Für die Abstimmung vom 19. Mai 2019 steht das E-Voting-System der Schweizerischen Post nicht zur Verfügung. Nach Abschluss des öffentlichen Intrusionstests überprüft die Bundeskanzlei die Zulassungs- und Zertifizierungsprozesse für E-Voting-Systeme.
Eine Forschergruppe sowie die Schweizerische Post haben die Bundeskanzlei über einen weiteren Mangel in ihrem neuen E-Voting-System informiert. Der Mangel betrifft die individuelle Verifizierbarkeit. Diese erlaubt es den Stimmenden zu überprüfen, ob das System ihre Stimme korrekt registriert hat. Die individuelle Verifizierbarkeit ist eine Schlüsselkomponente des bisherigen E-Voting-Systems der Post, das in vier Kantonen (BS, FR, NE, TG) bereits im Einsatz ist. Aus Sicht der Bundeskanzlei ist der Entscheid der Post daher folgerichtig, ihr System anlässlich des Urnengangs vom 19. Mai 2019 nicht zum Einsatz zu bringen. Nicht betroffen von diesem Mangel ist das E-Voting-System des Kantons Genf, für das sechs Kantone (AG, BE, GE, LU, SG, VD) die Zulassung für den Urnengang vom 19. Mai 2019 erhalten haben.
Die Bundeskanzlei hat keine Hinweise, dass dieser Mangel bei bisherigen Abstimmungen zur Verfälschung von Stimmen geführt hat.
Bundeskanzlei nimmt Standortbestimmung vor
Das neue E-Voting-System der Post, das neben der individuellen auch die vollständige Verifizierbarkeit garantieren soll, unterstand vom 25. Februar bis am 24. März 2019 einem öffentlichen Intrusionstest. Vorgängig hat die Post den Quellcode dieses Systems zugänglich gemacht. Aus Sicht der Bundeskanzlei haben diese Massnahmen dazu geführt, dass wichtige Erkenntnisse gewonnen und Schwachstellen aufgedeckt wurden. Wie bereits am 12. März 2019 mitgeteilt, wird die Bundeskanzlei eine Standortbestimmung vornehmen. Diese wird den Ergebnissen des Tests ebenso Rechnung tragen wie den Mängeln, die Forschende anhand der Dokumentation und des Quelltextes festgestellt haben.
Im Rahmen des Intrusionstests wurden insgesamt 16 Rückmeldungen als Verstösse gegen die besten Praktiken klassifiziert. Sie begründen keine erheblichen Risiken. Die Ergebnisse des Intrusionstests sind auf der Webseite des externen Anbieters zu finden, der den Test im Auftrag von Bund und Kantonen organisiert hat.
