Überprüfung von Systemen

Die Beschaffung eines E-Voting-Systems ist Sache der Kantone und sie können ein eigenes System betreiben, das System eines anderen Kantons verwenden oder ein privates Unternehmen beiziehen (Art. 27k^bis Abs. 1 Bst. b VPR). Der Bund setzt den regulatorischen Rahmen und ist für die Bewilligungen zuständig.

Gemäss Bundesrecht werden nur vollständig verifizierbare E-Voting-Systeme zugelassen, die im Bereich der Überprüfung und Transparenz folgende Voraussetzungen erfüllen müssen:

Unabhängige Überprüfung im Auftrag des Bundes: E-Voting-Systeme und deren Betrieb werden einer unabhängigen Überprüfung im Auftrag des Bundes unterzogen (Art. 27l VPR und Art. 10 VEleS i.V.m. Ziff. 26 des Anhangs zur VEleS). Damit sollen eine wirksame Prüfung der Erfüllung der bundesrechtlichen Anforderungen und der Wirksamkeit von risikominimierenden Massnahmen sowie das Verbesserungspotential erörtert werden.
Offenlegung von Informationen zum System und dessen Betrieb: Die Kantone sorgen dafür, dass umfassende Informationen zum System und dessen Betrieb offengelegt werden; dazu gehören insbesondere der Quellcode und die Dokumentation (Art. 27l^bis VPR und Art. 11-12 VEleS).
Öffentliche Überprüfung: Die Öffentlichkeit und Fachkreise werden für die Verbesserung von E-Voting-Systemen einbezogen (Art. 27l^ter VPR). Insbesondere setzen die Kantone ein ständiges Bug-Bounty-Programm um (Art. 13 VEleS).

Überprüfung Post-System 2021-2023

Einzelne Kantone nehmen die Versuche mit dem neuen E-Voting-System der Schweizerischen Post wieder auf. Gestützt auf die revidierten Rechtsgrundlagen hat die Bundeskanzlei im Juli 2021 eine unabhängige Überprüfung dieses Systems und seines Betriebs gestartet (vgl. dazu die Medienmitteilung der BK vom 05.07.2021).

Mit der Überprüfung wurden Expertinnen und Experten aus Wissenschaft und Industrie beauftragt. Sie betraf vier Bereiche: das kryptografische Protokoll des Systems (Scope 1), die zum Einsatz gelangende Software (Scope 2), die Infrastruktur und den Betrieb bei der Post und den Kantonen (Scope 3) sowie einen Intrusionstest, dem das System ausgesetzt werden muss (Scope 4).