Open melchl opened 3 years ago
Abs. 4 würde ich dahingehend anpassen, dass alle wichtigen behördlichen Vorgänge einer technisch versierten Vertretung der Stimmberechtigten zugänglich sein muss. Die Vertretung der Stimmberechtigten sind wichtige Vertrauenspersonen, die in ihren politischen Kreisen die Glaubwürdigkeit und Sicherheit von eVoting vertreten müssen. Um das glaubwürdig tun zu können, sind fundierte Kenntnisse des eingesetzten Systems notwendig. Ich will auf keinen Fall eine politische Vertretung, die sich darauf beschränkt, ein ihnen im Innenleben ungekanntes Computerprogramm zu starten und alleine basierend auf dessen Output auf die Integrität eines Urnengangs zu schliessen.
Hat jemand gerade präsent, wie die technischen Auditoren des Urnengangs (Betreiber der Kontrollkomponenten) ausgewählt werden?
Ich bin hier etwas skeptisch, ob man dies hinzufügen möchte - da egal wie technisch versiert, man sich sowieso extrem gut und lange mit so einem System befassen muss. Ich verstehe deine Idee, denke aber, das muss nicht zwingend sein.
"Gemäss Artikel 7 VEleS sorgen die Kantone dafür, dass die Erfüllung der Anforderungen von unabhängiger Stelle überprüft wird. Solche Überprüfungen sind in der Regel von Stellen durchzuführen, die von der schweizerischen Akkreditierungsstelle (SAS) akkreditiert worden sind. Die Einzelheiten der Zertifizierung sind in der VPR und in der VEleS geregelt" Abschnitt - Unabhängige Überprüfung
26.5 Prüfung des Informationssicherheitsmanagement-Systems (Art. 10 Abs. 2) 26.5.1 Gegenstand: Es wird geprüft, ob das ISMS des Systembetreibers mit der Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements konform ist. Der Geltungsbereich des ISMS umfasst alle Organisationseinheiten des Systembetreibers, die rechtlich, administrativ und betrieblich für das System verantwortlich sind.
26.5.2 Zuständigkeiten: Die Zertifizierungsstelle ist durch die Schweizerische Akkreditierungsstelle für die Durchführung von Audits nach der Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements akkreditiert. Die Prüfung wird vom Kanton oder vom Systembetreiber in Auftrag gegeben; der Kanton sorgt für die Durchführung der Prüfung.
26.5.3 Dauer der Gültigkeit eines Belegs: Wiederholungsaudits werden in den durch die Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements festgelegten Abständen durchgeführt. Ein gültiges Zertifikat und die ent-sprechende «Statement of Applicability» liegt bei jedem Einsatz des Sys-tems vor. Wird eine neue Version des Standards ISO/IEC 27001, 2013, Information technology – Security techniques – Information security ma-nagement systems – Requirements publiziert, so wird spätestens nach Ab-lauf der Übergangsfrist eine gültige Zertifizierung des ISMS nach der neuen Version nachgewiesen. Der Geltungsbereich des ISMS darf dabei nicht reduziert werden.
So wie die Verordnung momentan daherkommt, dürften aus Kostengründen in der Praxis pro Kanton vielleicht 3 Personen mit total ~1 FTE für eVoting arbeiten. Dies sind die kantonalen Prüfer, die ziemlich weitgehende Befugnis in der Gestaltung des Urnengangs besitzen. Die Post als Dienstleister stellt ebenfalls Personal, das aber mit anderen Kantonen geteilt wird. Die Glaubwürdigkeit des elektronischen Urnengangs stützt sich damit auf sehr wenige Personen.
Wir müssen einen Hebel finden, um die Zivilgesellschaft zu aktivieren. Ob eVoting vertraut wird, ist letztlich ein impliziter, demokratischer Entscheid. Um das Vertrauen aufrecht zu erhalten, benötigen Stimmberechtigte Vertrauenspersonen mit Fachwissen über eVoting. Beamte können diese Funktion nicht erfüllen. Wie kann sich eine Partei staatstragend nennen, wenn sie selber keine Vertreter besitzt, die die Integrität eines Urnenganges ansatzweise beurteilen können?
