Digitale Abstimmungskontrolle - Hacker sollen Schwachstellen in Ostschweizer Software aufdecken

Die Kantone Thurgau und St. Gallen lassen ein neues digitales Wahl- und Abstimmungssystem durch professionelle Hacker testen.

In den Kantonen Thurgau und St. Gallen ist am vergangenen Wahl- und Abstimmungssonntag eine neue Software getestet worden. Das System soll künftig systematisch prüfen, ob ein Resultat im Vergleich mit anderen Gemeinden und im Vergleich mit erwarteten Ergebnissen plausibel ist. Das Programm weist allerdings noch Schwachstellen auf. Diese sollen jetzt durch professionelle Hackerinnen und Hacker aufgedeckt werden.

Hackerinnen und Hacker bekommen eine Prämie von bis zu mehreren 1000 Franken – je nach Schwere des Fehlers, den sie entdecken.

Peter Gassmann Geschäftsleitung, Abraxas Informatik AG

Für Hinweise zu Sicherheitslücken gibt es eine Belohnung. Hackerinnen und Hacker bekommen eine Prämie von bis zu mehreren 1000 Franken – je nach Schwere des Fehlers, den sie entdecken, sagt Peter Gassmann, Geschäftsleitungsmitglied der IT Firma Abraxas, welche das Programm entwickelt hat. In einem zweiten Schritt dürfen dann alle möglichen Leute die neue Software testen und Fehler suchen.

Testpersonen mit verschiedenen Absichten

«Die Bandbreite an Testpersonen ist gross», sagt SRF Digitalredaktor Guido Berger. Es können interessierte Privatpersonen sein oder Leute, die in diesem Bereich Forschung betreiben oder sogar Konkurrenten. Es können laut Berger auch Leute sein, die einmal schauen wollen, wie das System funktioniert. «Möglicherweise sogar mit der bösen Absicht, das System später anzugreifen. Es wird aber nur gefährlich, wenn Sicherheitslücken ausschliesslich von Leuten mit bösen Absichten entdeckt und nicht gemeldet werden», so Berger. Dies sei bei vielen Testpersonen aber eher unwahrscheinlich.

Bug-Bounty-Programm

Sicherheitsprüfungen durch Hackerinnen und Hacker sollen Programme sicherer machen. «Das ist eigentlich ein modernes Verständnis von Sicherheit», sagt SRF Digitalredaktor Guido Berger. Es gelte nicht mehr: Das System ist sicher, weil gewisse Sachen geheim sind. Man baue heute ein System so, dass alle Details des Systems oder mindestens ein Teil davon, öffentlich sind und das System dann eben trotzdem sicher ist.

«In der Praxis hängt es sehr stark davon ab, wer die Hacker sind, die testen. Und ob es genügend Leute sind, damit sie möglichst viele Fehler sehen», so Berger weiter.

Auch die Frage, wie man mit gefundenen Fehlern umgehe, beeinflusse, ob das System dann wirklich sicher sei oder ob man sich in einer scheinbaren Sicherheit wähne.

Die Kantone St. Gallen und Thurgau erhoffen sich so eine öffentliche Debatte. Aber auch, dass das Programm sicherer wird. Die Bevölkerung soll in das neue Ergebnisermittlungssystem maximales Vertrauen haben. Schliesslich gehe es um einen zentralen Aspekt der Demokratie, so die Verantwortlichen der Kantone.

20-jähriges System wird ersetzt

Plausibilitätskontrollen bei Kantonalen Wahlen und Abstimmungen wurden bis anhin von Leuten vor Ort gemacht, sagt Benedikt van Spyk, Staatssekretär des Kantons St. Gallen. Sie hätten das mit ihrer Erfahrung gemacht. In der neuen Software sei eine Schnittstelle zu einem Plausibilitätstool eingebaut.

Ziel der Software

Mit der neuen Software wird überprüft ob ein Abstimmungs- oder Wahlergebnis plausibel ist und Sinn macht oder ob es den Verdacht auf Unregelmässigkeiten gibt. Es gleicht dafür Resultate aus den Gemeinden ab.

Zudem kann nachverfolgt werden, wer im System was, wann eingegeben hat.

Eine Wahlmanipulation wie beispielsweise 2020 in Frauenfeld soll so möglichst vermieden werden können.

Das neue System ist am vergangenen Wahlsonntag in den Kantonen St. Gallen und Thurgau schon mal probehalber zum Einsatz gekommen, mit Erfolg, wie der Thurgauer Staatsschreiber Paul Roth sagt. «Die Gemeinden finden das System anwendungsfreundlich», so Roth. Einige kleinere Mängel seien schon entdeckt worden.

Der Kanton Thurgau wollte das System schon bei den kommenden Abstimmungen und Wahlen im September offiziell einsetzen. Es gibt aber noch einmal einen Übungsdurchlauf. Das neue Sicherheitssystem für Wahlen und Abstimmungen soll in den Kantonen Thurgau und St. Gallen ab 2023 definitiv zum Einsatz kommen. Die Stimmzettel werden weiterhin von Hand ausgezählt.