Sicherheit entsteht nicht im stillen Kämmerlein – sie muss geprüft, hinterfragt und herausgefordert werden. Deshalb hat die Post auch dieses Jahr ethische Hackerinnen und Hacker aus aller Welt eingeladen, ihr E-Voting-System gezielt zu testen. Beim öffentlichen Intrusionstest konnten IT-Spezialistinnen und -Spezialisten vom 6. bis 24. Juli 2026 nach möglichen Schwachstellen im E-Voting-System suchen. Für die Post ist dieser öffentliche Härtetest ein wichtiger Beitrag, um E-Voting weiter zu stärken und das Vertrauen in digitale Abstimmungen und Wahlen zu fördern. Neu war in diesem Jahr: Eine ausgewählte Gruppe erhielt vertieften Zugang zum System und konnte es unter neuen Testbedingungen prüfen.
Im folgenden Interview erzählt Hacker «13th», was ihn am Intrusionstest zu E-Voting gereizt, welche Lücken er gefunden hat und was für ihn ethisches Hacken für das Vertrauen in die digitale Demokratie bedeutet.
Was hat Sie persönlich daran gereizt, das E-Voting-System der Post unter die Lupe zu nehmen?
Eine vollständige Spezifikation, offener Quellcode und eine Live-Umgebung – im E-Voting-Intrusionstest der Post ist alles gleichzeitig verfügbar. Diese Kombination ist selten. Sie macht die Spezifikation zu einer Art Sicherheitsreferenz: Statt zu raten, welches Verhalten beabsichtigt ist, vergleicht man die festgelegten Eigenschaften des Protokolls mit der Umsetzung im Quellcode und in der Live-Umgebung. Hier nach Lücken zu suchen, hat mich sehr motiviert.
Wie bereitet man sich als ethischer Hacker auf den Test eines so sensiblen Systems wie einer digitalen Urne vor?
Ich arbeite nicht als einzelner Forscher an einem Computer. Meine Arbeit basiert auf einem System von AI-Agenten mit mehr als 25 dauerhaft spezialisierten Rollen. Dies ist ein neuartiger Ansatz für Sicherheitsanalysen, bei dem ich spezialisierte Rollen unabhängig voneinander arbeiten lasse. Durch sogenannte Blindphasen werden Schlussfolgerungen zunächst getrennt erarbeitet, um Gruppendenken und Ankereffekte zu vermeiden. Entscheidend ist dabei nicht die Anzahl der beteiligten Agenten, sondern ein strenges Evidenzmodell, das jede Hypothese anhand nachvollziehbarer Beweise prüft und reproduzierbar verifiziert. Für die Analyse des E-Voting-Systems der Schweizerischen Post wurden so mehr als 214 000 Codezeilen systematisch untersucht und bereits vor dem Start des öffentlichen Intrusiontests konkrete Hypothesen vorbereitet, die anschliessend gezielt in der Live-Umgebung bestätigt oder widerlegt wurden.
Was unterscheidet das Hacken eines E-Voting-Systems von anderen Sicherheits- oder Bug-Bounty-Programmen?
Der Hauptunterschied besteht darin, dass Sicherheit hier auf mehreren Komponenten aufbaut, und zeitabhängig ist. Es reicht also nicht, eine ungewöhnliche Serverantwort zu generieren. Drei Belege müssen getrennt erbracht werden: Der Fehler existiert im Quellcode; er ist in der Live-Umgebung reproduzierbar und gilt auch bei realen Bedingungen einer Abstimmung. Gerade deshalb wurden während des öffentlichen Intrusiontests auch zahlreiche Hypothesen bewusst verworfen, nachdem zusätzliche Analysen ihre Auswirkungen widerlegt hatten.
Gab es während Ihrer Tests einen spezifischen Moment, in dem Sie dachten: «Jetzt könnte es spannend werden»?
Ein besonders spannender Moment ergab sich, als eine gezielt veränderte Testanfrage den normalen Ablauf eines zweiten, unabhängigen Stimmrechtsausweises beeinflusste. Zwar hatte dies keinen Einfluss auf Stimmen oder Wahlergebnisse, zeigte aber, dass sich bestimmte Effekte über den ursprünglichen Kontext hinaus auswirken können. Für mich war dies ein wichtiges Signal, die zugrunde liegenden Zusammenhänge genauer zu untersuchen.
Die Post lädt Hackerinnen und Hacker bewusst ein, nach Schwachstellen zu suchen. Warum kann ein System dadurch sicherer werden?
Externe Spezialisten gehen mit einem anderen Ansatz an ein System heran als Personen, die an der Entwicklung beteiligt sind. Interessanterweise zeigen sich auch bei unserer Arbeit Befunde regelmässig nicht dort, wo es die ursprüngliche Hypothese vermuten liess, sondern andernorts. Wichtig ist auch: Es geht nicht nur darum, Fehler zu beheben. Auch Verbesserungen, die zu einer Bereinigung oder Konkretisierung in der Spezifikation führen, sind hilfreich. Denn sie vereinfachen die spätere öffentliche Überprüfung. Auch ich habe eine solche Verbesserung eingegeben, die das E-Voting-Team nun in die Systembeschreibung aufgenommen hat. Dass es in einem öffentlichen Test Befunde gibt, bedeutet nicht, dass ein System unsicher ist. Entscheidend ist, ob eine Organisation Befunde annehmen und in konkrete Verbesserungen übersetzen kann.
Hat Ihre Teilnahme am Intrusionstest Ihr Vertrauen in E-Voting verändert – und wenn ja, wie?
Aus meiner Sicht zeigt der öffentliche Intrusionstest und insbesondere die erweiterte Testumgebung, dass eine kontinuierliche externe Prüfung bei einem komplexen System wie E-Voting nötig ist. Denn in einem komplexen System können blinde Flecken entstehen, beispielsweise an den Schnittstellen zwischen Anwendung, Infrastruktur und Spezifikation. Aus meiner Sicht sind daher öffentliche Tests für das Vertrauen in die digitale Demokratie zentral: Es braucht keine Versprechen einer absoluten Sicherheit, sondern die Bereitschaft, echte Ergebnisse aus öffentlichen Tests anzunehmen und das System darauf basierend konsequent zu verbessern.
Was nehmen Sie persönlich aus dem Test mit – fachlich, aber auch mit Blick auf die digitale Demokratie?
Ich konnte in der erweiterten Testanordnung des Intrusionstests fünfzehn Berichte einreichen, darunter war ein Befund mit Schweregrad mittel und zwei Best Practices («tiefer Schweregrad») bestätigt. Für mich war der Test auch eine Überprüfung meiner Methodik, die auf dem Einsatz verschiedener Agenten beruht. Wichtigstes Fazit aus gesellschaftlicher Sicht: Echtes Vertrauen entsteht, wenn es auf belastbaren Tests basiert – Erklärungen reichen dagegen nicht aus. Mit der öffentlichen Überprüfung werden Risiken kontrollierbar und die Zuverlässigkeit von E-Voting gewinnt.
