Weitere Fehler beim Post-E-Voting
Die gleichen IT-Experten, die bereits einen am 12. März kommunizierten kritischen Fehler beim Quellcode des neuen E-Voting-Systems der Post entdeckt hatten, haben eine weitere Sicherheitslücke entdeckt. Der Fehler betrifft ebenfalls die universelle Verifizierbarkeit.
Im ersten Fall konnten die Forschenden laut Angaben der Bundeskanzlei aufzeigen, dass das System keine aussagekräftigen mathematischen Beweise anfertigt, durch die Manipulationen der Stimmen entdeckt werden. Im neusten Fall zeigen sie eine weitere Schwachstelle an einer anderen Stelle der Beweise auf.
Zwar verlaufen beliebige Manipulationen der Stimmen nach Angaben der Bundeskanzlei aufgrund dieser Schwachstelle nicht unbemerkt. Allerdings könnten Stimmen zu ungültigen verändert werden, ohne dass dies durch die mathematischen Beweise entdeckt werden würde. Das hänge damit zusammen, dass sich der Fehler auch auf die Prüfung der Beweise erstrecke. Erst das Erkennen der ungültigen Stimmen liesse auf einen Angriff schliessen.
René Lenzin, stellvertretender Leiter Kommunikation bei der Bundeskanzlei, erklärte auf Anfrage der Nachrichtenagentur Keystone-SDA, der Fehler bestätigte einen «Handlungsbedarf». Bereits der am 12. März festgestellte Fehler habe gezeigt, dass die universelle Verifizierbarkeit und damit das «Herz des Systems» nicht funktioniert habe. Das System müsse erkennen, wenn manipuliert worden sei.
Die Post ist laut Lenzin aufgefordert worden, ihre Sicherheitsprozesse zu überprüfen und anzupassen, damit solche Mängel verhindert werden könnten. Er bestätigte, dass die Post mit diesen Mängeln die gesetzlichen Anforderungen nicht erfülle.
Die Post ist, wie auf Anfrage mitgeteilt wurde, aktuell daran, den Sachverhalt im Detail abzuklären. Sie stehe dazu in Kontakt mit ihrem spanischen Technologiepartner Scytl.
Der festgestellte Fehler würde in jedem Fall bei der Entschlüsselung und Auszählung bemerkt werden, weil das E-Voting-System der Post es grundsätzlich nicht zulasse, ungültige Stimmen abzugeben, relativiert die Post. Es könne daher ausgeschlossen werden, dass mit diesem Szenario unbemerkt Stimmen verändert oder Wahlen manipuliert werden könnten.
Den neuerlichen Fehler bei der universellen Verifizierbarkeit publik gemacht haben die Initianten der Initiative für ein E-Voting-Moratorium. Sie stellten denn auch am Montag fest, dass Kritiker seit langem diese Integritätsprüfung als eine «nicht realisierbare theoretische Vorstellung» bemängelten. Nun sei dafür auch der praktische Beweis erbracht worden.
Die Plattform des Intrusionstests, bei der Fehlermeldungen gemeldet werden können, sollte am (heutigen) Montag um 24 Uhr schliessen. Die Bundeskanzlei wird nach eigenen Angaben voraussichtlich bis Ende Woche ein erstes Fazit ziehen.
Der Intrusionstest hat laut Lenzin gezeigt, dass der Ansatz richtig gewesen sei, den Quellcode zu veröffentlichen und einen öffentlichen Intrusionstest durchzuführen. Zum weiteren Vorgehen erklärte Lenzin, dass es sicher wieder eine Art von Prüfungsverfahren brauchen werde. Eine Option könnte es sein, nochmals eine Zertifizierung und/oder einen öffentlichen Test ins Auge zu fassen.
Der Grundsatzentscheid, ob ein E-Voting-System eingesetzt wird, müssen die Kantone fällen. Sie müssen dazu bei der Bundeskanzlei ein Gesuch stellen.
Der öffentliche Intrusionstest, bei dem über 3000 Hacker rund um die Welt das E-Voting-System der Post testeten, fand seit dem 25. Februar statt.