Überwacht, gesammelt, verkauft: Wie sicher sind Personendaten in Uganda?

Foto: Michael Muhati/reuters

Aus Kampala Simone Schlindwein

Monica Luboga sitzt an ihrem Computer und klickt sich durch die neue Onlineplattform von Ugandas Regierung: Steuererklärung, Geburtsurkunden, Grundbuchauszug – hier kann man alles beantragen, was man an Dokumenten benötigt. „Ich nehme gerade Fahrstunden und wollte mich schlaumachen, wie ich meinen Führerschein beantragen kann“, sagt die 35-Jährige und klickt auf die entsprechende Schaltfläche.

Eine Sprechblase öffnet sich, eine künstliche Intelligenz fragt, ob sie helfen kann. Dann gibt Luboga ihre Daten ein: Name, Telefonnummer, Geburtsdatum, Wohnort sowie die Fahrschule, bei der sie Unterricht nimmt. Dann drückt sie auf „senden“. „Das ist nun der Moment, in dem ich ein ungutes Gefühl bekomme“, seufzt sie. „Denn man weiß ja nie, was mit den Daten geschieht.“

Ugandas Regierung bemüht sich derzeit, ihre Behörden zu digitalisieren. Im Juni ging das neue Onlineportal UgGov-Agent an den Start, über das Ugan­de­r*in­nen Behördengänge online erledigen können – auch in lokalen Sprachen, dank KI. Eine gute Sache, findet Luboga, „denn es spart ungemein viel Zeit und Geld“. Jüngst war sie auf dem Amt, um sich eine Geburtsurkunde für ihre Tochter ausstellen zu lassen. „Das hat mich einen halben Tag gekostet – dabei kann ich das online offenbar in wenigen Minuten machen.“

Dass sie den Führerschein online beantragen kann, „erleichtert mich nun enorm, denn mein Fahrlehrer verlangt von mir hohe Schmiergelder, damit er für mich den Antrag stellt“. Statt dem Fahrlehrer umgerechnet rund 150 Euro zuzustecken, zahlt sie auf der Onlineplattform gerade einmal 15 Euro. Doch Luboga macht sich Sorgen um die Datensicherheit und berichtet von Anrufen, die sie nach ihrem PIN-Code fragen, jedes Mal, wenn sie Guthaben auf ihrem Handy anspart.

Ugandas Ministerium für Informationstechnologie hat 2023 mit Unterstützung der UN-Entwicklungsagentur UNDP einen Fahrplan verabschiedet, um bis zum Jahr 2027 die Umstellung auf digitale Behörden zu bewältigen. Uganda ist auch Teil der sogenannten 50-zu-5-Kampagne, in der die im IT-Bereich führenden fünf Staaten des Globalen Nordens – darunter Estland und Norwegen – 50 afrikanischen Regierungen Tipps geben, wie sie die Umstellung am besten bewältigen.

Vorreiter auf dem Kontinent war bislang Rwanda, das die erste E-Plattform Irembo bereits 2015 online gestellt hat. Jetzt ziehen andere Staaten nach und sind in der Digitalisierung bereits weiter als Deutschland.

Neben dem Aufbau der Infrastruktur – von Onlineplattformen bis hin zu Rechenzentren – stehen derzeit Datenschutz und Cybersicherheit auf dem Programm. Denn Ugandas Datenschutzgesetz von 2019 wird nur schleppend umgesetzt, es gibt noch immer viele Schlupflöcher. Die taz hat mehrfach das IT-Ministerium um ein Interview gebeten. Ein anberaumter Termin wurde kurzfristig wieder abgesagt. Auch die unabhängige Behörde PDPO, die die Einhaltung der Verordnung überwachen soll, sagt zunächst ein Interview zu, will aber die Fragen vorher schriftlich. Nach Erhalt antwortet sie nicht mehr. Es wirkt ein wenig, also wolle man sich diesen kritischen Fragen nicht stellen.

Kein Wunder: Anfang Juli stürmte die Kriminalpolizei in der Hauptstadt Kampala mehrere Gebäude mit Hunderten Computern. Sie nahmen über Tausend meist chinesische Menschen fest. Sie sollen sich laut Er­mitt­le­r*in­nen in IT-Systeme von Telefonanbietern in ganz Afrika gehackt, Telefonnummern und mobile Guthaben gestohlen haben. Eine der Hackerzentralen war im Konferenzraum des Hotels Kingdom Resort Katomi eingerichtet, das Ex-Vizepräsident Gilbert Bukenya gehört. Ob dieser davon Kenntnis hatte oder gar aktiv darin verwickelt ist, ist bislang nicht bekannt, die Ermittlungen laufen noch.

Doch die Daten afrikanischer Bür­ge­r*in­nen sind nicht nur im Visier krimineller Netzwerke. Auch internationale Konzerne und westliche Regierungen wollen darauf zugreifen. Als „Datenkolonialismus“ bezeichnet Sven Hilbig, Referent für Handelspolitik und Digitalisierung bei Brot für die Welt, dieses Wettrennen um Afrikas Daten.

