Jusletter IT

Der Beitrag vergleicht die Überprüfbarkeit, Sicherheit und Qualität der Stimmabgabe bei der Verwendung des elektronischen oder des brieflichen Kanals in der Schweiz, und zwar jeweils dort im Abstimmungsprozess, wo es sinnvoll erscheint, diese Kriterien anzuwenden. In beiden Fällen erfolgt die Stimmabgabe in einer nicht überwachten, privaten Umgebung aus der Distanz, also nicht im Stimm- oder Wahllokal.

In der Schweiz hat mit der graduellen – inzwischen generalisierten – Einführung der brieflichen Stimmabgabe über einen Zeitraum von rund 30 Jahren bereits ein Wandel der Abstimmungskultur stattgefunden. In vielen anderen Ländern hingegen wird die aus einer nicht überwachten Umgebung heraus getätigte Stimmabgabe per Briefpost sehr kontrovers diskutiert und abgelehnt, da die Wahrung des Stimmgeheimnisses nicht vollständig gewährleistet ist. In Frankreich beispielsweise ist der Akt des Wählens derart symbolgeladen, dass trotz frühen Experimenten mit E-Voting¹ an eine Abkehr vom physischen Wahlakt in der Wahlkabine nicht zu denken ist.² Der entscheidende Punkt ist hier nicht die Mechanisierung oder später Digitalisierung von Wahlen und Abstimmungen, sondern der Umstand, dass die Stimmabgabe in einer von den Behörden nicht kontrollierbaren Umgebung, also ausserhalb des Stimmlokals, stattfindet.

Uns interessiert, worin sich die Praxis derjenigen Gemeinden und Kantone, die E-Voting anbieten oder angeboten haben, im Vergleich zum etablierten postalischen Abstimmen und Wählen hinsichtlich Überprüfbarkeit, Sicherheit und Qualität der Stimmabgabe unterscheidet und über die Zeit verändert hat. Als Basis für diese Untersuchung dienen die bisherigen Erfahrungen mit E-Voting in den Kantonen sowie mit der brieflichen Stimmabgabe in der Stadt Aarau.

Die Überprüfbarkeit im Wahl- und Abstimmungsprozess dient in erster Linie dazu, die Legitimität des Resultats zu garantieren sowie Vertrauen zu schaffen. Verfassungsrechtlich ist sie durch die Abstimmungsfreiheit (Art. 34 Abs. 2 Bundesverfassung der Schweizerischen Eidgenossenschaft [BV; SR 101]) gewährleistet.³ Konkret bedeutet dies, dass Stimmen ordnungsgemäss und sorgfältig ausgezählt werden müssen, sodass allfällige Unregelmässigkeiten feststellbar sind (BGE 141 II 297 E. 5.2). Diese Anforderung lässt sich in der Praxis am einfachsten durch Dokumentation erzeugen. Was durch Behörden mit Kontroll- und Aufsichtsfunktion geprüft wird, sind die Wahl- und Abstimmungsprotokolle der Gemeinden. Diese wiederum entstehen in Zusammenarbeit von Wahlkommissionen (gewählt oder ernannt) und Amtspersonen. Niemand schaut sich beim brieflichen Stimmen sämtliche Protokolle an, die während des ganzen Prozesses einer Abstimmung entstehen. Auch sind sie nicht alle publiziert. Wie Gemeinden im Einzelnen den Eingang und die Auszählung von Stimmen – abgesehen vom gesetzlich Vorgeschriebenen – protokollieren, ist nicht bekannt.

Das Vertrauen der Stimmberechtigten in die Korrektheit des Verfahrens ist bei allen Abstimmungsmodi grundlegend.⁴ Die Beziehung zwischen Überprüfbarkeit und Vertrauen ist jedoch weder eindimensional noch linear. Deshalb reichen technische Massnahmen oft nicht aus, um Vertrauen zu erzeugen. Sozialpsychologische Aspekte sind ebenfalls wichtig und entsprechend zu berücksichtigen.⁵ Bei E-Voting bestehen vertrauensfördernde Massnahmen⁶ darin, möglichst viele Komponenten des technischen Vorgangs offenzulegen und einer interessierten Öffentlichkeit zugänglich zu machen (bspw. Protokolle, Source Code, Sicherheitskonzept, Evaluation, Systemdokumentation auch für interessierte Laien).⁷

Letztlich bedeutet für E-Voting Überprüfbarkeit die kryptographische Möglichkeit,⁸ zu verifizieren, ob eine Stimme so gespeichert wurde, wie beabsichtigt und abgegeben,⁹ ob nur Stimmen von Stimmberechtigten ins Endergebnis einflossen und ob dieses über alle Stimmen richtig ermittelt wurde. Rechtliche Vorgaben hierfür finden sich in Art. 27i der Verordnung über die politischen Rechte (VPR; SR 161.11) und der Verordnung der Bundeskanzlei über die elektronische Stimmabgabe (VeleS; SR 161.116).

Wie Umfragen in der Bevölkerung allgemein sowie bei E-Votern im Speziellen gezeigt haben, sind sich Anwender der Sicherheitsproblematik durchaus bewusst und stufen sie als wichtig ein. Trotz Sicherheitsbedenken scheint jedoch die Nachfrage nach einer Generalisierung von E-Voting durch alle Schichten und politischen Parteien hindurch schweizweit hoch zu sein.¹⁰

Sicherheitsrisiken bestehen sowohl bei und nach der Stimmabgabe als auch während der Übermittlung.¹¹ Da keine Technik 100% sicher ist, und das Internet schon gar nicht, müsste man gänzlich von E-Voting abraten. Besonders unter IT-Spezialisten in den USA¹² ist diese Auffassung stark verbreitet, während in Ländern mit E-Voting-Praxis eine pragmatischere Haltung vorherrscht. Im Wissen, dass eine vollständige Sicherheit nicht möglich ist, wird dort versucht, eine möglichst hohe operative Sicherheit herzustellen. Bei Anhaltspunkten für Manipulationen mit relevantem Ausmass kann auf dem Beschwerdeweg die Aufhebung und Wiederholung einer Abstimmung erwirkt werden. In der Praxis ist dies u.U. bei E-Voting jedoch nicht so einfach einlösbar.¹³

