Verordnung der BK
über die elektronische Stimmabgabe
(VEleS)

¹ Die­se Ver­ord­nung legt die Vor­aus­set­zun­gen für die Zu­las­sung der elek­tro­ni­schen Stimm­ab­ga­be fest.

² Es gel­ten die Be­grif­fe nach An­hang Zif­fer 1.3.

Die Zu­las­sung der elek­tro­ni­schen Stimm­ab­ga­be pro Ur­nen­gang wird er­teilt, wenn fol­gen­de Vor­aus­set­zun­gen er­füllt sind:

a.

Das Sys­tem für die elek­tro­ni­sche Stimm­ab­ga­be (Sys­tem) ist so aus­ge­stal­tet und wird so be­trie­ben, dass ei­ne si­che­re und ver­trau­ens­wür­di­ge Stim­mab­ga­be ge­währ­leis­tet ist (An­hang Ziff. 2 und 3).

b.

Das Sys­tem ist für die Stimm­be­rech­tig­ten ein­fach zu hand­ha­ben. Die be­son­de­ren Be­dürf­nis­se mög­lichst al­ler Stimm­be­rech­tig­ten sind be­rück­sich­tigt.

c.

Das Sys­tem und die be­trieb­li­chen Ab­läu­fe sind so weit do­ku­men­tiert, dass sämt­li­che si­cher­heits­re­le­van­ten tech­ni­schen und or­ga­ni­sa­to­ri­schen Ab­läu­fe im De­tail nach­voll­zo­gen wer­den kön­nen.

¹ Mit ei­ner Ri­si­ko­be­ur­tei­lung muss der Kan­ton aus­führ­lich und ver­ständ­lich do­ku­men­tie­ren, dass sich jeg­li­che Si­cher­heits­ri­si­ken in ei­nem aus­rei­chend tie­fen Rah­men be­we­gen. Die Be­ur­tei­lung be­zieht sich auf fol­gen­de Si­cher­heits­zie­le:

a.

Kor­rekt­heit des Er­geb­nis­ses;

b.

Schutz des Stimm­ge­heim­nis­ses und Aus­schluss vor­zei­ti­ger Teil­er­geb­nis­se;

c.

Ver­füg­bar­keit der Funk­tio­na­li­tät;

d.

Schutz der per­sön­li­chen In­for­ma­tio­nen über die Stimm­be­rech­tig­ten;

e.

Schutz der In­for­ma­tio­nen für die Stimm­be­rech­tig­ten vor Ma­ni­pu­la­tio­nen;

f.

Aus­schluss von Be­wei­sen zum Stimm­ver­hal­ten.

² Je­des Ri­si­ko muss mit Be­zug auf die Si­cher­heits­zie­le, all­fäl­li­ge mit ih­nen ver­bun­de­ne Da­ten­sät­ze, Be­dro­hun­gen, Schwach­stel­len und die Do­ku­men­ta­ti­on zum Sys­tem und zu des­sen Be­trieb iden­ti­fi­ziert und klar be­schrie­ben wer­den. Der Kan­ton muss auf die­ser Grund­la­ge be­grün­den, wes­halb er die Ri­si­ken als hin­rei­chend ge­ring ein­schätzt.

³ Die Mi­ni­mie­rung von Ri­si­ken darf sich nicht dar­auf ab­stüt­zen, si­cher­heits­re­le­van­te In­for­ma­tio­nen zum Sys­tem und des­sen Be­trieb ge­heim zu hal­ten.

¹ Soll ein Sys­tem für den Ein­be­zug von mehr als 30 Pro­zent des kan­to­na­len Elek­to­rats zu­ge­las­sen wer­den, so müs­sen die Stim­men­den die Mög­lich­keit ha­ben, zu er­ken­nen, ob ih­re Stim­me auf der Be­nut­zer­platt­form oder auf dem Über­tra­gungs­weg ma­ni­pu­liert oder ab­ge­fan­gen wor­den ist (in­di­vi­du­el­le Ve­ri­fi­zier­bar­keit, An­hang Ziff. 4.1 und 4.2).

