E-Voting: Kampf um die Demokratie

Können wir darauf vertrauen, dass Abstimmungen und Wahlen nicht manipuliert wurden? Wo stehen wir heute bei E-Voting und wie sieht dessen Zukunft aus? Ein Gesamtüberblick nach 22 Jahren Entwicklung.

Von René Droz

Frühe Jahre: Bedarfsabdeckung oder falscher Ehrgeiz?

Die federführende Bundeskanzlerin Annemarie Huber-Hotz (2000 bis 2007) nahm sich mit diesem Projekt viel vor und erreichte 2005 erste Versuche mit dem damaligen E-Voting System «CHVote», das vom Kanton Genf entwickelt und betrieben wurde. 

Immer wieder gestützt auf entsprechende Umfragen, sollte das Projekt als echtes Bedürfnis der Stimmbürger dargestellt werden, wobei aber dort nie erfragt wurde, was der Bürger bereit wäre, denn dafür als Preis oder als Risiko auf sich zu nehmen. Nicht verwunderlich, dass jeweils zwei Drittel der Befragten fanden, ja E-Voting wäre schon noch gut. Allerdings gab es schon immer ein Drittel der Leute, die das entweder für unnötig oder sogar gefährlich hielten, weil sie entweder keine Notwendigkeit dafür sahen oder das Risiko des Vertrauensverlustes erahnten. Als Kronjuwel der Argumente diente dann jeweils der Fakt, dass es im Ausland Schweizer gibt, die ihr Stimm- und Wahlrecht nur schwer oder gar nicht ausüben konnten, wenn es kein E-Voting gäbe.

Das Argument «Verminderung des Papierverbrauches» konnte relativ rasch widerlegt werden, als man sah, dass es ohne die Papierverteilung der Unterlagen ja gar nicht ging. Das Argument der Kostenersparnis war von Anfang an ein Wunschdenken, denn die Kosten des E-Votings waren und sind bis heute nicht annähernd absehbar, während der Betrieb der vielen Stimmbüros in den Gemeinden kaum etwas kostet, da diese Tätigkeiten im Wesentlichen auf Freiwilligkeit beruhen. Auf der politischen Linken sah man anfänglich als Aussicht, durch E-Voting eine grössere Beteiligung der Jungen zu erreichen und dadurch für die eigenen Interessen bessere Resultate zu erzielen. Alle Studien dazu ergaben aber eindeutig: Es gibt durch E-Voting keine Verschiebung oder Erhöhung der Stimmbeteiligung. Einzig der Zeitgeist spricht klar für ein E-Voting.  

Immer klarer wurde mit der Zeit, dass - mit Ausnahme des realen Problems der Auslandschweizer – das ganze Projekt in der Hauptsache eher eine Prestige-Angelegenheit der Bundeskanzlei und einiger Staatskanzleien in den Kantonen als ein echtes Bedürfnis einer breiten Bevölkerung war.

Man vernahm bei allen Schwierigkeiten und Problemstellungen immer wieder den Spruch «Sicherheit vor Tempo», und das über 20 Jahre lang. Das ist zwar ein gutes Prinzip, aber in diesem Fall kann wohl weder von Sicherheit noch von Tempo gesprochen werden.

Der Probebetrieb zwischen 2005 und 2019

Insgesamt waren drei verschiedene Systeme geplant, so dass durch die Konkurrenzsituation ein Anreiz für die Anbieter bestanden hätte, das jeweils eigene System besser zu machen als die anderen es waren. Gut für die Kantone, schlecht für die Anbieter! Die Kantone hätten im Notfall einfach aus einem System aussteigen können und sich für eines der beiden anderen entscheiden können. Allerdings lag der Fokus in der Hauptsache auf der Funktionsfähigkeit und der Akzeptanz durch die Stimmbürger. Als Antwort auf die Sicherheitsfragen wurde stets nur auf die Kryptologie verwiesen, als ob die Sicherheit lediglich eine mathematische Herausforderung der Verschlüsselung wäre.

