Erläuternder Bericht

instruieren. Zu den Kontrollmöglichkeiten gehören nebst der individuellen Verifizierbarkeit auch die Prüfung der korrekten Verbindung mit dem Stimmportal. Indem die Stimmberechtigten laufend instruiert werden, wird ein verantwortungsbewusstes Vorgehen bei der Stimmabgabe nachhaltig gefördert.

Absatz 2

Die Stimme soll nach ihrer Abgabe in mehreren unterschiedlich ausgestalteten Komponenten des Systems abgelegt werden, die im Verantwortungsbereich verschiedener Personen liegen. Diese Massnahme soll gewährleisten, dass keine Stimme zwischen dem Zeitpunkt ihrer Abgabe und dem Beginn der Auszählung infolge eines gelungenen Angriffs oder einer Fehlfunktion einer einzelnen Komponente unbemerkt verändert oder gelöscht wird.

Indem die Stimme auf mehreren Komponenten gespeichert wird, lässt sich feststellen, wenn einzelne dieser Komponenten die Stimme nicht korrekt aufbewahren. Dies setzt voraus, dass die Stimme bei der Abgabe mindestens eine korrekt funktionierende Komponente erreicht. Dahingehend müssen die Kantone bzw. die von ihnen beauftragten Systemanbieter sicherstellen, dass ein Prüfcode (vgl. Absatz 1) nur dann richtig berechnet und angezeigt werden kann, wenn die kryptografischen Geheimelemente sämtlicher Komponenten verwendet werden. Da eine korrekt funktionierende Komponente ihre kryptografischen Geheimelemente nicht preisgibt, bestätigt der angezeigte Prüfcode, dass diese Komponente die Stimme erhalten hat.

Absatz 3

Die Nachvollziehbarkeit der weiteren Schritte des Wahl- und Abstimmungsprozesses nach der Registrierung der Stimme wird durch die universelle Verifizierbarkeit sichergestellt. Zu diesen Schritten gehören namentlich eine zusätzliche Anonymisierung durch wiederholtes kryptografisches Mischen sowie die Entschlüsselung der Stimmen. Mit dem kryptografischen Mischen werden die Reihenfolge sowie die Verschlüsselung der Stimmen verändert. Das Mischen dient als Massnahme zur Gewährleistung des Stimmgeheimnisses. Bei jedem Schritt kommen verschiedene Personen zum Einsatz, die unterschiedlich ausgestaltete technische Hilfsmittel verwenden. Die korrekte Durchführung jeder dieser Schritte muss mit einem kryptografischen Beweis belegt werden. Diese sogenannten zero-knowledge-Beweise erlauben zu prüfen, dass keine Manipulation stattgefunden hat. Gleichzeitig tragen sie keine Informationen, die das Stimmgeheimnis tangieren. Durch die unabhängige Prüfung der ungemischten, der gemischten sowie der entschlüsselten Stimmen in Verbindung mit den kryptografischen Beweisen kann zweifelsfrei festgestellt werden, dass die Wahl- und Abstimmungsergebnisse korrekt ermittelt wurden. Dabei ist sichergestellt, dass die Stimmen vom Zeitpunkt der Stimmabgabe bis zur Entschlüsselung der kryptografisch gemischten Stimmen zu keinem Zeitpunkt in unverschlüsselter Form vorliegen. Darüber hinaus ist der Schlüssel auf mehrere Personen verteilt, die unterschiedlich ausgestaltete technische Hilfsmittel verwenden. Die kryptografischen Beweise stellen also sicher, dass alle Stimmabgaben nachvollziehbar bleiben, ohne dass das Stimmgeheimnis verletzt würde.