Aus dem Summary des Experten Dialogs finde ich die folgende Forderung passend:
«Transparency and voter inclusion in every stage. Note that the function of a “Stimmenzähler” and the possibility of a “Wahlbeobachter” is not to have the most secure version of a process, but to have the most democratic accountability of a process. The same principle should apply to electronic voting procedures.»
Einverstanden, aber wie? Du hast das pragmatisch beschrieben, rein kosten- und expertisemässig wird das schwierig. Der Einbezug der Öffentlichkeit wird in dem Sinne an drei Stellen Stellen explizit erwähnt:
Art 3. (d) (#18) "Der Öffentlichkeit werden adressatengerechte Informationen zur Funktionsweise des Systems und zu den betrieblichen Abläufen zugänglich gemacht und Anreize zur Mitwirkung von fachkundigen Personen aus der Öffentlichkeit sind vorhanden."
Aus dem Bericht dazu: "Bst. d: Ergänzung der bestehenden Bestimmung mit einer neuen Voraussetzung zum öffentlichen Zugang zu Informationen und zum Einbezug der Öffentlichkeit (insbes. nach Art. 27m E-VPR und Art. 13 E-VEleS). Diese Ergänzung verdeutlicht die Wichtigkeit der Transparenz und des Einbezugs der Öffentlichkeit bei E-Voting. Die adressatengerechte Aufbereitung der Informationen ergibt sich aus den jeweiligen Zielgruppen, wie namentlich der breiten Öffentlichkeit oder Fachkreisen."
Aus Art. 27m (1) (#15) 1 Die Bundeskanzlei und die Kantone, die Versuche durchführen, sorgen für den Einbezug der Öffentlichkeit und der Fachkreise und setzen Anreize für die Mitwirkung.
Wie das genau gemacht werden könnte, wurde etwas andiskutiert im Gitlab auf S. 252, extensive Antwort von Prof. Bryan Ford, ein Plädoyer wieso ein iterativ, progressiver Ansatz Sinn macht, um die ganzen Security, Privacy und Transparency Issues anzugehen in den kommenden Jahren. Er schlägt auch etwas wie ein "Citizen Advisory Board" vor, welches sich repräsentativ für die nicht-technischen User mit den Systemen und Thematiken auseinandersetzen könnte.
Ich das mit den technisch versierten Wahlbeobachtern sehr schwierig.
Verlangst Du technisch versierte WahlbeobachterInnen, dann gibt das dem Systemanbieter die Möglichkeit komplexe Vorgänge komplex zu belassen; die Beobachtersind einfach zu wenig technisch versiert. Das ist nicht erwünscht. Zudem gibt es eine neue Klasse von technisch versierter Abstimmungelite.
Auf der anderen Seite ist es natürlich eine Travestie, wenn komplette Laien demokratische Accountability wahrnehmen sollen bei einem Vorgang, den sie nicht im Ansatz verstehen.
Trotzdem würde ich es vorziehen, den Systemanbieter, den ganzen Prozess und alle Beteiligten in die Pflicht zu nehmen, um
Irgendwo im Expertendialog (Fragebögen?) gibt es einen Einwurf von Florian Egloff, dass E-Voting erst funktionieren wird, wenn Stimmenzähler / Wahlhelfer auf Gemeindeebene im E-Voting auch eine Rolle erhalten. (Zitiere das aus dem Kopf, müsste also genauer nachgeschaut werden). Diese Bemerkung ist mir geblieben. Ich glaube das ist ein wichtiger Punkt.
Schön und gut, habe das Gefühl man redet hierbei um den Kernpunkt rum. I.e., eigentlich will man eine engagierte, intrinsisch motivierte Community haben und will das mit Workshops, Events, usw. ermöglichen. So etwas kann meiner Meinung nach nur organisch geschehen unter Open-Source. Open-Source impliziert nicht Sicherheit (Ja, Heartbleed) aber es kann zumindest die Punkte der Transparenz und Einbindung der Öffentlichkeit addressieren.
Meiner Meinung nach sollte man
Sie legen die entsprechende Dokumentation sowie den Quellcode der Software offen.
anpassen zu
Das System wird unter Open-Source Lizenz veröffentlicht und entwickelt.