Einige Kantone schlossen sich in der Folge im Jahr 2009 zu einem Konsortium zusammen, um im Verbund eine alternative Lösung zu der vom Kanton Genf betriebenen Lösung «CHVote» anbieten zu können. Diese Lösung wurde aber 2015 vom Bundesrat gestoppt, nachdem klar wurde, dass dieses System den datenschutzrechtlichen Anforderungen zum Abstimmgeheimnis nicht genügte. Ein Jahr später übernahm die Post ein System des spanischen Herstellers Scytl und bekam von der Bundeskanzlei dafür eine Betriebsbewilligung, so dass ab dann wenigstens wieder zwei alternative Systeme zur Verfügung standen.

Im Jahr 2017 verkündete der Bundesrat die Ausarbeitung neuer juristischer Grundlagen für eine flächendeckende Ausweitung des Einsatzes von E-Voting. Das hiess, dass nicht mehr nur einige wenige Prozente der Stimmbevölkerung (vor allem. Auslandschweizer) mit E-Voting abstimmen konnten, sondern alle. Effektiv hätten auch schon mit der Verordnung 161.116 30 Prozent des Elektorats abstimmen können, was aber effektiv nicht der Fall war.

Bis dahin war kaum je die Rede von den vielen Unzulänglichkeiten und Risiken, die immer mehr zu Tage traten, als sie plötzlich in Presseerzeugnissen auftauchten. In- und ausländische IT-Experten haben sich eindeutig öffentlich skeptisch geäussert und auch politische Kreise in Parlamenten wurden danach aktiv. Insbesondere zeigte es sich, dass die SVP einerseits und grüne Politiker beziehungsweise Piraten andererseits sich dezidiert gegen das Vorhaben E-Voting aussprachen und auch im Parlament gab es diverse Vorstösse gegen E-Voting, die aber noch keine Mehrheiten fanden. Stossend war insbesondere die Tatsache, dass das Volk für so eine wichtige Frage wie einen neuen Abstimmungskanal, der nicht in der Bundesverfassung vorgesehen war, nicht befragt werden sollte.

Überbrückung von heiklen juristischen Rahmenbedingungen

Die Bundesverfassung kennt nur zwei Abstimmkanäle: Urne und Briefwahl. Damit die Kantone E-Voting machen können, brauchen sie eine gesetzliche Grundlage. So wurden flugs in vielen Kantonen die Gesetze geschaffen, welche ein solches Vorhaben ermöglichen. Diese Gesetze widersprechen aber der Bundesverfassung und eine Verfassungsbeschwerde könnte solche Gesetze kippen. 

Im Sinne der Bundeskanzlei reichen deren Kompetenzen offenbar dafür aus, für Probebetriebe mit neuen Wahlsystemen die Verfassung temporär und punktuell zu übergehen. Allerdings hätte wohl eine Verfassungsbeschwerde gute Aussichten gehabt, insbesondere zu der Zeit, als im Probebetrieb per Verordnung 30 Prozent des Elektorats an der Bundesverfassung vorbei auf einem dritten Kanal hätten abstimmen können.

Für die Änderung der Bundesverfassung bräuchte es nämlich zwingend eine Volksabstimmung, also auch für E-Voting. Eine solche Abstimmungsvorlage ist aber natürlich ein waghalsiges Unterfangen, wenn der Stimmbürger noch nicht weiss, wie das E-Voting funktioniert. Deshalb braucht es einen Probebetrieb. Man hat sich wohl gedacht, dass, wenn das alles einmal bestens funktioniert, eine anschliessende Abstimmung vor dem Volk auch kein Problem mehr sein werde. 

Die Volksinitiative «Für eine sichere und vertrauenswürdige Demokratie (E-Voting Moratorium)»

Es war der IT-Unternehmer und Nationalrat Franz Grüter (SVP Luzern), der sich besonders mit dezidierten Vorstössen auszeichnete und dann auch das Präsidium einer bunt zusammen gewürfelten Truppe von IT-Experten und Politikern übernahm, die sich vorgenommen hatte, eine Volksinitiative gegen E-Voting zu starten. Es war ihm dabei wichtig, möglichst aus allen Parteien Vertreter an Bord zu holen, damit die politische Breite der Gruppe mehrheitsfähig wird. Auch die Landesteile und die Geschlechter sollten komplett vertreten sein. 

