06.056 Bericht über die Pilotprojekte zum Vote électronique vom 31. Mai 2006

Sehr geehrte Herren Präsidenten Sehr geehrte Damen und Herren Wir unterbreiten Ihnen hiermit den Bericht über die Pilotprojekte zum Vote électronique mit Antrag auf Kenntnisnahme.

Wir versichern Sie, sehr geehrte Herren Präsidenten, sehr geehrte Damen und Herren, unserer vorzüglichen Hochachtung.

31. Mai 2006

Im Namen des Schweizerischen Bundesrates Der Bundespräsident: Moritz Leuenberger Die Bundeskanzlerin: Annemarie Huber-Hotz

2006-1451

5459

Übersicht Inhalt Dieser Bericht zieht Bilanz über die in den Jahren 2001­2005 mit den Pilotkantonen Genf, Neuenburg und Zürich durchgeführten Pilotprojekte und schlägt eine schrittweise und risikobewusste Einführung des Vote électronique vor.

Ausgangslage Mit diesem Bericht schliesst der Bundesrat die auf Vorstösse des Parlaments aus den Jahren 1999 und 2000 zurückgehende Abklärung der Chancen, der Risiken und der Machbarkeit des Vote électronique in der Schweiz ab. Die umfangreichen Evaluationsarbeiten zu den in den Jahren 2004 und 2005 durchgeführten Pilotversuchen in drei Kantonen dienen als Basis für die Beratung und die Beschlussfassung über das weitere Vorgehen.

Was heisst Vote électronique?

Unter Vote électronique wird in diesem Bericht die Möglichkeit verstanden, elektronisch abzustimmen und zu wählen sowie Referenden, Initiativen und Nationalratswahlvorschläge auf elektronischem Weg zu unterzeichnen.

Chancen und Risiken des Vote électronique Mit dem Vote électronique kann künftigen Generationen die demokratische Teilnahme auch bei veränderten Lebensbedingungen ermöglicht und so die Legitimation politischer Entscheide durch breit abgestützte Volksentscheide für die Zukunft gesichert werden. Der Vote électronique erleichtert die Stimmabgabe in einer immer mobileren Gesellschaft und bei einer stetigen Zunahme an stimmberechtigten Auslandschweizerinnen und Auslandschweizern. Er ermöglicht (seh)behinderten Menschen das Stimmen ohne fremde Hilfe unter der Wahrung ihres Stimmgeheimnisses.

Schliesslich kann die Schweiz mit dem Vote électronique für ihre Institutionen der direkten Demokratie international werben und sich durch eine weitere zeitgemässe Dienstleistung in einem zukunftsträchtigen Markt behaupten.

Dabei müssen aber auch Risiken in Kauf genommen werden. Die elektronische Stimmabgabe erfordert komplexe organisatorische, technische und juristische Massnahmen. Der digitale Graben zwischen Menschen mit und Menschen ohne Zugang zum Internet könnte bestehende Ungleichheiten bei der Teilnahme am politischen Leben verschärfen. Technische Missbrauchsgefahren erfordern eine stetige Kontrolle und Weiterentwicklung der Sicherheitsmassnahmen. Ein erfolgreicher oder auch ein nur «erfolgreich behaupteter» Missbrauch oder eine technische Panne würden Verunsicherung schaffen und das Vertrauen der Stimmberechtigten in die direkte Demokratie untergraben. Als Referenzwert zur Risikobewertung des Vote électronique gilt die briefliche Stimmabgabe.

5460

Nutzen und Kosten des Vote électronique Der Bundesrat ist der Ansicht, dass der Nutzen des Vote électronique klar erkennbar ist. Durch den Vote électronique werden die politischen Rechte der Stimmbevölkerung für die Zukunft nachhaltig unterstützt. Mit dem Vote électronique können die Voraussetzungen für den langfristigen Erhalt der direktdemokratischen Institutionen der Schweiz in einer sich modernisierenden Gesellschaft geschaffen werden. Die politischen Partizipationsmöglichkeiten müssen mit sich ändernden Lebensgewohnheiten der Bürgerinnen und Bürger Schritt halten können. Für einen Verzicht auf die Weiterführung der erfolgreich angelaufenen Pilotversuche besteht kein Anlass, ebenso wenig zu deren überhastetem Ausbau. Der Bundesrat will es den Kantonen ermöglichen, den Vote électronique schrittweise einzuführen.

Bei einer flächendeckenden Einführung des Vote électronique in der Schweiz ist für eine Zehnjahresperiode insgesamt mit Kosten von 65,76 Millionen Franken bei einem für alle Kantone einheitlichen System, von 92,16 Millionen Franken bei sechs Systemen und von bis zu 400 Millionen Franken bei kantonalen Einzellösungen zu rechnen. Diesen Aufwendungen stehen ­ bei allen Systemen ­ mutmassliche Einsparungen bei der brieflichen Stimmabgabe von 27,86 Millionen Franken gegenüber.

Damit liegen die Nettokosten der gesamtschweizerischen Einführung des Vote électronique mindestens bei 37,90 Millionen und höchstens bei knapp 400 Millionen Franken. Die Kosten würden zum allergrössten Teil bei den Gemeinden und den Kantonen anfallen. Dem Bund entstünden bei einer Einführung des Vote électronique über die bereits geleisteten Initialkosten hinaus nur noch jährliche Koordinationskosten von ungefähr 350 000 Franken.

Weiteres Vorgehen Der Bundesrat ist der Ansicht, dass auf Bundesebene Rechtsgrundlagen geschaffen werden müssen, welche die Einführung des Vote électronique in den Kantonen unter Einhaltung einer geordneten Etappierung und vom Bund zu koordinierender Kontrollprozesse zulassen. Im Vordergrund steht die Kalkulierbarkeit der Risiken. Da ein Grossteil der Kosten für die Einführung des Vote électronique bei den Kantonen und Gemeinden anfallen würde, muss es ihnen freigestellt sein, ob, wann und wie sie den Vote électronique für kantonale und kommunale Abstimmungen einführen wollen. Der Bundesrat
wird im Rahmen seiner Bewilligungen für eidgenössische Volksabstimmungen darauf achten, dass im Verlaufe der nächsten Legislatur nie mehr als 10 Prozent der Personen, die auf Bundesebene stimmberechtigt sind, in gleichzeitig stattfindende Versuche mit dem Vote électronique einbezogen werden.

Bei obligatorischen Referenden, bei denen auch das Ständemehr entscheidend ist, werden zusätzlich nicht mehr als 20 Prozent der jeweils betroffenen kantonalen Elektorate zum Vote électronique zugelassen werden.

Die innovative und effiziente Zusammenarbeit der Pilotkantonen Genf, Neuenburg und Zürich untereinander und mit dem Bund hat drei Systeme zur elektronischen Stimmabgabe hervorgebracht, die sich im Rahmen verschiedener Pilotversuche auf kommunaler, kantonaler und eidgenössischer Ebene bewährt haben. Diese Systeme stehen nun allen anderen Kantonen zur Verfügung. Dabei obliegt es den Kantonen zu prüfen, welches System den eigenen Erfordernissen am ehesten entspricht.

5461

Inhaltsverzeichnis Übersicht

5460

1 Ausgangslage 1.1 Was ist der Vote électronique?

1.2 Auftrag des Parlaments

5464 5464 5465

2 Voraussetzungen für Pilotversuche 2.1 Gesetzliche Grundlagen für Pilotversuche 2.2 Vereinbarungen mit den Pilotkantonen 2.3 Genehmigungsverfahren von Pilotversuchen durch den Bundesrat 2.4 Harmonisierung der Stimmregister und Personenidentifikator 2.5 Datenschutzrechtliche Anforderungen

5466 5466 5466 5467 5468 5469

3 Evaluationskriterien 3.1 Nutzen und Auswirkungen auf die direkte Demokratie 3.2 Schutz vor Risiken und Missbräuchen 3.3 Wirtschaftlichkeit und politische Machbarkeit

5469 5470 5470 5473

4 Pilotversuche in den Jahren 2004 und 2005 4.1 Das Pilotprojekt des Kantons Genf 4.1.1 Rahmenbedingungen 4.1.2 Kantonale Gesetzesgrundlagen und Voraussetzungen 4.1.3 Lösungsansatz und Umsetzung 4.1.4 Pilotversuche und Begleitarbeiten 4.1.4.1 Begleitarbeiten 4.2 Das Pilotprojekt des Kantons Neuenburg 4.2.1 Rahmenbedingungen 4.2.2 Kantonale Gesetzesgrundlagen und Voraussetzungen 4.2.3 Lösungsansatz und Umsetzung 4.2.3.1 Der Vote électronique als Teil des Guichet Unique 4.2.3.2 Neuorganisation der Abstimmungen 4.2.3.3 Verfahren der elektronischen Stimmabgabe 4.2.4 Pilotversuche und Begleitarbeiten 4.2.4.1 Pilotversuche und Sicherheitsaudits 4.2.4.2 Begleitarbeiten 4.3 Das Pilotprojekt des Kantons Zürich 4.3.1 Rahmenbedingungen 4.3.2 Kantonale Gesetzesgrundlagen und Voraussetzungen 4.3.3 Lösungsansatz und Umsetzung 4.3.3.1 Ein Urnengang mit dem Vote électronique 4.3.4 Pilotversuche und Begleitarbeiten 4.3.4.1 Begleitarbeiten 4.4 Projekte anderer Staaten 4.4.1 Europarat und OSZE 4.5 Fazit

5473 5473 5473 5474 5474 5477 5478 5479 5479 5479 5480 5480 5481 5482 5483 5483 5485 5485 5485 5486 5486 5487 5488 5490 5491 5492 5493

5462

5 Evaluation der Pilotversuche 5.1 Nutzen und Auswirkungen auf die direkte Demokratie 5.1.1 Potenzialstudie 2003­2004 5.1.2 Umfragen im Rahmen der kantonalen Pilotversuche bei eidgenössischen Volksabstimmungen 5.1.2.1 Kanton Genf 5.1.2.2 Kanton Neuenburg 5.1.2.3 Kanton Zürich 5.1.2.4 Umfragen Dritter 5.1.3 Führen Stimmerleichterungen zu einer höheren Stimmbeteiligung?

5.1.4 Fazit 5.2 Risiken und Sicherheitsmassnahmen 5.2.1 Die Sicherheitsarchitektur der kantonalen Systeme 5.2.1.1 Virtuelles Stimmregister 5.2.1.2 Stimmrechtsausweise 5.2.1.3 Identifikation, Autorisierung und Validierung 5.2.1.4 Verschlüsselung und Entschlüsselung der Stimmen 5.2.1.5 Redundantes Speicherverfahren 5.2.1.6 Stimmrechtsprüfung im Urnenlokal 5.2.1.7 Plausibilisierungsverfahren 5.2.1.8 Entschlüsselung der Stimmen 5.2.1.9 Ausmittlungsverfahren 5.2.1.10 Datenschutz 5.2.2 Risikobezogene Beurteilung der kantonalen Umsetzung 5.2.2.1 Identifikation und Authentifikation der stimmberechtigten Person 5.2.2.2 Authentifikation des Abstimmungsservers 5.2.2.3 Sichere Kommunikation 5.2.2.4 Sicherheit der Eingabegeräte 5.2.2.5 Demokratische Kontrolle des Auszählungsprozesses 5.2.2.6 Nachvollziehbarkeit und Beweisbarkeit 5.2.3 Vergleich mit Risiken der brieflichen Stimmabgabe 5.3 Wirtschaftlichkeit und Machbarkeit 5.3.1 Kosten der Pilotprojekte 5.3.2 Kosten einer Einführung des Vote électronique 5.3.3 Einsparungspotenzial 5.3.4 Zwei Varianten der Zusammenarbeit zwischen den Kantonen 5.3.5 Harmonisierung der Stimmregister und Personenidentifikator 5.4 Schlussfolgerungen und weiteres Vorgehen 5.4.1 Vollzug in Etappen 5.4.2 Anpassungsbedarf der Gesetzesgrundlagen 5.4.3 Gesellschaftspolitische Begleitmassnahmen 5.4.4 Organisation der Folgearbeiten

5494 5495 5496 5498 5498 5499 5500 5501 5502 5504 5505 5505 5505 5506 5506 5506 5507 5507 5508 5508 5508 5509 5509 5509 5510 5510 5511 5512 5512 5515 5520 5520 5523 5525 5527 5527 5528 5529 5530 5531 5532

6 Schlussbetrachtung

5533

Technisches Glossar

5536

Ergänzende Dokumentation

5538

5463

Bericht 1

Ausgangslage

Im Zuge der rasanten Entwicklung der Informations- und Kommunikationstechnologien in den 90er-Jahren hat sich die Schweiz zunehmend mit den Möglichkeiten dieser technischen Errungenschaften für die Verwaltungsführung, die Bürger-StaatKommunikation und den demokratischen Meinungs- und Entscheidfindungsprozess auseinandergesetzt.

Vor diesem Hintergrund hat die Bundeskanzlei im Auftrag von Bundesrat und Parlament in Zusammenarbeit mit den Kantonen Genf, Neuenburg und Zürich Pilotversuche zur elektronischen Stimmabgabe durchgeführt und die Machbarkeit des Vote électronique in der Schweiz evaluiert.

1.1

Was ist der Vote électronique?

Die rasante Verbreitung von digitalen Kommunikationsgeräten ermöglicht neuartige Informations- und Interaktionsmöglichkeiten im beruflichen und privaten Alltag.

Die neuen Informations- und Kommunikationstechnologien machen auch vor den Pforten der demokratischen Kultur der Schweiz nicht halt. Insbesondere das Internet hat den politischen Alltag bereits stark verändert. Politische Informationen werden vermehrt online angeboten und bezogen. Die Parteien stehen genauso im digitalen Wettbewerb wie die Politikerinnen und Politiker. Die politische Meinungsbildung innerhalb der Gesellschaft verläuft zunehmend über das Internet. Vor diesem Hintergrund stellt sich die Frage, wie der Staat die politische Partizipation aller Bürgerinnen und Bürger in der digitalen Demokratie sicherstellen soll.

Die elektronische Stimmabgabe bei politischen Wahlen und Abstimmungen ausserhalb des Wahllokals stellt eine mögliche Antwort auf diese Frage dar. Erste Umsetzungen dieser Idee sind bekannt: Parlamentsabstimmungen werden mit Hilfe von Computern und Anzeigetafeln durchgeführt, und elektronische Wahlmaschinen mit Touchscreens kommen bei Wahlen in verschiedenen Ländern zum Einsatz1. Eine weitere Möglichkeit besteht im so genannten Kiosk Voting, der Stimmabgabe an eigens dafür eingerichteten und von staatlichen Stellen in staatlichen Lokalitäten unterhaltenen Computergeräten.

Der Einsatz von Wahlmaschinen und des Kiosk Voting spielt in der Schweiz aufgrund der allgemein verfügbaren Möglichkeit der brieflichen Stimmabgabe allerdings keine wichtige Rolle. Diese Möglichkeiten wurden deshalb im Rahmen der Pilotprojekte nicht evaluiert.

In der Schweiz wird unter der elektronischen Stimmabgabe vielmehr das so genannte Remote Electronic Voting2 verstanden, also die Stimmabgabe über das Internet, SMS und weitere elektronische Datenkommunikationswege.

1 2

Vgl. Ziff. 4.4 hiernach Für diese Form der elektronischen Stimmabgabe wird im deutschen Sprachraum die Bezeichnung «Distanz-E-Voting» und im englischen Sprachraum «remote e-voting» oder «remote voting by electronic means (RVEM)» verwendet.

5464

Die elektronische Unterzeichnung von Initiativen und Referenden sowie Nationalratswahlvorschlägen gehört schliesslich auch zum Vote électronique. Diese Verfahren wurden jedoch in der zurückliegenden Pilotphase noch nicht erprobt. Zur elektronischen Unterzeichnung wird unter Umständen eine staatlich anerkannte digitale Signatur benötigt, da hier gerade nicht das Stimmgeheimnis, sondern eine namentliche Identifikation der unterzeichnenden Person notwendig ist. Entsprechend qualifizierte digitale Signaturen sind bislang in der Schweiz noch nicht genügend verbreitet3.

1.2

Auftrag des Parlaments

Der Bundesrat hat in seiner Strategie für eine Informationsgesellschaft in der Schweiz vom 18. Februar 1998 erwähnt, es sei zu prüfen, inwiefern die neuen Informations- und Kommunikationstechnologien im demokratischen Entscheidfindungsprozess genutzt werden könnten4. Zwei Jahre später verlangte das Parlament eine entsprechende Machbarkeitsstudie und forderte den Bundesrat dazu auf, die Vorbereitungen für eine elektronische Stimmabgabe in der Schweiz voranzutreiben5.

Die Bundeskanzlei hat vom Bundesrat im August 2000 den Auftrag erhalten, die Machbarkeit eines Vote électronique im Sinne der Stimmabgabe ausserhalb des Wahllokals über ein Netzwerk (z.B. Internet) von jedem beliebigen Gerät aus zu prüfen. Gestützt auf eine Verfügung der Bundeskanzlei vom 30. Juni 2000 wurde eine Arbeitsgruppe «Vorprojekt Vote électronique» mit Vertretern von Bund und Kantonen eingesetzt.

In der Folge trug die Arbeitsgruppe Informationen zu vergleichbaren Projekten im Ausland zusammen, prüfte technische Varianten zur Gewährleistung der Sicherheit, eruierte mögliche Risiken und Chancen der elektronischen Stimmabgabe, klärte Möglichkeiten eines virtuellen Stimmregisters ab und nahm erste Kostenschätzungen für den Fall einer Einführung des Vote électronique vor. Der Bundesrat verabschiedete am 9. Januar 2002 den Bericht über Chancen, Risiken und Machbarkeit elektronischer Ausübung politischer Rechte (BBl 2002 645) an das Parlament. Er kam dabei zum Schluss, dass zur vollständigen Abklärung der Machbarkeit Pilotprojekte mit interessierten Kantonen durchgeführt werden sollen.

Die vorberatende Staatspolitische Kommission des Nationalrates unterstützte dieses Vorhaben. Allerdings erklärte die Kommission auch, der Weg zur elektronischen Stimmabgabe müsse in kleinen Schritten vorgenommen werden, um den direktde3

4

5

Seit der Inkraftsetzung des Bundesgesetzes über die elektronische Signatur (ZertES SR 943.03) am 1. Januar 2005 ist die rechtliche Basis für verbindliche, medienbruchfreie Transaktionen gelegt. Die Swisscom-Firmenkundentochter Swisscom Solutions hat im Dezember 2005 als erstes Unternehmen in der Schweiz die Zulassung als Anbieterin von qualifizierten elektronischen Unterschriften erhalten.

Strategie für eine Informationsgesellschaft in der Schweiz vom 18. Februar 1998, S. 3.

Mit dem 7. Bericht der Koordinationsgruppe Informationsgesellschaft hat der Bundesrat seine Strategie am 18. Januar 2006 überarbeitet. Er hat dabei erneut darauf hingewiesen, dass die Informations- und Kommunikationstechnologien die Kommunikations- und Partizipationsmöglichkeiten aller Einwohnerinnen und Einwohner verbessern können (vgl.

www.infosociety.ch).

Zu den verschiedenen Vorstössen vgl. Bericht vom 9. Januar 2002 über den Vote électronique: Chancen, Risiken und Machbarkeit elektronischer Ausübung politischer Rechte, BBl 2002 645, hier zitiert S. 649 f.

5465

mokratischen und föderalistischen Eigenheiten des schweizerischen politischen Systems Rechnung zu tragen. Das Vertrauen der Stimmenden in die halbdirekte Demokratie dürfe nicht erschüttert werden. Bezüglich der mit dem Vote électronique verbundenen Risiken war die Kommission der Meinung, dass in Kauf genommen werden müsse, was bei der brieflichen Stimmabgabe auch gelte. Der Bericht wurde am 19. März 2002 vom Nationalrat und am 5. Juni 2002 vom Ständerat zur Kenntnis genommen6.

2

Voraussetzungen für Pilotversuche

Nachfolgend sind die Voraussetzungen zur Durchführung von Pilotversuchen zum Vote électronique aufgeführt.

2.1

Gesetzliche Grundlagen für Pilotversuche

Das Parlament schuf am 21. Juni 2002 im Rahmen einer Teilrevision des Bundesgesetzes vom 17. Dezember 1976 über die politischen Rechte (BPR, SR 161.1) die Rechtsgrundlagen für rechtsverbindliche Pilotversuche mit dem Vote électronique7.

Sie geben dem Bundesrat die Möglichkeit, im Einvernehmen mit interessierten Kantonen und Gemeinden örtlich, zeitlich und sachlich begrenzte Versuche zuzulassen. Dabei müssen insbesondere die Kontrolle der Stimmberechtigung, das Stimmgeheimnis und die Erfassung aller Stimmen gewährleistet werden und Missbräuche ausgeschlossen bleiben. Gleichzeitig verlangte das Parlament, dass die Versuche wissenschaftlich begleitet und insbesondere Daten zu Geschlecht, Alter und Ausbildung erhoben werden sollen.

In Ausführung des neuen Artikels 8a BPR sind am 20. September 2002 durch Ergänzung der Verordnung vom 24. Mai 1978 über die politischen Rechte (VPR, SR 161.11) die Voraussetzungen formuliert worden, die erfüllt sein müssen, damit der Bundesrat Pilotprojekte mit dem Vote électronique bewilligen kann (Art. 27a­ 27q VPR, AS 2002 3200). Weisungen für die Anwendung teilte der Bundesrat den Kantonen im Kreisschreiben vom 20. September 2002 mit (BBl 2002 6603).

2.2

Vereinbarungen mit den Pilotkantonen

Der Bundesrat vereinbarte mit den Kantonen Genf, Neuenburg und Zürich in einer Absichtserklärung die Einrichtung von Pilotprojekten mit dem Ziel, in allen drei Kantonen rechtsverbindliche Versuche anlässlich eidgenössischer Volksabstimmungen vorzubereiten. Die Durchführung der Projekte wurde in Verträgen zwischen der Bundeskanzlei und den drei Pilotkantonen geregelt. Dabei wurde unter anderem die Einhaltung der folgenden Sicherheitsvorkehrungen festgelegt:

6 7

AB 2002 N 331 ff. und 1139; AB 2002 S 333 ff. und 553 Art. 5 Abs. 3, 2. Satz, Art. 8a, Art. 12 Abs. 3, Art. 38 Abs. 5 und Art. 49 Abs. 3 BPR sowie Art. 1 Abs. 1, 2. Satz Bundesgesetz vom 19. Dezember 1975 über die politischen Rechte der Auslandschweizer (BPRAS, SR 161.5). AS 2002 3193.

5466

­

Elektronisch abgegebene Stimmen können nicht systematisch abgefangen, verändert oder umgeleitet werden.

­

Vom Inhalt elektronisch abgegebener Stimmen dürfen Dritte keine Kenntnis erlangen können.

­

Nur stimmberechtigte Personen können am Urnengang teilnehmen.

­

Jede stimmberechtigte Person hat nur eine Stimme.

Die Pilotprojekte präjudizieren nach ausdrücklicher Vertragsbestimmung eine spätere Bundeslösung in keiner Weise. Die Pilotkantone können aus der Genehmigung eines Pilotversuchs keine allgemeinen Rechte für eine allfällige Einführung des Vote électronique in ihrem Kanton ableiten. Der Bund beteiligt sich mit maximal 80 Prozent der durch die Pilotversuche im Vergleich zu herkömmlichen Abstimmungen entstehenden Mehrkosten. Ebenfalls vertraglich vereinbart wurde, dass die Ergebnisse der Pilotprojekte allen interessierten Kantonen unentgeltlich zur Verfügung stehen.

2.3

Genehmigungsverfahren von Pilotversuchen durch den Bundesrat

Die Genehmigung von Pilotprojekten anlässlich eidgenössischer Urnengänge obliegt dem Bundesrat (Art. 27c Einleitungssatz VPR), der kraft Gesetzes das Abstimmungsergebnis zu erwahren hat (Art. 15 Abs. 1 BPR). Der Bundesrat kann bei der Genehmigung von Pilotversuchen zur Minimierung der Risiken eine örtliche, zeitliche und sachliche Begrenzung der Versuchsanlage vornehmen. Er legt also u.a. fest, in welchen Gemeinden die Abstimmungsergebnisse aus dem Vote électronique bindende Wirkung für das Bundesergebnis haben sollen (Art. 27c Bst. c VPR) und für welche Urnengänge der Vote électronique zugelassen wird (Art. 27c Bst. a VPR). Mit der Verordnungsergänzung vom 20. September 2002 knüpfte der Bundesrat die Genehmigung eines Pilotversuchs an strenge Voraussetzungen, die, soweit die Verordnung es nicht ausdrücklich anders festlegt, kumulativ erfüllt werden müssen8.

Die Pilotprojekte der Kantone Genf, Neuenburg und Zürich wurden in enger Zusammenarbeit mit der Bundeskanzlei realisiert. Die Bundeskanzlei und die Begleitgruppen der Pilotkantone waren jederzeit über den technischen Stand und vorgesehene Anpassungen orientiert.

8

Ein Vote électronique-System muss sich an den neuesten technischen Erkenntnissen zum Schutz vor Risiken ausrichten und regelmässig von einer unabhängigen Stelle überprüft werden. Die VPR regelt hierzu in Artikel 27l unter der Überschrift «Technischer Stand» Folgendes: Abs. 1: «Die bei den zuständigen Behörden eingesetzten technischen Komponenten, die Software, die Aufbau- und die Ablauforganisation werden vor jedem Urnengang nach neustem Stand der Technik beurteilt.» Abs. 2: «Die Erfüllung der Sicherheitsanforderungen und die Funktionalität des elektronischen Wahl- oder Abstimmungssystems müssen von einer unabhängigen, von der Bundeskanzlei anerkannten externen Stelle bestätigt sein. Diese Anforderung gilt auch für jegliche Änderung des Systems.»

5467

Jeder geplante Einsatz des Vote électronique anlässlich eidgenössischer Urnengänge während der Pilotphase setzte die Genehmigung des Bundesrates voraus. Die hiefür erforderlichen Gesuche mussten unter anderem detaillierte technische Dokumentationen enthalten.

Die drei Pilotsysteme wurden vor dem ersten Einsatz jeweils durch externe, von der Bundeskanzlei beauftragte Firmen auf ihre Systemsicherheit sowie ihre Sicherheit gegen Hackerangriffe überprüft. Die Plausibilisierung (vgl. Ziff. 5.2.1.7) am Abstimmungssonntag erfolgte jeweils im Beisein von Vertretern der Bundeskanzlei.

Bei der technischen Dokumentation eines Vote-électronique-Systems und bei den Sicherheitsgutachten handelt es sich um vertrauliche Dokumente der Kantone, welche dem Bundesrat mit dem kantonalen Gesuch zur Einsicht unterbeitet werden.

Diese Dokumente sind nicht öffentlich. Kantone, in welchen das Öffentlichkeitsprinzip bereits umgesetzt worden ist, können die Einsicht in diese Dokumente oder den Programmcode an Bedingungen knüpfen oder, soweit es sich dabei um sensible Sicherheitsinformationen oder Firmengeheimnisse handelt, verweigern. Diese Praxis wurde vom Bundesgericht bestätigt9.

2.4

Harmonisierung der Stimmregister und Personenidentifikator

Eine überaus wichtige Voraussetzung für den Vote électronique besteht in einer Vereinheitlichung der meist in den Gemeinden geführten Stimmregister10. Auf Bundesebene gesetzlich verankerte Konventionen bezüglich der Personenidentifikation in diesen Registern, bezüglich Feldbezeichnungen, Merkmalen und Schreibweisen lagen bei der Aufnahme der Pilotarbeiten noch nicht vor. Die Pilotkantone konnten jedoch bei der Entwicklung ihrer Anwendungen teils auf kantonale Bestimmungen, teils auf einen Standard des Vereins eCH11 zurückgreifen. Zur Personenidentifikation wurden je eigene kantonale oder kommunale Identifikatoren eingesetzt. Der überkantonale Datenaustausch zwischen den Stimmregistern war daher mangels einer eindeutigen numerischen Identifikation nicht gegeben.

Der Kanton Genf verfügte bereits zu Projektbeginn über ein einheitliches kantonales Personenregister, aus dem zum Stichtag ein Stimmregister gebildet wird. Im Kanton Neuenburg konnte der Zusammenzug der gemeindeweise geführten Register rechtzeitig vor Projektbeginn abgeschlossen werden. Im Kanton Zürich schliesslich musste eine kantonale Sicht (View) auf die Gemeinderegister im Rahmen des Projektes erst entwickelt werden.

Damit das Stimmgeheimnis gewahrt ist, wurden in allen drei Pilotkantonen sämtliche personenbezogenen Daten (Name, Adresse, Geburtsdatum usw.) nach Erzeugung der Stimmrechtsausweise anonymisiert. Ob ein Stimmrecht bereits wahrgenommen worden war, wurde mittels der Stimmrechtsausweisnummer im Stimmregister überprüft. Die doppelte Stimmabgabe wurde so verunmöglicht. Vor, 9 10 11

Urteil des Bundesgerichts 1P.29/2006 vom 23. März 2006, nicht veröffentlicht.

Zum Stand der kantonalen Gesetzesgrundlagen für die Stimmregisterführung vgl. die ergänzende Dokumentation 3.

eCH-Standard «0027:Meldeprozesse», gültig seit 29.10.2004, www.unisg.ch/org/idt/echweb.nsf/0/D38E4752D42D358AC1256F3C002F6B0A?OpenD ocument&lang=de.

5468

während und nach einem Urnengang mit dem Vote électronique sind keinerlei Rückschlüsse auf Personen möglich.

2.5

Datenschutzrechtliche Anforderungen

Der Eidgenössische Datenschutzbeauftragte (EDSB) beurteilt die elektronische Stimmabgabe als sehr komplexe Anwendung und stellt ein Spannungsverhältnis zwischen der durch das Stimmgeheimnis verlangten Anonymität der Stimmenden und Wählenden einerseits und dem Erfordernis einer gewissen Nachvollziehbarkeit des Abstimmungsergebnisses andererseits fest. Er führte seine kritische Beurteilung des Vote électronique erstmals in seinem Tätigkeitsbericht 2002 aus: Renommierte Informatikexperten würden die Nachvollziehbarkeit von Informatikprozessen im Bereich der elektronischen Stimmabgabe in Frage stellen. Der EDSB verweist auf so genannte blinde Signaturen, die den Gegensatz zwischen Anonymität und Nachvollziehbarkeit zwar ein Stück weit überwinden helfen. Die Komplexität sei aber technisch noch nicht in ihrer Gänze zu lösen. Bevor der Vote électronique eingeführt werden könne, sei seine Machbarkeit gerade in diesem Bereich zu prüfen12.

Das schweizerische Datenschutzgesetz vom 19. Juni 1992 (DSG, SR 235.1) bezweckt in Artikel 1 und 2 den Schutz der Persönlichkeit und der Grundrechte von Personen, über welche Bundesorgane oder private Dritte Personendaten bearbeiten.

Es setzt in Artikel 4 voraus, dass jede Beschaffung von Personendaten rechtmässig erfolgen und jede Bearbeitung einem gesetzlich verankerten Zweck entsprechen muss.

Dies betrifft in erster Linie die zur Erstellung von Stimmregistern erforderlichen Daten aus den Einwohnerregistern der Gemeinden und Kantone. In zweiter Linie sind aber auch die bei der Stimmabgabe selbst zur Stimmrechtskontrolle erforderlichen Daten datenschutzrelevant. Im ersten Fall kann der Vote électronique auf die umfangreiche Erfahrung bei den bestehenden Verfahren der Stimmabgabe zurückgreifen. Lediglich dort, wo Stimmregister beispielsweise kantonal explizit für den Vote électronique zusammengezogen werden, ist die Bearbeitung datenschutzrechtlich neu zu beurteilen.

3

Evaluationskriterien

In diesem Kapitel werden die Kriterien, nach denen die Pilotprojekte evaluiert wurden, dargestellt. In Ziffer 4 werden die Pilotprojekte dargestellt und in Ziffer 5 anhand der hier vorgestellten Kriterien ausgewertet.

12

9. Tätigkeitsbericht des Eidgenössischen Datenschutzbeauftragten 2001/2002, Bern 2002, S. 14 f., www.edsb.ch/d/doku/jahresberichte/tb9/index.htm.