Welche Lizenz, das überlasse ich den Experten und verweise hier gerne auf die Statements und die Diskussionen auf S. 159 f.
Zitat M. Stürmer
(...) But the public source code is just the tip of the iceberg. Although intellectual property is a very important aspect of open source software, today's good practices of the open source development model include much more concepts and practices applied in software development. The community of all contributors is what makes the difference. Thus there are very specific direct benefits of the open source development model (...) To summarize: I'm convinced that e-voting is the best place to require the open source license including its development model since this enables the long-term digital sustainability of the platform.
Das würde auch die ganzen forcierten Informationsaktionen nicht erübrigen, aber halt zumindest die Grundvoraussetzungen für organisches Community-Wachstum geben. Im jetzigen Modell versucht man einen Mittelweg zu gehen, welcher kurz- und mittelfristig nur zu mehr Komplexität und Verwirrung führt.
Wahlweise weitere Kommentare:
Bildungsabsicht hinter dem ganzen Artikel sehr begrüssenswert.
Abs. 2: Die Kantone legen Dokumentation und Quellcode offen. Nicht die Systemanbieter! Bin unsicher, was das für Folgen für die Praxis zeitigen könnte, aber ich sehe eigentlich keinen Vorteil darin, die Umsetzung dem Kanton zuzuschieben ausser der Accountability des Kantons.
Abs. 4: impliziert, dass die Dokumentation der Vorgänge einer Abstimmung nur einer Vertretung der Stimmberechtigten zugänglich sein müssen. Das ist mW nicht erwünscht. Ich hätte das gerne öffentlich.
Abs 4: die Auswahl der Vertretung der Stimmberechtigten ist wie oben diskutiert wirklich schwierig. Aber eventuell ist es aus föderaler Sicht genau richtig, diese Auswahl den Kantonen zu überlassen. Auch wenn es nicht zu einer schweizweit einheitlichen Lösung führen dürfte. :)
Abs 5: Zwang zur Veröffentlichung der Ergebnisse, eingeschränkt durch Wahrung des Stimmgeheimnis. Die separate Ausweisung der elektronischen Stimmen ist wichtig für die Transparenz, die Vertrauensbildung und die Forschung, denn wir müssen ein Gefühl für die Abweichungen zwischen elektronischen und Papier-Stimmen erhalten. Dazu braucht es diese Zahlenreihen. Die Auslandschweizer und Behinderte sollen als primäre Bedürfnisträger privilegierten Zugang zum E-Voting erhalten. Während die Auslndschweizer in den Kantonen in aller Regel als separter Wahlkreis geführt werden (und die Offenlegung des Ergebnisses ein Leichtes ist), sieht es für die Behinderten anders aus (sie aber auch oben im Bericht, wo Auslandschweizer in den einzelnen Wahlkreisen) erwähnt werden. Behinderte werden realistischerweise via ein Gesuch Zugang zum E-Voting erhalten und ich vermute stark sie verbleiben in ihrem Wahlkreis. Dies deshalb, weil sie ja im Gegensatz zu den Auslandschweizern auch überall kantonal Stimm- und Wahlberechtigt sind. In kleinen Wahlkreisen dürfte es eine überschaubare Zahl von Behinderten geben. Die Gemeinde zählt dann Papier aus und erhält auf irgendeinem Kanal zusätzliche elektronische Stimmen. Da die Gemeinde die Papierstimmen publizieren wird (muss, denke ich) kann man aus der Differenz zwischen Papier und Total recht leicht herauslesen, was die Behinderten gestimmt haben und das ist aus meiner Sicht ein grosses Problem.
Der Vernehmlassungbericht (siehe oben) beschreibt, dass man für die elektronischen Stimmen mehrere Wahlkreise zusammenfassen könnte. Aber ich sehe diese Lösung noch nicht so ganz, denn am Schluss müssen die elektronischen Stimmen in den Wahlkreis.