² Zur in­di­vi­du­el­len Ve­ri­fi­zie­rung muss die stim­men­de Per­son einen Be­weis er­hal­ten, dass das ser­ver­sei­ti­ge Sys­tem die Stim­me so, wie sie die stim­men­de Per­son in die Be­nut­zer­platt­form ein­ge­ge­ben hat, als sys­tem­kon­form ab­ge­ge­ben re­gis­triert hat. Der Be­weis muss für je­de Teil­stim­me die kor­rek­te Re­gis­trie­rung be­stä­ti­gen.

³ Wird das cli­ent­sei­ti­ge Au­then­ti­sie­rungs­merk­mal elek­tro­nisch zu­ge­stellt, so müs­sen die Stimm­be­rech­tig­ten, die ih­re Stim­me nicht elek­tro­nisch ab­ge­ge­ben ha­ben, nach der Schlies­sung des elek­tro­ni­schen Stimm­ka­nals in­nert der ge­setz­li­chen Be­schwer­de­fris­ten einen Be­weis an­for­dern kön­nen, dass das Sys­tem kei­ne Stim­me re­gis­triert hat, die un­ter Ver­wen­dung ih­res cli­ent­sei­ti­gen Au­then­ti­sie­rungs­merk­mals ab­ge­ge­ben wur­de.

⁴ Die Stich­hal­tig­keit ei­nes Be­wei­ses darf nicht von der Ver­trau­ens­wür­dig­keit der Be­nut­zer­platt­form oder des Über­tra­gungs­wegs ab­hän­gen.

⁵ Sie darf auf fol­gen­den Ele­men­ten ba­sie­ren:

a.

Ver­trau­ens­wür­dig­keit des ser­ver­sei­ti­gen Sys­tems;

b.

Ver­trau­ens­wür­dig­keit der be­son­de­ren tech­ni­schen Hilfs­mit­tel der Stim­men­den; die­se müs­sen be­son­ders ho­he Si­cher­heits­an­for­de­run­gen er­fül­len;

c.

Ver­trau­lich­keit von in Pa­pier­form zu­ge­stell­ten Da­ten; die Ver­trau­lich­keit die­ser Da­ten muss aus­ser­halb der In­fra­struk­tur durch be­son­de­re Mass­nah­men si­cher­ge­stellt sein.

¹ Soll ein Sys­tem für den Ein­be­zug von mehr als 50 Pro­zent des kan­to­na­len Elek­to­rats zu­ge­las­sen wer­den, so muss si­cher­ge­stellt sein, dass Stim­men­de oder die Prü­fe­rin­nen und Prü­fer un­ter Ein­hal­tung des Stimm­ge­heim­nis­ses die Mög­lich­keit ha­ben, je­de Ma­ni­pu­la­ti­on zu er­ken­nen, die zu ei­ner Ver­fäl­schung des Er­geb­nis­ses führt (voll­stän­di­ge Ve­ri­fi­zier­bar­keit, An­hang Ziff. 4.3 und 4.4).

² Die voll­stän­di­ge Ve­ri­fi­zier­bar­keit ist ge­ge­ben, wenn er­wei­ter­te An­for­de­run­gen an die in­di­vi­du­el­le Ve­ri­fi­zier­bar­keit (Abs. 3) und An­for­de­run­gen an die uni­ver­sel­le Ve­ri­fi­zier­bar­keit (Abs. 4‒6) er­füllt sind.

³ Zur in­di­vi­du­el­len Ve­ri­fi­zie­rung sind zu­sätz­lich zu Ar­ti­kel 4 die fol­gen­den An­for­de­run­gen zu er­fül­len:

a.

Der Be­weis muss den Stim­men­den zu­sätz­lich zur Be­stä­ti­gung die­nen, dass die für die uni­ver­sel­le Ve­ri­fi­zie­rung re­le­van­ten Da­ten den ver­trau­ens­wür­di­gen Sys­tem­teil (Abs. 6) er­reicht ha­ben.

b.

