SubmittedText

Der Bundesrat wird beauftragt, die Artikel 27a bis 27q VPR folgendermassen anzupassen:

1. Er stoppt E-Voting-Versuche mit Systemen der ersten Generation.

2. Zugelassen sind per sofort nur Systeme, welche nicht nur die Sicherheit und Anonymität der Stimmabgaben gewährleisten, sondern die es auch ermöglichen, dass der bzw. die Stimmberechtigte persönlich die korrekte Übertragung seiner bzw. ihrer Stimme überprüft und dass die Abstimmungsresultate ohne Bruch des Stimmgeheimnisses nachträglich verifiziert werden können (Systeme der zweiten Generation).

3. Ausnahmen von den Ziffern 1 und 2 sind allenfalls übergangsweise für die Stimmabgabe von Auslandschweizern und -schweizerinnen vorzusehen.

4. Der Quellcode sämtlicher verwendeter Systeme muss zudem vollständig offengelegt werden (Open Source), um allen Interessierten die Überprüfung von Schwachstellen und Sicherheitslücken zu ermöglichen.

FederalCouncilResponseText

Es gab keinen erfolgreichen Hackerangriff auf das Genfer System der elektronischen Stimmabgabe. Fakt ist, ein Hacker hat das Genfer System lediglich nachgebaut und darauf unter Laborbedingungen die Wirkungsweise von Schadsoftware demonstriert. Dies kann z. B. damit verglichen werden, dass bei der brieflichen Stimmabgabe im Rahmen einer fiktiven Abstimmung von einem eingeweihten Postboten verlangt wird, er solle ein Ja zu einem Nein ändern, bevor er den Brief der Gemeinde ausliefere. Vom Prinzip her greift die Schadsoftware bei beliebigen Applikationen, die auf moderner Webtechnologie basieren. Das Problem liegt denn auch bei den eingesetzten Plattformen (etwa PC, Tablet oder Smartphone) und nicht beim von den Behörden kontrollierbaren Teil des Systems. Von einem Konstruktionsfehler des Genfer Systems kann daher keine Rede sein. Vielmehr bestätigt die Demonstration die allgemeine Erkenntnis, dass Computer gegen Cyberangriffe nicht zu 100 Prozent geschützt werden können. Dieser Umstand wurde bereits im Vorfeld der ersten Versuche mit der elektronischen Stimmabgabe vor über zehn Jahren berücksichtigt.

Die Strategie des Bundesrates "Sicherheit vor Tempo" zwingt zu einem verantwortungsbewussten Umgang mit Risiken. In diesem Sinne wurde in der Verordnung über die politischen Rechte festgelegt, dass höchstens 30 Prozent des kantonalen und höchstens 10 Prozent des bundesweiten Elektorats ihre Stimme elektronisch abgeben können. In der Praxis wurden bislang nie mehr als 3 Prozent zugelassen. Dank dieser Limiten und dank verschiedener Sicherheitsmassnahmen sind die Restrisiken, die mit Schadsoftware in Zusammenhang stehen, als gering einzustufen. Es besteht deshalb aus Sicht des Bundesrates kein Anlass, die Versuche zu unterbrechen.

Die Erhöhung der Limiten erfordert zusätzliche Sicherheitsmassnahmen. Diese übertreffen die geläufigen Mechanismen, die bei anderen, ebenfalls sicherheitskritischen Applikationen angewendet werden, bei Weitem. Konkret müssen die Stimmenden nachvollziehen können, dass ihre Stimme weder auf der zur Stimmabgabe verwendeten Plattform noch im Internet verändert wurde (individuelle Verifizierbarkeit). Erst dann können maximal 50 statt 30 Prozent eines kantonalen Elektorats zur elektronischen Stimmabgabe zugelassen werden. Diese Bestimmung wird in der geplanten Verordnung der Bundeskanzlei über die elektronische Stimmabgabe (Veles) festgehalten. Diese soll voraussichtlich am 1. Januar 2014 in Kraft treten. Allerdings wird das erste individuell verifizierbare System nicht vor Ende 2014 im Einsatz sein. Bis dahin bleiben die heute geltenden Limiten bestehen. Zusätzlich zur Umsetzung der individuellen Verifizierbarkeit und weiterer Sicherheitsanforderungen müssen die Systeme Sicherheitsprüfungen bestehen, die durch unabhängige, vom Bund akkreditierte Stellen durchgeführt werden. Die Limiten können erst dann aufgehoben werden, wenn zusätzlich zur individuellen Verifizierbarkeit die korrekte Verarbeitung sämtlicher für die Ergebnisermittlung relevanter Daten mit systemunabhängigen Mitteln überprüft werden kann (vollständige Verifizierbarkeit). Dazu müssen sichere kryptografische Methoden zum Einsatz kommen, wie sie aus der technischen Wissenschaft bekannt sind. Vertreter der technischen Wissenschaft wurden bei der Erarbeitung der Sicherheitsstandards wie auch der geplanten Rechtsgrundlagen einbezogen.

Die Verifizierbarkeit bietet noch mehr Einsicht in den elektronischen Urnengang als die Offenlegung des Quellcodes. Während der Quellcode Aufschluss darüber gibt, wie die Daten verarbeitet werden sollen, gibt die Verifizierbarkeit Aufschluss darüber, wie die Daten tatsächlich verarbeitet wurden. Dennoch wollen die Kantone die Möglichkeiten einer Offenlegung des Quellcodes prüfen. Hier gilt es jedoch zu berücksichtigen, dass eine Umsetzung mit verschiedenen Herausforderungen verbunden ist. Diese hängen nicht zuletzt mit den unterschiedlichen rechtlichen Voraussetzungen in den Kantonen sowie mit den Verträgen zwischen den Kantonen und ihren Dienstleistern zusammen.

Im Übrigen wird auf die Stellungnahme des Bundesrates zur Motion Schwaab 13.3808 verwiesen.