Erläuternder Bericht

Ziff. 11.6: Ob es sich bei einer brieflich oder persönlich abgegebenen Stimme um eine doppelte oder sogar mehrfache Stimmabgabe handelt, kann nicht entschieden werden, indem lediglich die elektronisch abgegebenen Stimmen als Vergleichsbasis beigezogen werden. Dennoch fällt die Funktionalität nach Ziffer 11.6 in den Geltungsbereich der VEleS. Es ist allerdings nicht nötig, die Funktionalität unter Bezugnahme auf Vertrauensannahmen nach Ziffer 2 zu spezifizieren.

Ziff. 12 Vertrauliche Daten

Ziff. 12.9: Insbesondere für Systemkomponenten, deren Vertrauenswürdigkeit für die Wahrung des Stimmgeheimnisses nach Ziffer 2.9.3 massgeblich ist, muss sichergestellt sein, dass die Daten unwiederbringlich gelöscht wurden.

Ziff. 13 Bedrohungen

Die Sicherheitsziele (vgl. Art. 4 Abs. 3) lassen sich nicht mit hundertprozentiger Gewissheit erreichen. In jedem Fall lassen sich Sicherheitsrisiken identifizieren. Auf der Basis einer methodischen Risikobeurteilung (Art. 4 Abs. 1) ist der Nachweis zu erbringen, dass sich jegliche Sicherheitsrisiken in einem ausreichend tiefen Rahmen bewegen.

Ein Risiko lässt sich über Bedrohungen und Schwachstellen des Systems identifizieren. Ein Risiko entsteht, wenn eine Schwachstelle des Systems durch eine Bedrohung ausgenutzt werden kann und dadurch die Erfüllung eines Sicherheitsziels potentiell in Frage gestellt wird. Zur Risikominimierung kommen Sicherheitsmassnahmen zum Einsatz. Sicherheitsmassnahmen müssen die Sicherheitsanforderungen auf den Ebenen Infrastruktur, Funktionalität und Betrieb soweit erfüllen, dass die identifizierten Risiken hinreichend minimiert werden.

Die Liste der Bedrohungen wurde entsprechend den neuen Erkenntnissen aus den letzten Jahren sowie an den Einsatz von vollständig verifizierbaren Systemen angepasst. Es wurde eine neue Definition und Benennung der Akteure bei Bedrohungen eingeführt, um die Szenarien zu verdeutlichen.

Ziff. 13.12: Das Protokoll verlangt, dass die Stimmenden die Beweise nach Ziffer 2.5 prüfen. Gemäss der Bestimmung muss das Risiko beurteilt werden, dass ein externer Angreifer die vom Kanton zur Verfügung gestellten Informationen verändert, um Stimmende dazu zu bringen, von den für die Prüfung zu befolgenden Schritten abzuweichen. Es geht hier nicht darum, falsche Informationen zu berücksichtigen, die in sozialen Netzwerken verbreitet werden könnten.

Ziff. 13.13, 13.14 und 13.15: Unter einem elektronischen Mittel wird hier ein Mittel verstanden, das den Zugriff auf wichtige Informationen ermöglicht, ohne dass der Angreifer physisch vor Ort sein muss. Es kann sich dabei beispielsweise um eine Malware handeln.

Unter einem physischen Mittel wird hier ein Mittel verstanden, das den Zugriff auf wichtige Informationen ermöglicht, indem sich der Angreifer persönlich vor Ort begibt.

Mit Social Engineering ist ein Vorgehen gemeint, durch das sich ein Angreifer Zugang zu wichtigen Informationen verschafft, indem er eine Person so in die Irre führt, dass sie die gewünschten Informationen direkt zur Verfügung stellt oder den Zugang auf physischem oder elektronischem Weg gewährt.

Ziff. 13.16, 13.17 und 13.18: Das kryptografische Protokoll definiert bestimmte Parameter, Algorithmen und Abläufe. Die hier genannten Bedrohungen würden eine Schwachstelle in einem oder mehreren dieser Elemente ausnutzen.

Ziff. 14 Feststellung und Meldung von Sicherheitsereignissen und -schwächen; Handhabung von Sicher-

heitsereignissen und -verbesserungen

E-Voting-Systeme müssen eine wirksame Erkennung und Untersuchung von Vorfällen – wie beispielsweise vermutete Manipulationen von Stimmen oder Angriffe auf das System – ermöglichen. Der Inhalt und Umfang der Protokolle müssen so definiert werden, um dies sicherzustellen. Dabei ist das Stimmgeheimnis zu gewährleisten.