Der «heilige Gral» betreffend Sicherheit – und das ist der entscheidende Vorteil von E-Voting gegenüber dem brieflichen Kanal – ist die sogenannte universelle «end-to-end» Verifizierung. Damit kann unter gewissen Annahmen nachgewiesen werden, dass eine Stimme nach dem Prinzip «cast-as-intended», «recorded-as-cast» und «counted-as-recorded» abgegeben, übermittelt und gezählt wurde.¹⁴ Gleichzeitig weist ein derart konfiguriertes E-Voting-System auch einen Grad an Nachvollziehbarkeit auf, der für das postalische Stimmen nie erreicht werden kann. Im Einsatz stehende E-Voting-Systeme bieten diese Eigenschaften teilweise schon¹⁵ oder streben danach, sich diesem Ziel sukzessive anzunähern. In der Praxis sind jedoch immer noch genügend Sicherheitsaspekte ungelöst.¹⁶ Für die weitere Implementation von E-Voting in der Schweiz mit schrittweiser Ausweitung auf 50% oder 100% des Elektorats in einem Kanton sind diese Sicherheitselemente¹⁷ entscheidend und auch so im Fahrplan des Bundesrates¹⁸ festgehalten.

Relativ oft werden beim Thema E-Voting in der Diskussion um die Sicherheit Gründe gegen den elektronischen Kanal vorgebracht, die mit der unkontrollierten Umgebung, aus der eine Stimmabgabe erfolgen kann, zu tun haben, was für die Brief- sowie die Online-Abstimmung gleichermassen gilt. Zudem sind einige Skeptiker von E-Voting über die Möglichkeiten und Konsequenzen von Verifizierung nicht auf dem aktuellen Stand der Diskussion, bzw. sie haben nicht zur Kenntnis genommen, dass individuelle und wohl bald auch universelle Verifizierung¹⁹ bereits zum Einsatz kommen.²⁰ Oft wird zudem verkannt, dass ein System mit universeller Verifizierung zu einer ganz neuen Qualität von Sicherheit und Überprüfbarkeit bei Abstimmungen und Wahlen führt. Der Vorteil am bisherigen brieflichen Abstimmen und Wählen liegt darin begründet, dass aufgrund des auf Gemeinden verteilten Systems allfällige Fehler und Unstimmigkeiten nicht von grosser quantitativer Tragweite sind. Der Schaden hält sich bei eidgenössischen und kantonalen Volksabstimmungen in Grenzen und beeinflusst in aller Regel das Resultat nicht entscheidend. Wieviel an Ungenauigkeit sich aufgrund der heterogenen Praxis in den Gemeinden an einem Abstimmungs-Sonntag kumuliert, lässt sich jedoch nicht sagen.²¹ Sicherheit wird im hergebrachten System in erster Linie im kleinen Rahmen erzeugt. Die Gemeinde mit 20’000 Einwohnern vertraut den rund 20 Personen, die den Auszählungsprozess direkt miterlebt haben. In einem elektronischen System mit universeller Verifizierung weitet sich der Kreis der Überwachenden auf all diejenigen aus, die es auf sich nehmen, die Verifizierung tatsächlich durchzuführen, potentiell also auf weit mehr als die 20 Personen. Und sie weitet sich gleichfalls auf alle damit Betrauten im ganzen Kanton aus, nicht nur auf diejenigen in der eigenen Gemeinde (siehe Kap. 3.3).

Was die Qualität der Stimmabgabe inhaltlich genau ausmacht, ist per se nicht klar. Im Ablauf kommt dieses Kriterium nicht wie Überprüfbarkeit und Sicherheit an mehreren Stellen im Prozess zum Zug, sondern vorderhand während der Stimmabgabe. Eine derart enge Definition lässt jedoch ausser Acht, dass gerade die Qualität einer Stimmabgabe auch von der Information und dem Austausch mit anderen abhängt, was vor dem eigentlichen Akt der Stimmabgabe stattfindet. Die Qualität der Stimmabgabe hat demnach neben der technischen vor allem eine soziale Dimension, welche insbesondere die individuelle Informationsbeschaffung und -verarbeitung, Interaktionen mit anderen sowie den Zeitpunkt des Entscheides während der Kampagne beinhaltet.

Im Internet-Zeitalter wäre es denkbar, dass E-Votern von staatlicher Seite her Web-Plattformen zur Verfügung gestellt würden, um eine medienbruchfreie Informationsversorgung zu garantieren.²² Aufgrund von Haftungsfragen und einer im Detail wohl kaum zu garantierenden inhaltlichen Neutralität ist jedoch Skepsis angebracht.²³ Dieselbe Skepsis gälte für staatliche Online-Wahlhilfen²⁴, da auch sie politisch nie gänzlich neutral betrieben werden können. Abgesehen von den Kosten für den Betrieb solcher Dienstleistungen kommt der Staat hierbei in ein schwieriges Fahrwasser. Ähnliche Probleme stellen sich auch bei staatlich betriebenen Diskussionsforen im Internet.²⁵

Wie rasch die Digitalisierung den Bereich des Politischen verändert, wird auch evident, wenn man die Bedenken nachliest, die vor nicht allzu langer Zeit Kies und Trechsel geäussert haben.²⁶ In Sorge um die Qualität der Stimmabgabe postulieren sie, diese vorläufig nicht von einem Mobiltelefon (damals noch nicht Smartphone) aus zuzulassen, weil dadurch die Stimmabgabe auch im Restaurant oder einem Bus erfolgen könne. Zudem sei die Benutzerfreundlichkeit nicht gegeben. Wie wir es heute fast alle erfahren, sind Mobiltelefone schlau geworden und kommen quasi ubiquitär zum Einsatz. So wird es auch nicht möglich sein, die Stimmabgabe auf ein Gerät (in der Regel PC) an einem fixen Internetanschluss von zu Hause oder dem Büro aus, zu beschränken. Herauszufinden, welche Auswirkungen dies auf die Qualität der Stimmabgabe hat, ist jedoch nicht trivial und übersteigt den Rahmen dieses Beitrags. Vereinfacht lässt sich annehmen, dass die neuen Möglichkeiten der Informationsbeschaffung und politischen Diskussion im Internet nicht nur E-Votern, sondern in der Regel auch brieflich Stimmenden zur Verfügung stehen und sich im Vergleich deshalb neutralisieren.

