- Das E-Voting-System der Post hat offenbar eine weitere grundlegende Lücke. Das teilen Wissenschaftler der Universität Melbourne mit.
- Es gehe dabei um die Überprüfbarkeit, schreiben sie. Konkret könnte ein Insider eine gültige Stimme in eine ungültige verwandeln – ohne dass das System dies bemerken würde.
- Ob die Manipulation der Stimmabgabe im Nachhinein entdeckt würde, ist demnach unklar.
Die Sicherheitsforscherin Sarah Jamie Lewis teilte die Erkenntnisse über die Sicherheitslücke auf Twitter mit. Die Fehler seien nicht leicht zu beheben, schrieb Lewis weiter.
René Lenzin, stellvertretender Leiter Kommunikation bei der Bundeskanzlei, erklärte, der Fehler bestätigte einen «Handlungsbedarf». Bereits der am 12. März festgestellte Fehler habe gezeigt, dass die universelle Verifizierbarkeit und damit das «Herz des Systems» nicht funktioniert habe. Das System müsse eine Manipulation erkennen.
Gesetzliche Anforderungen nicht erfüllt
Die Post ist laut Lenzin aufgefordert worden, ihre Sicherheitsprozesse zu überprüfen und anzupassen, damit solche Mängel verhindert werden können. Er bestätigte, dass die Post mit diesen Mängeln die gesetzlichen Anforderungen nicht erfülle.
Das System der Schweizerischen Post zur elektronischen Stimmabgabe wird von mehreren Kantonen benutzt. Die Post lässt dieses derzeit im Rahmen eines Tests auf Schwachstellen überprüfen. Erst vor zwei Wochen wurde eine andere kritische Lücke im System bekannt. Diese ermöglichte es, Stimmen zu manipulieren.
Post relativiert
Die Post teilte auf Anfrage mit, sie sei aktuell daran, den Sachverhalt im Detail abzuklären. Sie stehe dazu in Kontakt mit ihrem spanischen Technologiepartner Scytl.
Der festgestellte Fehler würde in jedem Fall bei der Entschlüsselung und Auszählung bemerkt werden, relativiert die Post. Das E-Voting-System der Post würde es grundsätzlich nicht zulassen, ungültige Stimmen abzugeben. Es könne daher ausgeschlossen werden, dass mit diesem Szenario unbemerkt Stimmen verändert oder Wahlen manipuliert werden könnten.
Die Plattform des Intrusionstests, bei der Fehlermeldungen gemeldet werden können, sollte heute um 24 Uhr schliessen. Die Bundeskanzlei wird nach eigenen Angaben voraussichtlich bis Ende Woche ein erstes Fazit ziehen.
