Kenias Rufnummern-Recycling wird zum Test der Datengovernance

Zusammenfassung

• Kenias High Court knüpft eine Wiedervergabe an die informierte, überprüfbare Zustimmung des bisherigen Inhabers oder an eine dokumentierte Suche, die dessen Nichterreichbarkeit oder eindeutigen Verzicht belegt. Außerdem müssen technische Vorkehrungen seine Daten schützen.
• Der Entwurf der Communications Authority sieht sechs Monate Benachrichtigung und ein zentrales Register vor. Es kann anzeigen, dass eine Nummer den Inhaber gewechselt hat; es belegt nicht, dass alle verknüpften Konten gelöst wurden.

Bei einer Mobilfunknummer, die monatelang nicht genutzt wurde, scheint die erste Frage zu sein, ob ihr Anschluss noch gebraucht wird. Sobald die Nummer zurück in den Vergabepool geht, stellt sich eine andere: Welche Systeme behandeln diese Ziffern weiterhin so, als gehörten sie zur vorherigen Person?

Eine Mobilfunknummer ist zugleich knappe Netzressource und dauerhafter Kontaktpunkt. Der Netzbetreiber kann eine SIM stilllegen und die Nummer später neu vergeben. Eine Bank, ein Arbeitgeber, eine Schule oder ein Behördenportal kann sie jedoch weiterhin als Kontakt- oder Wiederherstellungsweg gespeichert haben. Der neue Nutzer erhält dann Anrufe und Nachrichten, während die Beziehung des alten Nutzers zu einem Dienst womöglich fortbesteht.

Der High Court of Kenya machte diese Lücke im Verfahren Odhiambo & another v Attorney General & another zu einer verfassungsrechtlichen Frage. Zwei Inhaftierte erklärten, ihre Nummern seien während der Haft inaktiv geworden und könnten nach einer Wiedervergabe private Informationen an Dritte preisgeben. Das Gericht erklärte eine registrierte Mobilfunknummer zu einem digitalen Kennzeichen, das mit personenbezogenen Daten verbunden ist und unter Artikel 31 geschützt wird. Es verpflichtete den Attorney General und zuständige Stellen zu Schutzmaßnahmen. Eine Nummer dürfe nur mit der informierten und überprüfbaren Zustimmung des bisherigen Inhabers wieder vergeben werden; oder nach angemessener Frist und öffentlicher Bekanntmachung, der eine dokumentierte Prüfung vorausgeht, ob der Inhaber nicht auffindbar ist oder eindeutig auf seine Rechte verzichtet hat. Technische Vorkehrungen sollen eine unbefugte Offenlegung oder Übertragung seiner Daten verhindern.

Das Urteil gab auch dem Strafvollzug einen eigenen Auftrag: ein im Amtsblatt veröffentlichtes Verfahren zu schaffen, das Nummern während der Haft bewahrt und Netzbetreiber über die Inhaftierung informiert. Bei ausbleibender Umsetzung sollte ab Mitternacht am 19. September 2026 die Wiedervergabe bereits registrierter, deaktivierter Nummern automatisch enden. Dieses Datum ist eine gerichtliche Bedingung; es belegt nicht, dass an diesem Tag eine endgültige Regelung oder Datenbank in Betrieb war.

Die Communications Authority of Kenya (CA) veröffentlichte danach den Entwurf CA.G.520:2026. Der Ablauf beginnt nach drei Monaten ohne umsatzwirksame Aktivität. Der Anbieter soll den Nutzer anhand der beim KYC-Verfahren erhobenen Kontaktdaten erreichen und weitere drei Monate zur Reaktivierung einräumen. Dreißig Tage vor Ablauf soll er eine Liste der betroffenen Nummern veröffentlichen. Eine allgemeine Bekanntmachung soll das Verfahren erklären und eine USSD-Abfrage des Nummernstatus ermöglichen.

Nach Ende der Benachrichtigung muss der Anbieter personenbezogene Daten, Cache-Daten und Dienste in den eigenen Systemen entkoppeln und sicher archivieren, damit der neue Nutzer sie nicht übernimmt. Deaktivierte beziehungsweise recycelte Nummern sind vierteljährlich an ein zentrales System zu melden. Dritte sollen den Status abrufen und ihre Aufzeichnungen aktualisieren, bevor sie anrufen oder Nachrichten zu Verpflichtungen senden, die mit der Nummer verbunden sind. Nach der Meldung kann der Anbieter die Wiedervergabe einleiten. Bestimmungen, die von der zentralen Datenbank abhängen, gelten jedoch erst, wenn diese eingerichtet ist.

