussendlich sind die Endgeräte – zum Beispiel der PC, mit dem der Wählende auf das E-Voting-System zugreift – angreifbar durch Trojaner und Schadsoftware. Für Hacker ist es gemäss Marques am einfachsten, das E-Voting-Kernsystem unberührt zu belassen und etwa die Druckerinfrastrukturen der Kantone anzugreifen.
«Konkret die E-Voting-Codes, die man zum Abstimmen benötigt (dafür sind nur zwei Codes nötig sowie das Geburtsdatum, das man zum Beispiel in geleakten Swisscom-Kundenstämmen findet) zu kopieren. Damit lässt sich für Nichtwählende abstimmen.»
Er bezweifelt, dass das System die Manipulation merken würde. «Man nehme als Beispiel die RUAG, die zwei Jahre unterwandert war, ohne dass sie dies selbst gemerkt hätte.» Die RUAG konnte weder herausfinden wer noch wo sie bespitzelt wurde.
Blindes Vertrauen
Bürger müssten also den Geräten und Software blind vertrauen, da sie keine Möglichkeit zur Kontrolle haben. Dies jedoch ist keine Grundlage für eine Demokratie.
Nicolas A. Rimoldi, Kampagnenleiter des Moratoriums gegen E-Voting, formuliert die Bedenken so: «Sollte jemals eine E-Voting-Abstimmung manipuliert werden, verlieren alle bisherigen E-Voting-Abstimmungen ihre Legitimation. Dann verlieren die Bürgerinnen und Bürger das Vertrauen in die gut funktionierende Schweizer Demokratie. Das darf niemals passieren.»
Das E-Voting der Post sorgte bereits international für Stirnrunzeln. Sarah Jamie Lewis, eine kanadische Sicherheitsexpertin für E-Voting, schrieb im Februar auf Twitter über ihre Bedenken. Grundsätzlich vermisst Lewis vor allem die «best practices».
Das sind Konventionen in der Softwarebranche, mit denen der Aufbau und die Funktion des Codes nachvollzogen, überprüft oder weiterentwickelt werden kann. Die Post hat ihren Quellcode – 275'000 Zeilen Java-Code – jedoch weitgehend unkommentiert veröffentlicht.
So, I took a look at swiss online voting system code that someone leaked, and having written, deployed and audited large enterprise java code...that thing triggers every flag.
— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
Auch Matthew Green, Kryptografie-Experte an der John Hopkins University, äusserte sich kritisch zum System. Der Code sei zu kompliziert und erfülle die gängigen Standards nicht.
Er bezweifelt, dass überhaupt jemand den Code sauber auditieren, also auf seine Funktionstüchtigkeit und Sicherheit überprüfen könne. Das Projekt solle abgebrochen werden.
I hate this kind of stuff. They’re clearly being boneheads who have no idea what they’re doing, but they’ll have just enough cover to claim that “it was just test code, don’t worry we’ll get it right for the real election.”
— Matthew Green (@matthew_d_green) February 17, 2019
In der Kritik steht auch die spanische Firma Scytl. Diese entwickelt für die Post die Software des E-Voting-Systems. Doch: 2014 gelangte Scytl in die Schlagzeilen, weil bei den Wahlen in Ecuador ihre Software nicht funktionierte. Die eingescannten Wahlzettel mussten schlussendlich in Barcelona von Hand ausgezählt werden.
Zudem soll Scytl anderthalb Millionen Euro Forschungsgelder vom spanischen Staat für eine Produktedemo für den Kanton Neuenburg zweckmissbraucht haben. Weitere 900'000 Euro aus dem EU-Förderfonds setzte Scytl ein, um Software für die ecuadorianische Wahlbehörden zu entwickeln.
Und: Bei Parlamentswahlen in Australien konnten Spezialisten 2015 die Verschlüsselung der Wahlsoftware umgehen und so Stimmen manipulieren.
Grosse Nachfrage nach E-Voting in der Bevölkerung
Der Bund konnte in seiner bei DemoSCOPE in Auftrag gegebenen Studie vom Februar zeigen, dass sich die Bevölkerung den Ausbau von E-Voting wünscht.
Noch sei das Angebot von E-Government im Allgemeinen und E-Voting im Speziellen gering. Die Bevölkerung könne jedoch nur beurteilen, was sie kenne, weshalb die Ergebnisse noch höher sein könnten. «Den stärksten Ausbaubedarf sieht die Bevölkerung beim E-Voting», so die Studie.
Denn: Heute können erst 2 Prozent der Stimmberechtigten die elektronische Urne nutzen und nur ein Prozent nutzt diese effektiv. 68 Prozent sind aber der Ansicht, dass E-Voting allen zur Verfügung stehen sollte. Knapp die Hälfte der Befragten würde häufiger an Wahlen und Abstimmungen teilnehmen, wenn sie dies elektronisch erledigen könnte.
