Um auf Akzeptanz zu stossen, dürfen E-Voting Systeme keine undurchsichtige «black boxes» sein. Unser Gastautor zeigt auf, welche Massnahmen vom Bund für die Transparenz von Schweizer E-Voting Systemen gefordert werden. Transparenz macht das elektronische Abstimmen nachvollziehbarer und fördert das Vertrauen in diesen neuen Stimmkanal.

Jede Demokratie braucht ein Wahlsystem, mit dem sie die Meinung der Wählenden ausloten kann. Ein erfolgreiches Wahlsystem muss nicht nur feststellen, wer gewonnen hat, sondern auch die Verlierer davon überzeugen, dass sie verloren haben. Bei knappen Wahlergebnissen ist dies besonders wichtig. Nur wenn alle nachvollziehen können, wie das Resultat zustande gekommen ist, wirkt es auch überzeugend. Dazu muss das System möglichst transparent sein.

Wenn die Stimmen nicht geheim sind, ist es einfach Transparenz herzustellen. Man denke da zum Beispiel an die Landsgemeinden. Elektronische Systeme können aber auch transparent sein. So wird im Schweizer Parlament schon lange per Knopfdruck abgestimmt. Eine elektronische Tafel zeigt mittels roter und grüner Punkte, wer ja oder nein abgestimmt hat. So können alle Stimmenden überprüfen, dass Ihre Stimme richtig übermittelt und angezeigt wurde. Es wäre sogar möglich, die einzelnen Stimmen zu zählen und das Resultat zu prüfen. Auch wenn nicht alle Parlamentarierinnen und Parlamentarier jedes Mal verifizieren ob die Tafel richtig funktioniert, schafft diese Transparenz Vertrauen in die Anlage. Und dies auch, wenn die Wählenden nichts von Informatik verstehen.

Wenn das Stimmgeheimnis geschützt werden muss, wird es mit der Transparenz schwieriger. Geheime Wahlen werden typischerweise mit anonymen Wahlzetteln und einer Urne durchgeführt. Weil nicht alle Wählenden die Urne beobachten können, muss man sich auf vertrauenswürdige Personen stützen, um die Urne zu bewachen und auszuzählen. Wenn die Wählenden diesen Personen trauen, sind sie vom Resultat überzeugt. Bestehen Zweifel am Resultat, kann man die Urne ein zweites Mal auszählen, eventuell sogar durch andere Personen. Interessanterweise muss in Frankreich die Urne im wahrsten Sinn zwingend transparent sein.

E-Voting Transparenz in der Schweiz

Bei E-Voting Systemen ist die Transparenz notwendiger, weil die Systeme komplexer sind. In der Schweiz werden im Gesetz zur elektronischen Stimmabgabe, in den Verordnungen der Bundeskanzlei und im Planungsinstrument des Bundesrats  mehrere Massnahmen zu Transparenz gefordert.

• Zum einen müssen der Quellcode und die Betriebsdokumentation der Systeme offengelegt werden. So können alle sehen, wie das System gebaut ist und auch nach eventuellen Fehlern suchen. Es ist kaum vorstellbar, dass heute ein elektronisches System ohne Offenlegung des Codes auf eine breite Akzeptanz stossen würde.
• Zusätzlich zur Offenlegung des Codes, sollen öffentliche Intrusionstests mit allen eingesetzten Systemen durchgeführt werden. Die Systeme werden zuvor schon von akkreditierten Spezialisten geprüft und zertifiziert. Die Resultate werden publiziert. Zusätzlich erhält auch die Öffentlichkeit die Gelegenheit, die Systeme zu testen. Wer also nicht überzeugt ist, dass ein zertifiziertes System sicher ist, kann selber versuchen Schwachstellen aufzudecken.
• Ein anderes wichtiges Instrument zur Transparenz ist die Verifizierbarkeit der Systeme. Diese liefern Beweise zum richtigen Ablauf der Abstimmung. Man muss ihnen also nicht blind vertrauen. Als individuelle Verifizierbarkeit bezeichnet man ein Verfahren, das den Wählenden beweist, dass ihre Stimmen korrekt registriert worden sind. In der Schweiz werden dafür Verifizierungscodes eingesetzt, zum Beispiel vierstellige Zahlen. Wenn das Wahlsystem eine verschlüsselte Stimme erhält, kann es den Code daraus berechnen ohne die Stimme entschlüsseln zu müssen; sie bleibt also geheim. Der Wahlserver schickt den Code den Wählenden zurück. Diese können in ihrem persönlichen Stimmmaterial nachschauen, ob der Code der abgegebenen Stimme entspricht. Die Aufschlüsselung von Stimme zu Code existiert nur auf dem persönlichen Stimmmaterial der Wählenden. Der Schlüssel zum berechnen des Codes nur auf dem Wahlserver. Erscheint auf dem Bildschirm der gleiche Code wie im Stimmmaterial, ist bewiesen, dass die Stimme unverändert beim Server registriert wurde.
• Mit universeller Verifizierbarkeit bezeichnet man das Generieren von Beweisen die aussagen, dass das Resultat korrekt ist. Bei jedem Bearbeitungsschritt der Stimmen auf dem Wahlserver, werden mathematische Beweise generiert. Diese Beweise erfüllen den gleichen Zweck wie Wahlzettel. Sie ermöglichen das Nachzählen der Stimmen. Spezifisch werden folgende Beweise geliefert:

1. jede Stimme stammt von einem gültigen Wahlausweis
2. jede Stimme, dessen Abgabe dem Wähler mit einem Code bestätigt wurde, ist in der Urne enthalten
3. die Stimmen wurden anonymisiert, ohne deren Inhalt zu verändern
4. die anonymisierten Stimmen wurden korrekt entschlüsselt

Wenn die Beweise stimmen, können keine Stimmen gelöscht, verändert oder vor der Anonymisierung entschlüsselt worden sein. Das Resultat ist also korrekt und das Stimmgeheimnis wurde bewahrt.

Es braucht also kein blindes Vertrauen in das Wahlsystem. Jedermann, der weiss wie die Beweise gerechnet werden oder eine vertrauenswürdige Software dazu hat, kann nachrechnen ob alles korrekt zugegangen ist. Die Verordnung sieht vor, dass die Beweise von einer Gruppe von Auditoren überprüft werden.

Damit die Beweise nicht verloren gehen oder verändert werden können, werden sie von vier unabhängigen und verschieden aufgebauten Kontrollkomponenten berechnet, versiegelt und gespeichert. Solange nur eine Komponente korrekt funktioniert, können keine Beweise verloren gehen oder manipuliert werden. Der Quellcode und die angewendeten Schutzmassnahmen gehören zum Umfang der Informationen, die publiziert werden.

Transparenz als Risikominimierung

Die Akzeptanz von E-Voting ist nicht selbstverständlich. Transparenz erhöht das Vertrauen in die Systeme und mindert so das Risiko der Ablehnung dieses Stimmkanals auf der politischen Ebene. Auf der technischen Ebene reduziert die Transparenz das Risiko, dass technische Schwächen nicht oder nicht kritisch genug erkannt werden. Die Schweiz hat keine durchsichtigen Urnen. Dafür setzt sie beim E-Voting auf möglichst viel Transparenz.