5469

3.1

Nutzen und Auswirkungen auf die direkte Demokratie

Der Nutzen des Vote électronique wird in der Regel in der Stimmerleichterung gesehen. In einer immer mobileren Gesellschaft kann er wie die briefliche Stimmabgabe die Teilnahme an Wahlen und Abstimmungen wesentlich erleichtern. Viele junge, aber auch ältere Stimmbürgerinnen und -bürger könnten dieser zeitgemässen Variante zur Stimmabgabe, die sich an ihren Lebensgewohnheiten in der Informationsgesellschaft orientiert, sehr zugetan sein. Für viele Auslandschweizerinnen und Auslandschweizer könnte mit dem Vote électronique die Benachteiligung durch lange Zustellfristen im internationalen Briefverkehr wegfallen. Blinde und sehbehinderte Personen schliesslich bekämen erstmals die Möglichkeit, ohne fremde Hilfe und unter Wahrung ihres Stimmgeheimnisses an einem Urnengang teilzunehmen13.

Daraus resultierend könnte der Vote électronique zu einer Steigerung der Stimmbeteiligung beitragen.

Dem allgemeinen Nutzen einer möglichen Erhöhung der Stimmbeteiligung stehen aber auch partielle Nutzenaspekte gegenüber. Falls spezifische Bevölkerungsgruppen (z.B. Junge, Alte, Frauen, Männer, postmateriell Orientierte oder traditionell Gesinnte usw.) dank dem Vote électronique plötzlich überdurchschnittlich an Abstimmungen und Wahlen teilnehmen würden und sogar zu einer regelmässigeren Stimmabgabe angespornt würden, könnten bestimmte Parteien und Interessengruppierungen davon stärker profitieren als andere.

Aber auch die Frage, ob der Vote électronique überhaupt Anklang findet und einem Bedürfnis der Stimmberechtigten entspricht, sollte im Rahmen der wissenschaftlichen Begleitung der Pilotversuche berücksichtigt werden.

Die eidgenössischen Räte haben bei der Revision des Bundesgesetzes über die politischen Rechte Artikel 8a deshalb durch einen entsprechenden Absatz 3 ergänzt.

Insbesondere Geschlecht, Alter und Ausbildungsstand der am Vote électronique Interessierten waren im Rahmen der Pilotprojekte zu erheben.

Die Bundeskanzlei hatte die Rahmenbedingungen (Kosten, Untersuchungsziele) wissenschaftlicher Begleiterhebungen über die soziografische Zusammensetzung der Teilnehmerinnen und Teilnehmer an Versuchen mit elektronischer Stimmabgabe festzulegen. Im Weiteren hat sie dafür gesorgt, dass Pilotversuche mit elektronischer Stimmabgabe auf ihre Wirksamkeit (Entwicklung der Stimmbeteiligung und Auswirkungen auf die Stimmgewohnheiten) überprüft werden (Art. 27o­27p VPR).

3.2

Schutz vor Risiken und Missbräuchen

Der Vote électronique muss höchsten Sicherheitsanforderungen genügen. Die Wissenschaft hat sich mit den Risiken der elektronischen Stimmabgabe intensiv auseinander gesetzt. Dabei stehen technische Manipulationsgefahren sowie die allgemeine Gefährdung einer Demokratie durch technische Risiken im Vordergrund: 13

Dies hat eine Abklärung vom Februar 2002 bei der Stiftung «Zugang für alle» ergeben.

Zur erfolgreichen Stimmabgabe ist jedoch ein mit Braille-Tastatur und Sprachsynthese ausgerüstetes Gerät notwendig. Auch die auf dem Stimmrechtsausweis angebrachten Codes könnten von einer sehbehinderten Person mithilfe eines Scanner-Gerätes gelesen werden.

5470

Ein zur Stimmabgabe eingesetztes Gerät könnte so manipuliert werden, dass die Stimmmerkmale sowie Informationen, die eine Identifikation der stimmberechtigten Person zulassen, gespeichert beziehungsweise ausspioniert werden14. Dieses Risiko wird als hoch eingestuft, weil die zur Stimmabgabe benutzten Geräte ausserhalb des Kontrollbereichs der Abstimmungs- und Wahlbehörden liegen und angenommen wird, dass die Stimmberechtigten nicht unbedingt genügend Kenntnisse besitzen, um bösartige Software oder Angriffe zu erkennen15. Ein weiteres Risiko betrifft die Anfälligkeit auf das so genannte Web-Spoofing. Stimmberechtigte könnten auf gefälschte Internetseiten gelangen und ihre Stimme sowie ihre Zugriffsdaten dort eintragen. Dank der so gewonnenen Informationen könnten Unberechtigte anstelle der stimmberechtigten Person anschliessend auf dem offiziellen Abstimmungsserver ihre eigenen politischen Präferenzen speichern (Man-in-the-middle-Angriff)16. Ein vergleichbarer Angriff könnte darin bestehen, den Datenverkehr zwischen dem offiziellen Abstimmungsserver und der stimmberechtigten Person unbemerkt zu stören und so auf die Stimme Einfluss zu nehmen. In Firmennetzen könnten Systemadministratoren versuchen, die Stimmabgabe von Mitarbeiterinnen und Mitarbeitern zu beobachten oder darauf einzuwirken17. Schliesslich könnten Daten aus dem Zwischenspeicher eines Eingabegerätes dazu benutzt werden, Kenntnisse über die effektiv abgegebene Stimme einer Person zu erlangen18.

Ein Gutachten zum US-amerikanischen Vote-électronique-System SERVE kam 2004 gar zum Schluss, das Internet sei von seiner Konzeption her ungeeignet zur sicheren und geschützten Kommunikation19. Der Einbruch auch in als hochsicher geltende Netzwerke (u.a. Hightech-Firmen, Regierungen) zeuge davon, dass innovative Computerexperten immer wieder Möglichkeiten fänden, die Sicherheitsschranken eines Systems zu durchbrechen. Dies könnte für politische Parteien, aber auch für Terroristen oder für andere Staaten von Interesse sein20. Zu den potenziell gefährlichen Personen gehören aber auch «Insider» wie beispielsweise Systemadministratoren oder Angestellte der Herstellerfirmen, die sich einen unerlaubten Zugriff

14

15

16

17 18 19 20

BBl 2002 668; Alvarez/Hall 2004, S. 83; Jefferson et al. 2004a, S. 62; Jefferson et al. 2004b, S. 12 ff.; Mitchison 2003, S. 259; Oppliger 2002b, S. 12 und 18 f.; Oppliger 2002a, S. 185; Comité Sécurité (28.1.2002), S. 7 f.; Rubin 2002, S. 40 ff.; Schryen 2004, S. 124 f. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Vgl. Burmester/Magkos 2003, S. 67; Cranor 2003, S. 27; Independent Commission on Alternative Voting Methods (U.K.) 2002, S. 91 f.; Jefferson et al. 2004a, S. 62 f.; Jones 2003, S. 14; Comité Sécurité (28.1.2002), S. 8; Rubin 2002, S. 40. Zum Faktor «Mensch» im Bereich der digitalen Sicherheit vgl. Schneier 2004, S. 249 ff. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Alvarez/Hall 2004, S. 84; Burmester/Magkos 2003, S. 67; Independent Commission on Alternative Voting Methods (U.K.) 2002, S. 92; Jefferson et al. 2004a, S. 63; Jefferson et al. 2004b, S. 16 ff.; Mitchison 2003, S. 259; Oppliger 2002a, S. 185; Comité Sécurité (28.1.2002), S. 7 f.; Rubin 2002, S. 41 und 43 f.; Schryen 2004, S. 127. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Jefferson et al. 2004b, S. 13 f.; Oppliger 2002b, S. 12. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Vgl. auch Burmester/Magkos 2003, S. 73; Peralta 2003, S. 156 und 158. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Jefferson et al. 2004a, S. 60; Jefferson et al. 2004b, S. 21 und 32. So auch Kley/Feller 2003, S. 98. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Jefferson et al. 2004b, S. 11; Pratchett et al. 2005, S. 171. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

5471

auf die Daten verschaffen21, sei dies aufgrund eigener Interessen oder weil sie dazu gezwungen werden22. Nicht zuletzt wird die Überprüfbarkeit der Abläufe beim Vote électronique häufig bezweifelt. Die Auszählung und allfällige Nachzählungen seien nur spezialisierten Personen, zum Beispiel Informatikern, verständlich23. Dies könne das Vertrauen der Stimmberechtigten gefährden24. Der Bundesrat hat in seinem Bericht über den Vote électronique vom 9. Januar 200225 bereits eine ausführliche Zusammenstellung dieser Risiken und Gefahren vorgelegt. Auch in den parlamentarischen Beratungen des Berichtes und der Gesetzesgrundlage für Pilotversuche mit Vote électronique wurden Bedenken hinsichtlich der Sicherheit, der Missbrauchsverhinderung und der Wahrung des Stimmgeheimnisses beim Vote électronique geäussert26.

Anlässlich einer vom Schweizerischen Verein für Rechtsinformatik veranstalteten Tagung im Oktober 2002 haben Kritiker des Vote électronique speziell Befürchtungen in Bezug auf die geheime Übermittlung von elektronisch abgegebenen Stimmen geäussert27.

Ein Vote électronique für die Schweiz muss höchsten Sicherheitsansprüchen genügen. Gleichzeitig soll er von allen Stimmberechtigten ohne Spezialkenntnisse genutzt werden können. Dabei gilt es, ein Höchstmass an Sicherheit zu einem erschwinglichen Preis und ohne übermässige Einschränkung der Benutzerfreundlichkeit zu erzielen. Im Rahmen der Pilotversuche galt es deshalb die möglichen Risiken des Vote électronique und die dagegen eingesetzten Sicherheitsmassnahmen mit den Risiken und entsprechenden Massnahmen bei der herkömmlichen Stimmabgabe, insbesondere bei der brieflichen Stimmabgabe, zu vergleichen und zu evaluieren.

Zusammenfassend lassen sich die technischen Risiken, die es im Rahmen der Pilotprojekte zum Vote électronique zu untersuchen galt, in folgende Problemkreise einordnen: ­

21

22 23

24 25 26 27

Identifikation und Authentifikation der stimmberechtigten Person

­

Authentifikation des Abstimmungsservers

­

Sichere Kommunikation

­

Sicherheit der Eingabegeräte

­

Demokratische Kontrolle des Auszählungsprozesses

­

Nachvollziehbarkeit und Beweisbarkeit

Vgl. Mitchison 2003, S. 260 f.; Pratchett et al. 2005, S. 172; Rubin 2002, S. 42. Vgl. auch Schneier 2004, S. 44 f. und 259. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Comité Sécurité (28.01.2002), S. 9. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

BBl 2002 661; Flückiger 2003, S. 146 ff.; Kley/Rütsche 2002, S. 271; Steinmann 2003, S. 500; Warynski 2003, S. 232. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

Kley/Feller 2003, S. 98 f.; Steinmann 2003, S. 500. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

BBl 2002 645, hier 653 f.

AB 2002 N 333 Vgl. Muralt Müller Hanna und Koller Thomas (Hrsg.), E-Voting, Tagung 2002 für Informatikrecht, Bern 2002.

5472

3.3

Wirtschaftlichkeit und politische Machbarkeit

In seinem Bericht über den Vote électronique vom 9. Januar 2002 schätzte der Bundesrat die Kosten für eine flächendeckende Einführung der elektronischen Stimmabgabe und eine zehnjährige Betriebsdauer auf 400­620 Millionen Franken28.

Die Vorstellungen gingen von einer flächendeckenden Einführung innert weniger Jahre aus.

In der parlamentarischen Beratung wurde von verschiedener Seite darauf hingewiesen, dass ein derart teures Unternehmen aus Gründen der Wirtschaftlichkeit nicht sinnvoll wäre. Die finanzielle Lage der öffentlichen Verwaltungen in der Schweiz hat sich in den vergangenen zwei Jahrzehnten drastisch verschlechtert. Angesichts der hohen öffentlichen Schulden seien Projekte in dieser Grössenordnung gründlich zu prüfen.

Die summarische Schätzung des Bundesrates in seinem Bericht über den Vote électronique vom 9. Januar 2002 war unter diesen Voraussetzungen zu überprüfen.

So galt es bei der Umsetzung der Pilotprojekte, sämtliche Personal- und Sachmittel, die für die Entwicklung und Implementierung der kantonalen Systeme und für die Durchführung von Urnengängen mit dem Vote électronique aufgewendet werden, festzuhalten und im Hinblick auf eine allgemeine Einführung des Vote électronique in der Schweiz zu evaluieren.

Gleichzeitig galt es im Rahmen der Pilotversuche abzuklären, ob die Verwaltungen auf allen drei Staatsebenen die zur Umsetzung eines Vote électronique erforderlichen Bedingungen erfüllen können und ob der politische Wille zu einem nicht unbedeutenden Engagement sowie zu der notwendigen Zusammenarbeit vorhanden ist.

4

Pilotversuche in den Jahren 2004 und 2005

4.1

Das Pilotprojekt des Kantons Genf

4.1.1

Rahmenbedingungen

In einer Absichtserklärung vom 25. April 2001 hat sich der Bundesrat bereit erklärt, der Regierung des Kantons Genf auf entsprechendes Gesuch hin für die Durchführung eines Pilotversuchs mit dem Vote électronique anlässlich einer eidgenössischen Abstimmung die notwendige Genehmigung zu erteilen, sobald durch den Einsatz technischer Mittel die in der Verfassung und auf Gesetzesebene geregelten Grundsätze der Stimmabgabe vollumfänglich gewährleistet werden können29.

Die konkrete Durchführung des Pilotprojektes Genf wurde im Vertrag zwischen der Bundeskanzlei und dem Kanton Genf vom 25. April 2001 geregelt. Ziel des Pilotprojektes war der Nachweis, dass durch die Verwendung einer einmaligen Kombination von Zugangscode und Passwort sowie weiterer organisatorischer und technischer Massnahmen eine sichere elektronische Stimmabgabe anlässlich eidgenössischer Abstimmungen möglich ist.

28 29

BBl 2002 685 f.

Vgl. Ziff. 2.2

5473

4.1.2

Kantonale Gesetzesgrundlagen und Voraussetzungen

Der Kanton Genf verfügte bereits zu Beginn seines Pilotprojektes über eine gesetzliche Basis für die Genehmigung von Pilotversuchen mit dem Vote électronique: Bereits 1982 enthielt das kantonale Gesetz über die politischen Rechte einen Artikel 188, der auf kantonaler und kommunaler Ebene Versuche im Hinblick auf eine Anpassung der Ausübung der politischen Rechte sowie der Stimmenauszählung an die technische Entwicklung ermöglicht30. Darunter wird auch der Vote électronique subsumiert. Die einzelnen Einsätze des Vote électronique werden jeweils vom Staatsrat genehmigt31.

Die Genfer Gesetzgebung erlaubt es den Kantonsbürgerinnen und -bürgern, der Auszählung der Stimmen im Urnenlokal beizuwohnen. Für die briefliche Stimmabgabe wurde diese öffentliche Kontrolle an die Parteien delegiert, die aus ihren Reihen ein Team an Kontrolleuren zusammenstellen. Diese Institution wurde für die Pilotversuche auf den Vote électronique ausgedehnt.

4.1.3

Lösungsansatz und Umsetzung

Das vom Kanton Genf entwickelte Vote-électronique-System ist Eigentum des Kantons selbst. Es wurde im Auftrag der Staatskanzlei vom kantonseigenen Informatikdienst (Centre des technologies de l'information de l'État [CTI]) in Zusammenarbeit mit den in Genf angesiedelten Privatunternehmen Hewlett Packard Schweiz (Hard- und Software), Wisekey (Verschlüsselungstechnologie) und blueinfinity (Sicherheit) entwickelt.

Bei der Entwicklung der Genfer Lösung für den Vote électronique hatte die Benutzerfreundlichkeit oberste Priorität. Damit sich der Vote électronique gegenüber der brieflichen Stimmabgabe behaupten kann, muss er wenn immer möglich genauso einfach sein. Die Arbeit bestand deshalb darin, das Verfahren, das für die briefliche Stimmabgabe angewandt wird, auf das Internet zu übertragen. Der bestehende Stimmrechtsausweis ­ der bei jedem Urnengang neu ausgestellt wird ­ wurde für den Vote électronique nur geringfügig angepasst.

Von den drei Kantonen, die Pilotversuche zum Vote électronique durchgeführt haben, ist Genf der einzige, der zu Beginn des Projekts über ein kantonales elektronisches Stimmregister verfügte. Dies ist kein ständiges Register, sondern es wird bei jedem Urnengang neu erstellt. Die Daten dafür liefert einerseits das Einwohnerregister des kantonalen Einwohneramts (Office cantonal de la population), andererseits das Register der Auslandschweizerinnen und Auslandschweizer, das vom Dienst für Abstimmungen und Wahlen (Service des votations et élections) geführt wird. Die Ausgangslage in Genf ist mit derjenigen vieler anderer Kantone vergleichbar und könnte diesen als Grundlage für eigene Vote-électronique-Projekte dienen.

Das auf die Server geladene Stimmregister ist anonymisiert. Die Stimmberechtigten werden unter einer persönlichen sechzehnstelligen Nummer registriert, mit der Geburtsdatum, Geschlecht und politischer Wohnsitz kodiert werden. Die persönliche Nummer wird auf dem Stimmrechtsausweis wiedergegeben zusammen mit einem 30 31

Art. 188 Loi sur l'exercice des droits politiques du 15 octobre 1982 (LEDP), Recueil systématique genevois A 5 05.

Vgl. beispielsweise www.geneve.ch/evoting/doc/ace_autorisation.pdf

5474

aus sechs Zeichen bestehenden Geheimcode, der unter einer Rubbelfläche verborgen ist, sowie dem Fingerprint des Server-Zertifikates. Damit können die Stimmberechtigten kontrollieren, dass sie wirklich mit der amtlichen Abstimmungsseite verbunden sind.

Die Abstimmung über das Internet erfolgt in vier Schritten: 1.

Um Zugang zum Abstimmungsserver zu erhalten, muss die sechzehnstellige Nummer des Stimmrechtsausweises eingegeben werden. Die Wahrscheinlichkeit, zufällig eine gültige Nummer einzutippen, liegt bei eins zu fünf Milliarden. Ist diese Hürde einmal überschritten, wird eine Verbindung zum gesicherten Server erstellt und es wird ein elektronischer Stimmzettel an den Computer der stimmberechtigten Person geschickt.

2.

Die stimmberechtigte Person stimmt ab.

3.

Das System zeigt der stimmberechtigten Person noch einmal ihre Eingaben an. Danach muss sich die stimmberechtigte Person identifizieren und ihr Geburtsdatum, ihre Heimatgemeinde (auf Grund einer Auswahl aus 50 Gemeinden) und den frei gerubbelten Geheimcode auf dem Stimmrechtsausweis eingeben. Dieser Code ändert bei jedem Urnengang.

4.

Das System bestätigt, dass die Stimmabgabe registriert wurde und gibt das Datum und die Zeit der Registrierung an.

Da es für die briefliche Stimmabgabe und für den Vote électronique nur ein einziges Stimmregister gibt, kann niemand gleichzeitig elektronisch und brieflich abstimmen, und weil für die elektronische Stimmabgabe der Geheimcode freigerubbelt werden muss, hinterlässt diese Stimmabgabe «Spuren». Eine Person, die im Stimmlokal einen Stimmrechtsausweis vorlegt, dessen Geheimcode bereits offen sichtbar ist, kann also nur abstimmen, wenn eine Überprüfung im Stimmregister ergeben hat, dass sie nicht schon elektronisch abgestimmt hat.

Vor der Urnenöffnung ist die elektronische Urne mit zwei digitalen Schlüsseln verriegelt. Das Passwort zur Entriegelung wurde von den Kontrolleuren definiert.

Eine gegenseitige Kontrolle der Parteien untereinander und der Parteien gegenüber der Verwaltung findet bei der Öffnung und der Schliessung der Urne statt. Während des Urnengangs wird der Zugang zum Ort, an dem sich die elektronische Urne physisch befindet, streng überwacht.

Des Weiteren geben die Kontrolleure Stimmen in eine Testurne ab, deren Auszählung das erwartete Resultat ergeben muss, sowohl was die Anzahl der Stimmen als auch was das Abstimmungsresultat betrifft. Damit kann überprüft werden, dass die Anwendung die Resultate nicht verfälscht.

Die Auszählung der elektronischen Stimmen findet unter Einbezug der Kontrolleure der politischen Parteien im Gebäude der Kantonspolizei statt. Über ein separates Datenkabel wird ein Personalcomputer mit der elektronischen Urne verbunden. Nur die Kontrolleure können nun durch Eingabe zweier Passwörter, die bei Eröffnung des Abstimmungsvorgangs durch die Kontrolleure selbst kreiert wurden, die Dechiffrierung der Stimmen vornehmen. Nach Urnenschluss werden die elektronischen zu den brieflich und an der Urne abgegebenen Stimmen addiert.

5475

Das System und seine Bestandteile werden durch ein spezifisches Überwachungssystem laufend auf ihre korrekte Funktionsweise und auf allfällige Fehlerprozesse resp.

Hackerangriffe überprüft. Tritt während des Abstimmungsvorgangs eine Unregelmässigkeit auf, werden die Systemverantwortlichen automatisch alarmiert und handeln nach einem vordefinierten Massnahmenplan. Kann eine Gefährdung der elektronischen Urne nicht ausgeschlossen werden, kann ein für jeden Urnengang eingesetzter Krisenstab sogar die Verbindung des Systems physisch vom Zugang über das Internet kappen. Am Ende jeder Abstimmung müssen die im Stimmregister markierten Stimmrechte mit der Anzahl der in der elektronischen Urne verschlüsselt gespeicherten Stimmen übereinstimmen (Null-Toleranz). Kann keine Übereinstimmung festgestellt werden, muss die Funktionsweise des Systems während der gesamten Abstimmungsdauer aufgrund der protokollierten Systemprozesse analysiert werden.

Es werden insbesondere folgende Sicherheitsmassnahmen ergriffen: ­

Auf dem Weg durch das Internet wird der Stimmzettel verschlüsselt, indem alphanumerische Zeichen zufällig mit dem Inhalt des Stimmzettels kombiniert werden. Sollte jemand widerrechtlich auf den Stimmzettel zugreifen (was sehr unwahrscheinlich ist), so wäre nur eine Reihe von Zeichen ohne Bedeutung sichtbar.

­

Der Stimmzettel, der der stimmberechtigten Person zur Bestätigung der Stimme und zur Identifizierung zurückgeschickt wird, wird mit einem Bild kombiniert, das ihn für Hacker unlesbar macht. Dieses Bild ist für jede stimmberechtigte Person verschieden und erlaubt es ihr zu überprüfen, dass sie mit der offiziellen Abstimmungsseite verbunden ist.

­

Die Abstimmungsseite ist mit einem Zertifikat versehen. Die Stimmberechtigten können die Authentifikationszertifikate sehen und so ein zweites Mal überprüfen, mit wem sie verbunden sind.

­

Die Angaben zur Identität der Stimmberechtigten und die Stimmzettel werden in zwei unterschiedlichen, nicht miteinander verbundenen Datenbanken abgelegt.

­

Der Inhalt der Urnen für den Vote électronique wird vor der Öffnung der Urne mit Hilfe eines Algorithmus gemischt. Dadurch wird die Reihenfolge, in der die Stimmzettel schliesslich entschlüsselt und ausgezählt werden, geändert. So kann verhindert werden, dass die Stimme einer Person über einen Vergleich der Reihenfolge des Eintreffens der Stimmen mit der Reihenfolge des Vermerks im Stimmregister rekonstruiert werden kann.

­

Alle Teile des Systems wurden so konfiguriert, dass sie nur auf Befehle antworten, die für einen normalen Abstimmungsverlauf vorgesehen sind.

­

Der Server wird erst am ersten Tag des Urnengangs mit dem Netzwerk verbunden. Am Ende des Urnengangs wird er wieder vom Netzwerk getrennt.

­

Die Architektur ist redundant aufgebaut.

­

Alle Daten werden in zweifacher Ausführung gespeichert.

­

Die Server befinden sich in einem gesicherten Raum.

­

Der Zugang zum Server ist einer sehr begrenzten Anzahl von berechtigten Personen, die überprüft wurden, vorbehalten.

­

Auf den Server kann niemand alleine, sondern nur in Begleitung zugreifen.

5476

4.1.4

Pilotversuche und Begleitarbeiten

Vier verwaltungsinterne Testläufe wurden mit dem Genfer System vor dem Frühjahr 2002 durchgeführt. Es galt dabei, die Umsetzung aller Sicherheitsanforderungen, die Benutzerfreundlichkeit des Systems und die organisatorischen Begleitmassnahmen zu prüfen. Die Ergebnisse dieser internen Testläufe führten zu laufenden Verbesserungen am System. Dabei wurden auch Mängel im Entschlüsselungsprogramm behoben.

Ein weiterer Test mit Schülerinnen und Schülern brachte im Juni 2002 den Beweis, dass das Genfer System im öffentlichen Netzwerk des Internet sicher eingesetzt werden kann.

Nachdem der Kanton Genf sein System bereits im Jahre 2001 einem Kontrollorgan (Comité de sécurité) zur Überprüfung der Sicherheitsvorkehrungen anvertraut hatte, beauftragte die Bundeskanzlei ihrerseits im Juni 2002 die Zürcher Firma at Rete damit, die Resistenz des Systems gegen Angriffe und Manipulationen zu testen. Mit wichtigen Aufgaben betraute Kantonsangestellte wurden zusätzlich über ihre Aufsichtspflichten befragt. Ebensolche Prüfverfahren wurden durch den Kanton Genf bei der Firma Hacknet in Auftrag gegeben. Verschiedene kleinere Mängel traten in diesen Untersuchungen zu Tage, welche der Kanton Genf rechtzeitig vor der kommunalen Abstimmung von Anières im Januar 2003 beheben konnte. Die externen Berater bezeichneten das System als sehr sicher gegen Angriffe und Missbräuche.

Keiner der fingierten Angriffe war erfolgreich, keine Stimme konnte bei den Untersuchungen abgefangen, gelöscht oder manipuliert werden.

Bis zum ersten Pilotversuch anlässlich einer eidgenössischen Abstimmung testete der Kanton Genf sein System im Rahmen von insgesamt vier separaten Gemeindeabstimmungen (in Anières am 19. Januar 2003 mit 1162 Stimmberechtigten; in Cologny am 30. November 2003 mit 2521 Stimmberechtigten; in Carouge am 18. April 2004 mit 9049 Stimmberechtigten und in Meyrin am 13. Juni 2004 mit 9180 Stimmberechtigten). Diese durchwegs erfolgreiche Pilotreihe wurde bei den eidgenössischen Abstimmungen vom 26. September 2004 (20 000 Stimmberechtigte) und vom 28. November 2004 (40 000 Stimmberechtigte) einwandfrei und ohne jede Beanstandung fortgesetzt. Bis zum bislang letzten Versuch vom 17. April 2005 bei der kantonalen Volksabstimmung in gleichzeitig 14 Gemeinden des Kantons Genf wurde der Anteil beteiligter Stimmberechtigter so
kontinuierlich auf 88 000 Personen angehoben. Nachdem bei den ersten Versuchen in Anières und Cologny über ein Drittel der Stimmen elektronisch abgegeben worden waren, pendelte sich der Anteil elektronischer Stimmen an der Gesamtheit der abgegebenen Stimmen in den nachfolgenden Versuchen bei jeweils 22­25 Prozent ein32. Eine Online-Befragung ergab, dass rund 90 Prozent der Stimmberechtigten, die ihre Stimme in einem der ersten Versuche elektronisch abgegeben haben, auch bei nachfolgenden Pilotversuchen der elektronischen Stimmabgabe treu blieben.

Die Pilotversuche in Genf anlässlich eidgenössischer Abstimmungen verliefen ohne jegliche Pannen durchwegs erfolgreich und erlangten in Medien und Öffentlichkeit nationale und internationale Beachtung.

32

Vgl. für eine tabellarische Übersicht aller Pilotversuche die ergänzende Dokumentation 4.

5477

Das Genfer System wurde im Rahmen zahlreicher Abstimmungen auf kommunaler, kantonaler und eidgenössischer Stufe achtmal erfolgreich und pannenfrei eingesetzt.

Der Pilotversuch von Meyrin umfasste eine Abstimmung über eine Initiative mit Gegenentwurf und Stichfrage. Beim ersten Versuch im Rahmen einer eidgenössischen Abstimmung vom 26. September 2004 konnte auf allen drei Stufen gleichzeitig abgestimmt werden. Das Genfer System kann auch mehrere sich zeitlich überlappende Urnengänge bewältigen. Dies wurde bei der kommunalen Abstimmung in Vandoeuvres vom Oktober 2004 mit einer gleichzeitig stattfindenden Umfrage im Auftrag des Europarates unter Beweis gestellt. Bei der Durchführung der Umfrage für den Europarat wurden innerhalb von 10 Tagen 16 000 Stimmen registriert. Dies entspricht zwei Dritteln des zu erwartenden Volumens an Stimmen, das bei einem flächendeckenden Einsatz des Genfer Systems anlässlich einer kantonalen oder eidgenössischen Volksabstimmung im Kanton Genf zu erwarten ist.

4.1.4.1

Begleitarbeiten

Das Pilotprojekt des Kantons Genf wurde von Beginn weg durch eine Begleitgruppe, in der Vertreter von Bund und interessierten Kantonen Einsitz nahmen, unter dem Vorsitz der Bundeskanzlei laufend evaluiert. Der Auftrag der Begleitgruppe galt dabei der Überprüfung der durch den Kanton Genf einzuhaltenden organisatorischen und technischen Bestimmungen. Im Rahmen der ersten Pilotversuche in den Gemeinden Anières, Cologny, Carouge und Meyrin nahmen Mitglieder dieser Begleitgruppe vor Ort als Beobachter teil, insbesondere bei der Verschlüsselung der elektronischen Urne und anlässlich der Auszählung der elektronisch abgegebenen Stimmen am Abstimmungssonntag.

Die Schweizerische Gesellschaft für Verwaltungswissenschaften (SGVW) hat das Genfer System im Oktober 2004 als hervorragendes Modernisierungsprojekt mit einem Preis ausgezeichnet33. Zudem wurde das Genfer System zweimal von der Europäischen Union im Rahmen der eEurope Awards als Finalist und «Good Practice»-Beispiel auserkoren.

Im Rahmen einer Weiterentwicklung arbeitet der Kanton Genf zurzeit an einer neuen Verschlüsselungslösung, welche die Stimme vom Eingabegerät bis in die elektronische Urne noch besser gegen allfällige Angriffe zu schützen vermag. Hierzu muss auf dem Eingabegerät eine Applikation installiert werden. Die Benutzerfreundlichkeit soll unter dieser Neuerung nicht leiden; die Evolution der Möglichkeiten im Sicherheitsbereich macht aber einen solchen Schritt sinnvoll. Ausserdem wird die Kapazität des Systems erweitert, damit in naher Zukunft alle Stimmberechtigten im Kanton Genf und die im Kanton stimmberechtigten Auslandschweizerinnen und -schweizer den Vote électronique anwenden können.

33

Vgl. Medienmitteilung der SGVW vom 29.10.04, www.sgvw.ch/schwerpunkt/archiv/d/dossier8_qualitaetswettbwerb.php.

5478

4.2

Das Pilotprojekt des Kantons Neuenburg

4.2.1

Rahmenbedingungen

Die Zusammenarbeit zwischen dem Bund und dem Kanton Neuenburg im Rahmen des Projekts zum Vote électronique wurde in einer Absichtserklärung, die vom Bundesrat und vom Staatsrat des Kantons Neuenburg am 25. April 2001 unterzeichnet wurde, geregelt und in einem Vertrag zwischen der Bundeskanzlei und der Staatskanzlei des Kantons Neuenburg vom 18. Juni 2001 präzisiert. Dieser Vertrag legt namentlich die Ziele des Neuenburger Pilotversuchs und die Aufteilung der Kosten zwischen dem Bund und dem Kanton fest.