In erster Linie hilft E-Voting, Fehler bei der manchmal komplexen Stimmabgabe zu vermeiden und trägt somit dazu bei, die Anzahl ungültig abgegebener Stimmen zu minimieren bzw. zu eliminieren.²⁷ Die Wirkung von E-Voting auf die Qualität der Stimmabgabe ist also eher eine indirekte. Ob sich E-Voter im Vergleich zu brieflich Stimmenden verstärkt dadurch auszeichnen, dass sie sich während des Abstimmungsvorganges medienbruchfrei im Internet und den sozialen Medien politisch informieren, lässt sich aufgrund fehlender Untersuchungen nicht sagen. Wie jedoch schon Linder bemerkte, stellen sich die negativen Auswirkungen von politischer Kommunikation in den elektronischen Medien unabhängig von E-Voting ein.²⁸

Basierend auf dem administrativen Ablauf einer Abstimmung, wie sie beispielsweise in der Stadt Aarau gehandhabt wird, Experteninterviews (Kantone Aargau, Basel-Stadt, Genf, Zürich, Stadt Aarau) sowie teilnehmender Beobachtung (Stadt Aarau) liess sich eine Bewertung der beiden Stimmkanäle betreffend Überprüfbarkeit, Sicherheit und Qualität der Stimmabgabe vornehmen. Die Rechtspflege klammern wir für diese Untersuchung aus, was jedoch nicht heisst, dass sie unwichtig ist. Sie wäre je eigene Studien wert.

Vor der Abstimmung interessiert besonders die Frage, ob durch die Einführung des elektronischen Kanals Änderungen in der Führung des Stimmregisters anfallen. Insbesondere muss das Datenschutzrecht von Bund und Kantonen eingehalten werden. Überprüfbarkeit muss in diesem Zusammenhang nicht unbedingt heissen, dass alles unmittelbar öffentlich und einsehbar ist, sondern dass ein Schritt im administrativen Prozess zu einem nachvollziehbaren, in den Akten abgelegten Dokument führt. Der Sicherheitsaspekt bezieht sich auf die Aufbewahrung, Transmission sowie Vernichtung von Stimmregisterdaten. Es stellt sich die Frage, wie die Übermittlung von Stimmregisterdaten an Dritte wie beispielsweise Druckereien erfolgt. Falls man eines Tages dazu übergehen sollte, die Stimmrechtsunterlagen medienbruchfrei, per Internet zu versenden, ändert sich die Situation und muss neu beurteilt werden. Mittlerweile plant Graubünden als erster Kanton aktiv den schrittweisen Übergang zur medienbruchfreien Stimmabgabe.²⁹

Es gibt in dieser Phase des Ablaufs bezüglich Überprüfbarkeit und Sicherheit keine Unterschiede zwischen den beiden Kanälen. Allenfalls ergeben sich Unterschiede, wenn separate Stimmregisterauszüge für E-Voter erstellt werden. Die Einsicht in die Stimmregister ist nicht betroffen. Kantone mit einer dezentralen Stimmregisterführung und/oder einer Mischlösung für Inland- und Auslandschweizer sind eher zu Anpassungen gezwungen. Kantone, die bereits ein separates Stimmregister für Auslandschweizer führen, sind weniger gefordert. Tendenziell hat E-Voting in den Kantonen zu zentral verwalteten Stimmregistern geführt.

Während der Abstimmung interessiert besonders, ob sich die Art und Weise der individuellen Stimmabgabe auf dem elektronischen Kanal im Vergleich zum postalischen Abstimmen verändert hat oder das Potential zur Veränderung aufweist. Beteiligt und betroffen sind in erster Linie die Stimmenden. Mit Überprüfbarkeit ist hier die Nachvollziehbarkeit einer Transaktion oder Handlung gemeint. Eine Überprüfbarkeit im Sinne von Offenheit für Dritte ist wegen des Stimmgeheimnisses ja gerade nicht erlaubt (vgl. Art. 5 Abs. 7 des Bundesgesetzes über die politischen Rechte [BPR; SR 161.1]). Betreffend Stimmabgabe geht es um die Frage, ob der oder die Stimmende etwas Nachvollziehbares, quasi einen Beleg erhält. E-Voting-Systeme mit individueller Verifizierung bieten hier im Vergleich zur postalischen Lösung in der Form eines oder mehrerer individueller Codes eine «Quittung» für die Stimmabgabe. Beim brieflichen Stimmen bleibt den Stimmenden nichts zurück. Sie geben alles aus der Hand. Mit Sicherheit der Stimmabgabe ist gemeint, dass eine eindeutige, nicht kompromittierte Willenskundgebung auf dem Stimmzettel gewährleistet ist. Da die Stimmabgabe in der Schweiz sowohl bei der brieflichen als auch bei der elektronischen Stimmabgabe in einer unkontrollierten Umgebung stattfindet, gibt es zwischen den beiden Kanälen per se keinen Unterschied. Mit dem Stimmrechtsausweis kann eine Drittperson – falls sie ein identitätsstiftendes Merkmal kennt, das nicht auf dem Stimmrechtsausweis aufgeführt ist – brieflich oder elektronisch abstimmen (mit Ausnahme des Neuenburger Systems, wo für den elektronischen Kanal noch die Anmeldung³⁰ im «Guichet unique» vorgeschaltet ist). Bezüglich der Qualität des Stimmentscheides fragt sich, ob der Stimmkanal auf die Qualität der Willensbildung einen Einfluss hat. Sind die Stimmenden gut informiert über die anstehenden Vorlagen? Wann wird abgestimmt? Gleich zu Beginn oder im letzten Moment? Der Unterschied zwischen den beiden Kanälen scheint vor allem bezüglich Inland- und Auslandschweizern von Bedeutung zu sein.

