Übersetzung 2004/1780-wr
V 3 a – 121 311/22

IP1(2004) 31 E Fin (web)

Recommendation Rec(2004)11
of the Committee of Ministers to member states
on legal, operational and technical standards for
e-voting
(Adopted by the Committee of Ministers on 30 September 2004
at the 898th meeting of the Ministers' Deputies)
Non official German Translation

Multidisziplinäre Ad-hoc-Gruppe von Fachleuten für rechtliche, operative und technische Standards für die elektronische Stimmabgabe
(IP1-S-EE)

Entwurf für eine
Empfehlung des Ministerkomitees an die Mitgliedstaaten
hinsichtlich der rechtlichen, operativen und technischen Standards
für die elektronische Stimmabgabe

Endgültiger Entwurf, angenommen von der IP1-SE-EE auf
ihrer vierten und abschließenden Sitzung
am 5.-6. Juli 2004 in Straßburg

Niederschrift erstellt durch
das IP1-Sekretariat

Entwurf
Empfehlung Nr. R(2004) xxx des Ministerkomitees
an die Mitgliedstaaten zur elektronischen Stimmabgabe

Das Ministerkomitee, gestützt auf Artikel 15 Buchstabe b des Status des Europarats -

in Erwägung, dass es das Ziel des Europarats ist, eine engere Verbindung zwischen seinen Mitgliedstaaten herzustellen, damit die Ideale und Grundsätze, die ihr gemeinsames Erbe sind, geschützt und gefördert werden,

in Bekräftigung seiner Überzeugung, dass die repräsentative und direkte Demokratie Teil dieses gemeinsamen Erbes sind und die Grundlage bilden für die Beteiligung der Bürger am politischen Leben auf der Ebene der Europäischen Union sowie auf nationaler, regionaler und lokaler Ebene,

in Anerkennung der im Rahmen bestehender internationaler Abkommen und Dokumente eingegangenen Verpflichtungen, wie:

- der Allgemeinen Erklärung der Menschenrechte,
- des Internationalen Pakts über bürgerliche und politische Rechte,
- des Internationalen Übereinkommens zur Beseitigung jeder Form von Rassendiskriminierung,
- des Übereinkommens zur Beseitigung jeder Form von Diskriminierung der Frau,
- der Konvention zum Schutze der Menschenrechte und Grundfreiheiten, insbesondere das Protokoll Nr. 1 (ETS 005),
- der Europäischen Charta der kommunalen Selbstverwaltung (ETS 122),
- des Übereinkommens zur Bekämpfung der Datennetzkriminalität (ETS 185),
- des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (ETS 108),
- des Übereinkommens zum Schutz der Privatsphäre im Internet (R (1999) 5),
- des Dokuments des Kopenhagener Treffens der Konferenz über die Menschliche Dimension der KSZE,
- der EU-Charta der Grundrechte und
- des Verhaltenskodexes für Wahlen, verabschiedet vom Rat für demokratische Wahlen des Europarats und der Europäischen Kommission für Demokratie durch Recht.

in dem Bewusstsein, dass das Recht zur Stimmabgabe einen der Grundpfeiler der Demokratie bildet und dass die Verfahren der elektronischen Stimmabgabe folglich mit den Grundsätzen demokratischer Wahlen und Volksentscheide übereinstimmen müssen,

in der Erkenntnis, dass angesichts der zunehmenden Nutzung neuer Informations- und Kommunikationstechnologien im Alltag die Mitgliedstaaten diese Entwicklungen in ihrer demokratischen Praxis berücksichtigen müssen,

in Anbetracht dessen, dass die Wahlen und Volksentscheide auf lokaler, regionaler und nationaler Ebene in einigen Mitgliedstaaten durch eine geringe und in einigen Fällen stetig abnehmende Wahlbeteiligung gekennzeichnet sind,

im Hinblick darauf, dass einige Mitgliedstaaten die Einführung der elektronischen Stimmabgabe planen bzw. diese bereits für eine Reihe von Zwecken einsetzen, wie zum Beispiel um:

- Wählern die Möglichkeit zu geben, ihre Stimme auch an einem anderen Ort als dem Wahllokal in ihrem Stimmbezirk abzugeben,
- dem Wähler die Stimmabgabe zu erleichtern,
- allen Wahlberechtigten, insbesondere Staatsbürgern, die sich im Ausland aufhalten, die Teilnahme an Wahlen und Volksentscheiden zu erleichtern,
- Behinderten oder Personen, denen der Besuch im Wahllokal und die Nutzung der dort vorhandenen Einrichtungen körperliche Schwierigkeiten bereitet, einen besseren Zugang zum Verfahren der Stimmabgabe zu ermöglichen,
- die Wahlbeteiligung durch die Bereitstellung zusätzlicher Arten der Stimmabgabe zu erhöhen,
- das Verfahren der Stimmabgabe in Einklang zu bringen mit den neuen Entwicklungen in der Gesellschaft und der zunehmenden Nutzung neuer Technologien für die Kommunikation und das Engagement der Bürger bei der Ausübung der Demokratie,
- die Kosten, die den Wahlbehörden insgesamt bei der Durchführung von Wahlen oder Volksentscheiden entstehen, im Laufe der Zeit zu senken,
- die Wahlergebnisse zuverlässig und schnell liefern zu können und
- der Wählerschaft einen besseren Service zu bieten, indem eine Vielzahl verschiedener Arten der Stimmabgabe angeboten werden,

eingedenk bestimmter Sicherheits- und Verlässlichkeitsprobleme, die bestimmten elektronischen Stimmabgabesystemen innewohnen,