Ziel des Pilotversuchs im Kanton Neuenburg war es aufzuzeigen, dass es möglich ist, ein System für den Vote électronique zu schaffen, das ­ ähnlich wie in zahlreichen E-Banking-Systemen ­ auf der Kombination zweier Sicherheitsstufen basiert: auf der ersten Stufe ein kontrollierter Zugang über die Identifizierung des Benutzers oder der Benutzerin, über ein vertrauliches Passwort und über eine persönliche Nummernkarte mit Transaktionsnummern; auf der zweiten Ebene ein persönlicher Code. Konkret wurden diese Ziele umgesetzt, indem der Vote électronique in den Guichet Unique (GU) integriert wurde. Der GU ist der virtuelle Amtsschalter des Kantons Neuenburg, über den verschiedene Dienstleistungen angeboten werden, darunter der Vote électronique.

4.2.2

Kantonale Gesetzesgrundlagen und Voraussetzungen

Der Neuenburger Kantonsrat hat im Oktober 2001 ein Dekret verabschiedet34, mit dem der Staatsrat ermächtigt wurde, den Vote électronique versuchsweise und unter Vorbehalt der Zustimmung des Bundes einzuführen, unter der Bedingung, dass die Sicherheit bei der Stimmabgabe und das Stimmgeheimnis gewährleistet sind und dass ein Betrugs- und Missbrauchsrisiko ausgeschlossen ist (Art. 4).

Die Revision35 des kantonalen Gesetzes über die politischen Rechte vom September 2002 ermöglichte eine Neuorganisation der Urnengänge. Die Änderungen sahen in erster Linie vor: die Erstellung eines zentralen Stimmregisters vor jeder Abstimmung (Art. 6e), die Zentralisierung von Druck und Verteilung des Abstimmungsmaterials (Art. 6f und 9a) sowie die Schaffung eines Stimmrechtsausweises pro stimmberechtigter Person und pro Urnengang, der die für die briefliche und für die elektronische Stimmabgabe notwendigen Informationen aufführt und als Ausweis bei der traditionellen Stimmabgabe dient (Art. 9). Dieses neue System ermöglicht es namentlich den Gemeinden und dem Kanton, einen Urnengang, bei dem verschiedene Abstimmungsarten (an der Urne, brieflich, per Internet) angeboten werden, einfach zu verwalten und sicherzustellen, dass niemand mehrmals abstimmt.

34

35

Décret sur l'introduction à titre expérimental des moyens électroniques facilitant l'exercice des droits politiques du 3 octobre 2001 (Recueil systématique de la législation neuchâteloise 141.03).

Loi du 4 septembre 2002 portant révision de la loi sur les droits politiques (Feuille officielle n° 68 du 13 septembre 2002, pages 990 à 992).

5479

Der Neuenburger Kantonsrat hat im September 2004 das Gesetz über den «Guichet sécurisé unique» verabschiedet36. Mit diesem Gesetz wurden die Voraussetzungen für die Organisation, den Betrieb und die Benutzung des GU festgelegt. Es definiert namentlich die Verfahren zur Erteilung von Zugriffsberechtigungen (Art. 10, 18 und 19) und regelt die Sicherheit des GU (Art. 13­17) und den Datenschutz (Art. 23­ 25). Dieses Gesetz betrifft auch den Vote électronique, soweit er im Rahmen des GU entwickelt wurde.

4.2.3

Lösungsansatz und Umsetzung

4.2.3.1

Der Vote électronique als Teil des Guichet Unique

Im Kanton Neuenburg war der Vote électronique von Anfang an Teil eines grösseren Projekts, mit dem ein sicherer Online-Schalter erstellt wurde, der den Einwohnerinnen und Einwohnern des Kantons verschiedene Dienstleistungen anbietet, darunter die Stimmabgabe über das Internet. Der Kanton hat den GU zusammen mit den Unternehmen Computer Associates und Lanexpert eingerichtet. Mit diesem Instrument wird ein neues Mittel für die Kommunikation und für die Abwicklung von Geschäften zwischen allen öffentlichen Einrichtungen des Kantons und ihren Benutzerinnen und Benutzern (Stimmberechtigte, Steuerzahlerinnen und Steuerzahler, Wohneigentümerinnen und Wohneigentümer usw.) und Kunden (Unternehmen und Auftragnehmer) zur Verfügung gestellt. Der GU ermöglicht es, Leistungen in Anspruch zu nehmen und unter Gewährleistung der Sicherheit vertrauliche Daten zwischen öffentlichen und privaten Partnern auszutauschen.

Der GU37 wurde am 5. Mai 2005 für die Öffentlichkeit freigeschaltet. Er bietet Dienstleistungen an namentlich im Steuerbereich (Einsicht in die laufende Steuerrechnung, die Veranlagungsverfügung, die Zahlungsfristen, die Berechnung der Steuerraten usw.) und im Bereich der Mobilität (Suche nach Fahrzeughalterinnen und -haltern anhand der Nummernschilder). Der Vote électronique wurde zum ersten Mal beim eidgenössischen Urnengang vom 25. September 2005 getestet. Er wurde in Zusammenarbeit mit privaten Anbietern ausgearbeitet, insbesondere mit Arcantel (für die Anwendung) und Scytl (für die Verschlüsselung).

Um elektronisch abstimmen zu können, müssen sich die Neuenburger Stimmberechtigten im GU einschreiben. Sie müssen ein Formular ausfüllen und ihre Unterschrift bei der zuständigen Stelle (Staatskanzlei, Gemeindeverwaltung, Kanzlei des Bezirksgerichts oder dazu berechtigte Notarinnen und Notare) legalisieren lassen.

Die Staatskanzlei des Kantons Neuenburg kontrolliert die Angaben und richtet dann ein Benutzerkonto ein. Die Benutzerinnen und Benutzer erhalten mit separater Post einen Benutzercode und ein Passwort, später ihre Nummernkarte. Sie müssen ihr Passwort beim ersten Einloggen ändern und können dann auf die verschiedenen Dienstleistungen zugreifen. Die Benutzerinnen und Benutzer erhalten ebenfalls sämtliches Material und die Hilfestellungen, die sie für die Einrichtung ihres Computers und die Herstellung der Kompatibilität mit dem GU benötigen.

36 37

Loi du 28 septembre 2004 sur le guichet sécurisé unique (LGSU) (Feuille officielle n° 80 du 15 octobre 2004, pages 1205 à 1207).

Vgl. www.guichetunique.ch

5480

Benutzerinnen und Benutzer, die im Kanton Neuenburg stimmberechtigt sind, erhalten vor der Abstimmung ihren Stimmrechtsausweis, mit dem sie wahlweise an der Urne, brieflich oder über das Internet abstimmen können. Dieser Ausweis enthält einen Validierungscode und einen Bestätigungscode. Diese beiden Codes sind vertraulich und speziell für die elektronische Stimmabgabe bestimmt.

Zur elektronischen Stimmabgabe loggen sich die Benutzerinnen und Benutzer in ihr GU-Konto ein und melden sich an, wie sie dies bei jeder Dienstleistung im Rahmen des GU tun müssen. Sie erhalten daraufhin je nach Stimmrecht Zugang zur Abstimmung; eine Person, die eine C-Bewilligung hat, erhält beispielsweise nur Zugang zu den Vorlagen des Kantons und der Gemeinde. Die Benutzerinnen und Benutzer können dann abstimmen, indem sie die entsprechenden Kästchen auf den elektronischen Stimmzetteln ankreuzen. Danach zeigt das System noch einmal die Eingaben an; wer seine Auswahl bestätigen will, gibt den Validierungscode, der sich auf dem Stimmrechtsausweis befindet, ein. Erst jetzt ist die Stimmabgabe abgeschlossen. Es erscheinen der Bestätigungscode (der auch auf dem Stimmrechtsausweis vermerkt ist) sowie eine Empfangsbestätigung. Ein Vergleich des Bestätigungscodes mit dem auf dem Stimmrechtsausweis vermerkten Code zeigt an, ob wirklich der Server für den Neuenburger Vote électronique die Stimme erhalten hat. Die Empfangsbestätigung wiederum zeigt an, dass die Stimme in der Urne gespeichert worden ist. Sobald der Urnengang beendet ist und die Stimmen der elektronischen Urne ausgezählt sind, können die Abstimmenden überprüfen, ob ihre Empfangsbestätigung auf der im Internet veröffentlichten Liste erscheint. Wer hier seine Empfangsbestätigung wiederfindet, kann sicher sein, dass seine Stimme bei der Auszählung berücksichtigt worden ist. Diese Bestätigung ist nicht mit dem Abstimmungsentscheid selbst verbunden, sondern mit dem individuellen elektronischen Zertifikat, welches zur Verschlüsselung der Stimme diente. Es ist also nicht möglich, anhand der Empfangsbestätigung herauszufinden, welche Stimme die betreffende Person abgegeben hat.

Die Sicherheit und die Wahrung des Stimmgeheimnisses sind dadurch gewährleistet, dass die Stimme vom Anfang bis zum Ende des Stimmabgabevorgangs verschlüsselt ist, vom Moment, in dem die Stimme auf
dem Computer der stimmberechtigten Person eingetragen wird, bis zu ihrer Speicherung in der Urne. Alle Einrichtungen des GU und des Vote électronique befinden sich in streng gesicherten Räumlichkeiten, zu denen nur die vereidigten Personen Zutritt haben.

4.2.3.2

Neuorganisation der Abstimmungen

Organisatorisch ist der Vote électronique über den GU Teil der allgemeinen Neuorganisation der Urnengänge, die im Mai 2003 in Kraft getreten ist. Vor jedem Urnengang werden alle kommunalen Register in die Infrastruktur des GU transferiert. Aus diesen 62 kommunalen Dateien wird das zentrale Stimmregister erstellt.

Das zentrale Register garantiert, dass die Stimme nur einmal abgegeben werden kann: Beim ersten Mal wird die Stimmabgabe registriert. So wird eine doppelte oder mehrfache Stimmabgabe verhindert. Die Stimmrechtsausweise werden mit Hilfe eines Barcodes, der auf dem Stimmrechtsausweis aufgedruckt ist, kontrolliert. Stellt sich heraus, dass jemand bereits per Internet abgestimmt hat, wird der Stimmzettel, der an der Urne oder brieflich abgegeben wird, nicht mehr zugelassen. Wer bereits brieflich abgestimmt hat, hat keinen Zugang mehr zur elektronischen Stimmabgabe über den GU.

5481

Sobald das zentrale Register erstellt ist, werden alle Stimmrechtsausweise sowie ein Register aller Personen, die auf den GU zugreifen und elektronisch abstimmen können, generiert. Während dieses Prozesses werden auch der Validierungs- und der Bestätigungscode, die auf dem Stimmrechtsausweis aufgedruckt werden, generiert.

Die Stimmrechtsausweise werden danach für den Druck zur kantonalen Druckzentrale geschickt. Aus Sicherheitsgründen enthält das Papier ein Hologramm mit dem Wappen des Kantons Neuenburg.

4.2.3.3

Verfahren der elektronischen Stimmabgabe

Das Verfahren der elektronischen Stimmabgabe beginnt mit der Parametrisierung der elektronischen Urne. Dieser Schritt erfolgt immer in Anwesenheit des Abstimmungsausschusses, bestehend aus fünf Mitgliedern des Kantonsrats, der Staatsschreiberin oder dem Staatsschreiber sowie einer Juristin oder einem Juristen. Die Mitglieder des Ausschusses beobachten die verschiedenen Etappen dieses Prozesses, darunter die Generierung des öffentlichen und des privaten Schlüssels für die Verschlüsselung der Stimmen. Der öffentliche Schlüssel dient der Verschlüsselung aller elektronisch abgegebenen Stimmen direkt auf den Computern der Stimmenden. Der private Schlüssel ist für die Entschlüsselung der Stimmen nach Schliessung der Urnen bestimmt. Er wird bei der Parametrisierung der Urne in zwei Schlüsselteile aufgeteilt und auf Chipkarten gespeichert, die auf eine festgelegte Anzahl Mitglieder des Abstimmungsausschusses verteilt werden. Diese schützen den Zugriff zu ihrer Karte mit einem Passwort und legen alles in Umschlägen ab, die versiegelt werden.

Jedes Mitglied des Abstimmungsausschusses testet, ob das System richtig funktioniert und der Inhalt der Urne nicht manipuliert werden kann, indem es sich in den GU einloggt, eine Teststimme in die Testurne abgibt und die Empfangsbestätigung ausdruckt. Jede Teststimme wird vermerkt und zusammen mit der Empfangsbestätigung in einem versiegelten Umschlag abgelegt.

Die Passwörter, die Chipkarten mit dem privaten Schlüssel für die Entschlüsselung der Stimmen, die tragbare Arbeitsstation (Laptop) und die Teststimmen des Ausschusses werden danach in gesicherten Räumlichkeiten aufbewahrt (Kantonspolizei und Tresor der Staatskanzlei).

Am Abstimmungstag trifft der Abstimmungsausschuss zur Auszählung der elektronischen Stimmen wieder zusammen. Sie nimmt das gesamte Material (Arbeitsstation und versiegelte Umschläge), das die Staatskanzlei und die Kantonspolizei zurückgebracht haben, wieder an sich.

Jedes Mitglied des Ausschusses nimmt seine Chipkarte wieder an sich und gibt sein Passwort ein. Damit betätigt es den privaten Schlüssel, der zur Entschlüsselung der Stimmen dient. Sobald die Stimmen entschlüsselt sind, werden alle Stimmen und Empfangsbestätigungen aus der Urne entnommen und gemischt. Mit einer separaten Anwendung werden die Stimmen validiert und gezählt. Mit der
Validierung werden die Struktur der Stimmzettel und das Stimmrecht der Stimmenden überprüft. Irrtümlich und betrügerisch abgegebene Stimmen können ausgesondert werden.

Die Mitglieder des Ausschusses überprüfen danach die Richtigkeit ihrer Teststimmen, indem sie die Resultate der Urne mit den Stimmzetteln, die sie in den versiegelten Umschlägen abgelegt hatten, vergleichen.

5482

Die Staatskanzlei erstellt ein Protokoll, in dem die Validierung aller Etappen und alle Entscheide festgehalten sind. Sie teilt den Gemeinden die Resultate des Vote électronique mit. Die Resultate werden noch bis zum Ablauf der gesetzlichen Beschwerdefrist und bis zur endgültigen Erwahrung der Abstimmungsresultate auf Bundesebene durch den Bundesrat aufbewahrt. Danach werden die Stimmzettel und die Datenträger gelöscht.

4.2.4

Pilotversuche und Begleitarbeiten

4.2.4.1

Pilotversuche und Sicherheitsaudits

Nach einer zweijährigen Entwicklungsphase wurde der erste Test mit dem Vote électronique im Januar 2005 mit 336 Testpersonen aus der Neuenburger Kantonsverwaltung, der Bundeskanzlei und der Begleitgruppe durchgeführt. Mit diesem ersten kleinen Test konnten die Funktionstüchtigkeit des Systems überprüft und Verbesserungsmöglichkeiten bei der Ergonomie und der Kompatibilität mit gängigen Informatikkonfigurationen eruiert werden. Die Resultate waren positiv und die verschiedenen Verbesserungsvorschläge von Seiten der Testpersonen wurden berücksichtigt.

Der zweite Test mit dem Vote électronique fand im Februar 2005 mit den gleichen Testpersonen statt mit dem Ziel zu überprüfen, ob die verschiedenen Verbesserungen des Systems funktionieren. Der Test war erfolgreich, so dass der Kanton Neuenburg im März 2005 einen dritten Test durchführen konnte. Dieser Test wurde mit einer realitätsnahen Anzahl Stimmender (2600 Personen), die aus Mitarbeiterinnen und Mitarbeitern der Bundes- und Kantonsverwaltung sowie von Gemeindeverwaltungen ausgewählt wurden, aber immer noch mit einer fiktiven Abstimmungsvorlage durchgeführt. Da der Vote électronique im Kanton Neuenburg an eine Kontoeröffnung für den GU geknüpft ist, war es unmöglich, einen Test anhand einer offiziellen Abstimmung auf Gemeindeebene durchzuführen. Gewisse Testpersonen hatten die Möglichkeit, über das Internet und brieflich abzustimmen. Damit konnte überprüft werden, ob die verschiedenen Stimmabgabekanäle miteinander richtig verknüpft sind. Die externe Auditfirma blue-infinity wurde vom Kanton Neuenburg und von der Bundeskanzlei damit beauftragt, die Sicherheit des Systems zu prüfen.

Sie sollte namentlich versuchen, das System während der Testperiode anzugreifen.

Für diesen dritten Test war der Abstimmungsausschuss wie bei einer richtigen Abstimmung bei der Öffnung und der Schliessung der elektronischen Urne anwesend.

Sowohl die Organisation als auch die Abstimmung selbst verliefen beim dritten Test ohne Probleme. Für die 2600 Testpersonen wurden GU-Kontos eingerichtet, das Stimmmaterial (für die elektronische und die briefliche Stimmabgabe) und die verschiedenen erläuternden Dokumente wurden per Post verschickt. 1463 Personen haben ihre Stimme abgegeben, davon 1458 über das Internet. Die sowohl über das Internet als auch brieflich abgegebenen
Stimmen wurden während des Stimmabgabevorgangs erkannt und vom System ausgeschieden. Bei 20 Stimmen, die der Kanton Neuenburg der Auditfirma zu Prüfzwecken überlassen hatte, gelang es dieser, den Inhalt der Stimmen vor der Verschlüsselung und vor dem Versenden in die elektronische Urne zu verändern. Daher wurde der Test nur als teilweise erfolgreich eingestuft. Der Kanton ist den Empfehlungen der Auditfirma nach Abschluss des

5483

Tests gefolgt und hat die für die Konsolidierung des Systems notwendigen Arbeiten an die Hand genommen.

Danach haben der Kanton Neuenburg und die Bundeskanzlei beschlossen, im April 2005 im kleinen Rahmen einen vierten und abschliessenden Test durchzuführen, um die Wirksamkeit dieser Konsolidierungsmassnahmen zu überprüfen. Dieselbe Auditfirma wurde beauftragt, die Wirksamkeit der Sicherheitsmassnahmen mit einem neuen Angriff auf das System zu überprüfen. Dieser Test mit 420 abgegebenen Stimmen verlief problemlos und die Auditoren konnten feststellen, dass der Fehler im System behoben worden ist.

Parallel dazu wurde die Sicherheit des GU im Dezember 2004 und im Januar 2005 von PriceWaterhouse&Coopers im Auftrag des Finanzdepartements des Kantons Neuenburg auditiert. Die Auditoren stellten bei ihrer Analyse Sicherheitsmängel im Bereich des Authentifizierungsprozesses fest. Diese Mängel wurden daraufhin wirksam behoben. Der Kanton Neuenburg konnte der Bundeskanzlei im Mai 2005 ein amtliches Dokument unterbreiten, mit dem bestätigt wird, dass sämtliche Sicherheitsprobleme, die im Rahmen der Audits des GU und des Vote électronique festgestellt worden waren, behoben sind.

In der Überzeugung, dass das System genügend ausgereift und sicher ist, um in einer offiziellen Abstimmung getestet zu werden, hat der Kanton Neuenburg dem Bundesrat im April 2005 beantragt, einen Pilotversuch im Rahmen der eidgenössischen Volksabstimmung vom 25. September 2005 durchzuführen. Die Zahl der Teilnehmerinnen und Teilnehmer sollte auf die 2000 ersten im GU eingeschriebenen Personen begrenzt werden. Der Bundesrat hat diesem Antrag am 22. Juni 2005 zugestimmt. 1178 Stimmberechtigte oder 68,0 Prozent aller Personen, die am Vote électronique hätten teilnehmen können, haben schliesslich ihre Stimme über ihr Konto beim GU abgegeben. Dieser erste offizielle Test verlief problemlos. Die Resultate des Online-Fragebogens, der den Teilnehmerinnen und Teilnehmern unterbreitet wurde, zeigen, dass das Neuenburger System für den Vote électronique geschätzt wird38.

Im August 2005 hat der Kanton Neuenburg ein Gesuch für einen zweiten Pilotversuch anlässlich der eidgenössischen Volksabstimmung vom 27. November 2005 eingereicht. Von den 2442 Personen, die für den GU einen Vertrag abgeschlossen hatten, haben 1345 (55,08 %) ihre Stimme über
ihr Konto beim GU abgegeben. Dies entspricht 2,5 Prozent aller im Kanton Neuenburg abgegebenen Stimmen.

Der Kanton Neuenburg hat in der Zwischenzeit auch eine Wahl durchgeführt, bei der elektronisch gewählt werden konnte ­ die Ersatzwahl für den Ständerat. Der erste Wahlgang fand am 30. Oktober 2005 statt. Vier Kandidierende stellten sich für die Nachfolge von Jean Studer zur Wahl. 1194 elektronische Stimmen wurden abgegeben. Dies entspricht 54 Prozent der Personen, die über einen Zugang zum GU verfügten39.

Während allen drei offiziellen Tests des Vote électronique (Volksabstimmungen und Wahl) traten weder bei der Vorbereitung und Durchführung noch bei der Auszählung der Stimmen Probleme auf. Alle Verfahren wurden wie vorgesehen eingehalten.

38 39

Vgl. Ziff. 5.1.2.2 Vgl. für eine tabellarische Übersicht aller Pilotversuche die ergänzende Dokumentation 4.

5484

4.2.4.2

Begleitarbeiten

Wie die Pilotprojekte in Genf und Zürich wird auch das Neuenburger Projekt seit dem Anfang von einer speziellen Gruppe begleitet, für deren Koordinierung die Bundeskanzlei sorgt und die aus Vertreterinnen und Vertretern des Bunds und der Kantone zusammengesetzt ist. Aufgabe dieser Gruppe ist es, das Projekt zu evaluieren; sie ist vor Ort dabei und beobachtet die wichtigen Etappen des Projekts. Ihre Tätigkeiten und ihre Beobachtungen werden in regelmässigen Berichten der Bundeskanzlei zur Verfügung gestellt.

Die Begleitgruppe verfolgte im Jahr 2003 die Umsetzung der Neuorganisation der Urnengänge im Kanton Neuenburg. Sie beobachtete die zentralen Prozesse wie die Erstellung des zentralen Stimmregisters, den Umgang mit Fehlern in diesem Register und die Auszählung der Stimmen der Volksabstimmung vom 18. Mai 2003. In den Jahren 2004 und 2005 nahm die Gruppe an den verschiedenen Etappen der Umsetzung des Neuenburger Vote électronique teil. Die Mitglieder der Begleitgruppe, die im Vorfeld die für die Evaluation des Systems notwendigen Informationen erhalten hatten, waren bei der Öffnung und der Schliessung der elektronischen Urne anwesend, beteiligten sich an den Tests und nahmen an den Rapporten zu den Sicherheitsaudits teil. Die Gruppe schätzte die Zusammenarbeit mit dem Neuenburger Projektteam als wirksam und transparent ein. Aufgrund dieser Erfahrungen sprach sie sich für eine Zustimmung zu den Anträgen des Kantons Neuenburg für die Durchführung von offiziellen Tests zum Vote électronique im Rahmen der eidgenössischen Volksabstimmungen vom 25. September und vom 27. November 2005 aus. Die Gruppe beobachtete ausserdem die verschiedenen Prozesse dieser offiziellen Tests; sie konnte feststellen, dass alles wie vorgesehen funktionierte.

4.3

Das Pilotprojekt des Kantons Zürich

4.3.1

Rahmenbedingungen

Die Absichtserklärung «Wahl- und Abstimmungsverfahren mit technischen Mitteln» zwischen dem Schweizerischen Bundesrat und dem Regierungsrat des Kantons Zürich wurde am 7. bzw. 17. Dezember 2001 unterzeichnet.

Diese Absichtserklärung bildete die Grundlage für den Vertrag zwischen der Schweizerischen Bundeskanzlei und der Direktion der Justiz und des Innern des Kantons Zürich vom 25. Januar bzw. 1. Februar 2002. In diesem Vertrag wurden unter anderem folgende Ziele definiert: ­

Realisierung eines kantonalen Stimmregisters auf der Basis der extrahierten Daten der lokalen Einwohner- bzw. Stimmregister der 171 Gemeinden des Kantons Zürich;

­

Realisierung eines umfassenden, elektronischen Wahl- und Abstimmungssystems;

­

vollumfängliche Mandantenfähigkeit, die den Gemeinden die Durchführung kommunaler Wahlen und Abstimmungen auf elektronischer Basis ermöglicht;

­

unterschiedliche Eingabemedien für die Ausübung des Stimm- und Wahlrechts.

5485

4.3.2

Kantonale Gesetzesgrundlagen und Voraussetzungen

Der Einsatz des Vote électronique ist im kantonalen «Gesetz über die politischen Rechte» (GPR) vom 1. September 2003 geregelt. In Artikel 4 Absatz 2 steht: «Sie [die politischen Rechte] können auf elektronischem Weg ausgeübt werden, wenn die technischen und organisatorischen Voraussetzungen erfüllt sind. Der Wille der Stimmberechtigten muss korrekt festgestellt werden können und das Stimmgeheimnis gewahrt bleiben».

Ergänzend zum kantonalen Gesetz wurde die kantonale «Verordnung über die politischen Rechte» vom 27. Oktober 2004 erlassen, die sich jedoch nicht explizit mit elektronischen Abstimmungen und Wahlen befasst. Sie erwähnt in Artikel 12 lediglich, dass für Versuche zur elektronischen Stimmabgabe von der Verordnung abgewichen werden kann und der Regierungsrat des Kantons Zürich die erforderlichen Massnahmen regelt.

4.3.3

Lösungsansatz und Umsetzung

Der Kanton Zürich verfügt über vollständig dezentral geführte Stimmregister. Jede der 171 Zürcher Gemeinden ist für die Führung und Aktualisierung der Stimmregister selbst verantwortlich.

Deshalb wurde im Kanton Zürich ein System entwickelt, das es den Gemeinden erlaubt, ihre Stimmregister auch weiterhin autonom zu verwalten.

Das Zürcher System ist sowohl für einfache Volksabstimmungen, für Initiativen mit Gegenvorschlag und Stichfrage als auch für Majorz- und Proporzwahlen realisiert worden. Bei Majorzwahlen sind sowohl Wahlen mit vorgängig gemeldeten Kandidierenden als auch Wahlen ohne Meldungen möglich, bei denen alle passiv Stimmberechtigten wählbar sind, je nach Gesetzesgrundlage auch Personen, die ihren politischen Wohnsitz nicht im Kanton Zürich haben.

Im Kanton Zürich obliegt die Festsetzung der Urnenöffnungszeiten den Gemeinden.

Beim Systemdesign wurde diesem Umstand Rechnung getragen. Vor jedem Urnengang kann die Zeit der Schliessung der elektronischen Urne pro Gemeinde festgelegt werden. Zu diesem individuellen Zeitpunkt wird die elektronische Urne automatisch geschlossen.

Auch die Verschlüsselung der Stimmen wird gemeindeweise vorgenommen. Die Wahl- und Abstimmungsverantwortlichen erhalten per Brief die zur Entschlüsselung der Stimmen am Sonntag des Urnengangs notwendigen Passwörter.

Um mehrfache Stimmabgaben zu verunmöglichen, wurden verschiedene Kontrollmechanismen eingebaut. So kann von jedem Urnenstandort aus entweder mittels einer Onlineverbindung direkt auf das Kontrollmodul des Systems zugegriffen werden oder die Kontrolle mittels eines Barcodelesegeräts vorgenommen werden.

Dieselbe Kontrolle kann aber auch im Offlinemodus erfolgen. Dabei werden die zweifelhaften Stimmunterlagen vom Stimmlokal in das Wahlbüro der Gemeinde überstellt und dort online geprüft. Zudem können bei Bedarf auch gedruckte Kontrolllisten zur Überprüfung im Urnenlokal eingesetzt werden.

5486

Das Zürcher System ist ein voll integriertes System. Die Ergebnisse der Vorbereitungsarbeiten inklusive Vorlagen und Wahl- und/oder Abstimmungskreise werden aus dem Wahl- und Abstimmungssystem WABSTI vor Beginn des Urnengangs exportiert und in das Vote-électronique-System übertragen. Nach Schliessung der elektronischen und physischen Urnen werden schliesslich wiederum auf Knopfdruck alle Stimmdaten in das WABSTI exportiert und zu den konventionellen Urnen- und Briefstimmen addiert. Auf diese Weise werden vorgängig validierte Daten medienbruchfrei über eine Schnittstelle online verarbeitet. Dieser Vorgang unterstützt die Wirtschaftlichkeit eines Vote électronique massgeblich. So können die Daten aus der elektronischen Urne, auch panaschierte und kumulierte Wählerstimmen, automatisch und korrekt im Basissystem zugeordnet werden.

Neben der Möglichkeit, elektronische Stimmen per Internet abzugeben, entwickelte der Kanton Zürich ein Modul zur Stimmabgabe mit Handy (SMS). Ebenfalls besteht im Kanton Zürich die Möglichkeit, mit den vorgängig erwähnten elektronischen Medien Wahlen durchzuführen. Dieses Wahlmodul wurde Ende 2004 anlässlich der Studierendenratswahlen an der Universität Zürich erfolgreich getestet. Der Verband SwissICT und die Zeitschrift InfoWeek haben das Zürcher System im September 2005 mit dem Swiss IT Award 2005 für die beste Software des Jahres ausgezeichnet40.

4.3.3.1

Ein Urnengang mit dem Vote électronique

Die Stimmberechtigten haben die Wahl, ob sie ihre Stimme elektronisch, brieflich oder physisch abgeben wollen. Sämtliche für die einzelnen Möglichkeiten notwendigen Angaben befinden sich auf dem Stimmrechtsausweis, den die Stimmberechtigten vor jedem Urnengang zugeschickt erhalten.

Der Urnengang beginnt mit dem Export der dezentralisierten Gemeindestimmregister ins virtuelle Stimmregister. Sobald dieses komplett ist, werden die Stimmrechtsausweise generiert und anschliessend gedruckt. Gleichzeitig werden auch die individuellen Zugangscodes erstellt, die auf den Stimmrechtsausweisen aufgedruckt sind. Nach dem Druck der Stimmrechtsausweise werden sämtliche personenbezogenen Daten aus dem virtuellen Stimmregister gelöscht. Ab diesem Zeitpunkt sind keine Rückschlüsse auf Personen mehr möglich, so dass das Stimmgeheimnis jederzeit gewahrt ist.

Am definierten Stichtag wird die elektronische Urne geöffnet. Um sicherzugehen, dass das System einwandfrei funktioniert, geben die Vertreter der Abstimmungszentrale protokollierte Voten für eine fiktive Gemeinde ab. Diese Stimmen werden bei der Ermittlung des Ergebnisses überprüft.

Die Stimmberechtigten melden sich nun mit den auf dem Stimmrechtsausweis aufgedruckten Zugangscodes im Vote-électronique-System an. Sie können danach zu den Vorlagen, für die sie die Stimmberechtigung haben, ihr Votum abgeben (beispielsweise sind Personen, die kurz vor einer Abstimmung den Wohnsitz innerhalb des Kantons in eine andere Gemeinde verlegt haben, während einer bestimmten Frist nicht in der neuen Wohngemeinde stimmberechtigt. Auf kantonaler und eidgenössischer Ebene 40

Vgl. Medienmitteilung der Direktion der Justiz und des Innern des Kantons Zürich vom 15.09.2005.

5487

müssen sie ihr Stimmrecht jedoch ausüben können). Die Stimmabgabe im Internet erfolgt mittels Ankreuzen entsprechender Felder. Ist der Stimmvorgang abgeschlossen, werden den Stimmberechtigten die Voten nochmals angezeigt. Die Stimmberechtigten haben die Möglichkeit, vor einer definitiven Bestätigung ihre Stimmen zu überprüfen.

Nachdem die Stimmberechtigten ihren Entscheid bestätigt haben, werden die Stimmen definitiv in der elektronischen Urne abgelegt.