Es zeigte sich in diesem gemischten Komitee aber recht bald, dass ein eigentliches E-Voting Verbot kaum mehrheitsfähig ist, weil in weiten Kreisen immer noch die Meinung herrscht, man müsse einfach die Technik sicher machen und dann könne man so einem System vertrauen. Ein Verbot wirke generell als Hindernis gegen Erneuerungen. (Interessant ist allerdings, dass die gleichen Parteien dies im Falle der Kernkraftwerke anders gesehen hatten und dort ein Generalverbot mehrheitsfähig wurde.) Deshalb einigte man sich auf ein sogenanntes «Moratorium», bei dem die Wiedereinstiegshürden aber so hoch gesetzt wurden, dass sie – je nach Wissenslage und Einstellung des Betrachters – ebenfalls als Verbot hätten wirken können. Der Bundeskanzler hatte sich jedenfalls in dieser Richtung geäussert.

Als Kampagnenleiter wurde Nicolas A. Rimoldi (damals FDP Luzern) beauftragt, der die Unterschriftensammlung in den verschiedenen Parteien und Kantonen koordinierte und auch selbst fleissig Unterschriften sammelte. Er hat dann die Verbindungen zu den verschiedenen Parteien, insbesondere auch zu den Jungparteien geknüpft, so dass rasch Zehntausende Unterschriften zusammenkamen. Die Sammlung, die im März 2019 startete, bekam dann aber im Juni paradoxerweise in dem Moment einen Dämpfer, als der Bundesrat den Betrieb des E-Voting CH eingestellt hatte. Viele Leute hatten dann den Eindruck, die Initiative brauche es ja jetzt nicht mehr. 

Zwar wurden noch zahlreiche weitere Unterschriften gesammelt, aber im März 2020 zeigte sich, dass wegen den Corona-Massnahmen ein Unterschriftensammeln, das noch bis im August 2020 hätte dauern können, kaum noch möglich war. Deshalb hat das Komitee im Juni 2020 bekanntgegeben, dass die Unterschriftensammlung eingestellt wird.

Das Ergebnis 2019: Einstellung des Betriebes E-Voting

Nach einer erfolgreichen Täuschungsaktion durch den Chaos Computer Club – es wurde nicht das E-Voting-System, sondern die Infrastruktur gehackt, wodurch der Benutzer überlistet wurde – wurde den Verantwortlichen in Genf klar, dass sie massiv in Sicherheit zu investieren hätten, schon nur, wenn sie das eine, jetzt gefundene Problem lösen wollten. Die Kantonsverantwortlichen hatten danach den Mut, eine strategisch weise Entscheidung zu fällen: Die Kosten und Risiken drohen aus dem Ruder zu laufen, die trägt der Kanton Genf nicht alleine, und sie stellten den Betrieb «CHVote» ein. Damit war nur noch das (ausländische) Post–System in drei Kantonen übriggeblieben. Schlecht für die Kantone, gut für den Anbieter. Der Kanton Basel-Stadt störte das nicht gross und er kündigte an, flugs einfach vom «CHVote» zum Post-System zu wechseln. Unterdessen nahmen auch ausländische Experten sowie eine investigative Journalistin speziell dieses System unter die Lupe und es wurde klar, dass niemand wirklich wusste, wo die Kontrolle und wo die Kompetenz dafür effektiv vorhanden war. Experten deklarierten die Lösung als völlig wirr, undokumentiert und unverständlich. Auch mögliche amerikanische Verbindungen zur Firma Scytle wurden angemahnt. Was das hätte bedeuten können, hat später die Crypto-Affäre gezeigt. Schliesslich konnten Experten nachweisen, dass dieses System – bereits jahrelang im Betrieb – entgegen den Beteuerungen der Post manipulierbar gewesen war, ohne dass die Verifizierbarkeit dies hätte aufzeigen müssen. Das heisst, es gibt keine Gewähr, dass Abstimmungen nicht bereits manipuliert wurden.

Durch diese Enthüllungen wurde dieses System kurze Zeit später von der Post ebenfalls zurückgezogen, möglicherweise auch auf Druck der Bundeskanzlei mit der Ankündigung einer eigenen Neu-Entwicklung. Insbesondere war ja die geforderte «Offenlegung des Codes» beim alten System nicht erreichbar, nachdem die Firma Scytle entsprechende Vorbehalte geäussert hatte.