deshalb in dem Bewusststein, dass das Vertrauen der Öffentlichkeit, das die Voraussetzung für die Einführung elektronischer Stimmabgabeverfahren ist, nur gewonnen werden kann durch elektronische Systeme, die sicher, verlässlich, effizient und technisch robust sind, die sich unabhängig verifizieren lassen und den Wählern leicht zugänglich gemacht werden können,

empfiehlt den Mitgliedstaaten, sofern sie die elektronische Stimmabgabe bereits eingeführt haben oder dies erwägen, dass sie, vorbehaltlich der Ziffer (iv), die Ziffern (i) bis (iii) unten sowie die Standards und Anforderungen hinsichtlich der rechtlichen, operativen und technischen Aspekte der elektronischen Stimmabgabe, wie sie in den Anhängen zu dieser Empfehlung festgelegt sind, einhalten.

i) Bei der elektronischen Stimmabgabe sind die Grundsätze demokratischer Wahlen und Volksentscheiden zu achten. Die elektronische Stimmabgabe muss so verlässlich und sicher wie demokratische Wahlen und Volksentscheide sein, bei denen keine elektronischen Hilfsmittel verwendet werden. Dieser allgemeine Grundsatz umfasst alle mit Wahlen zusammenhängenden Angelegenheiten, gleichviel ob sie in den Anhängen erwähnt werden oder nicht.

ii) Die Verbindung zwischen rechtlichen, operativen und technischen Aspekten der elektronischen Stimmabgabe, wie sie in den Anhängen dargelegt ist, ist bei der Anwendung dieser Empfehlung zu berücksichtigen.

iii) Die Mitgliedstaaten sollen eine Überprüfung ihrer einschlägigen innerstaatlichen Gesetzgebung im Lichte dieser Empfehlung erwägen.

iv) Die Grundsätze und Bestimmungen, die in den Anhängen dieser Empfehlung enthalten sind, verpflichten die einzelnen Mitgliedstaaten jedoch nicht, ihre eigenen innerstaatlichen Wahlverfahren zu ändern, die zum Zeitpunkt der Annahme dieser Empfehlung eventuell bestanden haben und die auch parallel zur elektronischen Stimmabgabe beibehalten werden können, solange diese innerstaatlichen Wahlverfahren mit den Grundsätzen demokratischer Wahlen und Volksentscheide übereinstimmen.

v) Um für den Europarat innerhalb von zwei Jahren nach Annahme dieser Empfehlung eine Grundlage für weiteres Handeln hinsichtlich der elektronischen Stimmabgabe zu schaffen, empfiehlt das Ministerkomitee, dass die Mitgliedstaaten:

o ihre Politik hinsichtlich der elektronischen Stimmabgabe und ihre Erfahrungen damit, insbesondere mit der Umsetzung dieser Empfehlung, fortgesetzt überprüfen und
o dem Sekretariat des Europarats die Ergebnisse ihrer Überprüfungen mitteilen, damit es sie an die Mitgliedstaaten weiterleiten und das Thema der elektronischen Stimmabgabe nachbereiten kann.

In dieser Empfehlung werden die folgenden Begriffe mit der folgenden Bedeutung verwendet:

o Authentifizierung: die Verifizierung der Identität einer Person oder von Daten;
o Stimmzettel: das gesetzlich anerkannte Mittel, mit dem ein Wähler seine Auswahl aus den Wahloptionen zum Ausdruck bringen kann;
o Kandidat: eine Wahloption in Form einer Person und/oder einer Personengruppe und/oder einer politischen Partei.
o Stimmabgabe: Einwurf des Stimmzettels in die Wahlurne;
o E-Wahlen oder E-Volksentscheid: politische Wahlen oder Volksentscheide, bei denen elektronische Hilfsmittel in einer oder mehreren Abstimmungsphasen verwendet werden;
o elektronische Wahlurne: das elektronische Hilfsmittel, in dem die Stimmen bis zur Auszählung aufbewahrt werden;
o elektronische Stimmabgabe: eine E-Wahl oder ein E-Volksentscheid, bei dem elektronische Hilfsmittel wenigstens bei der Stimmabgabe verwendet werden.
o elektronische Fern-Stimmabgabe: elektronische Stimmabgabe, bei der die Stimme unter Verwendung eines Geräts abgeben wird, das nicht von einem Wahlbeamten kontrolliert wird.
o Versiegeln: Schutz von Informationen, sodass sie nicht ohne Zuhilfenahme anderer Informationen oder Hilfsmittel, die nur bestimmten Personen oder Behörden zur Verfügung stehen, genutzt oder gelesen werden können.
o Stimme: der Ausdruck der aus mehreren Wahloptionen getroffenen Auswahl.
o Wähler: eine Person, die zur Stimmabgabe bei einer bestimmten Wahl oder einem bestimmten Volksentscheid berechtigt ist.
o Art der Stimmabgabe (voting channel): die Art und Weise, auf die ein Wähler seine Stimme abgeben kann.
o Wahloptionen: das Spektrum der Möglichkeiten, aus dem durch die Stimmabgabe bei Wahlen oder bei einem Volksentscheid eine Auswahl getroffen werden kann.
o Wählerverzeichnis: eine Liste der wahlberechtigten Personen (Wähler).

