Estland und Schweiz im technischen Vergleich: Internet-Wahlen zwischen „source available“, Verifizierbarkeit und der offenen Vertrauensfrage Stand: 19. Oktober 2026 - Aussichten
*1. Estland: Das i-voting auf Basis der nationalen eID Estland stimmt seit 2005 über das Internet ab [1]. * Technisch / organisatorisch stützt sich das System auf einem Element, das die meisten anderen Staaten (noch) nicht haben: nämlich auf eine flächendeckend verbreitete staatlich-vergebene elektronische Identität der Bürger. Der Wähler wird über die ID-Karte, die digi-ID oder die Mobile-ID identifiziert; seit 2025 zusätzlich über ein Smart-ID-Konto, sofern dieses mit einem staatlichen Ausweisdokument personalisiert wurde [1]. Die kryptografischen Schlüssel werden bei Ausstellung direkt in der Karte erzeugt und können nicht exportiert oder kopiert werden [1].
Zum Schutz des Wahlgeheimnisses verschlüsselt die Wähleranwendung die Stimme mit einem öffentlichen Schlüssel; vor der Auszählung trennt das System die Personendaten von den Stimmen. Geöffnet werden die Stimmen nur mit einem geheimen Schlüssel, dessen Zugriff auf die Mitglieder des Nationalen Wahlausschusses aufgeteilt ist – für die Öffnung ist mehr als die Hälfte der Mitglieder erforderlich [1]. Jeder Wähler kann die eigene Stimmabgabe nachträglich per Smartphone-Verifikations-App prüfen (individuelle Verifizierbarkeit) [1]. Zudem gilt: Die Papierwahl überstimmt die Internet-Stimme, und die elektronische Stimme kann während der Vorwahlzeit erneut abgegeben werden; es zählt die zuletzt abgegebene Stimme [1].
Transparenz: Der Quellcode der i-voting-Software wurde laut der estnischen Wahlbehörde bereits im Juli 2013 öffentlich gemacht [1]. Die Dokumentenseite ergänzt, dass der veröffentlichte Quellcode (Wahlsoftware, Verifikations-App, Mixing-Anwendung, Audit-Anwendung) in der seit den Wahlen 2017 eingesetzten Form publiziert wird [2]. Das GitHub-Repository valimised/ivxv dient dabei ausdrücklich nur der öffentlichen Prüfung, nicht der aktiven Entwicklung; es wird lediglich so nachgezogen, dass es dem bei der jeweiligen Wahl eingesetzten Stand entspricht [3].
Der entscheidende lizenzrechtliche Punkt: Die Lizenzdatei des Repositories ist CC BY-NC-ND 3.0 (Creative Commons Attribution-NonCommercial-NoDerivs). Das bedeutet: keine Bearbeitung (NoDerivs), keine kommerzielle Nutzung (NonCommercial) [4]. Damit ist der estnische Code nicht „Open Source“ im Sinne der OSI-Definition, sondern „source-available“ – öffentlich einsehbar, aber ohne freie Änderungs- und Nutzungsrechte.
2. Schweiz: „Return-Code“-System der Post ohne nationale eID
Die Schweiz verfolgt einen grundlegend anderen technischen Ansatz. Das heute zugelassene System ist das Swiss-Post-Voting-System, ein rückmeldungsbasiertes („return code based“) Remote-Voting-System, das nach eigener Spezifikation drei Eigenschaften bietet [5]:
- Individuelle Verifizierbarkeit – der Wähler kann selbst prüfen, dass seine Stimme korrekt registriert wurde;
- Universelle Verifizierbarkeit – ein Auditor kann prüfen, dass das Ergebnis den registrierten Stimmen entspricht;
- Wahlgeheimnis – die Stimme ist niemandem gegenüber einer bestimmten Person zurechenbar.
