Grundsatzfragen zu E-Voting

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich KR-Nr. 154/2018

Sitzung vom 26. September 2018

924. Anfrage (Grundsatzfragen zu E-Voting) Kantonsrat Benjamin Fischer, Volketswil, Kantonsrätin Prisca Koller, Hettlingen, und Kantonsrat Tumasch Mischol, Hombrechtikon, haben am 28. Mai 2018 folgende Anfrage eingereicht: Mit RRB 299 vom 28. März 2018 hat der Regierungsrat beschlossen, Grundlagen für den flächendeckenden Einsatz von E-Voting auszuarbeiten. Auf politischer Ebene wird E-Voting über alle Parteigrenzen hinweg äusserst kritisch beurteilt. Der Regierungsrat wird gebeten, folgende Fragen zu beantworten: 1. Länder wie Deutschland (2009), Norwegen (2014), Frankreich (2017) oder Finnland (2017) sprachen sich gegen die Einführung von E-Voting aus. In der Schweiz hat der Urner Landrat am 21. März 2018 entschieden, dass auf die Einführung von E-Voting verzichtet werden soll. Hat der Regierungsrat Kenntnis von den Hintergründen, welche zu diesem Entscheid führten und welches ist seine Meinung dazu? 2. Fast täglich werden Defizite in IT-Systemen bekannt, bei denen der höchste Sicherheitsstandard angezeigt ist. So wurde im vergangenen Jahr das Kommunikationsnetz der deutschen Regierung gehackt, welches als eines der sichersten Regierungsnetzwerke der Welt gilt. Ebenfalls 2017 wurde unter anderem ein Cyber-Angriff auf Server des Eidgenössischen Departements für Verteidigung, Bevölkerungsschutz und Sport bekannt. Im Fünfjahresplan der NSA (National Security Agency, United States; SIGINT Mission Strategic Plan FY 2008–2013) ist nachzulesen, dass E-Voting prädestiniert ist, um ausgenutzt zu werden. Aufgrund dieser Tatsachen ist zu bezweifeln, dass derzeit eine Informatikumgebung geschaffen werden kann, welche als unhackbares «Fort Knox» der elektronischen Stimmabgabe herhalten kann. Wie beurteilt der Regierungsrat solche Realitäten im Zusammenhang mit E-Voting? 3. E-Voting wird sowohl seitens der Kantone, der Post wie auch der Bürgerinnen und Bürger mit sehr fragiler Hardware betrieben. So ist die Intel-Management-Engine seit längerer Zeit in der Kritik, die Kontrollübernahme von Rechnern zu erlauben. Seit Ende 2017 ist bekannt, dass praktisch sämtliche Geräte seitens der Bürger als auch auf Seiten der E-Voting-Provider über zentrale Recheneinheiten (CPUs) verfügen, die angreifbar sind – die Designfehler und damit die zusammenhängenden Sicherheitslücken tragen Namen wie «Spectre, Meltdown oder Spectre-NG». Wie gedenkt der Zürcher Regierungsrat auf solch