Im Vergleich der beiden Kanäle kann bei dieser Phase des Abstimmungsprozesses die elektronische Stimmabgabe leichte Vorteile verbuchen. Auslandschweizer haben dank E-Voting mehr Zeit für die Stimmabgabe, was sich positiv auf die Qualität ihrer Meinungsbildung auswirkt. Da die Abstimmungsunterlagen, insbesondere die «Abstimmungsbüechli», in Papierform versandt werden und somit in der Schweiz allen gleichermassen zur Verfügung stehen, liegt kein weiterer Unterschied vor, der sich auf die demokratische Willensbildung auswirken sollte. In extremis hat der elektronisch Stimmende im Vergleich zum Postweg sogar 2–3 Tage länger Zeit, sich eine Meinung zu bilden.³¹ Zudem kann auch noch angeführt werden, dass bei E-Voting keine ungültige Stimmabgabe möglich ist, was sich besonders bei Proporzwahlen und etwas komplizierteren Urnengängen mit Stichfrage positiv auswirkt. Ob sich die individuelle Stimmabgabe verändert, sobald die elektronische Variante zur Verfügung steht, lässt sich noch nicht vollständig abschätzen. Wir wissen nicht, wie wir das untersuchen können. Über die Schultern schauen können wir den Stimmenden nicht und Befragungen sind wahrscheinlich wenig zielführend.

Bei der Übermittlung der Stimme fragt sich, was schiefgehen kann und welche Schäden dabei entstehen können. Vertrauen in die postalische Übermittlung baut sich auf, wenn das gesunde Misstrauen der Stimmenden an geeignete Prozeduren und/oder Gremien gekoppelt werden kann (Audits, Vier-Augen-Prinzip, Begleitgruppen). Die elektronische Übermittlung mit Verschlüsselung entzieht sich aber dem Erfahrungshorizont des Normalbürgers.³² Durch die individuelle Verifizierung einer elektronischen Stimmabgabe repräsentiert die elektronische Bestätigung in Form von übereinstimmenden, individuellen Codes (auf dem Stimmrechtsausweis und dem Bildschirm) zugleich die erfolgreiche Übermittlung an die elektronische Urne. Auf dem postalischen Weg hingegen ist nicht klar, ob die Sendung tatsächlich beim Empfänger angekommen ist. Die Übermittlung auf dem elektronischen Weg ist somit besser dokumentiert als der Postweg. Mit Sicherheit der Übermittlung ist gemeint, dass die gespeicherte Information, also der Stimmentscheid, integral, einmalig und unverändert transportiert wird. Um die Sicherheit der Übermittlung von Stimmcouverts zu garantieren, hat die Schweizer Post in Zusammenarbeit mit Bund und Kantonen über die Jahre hinweg separate Kanäle und Formate (Couverts, Kisten) eingeführt. Die Sicherheit der Übermittlung hängt aber weitgehend vom Funktionieren der Post ab. Im Gegensatz zur Übermittlung der verschlossenen Stimmcouverts mit ansonsten direkt lesbarem Inhalt, ist die Übermittlung auf dem elektronischen Kanal komplizierter: Zuerst wird die Stimme auf dem lokalen Gerät verschlüsselt und danach durch den elektronischen, verschlüsselten Kanal an den Server geschickt und dort abgelegt. Sicherheitsexperten verweisen jedoch darauf, dass Schadsoftware auf dem lokalen Gerät des Stimmenden die elektronische Stimme vor dem Verschlüsseln unbemerkt verändern könnte. Die Überprüfung der Codes im Sinne einer individuellen Verifizierung ist deshalb essentiell.

Beide Kanäle sind jedoch unsicherer als das Abstimmen an der Urne. Bei der Post können einzelne Stimmen verloren gehen oder ganze Bündel liegen bleiben oder zu spät geliefert werden. Die Schäden halten sich jedoch in Grenzen und fallen unsystematisch an. Beim elektronischen Abstimmen muss man darauf vertrauen, dass die Prozeduren für die Verschlüsselung sowie die individuelle Verifizierbarkeit klappen. Für die Stimmenden ist hier die grösste Veränderung die erhaltene «Quittung» vom System als Bestätigung, dass die Stimme korrekt übermittelt worden ist.

Es fragt sich weiter, wie das Dispositiv bei der Ankunft der Stimmen für die beiden Kanäle aussieht. Beim elektronischen Stimmen ist klar, dass die Stimmen so verschlüsselt in einer elektronischen Urne – sprich auf einem Server – gespeichert werden, wie sie auf den lokalen Geräten der Stimmenden erzeugt wurden. Beim brieflichen Stimmen kommen die Stimmcouverts laufend in der Gemeindeverwaltung an und werden regelmässig in einem Raum verschlossen aufbewahrt, bis die Auszählungen beginnen. Betreffend Überprüfbarkeit fragt sich, wie gut dokumentiert die Ankunft von Stimmcouverts ist. Das kann beim brieflichen Stimmen von Gemeinde zu Gemeinde sehr verschieden sein. Einige grössere Städte scannen die Stimmkarten bei Ankunft ein (Basel-Stadt, Bern, Genf, Lausanne und mehrere weitere Waadtländer Gemeinden, St. Gallen). Bei E-Voting erfolgt die Registrierung der Stimmankunft automatisch und zentral auf dem Server. Welche Vorkehrungen punkto Sicherheit getroffen werden, hängt einerseits von der Gemeindeverwaltung, andererseits von der Sicherheit der Server ab. Die elektronische Urne muss in diesem Stadium nachweisen können, dass sich alle übermittelten Stimmen auch auf dem Server befinden.