Am 19. Juni verkündete die Bundeskanzlei die Einstellung des gegenwärtigen Probebetriebes des E-Votings und einen kompletten Neustart des ganzen Projekts. Es gab keine zugelassenen Systeme mehr. Die veränderte politische Wetterlage wurde auch durch die nationalrätliche Annahme am 9. Dezember 2019 des «Marschhalt-Vorstosses» von Altnationalrat Claudio Zanetti (18.468) im Parlament angezeigt.

Der Neubeginn

Durch den Neustart der Bundeskanzlei sind die Bedingungen für den Probebetrieb restriktiver geworden und deshalb etwas weniger dramatisch als sie noch ein Jahr zuvor geplant worden waren. Zudem sind auch die Möglichkeiten für die Bundeskanzlei besser geworden, auf systemische Problemstellungen aufmerksam gemacht zu werden, seitdem eine weit besser besetzte IT-Expertengruppe das Projekt permanent verfolgt. Durch die neue Eigenentwicklung der Post ist die Offenlegung des Codes jetzt möglich und auch Intrusion-Tests sind periodisch vorgesehen, auch wenn für Experten klar ist, dass diese keine Gewähr für die Sicherheit gegen alle möglichen Angriffe darstellen. Ausserdem wurde der Zeitrahmen offengelassen und auf circa 15 Jahre geschätzt, bis sich ein E-Voting System flächendeckend einsetzen lasse. 

Aber damit sind die positiven Aspekte des Neubeginns bereits abschliessend aufgezählt. Wichtige systemische Mängel sind inhärent und können gar nicht durch juristische Verordnungen aus dem Weg geschafft werden. Wenn es solche Verordnungen gäbe, müssten diese akribisch genau alle Prozesse beschreiben, wie Unregelmässigkeiten entdeckt werden, und wie diese in jedem einzelnen Fall zu behandeln wären. Von solchen möglichen Fälle gibt es enorm viele. Jeder Exekutivbeamte würde sofort erkennen, dass dies mit den gegebenen oder auch nur schon denkbaren Ressourcen gar nicht möglich wäre. Es gibt aber keine solchen Verordnungen auf Bundesebene. Die Kantone können selbst bestimmen, was sie für Vorkehrungen als notwendig erachten. Es sind bis heute keinerlei solcher Vorkehrungen bekannt geworden. Probleme, die man nicht kennt, bedürfen keiner Behandlung. Und wer würde unter diesen Umständen Probleme entdecken wollen?

Die verbleibenden systemischen Mängel

Der Begriff «Verifizierbarkeit» suggeriert, dass man feststellen können muss, wenn ein Abstimmungsresultat gefälscht ist. Damit will man dem Stimmbürger die Angst vor einer durchaus zugegebenen möglichen Manipulation nehmen. Eine Erkennung mag in einem einzelnen Falle einer Stimmabgabe zwar möglich sein. Es ist aber mitnichten garantiert, dass das stets so stattfindet. Es gibt ausserdem keinerlei Prozesse und nicht einmal vage Vorstellungen dazu, wie diese theoretisch möglichen Einzel-Feststellungen in einen politischen Bewertungsprozess einfliessen könnten, der zu adäquaten Erkenntnissen und Entscheidungen führen würde. Bei einer Feststellung von Unregelmässigkeiten könnten nämlich keinerlei belastbare Erkenntnisse gewonnen werden, welches Ausmass mögliche Manipulationen haben. Diese Insuffizienz führt automatisch zur Annahme, dass niemand der Verantwortlichen von E-Voting an einer Aufdeckung solcher Unregelmässigkeiten interessiert wäre. Man müsste jedes Mal sagen: «Das und das wurde festgestellt. Es liegen aber keine Erkenntnisse für eine Wahlverfälschung vor». Das ist eine Aussage der Hilflosigkeit sowie ein Freipass für Passivität und wird nicht vertrauensbildend sein. 