Der Kanton Zürich hat zur Stimmabgabe ausser dem Internetzugang auch die Mobiletelefonie (SMS) eingebunden. Den Stimmberechtigten stehen hierfür grundsätzlich dieselben Wahl- und Abstimmungsvarianten wie über das Internet zur Verfügung. Um das Stimmgeheimnis auch beim Abstimmen über SMS wahren zu können, wird jedem Stimmberechtigten auf dem Stimmrechtsausweis eine individuelle Codetabelle zugestellt. Die Eingabe der Stimmmerkmale erfolgt per SMS in vorcodierter Form. Anstelle eines Ja-, Nein oder Leer-Wertes werden entsprechende vierstellige Codes im Eingabegerät eingelesen. Zur Identifikation wird die BenutzerIdentifikationsnummer auf dem Stimmrechtsausweis benötigt. Die so definierten Stimmen gelangen über den betriebseigenen SMS-Gateway und nach einer automatisierten Stimmrechtsprüfung in die elektronische Urne.

Zur Stimmabgabe werden eine oder bei Wahlen eventuell mehrere korrespondierende SMS-Meldungen mit der Zielnummer 28000 an den Gateway geschickt. Das System fordert anschliessend die Eingabe weiterer Daten zur Authentifizierung der Stimme. Hierzu wird ein Pin-Code verlangt, der mit einem Sicherheitssiegel (Hydalam) verschlossen ebenfalls im Stimmrechtsausweis integriert ist. Zusätzlich wird die Angabe des korrekten Geburtsdatums vorausgesetzt. Ist die Stimme erfolgreich abgegeben, erhält die stimmberechtigte Person eine abschliessende SMS-Bestätigung über den korrekten Verlauf der Stimmabgabe.

Die Stimmen werden folglich bei beiden Medien (Internet und SMS) bereits auf dem Eingabegerät verschlüsselt. Die Entschlüsselung erfolgt erst nach Schliessung aller Urnen (physische und elektronische), damit die Auszählung vorgenommen werden kann. Sind die Stimmen entschlüsselt, wird das Gesamtergebnis ermittelt. Zunächst werden die protokollierten Stimmen, die für eine virtuelle Gemeinde abgeben worden sind, ausgezählt und mit den Protokollen
verglichen. Nur wenn Protokoll und Auszählungsergebnis übereinstimmen, kann vorausgesetzt werden, dass das System einwandfrei funktioniert hat. Danach werden die eingegangenen elektronischen Stimmen dem Ausmittlungssystem WABSTI übergeben und mit den konventionell eingegangenen Stimmen addiert und anschliessend das Gesamtergebnis ermittelt (Ergebnis der elektronischen und der konventionellen Stimmen). Selbstverständlich werden die durch die Abstimmungszentrale abgegebenen Teststimmen der virtuellen Gemeinde nicht ins Schlussresultat eingerechnet.

4.3.4

Pilotversuche und Begleitarbeiten

Der Kanton Zürich hat bisher vier Tests durchgeführt, wobei anlässlich des ersten und des letzten Tests keine Abstimmungen, sondern Proporzwahlen durchgeführt worden sind.

Anlässlich der Studierendenratswahlen 2004 an der Universität Zürich konnte der Kanton Zürich erstmals einen Teil (Proporzwahlmodul) seiner Vote-électroniqueLösung testen. Der Test verlief positiv. Einzig bei der Übergabe an das WABSTI 5488

ergaben sich kleinere technische Probleme, da die Schnittstelle noch nicht zur Verfügung stand. Diese konnten jedoch durch die manuelle Erfassung der in der elektronischen Urne eingegangenen Stimmen umgangen werden.

Insgesamt waren 24 000 Studierende wahlberechtigt; 2188 Personen beteiligten sich an den Wahlen. Die Wahlbeteiligung lag somit bei 9,11 Prozent und übertraf jene von früheren Studierendenratswahlen, bei denen noch keine elektronische Wahl möglich gewesen war, um nahezu 100 Prozent. 73,6 Prozent oder 1610 Personen benutzten das Internet als Wahlmedium. 429 Personen oder 19,6 Prozent der Wählenden entschieden sich für die Wahl mit SMS, 149 Personen gaben ihre Voten an der Urne ab (6,8 %).

Sowohl die Eröffnung des Urnengangs als auch die Auszählung der elektronisch eingegangenen Stimmen konnten von Vertretern der Bundeskanzlei und der Begleitgruppe Zürich verfolgt werden. Diese Vertreter attestierten dem Kanton Zürich einen reibungslosen Ablauf der Wahl.

Die Unisys, Generalunternehmerin für die Entwicklung der Zürcher Vote-électronique-Lösung, hat im Frühjahr 2005 umfangreiche interne Tests durchgeführt. Diese Tests erfolgten mit Hilfe eines durch die Unisys entwickelten Roboters, der zufällige, auf einem Algorithmus basierende Stimmen abgab und protokollierte.

Diese Tests konnten einige Lücken aufzeigen, die gemäss Aussagen von Unisys mit einer manuellen Eingabe der Stimmen kaum hätten entdeckt werden können. Diese Lücken wurden unmittelbar nach Abschluss der Tests durch die Generalunternehmerin behoben.

Das Systemaudit und das interne Sicherheitsaudit wurden durch die Firma Swisscom solutions durchgeführt.

Die Schweizerische Bundeskanzlei hat auf Wunsch der Begleitgruppe und nach Absprache mit dem Kanton Zürich eine unabhängige Firma mit einem Sicherheitsaudit beauftragt. Die in Genf ansässige Firma blue-infinity führte bereits ähnliche Audits in den Pilotkantonen Genf und Neuenburg durch und verfügte deshalb über einschlägige Erfahrung in diesem Bereich.

Das Audit wurde vom 18. Juli 2005 bis 7. August 2005 durchgeführt und ergab folgendes Verbesserungspotenzial: ­

Die Hilfedateien, welche die Stimmberechtigten zur Unterstützung aufrufen können, befanden sich auf einem nicht ausreichend geschützten Server ausserhalb der Zürcher Vote-électronique-Lösung.

­

Die Bildschirmanzeige, mit der den Stimmberechtigten die Voten auf dem Eingabemedium angezeigt werden, war zu wenig sicher.

­

Die Passwörter mit einer Länge von acht Zeichen (alphanumerisch) sollten länger sein.

Der Kanton Zürich und die Unisys Schweiz AG haben die ersten beiden Punkte bereits im Hinblick auf die beiden Tests vom 30. Oktober 2005 (kommunale Abstimmung in Bülach) und 27. November 2005 (eidgenössische/kantonale Abstimmung) korrigiert. Die vorgeschlagene Anpassung der Passwortlänge von acht auf 16 Zeichen wurde vorerst aus Usability-Gründen nicht vorgenommen. Sie wird jedoch mittelfristig ins Auge gefasst.

5489

Der erste Test des Abstimmungsmoduls wurde am 30. Oktober 2005 in der Stadt Bülach durchgeführt. Stimmberechtigt waren 9443 Personen, die alle die Möglichkeit hatten, die elektronischen Medien (Internet, Natel) einzusetzen.

Die Stimmbeteiligung lag bei 41,49 Prozent, wobei sich 37,27 Prozent für die Stimmabgabe auf elektronischem Weg entschieden. 1006 Stimmen gingen per Internet und 455 Stimmen per Mobiltelefon ein.

Der Test wurde von Mitgliedern der Begleitgruppe Zürich überwacht. Es konnten keinerlei Unregelmässigkeiten festgestellt werden.

Auf Bundesebene wurde das Zürcher Vote-électronique-System erstmals am 27. November 2005 getestet. Testgemeinden waren die Gemeinden Bertschikon, Bülach und Schlieren (16 726 Stimmberechtigte). Die Stimmbeteiligung in diesen drei Gemeinden lag bei 37,72 Prozent (6310 Stimmberechtigte).

Von 6310 Stimmenden entschieden sich 1397 Personen (22,14 %) für die Stimmabgabe auf elektronischem Weg. Davon gaben 82,61 Prozent (1154 Personen) ihre Stimme per Internet und 17,39 Prozent (243 Personen) per SMS ab.

In Bertschikon, einer kleinen Landgemeinde, haben 43 Prozent der Stimmenden von der elektronischen Stimmabgabe Gebrauch gemacht. Von den elektronisch Stimmenden haben 37,2 Prozent (58 Personen) per SMS und 62,8 Prozent (98 Personen) per Internet abgestimmt. Der Pilotversuch wurde von Vertretern der Bundeskanzlei überwacht und begleitet41.

Ferner wurde das Zürcher System nach 2004 auch im Dezember 2005 für die Studierendenratswahlen an der Universität Zürich eingesetzt. Insgesamt waren 23 096 Studierende wahlberechtigt, wobei sich 1767 Personen an den Wahlen beteiligten.

Die Wahlbeteiligung lag somit bei 7,7 Prozent. 1582 Personen oder 88,5 Prozent benutzten das Internet als Wahlmedium. 205 Personen oder 11,4 Prozent wählten per SMS. Eine einzige Person gab ihre Stimme an der Urne ab (0,1 %). Der Zeitaufwand für das Auszählen und die Ausmittlung bei mehr als 80 Prozent veränderter Wahlzettel betrug 18 Minuten.

Beim Abschluss der Evaluationsarbeiten lag schliesslich auch das Resultat der ersten politischen Wahl mit dem Vote électronique nach dem Proporzwahlsystem vor. Die Wahlberechtigten der Gemeinde Bülach wählten am 2. April 2006 ihren Gemeinderat (Proporzwahl) und ihren Stadtrat (Majorzwahl) neu. 20,67 Prozent der Wählenden gaben ihre Stimme elektronisch ab. Von 728 elektronischen Stimmen wurden 28 (3,85 %) per SMS abgegeben.

4.3.4.1

Begleitarbeiten

Im Rahmen ihres Mandats hat die Schweizerische Bundeskanzlei allen drei Pilotprojekten eine Begleitgruppe zur Seite gestellt. Aufgaben der Begleitgruppe Zürich waren unter anderem die Überwachung der Projektorganisation (Aufbau- und Ablauforganisation, Überprüfung der Fortschrittsberichte), die Weitergabe relevanter Informationen aus dem Zürcher Projekt an die «Arbeitsgruppe Vote électronique» der Schweizerischen Bundeskanzlei, die Beurteilung technischer Konzepte, Begleitung von Systemaudits, Beurteilung und Prüfung der Einhaltung von Daten41

Vgl. für eine tabellarische Übersicht aller Pilotversuche die ergänzende Dokumentation 4.

5490

schutzrichtlinien sowie die Abgabe von Empfehlungen an den Bundesrat in Zusammenhang mit Gesuchen für Versuche mit dem Vote électronique anlässlich eidgenössischer Abstimmungen.

4.4

Projekte anderer Staaten42

Die elektronische Stimmabgabe im Wahllokal existiert bereits in breiterer Form bei nationalen Wahlen in Belgien, den Niederlanden43, den USA, Russland, Aserbaidschan, Brasilien, Paraguay und Indien und in Einzel- bzw. Testfällen unter anderem auch in Deutschland, Kanada, Portugal, Dänemark und Australien. Irland, Portugal, Finnland, Kasachstan, Kanada, Mexiko, Korea, Venezuela, Peru und Kolumbien beraten zurzeit die Einführung von Wahlmaschinen.

Die elektronische Stimmabgabe über das Internet hingegen wird zwar in zahlreichen Staaten im Rahmen von regionalen Pilotprojekten erprobt. Vielerorts werden zudem nicht-politische Wahlen in öffentlich-rechtlichen Institutionen (z.B. Studierendenratswahlen oder Betriebsratswahlen) bereits heute über das Internet abgewickelt. Mit Ausnahme Estlands hat aber bislang noch kein souveräner Staat die elektronische Stimmabgabe über das Internet bei rechtsverbindlichen Wahlen oder Abstimmungen (Referenden) definitiv eingeführt.

Rechtsverbindliche Testwahlen wurden in den letzten Jahren bereits in England (Regionalwahlen 2002 und 2003), Japan (auf Gemeindeebene seit 2003), den Niederlanden (EU-Parlaments-Wahlen 2004 mit Auslandniederländerinnen und -niederländern), Spanien (Lokalreferendum 2004), Frankreich (Wahl der Versammlung der Auslandsfranzosen 2006) und Kanada (Lokalwahlen in Ontario 2003) durchgeführt.

Darüber hinaus haben einige weitere Länder bzw. Teilstaaten ­ einschliesslich Österreich44, Frankreich45, Italien46, Katalonien, Spanien47, Deutschland48, und Portugal ­ unverbindliche Tests im staatlichen oder privaten Bereich durchgeführt.

Slowenien, Ungarn und Bulgarien verfügen über Konzepte in der Form von Gesetzesentwürfen, die jedoch noch nicht die Zustimmung des jeweiligen Parlaments erhalten haben. Die Tschechische Republik und Rumänien haben Tests angekündigt.

In Kanada besteht eine gesetzliche Ermächtigung, Studien und Tests durchzuführen.

Österreich, Schweden, Norwegen, Luxemburg und Bulgarien haben politische Kommissionen eingesetzt, die sich den Fragen des Vote électronique widmen.

42

43 44 45 46 47 48

Vgl. Österreichisches Bundesministerium des Innern, Bericht der Arbeitsgruppe E-Voting, Internationaler Teil, Wien, 20. Oktober 2004 (www.wahlinfo-bmaa.at/up-media/1137_uagintbericht2010w.pdf). Eine nicht abschliessende Tabelle zu Pilotversuchen mit der elektronischen Stimmabgabe im Ausland ist in der ergänzenden Dokumentation 10 enthalten.

Seit 1974. Bei den Parlamentswahlen vom Mai 2002 haben 95 Prozent aller Gemeinden elektronische Wahlmaschinen eingesetzt.

Vgl. www.e-voting.at Parlamentswahl Juni 2002 in Vandoeuvre-lès-Nancy und Internet-Referendum in Issy-les-Moulineaux im November 2002.

Zuletzt bei den Administrativwahlen vom 17. November 2002 in Cremona.

Zuletzt parallel zur Parlamentswahl vom 14. März 2004 in Lugo (Mosteiro-Pol), Zamora und Toro (Zamora).

Z.B. www.i-vote.de und http://forschungsprojekt-wien.de

5491

In vielen Ländern sind schliesslich Überlegungen und Aktivitäten zum Vote électronique mit Initiativen zum E-Government verbunden. Die überstaatliche Koordination zum Beispiel im Rahmen des Aktionsplans eEurope der EU mit Vergleichsstudien49 über alle Mitgliedstaaten hinweg spielen im Bereich des E-Government und des Vote électronique eine zunehmend bedeutsame Rolle. Ein weiterer mit dem Vote électronique zusammenhängender Bereich ist die Entwicklung einer elektronischen Identität. Auch dazu gibt es multilaterale Vorgaben zum Beispiel der EU50, die in einigen Mitgliedstaaten bereits mittels Gesetz und Verordnung umgesetzt sind51.

Weiter liegt eine Zahl wissenschaftlicher Publikationen zu verschiedenen Aspekten des Vote électronique vor. Manche davon erreichten eine derartige öffentliche oder politische Beachtung, dass sie gar zu einem Einfrieren bestimmter Vote-électronique-Projekte führten (USA, Irland)52.

Die Schweiz hat sich in vorsichtigem Tempo an die Thematik herangetastet. Mit der zurückliegenden Pilotphase konnten eine gründliche Evaluation der kantonalen Pilotanwendungen gewährleistet und ausländische Erfahrung kontinuierlich mitberücksichtigt werden.

4.4.1

Europarat und OSZE

Im deutlichen Unterschied zu anderen internationalen Organisationen hat sich der Europarat der Fragen des Vote électronique umfassend angenommen. Auf die Initiative einiger seiner Mitgliedstaaten hat das Ministerkomitee eine Expertengruppe eingesetzt und am 30. September 2004 eine «Empfehlung über juristische, operationelle und technische Standards des Vote électronique» verabschiedet. Die Schweiz hat bei der Erarbeitung dieser Standards ihre bisherigen Erfahrungen mit dem Vote électronique einbringen können. Aufgrund unterschiedlicher rechtlicher Regelungen von Wahlen und Abstimmungen in den Mitgliedstaaten stellt die Empfehlung nur Mindest-Standards auf. Der Vote électronique hat gemäss der Empfehlung alle Prinzipien demokratischer Wahlen zu respektieren und hat ebenso verlässlich und sicher zu sein wie nicht-elektronische Wahlen. Die Empfehlung legt besonders Wert auf ein hohes Sicherheitsniveau des Vote électronique, auf die Charakterisierung des Vote électronique als zusätzliche Variante der Stimmabgabe und auf Technologieneutralität (Multi-Channel-Ansatz)53. Die Commission européenne pour la démocratie par le droit («Venedig-Kommission»), ein Konsultativorgan des Europarates, hat in ihrem «Code de bonne conduite en matière électorale» den Vote électronique 49 50 51 52

53

Vgl. http://europa.eu.int/information_society/eeurope Vgl. Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen.

Bspw. in Österreich: Signaturgesetz, BGBl. I Nr. 190/1999 idgF (zuletzt geändert durch BGBl. I Nr. 152/2001) bzw. Signaturverordnung, BGBl. II Nr. 30/2000.

Vgl. Jefferson D., Rubin A.D., Simons B., Wagner D., A Security Analysis of the Secure Electronic Registration and Voting Experiment (SERVE), 2004, www.servesecurityreport.org und McGaley M., Gibson J.P., Electronic Voting, A Safety Critical System, Department of Computer Science, National University of Ireland, Maynooth 2003, www.cs.may.ie/research/reports/2003/nuim-cs-tr-2003-02.pdf.

Vgl. Recommendation Rec(2004)11 of the Committee of Ministers to member states on legal, operational and technical standards for e-voting, adopted by the Committee of Ministers on 30 September 2004 at the 898th meeting of the Ministers' Deputies.

5492

bezüglich seiner Wahrung der demokratischen Grundrechte beurteilt. Eine elektronische Stimmabgabe darf nach dem Befinden der Kommission nur dann zugelassen werden, wenn sie sicher und zuverlässig vollzogen werden kann; insbesondere muss die stimmberechtigte Person eine Bestätigung für ihre Stimmabgabe erhalten und, falls das nationale Recht dies erfordert, auch eine Korrektur anbringen können. Die Transparenz des Systems muss dabei garantiert bleiben54.

Im Juli 2004 und im April 2005 hat die Organisation für Sicherheit und Zusammenarbeit in Europa (OSZE) in Wien zwei Zusatztreffen über die Durchführung und Beobachtung von Wahlen veranstaltet. Viele Teilnehmerstaaten der OSZE möchten die elektronische Stimmabgabe in ihren Territorien einführen. Die OSZE sieht einen grossen Bedarf, diese neue Entwicklung im Rahmen der Wahlverpflichtungen und Wahlbeobachtungsmissionen stärker zu berücksichtigen. Zusätzlich will die OSZE bei Wahlbeobachtungsmissionen in Zukunft Experten beiziehen, welche die Umsetzung der bestehenden Verpflichtungen im technischen Umfeld beurteilen helfen55.

So wurde beispielsweise anlässlich der amerikanischen Präsidentschaftswahlen vom November 2004 die in den Wahllokalen vieler Bundesstaaten eingesetzten Wahlmaschinen auf allfällige Mängel stichprobenweise überprüft56.

4.5

Fazit

Die Pilotkantone Genf, Neuenburg und Zürich hatten vor dem ersten Einsatz ihres elektronischen Stimmabgabesystems jeweils einen umfangreichen und von externen Stellen begleiteten Testlauf zu erfüllen. Dabei galt es, einerseits die eingesetzten Massnahmen zur technischen Sicherheit und andererseits die begleitenden organisatorischen Massnahmen im Zusammenspiel zwischen Gemeinden, Kanton, Bund, Stimmbevölkerung und Öffentlichkeit zu überprüfen.

Angefangen mit einem ersten Versuch in Anières (GE) vom 19. Januar 2003 und nach weiteren eng begrenzten kommunalen oder kantonalen Versuchen wurden die in den drei Kantonen entwickelten Systeme bis Ende 2005 insgesamt fünfmal erfolgreich und ausnahmslos pannenfrei im Rahmen eidgenössischer Volksabstimmungen eingesetzt. Diese Versuche dienten der praxisbezogenen und ergänzenden Abklärung der Machbarkeit unter realen Voraussetzungen.

54

55

56

Code de bonne conduite en matière électorale, verabschiedet von der Commission européenne pour la démocratie par le droit, Juli/Oktober 2002, Ziff. 3.2 Abs. IV des Code sowie Ziff. 3.2.2.3 des zugehörigen Rapport explicatif, vgl. Avis no. 190/2002 der Venedig-Kommission vom 9. Oktober 2002, www.venice.coe.int/docs/2002/CDL-EL(2002)005-f.asp oder in deutscher Übersetzung unter www.venice.coe.int/docs/2002/CDL-AD(2002)023-ger.pdf.

OSZE/ODIHR, Supplementary Human Dimension Meeting on Electoral Standards and Commitments, Wien, 15./16. Juli 2004; Supplementary Human Dimension Meeting on Challenges of Election Technologies and Procedures, Wien, 21./22. April 2005 (vgl.

www.osce.org/item/9742.html).

Vgl. zur OSZE-Wahlbeobachtungsmission in den USA 2004 den Final Report on the 2 November 2004 Elections in the United States of America, March 2005, www.osce.org/item/13658.html und zu Guidelines der OSZE zur Überprüfung elektronischer Wahlverfahren das Election Observation Handbook, fifth edition, 2005, S. 44, www.osce.org/item/14004.html?ch=240.

5493

Tabelle 1 Anlässlich eidgenössischer Volksabstimmungen durchgeführte Pilotversuche Eidg. Volksabstimmung vom:

Einsatz des Vote électronique im:

Umfang des Pilotversuchs:

26. September 2004

Kanton Genf: Gemeinden Anières, Carouge, Cologny, Meyrin Kanton Genf: Gemeinden Anières, Carouge, Cologny, Collonge-Bellerive, Meyrin, Onex, Vandoeuvres, Versoix Kanton Neuenburg

22 137 Stimmberechtigte 2723 Stimmen (21,8 %)

28. November 2004

25. September 2005

27. November 2005 27. November 2005

Anzahl elektronischer Stimmen (Anteil an allen Stimmen)

41 431 Stimmberechtigte 3755 Stimmen (22,4 %)

1732 stimmberechtigte 1178 Stimmen Benutzer des elektroni(68,0 %) schen Behördenschalters Guichet Unique Kanton Zürich: 16 726 Stimmberechtigte 1154 Stimmen Gemeinden Bertschikon, (inkl. 243 per Bülach, Schlieren SMS) (22,1 %) Kanton Neuenburg 2469 stimmberechtigte 1345 Stimmen Benutzer des elektroni(55,1 %) schen Behördenschalters Guichet Unique

Durchschnittlich über 22 Prozent der Stimmberechtigten, die im Rahmen der Pilotversuche ihre Stimme abgegeben haben, wählten den Vote électronique. Im Kanton Neuenburg fiel die Beteiligung aufgrund des engen und interessierten Benutzerkreises des Guichet Unique weit höher aus (55­68 %).

Die Schweiz ist mit ihren rechtsgültigen Pilotversuchen auch in internationalen Gremien auf ein grosses Interesse gestossen. So hat der Europarat unter Bezug auf die Verordnung über die politischen Rechte (VPR, insbesondere Art. 27a­27q) am 30. September 2004 als erste internationale Organisation eine Empfehlung mit grundlegenden Prinzipien für den Einsatz elektronischer Hilfsmittel bei der Stimmabgabe verabschiedet57. Die Schweiz konnte ihre Erfahrungen ausserdem bei der OSZE bei Beratungen zu ergänzenden Verpflichtungen der Teilnehmerstaaten bei demokratischen Wahlen einbringen58.

5

Evaluation der Pilotversuche

Hiernach werden die Pilotprojekte anhand der in Ziffer 3 eingeführten Kriterien ausgewertet. Abschliessend wird aufgezeigt, wie eine Einführung des Vote électronique in der Schweiz angegangen werden könnte (Ziff. 5.4).

57 58

Recommandation Rec(2004)11 du Comité des Ministres aux Etats membres sur les normes juridiques, opérationnelles et techniques relatives au vote électronique.

Vgl. Ziff. 4.4.1

5494

5.1

Nutzen und Auswirkungen auf die direkte Demokratie

Die Schweiz gehört zu den Ländern, die, was den Zugang zum Internet angeht, am weitesten entwickelt sind. Wie aus der jüngsten WEMF-Umfrage hervorgeht, verfügen heute in der Schweiz fast vier Millionen zu Hause über einen Internetanschluss, 43 Prozent davon sind Frauen. Die Umfrage wurde im Zeitraum zwischen April und September 2004 bei 11 000 in der Schweiz wohnhaften Personen durchgeführt59.

81,7 Prozent aller Schweizer Internet-Nutzerinnen und -Nutzer gebrauchen E-Mail.

67 Prozent wenden die Dienste der Suchmaschinen an. 40 Prozent geben an, regelmässig News im Internet zu lesen. 18,7 Prozent rufen Artikel aus Zeitungen und Zeitschriften ab. Fahrplan-Auskünfte werden von 15 Prozent aller Internet-User eingeholt. Wenig beliebt ist Online-Shopping: Es wird nur von 4,3 Prozent der Internet-Nutzerinnen und -Nutzer praktiziert. Auf Online-Auktionen waren schon 4,7 Prozent anzutreffen. E-Banking wird von 12,3 Prozent angewandt. Aufgrund dieser Zahlen erscheint die Nutzung des Internets zur direktdemokratischen Partizipation naheliegend.

Könnte der Vote électronique gar zu einer Steigerung der Stimmbeteiligung beitragen? Nach dem Zürcher Professor für Politikwissenschaften Hanspeter Kriesi ermöglicht die elektronische Stimmabgabe die Mobilisation jener Bevölkerungsschicht, die den Abstimmungen besonders häufig fern bleibt, nämlich der jungen Menschen. Zwei Gutachten, die dem Bericht des Bundesrates vom 9. Januar 2002 über den Vote électronique (BBl 2002 645­700, hier: 654 f. sowie Beilagen) als Basis dienten, kamen bezüglich des Potenzials einer Erhöhung der Stimmbeteiligung durch den Vote électronique zu unterschiedlichen Ergebnissen. So schätzte das Genfer Centre d'études et de documentation sur la démocratie directe (c2d) für den Kanton Genf das Potenzial für eine Erhöhung der Stimmbeteiligung auf maximal 9 Prozent. Professor Wolf Linder von der Universität Bern rechnete mit einer Partizipationssteigerung auf nationaler Ebene von höchstens 1,7 Prozentpunkten.

Vote électronique könnte aber auch zu unerwünschten Veränderungen führen: Der Vote électronique birgt aus der Sicht einiger Fachleute das Risiko einer Entritualisierung von Urnengängen in sich. Für Yannis Papadopoulos, Professor an der Universität Lausanne, stellt der Vote électronique eine zusätzliche Stufe in der Privatisierung der
politischen Wahl dar. Je mehr die politische Partizipation privatisiert werde, desto weniger kümmerten sich die Stimmberechtigten um die Meinung der andern.

Diese Frage konnte im Rahmen der regional und zeitlich begrenzten Pilotversuche nicht untersucht werden. Im Grundsatz war sich jedoch die Mehrheit der an einer wissenschaftlichen Tagung des Schweizerischen Vereins für Rechtsinformatik vertretenen Experten darin einig, dass die Entwicklung des Vote électronique für den Erhalt der direkten Demokratie in der Schweiz zwar risikobehaftet, aber unvermeidbar ist. Der Rückzug ins Private ist eine gesellschaftliche Erscheinung, welche an vielen Schauplätzen zu beobachten ist. Die briefliche oder elektronische Stimmabgabe ist aber kaum die Ursache sondern vielmehr die Folge dieser Erscheinung60.

59 60

WEMF AG für Werbemedienforschung, WEMF-Report Plus, April 2005; www.wemf.ch/pdf/d/Report_Plus_1_05_d.pdf.

Vgl. Muralt Müller, Hanna und Koller Thomas (Hrsg.), E-Voting, Tagung 2002 für Informatikrecht, Bern 2002. Zum Stimmgeheimnis im Allgemeinen und im Bereich des Vote électronique vgl. auch Braun, Diss. 2005.

5495

Im Auftrag des Parlamentes hat die Bundeskanzlei die Pilotversuche zum Vote électronique wissenschaftlich begleitet. Dabei galt es nach Artikel 8a Absatz 3 BPR, insbesondere das Alter, das Geschlecht und den Ausbildungsstand derjenigen statistisch zu bestimmen, welche potenziell und tatsächlich den Vote électronique zur Stimmabgabe verwenden.

5.1.1

Potenzialstudie 2003­2004

In der Studie «Potenzial der elektronischen Stimmabgabe»61 des Forschungsinstituts gfs.bern vom 18. Januar 2005, die von der Bundeskanzlei in Auftrag gegeben worden ist, wurde die Frage der Wünschbarkeit (Potenzial62) des Vote électronique bei der Schweizer Stimmbevölkerung empirisch untersucht.

Abbildung 1 Das Potenzial des Vote électronique bei der Schweizer Stimmbevölkerung «Nehmen wir an, es wäre Ihnen heute schon möglich, Ihre Stimme elektronisch abzugeben, ist es für Sie dann sehr wahrscheinlich, eher wahrscheinlich, eher unwahrscheinlich oder ganz unwahrscheinlich, dass Sie Ihre Stimme elektronisch abgeben würden?» in % der Stimmberechtigten

© gfs.bern, Vote électronique, 2003/2004 (N=4018)

61

62

Forschungsinstitut gfs.bern: «Das Potenzial der elektronischen Stimmabgabe», Studie verfasst im Auftrag der Bundeskanzlei, Bern 2005, vgl.die ergänzende Dokumentation 11a.

Die Abklärungen zum Potenzial des Vote électronique basieren auf einem Zusatz zu vier VOX-Analysen (Nachanalysen eidgenössischer Volksabstimmungen) der Jahre 2003 und 2004. Befragt wurden insgesamt 4018 Schweizerinnen und Schweizer mit eidgenössischem Stimmrecht.

Potenziale sind Dispositionen oder Handlungsbereitschaften. Sie drücken je nach Form nur die Vorstellbarkeit einer Handlung, den Wunsch nach einer Handlung oder die konkrete Absicht einer Handlung aus. Sie sind selber keine Handlungen. Solche finden immer nur von Teilen des Potenzials statt.

5496

Zwei von drei Stimmberechtigten haben heute Zugang zum Internet. Noch grösser ist die Verbreitung bei jüngeren und höher gebildeten Stimmberechtigten. Gemäss der Umfrage können sich 54 Prozent der Befragten eine Stimmabgabe per Internet vorstellen. Das Potenzial des Vote électronique ist also bei mehr als der Hälfte der Stimmberechtigten in der Schweiz vorhanden. Mehr als ein Drittel der Stimmberechtigten dagegen kann sich aber eine Nutzung eher oder bestimmt nicht vorstellen.

Nach ihren Motiven befragt, nennen die potentiellen Nutzerinnen und Nutzer besonders oft Gründe der Benutzerfreundlichkeit (die elektronische Stimmabgabe ist «bequemer/einfacher/unkompliziert»), während die Befürchtungen bezüglich der Datensicherheit besonders stark von Personen genannt wird, die den Vote électronique wahrscheinlich nicht nutzen würden. Die Mehrheit der Befragten beurteilt die briefliche Stimmabgabe subjektiv sicherer als die elektronische.

Nicht weiter überraschend ist die Tatsache, dass eine Nutzung des Vote électronique in hohem Masse davon abhängig ist, ob jemand täglich Zugriff zum Internet hat und das Internet auch regelmässig für berufliche oder private Verrichtungen einsetzt.

Bei der Potenzialstärke erwiesen sich ferner die folgenden Variablen als signifikante Faktoren: Erwerbstätigkeit, Alter, Bildung, Geschlecht, Einkommen und Siedlungsart. Dies belegt laut gfs.bern, dass die elektronische Stimmabgabe ein sehr junges Medium ist. Neue Medien verbreiten sich generell weder soziologisch noch sozioökonomisch neutral. Der Vote électronique richtet sich am stärksten an eine junge männliche und städtische Oberschicht. Gleichwohl liegt das Potenzial auch bei 40­65-Jährigen und bei Personen aus einer mittleren sozialen Schicht über 50 Prozent. In der französischsprachigen Schweiz liegt das Potenzial gegenüber den übrigen Landesteilen generell höher.

