Erläuternder Bericht

Artikel 8b Nachvollziehbarkeit der elektronischen Stimmabgabe und der korrekten Ermittlung des Ergebnisses der elektronisch abgegebenen Stimmen

Die Bestimmung verankert die vollständige Verifizierbarkeit als zentrale Anforderung an das elektronische Stimmabgabeverfahren. Vollständige Verifizierbarkeit bedeutet, dass systematische Fehlfunktionen infolge von Softwarefehlern, menschlichen Fehlleistungen oder Manipulationsversuchen von der Stimmabgabe bis hin zur Ergebnisermittlung dank unabhängiger Mittel erkannt werden können. Das Stimmgeheimnis ist dabei zu wahren. Die Stimmen dürfen vom Zeitpunkt der Stimmabgabe bis zur Entschlüsselung der kryptografisch gemischten Stimmen zu keinem Zeitpunkt in unverschlüsselter Form vorliegen. Die Verifizierbarkeit geht über die Anforderungen an andere Stimmabgabeverfahren hinaus: Der gesamte elektronische Wahl- und Abstimmungsprozesses, von der Stimmabgabe bis hin zur Ergebnisermittlung, muss unter Wahrung des Stimmgeheimnisses nachvollziehbar sein. Die Verifizierbarkeit soll redaktionell nach Verfahrensphase differenziert geregelt werden, indem in den Absätzen 1 und 2 die Verifizierbarkeit der Stimmabgabe (individuelle Verifizierbarkeit) und in Absatz 3 die Verifizierbarkeit der Ergebnisermittlung (universelle Verifizierbarkeit) festgelegt wird.

Absatz 1

Die individuelle Verifizierbarkeit ermöglicht es den Stimmberechtigten zu kontrollieren, ob ihre Stimme gemäss ihrem Willen übermittelt und registriert wurde. Dadurch sollen sie ausschliessen können, dass die Stimme auf dem Gerät, das sie zur Stimmabgabe benutzen, oder auf dem Übertragungsweg verändert wurde. Sie müssen die Korrektheit der Stimmabgabe zuverlässig nachvollziehen können. Diese Formulierung verweist darauf, dass es nicht bloss auf die Wahrnehmung der Stimmberechtigten ankommt, sondern die Systeme und die betrieblichen Abläufe darauf ausgerichtet sein müssen, dass eine effektive und vertrauenswürdige Kontrolle möglich ist. Die Vertrauenswürdigkeit richtet sich nach objektiven Massstäben. Wegen des Stimmgeheimnisses sind nur die Stimmberechtigten selbst in der Lage, zu überprüfen, ob ihre Stimme gemäss ihrem Willen erfasst wurde. Gemäss heutiger Praxis wird die individuelle Verifizierbarkeit sichergestellt, indem die Stimmberechtigten für jede Stimmoption individuelle Prüfcodes erhalten. Werden auf dem Bildschirm die richtigen Prüfcodes angezeigt, können die Stimmberechtigten nachvollziehen, dass ihre Stimme korrekt angekommen ist. Die individuelle Verifizierbarkeit ist dann zuverlässig, wenn die Codes vertraulich bleiben. Dahingehend sind mit Blick auf ihre Generierung und namentlich den Druck spezielle Anforderungen zu stellen. Die Codes werden auf einem von der IT unabhängigen Weg – brieflich – zugestellt und sind daher auch durch eine Schadsoftware auf dem zur Stimmabgabe verwendeten Gerät nicht lesbar. Die Stimmenden werden nicht dazu verpflichtet, ihre Stimmabgabe zu verifizieren. Es darf aber angenommen werden, dass stets eine bestimmte Anzahl Stimmberechtigte diese Kontrolle durchführen wird. Systematische Manipulationen können daher mit einer hohen Wahrscheinlichkeit festgestellt werden. Für diese Feststellung reicht es bereits aus, wenn ein beschränkter Anteil der Stimmenden ihre Stimmabgabe anhand der zugestellten Codes überprüft und allfällige Unstimmigkeiten den Behörden meldet bzw. den Stimmabgabeprozess abbricht. Es liegt in der Zuständigkeit der Kantone, die Stimmberechtigten mit Blick auf die Kontrollmöglichkeiten zu