Die Schweiz erweitert ihr E-Voting-Programm.
Im letzten Monat gewährte der Schweizerische Bundesrat dem Kanton Luzern eine Grundlizenz zur Durchführung von E-Voting-Versuchen mit einer begrenzten Wählerschaft. Die Lizenz läuft bis zur Bundesabstimmung vom 26. November 2028, und die erste genehmigte Nutzung wird die Bundesabstimmung vom 27. September 2026 sein.
Die Bedeutung geht über die Schweiz hinaus.
Während europäische Gemeinden, Universitäten, Gewerkschaften, Genossenschaften und öffentliche Institutionen digitales Wählen in Betracht ziehen, etabliert die Schweiz ein wichtiges Prinzip: Verifizierbarkeit sollte eine Anforderung sein, kein optionales Merkmal.
Die Schweiz zeigt auch, wie weit dieser Standard noch gehen muss. Wählerinnen und Wähler können bereits überprüfen, dass ihre eigene Stimme korrekt eingegangen ist, und die Behörden können das vollständige Ergebnis verifizieren. Was gewöhnliche Wählerinnen und Wähler noch nicht tun können, ist das vollständige Ergebnis selbst zu verifizieren.
Was vollständige Verifizierbarkeit bedeutet
Nur vollständig verifizierbare Systeme können für E-Voting-Versuche zugelassen werden.
Vollständige Verifizierbarkeit ist in der Verordnung über die elektronische Stimmabgabe der Bundeskanzlei definiert und kombiniert zwei Eigenschaften. Individuelle Verifizierbarkeit bedeutet, dass jede wählende Person einen Nachweis erhält, dass das System die Stimme registriert hat, die sie abgeben wollte. Universelle Verifizierbarkeit bedeutet, dass Prüferinnen und Prüfer einen kryptografischen Nachweis erhalten, dass das Ergebnis korrekt aus den registrierten Stimmen ermittelt wurde.
Die Definition kommt mit einem strengen Vertrauensmodell. Die Verifikation darf niemals davon abhängen, einer einzelnen Komponente, einem Betreiber oder einer Behörde zu vertrauen. Die Verordnung ist konkret bis hin zu den Zahlen: Die Wahrscheinlichkeit, dass ein Angreifer den Nachweis einer wählenden Person fälscht, darf 0,1 Prozent nicht überschreiten.
Zusammen erfüllen diese Anforderungen zwei Zwecke.
Erstens stellt dies sicher, dass Manipulationsversuche am System zuverlässig erkannt werden können. Zweitens schafft es Transparenz darüber, ob der gesamte Abstimmungsprozess korrekt durchgeführt wurde, während das Wahlgeheimnis jeder einzelnen Stimme gewahrt bleibt.
Die Schweiz unterstützt dies mit veröffentlichtem Quellcode, unabhängigen Prüfungen und geteilter Verantwortung über mehrere Systeme und Teilnehmerinnen und Teilnehmer hinweg.
Betrachten wir die gelieferte Verifizierbarkeit.
1. Wählerinnen und Wähler können ihre eigene Stimme überprüfen
Das System ermöglicht individuelle Verifizierbarkeit.
Jede wählende Person erhält eindeutige Rückmeldecodes auf Papier mit ihren Abstimmungsunterlagen. Nach der Online-Stimmabgabe zeigt das System einen Code an. Die wählende Person vergleicht ihn mit dem Code, der neben ihrer gewählten Option gedruckt ist. Wenn die Codes übereinstimmen, hat die wählende Person den Nachweis, dass ihre beabsichtigte Wahl korrekt beim elektronischen Wahllokal eingegangen ist.
Es ist eine einfache Überprüfung, die nicht erfordert, dass die wählende Person die Kryptografie hinter dem System versteht.
2. Wahlbehörden können das vollständige Ergebnis verifizieren
Das System ermöglicht universelle Verifizierbarkeit.
Nach dem Ende der Stimmabgabe verwendet das Schweizer System ein Bayer-Groth-verifizierbares Mix-Netzwerk, um die Stimmzettel vor der Auszählung zu mischen und neu zu verschlüsseln.
Jeder Mischer erzeugt einen Zero-Knowledge-Beweis, dass der Mischvorgang korrekt durchgeführt wurde. Der Beweis zeigt, dass die Ausgabe dieselben verschlüsselten Stimmen wie die Eingabe enthält, nur in einer anderen Reihenfolge und unter neuer Verschlüsselung. Dies geschieht ohne Offenlegung der neuen Reihenfolge der Stimmzettel oder der Art und Weise, wie jemand gewählt hat.
Der Verifizierer prüft diese Nachweise, um festzustellen, ob Stimmzettel während des Mischvorgangs hinzugefügt, entfernt oder verändert wurden.
Kantonale Wahlbehörden führen die Prüfungen mit separater Verifizierungssoftware durch. Der Verifizierer arbeitet unabhängig vom Hauptwahlsystem und läuft auf einem Offline-Gerät.
Wenn alle kryptografischen Nachweise die Prüfungen bestehen, bestätigt der Verifizierer die Authentizität der elektronischen Stimmen und ihrer Auszählung, wie in der E-Voting-Dokumentation der Swiss Post erläutert.
Kann die durchschnittliche Person das vollständige Ergebnis verifizieren?
Nicht unter dem aktuellen öffentlichen Prozess.