Bemerkenswert ist, dass der Vote électronique bei Personen besonders attraktiv ist, die gar nicht oder nur teilweise an Abstimmungen teilnehmen. Dies könnte nicht nur für eine Substitution anderer Stimmformen sprechen, sondern auch für die Wahrscheinlichkeit einer Steigerung der Stimmbeteiligung.

Der Potenzial-Anteil variiert schliesslich auch bei der politischen Involvierung der Stimmberechtigten. Mit steigendem Interesse an politischen Fragen und steigender
Teilnahme an politischen Diskussionen steigt auch das Potenzial des Vote électronique. Bezüglich der politischen Zugehörigkeit der Stimmberechtigten liessen sich nur geringfügige Auswirkungen auf das Potenzial des Vote électronique feststellen. Die Unterschiede zwischen Sympathisanten der einen oder anderen Partei liegen durchwegs innerhalb des Stichprobenfehlers. Der Vote électronique ist bezüglich seiner potenziellen Auswirkungen auf das Kräfteverhältnis zwischen den politischen Lagern als neutrale Grösse einzuschätzen.

Eine Beeinflussung der Mobilisierung durch den Vote électronique kann laut gfs.bern nicht ausgeschlossen werden. 30 Prozent können sich eine Nutzung bestimmt vorstellen, für 24 Prozent kommt eine Nutzung zumindest eher in Frage.

Es sind dies nicht primär Stimmberechtigte, die auch tatsächlich teilnehmen, sondern solche, die fallweise entscheiden, ob sie teilnehmen wollen oder nicht. Wird der Vote électronique benutzerfreundlich gestaltet, kann von einem relativen Anstieg der Stimmbeteiligung ausgegangen werden. Die Faktoren, die in erster Linie die Mobilisierung beeinflussen, stehen jedoch nicht in direktem Zusammenhang mit den Möglichkeiten der Stimmabgabe. Es wird also in erster Linie zu einer Substitution, wohl zulasten der brieflichen Stimmabgabe, kommen. Eine mögliche Zusatzmobilisierung betrifft in erster Linie Junge, die üblicherweise deutlich unterrepräsentiert 5497

sind und den Vote électronique besonders attraktiv finden. Die zweite Gruppe, die mit dem Vote électronique vermehrt an Abstimmungen teilnehmen könnte, sind Auslandschweizerinnen und -schweizer63.

5.1.2

Umfragen im Rahmen der kantonalen Pilotversuche bei eidgenössischen Volksabstimmungen

5.1.2.1

Kanton Genf64

Der Kanton Genf hat anlässlich der Urnengänge in Carouge und in Meyrin im Frühling 2004 und der ersten eidgenössischen Abstimmung über das Internet im September 2004 das «Centre d'étude et de documentation sur la démocratie directe» (c2d) der Universität Genf damit beauftragt, das Profil der Benutzerinnen und Benutzer des Vote électronique und deren Beweggründe zu eruieren und zu untersuchen, was diese Personengruppe von den anderen Stimmberechtigten unterscheidet. Bei den Untersuchungen wurden zwei zentrale Beobachtungen gemacht: Entscheidend dafür, der elektronischen Stimmabgabe den Vorzug gegenüber der brieflichen oder der physischen Stimmabgabe an der Urne zu geben, sind weder das Alter, noch das Einkommen, noch der Ausbildungsgrad, noch die politische Orientierung, sondern Variabeln, die die Informatik betreffen, d.h. das Vertrauen in die Kommunikation über das Internet und Informatikkenntnisse. Dies bedeutet nicht, dass nur Computerspezialistinnen und -spezialisten elektronisch abstimmen können, sondern dass Personen, die elektronisch abstimmen, Personen sind, die mit ihrem Computer vertraut sind. Die Kenntnisse wurden nicht objektiv evaluiert, sondern beruhen auf einer subjektiven Selbstevaluation der befragten Personen. Die drei Abstimmungsarten (Urne, brieflich, über Internet) sind politisch neutral; es ist nicht möglich, die politischen Entscheide einer stimmenden Person auf Grund der Abstimmungsart, die sie gewählt hat, herauszufinden.

Auf Grund dieser zentralen Beobachtungen erscheint der Entscheid für die elektronische Stimmabgabe als ein persönlicher Entscheid und als ein Indiz für einen Lebensstil, bei dem die Informationstechnologien eine wichtige Rolle spielen.

Nichts deutet darauf hin, dass es Eigenschaften, die die soziale Stellung betreffen, sind, die den Ausschlag für oder gegen die Benutzung des Vote électronique geben.

Dadurch werden gewisse einfache, um nicht zu sagen zu einfache, Erklärungen in Frage gestellt, die regelmässig in der Fachliteratur und in der Presse vorgebracht werden. Obwohl bekannt ist, dass Frauen weniger über das Internet abstimmen als Männer und dass Junge diese Abstimmungsart besonders attraktiv finden, zeigt die Studie, dass diese Variabeln in der Realität wenig hilfreich sind, um den Entscheid für oder gegen den Vote électronique zu erklären.
Im Übrigen haben die Kontrollen der Genfer Behörden gezeigt, dass die zeitliche Verteilung der Stimmabgabe für briefliche und für elektronische Stimmen nicht gleich ist. Während der vier Wochen der Abstimmung gehen die brieflichen Stim63

64

Forschungsinstitut gfs.bern: Internationale SchweizerInnen, Schlussbericht zur 1. repräsentativen Online Befragung der stimmberechtigten AuslandschweizerInnen für ASO und swissinfo/SRI. Bern 2003, www.gfs.ch/auslandschweizer.html.

Centre d'études et de documentation sur la démocratie directe de l'Université de Genève, Analyse du scrutin du 26 septembre 2004 dans quatre communes genevoises (Anières, Carouge, Cologny et Meyrin), Juillet 2005, vgl. die ergänzende Dokumentation 11b.

5498

men unregelmässig ein. In der drittletzten und letzten Woche vor dem Abstimmungstermin gehen rund 40 Prozent resp. rund 30 Prozent der brieflichen Stimmen ein. Bei den elektronischen Stimmen fallen mehr als 50 Prozent der auf die letzte Woche und gar rund 30 Prozent auf die letzten 36 Stunden der Abstimmung.

Damit untersucht werden könnte, inwiefern sich der Vote électronique auf die Stimmbeteiligung auswirkt, bräuchte es viel umfangreichere Daten. Zwei Tendenzen können allerdings festgestellt werden: ­

Das Internet «wirbt» die brieflich Stimmenden ab. Die Zahl der Personen, die sich an die Urne begeben, bleibt etwa gleich (5 %).

­

Die Altersgruppe der 18­29-Jährigen, die 10 Prozent der Stimmberechtigten ausmacht, umfasst ohne den Vote électronique nur 7­8 Prozent der tatsächlich Stimmenden. Wird der Vote électronique angeboten, so steigt der Anteil der Stimmenden dieser Altersklasse auf deren demografisches Gewicht, also auf 10 Prozent.

Die allgemeine Einführung des Vote électronique könnte also nicht nur die Stimmbeteiligung erhöhen, sondern auch mit einer verstärkten Vertretung der jungen Stimmberechtigten die Repräsentativität der Resultate verbessern.

Bei den acht Urnengängen mit 26 Abstimmungsfragen, für die im Kanton Genf der Vote électronique angeboten wurde, entsprachen die Resultate des Vote électronique immer auch dem Schlussresultat der gesamten Abstimmung.

5.1.2.2

Kanton Neuenburg

Der Kanton Neuenburg hat zum ersten Mal anlässlich der eidgenössischen Volksabstimmung vom 25. September 2005 einen Versuch mit dem Vote électronique durchgeführt. Um die Meinungen der Stimmenden besser erfassen zu können, hat er eine Umfrage65 über die Zufriedenheit mit diesem Angebot bei allen Personen durchgeführt, die die Möglichkeit hatten, über das Internet abzustimmen. Alle für den Guichet Unique zugelassenen Personen haben ein E-Mail erhalten mit nützlichen Informationen für die Teilnahme an der Umfrage. Die Umfrage fand vom 29. September bis zum 21. Oktober 2005 statt. Das Interesse war gross: Mehr als 58 Prozent haben sich Zeit genommen für die Beantwortung der Fragen.

Das Internet wird häufig als Instrument für die Jungen bezeichnet. Es kann aber festgestellt werden, dass die Älteren sich sehr wohl für dieses neue Kommunikationsmittel interessieren. Unter den Benutzerinnen und Benutzern des Guichet Unique ist diese Gruppe mit 16,5 Prozent über 60-Jährigen und knapp 27 Prozent Personen zwischen 50 und 59 Jahren sehr gut vertreten.

Die Frage nach dem Internetzugang zeigt, dass zwei Drittel der Benutzerinnen und Benutzer über einen Anschluss zu Hause und an ihrem Arbeitsplatz verfügen. Der sehr grosse Rest hat nur von zu Hause aus Zugang zum Internet. Nur sehr wenige Benutzerinnen und Benutzer haben nur von ihrem Arbeitsplatz aus Zugang.

65

Canton de Neuchâtel, Enquête de satisfaction, scrutin du 25 septembre 2005, novembre 2005, vgl. die ergänzende Dokumentation 11c.

5499

Die Resultate zur Nutzung des Internets, zu den Informatikkenntnissen und zur Sicherheit der Eingabegeräte zeigen, dass das Interesse an den neuen Kommunikationstechnologien gross ist.

Die Antworten zum Abstimmungsverhalten brachten keine Überraschungen zutage.

Mehrheitlich handelt es sich um Personen, die regelmässig an den Abstimmungen teilnehmen und ­ wie mehr als 96 Prozent aller Stimmenden ­ meist brieflich abstimmen.

Technische Probleme mit der Konfiguration des Arbeitsplatzes waren der Hauptgrund dafür, dass gewisse Personen den Vote électronique nicht benutzen konnten.

Die 6,9 Prozent, die solche technischen Probleme angeben (5,8 % wegen Problemen beim Zugang zum Guichet Unique und 1,1 % wegen einer Computerpanne), entsprechen nicht der Anzahl Anfragen beim technischen Support des Kantons Neuenburg während der Abstimmung. Viele Personen haben sich beim Supportteam gar nie gemeldet. Es ist daher unbedingt nötig, dass die Benutzerinnen und Benutzer darauf hingewiesen werden, dass sie bei Problemen per E-Mail den Helpdesk des Kantons kontaktieren können.

Die Benutzerfreundlichkeit und das Vertrauen in den Vote électronique wurden sehr hoch eingestuft. Mehr als 87 Prozent der Befragten stuften das System als benutzerfreundlich ein und mehr als 94 Prozent brachten ihm Vertrauen entgegen. Damit wurden die Ziele erreicht. Einzelne Bemerkungen und Vorschläge müssen im Hinblick auf die nächsten Abstimmungen per Internet analysiert werden. Sie betreffen insbesondere den Bedienungskomfort, wie z.B. die Eingabe des Validierungscodes.

Im Gegensatz zu den Vorteilen des Vote électronique, die mehrere Punkte betrafen, beschränken sich die Nachteile hauptsächlich auf die Angst, dass mit dem Vote électronique ein digitaler Graben entstehen könnte, und dies obwohl nicht zur Debatte steht, die anderen beiden Abstimmungsarten abzuschaffen und obwohl die Zahl der Internetbenutzerinnen und -benutzer stetig steigt.

Beinahe 99 Prozent der Benutzerinnen und Benutzer stimmen dem Vote électronique zu, womit sehr klar der Wunsch nach Änderungen in der Zusammenarbeit mit den öffentlichen Verwaltungen zum Ausdruck kommt.

Die letzte Frage betraf schliesslich die Erhöhung der Stimmbeteiligung. Es lässt sich keine klare Tendenz ableiten, da die meisten Personen, die elektronisch abgestimmt haben, auch sonst regelmässig abstimmen gehen.

5.1.2.3

Kanton Zürich

Im Kanton Zürich wurde im Rahmen des Pilotversuchs anlässlich der eidgenössischen Volksabstimmung vom 27. November 2005 eine Umfrage66 bei den Stimmberechtigten der Pilotgemeinden Bertschikon, Bülach und Schlieren durchgeführt.

Insgesamt 600 Personen wurden telefonisch befragt. Personen, die in den drei Pilotgemeinden den Vote électronique genutzt haben, sind besonders oft im jüngeren bis mittleren Alter und männlichen Geschlechts. Überdurchschnittlich viele Nutzerinnen 66

Centre d'études et de documentation sur la démocratie directe de l'Université de Genève, Umfrage bei Stimmberechtigten der Zürcher Gemeinden Bertschikon, Bülach und Schlieren anlässlich des Pilotversuchs vom 27. November 2005, Genf, Florenz, März 2006, vgl.

die ergänzende Dokumentation 11d.

5500

und Nutzer sind erwerbstätig und haben sich beruflich oder universitär weitergebildet. Die so genannten selektiven Urnengängerinnen und Urnengänger sind offener für die elektronische Stimmabgabe als die regelmässig Stimmenden. Befragte mit höheren Einkommen, hohem Vertrauen in das Internet sowie häufiger und kompetenter Nutzung der neuen Kommunikationstechnologien haben für die Stimmabgabe besonders oft den elektronischen Weg gewählt.

Die Frage, ob der Vote électronique die Stimmbeteiligung im Kanton Zürich erhöhen könnte, ist aufgrund der regional auf die Pilotgemeinden begrenzten Befragung schwierig zu beantworten. Sowohl traditionelle Urnengängerinnen und Urnengänger als auch brieflich Stimmende sind bereit, auf die elektronischen Abstimmungsmöglichkeiten umzusteigen. Die meisten Stimmenden sind bei ihrem gewohnten Abstimmungskanal geblieben. Es gibt jedoch sowohl bei traditionellerweise an der Urne als auch bei brieflich Stimmenden eine beträchtliche Zahl Umsteigerinnen und Umsteiger auf die elektronische Variante. 5 Prozent der mit dem Vote électronique Stimmenden haben erklärt, dass sie ohne die elektronische Möglichkeit nicht abgestimmt hätten. Diese Resultate könnten darauf hinweisen, dass einige Nichtstimmende dank dem Vote électronique zur Stimmabgabe bewegt werden könnten oder teilweise Stimmende mit Vote électronique häufiger stimmen würden.

Schliesslich ergab die Umfrage, dass sich die mit dem Vote électronique Stimmenden je nach Vorlage von den übrigen Stimmenden unterscheiden können. Die politischen Kräfteverhältnisse werden sich mit dem Vote électronique jedoch kaum verändern. Zu diesem Schluss sind alle im Rahmen der Pilotprojekte durchgeführten Befragungen gelangt.

5.1.2.4

Umfragen Dritter

Neben den Umfragen, die im Rahmen der Pilotprojekte direkt von der Bundeskanzlei oder den Pilotkantonen initiiert worden sind, haben auch Dritte verschiedentlich die Meinung der Bürgerinnen und Bürger zum Vote électronique eingeholt. So hat beispielsweise eine im Oktober 2005 im Auftrag der Coopzeitung vom Befragungsinstitut Link durchgeführte Umfrage bei 681 Personen in der Deutsch- und Westschweiz ergeben, dass 57 Prozent der Schweizerinnen und Schweizer sich für eine elektronische Stimmabgabe per SMS aussprechen. 25 Prozent unter ihnen sind dieser neuen Variante sehr zugetan. Die anderen 32 Prozent der Befürworterinnen und Befürworter wären nicht abgeneigt, sich der neuen Technologie bei der Stimmabgabe zu bedienen. 23 Prozent sind eher dagegen und 17 Prozent der Befragten können sich eine elektronische Stimmabgabe per SMS nicht vorstellen. 3 Prozent hatten keine Meinung67.

Dem dritten E-Government Trendbarometer der Berner Fachhochschule vom März 2006 ist ferner zu entnehmen, dass mittlerweile 70 % der Schweizer Bürgerinnen und Bürger Vote électronique nutzen würden, wenn dies möglich wäre. Laut der Studie steht der Vote électronique nach der elektronischen An- und Abmeldung beim Wohnortswechsel sowie der elektronischen An- und Abmeldung von Führer-

67

Coopzeitung Nr. 42 vom 19. Oktober 2005, S. 3.

5501

ausweisen und Fahrzeugen an dritter Position auf der Wunschliste der Bürgerinnen und Bürger68.

5.1.3

Führen Stimmerleichterungen zu einer höheren Stimmbeteiligung?

Neben den Umfragen zum Potenzial der elektronischen Stimmabgabe im Rahmen der kantonalen Pilotprojekte, können auch die Erfahrungen mit der bereits länger genutzten brieflichen Stimmabgabe zur Beurteilung dieser Frage herangezogen werden.

Der elektronischen und der brieflichen Stimmabgabe ist gemein, dass beide eine Stimmabgabe auf Distanz darstellen. Die Stimmberechtigten müssen zur Stimmabgabe nicht das Urnenlokal aufsuchen. Der Stimmzettel kann zu Hause am Schreibtisch oder am Personalcomputer ausgefüllt werden und brieflich oder elektronisch übermittelt werden. Die Vorteile einer solchen Stimmerleichterung für die Stimmberechtigten liegen auf der Hand: Die Stimmberechtigten können ihre Stimme unabhängig von Zeit und Ort abgeben.

Die Schweiz hat die Stimmabgabe im historischen Vergleich mit dem Ausland früher und umfangreicher liberalisiert69. Die Liberalisierung führte neben der allgemeinen brieflichen Stimmabgabe, die in der Schweiz 1994 allgemein eingeführt wurde, bereits früher zu wesentlichen Vereinfachungen. So kann das Stimm- und Wahlrecht in vielen Kantonen auch vorzeitig persönlich oder durch eine ermächtigte Stellvertretung wahrgenommen werden.

Solche Vereinfachungen, insbesondere aber die Stimmabgabe auf Distanz, entsprechen den Bedürfnissen einer modernen und mobilen Gesellschaft. Erwartungsgemäss hat die briefliche Stimmabgabe seit ihrer allgemeinen Einführung 199470 bei den Stimmberechtigten in der Schweiz grossen Anklang gefunden.

Die durchschnittliche Stimmbeteiligung lag bis zum Ende des Zweiten Weltkrieges im zehnjährigen Mittel konstant über 50 Prozent der Stimmbevölkerung. In den 60er- bis 80er-Jahren ist die Stimmbeteiligung anschliessend teilweise auf unter 40 Prozent abgesunken. Zwischen 1995 und 2005 verzeichnete sie mit durchschnittlich 44,5 Prozent wieder höhere Durchschnittswerte. In Westschweizer Kantonen, in den Kantonen Basel-Stadt und Nidwalden fällt dieser Anstieg zeitlich mit der kantonalen Umsetzung der erleichterten brieflichen Stimmabgabe zusammen71. Im Ausland war über die gleiche Zeitspanne teilweise ein konstanter Stimmbeteiligungsabfall zu beobachten.

68 69 70 71

Berner Fachhochschule, 3. E-Government Trendbarometer, Nutzen und Trends aus Bürgersicht, Bern, März 2006, www.wirtschaft.bfh.ch/index.php?nav=375.

Vgl. Braun Diss. 2005, Rz. 176 ff., 189, 199 ff., 415 ff., 429 ff., 512 ff.

Art. 5 Abs. 3 BPR, vgl. AS 1994 2414; BBl 1993 III 445 Vgl. für die Resultate aller seit 1848 stattgefundenen Volksabstimmungen: www.bk.admin.ch/ch/d/pore/va/index.html.

5502

Abbildung 2 Die Stimmbeteiligung bei Volksabstimmungen seit 1900

Die Bundeskanzlei hat 2005 zwei komplementäre Umfragen72 bei Kantonen und Gemeinden zur brieflichen Stimmabgabe durchgeführt. Im Rahmen der ersten Umfrage anlässlich der eidgenössischen Volksabstimmung vom 5. Juni 2005 verzeichneten die Stadtkantone Basel-Stadt und Genf, aber auch die Kantone Luzern, Waadt, Neuenburg, Obwalden und St. Gallen einen Anteil brieflicher Stimmen von über 90 Prozent. In zwei Kantonen lag die briefliche Stimmabgabe dagegen massiv unterhalb des Durchschnittswertes: In Glarus gaben 17 Prozent, in Schaffhausen 25 Prozent ihre Stimmen brieflich ab. Im Kanton Wallis hatte der Anteil 2004 noch marginale 5 Prozent betragen, stieg jedoch mit dem Übergang zur voraussetzungslosen brieflichen Stimmabgabe 2005 auf 67 Prozent an.73.

Im Einvernehmen mit der Staatsschreiberkonferenz hat die Bundeskanzlei anlässlich der Volksabstimmung vom 27. November 2005 eine zusätzliche Erhebung bei allen Schweizer Gemeinden über Anteil und Eingang der brieflichen Stimmen durchgeführt. 81,5 Prozent aller Stimmen wurden brieflich abgegeben, in den Kantonen SZ, OW, NW, ZG, und SG mehr als 90 Prozent, in den Kantonen LU, BS, VD, NE und GE sogar über 95 Prozent. In acht Kantonen (GL, SH, AR, AI, TG, TI, VS und JU) betrug der Anteil der Urnenstimmen mehr als 30 Prozent aller Stimmen. Die tiefste briefliche Stimmbeteiligung wurde in den Kantonen GL und SH gemessen74. Die meisten brieflich abgegebenen Stimmen werden in den beiden letzten Wochen vor dem Abstimmungssonntag verzeichnet. Ausnahmen bilden hier die Kantone NE und GE, wo über ein Drittel der brieflichen Stimmen bereits in der drittletzten Woche vor dem Abstimmungstermin eingeht. Für diese beiden Kantone müssten daher die Abstimmungskampagnen terminlich anders koordiniert werden als in den übrigen Regionen der Schweiz. Im Kanton GE steigt der Eingang brieflicher Stimmen in der 72 73

74

Vgl. die ergänzende Dokumentation 8.

Als einziger Kanton kennt heute bei kantonalen und kommunalen Wahlen und Abstimmungen der Kanton Tessin noch die an Voraussetzungen gebundene briefliche Stimmabgabe. Vgl. Art. 32 Legge sull' esercizio dei diritti politici del 7 ottobre 1998.

GL und AI führen als einzige Schweizer Kantone noch Landsgemeinden durch. Der Kanton SH kennt als einziger Kanton den Stimmzwang.

5503

letzten Woche noch einmal stark an. Die Pilotversuche mit Vote électronique in den Kantonen GE, NE und ZH haben gezeigt, dass elektronische Stimmabgaben tendenziell von der drittletzten zur letzten Woche vor dem Abstimmungstermin kontinuierlich zunehmen. Viele entscheiden sich ausserdem noch in den letzten Stunden vor Urnenschluss zu einer Stimmabgabe per Vote électronique. Auf die Kampagnenführung seitens der Parteien und Verbände hat die elektronische Stimmabgabe aber kaum eine verzerrende Wirkung75.

Bezüglich einer eventuellen Steigerung der Stimmbeteiligung dank dem Vote électronique zeigte sich der Bundesrat 2002 gegenüber der positiven Einschätzung einiger Experten skeptisch76. Diese Skepsis muss auch nach der Durchführung und wissenschaftlichen Begleitung von Pilotprojekten aufrechterhalten werden. Das in den in Ziffer 5.1 zusammengefassten Umfragen festgestellte und über Erwarten hohe Potenzial des Vote électronique sowie Indizien einer möglichen Steigerung der Stimmbeteiligung in allen drei Pilotkantonen müssten zuerst in flächendeckenden mehrmaligen kantonalen Versuchen erhärtet werden.

5.1.4

Fazit

Festzuhalten ist, dass sich die Resultate der hiervor zusammengefassten soziodemografischen Erhebungen mit Befragungen Dritter in vieler Hinsicht decken: ­

Der Vote électronique wird von einer Mehrheit der Schweizer Stimmberechtigten befürwortet.

­

Ungefähr ein Drittel der Befragten gibt an, den Vote électronique nutzen zu wollen, falls er eingeführt werden sollte.

­

Jeweils ein Viertel bis ein Fünftel der Befragten kann sich nicht vorstellen, den Vote électronique zu nutzen oder würde einer Einführung des Vote électronique nicht zustimmen.

Die Frage nach einer allfälligen Erhöhung der Stimmbeteiligung lässt sich indes auch nach der wissenschaftlichen Begleitung zahlreicher Pilotversuche unter wissenschaftlichen Gesichtspunkten nicht schlüssig beurteilen. Die Beurteilung dieser Frage ist sehr stark davon abhängig, wie gross das Potenzial des Vote électronique bei Personen ist, die nie oder nur sporadisch an Volksabstimmungen teilnehmen77.

Die Liberalisierung der Stimmabgabe kann als Gebot einer modernen und mobilen Gesellschaft aufgefasst werden. Die Diversifizierung der Stimmabgabemöglichkeiten wird früher oder später durch die Lebensgewohnheiten erzwungen. Sie kann allerdings auch die Pannenanfälligkeit demokratischer Entscheidungsprozesse erhöhen.

75 76 77

Vgl. zu detaillierten Umfrageergebnisse die ergänzende Dokumentation 8, Ziff. 5 und 6.

BBl 2002 654 f.

Zu weiteren Ausführungen zu einer möglichen Steigerung der Stimmbeteiligung durch Vote électronique vgl. Ziff. 5.1.3 hiervor.

5504

5.2

Risiken und Sicherheitsmassnahmen

5.2.1

Die Sicherheitsarchitektur der kantonalen Systeme78

Im Bereich Vote électronique werden die Zonen «Benutzerumfeld», «Verwaltungsnetzwerk» und «Hochsicherheitszone» unterschieden.

Unter der Bezeichnung «Benutzerumfeld» werden jene Eingabegeräte der Stimmberechtigten subsumiert, die zur Abgabe der elektronischen Stimme verwendet werden, also PC, Laptop, Mobiltelefon oder PDA79. Verschiedene Provider und Mobilfunkanbieter stellen die Kommunikation dieser Eingabemedien mit der eigentlichen Abstimmungsapplikation sicher. Die Eingabegeräte haben sehr unterschiedliche Konfigurationen (Betriebssystem, Browsertyp), die ausserhalb des Einflussbereichs der Abstimmungsapplikation liegen. Die Verantwortung für die Sicherheit des verwendeten Eingabemediums liegt daher ausschliesslich bei den Benutzerinnen und Benutzern oder den Betreiberverantwortlichen (Virenschutz, Firewall u.ä.).

Eine zweite Zone kann mit dem Begriff «Verwaltungsnetzwerk» umschrieben werden. Diese zeichnet sich durch eingeschränkte Zugriffsmöglichkeiten und eine Abschottung vom eigentlichen Internet aus. Die zugangsbeschränkten Verwaltungsnetzwerke wickeln sämtliche Transaktionen der Vote-électronique-Administration mit den Gemeinden ab, etwa den Datenaustausch mit den Gemeinden zur Erstellung des elektronischen Stimmregisters oder die Übermittlung der Abstimmungsergebnisse an die zuständige Stelle beim Kanton.

Alle hochsensiblen Daten einer Abstimmungsapplikation sind in der so genannten «Hochsicherheitszone» untergebracht. Dazu gehören beispielsweise die elektronische Urne oder das elektronische Stimmregister. Die Hochsicherheitszone wird durch einen Firewall vom Verwaltungsnetzwerk abgeschirmt und unterliegt strengsten Zugriffsbeschränkungen. Sie umfasst u.a. die Elemente Registeraufbau, Vergabe von Identifikations- und Authentifikationsschlüsseln, Anonymisierung der Stimmberechtigten, Verwahren der Stimmen in der elektronischen Urne, Registerkontrolle und Ausmittlung der Ergebnisse.

5.2.1.1

Virtuelles Stimmregister

Bei jedem der drei Lösungsansätze steht das virtuelle Stimmregister am Anfang der Prozesse. Trotzdem unterscheiden sich die Systeme bezüglich ihrer Voraussetzungen. Während der Kanton Genf ein zentrales Einwohnerregister führt, werden diese Register in den Kantonen Neuenburg und Zürich durch die Gemeinden geführt. In allen drei Kantonen müssen am Stichtag vor der Abstimmung oder Wahl die Einwohnerregisterdaten zu einem homogenen temporären Stimmregister verarbeitet werden, das zur Erstellung und zur Adressierung der Stimmrechtsausweise sowie zur Generierung der Zugangs- und Authentifikationscodes benötigt wird. Aus Teilen dieses Registers wird in der Folge das so genannte virtuelle Stimmregister zur Stimmrechtsprüfung während des gesamten Urnengangs generiert. Dabei werden die 78

79

Für eine detaillierte Aufstellung der in den Pilotkantonen umgesetzten Sicherheitsmerkmale vgl. die ergänzende Dokumentation 6, für eine detaillierte Beurteilung der kantonalen Sicherheitsmassnahmen die ergänzende Dokumentation 5.

PDA: Personal Digital Assistants sind mobile Kleingeräte, die als Adressdatenbank, zur Terminverwaltung aber auch als Zugang zum Internet verwendet werden können.

5505

Daten anonymisiert und auf die für die Zugangskontrolle erforderlichen Inhalte reduziert, damit Rückschlüsse auf den Originaldatenbestand des einzelnen Stimmberechtigten verunmöglicht werden.

5.2.1.2

Stimmrechtsausweise

Die Herstellung der Stimmrechtsausweise wird an Druckereien delegiert, welche hohen Sicherheitsanforderungen genügen müssen. Die Stimmrechtsausweise enthalten u. a. die Zugangsdaten für die Anmeldung am Abstimmungsserver. Die Zugangscodes sind in allen Kantonen auf dem Stimmrechtsausweis aufgedruckt.

Weiter benötigen die Stimmberechtigten für die Authentifizierung ein Passwort.

Hier haben die drei Kantone verschiedene Ansätze gewählt: Der Kanton Genf versteckt das Passwort unter einem Rubbelfeld. Der Kanton Zürich setzt ein ähnliches Verfahren ein, indem das Passwort unter einem Hydalam-Feld versteckt ist. Im Kanton Neuenburg haben nur Stimmberechtigte die Möglichkeit zur Nutzung des Vote électronique, die sich beim Guichet Unique angemeldet haben. Diesen Personen wird das Zugangspasswort für die Anmeldung am Guichet Unique mit separater Post mitgeteilt. Ausserdem erhalten die Neuenburger Stimmberechtigten eine Nummernkarte, die mit Streichlisten beim E-Banking vergleichbar ist.

5.2.1.3

Identifikation, Autorisierung und Validierung

Die Stimmberechtigten identifizieren sich am Abstimmungsserver mittels Zugangscode und Passwort, die ihnen auf ihrem Stimmrechtsausweis mitgeteilt worden sind.

Weitere Ansätze wie die Identifikation über einen Challenge-Response-Dialog oder der Einsatz von Smartcards mit digitalen Signaturen wurden in den Pilotkantonen nach gründlicher Prüfung nicht weiterverfolgt. Die Gründe sind vor allem die mangelnde Verbreitung und die noch unzureichende Benutzerfreundlichkeit. Nach erfolgreicher Identifikation werden die Stimmberechtigten zur Stimmabgabe zugelassen. Sobald sie die Stimmmerkmale eingegeben haben, werden sie aufgefordert, diese zu validieren. Dies erfolgt in den drei Pilotkantonen mittels ähnlicher Verfahren: Der Kanton Genf verlangt die Eingabe von Geburtsdatum, Heimatort und eines sechsstelligen Nummerncodes. Im Kanton Zürich sind die Eingabe von Geburtsdatum und eines achtstelligen Nummerncodes erforderlich. Im Kanton Neuenburg erfolgt die Validierung der Stimmen über einen 16-stelligen Nummerncode. Erst wenn die Validierung erfolgreich durchgeführt worden ist, werden die Stimmen in die elektronische Urne abgelegt.

5.2.1.4

Verschlüsselung und Entschlüsselung der Stimmen

Die Pilotanwendungen der drei Pilotkantone lassen zwei Verschlüsselungsphasen unterscheiden: Eine erste Verschlüsselung der Stimmen, der Identifikations- und Authentifikationsmerkmale erfolgt auf dem Client des jeweiligen Stimmberechtigten. Dabei handelt es sich um eine übliche 128-Bit-Verschlüsselung (SSL), die dem Sicherheitsstandard des E-Banking entspricht. Derart verschlüsselt gelangen die Stimmen via Internet in den durch Firewalls gesicherten Bereich des eigentlichen 5506

Vote-électronique-Systems (Verwaltungsnetzwerk). In den Kantonen Zürich und Genf werden die eingegangenen Werte auf ihre Struktur und Integrität hin überprüft, neu verschlüsselt (mindestens 1024 Bit) und in die Hochsicherheitszone respektive in die elektronische Urne überführt. Diese verschlüsselten Angaben bleiben bis zum Auszählen der Stimmen unangetastet.