Mit der heutigen juristischen Betrachtungsweise durch die Bundeskanzlei werden auch nicht alle Cyber-Risiken angemessen erfasst, die bekannt sind. Es geht insbesondere um die Sicherung der ganzen Schwachstellen in der Infrastruktur und dem IT-Betrieb aller beteiligten Systeme, zum Beispiel auch betreffend der Drucker für die Abstimm-Codes. Es scheint, man hat immer nur den Fokus auf der Applikation, die man mit genügend Aufwand theoretisch tatsächlich unter Kontrolle bekommen könnte. Eine erneute Prüfung des vorgegebenen Applikations-Codes auf Sicherheitsrisiken dauert für diejenigen, die den Code schon genau kennen, vielleicht ca. 1 Woche. Es dürfte sich um eine ganz kleine Zahl von Leuten handeln, auf die dies zutrifft. Für einen bisher Unbeteiligten kann das leicht ein Jahr dauern. Man müsste berücksichtigen, dass jeder von diesen wenigen Leuten jederzeit den Job wechseln oder krank werden kann. Ausserdem könnte er – mit der geschickten Platzierung einer Schwachstelle – sich vielleicht von interessierten Kreisen bestechen lassen. Oder er wird durch Erpressung zu einer solchen Dienstleistung gebracht. Eine solche Manipulation könnte aber nach langer heimlicher Vorbereitung irgendwo auf der Welt in wenigen Minuten jederzeit lokal vollzogen werden. Das zu verhindern, ist unglaublich schwierig beziehungsweise aufwendig! Jeder müsste jederzeit ersetzbar sein und zudem andere lückenlos überwachen können und dies auch tun. Man darf getrost davon ausgehen, dass sich keine kommerzielle Institution einen solchen Aufwand leisten kann oder auch nur schon will. Die Qualität dieses Aufwandes wäre zudem ohnehin für Aussenstehende wie Kantonsbeamte oder Angehörige der Wahlkommission überhaupt nicht erkennbar, geschweige denn für die Öffentlichkeit als Ganzes. Wie soll sich da Vertrauen für den Stimmbürger bilden können?

Das System Post gilt jetzt wiederum als einzige Lösung in Sicht. Wenn eine erfolgreiche Kommerzialisierung unter den Sicherheitsbedingungen schon für die Post fraglich ist, welche anderen Hersteller werden sich diesen Markt teilen wollen?

Letztlich geht es um das Vertrauen des Stimmbürgers in die Institution «E-Voting». Wie soll das unter diesen Bedingungen hergestellt werden können? Wie soll der Verlierer einer Wahl überzeugt werden, dass er wirklich verloren hat und alles mit rechten Dingen zuging. Wir kennen das aus Ländern, in welchen jede Wahl angezweifelt wird, weil das Vertrauen in die Institutionen fehlt. Wollen wir das etwa kopieren in der Schweiz?

Der heutige politische Stand nach der Vernehmlassung 2021

Der juristisch formulierte Neubeginn von E-Voting wurde, wie das üblich ist, in eine Vernehmlassung gegeben. Dort konnten sich Kantone, Parteien und sonstige interessierte Kreise äussern. Eine ausführliche Auswertung dieser rund 80 Eingaben finden Sie hier.

Es hat sich dabei gezeigt, dass sich die Skepsis inzwischen erheblich verbreitert hat: 

• Die unabhängigen wissenschaftlichen IT-Experten sind grossmehrheitlich grundsätzlich gegen das E-Voting als solches. Die Wirtschaftsverbände sehen zwar Problemkreise drängen aber auf Weiterentwicklung (ausser economiesuisse!), während die betroffenen Verbände (Blindenverband, Auslandschweizer) nach wie vor jede Art von E-Voting unterstützen.

• Bei den Parteien unterstützen die Fraktionen FDP und Mitte die Bundeskanzlei, jetzt auch mit restriktiverem Kurs, während die SVP immer noch klar und grundsätzlich gegen E-Voting opponiert. In der SP sieht man im Vordergrund den Kommerzialisierungsdruck und ist daher vor allem gegen die Post-Lösung. Man bedauert die Aufgabe des CH-Vote als einzige staatliche Lösung. Bei den Grünliberalen sieht man beide gegensätzlichen Haltungen Pro (liberal) und Contra (grün).

• Bei den Kantonen sind es nur noch drei, die vorbehaltlos bei E-Voting erneut mitmachen wollen, vier lehnen die Post-Lösung explizit ab, und vier lehnen einen weiteren Probebetrieb ab. Die übrigen 15 enthalten sich einer Meinung und warten ab. 