Im Vergleich ist die Praxis in den Gemeinden trotz Merkblättern und Bemühungen der Aufsichtsbehörden (Bezirksamt, Kanton, Bundeskanzlei) eher heterogen für per Post eintreffende Stimmcouverts. Wenn schon vorgängig mit dem Auszählen begonnen wird, überschneiden sich Ankunft, Überprüfung und Auszählung, was tendenziell die Komplexität und Fehleranfälligkeit erhöht. Durch E-Voting kommen weniger Couverts bei den Gemeinden an. Bei den Auslandschweizern und auf längere Sicht wohl auch bei den Inlandschweizern reduziert sich in der Folge der Aufwand für das ganze Dispositiv und dann auch für die Prüfung resp. Auszählung von Stimmausweisen und Stimmzetteln.

Nach erfolgter Stimmabgabe gilt es, die Stimmrechtsausweise von den Stimmzetteln zu separieren, die Stimmzettel zu beurteilen und zu sortieren. Danach erfolgt die eigentliche Auszählung. Zuletzt müssen – das galt zumindest bisher – die Stimmzettel vernichtet werden. Bisher deshalb, weil in Systemen mit universeller Verifizierung die verschlüsselt abgegebenen Stimmen zwecks Überprüfung einem heutzutage noch nicht näher bestimmten Kreis von Personen zugänglich sein werden. Die verschlüsselten Abstimmungsdaten³³ können, müssen und sollen von daher auch gar nicht mehr gelöscht werden. Hier findet ein eigentlicher Paradigmenwechsel statt.

Die anfallenden Arbeiten sind für die Gemeinden für die Öffnung und Prüfung der Stimmcouverts aufwändig und repetitiv, besonders in den bevölkerungsreichen Städten. In dieser Phase werden die Couverts ausgepackt, das Vorhandensein einer Unterschrift überprüft (falls verlangt) und die Ausweise von den Couverts getrennt. Aus diesem Grund ist beispielsweise der Kanton Basel-Stadt dazu übergegangen, Stimmcouvert und Stimmrechtsausweis zusammenzulegen sowie keine Unterschrift mehr zu verlangen (es wird allerdings ein Code überprüft). In den Gemeinden gilt für diese Arbeiten das Vier-Augen-Prinzip. Es gibt Vorschriften darüber, wer wann anwesend sein muss, damit die Sicherheit gewährleistet ist. Wie die Arbeiten – besonders bei vorzeitiger Auszählung – in Absprache zwischen dem Wahlbüro und den Gemeindebehörden durchgeführt werden, kann von Gemeinde zu Gemeinde variieren.

Bezüglich Überprüfbarkeit fragt sich, inwiefern die Gemeinden diese Arbeiten für brieflich eingehende Stimmen in Protokollen und Journalen festhalten. Elektronisch sind die Schritte automatisiert und mittels kryptografischer Beweise dokumentiert. Der Umstieg zu einer elektronischen Lösung mit E-Voting hat auf diese Phase des Ablaufs grosse Auswirkungen.

Als grösster Unterschied stehen sich zwischen den beiden Kanälen Aufwand und Sicherheit gegenüber. Hier besteht ein Zielkonflikt. Die Stimmenden müssen sich auf dem elektronischen Weg um weniger Formvorschriften kümmern. Das E-Voting System garantiert, dass insgesamt weniger ungültige Stimmen resultieren. Mit steigenden E-Voting-Nutzerraten würde der Aufwand für manuelle Arbeiten bei den Gemeinden und ihren Wahlbüros markant sinken.

Analog zur physischen Trennung von Stimmausweis und Stimmzettel bei per Urne oder Brief eingegangenen Stimmen besteht die technische Herausforderung bei E-Voting darin, eine geheime Stimme garantieren zu können. Die meisten E-Voting-Systeme bewerkstelligen dies, indem sie die Identität der Stimmenden von den verschlüsselten Stimmen durch ein kryptografisches Mischen³⁴ über mehrere unabhängige Stufen trennen. Die Korrektheit dieses Vorgangs wird mit kryptografischen Beweisen dokumentiert. Das Stimmgeheimnis basiert auf der Annahme, dass die Mischstufen nur im Protokoll vorgesehene Informationen austauschen.