Im Kanton Neuenburg werden die verschlüsselten Stimmen direkt ohne Ent- und Neuverschlüsselung in der Urne gespeichert. Zusätzlich zur SSL-Verschlüsselung werden die Daten innerhalb des SSL-Kanals noch einmal verschlüsselt. Auch der Kanton Genf prüft eine doppelte Verschlüsselung. Die Überprüfung von Struktur und Integrität der Stimme erfolgt im Kanton Neuenburg im Gegensatz zu den Systemen der Kantone Genf und Zürich erst beim Auszählen der Stimmen.

5.2.1.5

Redundantes Speicherverfahren

Sämtliche Daten der elektronischen Urne werden zeitgleich auf redundant angelegten Systemen gesichert. Die Stimmen werden dabei in zwei parallel geschalteten Datenbanken sowie auf zwei nicht-flüchtigen Speichermedien gesichert.

5.2.1.6

Stimmrechtsprüfung im Urnenlokal

Grundsätzlich besteht die Gefahr, dass einzelne Stimmberechtigte versuchen könnten, sowohl elektronisch als auch an der Urne oder per Post abzustimmen. Theoretisch besteht diese Möglichkeit, da das physische Abstimmungsmaterial bei der elektronischen Stimmabgabe nicht eingezogen wird. Die Umsetzung des Vote électronique kann daher die im jeweiligen Kanton und/oder in der jeweiligen Gemeinde bereits vorherrschenden Verfahren tangieren, beispielsweise bei der Stimmrechtsprüfung bei der brieflichen Stimmabgabe oder bei der Stimmabgabe im Urnenlokal.

Um dieser Gefahr entgegenzuwirken, müssen Stimmrechtsausweise, die auf eine allenfalls bereits erfolgte elektronische Abstimmung hindeuten, in den Urnenlokalen und beim Eingang brieflicher Stimmen überprüft werden. Um diese Prüfung zu ermöglichen, enthalten die Stimmrechtsausweise Sicherheitsmerkmale wie die genannten Rubbel- oder Hydalamfelder. Erscheint eine Person mit einem nicht mehr intakten Feld beispielsweise im Urnenlokal, wird im elektronischen Stimmregister überprüft, ob die fragliche Person nicht bereits elektronisch abgestimmt hat.

Je nach Lösungsvariante und Organisation der Urnenlokale können derartige Prüfvorgänge mittels Onlineabfrage mit einem PC oder Barcode-Leser, mittels telefonischer Nachfrage bei der Abstimmungszentrale oder durch die Konsultation einer hierfür erstellten Liste durchgeführt werden, auf der alle Stimmrechtsausweise aufgeführt sind, deren Besitzerinnen und Besitzer noch nicht abgestimmt haben.

Das letztgenannte Prüfverfahren bedingt allerdings, dass die elektronische Urne vor Öffnung der herkömmlichen Urnen geschlossen wird. Dies hat der Bund für alle Pilotversuche anlässlich eidgenössischer Urnengänge von den betroffenen Kantonen jeweils verlangt.

5507

5.2.1.7

Plausibilisierungsverfahren

Für die Plausibilisierung der Abstimmungsergebnisse stützen sich die Pilotapplikationen auf zwei Methoden: einerseits wird ein quantitativer Vergleich der als stimmberechtigt qualifizierten und protokollierten Validierungscodes mit der Summe der in der elektronischen Urne hinterlegten Stimmen vorgenommen. Andererseits gibt ein Abstimmungsausschuss exakt protokollierte Teststimmen für eine virtuelle Gemeinde ab. Diese Stimmen werden wie alle übrigen Stimmen behandelt, jedoch bei der Auszählung für das Gesamtergebnis nicht mitberücksichtigt. Das Abstimmungsergebnis der virtuellen Gemeinde wird anschliessend mit dem Protokoll verglichen. Für beide Plausibilisierungsverfahren gilt die Null-Toleranz. Wird die Null-Toleranz nicht erfüllt und kann die Ursache des aufgetretenen Fehlers nicht eindeutig festgestellt und nachträglich korrigiert werden, muss davon ausgegangen werden, dass die Wahl oder Abstimmung womöglich durch einen Systemfehler oder einen Angriff beeinträchtigt worden ist. Die zuständigen Behörden des betroffenen Kantons und des Bundes müssen anschliessend beurteilen, ob ein Endresultat dennoch festzustellen ist oder ob der Urnengang partiell oder ganz zu wiederholen ist. Auch muss sofort beurteilt werden, ob der Fehler auf andere gleichzeitig stattfindende oder zukünftige Urnengänge mit dem Vote électronique einen Einfluss haben könnte.

5.2.1.8

Entschlüsselung der Stimmen

Die Entschlüsselung der elektronischen Stimmen kann in den Kantonen Genf und Neuenburg nur unter Aufsicht eines Abstimmungsausschusses erfolgen. Nur Mitglieder dieses Ausschusses können den Entschlüsselungsprozess auslösen, nur sie verfügen über die hierfür erforderlichen Passworte und Schlüssel. Für den Fall einer Notlage, die durch höhere Gewalt hervorgerufen werden kann, überlässt der Abstimmungsausschuss seine in einem Umschlag versiegelten Passworte nach deren Aktivierung bis zur Urnenöffnung einem Notar zur Aufbewahrung. Im Kanton Zürich dagegen ist jede Gemeinde befugt, separat die Entschlüsselung und Auszählung der Stimmen mittels Eingabe von Passwort und Schlüsselnummer zu aktivieren. Sowohl Passworte als auch Schlüssel werden den Gemeinden postalisch zugestellt. Ein Generalschlüssel für Notfälle ist im Besitz des Kantons.

5.2.1.9

Ausmittlungsverfahren

Der Kanton Genf führt eine zentrale Wahl- und Abstimmungsbehörde. Hier werden die gemeindeweise ausgezählten elektronischen, brieflichen und Urnenstimmen durch den Kanton zentral ermittelt. Demgegenüber wird die Ausmittlung in den Kantonen Zürich und Neuenburg durch die Gemeinden wahrgenommen. Die Gemeinden melden ihre jeweiligen Abstimmungsergebnisse anschliessend an die zuständige Kantonsbehörde.

5508

5.2.1.10

Datenschutz

Im Rahmen der Pilotprojekte zur elektronischen Stimmabgabe sind auf Bundesebene keinerlei Personendaten bearbeitet worden. Die Stimmregisterführung und die Stimmrechtskontrolle fanden analog zu den herkömmlichen Verfahren der Stimmabgabe ausschliesslich in den Kantonen und Gemeinden statt. Dies wird voraussichtlich auch bei einer allfälligen Einführung des Vote électronique der Fall sein. Die Pilotkantone haben ihre kantonalen Datenschutzbeauftragten bei der Vorbereitung und Durchführung der Pilotversuche mit dem Vote électronique beigezogen. Es hat sich gezeigt, dass eine frühzeitige Abklärung datenschutzrelevanter Kontexte juristisch und auch politisch sinnvoll ist. Der Eidgenössische Datenschutzbeauftragte äusserte sich in seinen Jahresberichten 2002 und 200380 kritisch zum Vote électronique. Er betonte, dass das Stimmgeheimnis in jedem Fall gewährleistet bleiben müsse. Nach der Prüfung der Sicherheitskonzepte kantonaler Pilotsysteme durch die jeweiligen kantonalen Datenschutzbeauftragten hat sich der Eidgenössische Datenschutzbeauftragte nicht mehr kritisch zur Umsetzung geäussert.

5.2.2

Risikobezogene Beurteilung der kantonalen Umsetzung

Unter Ziffer 3.2 wurden die technischen Risiken des Vote électronique sechs Problemkreisen zugeordnet. Nachfolgend soll deren Umsetzung im Rahmen der kantonalen Pilotprojekte dargestellt und anhand einer dreistufigen Risiko-Skala (gering, mittel, hoch) beurteilt werden.

5.2.2.1

Identifikation und Authentifikation der stimmberechtigten Person

Aus Sicht der Abstimmungsbehörde stellt sich das Problem, wie stimmberechtigte Personen identifiziert und authentifiziert resp. für die Stimmabgabe autorisiert werden können. Grundsätzlich sind hierzu verschiedene bewährte Verfahren verfügbar wie zum Beispiel persönliche Identifikationsnummern und Passwörter, Transaktionsnummern, Challenge-Response-Verfahren oder digitale Zertifikate. Bei der Auswahl eines Verfahrens spielen neben der Sicherheit auch Fragen der Benutzerfreundlichkeit eine wichtige Rolle, damit das gewählte Verfahren von seinen Benutzerinnen und Benutzern auch akzeptiert und eingesetzt wird.

In der Konzeptphase fokussierten die Pilotkantone auf den Einsatz von digitalen Zertifikaten in Form von Smartcards. Leider sind aber solche Verfahren in der Schweiz noch immer nicht für alle zugänglich. Smartcards mit digitalen Zertifikaten gelten noch immer als Nischenprodukte, die lediglich in sehr sensiblen Bereichen und mit relativ hohen Kostenfolgen eingesetzt werden. Die Pilotkantone haben sich bei der Umsetzung deshalb auf allgemein verfügbare und kostengünstigere Verfahren beschränkt. Im Kanton Genf wurde der Stimmrechtsausweis um eine Rubbelfläche ergänzt, unter der sich der Zugangscode verbirgt. Im Kanton Neuenburg wird 80

Vgl. den 9. und 10. Jahresbericht des Eidgenössischen Datenschutzbeauftragten vom 31. März 2002, S. 14f. resp. vom 31. März 2003, S. 20, www.edsb.ch/d/doku/jahresberichte/index.htm.

5509

eingetragenen Benutzerinnen und Benutzern des Guichet Unique eine Nummernkarte mit Transaktionscodes zugesandt. Zusätzlich erhalten die stimmberechtigten Personen für jede Abstimmung ein separates und persönliches Passwort auf dem Postweg zugestellt. Im Kanton Zürich wird der Zugangscode auf dem Stimmrechtsausweis unter einem Hydalam-Feld verborgen aufgedruckt. Gleichzeitig müssen Stimmberechtigte in allen drei Kantonen zusätzliche personenspezifische Angaben machen (Geburtsdatum, Heimatort), um zur Stimmabgabe zugelassen zu werden.

Die Risiken der Identifikation und Authentifikation der stimmberechtigten Person können als gering eingeschätzt werden. Die umgesetzten Lösungen bieten ein genügendes Mass an Sicherheit, das durch zukünftig verfügbare und benutzerfreundliche Verfahren noch erhöht werden kann.

5.2.2.2

Authentifikation des Abstimmungsservers

Für die stimmberechtigte Person stellt sich die Frage, wie sie sicherstellen kann, dass sie ihre Stimme an einen «echten» (d.h. authentischen) Server abgibt. Falsche Server könnten sonst mit dem Ziel errichtet werden, Identifikationsmerkmale stimmberechtigter Personen einzufangen. Die so gewonnenen Informationen könnten anschliessend missbräuchlich verwendet werden. Man spricht in diesem Zusammenhang oft vom so genannten «Phishing». Leider zeigen Beispiele aus der Welt des E-Banking, dass sich viele Bürgerinnen und Bürger einer solchen Gefahr noch zu wenig bewusst sind und auf die angebotenen Verifikationsmöglichkeiten verzichten. Es ist zu befürchten, dass dies auch beim Vote électronique der Fall sein könnte. Aus diesem Grund ist dieser Risikobereich äusserst sensibel.

Die meisten verfügbaren Ansätze zur Abwehr solcher Risiken zielen auf die partielle oder vollständige Kontrolle der Software auf dem Eingabegerät. Dies wäre beispielsweise mit dem Versand einer CD-ROM mit Betriebssystem und Vote-électronique-Applikation zu erreichen. Die Stimmberechtigten müssten anschliessend vor der Stimmabgabe ihr Benutzergerät mit dieser CD-ROM starten. Die Pilotkantone haben sich nach eingehender Prüfung jedoch gegen dieses Verfahren entschieden, weil es als nicht benutzerfreundlich einzustufen ist und technisch nicht ohne weiteres für alle auf dem Markt erhältlichen Geräte eingerichtet werden könnte. Die Stimmberechtigten erhalten hingegen in jedem der drei Pilotkantone die Möglichkeit, das Zertifikat des Abstimmungsservers über eine auf dem Stimmrechtsausweis aufgedruckte Nummer (Fingerprint des Zertifikats) zu verifizieren. Ausserdem werden im Verlaufe des Abstimmungsvorgangs grafisch übermittelte Codes oder Symbole verwendet, die von den Stimmberechtigten wiederum mit den Codes oder Symbolen auf dem Stimmrechtsausweis verglichen werden können.

Die Risiken bei der Authentifikation des Abstimmungsservers sind als mittel einzuschätzen, weil die beschriebenen Prüfmassnahmen durch die Stimmberechtigten selbst ausgeführt werden müssen.

5.2.2.3

Sichere Kommunikation

Die Kommunikation zwischen dem Computersystem einer stimmberechtigten Person und dem eigentlichen Abstimmungsserver muss in Bezug auf Vertraulichkeit und Integrität kryptografisch abgesichert werden. In diesem Zusammenhang bietet 5510

sich das Secure-Socket-Layer-Protokoll (SSL) respektive das Transport-LayerSecurity-Protokoll (TLS) an. Der Einsatz eines solchen Protokolls entspricht der gängigen Praxis bei sicherheitsrelevanten Übermittlungen im E-Banking und ist für die Benutzerinnen und Benutzer transparent. Bis zum heutigen Zeitpunkt sind keine wesentlichen Verwundbarkeiten oder Sicherheitsprobleme des SSL/TLS-Protokolls bekannt. Alle drei Pilotkantone integrierten bei der Umsetzung ihrer Systeme eine Übertragung der Stimmen mit dem SSL-Protokoll. Das Risiko von Angriffen auf dem Kommunikationsweg kann deshalb als gering eingestuft werden.

5.2.2.4

Sicherheit der Eingabegeräte

Die Eingabe der Stimme auf dem Eingabegerät geht der Übertragung direkt voran und muss als stark risikobehaftet beurteilt werden. Hier könnten Viren oder trojanische Pferde versuchen, Stimmen unbemerkt zu manipulieren, indem sie beispielsweise Ja- und Nein-Stimmen zu vertauschen versuchen. Hier bieten kryptografische Verfahren keine Abhilfe. Der Problemkreis ist deshalb ebenfalls als äusserst sensibel zu bewerten.

Viren und trojanische Pferde sind selbstständige Programme mit einer verdeckten Schadenfunktion. Im Betriebssystem eines Computers können sich solche Programme (beispielsweise als harmloser Bildschirmschoner getarnt) häufig unbemerkt einnisten und entfalten, Dritten durch eine Hintertür Zugang zu persönlichen Daten verschaffen, wichtige Daten zerstören oder Passwörter ausspionieren. Von Viren und trojanischen Pferden geht deshalb die grösste Gefahr für den Vote électronique aus. Die Endbenutzergeräte befinden sich ausserhalb des Einfluss- und Kontrollbereichs der Wahl- und Abstimmungsbehörden, so dass die Sicherheit dieser Geräte wohl nie gänzlich gewährleistet werden kann. Immerhin haben die Pilotkantone bei der Übermittlung der Stimmen Sicherheitselemente eingebaut, die durch Viren und trojanische Pferde verursachte Manipulationen verhindern helfen. So werden beispielsweise die von einer stimmberechtigten Person eingetragenen Stimmmerkmale vor der eigentlichen Stimmabgabe nochmals zur Kontrolle an die stimmberechtigte Person übermittelt. Dies geschieht nicht in Textform, sondern in Form einer Bildinformation. Eine solche ist für Trojaner und Viren nur schwer zu erkennen und nur unter komplexesten Bedingungen manipulierbar. Im Kanton Genf werden diese Bildinformationen (Ja, Nein, Leer) zusätzlich durch einen vierstelligen Code hinterlegt. Der Kanton Zürich arbeitet anstelle von Codes mit Symbolen (u.a. Tiersymbolen). Ausserdem werden die graphisch umgesetzten Stimmmerkmale auf dem Bestätigungsbildschirm mit durchgezogenen Schlangenlinien zusätzlich vor manipulativen Eingriffen geschützt. Auf diese Weise kann die stimmberechtigte Person überprüfen, ob die Information vom Abstimmungsserver stammt oder allenfalls auf Umwegen verändert worden ist («Man-in-the-middle»-Angriff). Der Abstimmungsserver selbst prüft über eine Prüfsumme (Hashwert), ob die Stimme auf dem Übermittlungsweg in
irgendeiner Form verändert worden ist. Ist dies der Fall, so wird die Stimmabgabe serverseitig abgebrochen. Der Prozess zur Stimmabgabe würde dann von Grund auf neu vollzogen werden. Eine unerwünschte und unbemerkte Veränderung der Stimmmerkmale kann dadurch weitestgehend verunmöglicht, nie aber gänzlich ausgeschlossen werden. Es bleibt ein mittleres Risiko bestehen.

5511

5.2.2.5

Demokratische Kontrolle des Auszählungsprozesses

Bei der herkömmlichen Stimmabgabe wird die demokratische Kontrolle durch Wahlausschüsse und Stimmenzählerinnen und -zähler aus den Reihen der stimmberechtigten Personen wahrgenommen. Beim elektronischen Verfahren sind diese Akteure während der Abstimmungsperiode in geeigneter Weise durch beaufsichtigte Prozesse zu ersetzen. In den Pilotkantonen Genf und Neuenburg wurden zu diesem Zweck spezielle Wahl- und Abstimmungsausschüsse mit Vertretern der politischen Parteien und/oder der im kantonalen Parlament vertretenen Fraktionen gebildet. Sie nehmen an der Öffnung der elektronischen Urne und an der Auszählung der elektronischen Stimmen teil. Im Kanton Zürich werden solche Ausschüsse in jeder Gemeinde separat gebildet. Die elektronischen Schlüssel, die zur Verschlüsselung und Entschlüsselung aller elektronischen Stimmen verwendet werden, sind durch Passworte der Ausschüsse geschützt. Unberechtigte Zugriffe auf die in der Urne verschlüsselt gespeicherten Stimmen ­ auch durch die Wahlbehörde oder selbst durch Systemadministratoren (interner Angriff) ­ werden auf diese Weise verunmöglicht. Die Risiken der in den kantonalen Systemen umgesetzten Lösungsansätze können als gering eingestuft werden.

5.2.2.6

Nachvollziehbarkeit und Beweisbarkeit

Es entspricht einer weit verbreiteten, aber problematischen Auffassung, dass die Sicherheitstechnologie, die man aus dem Bereich des E-Bankings kennt, auch für den Vote électronique eingesetzt werden kann. An einer zentralen Stelle unterscheiden sich E-Banking und Vote électronique grundlegend: Während Ersteres eine genaue Aufzeichnung der Transaktionen und der beteiligten Personen für allfällige Revisionen voraussetzt, darf es solche Aufzeichnungen beim Vote électronique nicht geben (Schutz des Stimmgeheimnisses). Der Vote électronique wird aufgrund dieser fehlenden Nachvollziehbarkeit und Beweisbarkeit (Audit Trail) von einigen Fachleuten vehement in Frage gestellt. Die Stimmberechtigten hätten beim Vote électronique, anders als bei der herkömmlichen Stimmabgabe im Urnenlokal oder der brieflichen Stimmabgabe keine Möglichkeit, sich zu vergewissern, ob ihre Stimme vom Abstimmungssystem richtig entgegengenommen und bei der Auszählung berücksichtigt worden ist. Die Wahl- und Abstimmungsbehörde ihrerseits hätte im Gegensatz zu den herkömmlichen Verfahren keine Handhabe, fehlbares Verhalten festzustellen und strafrechtlich zu ahnden. Das Risiko eines fehlenden Audit Trails muss als hoch eingestuft werden. Allein die Behauptung, Stimmen wären manipuliert worden, könnte das Ergebnis der Auszählung elektronischer Stimmen in Frage stellen. Hier müssen zur Risikominimierung unbedingt auch Kommunikationsmassnahmen vorbereitet und notfalls ergriffen werden.

Als mögliche Lösung der individuellen Nachvollziehbarkeit seitens einer stimmberechtigten Person wurde von Fachleuten das so genannte «Code-Voting» vorgeschlagen81: Anstelle der Stimmmerkmale «Ja», «Nein» oder «Leer» geben die Stimmberechtigten ihre Präferenzen in Form eines Codes (bspw. «z3Gv» für «Ja») auf dem Eingabegerät ein. Der Code für jedes mögliche Merkmal wird ihnen mit dem Stimmrechtsausweis vorgängig individuell zugestellt. Das Abstimmungssystem 81

Vgl. stellvertretend für diese Position Oppliger 2002b, S. 24 f. Zu den vollständigen Literaturangaben vgl. die ergänzende Dokumentation 1.

5512

könnte dann seinerseits wiederum mit einem Code für eine entgegengenommene Ja-Stimme antworten, der durch die stimmberechtigte Person in ihrer Code-Tabelle vor Abschluss der Stimmabgabe überprüft werden kann. Dieses Verfahren hat den klaren Vorteil, dass die Stimme einerseits bereits individuell codiert eingegeben wird, andererseits vom Server auch noch codiert bestätigt wird. Im Medienbruch (Stimmrechtsausweis) wäre hier eine weitere wertvolle Sicherheit gegeben. Die Pilotkantone haben sich mit diesem Vorschlag im Rahmen der Konzeption ihrer Systeme eingehend befasst. Für die Stimmabgabe im Internet wurde diese Variante jedoch als nicht benutzerfreundlich ausgeschlossen. Hingegen ist sie für die Stimmabgabe per Handy unerlässlich, weil hier auf andere Weise keine Verschlüsselung der Stimme vorgenommen werden kann. Die codierte Form der Stimmübermittlung vom Eingabegerät an das Abstimmungssystem wurde beim Zürcher SMS-Voting erfolgreich umgesetzt.

Das Problem des Audit Trails wird dadurch aber noch nicht gelöst. Noch immer besteht eine Ungewissheit darüber, ob die Stimme auf dem Weg in die Urne durch einen Virus oder ein trojanisches Pferd nicht doch noch verändert oder gelöscht worden sein könnte. Deshalb schlagen andere Experten vor, jede elektronische Stimme bei der Stimmabgabe zusätzlich auf Papier auszudrucken (Paper Trail), damit spätere Nachzählungen auf Papier möglich wären. Ein dafür vorgesehener Drucker könnte in einem abgeschlossenen Safe bei den zentralen Anlagen installiert und so vor fremden Zugriffen geschützt werden. Dieser Papierausdruck elektronischer Stimmen wird heute beispielsweise von vielen amerikanischen Bundesstaaten bei der Zertifizierung von Wahlmaschinen verlangt, welche für den Einsatz in Wahllokalen entwickelt werden. Auch die Venedig-Kommission des Europarates hat den Papierausdruck jeder Stimme als sinnvolle Ergänzung für den Vote électronique erachtet (vgl. Ziff. 4.4.1).

Bei Nachzählungen wäre der Papierausdruck der Stimmen gegebenenfalls als Referenz im Vergleich mit dem elektronisch ermittelten Stimmresultat zu verwenden.

Allerdings müsste dann auch der Ausdruck von Stimmen auf Papier höchsten Sicherheitsansprüchen genügen, denn auch Drucker und Druckbefehle erteilende Computer könnten von Viren und Trojanern befallen werden, und die Stimme so manipuliert auf
dem Ausdruck erscheinen lassen. Würden Nachzählungen einerseits der elektronischen, andererseits der auf Papier ausgedruckten vormals elektronischen Stimmen dann ein unterschiedliches Resultat ergeben, stellt sich die Frage, welche Stimme bei einer Nachzählung als Originalstimme zu werten ist. Eine elektronische Stimme dürfte nach logischem Ermessen nur in ihrer elektronisch gespeicherten Form bei einer Nachzählung berücksichtigt werden, es sei denn, sie sei aufgrund einer kompletten Zerstörung aller redundanten elektronischen Speicher verloren gegangen. Diese Situation könnte durch höhere Gewalt (Naturkatastrophe) hervorgerufen werden, ist jedoch als unwahrscheinlich einzuschätzen.

Das Paper-Trail-Verfahren dürfte schliesslich keinesfalls dazu führen, dass stimmberechtigten Personen eine Quittung ihrer effektiv abgegebenen Stimme ausgehändigt wird. Schliesslich wäre ein Beleg der effektiv abgegebenen Stimme in der Hand einer stimmberechtigten Person mit Artikel 281 StGB (Wahlbestechung) nicht vereinbar, weil ein solcher Beleg zum Stimmenkauf oder -verkauf verwendet wer-

5513

den könnte. An dieser Stelle stösst die Forderung nach einem Paper Trail zur individuellen Nachvollziehbarkeit an eine strafrechtliche Grenze82.

Auch bei der brieflichen Stimmabgabe oder der Stimmabgabe im Urnenlokal ist letztlich die individuelle Überprüfbarkeit und Nachvollziehbarkeit nicht gegeben.

Wer könnte schon auf dem Beschwerdeweg eindeutig feststellen, ob seine/ihre Stimme erstens entgegengenommen und zweitens richtig ausgezählt worden ist?

Würde ein Stimmzettel mit irgendeinem Vermerk, mit einem Namen oder einem Symbol versehen, hätte dieser Stimmzettel sowohl bei Volksabstimmungen als auch bei Wahlen gemäss Artikel 12 Absatz 1 Buchstabe d, 38 Absatz 1 Buchstabe d und 49 Absatz 1 Buchstabe d des BPR als offensichtlich gekennzeichnet und damit ungültig zu gelten. Im vorliegenden Bericht wurde bereits an anderer Stelle darauf hingewiesen, dass vom Vote électronique in Bezug auf die in Kauf zu nehmenden Risiken und damit auch in Bezug auf die zu gewährleistende Sicherheit und Nachvollziehbarkeit nicht mehr erwartet werden kann als von der herkömmlichen Stimmabgabe83.

Die Lösung des Problems kann nur in einem Verfahren gesucht werden, das die Forderung nach einer individuellen Nachvollziehbarkeit durch eine demokratische Kontrolle des Abstimmungs- und Wahlprozesses erfüllt (vgl. Ziff. 5.2.2.5). Neben dem Einsatz von Wahl- und Abstimmungsausschüssen mit Vertreterinnen und Vertretern der politischen Parteien, die den Prozess des elektronischen Urnengangs mitverfolgen und die zur Ver- und Entschlüsselung notwendigen Passworte generieren und aufbewahren, setzen die Pilotkantone ein der Nachvollziehbarkeit überaus zuträgliches Mittel ein: Der Ausschuss bildet eine fiktive Testgemeinde. Diese Testgemeinde wird vom System genau gleich behandelt wie eine politische Gemeinde des Kantons. Die in der Testgemeinde abgegebenen Stimmen durchlaufen den genau gleichen Prozess von der Abgabe bis zur Entschlüsselung aller elektronischen Stimmen. Der Ausschuss stimmt innerhalb der Abstimmungsfrist mit einer bestimmten Anzahl an protokollierten, jedoch nichtzählenden Stimmen ab. Nach der Entschlüsselung und Auszählung der Stimmen am Abstimmungswochenende wird das Resultat der Testgemeinde mit dem Protokoll des Ausschusses verglichen. Auf diese Weise kann festgestellt werden, ob ein Systemfehler oder eine
Manipulation an den Stimmen der Testgemeinde irgendwelche Veränderungen hervorgerufen haben. Ist dies nicht der Fall, so kann daraus geschlossen werden, dass mit grösster Wahrscheinlichkeit auch die Integrität aller übrigen Stimmen in keiner Weise beeinträchtigt worden ist.

Die Risiken, die in einer fehlenden Nachvollziehbarkeit und Beweisbarkeit begründet sind, müssen als hoch eingestuft werden. Die Pilotkantone haben bei der Umsetzung Lösungsmöglichkeiten entwickelt, die zwar nicht eine individuelle, wohl aber eine demokratische Validierung der Abstimmungs- und Wahlresultate zulassen (kryptografische Schlüssel der Ausschüsse, Testgemeinden). Die Risiken konnten so auf ein vertretbares Mass reduziert werden. Sollte in der Öffentlichkeit behauptet

82

83

Der Ausdruck einer abgegebenen Stimme ist in Artikel 27h Absatz 4 der VPR explizit ausgeschlossen worden («Die verwendete Wahl- oder Abstimmungssoftware darf keinen Ausdruck der tatsächlich abgegebenen Stimme zulassen»). Abweichende Regelungen, auch die Ermöglichung eines solchen Ausdrucks seitens der Wahlbehörden z.B. beim Eingang der Stimme auf dem Abstimmungsserver, bleiben dem Bundesrat auf dem Verordnungsweg vorbehalten.

Vgl. Ziff. 1.2

5514

werden, dass Stimmen manipuliert wurden, muss seitens der verantwortlichen Behörde jedoch mit grösster Umsicht vorgegangen werden.

5.2.3

Vergleich mit Risiken der brieflichen Stimmabgabe

Zur Beurteilung Risiken des Vote électronique wird oft die briefliche Stimmabgabe als Vergleichsbasis herangezogen. In der Literatur finden sich nur vereinzelte Angaben zu den Risiken der brieflichen Stimmabgabe. Zwei kürzere Studien nehmen sich der Frage teilweise an84. Von Arx kommt dabei zum Schluss, dass «Missbräuche und Unregelmässigkeiten (...) nie ganz zu vermeiden» seien, die briefliche Stimmabgabe jedoch «keine unverhältnismässig grosse Gefahr» darstelle85. In der Studie der Universität Bern wurde festgestellt, dass der Wille von Stimmberechtigten häufig beim Ausfüllen des Stimm- oder Wahlzettels in der Familie verfälscht werde.

Dabei komme es vor allem vor, dass der Mann gleichzeitig auch den Stimmzettel der Frau ausfülle, während der umgekehrte Fall nicht vorkomme86. Die Studie gibt keine Auskunft über die Häufigkeit der Missbräuche. Die Untersuchung kommt aber dennoch zum Schluss, dass «die Feststellung gerechtfertigt» scheint, «dass Missbrauch und Betrug eher seltene und singuläre Ereignisse darstellen.» Die befragten Gemeindekanzleien schätzten die Gefahr von Missbräuchen bei der brieflichen Stimmabgabe als deutlich geringer ein als bei der Stellvertretung.

Der Bundesrat hat die Bundeskanzlei im Dezember 2004 zusätzlich beauftragt, die Risiken der brieflichen Stimmabgabe abzuklären und den entsprechenden Ergebnissen aus den Pilotprojekten zum Vote électronique gegenüberzustellen.

Die Bundeskanzlei hat deshalb anlässlich der eidgenössischen Volksabstimmung vom 5. Juni 2005 unter den Kantonen und, mit Hilfe der Staatskanzleien, unter ausgewählten Gemeinden eine Umfrage über die briefliche Stimmabgabe durchgeführt. Zusätzlich führte sie auf Wunsch der Staatsschreiberkonferenz anlässlich der eidgenössischen Volksabstimmung vom 27. November 2005 eine ergänzende Umfrage bei allen Gemeinden in der Schweiz durch87.

Die in der Umfrage vom 5. Juni 2005 vorgenommene Eruierung der Risiken brieflicher Stimmabgabe basierte auf zwei Elementen. Zum einen sollten tatsächlich vorkommende Unregelmässigkeiten und Missbräuche88 festgehalten werden, zum andern sollte die subjektive Wahrnehmung der Risiken durch die Kantone und Gemeinden festgestellt werden.

84

85 86 87 88

Moser Christian, Hardmeier Sibylle und Linder Wolf: Unregelmässigkeiten bei erleichterter Stimmabgabe. Gutachten, erstattet im Auftrag der Staatskanzlei des Kantons Thurgau vom Forschungszentrum für schweizerische Politik der Universität Bern (Schriftenreihe der Staatskanzlei des Kantons Thurgau, Nr. 6), Thurgau 1990, S. 12 ff.; Von Arx, Nicolas: Post-Demokratie, AJP, 1998, S. 933­950, S. 946 f. Die Studie der Universität Bern (= Moser et al. 1990) entstand im Anschluss an eine äusserst knappe und in der Folge angefochtene Abstimmung über die Kantonsverfassung, vgl. auch BGE 114 Ia 42.

