Hackertest bestanden: keine kritischen Schwachstellen im E-Voting-System der Post
Ethische Hackerinnen und Hacker haben das E-Voting-System der Post während knapp drei Wochen intensiv geprüft. Trotz einer deutlich höheren Beteiligung als 2025 fanden die Teilnehmenden keine kritische Schwachstelle. Zugleich liefern sechs Befunde der Hacker wertvolle Hinweise, um das System weiter zu verbessern. Die Post belohnte die gemeldeten Befunde mit insgesamt rund 38'000 Franken.
Angriffe im Dienst der Sicherheit
Angriffe im Dienst der Sicherheit
Die Post hat ihr E-Voting-System im Sommer 2026 erneut einem öffentlichen Intrusionstest (Public Intrusion Test, PIT) unterzogen. Vom 6. bis 24. Juli konnten ethische Hackerinnen und Hacker das System der Post angreifen, um den Abstimmungsprozess auf Herz und Nieren zu prüfen. Getestet haben sie nicht das echte Abstimmungssystem, sondern eine identische Umgebung, auf der sie den gesamten Ablauf der Stimmabgabe simulieren konnten.
Deutlich höhere Beteiligung und rund 38'000 Franken Belohnung
Die Beteiligung war deutlich höher als 2025. 5’479 unterschiedliche IP-Adressen aus 107 Ländern haben auf die für den Test bereitgestellte Infrastruktur zugegriffen. Zum Vergleich: 2025 waren es 2’600 IP-Adressen aus 54 Ländern. Insgesamt hat die Post dieses Jahr mehr als 403’000 Zugriffe registriert. 2026 ergänzte die Post den öffentlichen Intrusionstest neu mit erweiterten Testmöglichkeiten. Dabei konnten 20 ausgewählte Sicherheitsforschende das System noch vertiefter prüfen. Für bestätigte Schwachstellen («Bugs») zahlt die Post Belohnungen aus (sogenannte «Bounties»). Im diesjährigen Test hat die Post den ethischen Hackerinnen und Hackern rund 38’000 Schweizer Franken als Belohnung für ihre Befunde ausbezahlt.
Ergebnis: Die digitale Urne bleibt unangetastet
Die Post hat 85 Meldungen erhalten, diese analysiert und konnte sechs Befunde bestätigen. Befunde werden im E-Voting-Bug-Bounty-Programm und somit auch im Intrusionstest jeweils in die vier Schweregrade «tief», «mittel», «hoch» und «kritisch» eingeteilt. Beim Intrusionstest ist ein Befund mit Schweregrad «hoch» und einer mit Schweregrad «mittel» eingegangen. Bei den übrigen handelt es sich um Befunde mit tiefem Schweregrad. Der Befund mit Schweregrad «hoch» hätte die Verfügbarkeit des Abstimmungsservers beeinträchtigen, jedoch keinen Einfluss auf die Sicherheit der abgegebenen Stimmen haben können. Keiner der ethischen Hackerinnen und Hacker hat kritische Schwachstellen im E-Voting-System der Post gefunden. Die digitale Urne hielt den Angriffen trotz deutlich höherer Beteiligung stand. Die Post analysiert sämtliche Meldungen genau und nutzt sie, um das System weiter zu verbessern. Für die Post ist klar: Die Transparenz und die Zusammenarbeit mit der internationalen Sicherheitsgemeinschaft tragen dazu bei, E-Voting in der Schweiz kontinuierlich sicherer zu machen.
So arbeitet die Post an sicherem E-Voting
So arbeitet die Post an sicherem E-Voting
Die Post hat das E-Voting-System in der Schweiz entwickelt und entwickelt es auch hier weiter. Die Post hat in Neuenburg dazu ein Kompetenzzentrum für E-Voting und Kryptografie aufgebaut. Dort arbeitet ein Expertenteam täglich an Codes und Algorithmen. Öffentliche Sicherheitstests sind für die Post ein wichtiges Mittel, um das System laufend zu verbessern. Sie sind gesetzlich vorgeschrieben, damit E-Voting im Versuchsbetrieb eingesetzt werden darf. Weitere Informationen zum Thema E-Voting gibt es bei der Bundeskanzlei und unter swisspost-digital.ch. Übrigens: Nicht nur E-Voting – auch weitere Dienstleistungen ermöglicht die Post digital: Zum Beispiel lassen sich digitale Briefe direkt mit der Post-App verschicken und empfangen.