Anhang I

Rechtsnormen

A. Grundsätze

I. Allgemeines Wahlrecht

1. Die Benutzeroberfläche eines Geräts zur elektronischen Stimmabgabe muss verständlich und leicht handhabbar sein.
2. Eventuelle Anforderungen für die Registrierung zur elektronischen Stimmabgabe dürfen für den Wähler kein Hindernis für die Teilnahme an der elektronischen Stimmabgabe darstellen.
3. Die Systeme für die elektronische Stimmabgabe müssen möglichst so beschaffen sein, dass die Möglichkeiten, die ein solches System behinderten Menschen bieten kann, maximal ausgeschöpft werden.
4. Solange die Arten der elektronischen Fern-Stimmabgabe nicht universell zugänglich sind, dürfen sie lediglich eine zusätzliche und optionale Art der Stimmabgabe sein.

II. Gleiches Wahlrecht

5. Bei jeder Wahl und bei jedem Volksentscheid ist sicherzustellen, dass ein Wähler nur einen einzigen Stimmzettel in die elektronische Wahlurne einwirft. Einem Wähler wird die Stimmabgabe nur dann genehmigt, wenn sichergestellt worden ist, dass er seinen Stimmzettel nicht bereits in die Wahlurne geworfen hat.
6. Durch das System für die elektronische Stimmabgabe muss verhindert werden, dass ein Wähler seine Stimme auf mehrere Arten abgibt.
7. Jede in einer elektronischen Wahlurne hinterlegte Stimme wird gezählt, und jede bei einer Wahl oder einem Volksentscheid abgegebene Stimme wird nur einmal gezählt.
8. Wenn elektronische und nicht-elektronische Arten der Stimmabgabe genutzt werden, dann muss es eine sichere und verlässliche Methode geben, um alle Stimmen zu einer Gesamtmenge zusammenzufassen und das korrekte Ergebnis zu ermitteln.

III. Freie Ausübung des Wahlrechts

9. Die elektronische Stimmabgabe muss so organisiert sein, dass die freie Meinungsbildung und -äußerung der Wähler und gegebenenfalls die persönliche Ausübung des Wahlrechts gewährleistet sind.
10. Durch die Art und Weise, wie der Wähler durch das Verfahren der elektronischen Stimmabgabe geführt wird, muss verhindert werden, dass er seine Stimme nicht übereilt und unüberlegt abgibt.
11. Der Wähler muss in jeder Phase des elektronischen Verfahrens der Stimmabgabe die Möglichkeit haben, seine Auswahl zu verändern oder das Verfahren ganz abzubrechen, ohne dass eine bereits getroffene Auswahl dokumentiert oder einer anderen Person zugänglich gemacht wird.
12. Durch das System zur elektronischen Stimmabgabe darf nicht zugelassen werden, dass auf den Wähler während der Stimmabgabe manipulierend Einfluss genommen wird.
13. Durch das System zur elektronischen Stimmabgabe wird dem Wähler die Möglichkeit eingeräumt, an einer Wahl oder einem Volksentscheid teilzunehmen, ohne sich für eine der Wahloptionen zu entscheiden, z.B. ungültig¹ zu wählen.
14. Durch das System zur elektronischen Stimmabgabe muss dem Wähler eindeutig angezeigt werden, dass die Stimmabgabe erfolgt ist und das Verfahren damit abgeschlossen wurde.
15. Durch das System zur elektronischen Stimmabgabe muss verhindert werden, dass eine Stimme nachträglich, nach erfolgter Stimmabgabe verändert wird.

IV. Geheime Wahlen

16. Die elektronische Stimmabgabe ist so zu organisieren, dass zu jedem Zeitpunkt des Verfahrens, insbesondere bei der Authentifizierung des Wählers, alle Umstände, die das Wahlgeheimnis gefährden würden, ausgeschlossen sind.
17. Durch das System zur elektronischen Stimmabgabe muss sichergestellt werden, dass die Stimmen in der elektronischen Wahlurne und die bereits ausgezählten Stimmen anonymisiert werden und dass kein Zusammenhang zwischen der abgegebenen Stimme und dem Wähler hergestellt werden kann.
18. Das System zur elektronischen Stimmabgabe muss so beschaffen sein, dass anhand der erwarteten Stimmenanzahl in einer beliebigen elektronischen Wahlurne keine Verbindung zwischen dem Ergebnis und einzelnen Wählern herstellbar ist.
19. Es sind Maßnahmen zu treffen um sicherzustellen, dass die während der elektronischen Verarbeitung benötigten Informationen keinesfalls dafür verwendet werden können, das Wahlgeheimnis zu verletzen.

B. Verfahrensschutz

I. Transparenz

20. Die Mitgliedstaaten werden Schritte unternehmen um sicherzustellen, dass die Wähler das verwendete System zur elektronischen Stimmabgabe verstehen und darin Vertrauen haben.
21. Informationen über die Funktionsweise des Systems zur elektronischen Stimmabgabe werden öffentlich zugänglich gemacht.
22. Den Wählern wird die Möglichkeit gegeben, jedes neue Verfahren zur elektronischen Stimmabgabe vor der tatsächlichen elektronischen Stimmabgabe und getrennt davon zu testen.
23. Jeder Beobachter kann im gesetzlich zulässigen Rahmen anwesend sein, um die elektronische Stimmabgabe, einschließlich die Ermittlung der Ergebnisse, zu beobachten und zu kommentieren.