fragiler Grundlage, Ergebnisse auszuzählen – und wie können derart fundamentale Angriffe überhaupt erkannt werden? Angriffe auf Hardware-Ebene haben nämlich die Eigenschaft, dass sie von den Systembetreibern auf Ebene der Betriebssysteme nicht erkannt werden können. 4. Das Deutsche Bundesverfassungsgericht hat das Scheitern von E-Voting in Deutschland begründet. Gemäss Urteil des Gerichts, müssen alle wesentlichen Schritte von Wahlen und Abstimmungen der öffentlichen Überprüfbarkeit unterliegen. Im Nationalrat ist eine Parlamentarische Initiative hängig, welche diese Grundanforderung aufnimmt. Für E-Voting zugelassen werden sollen nur Systeme, welche sowohl auf individueller Ebene als auch in Bezug auf das Gesamtresultat eine Verifizierung zulassen. Konkret wird gefordert, dass alle wesentlichen Schritte zur Durchführung von Wahlen und Abstimmungen der öffentlichen Überprüfbarkeit unterliegen und das Verfahren zur Ermittlung von Wahl- und Abstimmungsergebnissen von den Stimm- und Wahlberechtigten ohne besondere Sachkenntnis überprüft werden können. Ist der Regierungsrat bereit, diese zentrale Forderung nach demokratiepolitisch gebotener Transparenz in seinen Gesetzesentwurf aufzunehmen? Falls nein, warum nicht? 5. In einem Artikel der NZZ vom 6. April 2018 äusserte die Justizdirektorin die Meinung, dass die Bevölkerung in Bezug auf E-Voting weniger skeptisch sei als die Politik. Zudem werde die Stimmbeteiligung bei den Jungen sinken, wenn E-Voting nicht eingeführt werde. Gegen letzteren Punkt spricht, dass sich praktisch alle Jungparteien gegen E-Voting aussprechen oder zumindest skeptisch sind. Entsprechen diese Aussagen einer persönlichen Meinung der Justizdirektorin oder gibt es fundierte Grundlagen und Erkenntnisse, welche diese Aussagen belegen? 6. Immer wieder wird E-Voting mit E-Banking verglichen. Unter anderem suggeriert auch eine Aussage der Justizdirektorin im Tagesanzeiger vom 14. April 2018 einen legitimen Vergleich dieser beiden Anwendungen. Sind dem Regierungsrat die grundlegenden Unterschiede von E-Voting und E-Banking bewusst, insbesondere im Hinblick auf Nachvollziehbarkeit und Absicherung von Ausfallrisiken? 7. Weshalb forciert der Regierungsrat, respektive die federführende Justizdirektion, trotz vorgenannter Fakten die Einführung von E-Voting im Kanton Zürich?

8. Welche Überlegungen, Szenarien oder Argumente würden den Regierungsrat von der Absicht des flächendeckenden Einsatzes von E-Voting abbringen?

Auf Antrag der Direktion der Justiz und des Innern beschliesst der Regierungsrat: I. Die Anfrage Benjamin Fischer, Volketswil, Prisca Koller, Hettlingen, und Tumasch Mischol, Hombrechtikon, wird wie folgt beantwortet:

Der Einsatz von E-Voting ist eine Gemeinschaftsaufgabe von Bund und Kantonen. Der Bund legt die sicherheitstechnischen Anforderungen für den Einsatz und Betrieb von E-Voting-Systemen fest. Die Kantone regeln Organisation, Zuständigkeiten und Abläufe der elektronischen Stimmabgabe. Anders als in der öffentlichen Diskussion immer wieder behauptet, war und ist die demokratische Mitsprache rund um die Weiterentwicklung von E-Voting jederzeit gewährleistet. So regeln die bestehenden gesetzlichen Grundlagen den E-Voting-Versuchsbetrieb, und ein flächendeckender Einsatz von E-Voting ist erst möglich, wenn Bundesrecht und kantonales Recht angepasst worden sind, auch das selbstredend unter voller Mitsprache aller politischen Akteurinnen und Akteure. Der Bundesrat wird bis Ende dieses Jahres einen entsprechenden Entwurf vorlegen. Auch im Kanton Zürich haben alle interessierten Organisationen die Möglichkeit zur Mitsprache. Nach breit abgestützten Abklärungen für einen kantonsweiten Einsatz hat der Regierungsrat die Direktion der Justiz und des Innern beauftragt, eine Vernehmlassungsvorlage zur Revision des Gesetzes über die politischen Rechte (GPR, LS 161) für den flächendeckenden Einsatz einer sogenannten papierarmen Variante von E-­ Voting auszuarbeiten (RRB Nr. 299/2018). Die entsprechenden Projektarbeiten zur Gesetzesrevision sind zurzeit im Gang, die Vernehmlassung ist für 2019 und die parlamentarische Beratung für 2020 geplant. Beschliesst der Kantonsrat die Gesetzesrevision, nimmt der Kanton Zürich anschliessend die Beschaffung und Einführung eines E-Voting-Systems an die Hand. Bereits bestimmt ist, dass der Kanton Zürich kein eigenes E-Voting-System entwickelt, sondern dass er auf bereits vom Bund bewilligte und zertifizierte Systeme setzt. Zurzeit verfügen der Kanton Genf und die Schweizerische Post über entsprechende Angebote. Der Kanton Zürich hat im schweizweiten Vergleich früh Versuche mit E-Voting durchgeführt und zeigen können, dass die elektronische Stimmabgabe möglich ist. Mit Blick auf die Einführung von E-Voting befindet sich der Kanton Zürich unterdessen im Mittelfeld. Im Umfeld der Kantone des ehemaligen Consortium Vote électronique befindet sich der

