Verordnung der BK
über die elektronische Stimmabgabe
(VEleS)

Diese Verordnung legt die Voraussetzungen für die Zulassung der elektronischen Stimmabgabe fest.

Es gelten die Begriffe nach Anhang Ziffer 1.3.

Mit einer Risikobeurteilung muss der Kanton ausführlich und verständlich dokumentieren, dass sich jegliche Sicherheitsrisiken in einem ausreichend tiefen Rahmen bewegen. Die Beurteilung bezieht sich auf folgende Sicherheitsziele:

1. Korrektheit des Ergebnisses;

2. Schutz des Stimmgeheimnisses und Ausschluss vorzeitiger Teilergebnisse;

3. Verfügbarkeit der Funktionalität;

Jedes Risiko muss mit Bezug auf die Sicherheitsziele, allfällige mit ihnen verbundene Datensätze, Bedrohungen, Schwachstellen und die Dokumentation zum System und zu dessen Betrieb identifiziert und klar beschrieben werden. Der Kanton muss auf dieser Grundlage begründen, weshalb er die Risiken als hinreichend gering einschätzt.

Die Minimierung von Risiken darf sich nicht darauf abstützen, sicherheitsrelevante Informationen zum System und dessen Betrieb geheim zu halten.

Soll ein System für den Einbezug von mehr als 30 Prozent des kantonalen Elektorats zugelassen werden, so müssen die Stimmenden die Möglichkeit haben, zu erkennen, ob ihre Stimme auf der Benutzerplattform oder auf dem Übertragungsweg manipuliert oder abgefangen worden ist (individuelle Verifizierbarkeit, Anhang

Zur individuellen Verifizierung muss die stimmende Person einen Beweis erhalten, dass das serverseitige System die Stimme so, wie sie die stimmende Person in die Benutzerplattform eingegeben hat, als systemkonform abgegeben registriert hat. Der Beweis muss für jede Teilstimme die korrekte Registrierung bestätigen.

Wird das clientseitige Authentisierungsmerkmal elektronisch zugestellt, so müssen die Stimmberechtigten, die ihre Stimme nicht elektronisch abgegeben haben, nach der Schliessung des elektronischen Stimmkanals innert der gesetzlichen Beschwerdefristen einen Beweis anfordern können, dass das System keine Stimme registriert hat, die unter Verwendung ihres clientseitigen Authentisierungsmerkmals abgegeben wurde.

Die Stichhaltigkeit eines Beweises darf nicht von der Vertrauenswürdigkeit der Benutzerplattform oder des Übertragungswegs abhängen.

Sie darf auf folgenden Elementen basieren:

1. Vertrauenswürdigkeit des serverseitigen Systems;

2. Vertrauenswürdigkeit der besonderen technischen Hilfsmittel der Stimmenden; diese müssen besonders hohe Sicherheitsanforderungen erfüllen;

3. Vertraulichkeit von in Papierform zugestellten Daten; die Vertraulichkeit dieser Daten muss ausserhalb der Infrastruktur durch besondere Massnahmen sichergestellt sein.

Soll ein System für den Einbezug von mehr als 50 Prozent des kantonalen Elektorats zugelassen werden, so muss sichergestellt sein, dass Stimmende oder die Prüferinnen und Prüfer unter Einhaltung des Stimmgeheimnisses die Möglichkeit haben, jede Manipulation zu erkennen, die zu einer Verfälschung des Ergebnisses führt (vollständige Verifizierbarkeit, Anhang Ziff. 4.3 und 4.4).

Die vollständige Verifizierbarkeit ist gegeben, wenn erweiterte Anforderungen an die individuelle Verifizierbarkeit (Abs. 3) und Anforderungen an die universelle Verifizierbarkeit (Abs. 4‒6) erfüllt sind.

Zur individuellen Verifizierung sind zusätzlich zu Artikel 4 die folgenden Anforderungen zu erfüllen:

1. Der Beweis muss den Stimmenden zusätzlich zur Bestätigung dienen, dass die für die universelle Verifizierung relevanten Daten den vertrauenswürdigen Systemteil (Abs. 6) erreicht haben.

2. Die stimmende Person muss nach der Schliessung des elektronischen Stimmkanals einen Beweis anfordern können, dass der vertrauenswürdige Systemteil nicht bereits eine Stimme registriert hat, die unter Verwendung ihres clientseitigen Authentisierungsmerkmals abgegeben wurde.

3. Die Stichhaltigkeit eines Beweises darf nicht von der Vertrauenswürdigkeit des gesamten serverseitigen Systems abhängen. Sie darf jedoch auf der Vertrauenswürdigkeit des vertrauenswürdigen Systemteils basieren.