II. Verifizierbarkeit und Nachvollziehbarkeit

24. Die Bestandteile des Systems zur elektronischen Stimmabgabe werden, soweit dies für die Verifizierbarkeit und Zertifizierung nötig ist, zumindest den zuständigen Wahlbehörden offen gelegt.
25. Vor der Einführung eines Systems zur elektronischen Stimmabgabe und später in geeigneten Intervallen, insbesondere nach jeder an dem System vorgenommen Änderung, verifiziert ein unabhängiges Gremium, das von den Wahlbehörden ernannt wird, dass das System einwandfrei funktioniert und dass alle notwendigen Sicherheitsvorkehrungen getroffen wurden.
26. Es muss die Möglichkeit bestehen, die Stimmen nachzuzählen. Sonstige Merkmale des Systems zur elektronischen Stimmabgabe, welche die Richtigkeit der Ergebnisse beeinflussen können, müssen verifizierbar sein.
27. Durch das System zur elektronischen Stimmabgabe darf eine teilweise oder vollständige Wiederholung einer Wahl oder eines Volksentscheids nicht verhindert werden.

III. Zuverlässigkeit und Sicherheit

28. Die Behörden der Mitgliedstaaten gewährleisten die Zuverlässigkeit und Sicherheit des Systems zur elektronischen Stimmabgabe.
29. Es sind alle Schritte zu unternehmen, um Möglichkeiten des Betrugs oder der unbefugten Intervention, die sich auf das System auswirken können, zu vermeiden.
30. Das System zur elektronischen Stimmabgabe muss über Mechanismen zur Aufrechterhaltung der Verfügbarkeit seiner Dienste während des elektronischen Abstimmungsverfahrens verfügen. Das System muss vor allem widerstandsfähig gegen Fehlfunktionen, Zusammenbrüche oder DoS-Angriffe (denial of service) sein.
31. Vor der Durchführung einer E-Wahl oder eines E-Volksentscheids vergewissern sich die Wahlbehörden, dass das System zur elektronischen Stimmabgabe unverfälscht ist und ordnungsgemäß funktioniert.
32. Nur die von der Wahlbehörde ernannten Personen haben Zugang zur zentralen Infrastruktur, den Servern und den Wahl-Daten. Für ihre Ernennung bestehen eindeutige Regeln. Kritische technische Maßnahmen werden nur von Teams, bestehend aus mindestens zwei Personen, vorgenommen. Die Zusammensetzung der Teams wird regelmäßig verändert. Solche Maßnahmen werden möglichst nur außerhalb von Wahlperioden durchgeführt.
33. Solange eine elektronische Wahlurne geöffnet ist, dürfen genehmigte Eingriffe, die sich auf das System auswirken, nur von Teams aus mindestens zwei Personen ausgeführt werden; solche Eingriffe unterliegen der Berichtspflicht und es muss Vertretern der zuständigen Wahlbehörden und allen sonstigen Wahlbeobachtern möglich sein, sie zu überwachen.
34. Durch das System zur elektronischen Stimmabgabe muss die Verfügbarkeit und Integrität der Stimmen aufrechterhalten werden. Ebenso muss durch das System die Vertraulichkeit der Stimmen, die bis zur Auszählung versiegelt bleiben, gewahrt werden. Werden Stimmen außerhalb kontrollierter Umgebungen gespeichert oder übermittelt, sind sie zu verschlüsseln.
35. Die Stimmen und die Wählerinformationen bleiben versiegelt, solange die Art der Datenaufbewahrung ihre Zuordnung erlauben würde. Die Authentifizierungsinformationen werden in einer vorher festgelegten Phase des elektronischen Abstimmungsverfahrens von der Entscheidung des Wählers getrennt.

Anhang II

Operative Standards

I. Bekanntgabe

36. Innerstaatliche Rechtsvorschriften zu E-Wahlen und E-Volksentscheiden sehen eindeutige Zeitpläne für alle Phasen einer Wahl oder eines Volksentscheids vor, einschließlich der Phasen davor und danach.
37. Die Frist, innerhalb derer eine elektronische Stimme abgegeben werden kann, darf nicht vor der Bekanntgabe einer Wahl oder eines Volksentscheids beginnen. Insbesondere bei der elektronischen Fern-Stimmabgabe ist die Frist rechtzeitig vor dem Beginn der Stimmabgabe festzulegen und öffentlich bekannt zu geben.
38. Die Wähler sind rechtzeitig vor dem Beginn der Stimmabgabe in klaren und einfachen Worten über die Art und Weise der elektronischen Stimmabgabe sowie über die Schritte, die sie eventuell unternehmen müssen, um an der Abstimmung teilzunehmen, zu informieren.

II. Wähler

39. Es gibt ein Wählerverzeichnis, das regelmäßig aktualisiert wird. Ein Wähler kann wenigstens die darin enthaltenen Einträge über ihn überprüfen und gegebenenfalls um Berichtigung ersuchen.
40. Die Möglichkeit der Einrichtung eines elektronischen Verzeichnisses und der Einführung eines Verfahrens zur Online-Wählerregistrierung sowie zur Anmeldung auf Teilnahme an der elektronischen Stimmabgabe, sofern zutreffend, ist zu prüfen. Sofern die Teilnahme an der elektronischen Stimmabgabe eine getrennte Anmeldung durch den Wähler und/oder zusätzliche Schritte erfordert, ist ein elektronisches und nach Möglichkeit interaktives Verfahren zu prüfen.
41. Kommt es zu Überschneidungen zwischen den Fristen für die Wählerregistrierung und die Stimmabgabe, ist für die ordnungsgemäße Authentifizierung der Wähler zu sorgen.

III. Kandidaten

42. Die Möglichkeit der Einführung einer Online-Nominierung der Kandidaten könnte geprüft werden.
43. Eine elektronisch erzeugte und bereit gestellte Kandidatenliste ist auch auf anderem Wege öffentlich zur Verfügung zu stellen.