Die stim­men­de Per­son muss nach der Schlies­sung des elek­tro­ni­schen Stimm­ka­nals einen Be­weis an­for­dern kön­nen, dass der ver­trau­ens­wür­di­ge Sys­tem­teil nicht be­reits ei­ne Stim­me re­gis­triert hat, die un­ter Ver­wen­dung ih­res cli­ent­sei­ti­gen Au­then­ti­sie­rungs­merk­mals ab­ge­ge­ben wur­de.

c.

Die Stich­hal­tig­keit ei­nes Be­wei­ses darf nicht von der Ver­trau­ens­wür­dig­keit des ge­sam­ten ser­ver­sei­ti­gen Sys­tems ab­hän­gen. Sie darf je­doch auf der Ver­trau­ens­wür­dig­keit des ver­trau­ens­wür­di­gen Sys­tem­teils ba­sie­ren.

⁴ Zur uni­ver­sel­len Ve­ri­fi­zie­rung er­hal­ten die Prü­fe­rin­nen und Prü­fer einen Be­weis der kor­rek­ten Er­geb­ni­ser­mitt­lung. Sie müs­sen den Be­weis in ei­nem be­ob­acht­ba­ren Pro­zess aus­wer­ten. Da­zu müs­sen sie tech­ni­sche Hilfs­mit­tel ver­wen­den, die vom Rest des Sys­tems un­ab­hän­gig und iso­liert sind. Der Be­weis muss be­stä­ti­gen, dass das er­mit­tel­te Er­geb­nis:

a.

al­le sys­tem­kon­form ab­ge­ge­be­nen Stim­men, die durch den ver­trau­ens­wür­di­gen Sys­tem­teil re­gis­triert wur­den, be­rück­sich­tigt;

b.

aus­sch­liess­lich sys­tem­kon­form ab­ge­ge­be­ne Stim­men be­rück­sich­tigt;

c.

al­le Teil­stim­men ge­mä­ss des im Rah­men der in­di­vi­du­el­len Ve­ri­fi­zie­rung ge­ne­rier­ten Be­wei­ses be­rück­sich­tigt.

⁵ Die Stich­hal­tig­keit des Be­wei­ses darf nur von der Ver­trau­ens­wür­dig­keit des ver­trau­ens­wür­di­gen Sys­tem­teils und des zur Über­prü­fung ein­ge­setz­ten tech­ni­schen Hilfs­mit­tels ab­hän­gen. Gleich­zei­tig dür­fen die Ge­währ­leis­tung des Stimm­ge­heim­nis­ses und der Aus­schluss vor­zei­ti­ger Teil­er­geb­nis­se in­ner­halb der In­fra­struk­tur nur von der Ver­trau­ens­wür­dig­keit des ver­trau­ens­wür­di­gen Sys­tem­teils ab­hän­gen.

⁶ Der ver­trau­ens­wür­di­ge Sys­tem­teil um­fasst ent­we­der ei­ne oder we­ni­ge Grup­pen von durch be­son­de­re Mass­nah­men ge­si­cher­ten, un­ab­hän­gi­gen Kom­po­nen­ten (Kon­troll­kom­po­nen­ten). Ihr Ein­satz muss auch dann je­den Miss­brauch er­kenn­bar ma­chen, wenn pro Grup­pe nur ei­ne der Kon­troll­kom­po­nen­ten kor­rekt funk­tio­niert und ins­be­son­de­re nicht un­be­merkt ma­ni­pu­liert wird. Für die Ver­trau­ens­wür­dig­keit des ver­trau­ens­wür­di­gen Sys­tem­teils ist die un­ter­schied­li­che Aus­ge­stal­tung der Kon­troll­kom­po­nen­ten so­wie die Un­ab­hän­gig­keit von de­ren Be­trieb und de­ren Über­wa­chung mass­ge­bend.

Falls die Ri­si­ken trotz der er­grif­fe­nen Mass­nah­men nicht hin­rei­chend klein sind, so müs­sen zur Ri­si­komi­ni­mie­rung zu­sätz­li­che Mass­nah­men er­grif­fen wer­den. Dies gilt ins­be­son­de­re auch dann, wenn sämt­li­che An­for­de­run­gen nach An­hang Zif­fer 2–4 be­reits um­ge­setzt sind.