Von Arx 1998, S. 947.

Moser et al. 1990, S. 29 f., 65 und 69 ff.

Bundeskanzlei, Umfragen 2005 bei Kantonen und Gemeinden zur brieflichen Stimmabgabe, Bern 2006 (vgl. ergänzende Dokumentation 8).

Dabei werden unter Unregelmässigkeiten diejenigen Vorkommnisse verstanden, welche sich unabsichtlich ­ durch Unkenntnis der Stimmberechtigten oder der Wahl- und Abstimmungsbehörden ­ ergeben. Unter Missbräuchen werden alle Tätigkeiten verstanden, bei denen im Zusammenhang mit der brieflichen Stimmabgabe absichtlich betrogen wurde.

5515

In den Jahren 2003 und 2004 gab es in den befragten Gemeinden durchschnittlich 1,46 Reklamationen auf 1000 stimmberechtigte Personen zu verzeichnen. Bei den Kantonen gingen in der gleichen Zeitspanne weniger Reklamationen ein (0,47 auf 1000 Stimmberechtigte). Die meisten Reklamationen betrafen dabei den Verlust von Stimmrechtsausweisen oder Stimmzetteln. Am zweithäufigsten wurden Unregelmässigkeiten, die aus Unkenntnis des Verfahrens durch die Stimmberechtigten resultierten, genannt.

Deutlich weniger häufig haben sich widerrechtliche Handlungen und Missbräuche im Zusammenhang mit der brieflichen Stimmabgabe ereignet: Lediglich 2 von 60 Gemeinden (3,33 %) und 4 von 24 Kantonen (16,66 %) haben entsprechende Angaben gemacht.

Von den insgesamt 19 Fällen aktenkundiger Unregelmässigkeiten und Missbräuche betrafen: ­

8 Unregelmässigkeiten resultierend aus Unkenntnis der Verfahren durch die Stimmberechtigten,

­

7 Unregelmässigkeiten resultierend aus fehlerhaftem Verhalten der Wahlund Abstimmungsbehörden,

­

4 Fälle von Missbrauch der Verfahren und absichtlichen Betrugs.

In der nachfolgenden Tabelle89 werden die aus rechtlichen und Sicherheitsüberlegungen resultierenden Erfordernisse und Umsetzungsmassnahmen für den Vote électronique zusammenfassend aufgeführt und analogen Erfordernissen und Massnahmen bei der brieflichen Stimmabgabe gegenübergestellt.

89

Die Darstellung beschränkt sich auf die im Rahmen der Pilotprojekte in der Schweiz bisher geprüften Lösungsansätze und erhebt keinen Anspruch auf Vollständigkeit.

5516

Die Stimmberechtigten leisten eine handschriftliche Unterschrift auf dem Stimmrechtsausweis. Die Stimmzettel sind ebenfalls handschriftlich auszufüllen.

Die brieflichen Stimmen werden durch die Briefpost zugestellt oder durch die Stimmberechtigten direkt bei der Gemeinde abgegeben bzw. in den Gemeindebriefkasten eingeworfen.

Der Stimmrechtsausweis wird nur einmal und namentlich ausgestellt. Bei der brieflichen Stimmabgabe muss der Stimmrechtsausweis im Original mitgeschickt werden. Die doppelte Stimmabgabe wird dadurch verunmöglicht.

Die ausgefüllten Stimmzettel gelangen in einem separaten Couvert verschlossen an die Gemeinde. Stimmrechtsausweis und Stimme müssen nach der Überprüfung der Glaubhaftigkeit der Unterschriften voneinander getrennt in verschiedene Urnen abgelegt werden.

Eindeutige Identifikation: Der Teilnehmer/die Teilnehmerin an einer Abstimmung oder Wahl muss als diejenige Person identifiziert werden, für die er/sie sich ausgibt.

Authentizität des Vote-électronique-Systems Die Stimmberechtigten müssen die Gewähr haben, dass ihre Stimme in die dafür bestimmte Urne abgelegt wird und bei der Auszählung der Stimmen berücksichtigt wird.

Einmalige Stimmabgabe: Die stimmberechtigte Person darf nur eine Stimme abgeben.

Wahrung des Stimmgeheimnisses/ Datenschutz: Der Wille der stimmberechtigten Person muss geheim bleiben, und datenschutzrelevante Angaben dürfen nicht an Dritte gelangen.

5517

Analogie(n) zur brieflichen Stimmabgabe

Erfordernisse für den Vote électronique

Individueller und geheimer Zutrittcode Angabe des Geburtsdatums und/oder des Heimatortes zwecks Validierung Denkbar wäre (später) auch der Einsatz digitaler Signaturen Fragwürdig wären hingegen weitere Sicherheitsabfragen wie die AHVNummer (Stimmgeheimnisschutz)

Tabelle 2

­ Getrenntes Speichern von Personendaten und Stimmmerkmalen auf verschiedenen Systemen ­ Laufendes Mischen der elektronischen Urne durch einen «Zufallsgenerator».

Es wird dadurch verunmöglicht, z. B. aufgrund der Reihenfolge der eingegangenen Stimmen auf eine Person zu schliessen

­ Sofortiges Streichen der Stimmberechtigung in der StimmregisterDatenbank, sobald eine Stimmabgabe (elektronisch oder brieflich) registriert worden ist ­ Eindeutige Merkmale auf dem Stimmcouvert (z. B. Integrität des Siegels über dem geheimen Zutrittcode) weisen darauf hin, ob ein Bürger bereits mittels Vote électronique abgestimmt haben könnte

­ Das Server-Zertifikat (SSL) kann durch die Stimmbürger/innen mittels Fingerprint überprüft werden ­ Die Authentizität des Servers kann mittels eines Rückantwort-Codes und/oder mittels Bild-Symbolen überprüft werden

­ ­ ­ ­

Massnahmen im Rahmen der Pilotprojekte

Vote électronique und briefliche Stimmabgabe: Vergleich der Erfordernisse und Umsetzungsmassnahmen

Die briefliche Stimmabgabe geniesst ein breites Vertrauen in der Bevölkerung.

Das Stimmmaterial wird einer stimmberechtigten Person bei der Zustellung aus dem Briefkasten entwendet. Ein systematischer Missbrauch kann nicht ausgeschlossen werden, wenn viele Stimmberechtigte nicht abstimmen und ihr Stimmmaterial unzerrissen wegwerfen.

Stimmcouverts könnten durch Entnahme im Gemeindebriefkasten oder durch Raub oder Verlust eines Postsackes unterwegs in unberechtigte Hände gelangen oder vernichtet werden.

Vertrauen: Das gesamte Verfahren muss vertrauenswürdig und überprüfbar sein.

Abwehr von Angriffen von aussen: a) Endbenutzer-Geräte (private Computer, Mobiltelefone): Mögliches Abfangen und Verändern der Stimmen, z.B. durch trojanische Pferde («Trojaner»)

b) Kommunikationsweg («Transport» der Stimme vom Benutzer bis zum Server): Mögliches Abfangen und Verändern der Stimmen (Man-in-the-middle-Angriff).

5518

Papierene Stimmen können jederzeit ­ Anfertigen von konventionellen und elektronischen Protokollen, die beim nachgezählt werden. Zur Nachzählung Auszählen der Stimmen von den zuständigen Behörden unterzeichnet werden können andere Personen aufgeboten werden. ­ Anfertigen eines separaten Datenträgers (CD-ROM mit dem Inhalt der Der Nachzählung können Bürgerinnen elektronischen Urne und aller Log-Dateien) und Bürger auf Verlangen beiwohnen ­ Die Vertretung der Stimmberechtigten wird durch die durch Parteien (Transparenz).

bestimmten Kontrolleure wahrgenommen

Nachvollziehbarkeit und Beweisbarkeit: Die abgegebenen Stimmen müssen bei knappen Volksentscheiden oder Beschwerden nachgezählt werden können.

­ Stimmabgabe wird verschlüsselt (SSL) ­ Stimmmerkmale werden graphisch und nicht in Textform übermittelt ­ Im Dialog werden alle Pakete mit Hilfe von Quersummen auf ihre Integrität überprüft

­ Mehrfacher Schutz durch Firewalls ­ Code-Voting-Verfahren (SMS Zürich, Übermitteln der Stimme im Internet als Zahlencode) ­ Einsatz aktueller Virenschutz-Software

­ Beizug von Kontrolleuren bei allen sensiblen Prozessen ­ Unabhängige Überprüfung des Source-Codes, Open-Source-Methode ­ Offenlegen proprietärer Applikationen

Analoge Gefahren bestehen auch für ­ Betrieb mehrerer redundanter Server Gemeindehäuser, Gemeindebriefkasten, ­ Unterbringung der Server in Hochsicherheitsgebäuden (Zugangskontrolle, Urnenlokale, Postzentren und Postwege.

Feuerschutz, Notstromaggregat) Beim Vote électronique können aber grössere Mengen an Stimmen betroffen sein.

Vorkehrungen gegen Risiken höherer Gewalt: Beeinträchtigung des Urnengangs durch Unwetter, Stromausfälle, Erdbeben usw.

Massnahmen im Rahmen der Pilotprojekte

Analogie(n) zur brieflichen Stimmabgabe

Erfordernisse für den Vote électronique

Brandanschlag auf den Gemeindebriefkasten. Oder die Zustellung der Stimmen wird durch eine Panne bei der Post erschwert oder verunmöglicht. Das Risiko ist gering, steigt jedoch mit zunehmender Zentralisierung der Briefpost.

c) Plattform (Zentrales Herzstück eines Vote-électroniqueSystems): Beispielsweise «Denial-of-Service-Angriffe»

5519

Analogie(n) zur brieflichen Stimmabgabe

Erfordernisse für den Vote électronique

­ Betrieb von mehreren redundanten Servern ­ Zusammenarbeit mit verschiedenen Providern (Massnahmen gegen das DNS-Hacking)

Massnahmen im Rahmen der Pilotprojekte

5.3

Wirtschaftlichkeit und Machbarkeit

5.3.1

Kosten der Pilotprojekte

In Verträgen mit den drei Pilotkantonen Genf, Neuenburg und Zürich hat sich die Eidgenossenschaft, vertreten durch die Bundeskanzlei, verpflichtet, maximal 80 Prozent der durch die Pilotprojekte gegenüber einem normalen Urnengang entstehenden Zusatzkosten zu übernehmen.

Insbesondere übernahm der Bund Kosten, die bei der Konzeption der notwendigen Sicherheitsarchitektur angefallen sind. Alle innerhalb der Pilotprojekte eingesetzten Personalressourcen haben die Pilotkantone selbst finanziert. Mit der Durchführung erster Pilotversuche anlässlich eidgenössischer Volksabstimmungen sind die vertraglich vereinbarten Leistungen durch den Bund und die Pilotkantone per Ende 2005 erfüllt worden.

Aufgrund ihrer unterschiedlichen Voraussetzungen für einen Vote électronique haben die Pilotkantone spezifische Lösungsansätze in den Systembau einfliessen lassen. Die Kantone Genf und Neuenburg konnten beispielsweise für die Erstellung eines ereignisbezogenen kantonalen Stimmregisters auf weitestgehend vernetzte Registerdaten zurückgreifen, während der Kanton Zürich bei der Entwicklung seines Systems eine solche Vernetzung erst vollziehen musste. Im Kanton Neuenburg ist der Vote électronique ferner als Bestandteil eines integralen Verwaltungsportals («Guichet Unique») entwickelt worden, während die Kantone Zürich und Genf direkt zugängliche Plattformen zur Verfügung stellen.

Auch bei der Anzahl der zu entwickelnden Module lassen sich zwischen den Pilotprojekten grössere Unterschiede feststellen. Die Kantone Neuenburg und Genf entwickelten Abstimmungsmodule zur Stimmabgabe über das Internet. Im Kanton Zürich wurden im Rahmen des Pilotprojektes auch die SMS-Technologie berücksichtigt sowie Schnittstellen zum bereits vorhandenen Ausmittlungssystem WABSTI90 geschaffen. Die drei Pilotprojekte unterscheiden sich infolge dieser heterogenen Voraussetzungen daher stark im jeweiligen Aufwand. Sie sind auf der Kostenseite deshalb nur bedingt miteinander vergleichbar.

90

WABSTI: Wahl- und Abstimmungssystem der Kantone Thurgau, St. Gallen, Zürich, Solothurn und Graubünden.

5520

Abbildung 3 Modularer Aufbau eines Vote-électronique-Systems

Mit Abschluss der Entwicklungsphase hat die Bundeskanzlei 2005 die Totalkosten der einzelnen Pilotprojekte (inkl. der vom Bund nicht mitgetragenen Personalaufwände) erhoben. Die eingereichten Kostenaufstellungen je Pilotkanton sind der ergänzenden Dokumentation 3 zu entnehmen. Nachfolgende Tabelle fasst die vom Bund mitgetragenen Projektkosten zusammen:

5521

Tabelle 3 Durch den Bund mitgetragene Projektkosten der Pilotkantone Kanton

Genf

Projektkosten

740 000 Fr.

2 728 800 Fr.

337 122 Fr.

Neuenburg

Zürich

Anmerkungen

Infrastrukturkosten Entwicklungskosten Gutachten

1 498 500 Fr.

Betriebskosten

3 500 000 Fr.

Entwicklung des Guichet Unique inkl. Identifikationsmodul

2 300 000 Fr.

Entwicklung des Vote électronique exkl. Identifikationsmodul

2 652 015 Fr.

Entwicklung des Vote électronique exkl. Projektierungskosten

2 867 586 Fr.

Projektierungskosten

Die Bundeskanzlei hat sich per Ende 2005 im Rahmen ihrer vertraglichen Verpflichtungen mit insgesamt 5,96 Millionen Franken an den Entwicklungskosten und an den mit den Pilotversuchen in direktem Zusammenhang stehenden Ausgaben der kantonalen Pilotprojekte beteiligt: Kanton Genf: Kanton Neuenburg: Kanton Zürich:

Fr. 1 410 000 Fr. 2 227 000 Fr. 2 323 000

Total Beteiligung der Bundeskanzlei

Fr. 5 960 000

Die Bundeskanzlei konnte dabei nicht allen Finanzbegehren seitens der Pilotkantone nachkommen. Sie hat aber sämtliche in den Verträgen und Vereinbarungen vorgesehenen finanziellen Verpflichtungen erfüllt. Die korrekte Finanzierung und Projektführung wurde durch die Finanzkontrolle im Oktober 2005 bestätigt91.

Berücksichtigt man die während der Pilotphase in der Bundeskanzlei entstandenen Personalaufwände und Spesen für Arbeits- und Begleitgruppen von insgesamt 1 135 400 Franken, die an Projekte Dritter (Personenidentifikator, Digitale Identität) geleisteten Zahlungen von insgesamt 277 664 Franken sowie die im Vorfeld der Pilotversuche entstandenen Kosten von 153 005 Franken für Sicherheitsgutachten und die im Rahmen der Begleitforschung durchgeführten Umfragen von 51 502 Franken, so ergibt sich für die Eidgenossenschaft in den Jahren 2001­2005 ein Gesamtaufwand für das Projekt Vote électronique von 7 577 57192 Franken.

91

92

Eidgenössische Finanzkontrolle, E-Government und NOVE-IT in der Bundeskanzlei, Bern, Oktober 2005, www.efk.admin.ch/pdf/5015BE_VE_GV_v02_Version_ Publikation_17112005.pdf.

Die jährlichen Aufwände 2001­2005 betrugen: 2001: 938 742 Fr.; 2002: 1 103 371 Fr.; 2003: 1 042 773 Fr.; 2004: 4 146 695 Fr. und 2005: 345 990 Fr.

5522

5.3.2

Kosten einer Einführung des Vote électronique

In seinem Bericht über den Vote électronique vom 9. Januar 2002 schätzte der Bundesrat die Kosten für eine flächendeckende Einführung der elektronischen Stimmabgabe und eine zehnjährige Betriebsdauer auf 400­620 Millionen Franken93.

Nun, nach erfolgter Entwicklung von Vote-électronique-Systemen in den Kantonen Genf, Zürich und Neuenburg, sind die in den Jahren 2000­2005 angefallenen und aus Bundesmitteln stammenden Projektkosten auszuweisen und die Schätzung von 2002 den gewonnenen Erfahrungswerten gegenüberzustellen.

Beschliesst ein Kanton, ein Vote-électronique-System zu betreiben, hat er mit relativ hohen Investitions- oder Implementationskosten während des Systembaus oder der Systemübernahme sowie mit jährlich wiederkehrenden Kosten für Unterhalt und Weiterentwicklung (inkl. Amortisation) zu rechnen.

Tabelle 4 Errechnete Gesamtkosten der Entwicklung eines umfassenden Vote électronique-Systems inkl. Kosten für 10 Betriebsjahre94 Entwicklungskosten (einmalig)

Fr.

5 763 115

A. Investitionskosten Hardware inkl. Netzwerk Software Systementwicklungskosten

Fr.

Fr.

Fr.

702 492 176 894 1 745 629

B. Projektkosten Projektierungskosten Testkosten Systemabnahme (Homologation)

Fr.

Fr.

Fr.

2 867 586 253 714 16 800

Wiederkehrende Kosten (über 10 Jahre gerechnet) Lizenzen für Datenbanken und Betriebssysteme, HardwareAmortisation und Neuinvestitionen, Housing, SMS-Provider, Verwaltung, Software-Updates, Support, Abgleich der Stimmregister, Layout von Masken, Datenbankadministration

Fr.

4 925 000

Mehraufwand für Urnengänge (über 10 Jahre gerechnet) Installation der technischen Geräte in den Abstimmungslokalen, Papier- und Druckmehrkosten, Personalkosten für Helpdesk, Support, Personalkosten für Kontrolle

Fr.

4 672 000

Gesamtaufwand für die ersten 10 Jahre

Fr. 15 360 115

93 94

BBl 2002 685 f.

Die Kosten einer Einführung werden hier stellvertretend für alle drei Pilotprojekte auf der Basis des Zürcher Projektes berechnet (vgl. für detaillierte Angaben zu den kantonalen Kostenzusammenstellungen die ergänzende Dokumentation 7) . Die Beschränkung auf das Zürcher System lässt sich damit rechtfertigen, dass es sich bei diesem System sowohl um die umfassendste als auch um die kostenintensivste Lösung unter den drei Pilotkantonen handelt.

5523

Die Kosten für die Entwicklung und den Betrieb eines umfassenden Voteélectronique-Systems während 10 Jahren generieren somit errechnete Gesamtkosten in der Höhe von rund 15,36 Millionen Franken. Darin enthalten sind auch sämtliche über die Nutzungsdauer exploratorisch errechneten Personal- und Dienstleistungskosten. Das System ist für mindestens 800 000 Stimmberechtigte ausgelegt.

Auf 10 Jahre Nutzungsdauer berechnet würde ein solches System jährliche Kosten von 1 536 012 Franken verursachen. Dies entspricht einem Betrag von 384 003 Franken pro Urnengang (Annahme: 4 Urnengänge pro Jahr). Je mehr Stimmberechtigte nun den Vote électronique nutzen können, desto wirtschaftlicher präsentieren sich diese Investitions- und Unterhaltskosten: Tabelle 5 Beispiel einer Kostenentwicklung proportional zur Anzahl Stimmberechtigter Bei 50 000 Stimmberechtigten

Fr. 7,68 je Stimme

Bei 100 000 Stimmberechtigten

Fr. 3,84 je Stimme

Bei 250 000 Stimmberechtigten

Fr. 1,54 je Stimme

Bei 500 000 Stimmberechtigten

Fr. 0,77 je Stimme

Bei 800 000 Stimmberechtigten

Fr. 0,48 je Stimme

Allerdings ist hier anzumerken, dass ausser Zürich kein Kanton mit derart günstigen Stückpreisen rechnen kann. Für Kantone mit einer geringeren Anzahl Stimmberechtigter würden die Entwicklung und der Betrieb eines solchen Systems daher wirtschaftlichen Kriterien kaum entsprechen.

Würden alle 26 Schweizer Kantone ohne Know-How-Transfer aus den Pilotkantonen ein eigenes Vote-électronique-System aufbauen und betreuen, wäre mit Gesamtkosten von annähernd 400 Millionen Franken zu rechnen95. Betreiben Kantone hingegen gemeinsam ein oder mehrere Systeme, dann können die Kosten massiv gesenkt werden. Das hier beschriebene System ist für mindestens 800 000 Stimmberechtigte ausgelegt. Würde in der Schweiz ein einziges System betrieben, fallen die Entwicklungskosten von 5,76 Millionen Franken nur einmal an. Die jährlich wiederkehrenden Kosten für Abschreibungen, Unterhalt und fortwährende Neuinvestitionen würden dann je 800 000 stimmberechtigte Personen rund 1 Million Franken betragen. Die Schweiz umfasst mit insgesamt 4,85 Millionen Stimmberechtigten rund das Sechsfache der hier verwendeten Entität. Daraus lassen sich die geschätzten minimalen Kosten einer flächendeckenden Einführung mit 65,76 Millionen Franken beziffern96. Würden hingegen jeweils 4 bis 5 Kantone insgesamt 6 95

96

Würden in der Schweiz 26 allein stehende Systeme wie dasjenige des Kantons Zürich gebaut werden, wäre über 10 Jahre gerechnet von gesamtschweizerischen Investitionsund Betriebskosten von über 399 Millionen Franken auszugehen (26 × 15,36 Mio. Franken). Bereits 2002 schätzte der Bundesrat eine flächendeckende Einführung der elektronischen Stimmabgabe in der Schweiz bei einer zehnjährigen Betriebsdauer auf summarisch 400 bis 620 Millionen Franken (BBl 2002 685 f).

In diesem Betrag enthalten sind einmalige Entwicklungskosten von 5,76 Millionen Franken sowie jährlich wiederkehrende Kosten und jährliche Mehraufwände von insgesamt 1 Million Franken für 800 000 Stimmberechtigte (vgl. Tabelle 4). Wiederkehrende Kosten und Mehraufwände wurden auf die Gesamtzahl schweizerischer Stimmberechtigter (4,85 Mio.) sowie auf eine 10jährige Betriebsdauer hochgerechnet.

5524

solcher Systeme unabhängig voneinander einsetzen, läge der entsprechende Kostenbedarf bei 92,16 Millionen Franken. Bereits geleistete Entwicklungskosten der Pilotkantone und des Bundes wurden bei dieser Berechnung nicht berücksichtigt, da Implementierungskosten in einem ähnlichen Umfang anfallen würden.

Die briefliche Stimmabgabe erfordert über die gleiche Zeitdauer einen geschätzten Gesamtaufwand von rund 252,61 Millionen Franken. Dies geht aus einer Erhebung der Bundeskanzlei bei Kantonen und Gemeinden anlässlich der eidgenössischen Volksabstimmung vom 5. Juni 2005 hervor97.

Im Vergleich zur brieflichen Stimmabgabe kann der Vote électronique somit wesentlich günstiger umgesetzt werden. Dies allerdings nur unter der Voraussetzung, dass mehrere Kantone zusammen ein System betreiben und dabei jene Prozesse, die allen Abstimmungsvarianten gemein sind (wie der Druck der Stimmrechtsausweise, das Erstellen des Stimmregisters, die Stimmrechtskontrolle usw.) in ein integrales Wahl- und Abstimmungssystem überführen.

5.3.3

Einsparungspotenzial

Als Ergänzung der herkömmlichen Stimmabgabe würde die flächendeckende Einführung der elektronischen Stimmabgabe zu weiteren Einsparungen führen. Ein grösseres Einsparungspotenzial ist bei den Personalressourcen (geringere Aufwände bei der Stimmrechtskontrolle, bei der Entgegennahme und Auszählung brieflich abgegebener Stimmen), aber auch bei den Kosten für Rückantwortporti für Briefstimmen auszumachen. Gemäss einer von der Bundeskanzlei bei Kantonen und Gemeinden durchgeführten Umfrage98 vom Juni 2005 dürfte die teilweise Substituierung brieflich abgegebener Stimmen durch elektronische Stimmen zu Einsparungen von rund 1,61 Franken je stimmberechtigte Person führen.

97

98

Bundeskanzlei, Umfrage 2005 bei Kantonen und Gemeinden zur brieflichen Stimmabgabe, Bern 2005 (vgl. ergänzende Dokumentation 8). Die durchschnittlichen Ausgaben für eine brieflich abgegebene Stimme liegen bei Fr. 3.65. In den Kosten einer brieflichen Stimme sind dabei durchschnittliche Fixkosten von Fr. 1.45 für Porti u.a. sowie proportionale Kosten von Fr. 2.20 für das Auszählen der Stimmen u.a. enthalten. Zur Berechnung wurde von vier Urnengängen jährlich ausgegangen. Berechnung mit 4 860 166 Stimmberechtigten (27.11.2005), 44,5 % Stimmbeteiligung (CH: 1996­2005) und einem Anteil von 80 % brieflicher Stimmabgabe.

Ebenda

5525

Tabelle 6 Zu erwartende Minderkosten bei einer Einführung von Vote électronique in der Schweiz In Rappen je elektronisch und nicht brieflich abgegebene Stimme Rappen

Einsparungen bei den Materialkosten Porto für die Rücksendung der brieflichen Stimme (Gesamtschweizerischer Durchschnittswert der staatlich getragenen Portokosten)

40,0

Aufbewahrungskosten der brieflichen Stimmen (Raummiete, Materialkosten)

11,9

Auszählung der brieflichen Stimmen (Raummiete, Materialkosten, ohne Personal)

10,1

Weitere Kosten für briefliche Stimmen

8,1

Total Einsparungen Materialkosten

70,1

Einsparungen Personalaufwände Entgegennahme der Stimmen, Ablage und Stimmrechtskontrolle

24,8

Auszählung der Stimmen (von Hand oder maschinell)

49,1

Weitere Posten

17,3

Total Einsparungen Personalaufwände

91,2

In Kantonen und Gemeinden, wo die Stimmberechtigten die Porti ihrer brieflich abgegebenen Stimmen selbst bezahlen, werden auch diese Kosten bei der Benutzung der elektronischen Stimmabgabe wegfallen.

Bei einem geschätzten Anteil von 8,9 Prozent99 elektronischer Stimmen am gesamtschweizerischen Elektorat entspricht das Einsparungspotenzial über die Dauer von 10 Jahren einem Betrag von 27,86 Millionen Franken.

Insgesamt lassen sich daher die Kosten einer flächendeckenden Einführung des Vote électronique in der Schweiz mit 37,90 bis 64,30 Millionen Franken beziffern ­ eine weit reichende Zusammenarbeit zwischen Kantonen vorausgesetzt100.

99

Ausgehend von einer durchschnittlichen Stimmbeteiligung von 44,5 Prozent (CH: 1996­2005) und von einem durchschnittlichen Anteil entfernt Stimmender an allen Stimmen von 80 %, wovon 25 Prozent ihre Stimme voraussichtlich elektronisch abgeben, und bei 4 Urnengängen jährlich.

100 Die Zahlenwerte ergeben sich aus der Differenz zwischen den Entwicklungs- und Betriebskosten eines einzigen Systems für alle Kantone resp. aus der Entwicklung von sechs entsprechenden Systemen (vgl. Ziff. 5.3.2) und dem für beide Varianten gleich bleibenden Einsparungspotenzial aus Ziffer 5.3.3.

5526

5.3.4

Zwei Varianten der Zusammenarbeit zwischen den Kantonen

Aus wirtschaftlicher Sicht ist der Betrieb von 26 verschiedenen Anlagen in der Schweiz nicht vertretbar.

Hingegen macht ein gemeinsames Vorgehen Sinn: Die in den Pilotkantonen entwickelten Lösungen können, der erforderliche politische Wille vorausgesetzt, von weiteren Kantonen genutzt werden.

Zwei Varianten sind aus politischen wie wirtschaftlichen Überlegungen denkbar101: ­

Einerseits ist hier der Technologie-Transfer von einem Kanton zum anderen zu erwähnen. Die Pilotkantone haben sich in Verträgen mit der Bundeskanzlei zum unentgeltlichen Wissens- und Technologietransfer aller mit finanzieller Unterstützung des Bundes entwickelten Systemkomponenten verpflichtet.

­

Andererseits ist die Möglichkeit gegeben, dass sich Kantone einem bestehenden System anschliessen102.

Zu bedenken gilt es jedoch, dass die Einrichtung gemeinsamer Vote-électroniqueSysteme die heute bestehende kantonale Vielfalt tangieren könnte. Die Schweizer Kantone haben in den vergangenen Jahren beispielsweise benutzerfreundliche und bürgernahe briefliche Stimmverfahren eingerichtet. Diese Vielfalt und Einzigartigkeit müsste bei einer verstärkten Zusammenarbeit im Bereich des Vote électronique teilweise aufgegeben werden. Die Kantone sollten sich daher bewusst sein, welche Elemente ihres kantonalen Abstimmungs- und Wahlsystems sie auf jeden Fall beibehalten möchten und mit welchen anderen kantonalen Systemen sie sich eine Zusammenarbeit vorstellen können. Aufgrund der elektronischen Übertragungswege ist hier weniger die geografische Nähe als vielmehr die Vergleichbarkeit der Systeme zu beurteilen.

5.3.5

Harmonisierung der Stimmregister und Personenidentifikator

Ein bundesweiter Personenidentifikator ist keine Grundvoraussetzung für die erfolgreiche Durchführung elektronischer Abstimmungen und Wahlen in der Schweiz, die Harmonisierung der gemeindeweise geführten Stimmregister auf kantonaler Ebene sowie die Errichtung eines elektronischen Stimmregisters vor jedem Urnengang hingegen schon.

Gleichwohl könnte ein einheitlicher, in der ganzen Schweiz gültiger Identifikator für alle Personenregister eine allfällige Einführung von Vote électronique vereinfachen.

Insbesondere ein effizienteres Meldewesen bei Wohnortwechseln von einem Kanton 101

Der Betrieb eines zentralen Systems für alle Kantone durch den Bund würde zwar technisch eine weitere Möglichkeit darstellen, wäre im föderalistischen System der Schweiz jedoch kaum durchsetzbar und wurde deshalb im vorliegenden Bericht nicht weiter verfolgt.

102 Eine Standardisierung der für den Vote électronique wichtigen Schnittstellen zwischen Einwohnerregistern und Stimmregistern auf kommunaler und kantonaler Ebene sowie der Datenübertragung der Vote-électronique-Module untereinander würde diese Variante zusätzlich begünstigen.

5527

zum anderen könnte künftig unterbinden, dass aufgrund unterschiedlicher Fristen einer Person irrtümlicherweise von beiden Kantonen das Stimmmaterial zugestellt wird.

Der Bundesrat hat am 27. Oktober 2004 das EDI damit beauftragt, Gesetzesgrundlagen zur Harmonisierung der Personenregister sowie zur Einsetzung eines einheitlichen Personenidentifikators für Personenregister auszuarbeiten.

Am 23. November 2005 hat der Bundesrat die erarbeiteten Entwürfe im Rahmen der Botschaft über die Harmonisierung der Personenregister (BBl 2006 427) verabschiedet und gleichzeitig vorgeschlagen, die heute geltenden AHV-Nummern durch neue 13-stellige und nichtsprechende Sozialversicherungsnummern zu ersetzten.

Dieser Nummer sollen verschiedene Funktionen zuteil werden, u.a. der Einsatz als Personenidentifikator in sämtlichen Bevölkerungsregistern. Im Einwohnerregister ist zudem neu das Stimm- und Wahlrecht auszuweisen, wodurch die Generierung von Stimmregistern unterstützt werden kann. Ein Merkmalskatalog zur Führung der Einwohnerregister für Kantone und Gemeinden wurde bereits im September 2005 vom Bundesamt für Statistik publiziert103.

5.4

Schlussfolgerungen und weiteres Vorgehen

Eine schweizweite Umfrage hat ergeben, dass gegen zwei Drittel der Befragten Kenntnisse über das Projekt Vote électronique haben. Über die Hälfte der Befragten gab an, den Vote électronique nutzen zu wollen, wenn er ihnen zur Verfügung stehen würde. Über 90 Prozent der Stimmberechtigten, die effektiv an den Pilotversuchen teilgenommen und den Vote électronique zur Stimmabgabe genutzt haben, möchten den Vote électronique auch in Zukunft nutzen. Gegenüber der in Begleitumfragen regelmässig bestätigten Benutzerfreundlichkeit ist unter den Stimmberechtigten auch eine weit verbreitete Sensibilität gegenüber der Sicherheit des Vote électronique festzustellen.