Eine gewöhnliche wählende Person kann verifizieren, dass ihre eigene Wahl beim elektronischen Wahllokal eingegangen ist, indem sie die Rückmeldecodes vergleicht.
Die Verifikation des vollständigen Ergebnisses wird von kantonalen Wahlbehörden mit Spezialsoftware durchgeführt. Swiss Post veröffentlicht den Quellcode, das kryptografische Protokoll, die technische Dokumentation und die Verifizierungssoftware ohne Registrierungspflicht. Unabhängige Fachleute können diese Komponenten prüfen, kompilieren, testen und weiterentwickeln.
Das bedeutet, dass Swiss Post keine ausschließliche Kontrolle darüber hat, wie das System geprüft wird. Technische Verfügbarkeit der Verifikation ist jedoch nicht dasselbe wie ihre Nutzbarkeit durch eine gewöhnliche wählende Person.
Die meisten Menschen werden keine Verifizierungssoftware kompilieren oder kryptografische Nachweise interpretieren. Sie müssen sich weiterhin auf Wahlbehörden, Prüferinnen und Prüfer oder technische Fachleute verlassen, um die vollständige Prüfung durchzuführen und zu erläutern, was sie zeigt.
Wie die Schweiz bei der Verifizierbarkeit abschneidet
Die Rückmeldecode-Überprüfung ist zugänglich.
Aber die Verifikation des vollständigen Ergebnisses bleibt für Nicht-Fachleute schwer durchzuführen und zu interpretieren.
Gesamtbewertung: Die Schweiz erfüllt einen hohen Standard für privates und verifizierbares digitales Wählen. Die kryptografischen Nachweise werden öffentlich veröffentlicht, aber deren Verifikation erfordert Spezialsoftware, die die meisten Wählerinnen und Wähler nie nutzen werden. Die Verifikation für gewöhnliche Wählerinnen und Wähler zugänglich zu machen, nicht nur für Prüferinnen und Prüfer, ist der Bereich, in dem der Standard weiter gehen muss.
Vollständige Ergebnisverifikation für gewöhnliche Wählerinnen und Wähler zugänglich machen
Shutter Governance bietet einen möglichen Ansatz, um dies anzugehen.
Das Shutter Governance-System veröffentlicht das Wahlergebnis mit einem öffentlichen kryptografischen Nachweis, der zeigt, dass jede gültige Stimme korrekt gezählt wurde. Die Nachweise sind ohne Konto oder speziellen Zugang verfügbar.
Eine gewöhnliche wählende Person könnte einen KI-Assistenten nutzen, der sie durch den Verifikationsprozess führt und die Ausgabe in einfacher Sprache erklärt. Der KI-Assistent würde die kryptografische Verifikation nicht ersetzen oder entscheiden, ob das Ergebnis korrekt ist. Er würde die öffentlichen Nachweise für eine gewöhnliche Person leichter verständlich machen.
Europa sollte den Standard übernehmen und verbessern
Nationale Wahlen sind nicht die einzigen Abstimmungen, die Privatsphäre und Verifizierbarkeit erfordern. Gemeinden, Universitäten, Gewerkschaften, Genossenschaften, Verbände und politische Parteien treffen alle wichtige Entscheidungen durch Abstimmungen, und ihre digitalen Abstimmungssysteme sollten denselben Standard erfüllen.
Die Schweiz hat gezeigt, dass vollständige Verifizierbarkeit zur formalen Anforderung gemacht werden kann. Aber ihr aktueller Ansatz legt die Verifikation des vollständigen Ergebnisses weiterhin hauptsächlich in die Hände von Wahlbehörden und technischen Fachleuten.
Der nächste Schritt besteht darin, diese Verifikation der vollständigen Ergebnisse für jedermann möglich zu machen. Das Ergebnis sollte nicht auf das Wort einer Institution hin akzeptiert werden müssen. Unabhängige Organisationen, Journalistinnen und Journalisten, Prüferinnen und Prüfer sowie technisch versierte Bürgerinnen und Bürger können dieselben öffentlichen Nachweise prüfen, während einfachere Verifikationswerkzeuge das Ergebnis für alle anderen verständlich machen können.
Die Schweiz verdient Anerkennung dafür, Verifizierbarkeit zur Anforderung für E-Voting gemacht zu haben. Jetzt sollte der Rest Europas folgen.
Quellen
- Schweizerische Bundeskanzlei: E-Voting-Medienmitteilungen
- Schweizerische Bundeskanzlei: Verordnung über die elektronische Stimmabgabe
- Schweizerische Bundeskanzlei: Sicherheit beim E-Voting
- Schweizerische Bundeskanzlei: Prüfung von E-Voting-Systemen
- Swiss Post: E-Voting-FAQ
- Swiss Post: E-Voting-Community-Programm
- Swiss Post: Kryptografisches Protokoll und Dokumentation
- Swiss Post: Implementierung des ElGamal-Chiffretexts im Abstimmungsclient
- Swiss Post: Bayer-Groth-Mix-Netzwerk-Implementierung
- Swiss Post: Separate Verifizierungssoftware
- Swiss Post: Vollständige Verifizierbarkeit und Verifikation der Auszählung
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt.
About Shutter Governance
Shutter Governance is a new digital voting system for municipalities, universities, unions, cooperatives, political parties, NGOs, and other organizations, where votes stay hidden from everyone while the results remain publicly verifiable.
Learn how it works →