Damit wird die Wiedervergabe zu einem dokumentierten Übergang und nicht bloß zu einem internen Vorgang des Anbieters. Die Aufgaben sind verteilt: Der Betreiber bereinigt seine eigenen Daten; das zentrale System führt den Status; externe Dienste prüfen ihn und verwalten ihre Konten. In der Zusammenfassung der Konsultationsbeiträge befürwortet die CA eine zentrale Liste und regelmäßige Abfragen. Auf den Vorschlag, vor der Wiedervergabe jede Verbindung zu Banken oder Mobile-Money-Diensten bestätigen zu lassen, antwortete sie, die Betreiber könnten nicht erkennen, welche Mehrwertdienste ein Kunde nutzt.

Genau dort endet die Aussagekraft eines Nummernregisters. Ein Eintrag „recycelt“ bedeutet nicht, dass die Bankakte nun festhält, der Kunde habe seine Nummer geändert. Eine Abfrage kann einen Dienst davor warnen, die Nummer noch als aktuellen Kontakt zu verwenden. Sie ändert aber weder automatisch jedes Profil noch beweist sie, dass die Nummer aus allen Wiederherstellungswegen entfernt wurde. Eine vierteljährliche Meldung garantiert zudem nicht, dass jede Abfrage den neuesten Stand liefert. In den Konsultationsbeiträgen forderte ein Teilnehmer vor dem Start einen klaren Sicherheits- und Governance-Rahmen.

Die CA verwies für Einzelheiten auf die Aufbauphase des Systems.

Die öffentlichen Unterlagen sind differenziert zu lesen. Auf der Konsultationsseite bezeichnet die CA das Dokument weiterhin als „Proposed Draft“ und nennt den 11. September als Frist. Auf ihrer Seite mit veröffentlichten Ergebnissen ist inzwischen die Zusammenfassung der zwischen dem 1. und 11. September eingegangenen Stellungnahmen verzeichnet. Ein Parlamentsbericht über die Anhörung vor dem Petitionsausschuss am 9. Oktober gibt die Aussage des CA-Generaldirektors wieder, Verfahren seien entwickelt worden. Er erläuterte Kontaktversuche, öffentliche Hinweise, eine USSD-Abfrage und Ausnahmen für längere Verhinderung.

Dieselbe Anhörung fragte, wie verstorbene Teilnehmer benachrichtigt werden sollen. Laut Antwort werden alternative Kontakte bei der KYC-Registrierung nicht immer erhoben oder eingefordert.

Die Unterlagen zeigen regulatorische Arbeit und die Darstellung der Behörde im Parlament. Sie belegen für sich genommen aber weder den endgültigen Rechtsstatus von CA.G.520:2026 noch die Veröffentlichung des vom Gericht verlangten Haftregimes oder den Betrieb der zentralen Datenbank. Eine SMS an eine bereits abgeschaltete Nummer erreicht den früheren Nutzer nicht. Ein Ersatzkontakt hilft nur, wenn er gespeichert, aktuell und zur Vertretung befugt ist.

Der nächste Schritt ist nicht einfach eine weitere Wartefrist. Entscheidend ist der Nachweis jedes Übergangs: Erkennung der Inaktivität, Kontaktversuche, Bekanntmachung, Entkopplung der Daten, Eintrag in das zentrale System und erste Wiedervergabe. Externe Dienste müssen außerdem unterscheiden, ob die Nummer nur Nachrichten empfängt oder auch Identität bestätigt und Konten wiederherstellt. Eine Abfrage, die eine alte Zahlungsaufforderung an den falschen Empfänger verhindert, muss noch keinen Zugriff auf ein hochwertiges Konto blockieren.

Das ist keine Behauptung, die vorgeschlagenen Schutzmaßnahmen seien bereits gescheitert. Die öffentlichen Unterlagen beschreiben ein geplantes Verfahren, keine Ergebnisse nach seiner Einführung; auch der Start der Datenbank ist nicht belegt. Die praktische Frage lautet, ob endgültige Regel, System und Dienstepraxis den Wechsel des Inhabers für alle sichtbar machen, die sich weiterhin auf die Nummer verlassen – ohne dem neuen Nutzer die Historie des alten offenzulegen.

Heng Lus Note 72 dient hier nur als redaktionelle Perspektive: Ein gemeinsames Register sollte einen korrekten Status erhalten und überprüfbare Koordination ermöglichen; wer einen Dienst tatsächlich steuert, bleibt für dessen Entscheidungen verantwortlich. Das ist keine Rechtsregel für Kenia. Es ist ein Test für den Entwurf: Das Register kann für den Lebenszyklus der Nummer maßgeblich sein, aber nicht als Beleg dafür gelten, dass alle Kontobeziehungen bereinigt wurden.

Quellen und Grenzen: Urteil des High Court; der Entwurf CA.G.520:2026, die Konsultationszusammenfassung und die aktuelle Konsultationsseite der CA; Parlamentsbericht zur Anhörung vom 9. Oktober. Heng Lus Note 72 ist nur redaktioneller Bezug. Der Artikel behauptet weder, dass die Datenbank läuft, noch dass ein Konto übernommen wurde oder der Entwurf allein das Urteil erfüllt.