Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

3. Sicherheitsanforderungen

Die Sicherheitsziele (vgl. Art.2 Abs. 1) lassen sich nicht mit hundertprozentiger Gewissheit erreichen. In jedem Fall lassen sich Sicherheitsrisiken identifizieren. Auf der Basis einer methodischen Risikobeurteilung (siehe Kapitel 6, Ziff. E 7.40) ist der Nachweis zu erbringen, dass sich jegliche Sicherheitsrisiken in einem ausreichend tiefen Rahmen bewegen (Art. 2 Abs. 1).

Ein Risiko lässt sich über Bedrohungen und Schwachstellen des VE-Systems identifizieren. Ein Risiko entsteht, wenn eine Schwachstelle des VE-Systems durch eine Bedrohung ausgenutzt wird und dadurch die Erfüllung eines Sicherheitsziels potentiell in Frage gestellt wird. Zur Risikominimierung kommen Sicherheitsmassnahmen zum Einsatz. Sicherheitsmassnahmen müssen die Sicherheitsanforderungen auf den Ebenen Infrastruktur, Funktionalität und Betrieb soweit erfüllen, dass die identifizierten Risiken hinreichend minimiert werden.

Abschnitt 3.1 listet einige allgemeine Bedrohungen auf und bezieht sie auf die Sicherheitsziele. Sie sind bei der Identifizierung von Risiken zu berücksichtigen. In Abhängigkeit von den identifizierten Schwachstellen des VE-Systems sind sie so weit als nötig zu konkretisieren und zu ergänzen.

Die Sicherheitsanforderungen sind in den Abschnitten 3.2 – 3.15 zusammengefasst.

− Einerseits beziehen sie sich auf die Bedrohungen. Sicherheitsmassnahmen, die die Sicherheitsanforderungen nach besten Praktiken erfüllen, sind zur Gewährleistung der Sicherheitsziele in allen denjenigen Schwachstellen des VE-Systems vorzusehen, die Bedrohungen ausgesetzt sind.

− Anderseits beziehen sie sich auf die Anforderungen zur Ausgestaltung elementarer Abläufe (vgl. Kapitel 2). Dies dient als Hilfestellung zum Verständnis, welche Schwachstellen bei der Umsetzung einer Sicherheitsanforderung zu berücksichtigen sind. Weitere Schwachstellen sind am konkreten VE-System zu identifizieren und die Sicherheitsanforderungen in analoger Weise auf sie zu beziehen.

Abschnitt 3.15 umfasst Sicherheitsanforderungen aus dem Schutzprofil (PP) des deutschen Bundesamtes für Sicherheit in der Informationstechnik (BSI) [4]. Dabei sind gewisse Abweichungen zulässig. Die Abweichungen und die Bezüge zu den Bedrohungen und den Anforderungen zur Ausgestaltung elementarer Abläufe sind in Abschnitt 3.15 aufgeführt.

3.1. Bedrohungen

Bed3.10 Malware verändert Stimme auf der Sicherheitsziel (SZ): Korrektheit des

Plattform des Benutzers Ergebnisses

Bed3.20 Stimme wird mittels DNS-spoofing um- SZ: Korrektheit des Ergebnisses

geleitet

Bed3.30 Man-in-the-middle (MITM) verändert SZ: Korrektheit des Ergebnisses

Stimme

Bed3.40 MITM schickt korrupten Stimmzettel SZ: Korrektheit des Ergebnisses

Bed3.50 Administrator manipuliert Software, die- SZ: Korrektheit des Ergebnisses

se speichert Stimmen nicht

Bed3.60 Administrator verändert Stimmen SZ: Korrektheit des Ergebnisses

Bed3.70 Administrator fügt Stimmen ein SZ: Korrektheit des Ergebnisses

Bed3.80 Kriminelle Organisation dringt in System SZ: Korrektheit des Ergebnisses (hier ein und richtet Schaden an i.S.v. Bed3.50, Bed3.60, Bed3.70,

Bed3.90)

Bed3.90 Administrator kopiert Stimmunterlagen SZ: Korrektheit des Ergebnisses

und benutzt sie

Bed2.10 Malware auf der Plattform des Benut- SZ: Schutz des Stimmgeheimnisses und zers schickt Stimme an Organisation Ausschluss vorzeitiger Teilergebnisse

Bed2.20 Malware auf der Plattform des Benut- SZ: Korrektheit des Ergebnisses,

zers schickt Stimme an Organisation Schutz des Stimmgeheimnisses und

Ausschluss vorzeitiger Teilergebnisse