Philipp Egger, intuitiv würde man denken, dass heikle Infrastrukturen wie die Software bei Abstimmungen möglichst geheim bleiben sollten. Sie machen das Gegenteil und legen die verletzliche Seite dieser IT-Systeme für Hacker offen. Was bringt das?
Wir folgen damit einem allgemeinen Trend in der IT. Man schottet Systeme, Programme und Quellcodes nicht mehr einfach ab, sondern legt diese zur Prüfung offen. Denn wo niemand hinschauen kann, findet auch niemand Schwachstellen. Das sogenannte «Bug- Bounty-Programm» eröffnet uns die Chance, dass Hacker mit den unterschiedlichsten Spezialisierungen und Blickwinkeln unser System testen und dabei die relevanten Fehler entdecken.
Sie arbeiten für die Entwicklung des Ergebnisermittlungssystems mit einer privaten Firma zusammen. Wie hat diese auf das Vorhaben der Offenlegung reagiert?
Am Anfang sind bei privaten Firmen oft Bedenken da: Legt man seine Arbeit offen, kommen auch Schwächen zum Vorschein. Gleichzeitig bietet das die Gelegenheit, sich zu verbessern. Um bei so etwas mitzumachen, braucht das Unternehmen aber eine neue Fehlerkultur. Darüber hinaus bestehen oft auch Bedenken bezüglich dem Schutz des geistigen Eigentums. Hierzu haben wir in der Schweiz glücklicherweise sehr gute rechtliche Rahmenbedingungen.
Ist diese Fehlerkultur weit genug entwickelt? Wir streben ja eher nach Perfektion.
Tatsächlich leben wir in der Schweiz keine Fehlerkultur, in der ein Projekt auch mal scheitern und Geld verloren gehen darf. Obwohl man auch daraus wertvolle Erfahrungen mitnehmen kann und sich diese Erfahrungen später auszahlen.
Wenn tatsächlich Fehler entdeckt werden, verliert die Bevölkerung dann nicht das Vertrauen?
Ja und nein. Werden beim Ergebnisermittlungssystem nachträglich schwerwiegende Fehler aufgedeckt, die eine Manipulation von Wahlen oder Abstimmungen ermöglicht hätten, kann das Vertrauen der Bevölkerung leiden. Doch durch die frühzeitige Offenlegung schaffen wir auch Vertrauen: Jede Bürgerin, jeder Bürger könnte theoretisch die Software prüfen oder kann diese von einer Fachperson prüfen lassen. Die begleitende Kommunikation ist hier aber sehr wichtig. Wir müssen den Leuten diesen Kulturwandel zur Offenlegung erklären.
Hatten Sie persönlich Bedenken vor dem Schritt?
Nein, für mich war immer klar, dass der Weg «Sicherheit durch Transparenz» der richtige ist. Wenn man sich abschottet, fliegen die Fehler zwar nicht sofort auf, dafür fliegen sie einem vielleicht irgendwann später um die Ohren.
Wollen Sie in Zukunft auch andere IT-Projekte auf diese Weise prüfen lassen?
Aufgrund der guten Erfahrungen haben wir einen Antrag für ein übergreifendes Bug-Bounty-Programm eingereicht. Unser Ziel ist, schrittweise alle geeigneten Applikationen öffentlich auf Sicherheitslücken prüfen zu lassen.
Was ist ein Bug-Bounty- Programm?
Das Bug-Bounty-Programm ist eine Art der Sicherheitsprüfung für Software-Systeme. Beim neuen Ergebnisermittlungssystem wurden dafür der Quellcode samt Beschreibung und eine Testumgebung veröffentlicht.
Sogenannte «ethische Hacker» suchen dann nach Sicherheitslücken und melden diese dem Anbieter. Für jede gemeldete und bestätigte Sicherheitslücke (Bug) erhält der Hacker eine Prämie (Bounty), abgestuft nach Schweregrad der gefundenen Schwachstelle. Bislang wurden rund 20 000 Franken an verschiedene Hacker ausbezahlt.
Bei privaten Bug-Bounty-Programmen haben nur eingeladene Sicherheitsforscher Zugriff, öffentliche Programme sind für alle zugänglich. Die Sicherheitsprüfungen können zeitlich begrenzt oder kontinuierlich über einen längeren Zeitraum durchgeführt werden.
Was macht das Ergebnisermittlungssystem?
An Wahl- und Abstimmungssonntagen erfasst jede Gemeinde ihre ausgezählten Stimmen im Ergebnisermittlungssystem. Auf Kantonsebene werden so alle Teilergebnisse zusammengetragen und ausgewertet. Darüber hinaus berechnet das System bei Parlamentswahlen beispielsweise auch die Sitzverteilung.
Das neue Ergebnisermittlungssystem entwickelt St. Gallen gemeinsam mit dem Kanton Thurgau und einem externen Partner. Es soll ab den Ständerats- Ersatzwahlen im März 2023 das aktuelle System WABSTI ablösen, das seit bald 20 Jahren im Einsatz ist.