Die eigentliche Willenskundgebung bei einer Stimmabgabe befindet sich auf den Stimmzetteln oder in digital kodierten und verschlüsselten Daten. Für die brieflich eingesandte Stimme muss während der Phase des Beurteilens und Sortierens festgestellt werden, ob sie gültig ist und dass sie auf dem richtigen Stapel für die Auszählung landet. Dies wird im nachfolgenden Schritt – der Auszählung – immer wieder überprüft. Ob eine Stimme gültig ist, muss manchmal im Gespräch innerhalb des Wahlbüros oder zwischen den Mitgliedern des Wahlbüros und den anwesenden Amtspersonen (meist Gemeindeschreiber) beurteilt werden. Dabei kann es zu Unstimmigkeiten kommen. Dieser Schritt wird bei E-Voting automatisch durchgeführt. Eine eigentliche Beurteilung entfällt. Überprüfbarkeit entsteht bei diesem Schritt für physisch vorhandene Stimmen vor allem dank der halb-öffentlich durchgeführten Arbeiten im Wahlbüro zusammen mit den Gemeindebehörden, wobei es in der Schweiz mehr oder weniger zentrale Lösungen gibt. Bei rein manuellen dezentralen Lösungen für das Beurteilen, Sortieren und auch Zählen ist für die Anwesenden rein von Auge sichtbar, wie viele Pakete mit Ja- oder Nein-Stimmen zu 50 oder 100 Exemplaren gebündelt und gestapelt werden. Bei zentralen Lösungen oder in Städten mit technischen Hilfsmitteln für diese Schritte (optische Scanner) ist das jedoch schon heute nicht mehr oder nur noch zum Teil gegeben. Zusätzlich entsteht Überprüfbarkeit durch Protokollierung. Die Praxis ist in der Schweiz insgesamt heterogen. Dieser Schritt wird bei E-Voting automatisch durchgeführt. Die Qualität der Stimmabgabe ist in dieser Phase ein Thema, weil beim postalischen Stimmen die Gültigkeit der Angaben auf einem Stimmzettel von anderen Menschen, sprich: dem Wahlbüro, beurteilt wird. Bei E-Voting fällt dieses Kriterium weg. Die Stimme kann in den gegenwärtig in der Schweiz im Einsatz stehenden E-Voting-Systemen nur gültig sein. Das Zulassen von Freitextangaben, um eine Stimme absichtlich ungültig machen zu können, ist vorderhand nicht vorgesehen. Die Sicherheit hängt im Falle von brieflichen Stimmen vom allgemeinen Dispositiv in einer Gemeinde ab und spielt vor allem bei vorgängigen, auf Antrag durchgeführten Auszählungen eine Rolle. Beim Einsatz von optischen Scannern gilt es, entsprechende zusätzliche Sicherheitsvorkehrungen zu treffen.³⁵

Bei E-Voting geht es um die Persistenz der elektronischen Urne, wo die Stimmen bis und mit der Entschlüsselung und Dekodierung aufbewahrt sind: Daten werden nur erfasst und hinzugefügt, nicht aber geändert oder gelöscht. Im Vergleich der beiden Kanäle stehen sich wiederum Aufwand und Sicherheit gegenüber. Die elektronischen Kanäle punkten hier bezüglich Objektivität und Ausschaltung von Interpretationsspielräumen. Der Trend geht auch für den brieflichen Kanal in Richtung automatisiertes Beurteilen und Sortieren mit elektronischen Hilfsmitteln wie optischen Scannern, womit wie bei E-Voting Sicherheitsüberlegungen in den Vordergrund rücken. Die beiden Kanäle nähern sich von den Anforderungen her an. Der Bund hat dies erkannt und deshalb ein neues Kreisschreiben versandt.³⁶ Auch die Parlamentarische Verwaltungskontrolle (PVK) des Bundes hat den Sachverhalt kürzlich evaluiert.³⁷

Die Auszählung der Stimmen erfolgt traditionell unter Aufsicht des Wahlbüros in Zusammenarbeit mit den Gemeindebehörden. Auch hier gibt es je nach Kanton, je nach Gemeinde zentralere oder dezentralere Verfahren.³⁸ Bezüglich postalisch und elektronisch eingehender Stimmen besteht jedoch die grundsätzliche Differenz, dass bei E-Voting der Gemeinde die Auszählung sowie deren Überwachung entzogen werden. Die Überwachung beschränkt sich auf die Verifizierung der kryptografischen Beweise, welche fürs kryptografische Mischen und Entschlüsseln von den entsprechenden Systemen angefertigt wurden. Dies können prinzipiell mittels einer Verifikationssoftware all jene machen, welche Zugang zu den entsprechenden Daten haben. Idealerweise verwenden dabei nicht alle die gleiche Verifikationssoftware.³⁹ Ob Gemeindepersonal in Zukunft mit solchen Aufgaben betraut wird, ist noch gänzlich offen.

Bezüglich Überprüfbarkeit liegt der Akzent einerseits auf der Dokumentation und Protokollierung aller Vorgänge sowie der Aufsicht über den Auszähl- respektive Entschlüsselungsprozess. Auch hier sind wiederum die Rolle des Wahlbüros und der Stimmenzähler als vertrauensfördernde Aufsicht aber auch als Fehlerquelle hervorzuheben. Wie werden die ausgezählten Stimmen protokolliert und an den Kanton übermittelt? Sobald E-Voting-Systeme universelle Verifizierung anbieten, entsteht eine neue Qualität auch für die Stimmenden. Sie können nicht nur ihre eigene Stimmabgabe überprüfen, sondern – indirekt – die Gesamtheit aller elektronisch eingegangenen Stimmen und wie sie gezählt wurden. Auch für die Zählung von brieflich eingegangenen Stimmen kommt aus pragmatischen Gründen nicht das ganze Arsenal an Massnahmen zum Einsatz – unabhängig davon, ob die Stimmzettel von Hand oder mit technischen Hilfsmitteln gezählt werden. So wäre es zum Beispiel möglich, während des Auszählprozesses periodisch immer wieder den Fortschritt der Zählung zu dokumentieren und an Kandidierende und Beobachtende zu kommunizieren.⁴⁰ Weitere Möglichkeiten gerade für elektronische Auszählungen von Papierstimmen wären: das Aufbewahren von Audit Logs und/oder die Zertifikation (inkl. publizierter Tests). Auch bei diesem Punkt bringen bezüglich einer Stimmabgabe per Internet nur die individuelle und universelle Verifizierung die gewünschte Überprüfbarkeit.⁴¹ Voll implementiert erlauben solche Systeme sowohl die Überprüfung einer einzelnen Stimme als auch der Gesamtheit aller elektronisch abgegebenen Stimmen.