IV. Abstimmung

44. Ist während der Öffnung der Wahllokale die Fern-Stimmabgabe möglich, so ist es ist besonders wichtig, dass das System so beschaffen ist, dass ein Wähler nicht öfter als einmal seine Stimme abgeben kann.
45. Der Beginn und/oder das Ende der Fern-Stimmabgabe können zeitlich vor der Öffnung der Wahllokale liegen. Die Fern-Stimmabgabe darf nicht über die Schließung der Wahllokale hinaus fortgesetzt werden.
46. Die Wähler erhalten Unterstützung und Anleitung für jede Art der Stimmabgabe. Bei der Fern-Stimmabgabe wird diese Unterstützung und Anleitung auch über verschiedene, allgemein verfügbare Kommunikationskanäle bereitgestellt.
47. Alle Wahloptionen werden auf dem zur elektronischen Stimmabgabe verwendeten Gerät auf die gleiche Weise präsentiert.
48. Der Stimmzettel, der zur elektronischen Stimmabgabe verwendet wird, enthält außer den für die Stimmabgabe unbedingt erforderlichen Informationen keinerlei Informationen über Wahloptionen. Das Anbringen sonstiger Mitteilungen auf dem System zur elektronischen Stimmabgabe, welche die Entscheidung des Wählers beeinflussen könnten, ist zu vermeiden.
49. Wenn man sich entschließt, Informationen über Wahloptionen am Ort der elektronischen Stimmabgabe zugänglich zu machen, so sind alle Informationen auf die gleiche Weise zu präsentieren.
50. Bevor ein Wähler unter Nutzung eines Systems zur Fern-Stimmabgabe seine Stimme abgibt, ist er ausdrücklich darauf aufmerksam zu machen, dass es sich bei der aktuellen E-Wahl oder dem aktuellen E-Volksentscheid um eine echte Wahl beziehungsweise einen echten Volksentscheid handelt. Bei Tests sind die Teilnehmer ausdrücklich darauf hinzuweisen, dass es sich nicht um eine echte Wahl oder einen echten Volksentscheid handelt; sofern die Tests zum Zeitpunkt von Wahlen fortgesetzt werden, sind die Wähler dazu einzuladen, ihre Stimme unter Verwendung der zu diesem Zweck bereitgestellten Arten der Stimmabgabe abzugeben.
51. Durch ein System zur Fern-Stimmabgabe darf ein Wähler nicht in die Lage versetzt werden, in den Besitz eines Nachweises über den Inhalt seiner Wahlentscheidung zu gelangen.
52. In einer kontrollierten Umgebung verschwinden die Angaben über die Wahlentscheidung von der visuellen, akustischen oder taktilen Anzeige, sobald die Stimmabgabe erfolgt ist. Wird dem Wähler im Wahllokal ein Nachweis in Papierform über seine elektronische Stimmabgabe ausgehändigt, ist sicherzustellen, dass er diesen Nachweis nicht anderen Personen zeigt und ihn beim Verlassen des Wahllokals nicht mitnimmt.

V. Ergebnisse

53. Durch das System zur elektronischen Stimmabgabe darf es nicht möglich sein, die Anzahl der für eine beliebige Wahloption abgegebenen Stimmen zu ermitteln und offen zu legen, bevor die elektronische Wahlurne geschlossen wurde. Diese Informationen dürfen der Öffentlichkeit nicht vor dem Ende der Abstimmungsfrist bekannt gegeben werden.
54. Durch das System zur elektronischen Stimmabgabe darf es nicht möglich sein, Informationen zu Stimmen, die in bestimmten Untereinheiten abgegeben wurden und Rückschlüsse auf individuelle Wählerentscheidungen zulassen könnten, zu verarbeiten.
55. Die für die Auszählung der Stimmen erforderliche Dekodierung hat so bald als möglich nach dem Ende der Abstimmungsfrist zu beginnen.
56. Während der Stimmenauszählung kann sich jeder Vertreter der zuständigen Wahlbehörden an der Auszählung beteiligen und jedem Beobachter ist es möglich, die Auszählung zu beobachten.
57. Über das Verfahren der Auszählung der elektronisch abgegebenen Stimmen, einschließlich Beginn und Ende der Auszählung und der daran beteiligten Personen, ist Buch zu führen.
58. Im Falle von Unregelmäßigkeiten, die sich auf die Integrität der Stimmen auswirken, sind die betroffenen Stimmen tabellarisch aufzubereiten.

VI. Prüfung

59. Das System zur elektronischen Stimmabgabe muss prüfbar sein.
60. Die aus dem Prüfverfahren gezogenen Schlussfolgerungen sind in zukünftigen Wahlen und Volksentscheiden zu berücksichtigen.

Anhang III

Technische Anforderungen

Die Ausgestaltung eines Systems zur elektronischen Stimmabgabe ist auf eine umfassende Bewertung der Risiken zu stützen, die mit der Durchführung einer bestimmten Wahl oder eines bestimmten Volksentscheids verbunden sind. Ausgehend von dieser Risikobewertung muss das System über angemessene Sicherungen verfügen, um mit spezifischen festgestellten Risiken umgehen zu können. Ein Ausfall oder eine Verschlechterung der Dienste des Systems ist in vordefinierten Grenzen zu halten.

