Die Post setzt bei E-Voting auf Transparenz: Seit 2021 sind alle sicherheitsrelevanten Komponenten ihres E-Voting-Systems öffentlich einsehbar. Über ein unbefristetes Bug-Bounty-Programm können Fachleute weltweit das System rund um die Uhr testen – mit Aussicht auf finanzielle Prämien für bestätigte Schwachstellen.
Zusätzlich führt die Post regelmässig sogenannte öffentliche Intrusionstests durch. In einem festgelegten Zeitraum versuchen ethische Hackerinnen und Hacker gezielt, in das System einzudringen. Solche Tests sind gesetzlich vorgeschrieben und ein zentraler Bestandteil des E-Voting-Versuchsbetriebs in den Kantonen. Der mehrwöchige öffentliche Intrusionstest ist Teil des E-Voting-Community-Programms der Post.
Unter pit.evoting.ch stellt die Post ab heute bis zum 24. August ihre E-Voting-Umgebung für gezielte Angriffe bereit. Getestet wird die neueste Systemversion, die ab 2026 bei Abstimmungen und Wahlen zum Einsatz kommt. IT-Fachleute weltweit können den Stimmabgabeprozess durchspielen, Sicherheitslücken aufspüren und versuchen, in die elektronische Urne einzudringen. Erstmals können sie auch die Funktionalität der offenen Textfelder auf die Probe stellen. Diese sogenannten «Write-ins» sind bei Wahlen einsetzbar, bei denen die Stimmberechtigten ihre Wunschkandidaten selbst eintragen können, wenn diese nicht auf den offiziellen Listen stehen.
Für bestätigte Schwachstellen zahlt die Post Prämien von bis zu 250 000 Franken. Für die Meldenden der ersten drei bestätigten Befunde winkt zusätzlich zur Prämie ein Bonus von je 3000 Franken. Seit dem Start des Bug-Bounty-Programms für E-Voting hat die Post bereits über 220 000 Franken für bestätigte Befunde an ethische Hackerinnen und Hacker ausbezahlt.
Öffentliche Intrusionstests sind ein bewährtes Mittel der Cybersicherheit. Sie ergänzen interne und externe Audits durch unabhängige Prüfungen der globalen IT-Community.
Öffentliche Tests wie der PIT und Events wie BärnHäckt sind wichtige Bausteine des E-Voting-Versuchsbetriebs und der Cybersecurity-Strategie der Post. Doch sie sind nur ein Teil eines umfassenden Sicherheitsansatzes:
Nach Abschluss des Intrusionstests veröffentlicht die Post – wie in den Vorjahren – einen Bericht. Darin erfahren Interessierte, ob und wie das System den Angriffen standgehalten hat.