Der zentrale Unterschied zu Estland liegt bei der Authentifizierung: Es wird kein staatlicher eID-Ausweis vorausgesetzt. Die Wahlunterlagen werden per Post versandt; wer elektronisch abstimmen darf, erhält zusammen mit den Wahlunterlagen individuelle Sicherheitscodes [6]. Die estnische Wahlbehörde formuliert es so: „Materials for authentication and verification are sent each time by mail“ – Authentifizierungs- und Verifikationsmaterial wird also jeweils per Post zugestellt [1]. Konkret erhält der Wähler dabei (a) Code(s) zur Anmeldung/Authentifizierung und (b) geheime Verifikations- bzw. Rückmeldecodes je Antwortmöglichkeit; durch Abgleich des online angezeigten Codes mit dem Code auf dem Papierbogen kann er prüfen, dass seine Stimme unverändert angekommen ist [5][6].
Rechts- und Einsatzrahmen: E-Voting ist in der Schweiz nur als Versuch zulässig und nur dann, wenn strenge bundesrechtliche Anforderungen erfüllt sind; der Bund folgt dem Prinzip „Sicherheit vor Tempo“ [7]. Aktuell führen die Kantone Luzern, Basel-Stadt, St. Gallen, Graubünden, Thurgau und Neuenburg Versuche durch, jeweils nur für einen begrenzten Teil der Stimmberechtigten [7]. Historisch begannen Genf, Neuenburg und Zürich 2001–2005 mit Tests; 2019 wurde das E-Voting wegen eines Sicherheitsfehlers im damaligen Swiss-Post-System gestoppt; das neu entwickelte System wurde im März 2023 vom Bundesrat zugelassen und am 22. Oktober 2023 in drei Kantonen getestet [2].
Transparenz: Die Schweizer Post veröffentlicht den Quellcode des Systems (seit 2019) samt ausführlicher Spezifikations-, Protokoll- und Architekturdokumentation auf GitLab [5]. Anders als im estnischen Fall wird hier ausdrücklich auf reproduzierbare Builds verwiesen: Forscher können den Weg vom Quellcode zum Binärcode nachprüfen; Hashes eines Linux-Builds werden publiziert [5].
**3. Der feine Unterschied: „source available“ vs. prüfbarer Code ** Beide Systeme setzen auf die Veröffentlichung des Quellcodes, aber mit unterschiedlicher rechtlicher und technischer Tiefe:
Estland: Quellcode öffentlich, Lizenz CC BY-NC-ND → kein freies Modifizieren, kein Open Source im OSI-Sinn [4]; eine Reproduzierbarkeits-Garantie ist in den ausgewerteten Quellen nicht dokumentiert.
Schweiz: Quellcode und Spezifikation öffentlich, zusätzlich reproduzierbare Builds [5].
**4. Die Kernfrage aus dem Hacker-News-Thread Der Thread [8] dreht sich im Kern um eine einzige Frage: Öffentlicher Quellcode ist kein Beweis dafür, dass genau dieser Code auf den tatsächlich eingesetzten Servern läuft. **
Diskutanten verweisen auf das „Reflections-on-Trusting-Trust“-Problem (Manipulation bereits auf Firmware-/Compiler-Ebene) und darauf, dass sich nur nachträglich verifizieren lässt, was eine Maschine getan hat – nicht, dass sie es tun wird [8].
Beide Systeme begegnen diesem Einwand auf unterschiedliche Weise:
Individuelle Verifizierbarkeit existiert in beiden: Estland per Smartphone-Prüf-App [1], die Schweiz per Rückmelde-Codes [5][6]. Sie schützt den Wähler aber nur vor Manipulation auf dem eigenen Gerät, nicht vor Manipulation im zentralen Auszählungsteil.
Universelle Verifizierbarkeit (Auditor kann das Gesamtergebnis gegen die registrierten Stimmen prüfen) ist beim Schweizer System explizit Teil der Spezifikation [5]; bei Estland wird die Prüfung über die Veröffentlichung der Dokumentation, Beobachtung und Daten-Audit beschrieben [1].
Reproduzierbare Builds schließen zumindest die Lücke „Quelle ↔ Binärcode“ – das bietet die Schweiz ausdrücklich an [5], Estland nach den vorliegenden Quellen nicht.