Vielleicht mache ich hier aus einer Mücke einen Elefanten, aber ich habe das ungute Gefühl, dass das Stimmgeheimnis eine Publikation der elektronischen Stimmen komplett verhindern könnte. Oder aber die gewünschte Öffnung des elektronischen Stimmkanals für die Behinderten. Der Vernehmlassungbericht sieht auch so aus, also ob die BK das noch nicht bis ins letzte Detail durchdacht hätte. Hier besteht also noch Klärungsbedarf.
Wie das genau gemacht werden könnte, wurde etwas andiskutiert im Gitlab auf S. 252, extensive Antwort von Prof. Bryan Ford, ein Plädoyer wieso ein iterativ, progressiver Ansatz Sinn macht, um die ganzen Security, Privacy und Transparency Issues anzugehen in den kommenden Jahren. Er schlägt auch etwas wie ein "Citizen Advisory Board" vor, welches sich repräsentativ für die nicht-technischen User mit den Systemen und Thematiken auseinandersetzen könnte.
Danke für den Link, @christiankiller. Insbesondere die Wortmeldungen von Florian Egloff und Bryan Ford kann ich zu lesen sehr empfehlen. Open Source: +1
Verlangst Du technisch versierte WahlbeobachterInnen, dann gibt das dem Systemanbieter die Möglichkeit komplexe Vorgänge komplex zu belassen; die Beobachtersind einfach zu wenig technisch versiert. Das ist nicht erwünscht. Zudem gibt es eine neue Klasse von technisch versierter Abstimmungelite.
@dune73 : Wenn sich keine Wahlbeobachter mehr finden lassen, hat eVoting verloren. Die Systemanbieter haben also ein Interesse daran, die Schwelle möglichst niedrig zu halten. Ausserdem müssen sie jegliche Komplexität der Öffentlichkeit gegenüber rechtfertigen. Das Risiko einer Abstimmungselite sehe ich genau dann, wenn die verordnete politische Aufsicht (die Vertretung der Stimmberechtigten) keine Kompetenz aufweisen muss. Denn dann kann solchen Vertretern auch keine Befugnis erteilt werden, um aktiv in die Prozesse einzugreifen und beispielsweise zusätzliche Tests vorzuschlagen.
Abs. 4: impliziert, dass die Dokumentation der Vorgänge einer Abstimmung nur einer Vertretung der Stimmberechtigten zugänglich sein müssen. Das ist mW nicht erwünscht. Ich hätte das gerne öffentlich.
Weiss nicht, wie ein Jurist das interpretieren würde. Eine Vertretung der Stimmberechtigten muss sicher den Tresor begutachten können, in dem die sensibelste eVoting-Hardware gelagert wird. Und eigentlich wäre es ganz cool, wenn auch das sicher genug ist, um öffentlich bekannt zu sein ;) . Ich finde es dennoch wichtig, dass einer Vertretung der Stimmberechtigten tiefere Einblicke oder aktive Mitwirkung eingeräumt wird. Denn das geplante System ist mit open-source alleine noch lange nicht transparent. Es gibt dahinter menschliche Prozesse, die genauso wichtig sind wie der Quellcode. Aber im Grundsatz bin ich einverstanden: Systemanbieter, BK und Kantone tun gut daran, bis zur Schmerzgrenze detaillierte Informationen zum eVoting-Ökosystem zu publizieren. Einerseits wird das System dadurch längerfristig sicherer (kurzfristig kann eine Informationsoffensive zu einem "scytl-2019" führen), weil mögliche Angriffe im Rahmen von Bug Bounties eher erkannt werden. Andererseits wird das Vertrauen der Öffentlichkeit gestärkt.
Mit dem Finden der Wahlbeobachter hast Du recht. Guter Punkt.
Abs 4. Ich habe das nur auf die Dokumentation der Vorgänge einer Abstimmung bezogen und damit den Teil der Dokumentation, den nicht der Systemanbieter publiziert und den der Kanton aus meiner Sicht ebenfalls komplett offenlegen müsste und zwar für alle. Ich sehe keinen Grund bei diesen Abläufen irgendetwas zu verheimlichen.
im Expertendialog (Fragebögen?) gibt es einen Einwurf von Florian Egloff, dass E-Voting erst funktionieren wird, wenn Stimmenzähler / Wahlhelfer auf Gemeindeebene im E-Voting auch eine Rolle erhalten.