Kanton Zürich mit Blick auf die Wiedereinführung gar im hinteren Drittel. Leitlinie ist dem Regierungsrat bei seinem Handeln das Prinzip «Sicherheit vor Tempo». Führt der demokratische Prozess im Kanton Zürich zu einer definitiven Einführung von E-Voting, so steht dieses Angebot den Zürcher Stimmberechtigten frühestens ab 2022 zur Verfügung.

Zu Frage 1: Der Regierungsrat und die zuständigen Amtsstellen haben Kenntnis von den Entscheidungen in den genannten Ländern. Die unterschiedliche Ausgestaltung der politischen Rechte in der Schweiz und die spezifischen bundesrechtlichen Vorgaben an die elektronische Stimmabgabe setzen Vergleichen mit dem Ausland jedoch enge Grenzen. Zu nennen sind dabei insbesondere die direkte Demokratie mit einer hohen Kadenz an Urnengängen und die etablierte briefliche Stimmabgabe. Der Regierungsrat beurteilt E-Voting ausgehend von diesen institutionellen, rechtlichen wie auch kulturellen Rahmenbedingungen in der Schweiz. Er teilt damit die Auffassung des Bundesrates, der sich in der Stellungnahme zur im Nationalrat eingereichten Interpellation 18.3057 «Zerstörung der direkten Demokratie durch E-Voting» zu dieser Frage geäussert hat. Verschiedene kantonale Parlamente haben sich bei Gesetzgebungsvorhaben zur Einführung der elektronischen Stimmabgabe mit der Frage der Sicherheit beschäftigt. Im Kanton Uri wurde eine entsprechende Gesetzesänderung vom Landrat abgelehnt; im Kanton Uri haben bisher jedoch keine Versuche mit E-Voting stattgefunden. Die Kantone Graubünden und Glarus haben ihre Rechtsgrundlagen für den ordentlichen Betrieb des elektronischen Stimmkanals angepasst. Im Kanton St. Gallen ist eine entsprechende Anpassung in der parlamentarischen Beratung. Diese Kantone haben bereits Versuche mit der elektronischen Stimmabgabe unternommen. Zu Frage 2: Die sicherheitstechnischen Anforderungen für den Einsatz und Betrieb von E-Voting-Systemen sind bundesrechtlich geregelt (vgl. Art. 8a Abs. 2 Bundesgesetz über die politischen Rechte, BPR, SR 161.1, Verordnung über die politischen Rechte, SR 161.11, sowie Verordnung der BK über die elektronische Stimmabgabe, VEleS, SR 161.116). Der Bundesrat hat an seiner Sitzung vom 27. Juni 2018 die Bundeskanzlei beauftragt, eine Vernehmlassungsvorlage für eine Revision des BPR auszuarbeiten mit dem Ziel, E-Voting als dritten, komplementären Stimmkanal zu etablieren. In der Beantwortung einer ähnlichen Frage im Rahmen der Interpellation 18.3057 «Zerstörung der direkten Demokratie durch E-Voting» hat der Bundesrat darauf hingewiesen, dass Prävention und Bekämpfung von Missbrauch im elektronischen Datenverkehr unumstritten zu den grossen Herausforderungen unserer Zeit zähle. Er hält es jedoch für

falsch, aus dem zitierten Bericht und den bekanntgewordenen Missbrauchsfällen auf eine Gefahr für die elektronische Stimmabgabe in der Schweiz zu schliessen. Für Einrichtungen zur elektronischen Datenverarbeitung gelte weiterhin, dass geeignete Sicherheitsmassnahmen einen wirksamen