Als gesellschaftliche Rückfallebene gegen Zwang oder Manipulation dient in Estland die Regel, dass die Papierstimme die Internet-Stimme überstimmt und erneut abgestimmt werden kann [1].
5. Aussichten
Ein erster Schritt im Rahmen der Aufwertung von Wahlen in Staaten, die für sich in Anspruch nehmen demokratische Wert zu vertreten, kann und muss sein, dass das (technische) Wahlsystem transparenter, effizienter und weniger anfällig für Manipulationen wird.
Wir als Gesellschaft sind auch technisch weit über die Phase hinaus, da das Nachdenken über den Einsatz von "Wahlcomputer" ausreicht: "Zum einen findet bei der Stimmauszählung mit einem Wahlcomputer die Stimmenspeicherung komplett im Inneren des Wahlcomputers statt. Die Wählerinnen und Wähler können also nicht mehr überprüfen, ob die Stimmen tatsächlich und unverändert registriert wurden." [6].
Es muss und kann, einfach weil die Technologie es erlaubt, größer gedacht werden. Es ist alles da, wir müssen es nur wollen und dann eben nutzen.
Die Ident-Frage kann sicher erst einmal auf absehbare Zeit wie in der Schweiz gelöst werden. Briefe werde ohnehin auch heute (noch) an die Wahlberechtigten versandt. Das Anknüpfen an ID-Karten, den ID-PA etc. ist abzulehnen, da es keinen Zwang zur Nutzung des ID-PA gibt und vorerst auch nicht geben sollte (der Staat ist - wie hier schon mehrfach vertreten - nicht gut in der Absicherung von Daten Dritter / der Bürger).
Der Unterzeichner ist auch der Meinung, dass die eingesetzte Software open source sein muss (open source everything).
Das Hauptaugenmerk muss dann (wenn wir also bei der Verwendung von open-source-Software für die Durchführung der Wahlen angekommen sind) auf dem hier in Punkt 4. dargestellten Problem liegen ("dass auch genau dieser Code auf den tatsächlich eingesetzten Servern laufen muss und dies jederzeit überprüfbar sein muss"). Auch hier gilt: es geht technisch schon längst, wir müssen es nur wollen.
Der Bürger hat in den letzen Jahren lernen müssen dem Staat massiv zu mißtrauen; das Bild von Europa in diesen Tagen (gewaltsame Massenproteste in vielen der größten EU-Ländern) ist trauriger Beleg. Wenn der Bürger und inbesondere die Jugend (wieder) überzeugt werden soll, dass dem Staat - gerade im Bereich der "demokratischen Willensbildung" - vertraut werden kann, dann geht das nur über ein transparentes Wahlsystem.
Und da schreibt der Autor - das sollte inzwischen klar geworden sein - nicht über das Wahl-RECHT. Obwohl; der Jurist hat gelernt, dass Verfahrensfragen sehr oft gleich- wenn nicht schwerer wiegend für die Zeilerreichung sind. Und Teil des Verfahrens ist bei Wahlen nun einmal das WIE.
Wir leben gegenwärtig mit vielen "alt-hergebrachten" Erscheinungen, die renovierungsbedürftig sind. Das technische Wahlsystem gehört definitiv dazu; fangen wir doch einfach mal damit an!
Quellenverzeichnis (Oktober 2026)
valimised.ee – „Questions about the reliability of i-voting“ (FAQ)
https://www.valimised.ee/en/internet-voting/more-about-i-voting/e-voting-other-countries
https://github.com/valimised/ivxv
https://github.com/valimised/ivxv/blob/master/LICENSE
https://gitlab.com/swisspost-evoting/e-voting/e-voting/-/raw/master/README.md
https://swisspost-digital.ch/en/solutions/e-voting/the-e-voting-solution-for-cantons
https://www.bk.admin.ch/en/e-voting
https://news.ycombinator.com/item?id=50127586
https://www.mehr-demokratie.de/mehr-wissen/wahlrecht/wahlcomputer
Kommentare
Noch keine Kommentare. Schreib den ersten.