A. Zugänglichkeit

61. Es sind Maßnahmen zu ergreifen um sicherzustellen, dass die relevante Software und die relevanten Dienste von allen Wählern genutzt werden können, und gegebenenfalls ist der Zugang zu alternativen Formen der Stimmabgabe bereitzustellen.
62. Die Nutzer sind an der Gestaltung des Systems zur elektronischen Stimmabgabe zu beteiligen, insbesondere um Schwierigkeiten zu erkennen und die Einfachheit der Handhabung in jeder Stufe des Entwicklungsprozesses zu testen.
63. Den Nutzern sind bei Bedarf und nach Möglichkeit zusätzliche Einrichtungen, wie spezielle Bedienoberflächen oder sonstige vergleichbare Ressourcen, wie persönliche Hilfestellung, zur Verfügung zu stellen. Die Leistungsmerkmale müssen so weit wie möglich mit den Richtlinien der Web Accessibility Initiative (WAI) übereinstimmen.
64. Bei der Entwicklung neuer Produkte ist ihre Kompatibilität mit bereits vorhandenen Produkten zu berücksichtigen, einschließlich solcher Produkte, die Hilfstechnologien für Menschen mit Behinderungen nutzen.
65. Die Präsentation der Wahloptionen ist für die Wähler optimal zu gestalten.

B. Interoperabilität

66. Es sind frei zugängliche Standards (open standards) zu verwenden um sicherzustellen, dass die verschiedenen technischen Komponenten oder Dienste eines Systems zur elektronischen Stimmabgabe, die möglicherweise aus einer Vielzahl von Quellen stammen, miteinander verknüpft können.
67. Gegenwärtig erfüllt der EML-Standard (Election Mark-Up Langugage) diese Kriterien, und im Sinne der Gewährleistung der Interoperabilität ist EML nach Möglichkeit für E-Wahlen und E-Volksentscheide einzusetzen. Die Entscheidung über die Anwendung von EML obliegt den Mitgliedstaaten. Der zum Zeitpunkt der Annahme dieser Empfehlung gültige EML-Standard sowie unterstützende Dokumente sind auf der Website des Europarats erhältlich.
68. In Fällen, wo spezifische Anforderungen an Wahl- oder Volksentscheid-Daten gestellt werden, ist ein Lokalisierungsverfahren zu verwenden. Dies würde die Erweiterung oder Beschränkung der bereitgestellten Informationen bei gleichzeitiger Aufrechterhaltung der Kompatibilität mit der generischen EML-Version ermöglichen. Es wird empfohlen, strukturierte Scheme languages und Pattern languages zu verwenden.

C. Systembetrieb
(für die zentrale Infrastruktur und Clients in kontrollierten Umgebungen)

69. Die zuständigen Wahlbehörden veröffentlichen eine amtliche Liste der bei einer E-Wahl oder einem E-Volksentscheid verwendeten Software. Die Mitgliedstaaten können aus Sicherheitsgründen darauf verzichten, Datenschutzsoftware in diese Liste aufzunehmen. Die Liste muss wenigstens Angaben zur verwendeten Software, den Versionen, dem Datum der Installation und eine Kurzbeschreibung enthalten. Es ist ein Verfahren vorzusehen für die regelmäßige Installation aktualisierter Versionen (Updates) und Patches der relevanten Schutzsoftware. Es muss möglich sein, den Status der Schutzsoftware der für die Stimmabgabe verwendeten Geräte jederzeit zu überprüfen.
70. Diejenigen, die für den Betrieb der Geräte verantwortlich sind, erarbeiten ein Notfallverfahren. Alle Back-up-Systeme müssen denselben Standards und Anforderungen genügen, wie das Original-System.
71. Es sind ausreichend Sicherungssysteme (Back-up) einzurichten und ständig bereitzuhalten, um den reibungslosen Verlauf der Abstimmung sicherzustellen. Die betroffenen Mitarbeiter müssen darauf vorbereitet sein, gemäß einem von den zuständigen Behörden festgelegten Verfahren schnell einzugreifen.
72. Diejenigen, die für die Geräte verantwortlich sind, verfügen über Verfahren, mit denen sichergestellt wird, dass die für die Abstimmung benötigten Geräte und ihre Nutzung während der Abstimmungsfrist die Anforderungen erfüllen. Die Back-up-Dienste werden regelmäßig, zusammen mit den Überwachungsprotokollen, bereitgestellt.
73. Vor jeder Wahl oder jedem Volksentscheid werden die Geräte überprüft und nach einem von den zuständigen Behörden festgelegten Protokoll abgenommen. Bei den Überprüfungen wird sichergestellt, dass die Geräte den Spezifikationen genügen. Die Ergebnisse werden den zuständigen Behörden vorgelegt.
74. Alle technischen Maßnahmen unterliegen einem formalen Änderungskontrollverfahren. Kritische Änderungen an wesentlichen Geräteteilen sind anzukündigen.
75. Wesentliche Geräte, die bei einer E-Wahl oder einem E-Volksentscheid verwendet werden, sind in einem sicheren Bereich aufzustellen, und dieser Bereich ist während der gesamten Abstimmungsfrist vor Einwirkungen jeglicher Art zu schützen. Während der Abstimmungsfrist gilt ein Plan zur Behebung von Schäden nach physikalischen Katastrophen. Darüber hinaus sind sämtliche Daten, die nach einer Wahl oder einem Volksentscheid aufbewahrt werden, zu sichern.
76. Bei Zwischenfällen, welche die Integrität des Systems gefährden könnten, haben diejenigen, die für den Betrieb der Geräte verantwortlich sind, unverzüglich die zuständigen Behörden zu informieren, die die nötigen Schritte unternehmen, um die Auswirkungen des Zwischenfalls zu mildern. Die Schwere eines berichtspflichtigen Zwischenfalls wird im Vorfeld von den Wahlbehörden spezifiziert.