Schutz bieten. Er verweist dabei darauf, dass bei der elektronischen Stimmabgabe die Vertraulichkeit der Daten besonders wirksam geschützt werden könne. Neben der anonymen Stimmabgabe böten die durchgängige Verschlüsselung sowie weitere kryptografiegestützte Massnahmen einen Schutz, der die Möglichkeiten anderer Anwendungen übertreffe. Indem der Bund strenge Anforderungen an die Systeme zur elektronischen Stimmabgabe stelle, bildeten diese mit Blick auf den Datenmissbrauch kein leichtes Angriffsziel. Der Regierungsrat teilt diese sicherheitstechnischen Erwägungen in Bezug auf E-Voting in der Schweiz. Zu Frage 3: Ob IT-Systeme für einen konkreten Angriff anfällig sind, bestimmt sich aufgrund der gesamten technischen und betrieblichen Ausgestaltung der Systeme. Oftmals sind Sicherheitslücken für ganz bestimmte Systeme gefährlich, während sie für andere nicht relevant sind. In Bezug auf E-­ Voting schreibt die VEleS vor, dass E-Voting-Systeme und deren Betriebsprozesse einem kontinuierlichen Verbesserungsprozess zu unterliegen haben. Durch Zertifikate ist nachzuweisen, dass entsprechende Prozesse zur Überwachung, Überprüfung, Pflege und Verbesserung der Systeme bestehen und beispielsweise im Rahmen des Audits des Information Security Management Systems gemäss ISO 27001 geprüft wurden. Gemäss VEleS sind Zertifizierungsaudits vor Ablauf der üblichen Fristen vorzunehmen, falls die Systeme oder deren Betrieb wesentlich geändert werden. Das kann zum Beispiel dann der Fall sein, wenn die Systeme zum Schutz vor bis dahin unbekannten Sicherheitslücken geändert werden müssen. Die Zertifizierungsstelle entscheidet von Fall zu Fall, ob ein zusätzliches Zertifizierungsaudit nötig ist. Es ist somit sichergestellt, dass im Falle von Entwicklungen, welche die Sicherheit der Systeme beeinträchtigen könnten, bei Bedarf ein vorgezogenes Zertifizierungsaudit durchgeführt würde. Zu Frage 4: Zur Erfüllung der bundesrechtlichen Anforderungen an den elektronischen Stimmkanal müssen der korrekte Ablauf und die Korrektheit des Ergebnisses verifizierbar, also nachvollziehbar, sein. Die Überprüfbarkeit einer korrekten Stimmabgabe und einer korrekten Ergebnisermittlung sind somit vorgeschrieben. Die Stimmberechtigten können den korrekten Ablauf der elektronischen Stimmabgabe anhand von individuellen Codes selbst ohne besondere Sachkenntnis verifizieren (individuelle