@dune73 : Danke für den Hinweis, ist Seite 64. Neben "political ownership of running the election, including the risk management" erwähnt Egloff auch die Wichtigkeit eines "Fall-Back" auf andere Abstimmungskanäle. Dieser Kill-Switch ist sehr wichtig und im Rahmen des vorgesehenen Versuchsbetriebs hinreichend gegeben, da sowohl die Bundeskanzlei als auch der Bundesrat evoting den Stecker ziehen können.
kann man aus der Differenz zwischen Papier und Total recht leicht herauslesen, was die Behinderten gestimmt haben und das ist aus meiner Sicht ein grosses Problem.
@dune73 : Einverstanden. Entscheidet letztlich der Kanton über die Abwägung?
Wortlaut der Vorlage
Art. 27m (Einbezug und Information der Öffentlichkeit) 1 Die Bundeskanzlei und die Kantone, die Versuche durchführen, sorgen für den Einbezug der Öffentlichkeit und der Fachkreise und setzen Anreize für die Mitwirkung.
2 Die Kantone, die Versuche durchführen, machen die Funktionsweise und die Sicherheitseigenschaften des Systems der elektronischen Stimmabgabe sowie die wesentlichen betrieblichen Abläufe öffentlich bekannt. Sie legen die entsprechende Dokumentation sowie den Quellcode der Software offen.
3 Sie informieren die Stimmberechtigten allgemein verständlich über die Organisation, die Technik und das Verfahren der elektronischen Stimmabgabe. Sie zeigen, wie beim Auftreten von Problemen vorzugehen ist, und erklären, wie die Verifizierbarkeit funktioniert.
4 Alle wichtigen behördlichen Vorgänge bei der Abwicklung eines Urnengangs mit der elektronischen Stimmabgabe und die entsprechende Dokumentation müssen einer Vertretung der Stimmberechtigten zugänglich sein.
5 Die Kantone veröffentlichen bei eidgenössischen Wahlen und Abstimmungen die Ergebnisse der über den elektronischen Stimmkanal abgegebenen Stimmen. Das Stimmgeheimnis ist zu wahren.
Referenzen
Art. 27m Einbezug und Information der Öffentlichkeit
Abs. 1: Zum Einbezug der Öffentlichkeit und von Fachkreisen setzen die BK und die Kantone Massnah-men um, die beispielsweise die Veranstaltung von wissenschaftlichen Tagungen und Konferenzen, die Organisation von Ideenwettbewerben und Hackathons, Betreiben von Informationsplattformen oder die Durchführung von Citizen-Science-Projekten umfassen können. Insbesondere für die Mitwirkung von Fachpersonen aus der Öffentlichkeit sind Anreize zu setzen, wie etwa mit der Durchführung eines Bug-Bounty-Programms durch die Kantone.
Abs. 2: Die Veröffentlichung von Informationen über System und Betrieb der elektronischen Stimmabgabe dient der Nachvollziehbarkeit der Abläufe. Als Adressaten sind sowohl Fachpersonen als auch Personen ohne Fachkenntnisse zu berücksichtigen. Zentrale Massnahme bildet hier die Offenlegung des Quellcodes und der dazugehörigen Dokumentation. Bereits heute verlangen die Artikel 7a und 7b VEleS von den Kantonen, den Quellcode der Software eines vollständig verifizierbaren Systems für die elektronische Stimmabgabe offenzulegen und hinreichend zu dokumentieren. Aus dem Quellcode lässt sich ersehen, wie die Stimmen vom System registriert und verarbeitet werden sollen. Der Grundsatz der Transparenz ist wichtig und soll nun auf Stufe der VPR verankert werden. Die veröffentlichten Informationen dienen fachkundigen Kreisen dazu, sich einzubringen. Dies soll sich förderlich auf die Sicherheit und die Qualität der Systeme sowie das Vertrauen auswirken. Die Veröffentlichung von Informationen zum System, d.h. namentlich des Quellcodes, und des Betriebs trägt zu einer sachlichen und faktenbasierten Debatte bei. Durch die Verfügbarkeit von Informationen wird der Abhängigkeit von einzelnen Personen und Organisa-tionen entgegengewirkt. Die BK wird die Präzisierung weiterhin in ihrer Verordnung vornehmen.