Im Rahmen der Pilotprojekte zum Vote électronique wurden zahlreiche geeignete Sicherheitsmassnahmen geprüft, mit denen den Risiken eines systematischen Missbrauchs des Vote électronique begegnet werden kann104. Wie bei herkömmlichen Stimmabgaben an der Urne oder brieflich wird es auch beim Vote électronique wohl nie völlig ausgeschlossen sein, dass zufälligerweise oder unrechtmässig einzelne Stimmabgaben gefälscht, manipuliert oder verhindert werden können oder das Stimmverhalten einzelner Personen durch Unberechtigte beobachtet werden kann. In jedem Fall muss aber ausgeschlossen werden können, dass sich solche Unregelmässigkeiten und Missbräuche systematisch ereignen können.

Die getroffenen Sicherheitsmassnahmen ermöglichten die erfolgreiche Abwehr effektiv ausgeführter Angriffe. Externe Fachleute bescheinigten allen drei Projekten eine sehr gute Sicherheitsarchitektur. Die erlangte Sicherheit der zentralen Anlagen (Urne, Abstimmungsserver, Stimmregister) sei mit derjenigen von komplexen 103

BFS, Die Harmonisierung amtlicher Personenregister, kantonale und kommunale Einwohnerregister, Amtlicher Katalog der Merkmale, Neuchâtel 2005, www.bfs.admin.ch/bfs/portal/de/index/infothek/erhebungen__quellen/ statistik_und_register/registerharmonisierung/publikationen.Document.65357.html.

104 Vgl. für eine synoptische Darstellung der im Rahmen der kantonalen Pilotprojekte umgesetzten technischen Sicherheitsmassnahmen die ergänzende Dokumentation 6.

5528

E-Banking-Anlagen Schweizerischer Grossbanken vergleichbar. Gemäss den Projektvorgaben seitens der eidgenössischen Räte waren die Sicherheitsvorkehrungen so zu treffen, dass der Vote électronique mindestens die gleiche hohe Sicherheit erreicht wie die briefliche Stimmabgabe. Die geforderte Richtgrösse wurde sogar übertroffen.

Die für die Pilotprojekte zur Verfügung gestellten finanziellen Mittel wurden seitens der Bundeskanzlei und seitens der Pilotkantone ökonomisch eingesetzt. Alle drei Systeme wurden nachhaltig entwickelt und sind für einen weiterführenden Einsatz gewappnet. Bei einer flächendeckenden Einführung des Vote électronique in der Schweiz ist für eine Zehnjahresperiode insgesamt mit Kosten von 65,76 Millionen Franken bei einem für alle Kantone einheitlichen System, von 92,16 Millionen bei 6 Systemen und von bis zu 400 Millionen Franken bei kantonalen Einzellösungen zu rechnen. Diesen Aufwendungen stehen ­ bei allen Systemen ­ mutmassliche Einsparungen bei der brieflichen Stimmabgabe von 27,86 Millionen Franken gegenüber.

Damit liegen die Nettokosten der gesamtschweizerischen Einführung von Vote électronique mindestens bei 37,90 Millionen und höchstens bei knapp 400 Millionen Franken. Die Kosten würden zum allergrössten Teil bei den Gemeinden und Kantonen anfallen. Im Übrigen sind keine tiefgreifenden volkswirtschaftlichen Auswirkungen zu erwarten. Die Kampagnenführung bei Parteien, Verbänden und Interessengruppen hat sich bereits mit der Einführung der brieflichen Stimmabgabe und damit mit einer verlängerten Abstimmungs- und Wahldauer grundlegend verändert.

Der Vote électronique wird im gleichen Zeitrahmen angeboten werden wie die briefliche Stimmabgabe und führt damit zu keinerlei zusätzlichen Verzerrungen.

Einzig bei der politischen Werbung könnte es aufgrund der durch den Vote électronique gesteigerten Attraktivität des Internet als Kampagnenplattform zu Verlagerungen von Printmedien und Postversänden zu elektronischen Medien und elektronischen Versänden kommen. Die gleiche Entwicklung ist auch ausserhalb der politischen Rechte bereits im Gange.

Die Pilotprojekte haben gezeigt, dass der Vote électronique in der Schweiz machbar ist. Mitinteressierten Kantonen stehen die Pilotsysteme selbst, Teile (Module) davon und das während der Pilotphase erarbeitete Wissen zur Weiterverwendung
grösstenteils unentgeltlich zur Verfügung. Die Pilotkantone und weitere Kantone haben ein grosses Interesse bekundet, die Pilotprojekte schrittweise auf das ganze Kantonsgebiet und auf Wahlen auszuweiten. Hierzu müsste aber der Bund mit der Definition strategischer Leitlinien für das weitere Vorgehen und einer Anpassung der Rechtsgrundlagen Hand bieten.

5.4.1

Vollzug in Etappen

Es erscheint sinnvoll, die in unserem ersten Bericht vom 9. Januar 2002 über einen Vote électronique vorgeschlagene Etappierung105 weiter zu differenzieren. Die erste Etappe kontrollierter Versuche mit dem Vote électronique ist so zu erweitern, dass weitere Erfahrungen gesammelt werden können. Insbesondere sollen die drei Kantone, die den Vote électronique eingeführt und erhebliche Investitionen vorgenommen haben, ihre Pilotprojekte weiterführen können. Weitere interessierte Kantone sollen sich, ohne Mitfinanzierung des Bundes, an den Versuchen beteiligen können.

105

BBl 2002 673

5529

Besonderes Augenmerk ist darauf zu verwenden, dass dabei kein digitaler Graben zwischen urbanen oder grösseren und peripheren oder kleineren Kantonen entsteht.

Da Unregelmässigkeiten beim Vote électronique, ernst zu nehmende Gerüchte über solche Unregelmässigkeiten sowie Missbräuche im Ausland, die das Vertrauen in den Vote électronique erschüttern könnten, die Glaubwürdigkeit eidgenössischer Abstimmungen und Wahlen als Ganzes beeinträchtigen könnten, wird der Bundesrat im Rahmen seiner Bewilligungen darauf achten, dass bei keiner eidgenössischen Volksabstimmung im Verlaufe der nächsten Legislatur mehr als 10 Prozent der eidgenössischen Stimmberechtigten in Versuche mit dem Vote électronique einbezogen werden. Bei obligatorischen Referenden, bei denen auch das Ständemehr entscheidend ist, werden zusätzlich nicht mehr als 20 Prozent der betroffenen kantonalen Elektorate über den Vote électronique abstimmen können.

Der Vote électronique ist ein komplexes System mit zahlreichen Beteiligten auf vielen verschiedenen Ebenen. Das schrittweise Vorgehen ermöglicht, Erfahrungen zu sammeln und in der Weiterentwicklung der elektronischen Stimmabgabe umzusetzen. Der Vote électronique kann nur eingeführt werden, wenn alle Beteiligten ­ Stimmbürgerinnen und Stimmbürger, Politikerinnen und Politiker sowie Behörden ­ sich an die neuen Verfahren und Strukturen gewöhnt haben, diese nachhaltig akzeptieren und ihnen vertrauen. Ein behutsames Vorgehen ist auch angezeigt, damit die Risiken gering gehalten werden können.

Der Bundesrat geht nach wie vor von einer vierstufigen Etappierung106 aus (1. Ermöglichung elektronischer Abstimmungen; 2. Ermöglichung elektronischer Wahlen; 3. Ermöglichung elektronischer Unterzeichnung von Referenden und Initiativen sowie 4. von Wahlvorschlägen für Nationalratswahlen).

5.4.2

Anpassungsbedarf der Gesetzesgrundlagen

Sowohl im BPR als auch in der VPR besteht Anpassungsbedarf im Bereich des Vote électronique.

Auf Gesetzesstufe sollen der heutige Stand der Arbeiten zum Vote électronique berücksichtigt sowie die Möglichkeit der kontrollierten Ausdehnung der Pilotversuche geschaffen werden. Zudem sollen die Grundlagen für eine Stimmregisterharmonisierung als Voraussetzung eines Vote électronique für Auslandschweizer Stimmberechtigte geschaffen werden.

­

106

Ergänzung des BPR um einen Artikel 8a Absatz 1bis: Heute haben die Pilotkantone zu jeder eidgenössischen Volksabstimmung ein Gesuch einzureichen und den Versuch vom Bundesrat genehmigen zu lassen. Neu soll der Bundesrat ermächtigt werden, Kantonen nach länger dauernden erfolgreichen Testreihen (mindestens fünf aufeinander folgende, pannenfreie Versuche eines Kantons bei eidgenössischen Volksabstimmungen) zu gestatten, den Vote électronique zeitlich, sachlich und örtlich begrenzt für eine gewisse Periode bei eidgenössischen Volksabstimmungen einzusetzen. Bedingungen und Dauer der erweiterten Versuche sind vom Bundesrat festzulegen, der auch jederzeit den Vote électronique wieder einschränken oder ausschliessen kann. Diese «Notbremse» ist einem Mechanismus nachgebildet, der bereits Ebenda, S. 673 f.

5530

für die Stimmabgabe durch Stellvertretung bei den Jura- und den Laufentalplebisziten wiederholt benützt worden war (AS 1974 887 und 2215, 1975 1295, 1978 580, 1983 750, 1989 1780 und 1994 2424 Ziff. II).

­

Aufhebung von Artikel 8a Absatz 3: Für die erweiterte Versuchsphase ist die strenge Verpflichtung zur wissenschaftlichen Begleitung nicht mehr nötig und insbesondere aus finanziellen Erwägungen zu streichen. Soweit nötig, kann der Bundesrat im Rahmen seiner Kompetenz zur Regelung der Einzelheiten (Art. 8a Abs. 4 BPR) weitere Daten zur Benützung des Vote électronique erheben und die Versuche wissenschaftlich begleiten lassen.

Eine wissenschaftliche Begleitung des Vote électronique bleibt also auch ohne gesetzliche Verpflichtung weiterhin möglich. Der Bundesrat wird die Bundesversammlung zu gegebener Zeit über die Ergebnisse der erweiterten Versuche orientieren.

­

Ergänzung des Bundesgesetzes über die politischen Rechte der Auslandschweizer (BPRAS, SR 161.5) um einen Artikel 5b (neu): Kantone, in denen Auslandschweizerinnen und Auslandschweizer auf Gemeindeebene kein Stimmrecht haben, legen fest, ob das Stimmregister für Auslandschweizerinnen und Auslandschweizer zentral bei der Kantonsverwaltung oder bei der Verwaltung ihres Hauptortes geführt wird. Die Stimmregister können dezentral geführt werden, sofern sie kantonsweit harmonisiert sind und elektronisch geführt werden oder sofern die Daten regelmässig elektronisch an ein zentral geführtes Stimmregister für Auslandschweizerinnen und Auslandschweizer weitergegeben werden.

Diese Gesetzesänderungen wurden in der Botschaft zur Volksrechtsreform vom 31. Mai 2006 unterbreitet107. Zudem sollen die aus den Pilotprojekten und internationalem Erfahrungsaustausch gewonnenen Erkenntnisse auf Verordnungsstufe eingebracht und allen Kantonen kommuniziert werden.

5.4.3

Gesellschaftspolitische Begleitmassnahmen

Bei einer allfälligen Einführung des Vote électronique in der Schweiz besteht ein zwar kleines, aber doch vorhandenes Risiko, dass sich die unterschiedlich starke Partizipation bei Abstimmungen und Wahlen zwischen den Geschlechtern und Alterskohorten zusätzlich vertiefen könnte.

Der Vote électronique könnte somit den in vielen Lebensbereichen bestehenden digitalen Graben108 im politischen Bereich geringfügig verstärken. Um diesem Risiko entgegenwirken zu können, stehen gemäss einem Bericht der Fachhochschule 107

Botschaft über die Einführung der allgemeinen Volksinitiative und über weitere Änderungen der Bundesgesetzgebung über die politischen Rechte vom 31. Mai 2006 (BBl 2006 5261). Zum Stand der kantonalen Gesetzesgrundlagen für Vote électronique vgl. die ergänzende Dokumentation 2.

108 Zur allgemeinen Problematik des digitalen Grabens vgl. Bundesamt für Berufsbildung und Technologie, Digitale Spaltung in der Schweiz, Bericht zu Handen des Bundesrates, Bern 2004, www.isps.ch/site/attachdb/show.asp?id_attach=943; sowie Vodoz, Luc et al., Ordinateur et précarité au quotidien: les logiques d'intégration provisoire de la formation continue, Rapport final du projet «La fracture numérique: émergence, évolution, enjeux et perspectives» élaboré au sein du Programme national de recherche PNF51 «Intégration et exclusion», Lausanne 2005, http://ceat.epfl.ch/docs/457.pdf.

5531

für Technik, Wirtschaft und Soziale Arbeit, St. Gallen, bei einer allfälligen Einführung des Vote électronique zwei begleitende Massnahmen im Vordergrund109: ­

Usability: Konzipierung und Gestaltung des Vote électronique richten sich nach den Bedürfnissen von Personen mit geringen Computerkenntnissen.

Dies erfordert unter anderem klare Navigationsstrukturen, kurze Navigationswege, eine einfache Sprache und gut leserliche Schriftgrösse und -farbe.

Diese Massnahmen drängen sich auch aus anderen Gründen auf: Das Bundesgesetz vom 13. Dezember 2002 über die Beseitigung von Benachteiligungen von Menschen mit Behinderung (BehiG, SR 151.3) schreibt in Artikel 14 Absatz 2 vor, dass Behörden, welche ihre Dienstleistungen im Internet anbieten, diese auch für Sehbehinderte zugänglich machen müssen.

Die Kantone müssen die Bestimmungen des BehiG bei der Einführung eines Vote électronique umsetzen. Die Zusammenarbeit mit spezialisierten Behindertenorganisationen kann hier sinnvoll sein.

­

Information der Bevölkerung: Sollte der Vote électronique dereinst eingeführt werden, könnten Bund, Kantone und Gemeinden im Rahmen des Staatskundeunterrichts den Vote électronique ihren angehenden Bürgerinnen und Bürgern näher bringen. Informationsanlässe und Kurse für Personen jeden Alters und beiderlei Geschlechts könnten allfällige Negativeffekte des Vote électronique auf bestehenden Über- und Untervertretungen bei der politischen Partizipation zusätzlich verhindern helfen.

5.4.4

Organisation der Folgearbeiten

Bislang erfolgreich eingesetzte elektronische Abstimmungssysteme sollen auch in der kommenden Legislatur unter den in den Ziffern 5.4.1 und 5.4.2 beschriebenen Voraussetzungen weitergeführt werden können. Interessierte Drittkantone sollen sich einem Pilotprojekt anschliessen oder aber eine eigene Entwicklung in Angriff nehmen können. Die Bundeskanzlei begleitet die Projekte nach dem während der Pilotphase bewährten Muster. Dies setzt voraus, dass der Bundesrat die in Artikel 27a ff. VPR erlassenen Anforderungen an Vote-électronique-Systeme fortführt und eine Kompetenzstelle zu deren Überprüfung aufrecht erhält. Eine solche Kompetenzstelle beim Bund wird bei einer gestaffelten Einführung des Vote électronique Aufwände in der Höhe von jährlich ungefähr 350 000 Franken erfordern. In diesen dauernden Kosten enthalten sind Personalkosten für Koordinationsaufgaben und die Begleitung kantonaler Projekte (zwei Stellen für wissenschaftliche Mitarbeiterinnen und Mitarbeiter) sowie Sachkosten für externe technische Sicherheitsüberprüfungen der zum Einsatz vorgeschlagenen Systeme im Umfang von ca. 100 000 Franken jährlich.

109

Vgl. Ingold S., E-Voting: Welche Massnahmen sollen getroffen werden, damit E-Voting auch für Frauen attraktiv ist? Bericht mit Empfehlungen im Auftrag der «Arbeitsgruppe Gender Mainstreaming» des Bundes, Juli 2005 (vgl. ergänzende Dokumentation 11e).

5532

6

Schlussbetrachtung

Zu untersuchen waren mit den Pilotprojekten Machbarkeit, Chancen und Risiken eines Vote électronique. Die Pilotprojekte haben gezeigt, dass der Vote électronique machbar ist. Ebenso hat sich gezeigt, dass laufend wechselnde Risiken unter Kontrolle gebracht und gehalten werden müssen. Kenntnisse und Methoden von Hackern ändern sich. Deshalb können Sicherheitsmassnahmen nicht ein für allemal entwickelt werden. Sie müssen laufend den Risiken angepasst werden.

Bereits in seinem Bericht vom 9. Januar 2002 hatte der Bundesrat für die Realisierung des Vote électronique eine Etappierung vorgeschlagen, die sich an der Komplexität der einzelnen Problemkreise orientiert (BBl 2002 673 ff., 687 f. und 692 f.).

Dieser Ansatz ist heute zu verfeinern. In einem ersten Schritt geht es um die kantonsweise Harmonisierung der Stimmregister nach eidgenössischen Vorgaben, anschliessend um die Realisierung der elektronischen Stimmabgabe bei Volksabstimmungen. Die elektronische Stimmabgabe bei Nationalratswahlen ist erst in einer späteren Etappe anzugehen, das elektronische Unterzeichnen eidgenössischer Volksbegehren (Volksinitiativen und Referenden) sowie von Wahlvorschlägen folgt als komplexester Vorgang erst in der letzten Etappe.

Ziel muss es bleiben, künftigen Generationen die demokratische Teilnahme auch bei veränderten Lebensbedingungen zu ermöglichen, d.h. auf eine Weise zu erhalten, die ihren künftigen Lebensgewohnheiten entspricht. Dieses Ziel muss erreicht werden, ohne dass eidgenössische Urnengänge gefährdet werden. Dabei gilt: Sicherheit geht vor Tempo.

Die erste Etappe ist daher nun in geeignete Sequenzen zu unterteilen. Bei der Strukturierung des Vorhabens spielen das föderalistische Umfeld und der in den einzelnen Sequenzen erzielbare Mehrwert eine entscheidende Rolle.

Am grössten ist der Mehrwert des Vote électronique für die Auslandschweizerinnen und Auslandschweizer. Ein Vote électronique für dieses Segment der Stimmberechtigten setzt voraus, dass das spezifische Stimmregister für Auslandschweizerinnen und Auslandschweizer je kantonsweit harmonisiert ist. Nur so lassen sich die Infrastruktur und das hochtechnische Spezialwissen zu jener kritischen Masse akkumulieren, die den Vote électronique Auslandschweizerinnen und -schweizern zu vertretbarem Preis anbieten lassen. Mit Botschaft vom 31. Mai 2006
schlägt der Bundesrat daher vor, dass jene Kantone, die Auslandschweizerinnen und -schweizern kein kommunales Stimmrecht einräumen, das Auslandschweizerstimmregister nach eigener Wahl bei der Kantonsverwaltung oder beim Hauptort des Kantons konzentrieren. Ressourcen und Infrastruktur für ein funktionstüchtiges Angebot an alle interessierten stimmberechtigten Auslandschweizerinnen und Auslandschweizer werden von gut zwei Dutzend Zentren leichter bereit zu stellen sein als von über 2800 zumeist bevölkerungsarmen Gemeinden. Eine Zentralisierung auf Bundesebene hingegen brächte nur Effizienzeinbussen und Verzögerungen, weil bei zwei Dritteln aller Volksabstimmungen das Ständemehr (Art. 142 Abs. 2 und 3 BV) und bei Nationalratswahlen die Wahlkreise (Art. 149 Abs. 3 BV) ohnehin kantonsweise getrennte Resultatermittlungen der Urnengänge erfordern.

Anlass besteht weder für einen Verzicht auf die Weiterführung der erfolgreich angelaufenen Pilotversuche zum Vote électronique noch zu deren überhastetem Ausbau. Ungenutzt müssten Technologie und erworbenes Wissen rasch veralten und angesichts der rasanten Entwicklung wertlos werden. Es ist nicht zu verantworten, 5533

Steuergelder für die Entwicklung von Systemen zur Evaluation der Machbarkeit aufzuwenden, diese nach erfolgreichen Versuchen brachzulegen und später verspieltes Wissen ein zweites Mal zu erarbeiten oder aus dem Ausland einzukaufen. Die langfristige Zielsetzung der Erleichterung der Stimmabgabe und die von unten her organisch gewachsenen politischen Rechte im föderalistischen Staatsaufbau der Schweiz geben auch Mass für die weitere Entwicklung des Vote électronique.

Die erfolgreich angelaufenen Versuche sollen nach Bewilligung des Bundesrates weitergeführt werden können. Neu soll der Bundesrat ermächtigt werden, Kantonen nach länger dauernden erfolgreichen Versuchsreihen (mindestens 5 aufeinander folgende, pannenfreie Versuche eines Kantons bei eidgenössischen Volksabstimmungen) zu gestatten, den Vote électronique für eine gewisse Periode bei eidgenössischen Volksabstimmungen einzusetzen. Bedingungen und Dauer der erweiterten Versuche sind vom Bundesrat festzulegen, der auch jederzeit den Vote électronique wieder einschränken oder ausschliessen kann. Der Bundesrat wird im Rahmen seiner Bewilligungen darauf achten, dass bei keiner eidgenössischen Volksabstimmung im Verlaufe der nächsten Legislatur mehr als 10 Prozent der eidgenössischen Stimmberechtigten in Versuche mit dem Vote électronique einbezogen werden. Bei obligatorischen Referenden, bei denen auch das Ständemehr entscheidend ist, werden zusätzlich nicht mehr als 20 % der betroffenen kantonalen Elektorate zum Vote électronique zugelassen. Der Bundesrat kann die elektronische Stimmabgabe in Abwägung der gesamten Umstände jederzeit weiterführend örtlich, sachlich oder zeitlich einschränken, mit Bedingungen versehen oder ausschliessen.

Ein solches Szenario enthält das Potenzial zu einer organischen Weiterentwicklung.

Weitere interessierte Kantone können sich einem der bereits entwickelten Systeme anschliessen oder Elemente verschiedener erfolgreich entwickelter Systeme geeignet kombinieren. Aufgrund der Vereinbarungen mit dem Bund geben die Pilotkantone ihr mit finanzieller Unterstützung des Bundes entwickeltes Wissen diesen interessierten Kantonen nichtkommerziell weiter. Neu interessierte Kantone erhalten keine Bundesgelder mehr für Vote électronique. Sie führen zunächst ebenfalls Versuchsreihen durch; für Bundesabstimmungen benötigen sie
die Genehmigung des Bundesrates, und zwar zu den gleichen Bedingungen wie bisher die Pilotkantone110.

Dieses Vorgehen orientiert sich an früheren Erfahrungen mit der Entwicklung anderer Stimmrechtserleichterungen (vorzeitige Stimmabgabe, Wanderurne, Stimmabgabe durch Stellvertretung und briefliche Stimmabgabe), die ebenfalls in den Kantonen, in Etappen und organisch gewachsen sind. Es hat den Vorteil, dass jeder Kanton im Einklang mit seinen gewachsenen Strukturen und Gewohnheiten den Vote électronique an den Bedürfnissen seiner Bevölkerung orientiert entwickeln kann. Wie die Erfahrungen mit den anderen Formen erleichterter Stimmabgabe lehren, muss sich die Stimmerleichterung am Markt selber durchsetzen, und dieser Markt muss sich keineswegs in allen Kantonen gleich rasch und gleich effizient entwickeln.

Dieses föderalistische und bedächtige Vorgehen verspricht auch in anderer Hinsicht, Kosten sparend zu sein: Erfahrungsgemäss ist die EDV-Infrastruktur alle vier bis sechs Jahre zu ersetzen. Die Einführung des Vote électronique in einem Kanton oder in manchen Gemeinden erfordert bei diesem Vorgehen kein flächendeckendes, 110

Vgl. Kreisschreiben des Bundesrates vom 20. September 2002 an die Kantonsregierungen zur Teilrevision der Verordnung über die politischen Rechte [Genehmigungsvoraussetzungen für kantonale Pilotversuche mit Vote électronique], BBl 2002 6603.

5534

gesondertes oder ausserplanmässiges Auswechseln der Infrastruktur vor der Amortisation der bestehenden Anlagen.

Im gleichen Sinne ist die Pflicht zur wissenschaftlichen Begleitung der Pilotversuche mit dem Vote électronique zu streichen. Wo sinnvoll und mit vernünftigem Aufwand machbar, kann der Bundesrat solche Erhebungen auch in Zukunft anordnen; aber er soll dazu nicht mehr unabhängig von der Höhe der Kosten verpflichtet sein.

Will ein Kanton den Vote électronique hingegen bei Bundesurnengängen über Volksinitiativen mit Gegenentwurf oder bei Nationalratswahlen einsetzen, so bedarf er dafür zuerst wieder der entsprechenden Testläufe sowie einer bundesrätlichen Genehmigung. Dabei gelten die gleichen Regeln wie vordem für die ersten Voteélectronique-Versuche bei eidgenössischen Volksabstimmungen.

5535

Technisches Glossar Authentizität

= Eigenschaft einer konkret vorliegenden Person, einer Nachricht oder eines Prozesses, auf überprüfbare Weise mit einer aus andern Quellen bekannten Person, Nachricht oder einem Prozess identisch zu sein.

Code-Voting

= Die Stimmmerkmale werden auf dem Übertragungsweg nicht mit «Ja», «Nein», «Leer» sondern mit einem alphanumerischen Code (bspw. «Az7k9» für «Ja») angegeben.

Code-Voting ist in zwei Varianten denkbar: Der Stimmberechtigte gibt den Code direkt in dazu vorgesehene Felder ein, oder aber ein solcher Code wird automatisch vom System im Hintergrund erzeugt.

ChallengeResponseVerfahren

= Verfahren zur Authentifikation. Das Zielsystem gibt eine zufällig generierte Parole (Challenge) aus. Der Nutzer, der sich gegenüber dem Zielsystem authentisieren möchte, antwortet mit einem passenden Gegenstück (Response).

Das Verfahren ist der Verwendung herkömmlicher Passwörter weit überlegen.

Denial of Service (DOS)

= Gezieltes Blockieren eines Servers durch Unmengen widersinniger Abfragen.

Domain Name Server (DNS)

= Ein Server, welcher Textadressen in numerische Adressen (IP-Adressen) umwandelt (z.B. www.beispiel.biz = 130.92.63.17)

Fingerprint

= Prüfsumme von Zertifikaten. Jedes Zertifikat verfügt über einen eindeutigen Fingerprint, so dass mittels Überprüfung desselben einfach festgestellt werden kann, ob man mit dem gewünschten Server verbunden ist.

Firewall

= Englisch für «Feuerschutzwand»: Hard- oder Software, die den Datenfluss zwischen zwei oder mehr Netzen kontrolliert und gegen unberechtigte Zugriffe schützt.

Hacker

= Der Hacker dringt in fremde Computer ein, um Daten auszuspähen. Oft werden die Begriffe «Hacker» und «Cracker» fälschlicherweise synonym verwendet. Der Unterschied liegt in der kriminellen Energie: Hacker werden eher von «sportlichem Ehrgeiz» getrieben und hinterlassen kein dauerhaften Schäden. Cracker dagegen haben zum Ziel, Daten nicht nur auszuspähen sondern diese zu verfälschen, zu stehlen oder zu löschen oder unbrauchbar zu machen.

Log-Datei

= Datei, mit der zum Beispiel die Nutzung eines OnlineAngebotes protokolliert wird. Log-Dateien sind so Basis zur Bewertung von Effizienz und Nutzerverhalten eines Online-Auftritts.

5536

Man-in-the-middle- = Alice will Bob eine Mitteilung per E-Mail senden. WähAngriff rend der Übermittlung fängt Carl die Nachricht ab. Er kann die Nachricht beispielsweise verändern und an Bob weiter senden. Dieser merkt von der Veränderung nichts, wenn die Mitteilung nicht verschlüsselt war.

Open-SourceMethode

= Methode, bei der der Quelltext einer Software offen gelegt ist.

Provider

= Firmen und Organisationen, die ­ über einen eigenen Server ­ internetspezifische Dienste anbieten, wie zum Beispiel Zugang zum Internet, Gesamtkonzeptionen für Internet-Auftritte, Speicherplatz für Webseiten usw.

Redundanz

= Vorhandensein funktional gleicher oder vergleichbarer Systeme. Durch den redundanten Aufbau von Computersystemen wird die Ausfall- und Betriebssicherheit massiv erhöht.

Spoofing

= «manipulieren» oder «verschleiern». Hacker fälschen eine Adresse im Internet, um bspw. Daten zu einem falschen Rechner zu lotsen. Der externe Datenaustausch könnte so mitgelesen werden. Abhilfe schaffen können Verschlüsselungsprotokolle.

Secure Socket Layer (SSL)

= Zertifizierte Internetseiten. Die Eingaben auf solchen Seiten werden verschlüsselt und können nur durch den berechtigten Empfänger entschlüsselt werden. Dieses Verfahren gilt heute als Standard und wird beispielsweise im E-Banking eingesetzt.

Trojanische Pferde

= Ein selbständiges Programm mit einer verdeckten Schadensfunktion. Im Betriebssystem eines Computers kann es sich häufig unbemerkt entfalten, anderen durch eine Hintertür Zugang zu persönlichen Daten verschaffen, wichtige Daten zerstören oder Passwörter ausspionieren.

Usability

= Benutzerfreundlichkeit

Grundlage für Begriffsdefinitionen Wikipedia, die freie Enzyklopädie, online abrufbar unter www.wikipedia.org/.

5537

Ergänzende Dokumentation Zu folgenden Themen sind ergänzende und weiterführende Informationen in einer separaten Dokumentation elektronisch veröffentlicht: 1. Bibliografie und weiterführende Literatur 2. Rechtliche Grundlagen für den Vote électronique in den Kantonen 3. Rechtliche Grundlagen für die Stimmregisterführung in den Kantonen 4. Synoptische Darstellung der Pilotversuche in den Jahren 2003­2006 5. Beurteilung der kantonalen Systeme anhand der in Artikel 27a­q VPR festgelegten gesetzlichen Mindestanforderungen an Pilotprojekte mit Vote électronique 6. Synoptische Darstellung der im Rahmen der kantonalen Pilotprojekte umgesetzten technischen Sicherheitsmassnahmen 7. Kostenzusammenstellung der kantonalen Pilotprojekte 8. Umfrage 2005 bei Kantonen und Gemeinden zur brieflichen Stimmabgabe, Bern 2005 9. Vote électronique und briefliche Stimmabgabe. Sicherheitsprobleme und Massnahmen 10. Synoptische Darstellung von Pilotversuchen mit der elektronischen Stimmabgabe im Ausland 11. Externe Studien (Begleitforschung) a. Forschungsinstitut gfs.bern, Das Potenzial der elektronischen Stimmabgabe, Studie verfasst im Auftrag der Bundeskanzlei, Bern 2005 b. Centre d'études et de documentation sur la démocratie directe de l'Université de Genève, Analyse du scrutin du 26 septembre 2004 dans quatre communes genevoises (Anières, Carouge, Cologny et Meyrin), Juillet 2005 c. Canton de Neuchâtel, Enquête de satisfaction, scrutin du 25 septembre 2005, novembre 2005 d. Centre d'études et de documentation sur la démocratie directe de l'Université de Genève, Umfrage bei Stimmberechtigten der Zürcher Gemeinden Bertschikon, Bülach und Schlieren anlässlich des Pilotversuchs zum Vote électronique vom 27. November 2005, Genf, Florenz, März 2006 e. Ingold S., E-Voting: Welche Massnahmen sollen getroffen werden, damit E-Voting auch für Frauen attraktiv ist? Bericht mit Empfehlungen im Auftrag der «Arbeitsgruppe Gender Mainstreaming» des Bundes, Juli 2005 Diese Dokumentation oder Teile davon können bei der Sektion Politische Rechte der Bundeskanzlei angefordert werden oder über das Internet unter der Adresse www.admin.ch (Rubrik «Bundeskanzlei/Sektion Politische Rechte/Vote électronique») eingesehen und heruntergeladen werden.

5538