E-Voting der Post hält Hackertest stand

Vom 17. Juni bis zum 3. Juli 2024 hat die Schweizerische Post ihr E-Voting-System einem Test durch 7000 ethische Hacker aus aller Welt  ausgesetzt. Sie sollten versuchen, die elektronische Wahlurne zu knacken und Schwachstellen im System aufzudecken, wie die Post mitteilt.

Intrusionstest unter realistischen Bedingungen

Bei einem solchen öffentlichen Intrusionstest erhalten Cyber-Sicherheitsexperten Zugang zu einer exakten Kopie des produktiven E-Voting-Systems. Unter denselben Rahmenbedingungen, wie sie auch bei echten Wahlen und Abstimmungen herrschen, können die Experten das System auf Herz und Nieren prüfen. Ziel ist es, potenzielle Sicherheitslücken zu identifizieren und das System so weiter zu verbessern.

Fast 7000 Angriffsversuche

Die teilnehmenden ethischen Hackerinnen und Hacker unternahmen insgesamt rund 29'000 Zugriffe auf die Abstimmungsplattform. Von diesen Zugriffen wertete die Post 9’665 Zugriffe als Angriffsversuche.

Demnach konnte sie Angriffe von 6923 IP-Adressen aus 62 Ländern feststellen, während die aktivsten Teilnehmenden aus 27 Ländern stammten. Zudem verzeichnete das Unternehmen bei 146 Teilnehmenden eine hohe Aktivität mit mehr als 50 Zugriffen auf den E-Voting-Server während der gesamten Dauer des Tests.

Nach dem "E-Voting-Hackathon" stellte die Post fest, dass es niemandem gelungen sei, in das System einzudringen. Allerdings entdeckte die Post eine Schwachstelle, welche die Verbesserung in der Kommunikation zwischen Servern aufzeige, womit zeitgleiche Abfragen verunmöglicht würden. Diese Verbesserung habe die Post bereits umgesetzt, schreibt sie.

Belohnung bezahlt

Die Schweizerische Post belohnt die Entdeckung von Sicherheitslücken, um die Sicherheit des E-Voting-Systems kontinuierlich zu erhöhen. Für den gemeldeten Befund erhielt der Finder eine Belohnung von 1500 Franken sowie einen Bonus von 3'000 Franken als erster Melder eines bestätigten Befundes. Für besonders kritische Schwachstellen sind sogar Belohnungen von bis zu 50'000 Franken möglich, während den teilnehmenden ethischen Hackerinnen und Hackern bei einer unbemerkten Manipulation des elektronischen Urnengangs bis zu 250’000 Franken winken.

Erneut fluten Betrüger Schweizer Smartphones nach der Phishing Kampagne aus dem Januar 2024 mit betrügerischen Phishing-Nachrichten mit dem Namen der Post. In der aktuellen Kampagne werden potenzielle Opfer darauf hingewiesen, dass ihre Sendung aufgrund einer unvollständigen Adresse nicht zugestellt werden könne. Mehr dazu lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.