¹ Die Kan­to­ne sor­gen da­für, dass die Er­fül­lung der Vor­aus­set­zun­gen von un­ab­hän­gi­gen Stel­len über­prüft wird. Die Über­prü­fung fin­det ins­be­son­de­re statt, wenn das Sys­tem oder sein Be­trieb so ge­än­dert wor­den sind, dass die Er­fül­lung der Vor­aus­set­zun­gen für die Zu­las­sung in Fra­ge ge­stellt sein könn­te.

² Falls mehr als 30 Pro­zent des kan­to­na­len Elek­to­rats zu ei­nem Ver­such zu­ge­las­sen wer­den soll (Art. 4 und 5), so müs­sen das Sys­tem und sein Be­trieb hin­sicht­lich fol­gen­der Kri­te­ri­en be­son­ders ein­ge­hend ge­prüft wer­den:

a.

kryp­to­gra­fi­sches Pro­to­koll (An­hang Ziff. 5.1);

b.

Funk­tio­na­li­tät (An­hang Ziff. 5.2);

c.

Si­cher­heit von In­fra­struk­tur und Be­trieb (An­hang Ziff. 5.3);

d.

Schutz ge­gen Ver­su­che, in die In­fra­struk­tur ein­zu­drin­gen (An­hang Ziff. 5.5);

e.

An­for­de­run­gen an Dru­cke­rei­en (An­hang Ziff. 5.6);

f.²

bei Ver­wen­dung ei­nes Sys­tems mit der Ei­gen­schaft der voll­stän­di­gen Ve­ri­fi­zier­bar­keit nach Ar­ti­kel 5: Kon­troll­kom­po­nen­ten (An­hang Ziff. 5.4).

³ Falls höchs­tens 30 Pro­zent des kan­to­na­len Elek­trorats zu ei­nem Ver­such zu­ge­las­sen wer­den soll und das Sys­tem die Ei­gen­schaft der voll­stän­di­gen Ve­ri­fi­zier­bar­keit nach Ar­ti­kel 5 auf­weist, so müs­sen das Sys­tem und sein Be­trieb hin­sicht­lich fol­gen­der Kri­te­ri­en be­son­ders ein­ge­hend ge­prüft wer­den:

a.

kryp­to­gra­fi­sches Pro­to­koll (An­hang Ziff. 5.1);

b.

Funk­tio­na­li­tät (An­hang Ziff. 5.2), wo­bei die Über­prü­fung die Soft­wa­re von Be­hör­den­por­ta­len, die mit ei­nem Sys­tem ver­bun­den sind, aus­sch­lies­sen darf;

c.

Si­cher­heit von In­fra­struk­tur und Be­trieb (An­hang Ziff. 5.3), wo­bei sich die Über­prü­fung auf die­je­ni­ge In­fra­struk­tur be­schrän­ken darf, die die Stim­me re­gis­triert und den Be­weis zu Han­den der Stim­men­den ge­mä­ss Ar­ti­kel 4 Ab­satz 2 er­stellt;

d.

Schutz ge­gen Ver­su­che, in die In­fra­struk­tur ein­zu­drin­gen (An­hang Ziff. 5.5);

e.

Kon­troll­kom­po­nen­ten (An­hang Ziff. 5.4).³

¹ Der Quell­co­de der Soft­wa­re des Sys­tems muss of­fen­ge­legt wer­den.

² Die Of­fen­le­gung fin­det statt, wenn das Sys­tem die Ei­gen­schaft der voll­stän­di­gen Ve­ri­fi­zier­bar­keit nach Ar­ti­kel 5 auf­weist, und:

a.

nach der Über­prü­fung nach Ar­ti­kel 7 Ab­satz 2, falls mehr als 30 Pro­zent des kan­to­na­len Elek­to­rats zu ei­nem Ver­such zu­ge­las­sen wer­den soll;

b.

nach der Über­prü­fung nach Ar­ti­kel 7 Ab­satz 3, falls höchs­tens 30 Pro­zent des kan­to­na­len Elek­to­rats zu ei­nem Ver­such zu­ge­las­sen wer­den soll.