D. Sicherheit

I. Allgemeine Anforderungen
(gelten für alle Phasen vor, während und nach der Abstimmung)

77. Es sind technische und organisatorische Maßnahmen zu ergreifen um sicherzustellen, dass im Falle eines Systemausfalls oder eines Systemfehlers keine Daten unwiederbringlich verloren gehen.
78. Das System zur elektronischen Stimmabgabe muss so beschaffen sein, dass der Datenschutz gewahrt wird. Die Vertraulichkeit der Wählerverzeichnisse, die in einem System zur elektronischen Stimmabgabe gespeichert sind oder von einem solchen System übermittelt werden, muss gewahrt werden.
79. Das System zur elektronischen Stimmabgabe führt regelmäßige Überprüfungen durch um sicherzustellen, dass seine Komponenten in Übereinstimmung mit den technischen Spezifikationen funktionieren und alle Dienste verfügbar sind.
80. Der Zugang zu den Diensten des Systems zur elektronischen Stimmabgabe wird über die Nutzer-ID oder ein Nutzer-Rollenkonzept gesteuert, d.h. es erhalten nur die Nutzer Zugang, die über eine bestimmte ID oder Rolle verfügen. Die Authentifizierung eines Nutzers muss wirksam erfolgt sein, bevor eine Aktion ausgeführt werden darf.
81. Das System zur elektronischen Stimmabgabe muss so beschaffen sein, dass Authentifizierungsdaten geschützt sind, sodass Unbefugte diese Daten weder ganz noch teilweise missbrauchen, abfangen, modifizieren oder davon Kenntnis erlangen können. In unkontrollierten Umgebungen ist die Authentifizierung auf der Grundlage von Kryptoverfahren ratsam.
82. Es muss sichergestellt werden, dass die Wähler und die Kandidaten eindeutig identifiziert werden und keine Verwechslung mit anderen Personen möglich ist.
83. Das System zur elektronischen Stimmabgabe muss verlässliche und hinreichend detaillierte Beobachtungsdaten erzeugen, sodass eine Wahlbeobachtung möglich ist. Der Zeitpunkt, an dem aufgrund eines Ereignisses Beobachtungsdaten erzeugt wurden, muss zuverlässig bestimmbar sein. Die Echtheit, Verfügbarkeit und Integrität der Daten ist zu wahren.
84. Das System zur elektronischen Stimmabgabe muss über zuverlässige synchronisierte Zeitquellen verfügen. Die Genauigkeit der Zeitquelle muss ausreichen, um Zeitmarken für Protokolle und Beobachtungsdaten sowie Zeitgrenzen für die Registrierung, Nominierung, Abstimmung oder Auszählung aufrechtzuerhalten.
85. Die Wahlbehörden sind für Einhaltung dieser Sicherheitsanforderungen, die von unabhängigen Gremien bewertet werden, verantwortlich.

II. Anforderungen in den Phasen vor der Abstimmung
(und für die Daten, die zur Verwendung in der Abstimmungsphase übermittelt werden)

86. Die Authentizität, Verfügbarkeit und Integrität der Wählerverzeichnisse und Kandidatenlisten muss gewahrt werden. Die Datenquelle muss authentifiziert werden. Dabei sind die Datenschutzbestimmungen zu berücksichtigen.
87. Es muss feststellbar sein, ob die Nominierung eines Kandidaten und gegebenenfalls die Entscheidung eines Kandidaten und/oder der zuständigen Wahlbehörde, die Nominierung anzunehmen, innerhalb der vorgeschriebenen Zeitgrenzen erfolgt sind.
88. Es muss feststellbar sein, ob die Wählerregistrierung innerhalb der vorgeschriebenen Zeitgrenzen erfolgt ist.

III. Anforderungen in der Abstimmungsphase
(und für die Daten, die zur Verwendung in den Phasen nach der Abstimmung übermittelt werden)

89. Die Integrität der Daten, die aus der Phase vor der Abstimmung übermittelt wurden (z.B. Wählerverzeichnisse und Kandidatenlisten) ist zu bewahren. Die Datenquelle muss authentifiziert werden.
90. Es muss sichergestellt werden, dass das System zur elektronischen Stimmabgabe dem Wähler einen authentischen Stimmzettel präsentiert. Im Falle der Fern-Stimmabgabe ist der Wähler darüber zu informieren, wie er verifizieren kann, ob eine Verbindung zum offiziellen Server hergestellt wurde und ob es sich um den echten Stimmzettel handelt.
91. Es muss feststellbar sein, ob die Stimmabgabe innerhalb der vorgeschriebenen Zeitgrenzen erfolgt ist.
92. Es sind hinreichende Maßnahmen zu ergreifen um sicherzustellen, dass die Systeme, die von den Wählern zur Stimmabgabe verwendet werden, vor Einflüssen, welche die Wahlentscheidung modifizieren können, geschützt werden können.
93. Verbliebene Informationen, aus denen die Wahlentscheidung des Wählers ersichtlich ist, sowie die Anzeige der Wahlentscheidung sind nach erfolgter Stimmabgabe zu löschen. Bei der Fern-Stimmabgbe sind dem Wähler Informationen zur Verfügung zu stellen, wie er diesen Löschvorgang vornehmen kann.
94. Das System zur elektronischen Stimmabgabe muss zunächst sicherstellen, dass ein Nutzer, der versucht, seine Stimme abzugeben, dazu berechtigt ist. Das System muss den Wähler authentifizieren und sicherstellen, dass nur die zulässige Anzahl von Stimmen pro Wähler abgegeben und in der elektronischen Wahlurne abgelegt wird.
95. Das System zur elektronischen Stimmabgabe muss sicherstellen, dass die Wahlentscheidung des Wählers durch die Stimme richtig wiedergegeben wird und dass die versiegelte Stimme in die Wahlurne gelangt.
96. Nach dem Ende der elektronischen Abstimmungsfrist darf kein Wähler Zugang zum elektronischen Abstimmungssystem erhalten. Allerdings muss die Wahlurne noch ausreichend lange für die Annahme elektronischer Stimmzettel geöffnet bleiben, um Verzögerungen bei der Übermittlung von elektronischen Abstimmungsdaten Rechnung zu tragen.