Punkto Sicherheit während der Auszählung kommen für die brieflich eingegangenen Stimmen keine speziellen Vorkehrungen zum Zug. Für diese Phase spielt es weniger eine Rolle, auf welchem Weg die Stimmen eingegangen sind, sondern ob sie von Hand oder elektronisch gezählt werden. Urnenstimmen und Briefstimmen werden bei Auszählung von Hand auf der Gemeinde gleich gehandhabt. Aufgrund des Aufwandes für das händische Zählen ging man immer mehr dazu über, Zählmaschinen einzusetzen. Dies ist heutzutage der Regelfall. Die Korrektheit der kryptografischen Beweise vorausgesetzt, ist bei E-Voting auch die Ermittlung des Abstimmungsergebnisses korrekt. Die universelle Verifizierung bringt hier nochmals einen zusätzlichen grossen Vorteil von E-Voting zum Tragen – auch im Vergleich zu optischen Scannern, die «nur» eine Reduktion von Aufwand bringen, aber keinen zusätzlichen Beitrag zur Überprüfbarkeit. Daher entfällt insoweit auch die rechtlich streitanfällige Problematik der Nachzählung von Abstimmungsresultaten. Der Aufwand für die Auszählung sowie die Kontrolle über diesen Prozess nimmt mit zunehmender Verbreitung von E-Voting stetig ab.

Rechtlich gesehen muss bei E-Voting ein Kanton im Fall von Irregularitäten im Stande sein, die Anzahl defekter elektronischer Stimmen zu beziffern, ohne dass das Stimmgeheimnis dabei aufgehoben wird,⁴² was bei E-Voting-Systemen mit End-zu-End-Verschlüsselung und universeller Verifizierung der Fall ist.

Die Frage nach der versiegelten Aufbewahrung und Vernichtung von Stimmzetteln nach der Erwahrung (oder dem Ablauf von Rekursen) stellt sich auch wiederum für Urnen- und Poststimmen gemeinsam, sowie für elektronische Stimmen separat. Wie die Vorfälle in Bern anlässlich der Abstimmungen über die Motorfahrzeugsteuer vom 13. Februar 2011 zeigten,⁴³ handhabt jede Gemeinde die Vernichtung von Stimmzetteln sehr unterschiedlich. Bei Stimmzetteln auf Papier hängt die Vernichtung von der Gewissenhaftigkeit der Gemeindebehörden ab. Die Praxis ist sehr heterogen. Bei E-Voting werden die öffentlichen bzw. halb-öffentlichen Daten am Schluss digital signiert und beliebig lange aufbewahrt, denn eine einmal veröffentlichte Information kann nicht mehr zurückgenommen, also nicht gelöscht werden. Somit gibt es auch keinen Zweifel, ob sie tatsächlich weg sind, denn sie sind auch Jahre später noch vorhanden.

Unser Vergleich hat aufgezeigt, dass sowohl der postalische als auch der elektronische Stimmkanal ihre Tücken haben. Abschliessend seien nochmals einige wichtige allgemeine Punkte hervorgehoben.

• Bei E-Voting gibt es nach wie vor offene Fragen, die es nicht unter den Tisch zu kehren gilt. Sie sollten im Gegenteil konstruktiv angegangen werden. Aber es ist auch ein Trugschluss zu meinen, das Abstimmen auf Papier wäre ohne den Einsatz von Informationstechnologie möglich. Von der Aufbereitung von Wahlregistern bis zum Druck des Stimmmaterials läuft alles digital. In zunehmendem Masse wird der Wählerwille durch optische Scanner automatisch ermittelt. Einmal gut kalibriert erbringen diese Geräte einen wertvollen Dienst. Die Auszählung kann rasch von statten gehen. Im Vergleich zu E-Voting ist die Nachvollziehbarkeit des Resultats jedoch noch viel weniger gegeben. Der Stimmende erhält keinen Beleg, dass seine Stimme verarbeitet wurde und es gibt keinen Beweis dafür, dass die Auszählung korrekt war. E-Voting-Systeme mit universeller Verifizierung hingegen bringen einen noch nie dagewesenen Grad an Nachvollziehbarkeit und Überprüfbarkeit der einzelnen Stimmabgabe mit gleichzeitiger Kontrolle aller elektronischen Stimmen.
• Wie die Zukunft der brieflichen Stimmabgabe aussieht, ist angesichts einer weiteren Liberalisierung von Postdienstleistungen unsicher. Momentan verrichtet die schweizerische Post dieses Geschäft auf eigens dafür eingerichteten Transportkanälen. Wenn die schweizerische Post das Monopol auf Briefsendungen unter 50 Gramm entweder aufgibt oder verliert, ist damit zu rechnen, dass mehrere weitere Dienstleister auftreten werden. Der gesamte briefliche Stimmkanal, der ja das Gros der Stimmen abdeckt, müsste überdacht und reorganisiert werden. Sobald wir es in der Schweiz mit mehreren Postanbietern zu tun haben, würde das eine haarige Sache. Die eine oder andere Panne wäre wohl vorprogrammiert.
• An E-Voting-Lösungen in der Schweiz wird auch bemängelt, dass der elektronische Weg vorerst nur auf halbem Weg beschritten ist. Wenn schon E-Voting, dann soll auch der Versand des Stimmmaterials elektronisch erfolgen. Besonders für Auslandschweizer ist der Postversand in entfernte Länder oft ein Ärgernis und verhindert eine rechtzeitige Stimmabgabe. Aufgrund des Postulats Dobler (FDP, SG) klärt nun der Bundesrat ab, wie eine medienbruchfreie Verwendung von E-Voting aussehen könnte. Bei den heutigen E-Voting-Lösungen der Schweiz muss man die Wege trennen, um die Integrität der Stimmzettel garantieren zu können. Ein medienbruchfreies E-Voting bedingt beim Wählenden Geräte, welche immer nur genau das machen, wofür sie bestimmt sind. Hoch spezialisierte Geräte gibt es für E-Banking; für E-Voting gibt es sie noch nicht. In einer Übergangszeit werden – wie in Graubünden⁴⁴ vorgesehen – wohl in einem ersten Schritt in Richtung medienbruchfreie Stimmabgabe nur noch die Stimmrechtsausweise postalisch verschickt werden.
• Noch ungelöst ist bei E-Voting, wie in Zukunft mit halb-öffentlich zugänglichen, verschlüsselten Stimm- und Wahldaten aus Systemen mit universeller Verifizierung umzugehen ist. Wie soll die Langzeitaufbewahrung solcher Abstimmungsdaten organisiert sein? In einem fertig gebauten E-Voting-System mit universeller Verifizierung ist es geradezu erwünscht, dass diese Daten von mehreren Stellen oder Personen mit unabhängiger Software überprüft werden. Das Löschen von Daten wie beim Papier macht keinen Sinn mehr. Betreffend der Langzeit-Sicherheit von Abstimmungsdaten fragt sich, wie man verhindern kann, dass jemand heute bereits damit beginnt, den gespeicherten String zu entschlüsseln, die Entschlüsselungs-Software auf dem Rechner laufen lässt und dies in x Jahren auch tatsächlich geschafft hat.
• Mit steigender Verbreitung von E-Voting in der Schweiz ist auch an zusätzliche Weiterbildungs- und Begleitmassnahmen zu denken. Zwecks nachhaltiger Implementation von E-Voting empfiehlt es sich, die Betroffenen und Beteiligten miteinzubeziehen. An drei Gruppen ist hier besonders zu denken: Wahlkommissionen in den Gemeinden, interessierte Laien sowie die Stimmbevölkerung. Für die Stimmbevölkerung könnte ein Video Schritt für Schritt darlegen, was mit einer Stimme genau passiert (Verschlüsselung in einen alphanumerischen String mit Token, Senden im nochmals gesicherten SSL-Kanal an den Server, Mixen, Entschlüsseln, etc.). Es wäre zudem von Vorteil, wenn jeder E-Voting-Kanton oder jedes E-Voting-Konsortium sporadisch User Group Meetings veranstalten würde. Diese Veranstaltungen sollten explizit auch Kritikern offenstehen. Beispielhaft ist hier das Vorgehen des Kantons Genf, der bereits zwei solche Veranstaltungen durchgeführt hat.⁴⁵
• Auch das Jobprofil in den mit Wahlen und Abstimmungen betrauten Behörden verändert sich. Für Wahlkommissionen in Gemeinden müssten Weiterbildungsveranstaltungen angedacht werden. Wahlkommissionen in den Gemeinden könnten nach entsprechender Schulung allenfalls zum Kreis von Personen gehören, welche die universelle Verifizierung vornehmen. Dass Wahlkommissionen und Gemeindebehörden lediglich zu Empfängern von ein paar Zahlen aus dem zentralisierten E-Voting-System werden, die sie dann in ein Abstimmungsprotokoll zu übertragen haben, sollte vermieden werden.