Verifizierbarkeit). Die Korrektheit der Ergebnisse muss mit systemunabhängigen Informatikmitteln verifiziert werden können (vollständige Verifizierbarkeit); für diesen Schritt ist eine gewisse Sachkenntnis erforderlich. Ohne gewisse Sachkenntnis ist allerdings bereits heute – ohne dass E-Voting eingesetzt würde – die Korrektheit der Ergebnisse nicht

nachvollziehbar, da für die Ergebnisermittlung Informatikmittel verwendet werden. Zudem erfordert bereits das im Kanton Zürich verwendete Berechnungsverfahren zur Sitzzuteilung bei den Kantonsratswahlen (sogenannter doppelter Pukelsheim) besondere Sachkenntnis. Der Regierungsrat unterstützt eine grösstmögliche Transparenz im Bereich von E-­ Voting, kann aber für die Überprüfung komplexer Sachverhalte nicht redlich auf besondere Sachkenntnis verzichten. Zu Frage 5: Die Aussage der Vorsteherin der Direktion der Justiz und des Innern ist im allgemeinen Zusammenhang mit der Digitalisierung zu verstehen. Mit der zunehmenden Digitalisierung nimmt die Nutzung von Briefpost und damit auch die Vertrautheit insbesondere der jüngeren Bevölkerung mit Briefpost als Kommunikations- und Geschäftskanal ab. Vor diesem Hintergrund ist die Aussage als Einschätzung zu einer möglichen längerfristigen Entwicklung der Stimmbeteiligung von jungen Stimmberechtigten zu verstehen. Zu Frage 6: Der Vergleich mit E-Banking im genannten Artikel des Tages-Anzeigers dient lediglich der Veranschaulichung, wie selbstverständlich der Umgang mit E-Banking trotz anfänglicher und nach wie vor bestehender Sicherheitsbedenken in unserer Gesellschaft geworden ist. Der Regierungsrat ist mit den prinzipiellen Unterschieden zwischen E-Voting und E-Banking und den daraus resultierenden unterschiedlichen sicherheitstechnischen Anforderungen vertraut. Zu Frage 7: In der Schweiz bieten derzeit acht Kantone ihren Stimmberechtigten die elektronische Stimmabgabe an (Bern, Luzern, Basel-Stadt, Aargau, St. Gallen, Genf, Freiburg und Neuenburg). Der Kanton Thurgau wird den Pilotbetrieb der elektronischen Stimmabgabe 2018 wiederaufnehmen. Der Kanton Aargau sieht die Ausweitung auf Inlandschweizerinnen und Inlandschweizer 2019 vor. Der Kanton Waadt sieht für Ende 2018 erste Versuche mit Auslandschweizerinnen und Auslandschweizern vor. Die Kantone Glarus und Graubünden haben die Rechtsgrundlage für die flächendeckende Einführung von E-Voting geschaffen und planen zwischen 2019 und 2020 die (Wieder-)Einführung von E-Voting. Mit Beschluss Nr. 299/2018 erteilte der Regierungsrat der Direktion der Justiz und des Innern den Auftrag, die für den flächendeckenden Einsatz von E-Voting erforderlichen Anpassungen des GPR auszuarbeiten. Der in der Kommission für Staat und Gemeinden des Kantonsrates am 29. Juni

2018 präsentierte Projektzeitplan zur GPR-Revision zeigt auf, dass der Kanton Zürich seinen Stimmberechtigten bis 2022 kein E-Voting anbieten wird.

Zu Frage 8: Die VEleS schreibt die Offenlegung des Quellcodes und die Zertifizierung der E-Voting-Systeme sowie der kantonalen Prozesse zur Abwicklung der elektronischen Stimmabgabe vor. Zudem planen Bund und Kantone öffentliche Intrusionstests für die zertifizierten E-Voting-Systeme. Bei den Schritten zur Einführung von E-Voting stützt sich der Regierungsrat auf konkrete Ergebnisse, welche die Offenlegung des Quellcodes, die öffentlichen Intrusionstests und die Zertifizierung der beiden zurzeit im Einsatz stehenden E-Voting-Systeme zu Tage fördern. Bestehen nachweislich Mängel an der Qualität der E-Voting-Systeme, die gegebenenfalls dazu führen, dass ein System nicht zertifiziert werden kann, wird dies vom Regierungsrat selbstverständlich berücksichtigt.

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Direktion der Justiz und des Innern.

Vor dem Regierungsrat Die Staatsschreiberin: Kathrin Arioli