Abs. 3: Entspricht dem bisherigen Absatz 1 und wurde sprachlich leicht überarbeitet. Wie bisher sollen die Kantone die Stimmberechtigten informieren. Dazu gehören typischerweise Informationen auf dem Stimm- und Wahlmaterial, die den konkreten Ablauf zur elektronischen Stimmabgabe sowie das Vorge-hen bei Unregelmässigkeiten oder Problemen erläutert. Zusätzlich wird es als wichtig erachtet, den Stimmberechtigten das Grundkonzept der Verifizierbarkeit näher zu bringen. Denn der Vorgang der Verifizierbarkeit ermöglicht es erst dann Unregelmässigkeiten festzustellen, wenn er durch die Stimmbe-rechtigten auch genutzt wird. Die vollständige Verifizierbarkeit kann nur dann vertrauensfördernd wirken, wenn ihr Nutzen im Kern verstanden wird.
Abs. 4: Entspricht im Grundsatz dem bisherigen Absatz 2. Die Bestimmung wurde präzisiert, indem ver-deutlicht wird, dass sich die Möglichkeit der Beobachtung auf Vorgänge bei der Abwicklung eines Urnengangs bezieht (z.B. Prozess der Auszählung, Ver- und Entschlüsselung der Urne). Diese Bestimmung dient weiterhin der Transparenz gegenüber den Stimmberechtigten. Die Bestimmung fordert wie bisher nicht, dass die Kantone eine ständige Vertretung der Stimmberechtigten, zum Beispiel in der Form von Wahlkommissionen, schaffen müssen. Grundsätzlich genügt es, wenn Verfahren und Vorgänge beispielsweise durch ein Wahlbüro bestehend aus Stimmberechtigten, das die zuständige Behörde eingesetzt hat, mitverfolgt werden können. Ausserdem sind nicht alle Schritte zugänglich zu machen bzw. alle Dokumente zu veröffentlichen. Sprechen gewichtige Gründe gegen einen Zugang bzw. eine Veröffentlichung, kann dies nach wie vor abgelehnt werden. Hier können die Ausnahmebestimmungen der anwendbaren Öffentlichkeitsgesetzgebung herangezogen werden. Der Verweis auf das Öffentlichkeitsgesetz vom 17. Dezember 2004 wird nicht mehr als nötig erachtet und kann gestrichen werden. Im Vordergrund steht die zeitgerechte Abwicklung eines Urnengangs; dies darf aufgrund dieser Bestimmung zu keiner Zeit gefährdet werden.
Abs. 5: Die Kantone sollen neu verpflichtet werden, die Ergebnisse für den elektronischen Stimmkanal zu veröffentlichen. Die Publikation dient primär der Transparenz.
Zu publizieren sind die folgenden Ergebnisse:
Grundsätzlich sind die Daten so detailliert wie möglich zu publizieren. Bei Abstimmungen ist eine Publikation mit Angaben pro Gemeinde und bei Wahlen mit Angaben pro Wahlkreis anzustreben. Das Stimmgeheimnis darf durch die Publikation nicht gefährdet werden. Das Stimmgeheimnis wird durch die Publi-kation gefährdet, wenn beispielsweise nur Auslandschweizer Stimmberechtigte zur elektronischen Stimmabgabe zugelassen sind und in einer Gemeinde nur eine im Ausland lebende Person stimmbe-rechtigt ist. Wird das Stimmgeheimnis durch die Publikation gefährdet, soll in der Regel nicht vom Publikationsgrundsatz abgewichen, sondern alternative Möglichkeiten geprüft werden. Beispielsweise ist zu prüfen, ob und wie eine Publikation mit angepasstem Detaillierungsgrad, wie etwa der Zusammenfassung der Ergebnisse mehrerer Gemeinden, stattfinden kann. Die Publikation muss nicht im Amtsblatt stattfinden, die Offenlegung auf der Webseite des Kantons genügt. Die Informationen müssen leicht zugänglich und weiterverwertbar sein.