Nigerias National Identity Management Commission (NIMC) erklärt, dass ihre nationale Identitätsdatenbank vollständig in Nigeria gehostet und von eigenen Mitarbeitern verwaltet wird – eine Erklärung, die fällt, während die digitale Identitätsverifizierung für öffentliche Dienste zunehmend an Bedeutung gewinnt.

Alvan Ikoku, Direktor des Strategic Programme Office der NIMC, gab die Einzelheiten bei einem Briefing mit Journalisten am Mittwoch bekannt. Er ging auf Bedenken ein, wo die Identitätsdaten der Nigerianer gespeichert werden, wer die zugrunde liegende Infrastruktur kontrolliert und wie die Kommission sie vor Lecks schützt.

„Es wird von Nigerianern verwaltet, nicht von nigerianischen Dienstleistern, sondern von NIMC-Mitarbeitern“, sagte Ikoku. Er betonte, dass die Kommission ihre Identitätsdaten nie außerhalb Nigerias gehostet habe, kein Cloud-Hosting für ihre Kerndatenbank nutze und Disaster-Recovery-Systeme betreibe, um Dienste bei Ausfällen am Laufen zu halten.

Die Äußerungen kommen zu einem Zeitpunkt, an dem Datenlokalisierung die nigerianischen Diskussionen über die Kontrolle über personenbezogene Daten zunehmend beherrscht. Die Speicherung von Daten innerhalb der Landesgrenzen adressiert, wo sie sich befinden; ihr Schutz erfordert jedoch wirksame Kontrollen, wer darauf zugreifen kann, sowie Rechenschaftspflicht bei Missbrauch.

Nach Angaben der NIMC hatten sich bis September 2026 142 Millionen Nigerianer für National Identification Numbers registriert – die eindeutigen Kennungen, die jeder registrierten Person zugewiesen werden. Eine Datenschutzverletzung könnte die personenbezogenen Daten von Millionen offenlegen, ein Ausfall könnte wichtige Dienste stören. Lokales Hosting allein garantiert keine Sicherheit; strenge Zugriffskontrollen, Überwachung und Rechenschaftspflicht bei Missbrauch bleiben entscheidend.

Ikoku sagte, die NIMC halte ihre Kerndatenbank intern und unterziehe Mitarbeiter – insbesondere jene, die für das Datenbankmanagement verantwortlich sind – einer laufenden Überwachung durch Sicherheitsbehörden. Personal könne bei Fehlverhalten rechtliche Konsequenzen tragen, fügte er hinzu.

Die interne Kontrolle der zentralen Datenbank bedeutet nicht, dass die NIMC jede Zugriffsstelle auf Identitätsdaten überwacht. Lizenzierte Partner und angeschlossene Regierungsbehörden tragen ebenfalls zur Bereitstellung von Verifizierungsdiensten bei und schaffen damit zusätzliche Punkte, an denen der Zugriff auf personenbezogene Daten verwaltet und gesichert werden muss.

Frühere Sicherheitsbedenken betrafen den Zugriff über Verifizierungskanäle und nicht eine bestätigte Kompromittierung der zentralen Datenbank. Im März 2024 warfen Berichte über XpressVerify, eine Website mit Identitätsdaten von Nigerianern, Fragen auf, wie die Plattform Zugang erhalten hatte. Die NIMC erklärte damals, XpressVerify sei kein lizenzierter Partner gewesen, und ordnete eine Untersuchung an, ob autorisierte Verifizierungsagenten oder deren Sublizenznehmer ihre Lizenzverträge verletzt hätten. Die Nigeria Data Protection Commission teilte später mit, die NIMC habe den Datenbankzugang ausgesetzt, bevor sie den eingeschränkten Zugang für Einrichtungen mit wesentlichen öffentlichen Diensten wiederherstellte.

Der Vorfall unterstreicht den wichtigen Unterschied zwischen Datenspeicherung und Zugriffs-Governance. Die Speicherung von Identitätsdaten auf Infrastruktur in Nigeria verhindert allein nicht, dass es über Organisationen, die zur Verifizierung berechtigt sind, zu Offenlegungen kommt – ein Risiko, das mit jedem weiteren angeschlossenen Institutionenzweig wächst.

Laut Ikoku haben etwa 63 Regierungsbehörden sich mit der NIMC integriert, darunter Organisationen aus den Bereichen Prüfungen Studienfinanzierung, Konsumkredit und Krankenversicherung.

„Es ist eines, bereit zu sein, sich mit einer Behörde zu integrieren“, sagte Ikoku. „Alles, was wir tun müssen, ist die Programmierschnittstelle bereitzustellen, die sie nutzen würden. Aber was ich bei dieser Harmonisierungsprojekt auch festgestellt habe, ist, dass einige von ihnen die – soll ich es so nennen? – Reifegradstufe, den digitalen Reifegrad, noch nicht erreicht haben, um überhaupt diesen Handshake in der Integration zu ermöglichen.“

Für Behörden, deren Systeme bereit sind, kann die Anbindung über die Programmierschnittstelle (API) der NIMC etwa 72 Stunden dauern, so Ikoku. Die Harmonisierung von Datensätzen und Systemen erfordere jedoch stärker angepasste Arbeiten.

Ikoku sagte auch, das NIMC-Gesetz 2026 schreibe die Einhaltung des Nigeria Data Protection Act vor und lege Bedingungen für die Weitergabe von Informationen registrierter Personen fest, darunter Einwilligung, rechtliche Verpflichtungen, Aufgaben im öffentlichen Interesse, Strafverfahren und Gerichtsverfahren.

Die Rolle der NIMC, so er, sei die Authentifizierung von Identitäten und nicht die Speicherung der Gründe hinter Verifizierungsanfragen anderer Organisationen.

„Die Kommission soll die Authentifizierung und Verifizierung koordinieren, aber die Authentifizierung, die die Kommission vornehmen muss, kann von einer anderen Stelle kommen“, sagte Ikoku. „Es ist nicht Aufgabe der Kommission, den Grund für diese Anfrage oder diese Authentifizierung zu speichern. Das wird die Kommission nicht tun. Weder werden ihre Agenten oder Beauftragten das in irgendeiner Weise tun.“

Nutzer können ihre Einwilligung über die Authentifizierungsanwendung der NIMC verwalten und widerrufen, vorbehaltlich gesetzlicher Ausnahmen, sagte Ikoku. Das Briefing bot jedoch keine Nutzungsdaten oder eine Demonstration, wie Bürger Zugriffsprotokolle einsehen, Missbrauch anfechten oder Beschwerden einreichen könnten.

Die NIMC entwickelt zudem Rahmenwerke für digitale Nachweise, Zertifikate und Signaturen, während sie ihre Identitätsinfrastruktur modernisiert; die technischen Standards, Governance-Regelungen und Durchführungsbestimmungen befinden sich jedoch noch in der Entwicklung.

Der Vorstoß, sensible Daten in Nigeria zu halten, geht über das Identitätsmanagement hinaus. Im Juni 2026 wies die Central Bank of Nigeria Banken und Zahlungsunternehmen an, im Land generierte Zahlungsdaten bis zum 1. Januar 2027 lokal zu speichern und zu verwalten. Die National Sovereign Cloud Initiative der Regierung, die im August formalisiert wurde, zielt ebenfalls darauf ab, die lokale Cloud-Infrastruktur auszubauen. Diese ausstehenden Regelungen sowie die Frist der Zentralbank liefern konkrete Marksteine dafür, ob der Lokalisierungskurs des Landes von der Frage, wo Daten gespeichert werden, auf die Frage übergeht, wie der Zugriff auf sie geregelt wird.