Erläuternder Bericht

hoher Wahrscheinlichkeit ihren Bestimmungsort erreicht hat, sofern die Generierung und der Druck der Daten für die Verifizierungsreferenz richtig funktioniert hat und sofern eine von vier Kontrollkomponenten richtig funktioniert (vgl. Erläuterungen zu Anhang Ziff. 2). Wenn die stimmberechtigte Person nicht darauf vertraut, dass diese Voraussetzungen gegeben sind, dann hätte das Ergebnis der Beweisprüfung für diese Person folgerichtig keine oder nur eine beschränkte Bedeutung. Das bedeutet: Der Beweis wäre für diese Person «nicht genügend stichhaltig».

Die korrekte Funktionsweise der Benutzerplattform der stimmberechtigten Personen und der Übertragungsweg müssen für die Stichhaltigkeit des Beweises nach Artikel 5 Absatz 2 Buchstaben a und b nicht vorausgesetzt werden. Das heisst, dass der Beweis auch dann stichhaltig sein muss, wenn eine manipulierte Benutzerplattform oder ein Man-in-the-middle⁹ die Stimme unbemerkt manipuliert – dank dem Beweis nach Artikel 5 Absatz 2 können die Stimmberechtigten die Manipulation eben doch bemerken.

Analog zur Stichhaltigkeit der Beweise nach Absatz 3: Der Beweis ist stichhaltig, wenn er den Prüferinnen und Prüfern dazu dient, Manipulationen unter den gegebenen Vertrauensannahmen erkennen zu können. Dadurch kann der Angreifer die Prüferinnen und Prüfer nicht irreführen, indem er mithilfe der nicht vertrauenswürdigen Systemkomponenten einen Beweis zur Rechtfertigung eines manipulierten Ergebnisses anfertigt. Solange die Prüferinnen und Prüfer darauf vertrauen, dass eine von vier Kontrollkomponenten und das von ihnen eingesetzte technische Hilfsmittel zur Prüfung der Beweise (typischerweise ein Laptop) korrekt funktionieren, dann sind die Beweise stichhaltig.

Art. 7 Wahrung des Stimmgeheimnisses und Ausschluss vorzeitiger Teilergebnisse

Für die Wahrung des Stimmgeheimnisses und den Ausschluss vorzeitiger Teilergebnisse muss das System so ausgestaltet sein, dass für einen erfolgreichen Angriff nach der Stimmabgabe mindestens drei der vier Kontrollkomponenten unter Kontrolle gebracht werden müssten. Es gelten stärkere Anforderungen für das Online-System, falls dieses von einem privaten Systembetreiber betrieben wird. Präzisierungen befinden sich im Anhang (Ziff. 2.9.3).

Art. 8 Anforderungen an den vertrauenswürdigen Systemteil

Diese Anforderungen dienen dem Ziel, dass ein erfolgreicher unerlaubter Zugriff möglichst keinen Vorteil beim Versuch verschafft, unbemerkt auf eine weitere Kontrollkomponente zuzugreifen.

Art. 9 Zusätzliche Massnahmen zur Risikominimierung

Entspricht mit einigen sprachlichen Anpassungen dem bisherigen Artikel 6 VEleS.

Art. 10 Anforderungen an die Überprüfung

Um die Wirksamkeit der Überprüfungen und die Unabhängigkeit zwischen der Prüfstelle und der geprüften Stelle zu stärken, wird die Aufgabenteilung zwischen Bund und Kantonen so angepasst, dass der Bund mehr Verantwortung und eine direktere Rolle bei der Überprüfung der Systeme übernimmt. So sollen die Überprüfungen künftig zum grössten Teil durch die BK in Auftrag gegeben werden (Abs. 1). In diesen Bereichen wird auf eine Zertifizierung durch Stellen, die von der Schweizerischen Akkreditierungsstelle (SAS) akkreditiert sind, verzichtet. Der Kanton sorgt weiterhin dafür, dass eine Prüfung in Bezug auf den Betrieb des Systems im Rechenzentrum des Systemanbieters stattfindet (Abs. 2). Die weiterführenden Anforderungen wie Gegenstand, Zuständigkeiten und Zeitpunkte der Prüfungen werden weiterhin im Anhang geregelt (Ziff. 26).

Abs. 1 Bst. b: Anpassung der Bezeichnung; neu: «Software des Systems». Diese Prüfung umfasst die bisherige Prüfung nach Anhang Ziffer 5.2 (Funktionalität) und Ziffer 5.4 (Kontrollkomponenten). Mit der