Mit der Unterstützung von nur einigen wenigen Kantonen wird sich wohl kein Geschäftsmodell rechnen, auch wenn der Bund etwelche Entwicklungskosten mitträgt. Die grosse Unbekannte ist der Aufwand, der im Betrieb für die Sicherheit geleistet wird und die Frage, ob der demjenigen entspricht, der geleistet werden müsste. Man überlässt den Kantonen grosszügig die Frage, wie viel Sicherheit sie als genügend erachten, obwohl dort kaum genügend qualifizierte Experten für solche Fragen vorhanden sind. Man geht dort grossmehrheitlich davon aus, dass wenn die Bundeskanzlei ein System freigibt, es per se sicher sein muss und man darum keine eigene Verantwortung für einen sicheren Betrieb übernehmen muss, der über die normalen IT-Sicherheitsvorschriften hinausgeht. Eine klassische Fehlannahme als Ursache für eine absehbare Katastrophe: Der Bund will die zentrale System-Verantwortung nicht übernehmen und die Kantone können es nicht! 

Aussichten für die Zukunft

Das Prestige-Ziel ist ja ein besseres Landes-Ranking in der Digitalisierung beziehungsweise beim E-Government. Das würde zweifellos erreicht. Eigentlich könnte man das auch ohne E-Voting erreichen, aber der Ehrgeiz der beteiligten Institutionen lässt das vielleicht nicht zu. Folgende Szenarien sind wahrscheinlich: 

• Wenn die Post nicht innert nützlicher Frist ein Geschäftsmodell kriegt, das profitabel ist, wird sie den Betrieb einstellen. 

• Wenn Post und Kantone genügend Kompetenzen aufbauen, um den Sicherheitsansprüchen zu genügen, wird das unglaublich viel kosten und die Kantonsparlamente werden Kostentransparenz einfordern. Das wird zu heftigen Diskussionen bezüglich Effizienz führen.

• Viele Kantone werden mehr Bundessubventionen einfordern, einige vielleicht den Betrieb einstellen. Das wird die Rechnung für die anderen Kantone nochmals verschlechtern. Der Ruf nach einer Bundeslösung oder einer Nutzerfinanzierung wird lauter. Sollte letztere kommen, wird die Ablehnung in der Bevölkerung sehr wahrscheinlich mehrheitsfähig.

• Die Skepsis in der Bevölkerung beziehungsweise bei den Parteien wird sich vergrössern, wenn an der Sicherheit gespart wird oder es an Transparenz von Aufwendungen oder Prozessabläufen fehlt. Ein einziger Zwischenfall kann die Euphorie eliminieren und durch Skepsis ersetzen.

• Wenn die Transparenz aber kommt und alle Unzulänglichkeiten und Unregelmässigkeiten veröffentlicht werden, so wird das öffentliche Bild ebenfalls einen Eindruck der Inkompetenz hinterlassen und die Skepsis fördern. 

• Die Bundeskanzlei entschliesst sich zu einer Volksabstimmung über E-Voting und lässt sich das damit einhergehende Risiko für die Demokratie abnehmen.

Bis auf das letzte Szenario sieht es also eher schlecht aus für diese Art von Innovation der Demokratie. Es scheint nur eine Frage der Zeit zu sein, bis diese Erkenntnis mehrheitsfähig wird. Also genau so wie in Norwegen vor acht Jahren.

---

René Droz (69), Dipl. El.-Ing. ETH, gehörte in den 80er-Jahren zu den frühen Entwicklerpionieren der schweizerischen Telekommunikationsindustrie als Experte für Netzwerktechnik. In der Funktion als konzeptioneller Planer und operativer Leiter des militärischen Computer Emergency Response Team im Rahmen der VBS-Führungsunterstützung untersuchte er ab 2005 mit seinem Team schwierige Cybervorfälle und erstellte zu Handen der Armeeführung ein Bild der aktuellen Risikolage sowie der Abwehrmassnahmen. Als Gesamtprojektleiter führte er auch die Evaluationen und Beschaffungen der entsprechenden Systemkomponenten der Sensorik. Er gehörte im Jahr 2018 zu den ersten Experten, die die E-Voting-Moratoriums-Initiative ins Leben gerufen haben (www.noevoting.ch).

---

Weitere Informationen zum E-Voting-Komplex finden Sie unter e-voting-moratorium.ch.

---

Wir danken dem Autor für die Veröffentlichung des Artikels. Gastbeiträge müssen nicht zwangsläufig die Sichtweise der Redaktion widerspiegeln.