In einer Medienmitteilung von letzter Woche verkündete die Berner Kantonsregierung, an der «schrittweisen Einführung von E-Voting» festhalten zu wollen. Bisher setzte Bern auf das vom Kanton Genf entwickelte System. Dieses wird jedoch Anfang kommenden Jahres eingestellt, nachdem Ende 2018 ein Hacker des Chaos Computer Club eine Sicherheitslücke entlarvte.

Als einzige Alternative bleibt somit das E-Voting-System der Post, das von der spanischen Entwicklungsfirma Scytl entwickelt wird, jedoch wegen erheblicher Sicherheitslücken zurzeit nicht mehr zur Verfügung steht. Trotzdem soll es in Bern ab 2021 wieder zum Einsatz kommen.

Leidet die Berner Regierung unter Gedächtnisschwund? In diesem Frühjahr fand ein öffentlicher Intrusionstest statt, der das Post-System eingehend prüfte. Das Ergebnis war verheerend. Ein Trio aus unabhängigen ForscherInnen um Sarah Jamie Lewis (vgl. «‹Datenschutz ist eine Form der Zustimmung›» ) machte erhebliche Sicherheitslücken ausfindig, die von der offiziellen Prüfstelle KPMG zuvor nicht entdeckt worden waren. Dabei handelte es sich keineswegs um kosmetische Probleme, sondern um ein systematisches Versagen im Entwicklungsprozess. Es zeigte sich beispielsweise, dass der Quellcode nicht den gängigen Standards für externe Prüfung und Transparenz entspricht.

Nach dem Intrusionstestdebakel initiierte die Bundeskanzlei eine unabhängige Überprüfung des Systems und publizierte im Juli drei Schlussberichte: Sie zeigen auf, dass das Post-System fundamental defekt ist. Sie berichten von «vier grossen Problembereichen» im Quellcode, die alle das Potenzial haben, «die Sicherheitseigenschaften des Systems zu schwächen». Konkret: Angriffe könnten unbemerkt bleiben und das Stimmgeheimnis flächendeckend gelüftet werden. Um die Schwachstellen zu erkennen, ist aber nicht einmal ein detaillierter Blick in den Quellcode nötig. Bereits eine Analyse der Spezifikationen, die festlegen, was ein System können soll, reicht aus, um Angriffen auf die Spur zu kommen, die ein unerkanntes Lesen und Ändern der Stimmen erlauben.

Bevor der Kanton Bern nun Scytl und der Post schon wieder Geld sprechen will, sollte die Regierung fragen: Haben die EntwicklerInnen aus den Fehlern gelernt? Wurden die Sicherheitslücken tatsächlich geschlossen? Findet ein vertrauenswürdiges und ordentliches Sicherheitsaudit statt? Und wird der verbesserte Quellcode der Öffentlichkeit endlich ohne demokratie- und transparenzfeindliche Geheimhaltungsverträge zur Verfügung gestellt?