IV. Anforderungen in den Phasen nach der Abstimmung

97. Die Integrität der Daten, die aus der Abstimmungsphase übermittelt werden (z.B. Stimmen, Wählerverzeichnisse, Kandidatenlisten) ist zu bewahren. Die Datenquelle muss authentifiziert werden.
98. Das Auszählungsverfahren muss die genaue Auszählung der Stimmen gewährleisten. Das Auszählungsergebnis muss reproduzierbar sein.
99. Durch das System zur elektronischen Stimmabgabe müssen die Verfügbarkeit und Integrität der elektronischen Wahlurne sowie des Ergebnisses der Stimmenauszählung so lange wie nötig gewährleistet sein.

E. Prüfung

I. Allgemeines

100. Ein Prüfsystem ist zu entwickeln und als Teil des Systems zur elektronischen Stimmabgabe einzurichten. Prüfvorrichtungen müssen auf verschiedenen Systemebenen eingerichtet werden: logische Ebene, Anwendungsebene, technische Ebene.
101. Eine vollständige Prüfung eines Systems zur elektronischen Stimmabgabe umfasst die Dokumentation, die Überwachung und Verifizierung sowie die Bereitstellung der dafür nötigen Vorrichtungen. Daher sind solche Prüfsysteme zu verwenden, deren Leistungsmerkmale den Anforderungen in den Abschnitten II bis V unten entsprechen.

II. Dokumentation

102. Ein Prüfsystem muss offen und umfassend sein und aktiv über potentielle Probleme und Gefahren berichten.
103. Ein Prüfsystem muss Zeiten, Ereignisse und Aktionen dokumentieren, einschließlich:
a) alle mit der Abstimmung zusammenhängenden Informationen, einschließlich der Anzahl der Wahlberechtigten, der abgegebenen Stimmen und der ungültigen Stimmen, Zählungen und Nachzählungen,
b) jeden Angriff gegen die Betriebsfähigkeit des Systems zur elektronischen Stimmabgabe und die von dem System genutzte Kommunikationsinfrastruktur, und
c) Systemausfälle und Systemfehler sowie sonstige Beeinträchtigungen der Betriebsfähigkeit.

III. Überwachung

104. Durch ein Prüfsystem muss die Möglichkeit gegeben sein, eine Wahl oder einen Volksentscheid zu überwachen und zu verifizieren, dass die Ergebnisse und Verfahren die geltenden Rechtsvorschriften einhalten.
105. Die Offenlegung von Prüfinformationen an Unbefugte muss verhindert werden.
106. Durch das Prüfsystem darf die Anonymität der Wähler zu keinem Zeitpunkt gefährdet werden.

IV. Verifizierbarkeit

107. Durch ein Prüfsystem muss die Möglichkeit gegeben sein, den ordnungsgemäßen Betrieb des Systems zur elektronischen Stimmabgabe sowie die Richtigkeit der Ergebnisse zu überprüfen und zu verifizieren, Wahlbetrug aufzudecken, die Authentizität aller Stimmen nachzuprüfen und zu kontrollieren, ob alle Stimmen gezählt wurden.
108. Durch ein Prüfsystem muss die Möglichkeit gegeben sein zu verifizieren, ob bei der Durchführung einer E-Wahl oder eines E-Volksentscheids die geltenden Rechtsvorschriften eingehalten wurden und durch das Ergebnis die authentischen Wählerstimmen repräsentiert werden.

V. Sonstiges

109. Das Prüfsystem ist gegen Angriffe zu schützen, durch welche die im Prüfsystem aufgezeichneten Daten korrumpiert, verändert oder vernichtet werden können.
110. Die Mitgliedstaaten unternehmen geeignete Schritte, um die Vertraulichkeit aller Informationen, die im Zuge der Durchführung von Prüfungsfunktionen gewonnen wurden, zu gewährleisten.

F. Zertifizierung

111. Die Mitgliedstaaten führen Zertifizierungsverfahren ein, mit deren Hilfe es möglich ist, jede Informations- und Kommunikationstechnologie-Komponente zu testen und deren Konformität mit den in dieser Empfehlung enthaltenen technischen Anforderungen zu zertifizieren.
112. Mit dem Ziel, die internationale Zusammenarbeit zu verbessern und Doppelarbeit zu vermeiden, erwägen die Mitgliedstaaten den Beitritt ihrer jeweiligen Behörden, sofern diese nicht bereits beigetreten sind, zu relevanten internationalen Zusammenschlüssen, wie European Cooperation for Accreditation (EA), International Laboratory Accreditation Cooperation (ILAC), International Accreditation Forum (IAF) und andere ähnliche Gremien.