Trotz Rückschlägen hat sich E-Voting in allen an den bisherigen Versuchen beteiligten Kantonen von den Nutzerzahlen her gut entwickelt. Bei den Inlandschweizern war der elektronische Kanal in allen Kantonen von Beginn weg weiter verbreitet als der Gang zur Urne. Bei den Auslandschweizern benutzten je nach Kanton deutlich über die Hälfte bis zu zwei Dritteln der Stimmenden den elektronischen Kanal.⁴⁶ Die bisherigen Erfahrungen zeigen aber auch, dass nach einem ersten Ausprobieren des neuen Stimmkanals auf einem hohen Niveau von 30–40% der Stimmenden (sog. Neuigkeits-Effekt) die Nutzerzahlen zuerst einmal abfallen, und dann langsam wieder ansteigen. Auch in Estland hat es nach der Einführung von E-Voting drei Legislaturperioden lang gedauert, bis die Nutzerraten auf ein Drittel der Wählenden zu liegen kamen. Als Beispiel in der Schweiz sei hier der Kanton Neuenburg angeführt, der E-Voting im Inland seit 2005 ohne Unterbruch in all seinen Gemeinden anbieten konnte: Bei der Einführung im Jahre 2005 nutzten erst 1% der Stimmenden E-Voting; zwölf Jahre später liegen die Nutzerraten bei 12%.⁴⁷ Im Kanton Genf, der mit einigen Unterbrüchen zu kämpfen hatte, lag die durchschnittliche Nutzerrate von E-Voting für die Zeit unmittelbar vor der 2017 durchgeführten Umstellung auf ein System mit Anmeldung⁴⁸ bei rund 18%. Die Verbreitung von E-Voting scheint einen langjährigen, ungestörten Betrieb zu benötigen, damit das Elektorat Vertrauen in den neuen Stimmkanal entwickeln kann. Befürworter und Gegner von E-Voting werden diese Nutzerraten im Inland aber je nach ihrem Gusto auslegen. Die einen finden sie zu tief, um die finanziellen Investitionen zu rechtfertigen, die anderen gehen von einem zukünftigen, organischen Wachstum aus, sobald E-Voting in ruhigeres Fahrwasser kommt. Politisch unumstritten dürfte dank des ausgewiesenen praktischen Nutzens bei gleichzeitig hohen Nutzerraten lediglich E-Voting für die Auslandschweizer sein.

---

Uwe Serdült, Prof. Dr., Zentrum für Demokratie Aarau (ZDA) an der Universität Zürich sowie College of Information Science and Engineering, Ritsumeikan University, Japan.

 

Eric Dubuis, Prof. Dr., Leiter der Abteilung Informatik, Departement Technik und Informatik, Berner Fachhochschule.

 

Andreas Glaser, Prof. Dr., Lehrstuhl für Staats-, Verwaltungs- und Europarecht unter besonderer Berücksichtigung von Demokratiefragen, Universität Zürich, sowie Direktor am Zentrum für Demokratie Aarau (ZDA) an der Universität Zürich.

 

Wir danken Behördenvertretern der Stadt Aarau sowie der Kantone Aargau, Basel-Stadt, Genf, Graubünden, Schaffhausen und Zürich für Auskünfte, wertvolle Hinweise und klärende Gespräche.