Zur universellen Verifizierung erhalten die Prüferinnen und Prüfer einen Beweis der korrekten Ergebnisermittlung. Sie müssen den Beweis in einem beobachtbaren Prozess auswerten. Dazu müssen sie technische Hilfsmittel verwenden, die vom Rest des Systems unabhängig und isoliert sind. Der Beweis muss bestätigen, dass das ermittelte Ergebnis:

1. alle systemkonform abgegebenen Stimmen, die durch den vertrauenswürdigen Systemteil registriert wurden, berücksichtigt;

2. ausschliesslich systemkonform abgegebene Stimmen berücksichtigt;

3. alle Teilstimmen gemäss des im Rahmen der individuellen Verifizierung generierten Beweises berücksichtigt.

Die Stichhaltigkeit des Beweises darf nur von der Vertrauenswürdigkeit des vertrauenswürdigen Systemteils und des zur Überprüfung eingesetzten technischen Hilfsmittels abhängen. Gleichzeitig dürfen die Gewährleistung des Stimmgeheimnisses und der Ausschluss vorzeitiger Teilergebnisse innerhalb der Infrastruktur nur von der Vertrauenswürdigkeit des vertrauenswürdigen Systemteils abhängen.

Der vertrauenswürdige Systemteil umfasst entweder eine oder wenige Gruppen von durch besondere Massnahmen gesicherten, unabhängigen Komponenten (Kontrollkomponenten). Ihr Einsatz muss auch dann jeden Missbrauch erkennbar machen, wenn pro Gruppe nur eine der Kontrollkomponenten korrekt funktioniert und insbesondere nicht unbemerkt manipuliert wird. Für die Vertrauenswürdigkeit des vertrauenswürdigen Systemteils ist die unterschiedliche Ausgestaltung der Kontrollkomponenten sowie die Unabhängigkeit von deren Betrieb und deren Überwachung massgebend.

Die Kantone sorgen dafür, dass die Erfüllung der Voraussetzungen von unabhängigen Stellen überprüft wird. Die Überprüfung findet insbesondere statt, wenn das System oder sein Betrieb so geändert worden sind, dass die Erfüllung der Voraussetzungen für die Zulassung in Frage gestellt sein könnte.

Falls mehr als 30 Prozent des kantonalen Elektorats zu einem Versuch zugelassen werden soll (Art. 4 und 5), so müssen das System und sein Betrieb hinsichtlich folgender Kriterien besonders eingehend geprüft werden:

1. kryptografisches Protokoll (Anhang Ziff. 5.1);

2. Funktionalität (Anhang Ziff. 5.2);

3. Sicherheit von Infrastruktur und Betrieb (Anhang Ziff. 5.3);

4. Schutz gegen Versuche, in die Infrastruktur einzudringen (Anhang Ziff. 5.5);

5. Anforderungen an Druckereien (Anhang Ziff. 5.6);

6. bei mehr als 50 Prozent des kantonalen Elektorats: Kontrollkomponenten (Anhang Ziff. 5.4).

Den nach den Artikeln 27c und 27e Absatz 1 VPR eingereichten Gesuchen sind beizulegen:

1. Belege oder Zertifikate, dass das System und dessen Betrieb hinsichtlich der gestellten Anforderungen geprüft worden sind und sämtliche Anforderungen wirksam erfüllen (Anhang Ziff. 6.1–6.3);

2. Belege, dass die Beurteilung der Risiken im Vorfeld eines Urnengangs vorgenommen wurde; aus diesen muss hervorgehen, weshalb sich die eingeschätzten Risiken in einem ausreichend tiefen Rahmen bewegen (Anhang

Auf Belege, die die Bundeskanzlei bereits erhalten hat und die noch gültig sind, kann verwiesen werden.

Die detaillierten technischen und administrativen Anforderungen an die elektronische Stimmabgabe sind im Anhang geregelt.

Bis zum 30. Juni 2015 kann ein Kanton in Ausnahmefällen von der Umsetzung einzelner Anforderungen aus Anhang Ziffer 2 und 3 befreit werden, sofern:

1. nicht mehr als 30 Prozent des kantonalen Elektorats zugelassen werden sollen;

2. die nicht umgesetzten Anforderungen im Gesuch bezeichnet sind; und

3. der Kanton die alternativen Massnahmen beschreibt und mit Bezug auf die Risikobeurteilung begründet, weshalb er die Risiken als hinreichend gering einschätzt.