³ Nicht of­fen­ge­legt wer­den muss der Quell­co­de von:

a.

Dritt­kom­po­nen­ten wie Be­triebs­sys­te­men, Da­ten­ban­ken, Web- und Ap­pli­ka­ti­ons­ser­vern, Rech­te­ver­wal­tungs­sys­te­men, Fi­re­walls oder Rou­tern, so­fern die­se weit ver­brei­tet sind und lau­fend ak­tua­li­siert wer­den;

b.

Be­hör­den­por­ta­len, die mit ei­nem Sys­tem ver­bun­den sind.

¹ Der Quell­co­de muss nach bes­ten Prak­ti­ken auf­be­rei­tet und do­ku­men­tiert wer­den.

² Er muss ein­fach und un­ent­gelt­lich über das In­ter­net be­zieh­bar sein.

³ Ei­ne Do­ku­men­ta­ti­on zum Sys­tem und zu des­sen Be­trieb muss die Re­le­vanz der ein­zel­nen Tei­le des Quell­co­des für die Si­cher­heit der elek­tro­ni­schen Stimm­ab­ga­be er­klä­ren. Sie ist zu­sam­men mit dem Quell­co­de of­fen­zu­le­gen.

⁴ Je­der und je­de darf den Quell­co­de zu ide­el­len Zwe­cken un­ter­su­chen, ver­än­dern, kom­pi­lie­ren und aus­füh­ren so­wie da­zu Stu­di­en ver­fas­sen und die­se pu­bli­zie­ren. Der Eig­ner des Quell­co­des kann des­sen Nut­zung zu an­de­ren Zwe­cken er­lau­ben.

¹ Den nach den Ar­ti­keln 27c und 27e Ab­satz 1 VPR ein­ge­reich­ten Ge­su­chen sind bei­zu­le­gen:

a.

Be­le­ge oder Zer­ti­fi­ka­te, dass das Sys­tem und des­sen Be­trieb hin­sicht­lich der ge­stell­ten An­for­de­run­gen ge­prüft wor­den sind und sämt­li­che An­for­de­run­gen wirk­sam er­fül­len (An­hang Ziff. 6.1–6.3);

b.

Be­le­ge, dass die Be­ur­tei­lung der Ri­si­ken im Vor­feld ei­nes Ur­nen­gangs vor­ge­nom­men wur­de; aus die­sen muss her­vor­ge­hen, wes­halb sich die ein­ge­schätz­ten Ri­si­ken in ei­nem aus­rei­chend tie­fen Rah­men be­we­gen (An­hang Ziff. 6.4).

² Auf Be­le­ge, die die Bun­des­kanz­lei be­reits er­hal­ten hat und die noch gül­tig sind, kann ver­wie­sen wer­den.

¹ Die de­tail­lier­ten tech­ni­schen und ad­mi­nis­tra­ti­ven An­for­de­run­gen an die elek­tro­ni­sche Stimm­ab­ga­be sind im An­hang ge­re­gelt.

² Bis zum 30. Ju­ni 2015 kann ein Kan­ton in Aus­nah­me­fäl­len von der Um­set­zung ein­zel­ner An­for­de­run­gen aus An­hang Zif­fer 2 und 3 be­freit wer­den, so­fern:

a.

nicht mehr als 30 Pro­zent des kan­to­na­len Elek­to­rats zu­ge­las­sen wer­den sol­len;

b.

die nicht um­ge­setz­ten An­for­de­run­gen im Ge­such be­zeich­net sind; und

c.

der Kan­ton die al­ter­na­ti­ven Mass­nah­men be­schreibt und mit Be­zug auf die Ri­si­ko­be­ur­tei­lung be­grün­det, wes­halb er die Ri­si­ken als hin­rei­chend ge­ring ein­schätzt.

Die­se Ver­ord­nung tritt am 15. Ja­nu­ar 2014 in Kraft.