In seinem Buch „Digitaler Kolonialismus“ beschreibt er die strukturelle Abhängigkeit des Globalen Südens von der digitalen Infrastruktur des Globalen Nordens. Als Beispiel nennt er die Rechenzentren: Während in den USA rund 5.000 stehen, gibt es in ganz Afrika gerade einmal 250. Fünfzehn afrikanische Staaten verfügen über kein einziges. Damit stellt sich automatisch die Frage: Wem gehören diese Daten dann überhaupt und welche Datenschutzgesetze gelten dafür?

Auf einen Blick sichtbar wird das Problem an den großen Straßenkreuzungen der Hauptstadt Kampala. Chinesische CCTV-Kameras mit Gesichtserkennungssoftware von Huawei sind dort installiert. Daneben hängen Radiofrequenzgeräte der russischen Firma Joint Stock Company.

Seit Anfang 2025 werden neu importiere Autos von der Moskauer Firma mit einem digitalen Kennzeichen ausgestattet. Kostenfaktor: über 200 Euro pro Kennzeichen. Der darin installierte Mikrochip schickt Daten an das Empfängergerät, darunter Name und Telefonnummer des Fahrzeughalters. Sobald das Auto zu schnell fährt, schickt das System einen Strafzettel direkt per SMS auf das Handy – so die Idee.

Dieser Artikel wurde möglich durch finanzielle Unterstützung des Recherchefonds Ausland e. V. taz.de/auslandsrecherch e

Damit können aber auch Sicherheitsbehörden prüfen, wo welches Fahrzeug gerade lang fährt – in Anbetracht der Tendenz, dass Opposition und Zivilgesellschaft zunehmend unter Druck geraten, eine besorgniserregende Entwicklung. Doch gerade in Russland sieht Uganda einen engen Partner im Aufbau der digitalen Infrastruktur. In einem 2018 unterzeichneten Abkommen, das der taz vorliegt, wurde beschlossen, dass Russland die nötige Technologie für Data-Mining, wie es im Vertragstext heißt, zur Verfügung stellt, darunter „Software für Forensik“.

NGOs wie Cipesa, ein in Uganda ansässiger Thinktank, der die Digitalisierung in Afrika begleitet, haben versucht herauszufinden, auf welche Daten die russische Firma dabei zugreifen kann, stoßen aber auf Granit. „Ich glaube nicht, dass irgendjemand weiß, wie diese Daten übertragen und wo sie gespeichert werden“, so Brian Byaruhanga, IT-Experte bei Cipesa. „Wir wissen nicht einmal, ob diese Daten überhaupt den Ugan­de­r*in­nen oder dem ugandischen Staat gehören oder nicht.“ Uganda verfügt nur über ein einziges Rechenzentrum: „Und genau das ist das Problem.“

Woran es zudem fehlt, so Byaruhanga, sind Verordnungen über den Gebrauch, Verwendung und die Eigentumsrechte von Daten, welche es den Bür­ge­r*in­ne auch erlaubt, ihre Daten löschen zu lassen. „Denn selbst wenn wir die Daten in Uganda speichern, wissen wir nicht, ob sie auch wirklich uns gehören.“

Gilbert Sendugwa, Direktor von Afic in Uganda, einem weiteren Thinktank, das afrikaweit die Zivilgesellschaft in Sachen Datensicherheit unterstützt, hat zumindest Teile der russisch-ugandischen Verträge einsehen können. Er kommt zum Schluss: Es seien weder öffentliche Ausschreibungsverfahren eingehalten noch unabhängige Gutachten hinsichtlich der Datensicherheit erstellt worden: „Man kann nicht sagen, dass die Regierung im Interesse des ugandischen Staates gehandelt hat, aber auch nicht im Interesse der Bürger“, so Sendugwa. Dies sei äußerst „besorgniserregend“. Er stellt die Frage: „Warum also wollen sie unsere Daten?“

Obwohl Ugandas Regierung mittlerweile viel mehr persönliche Daten ihrer Bür­ge­r*in­nen hortet, erlaubt sie umgekehrt weder Jour­na­lis­t*in­nen noch NGOs, An­wäl­t*in­nen oder einfachen Ugander*innen, in jene Verträge hineinzuschauen. Selbst das Parlament erhält keinen Einblick.

Julia Bleckner, Human Rights Watch

Von 2018 bis 2025 hat Afic zahlreiche Anfragen nach dem Informationsfreiheitsgesetz an Behörden gestellt und die Ergebnisse jüngst veröffentlicht. Drei Viertel davon blieben unbeantwortet, so Sendugwa: „Wie können Bür­ge­r*in­nen Vertrauen in eine Regierung haben, wenn es keinerlei Transparenz oder Rechenschaftspflicht gibt?“

Das prominenteste Beispiel sind die neuen Gesundheitsabkommen mit der US-Regierung: die sogenannte America first – Globale Gesundheitsstrategie. Allein der Titel lässt bereits Rückschlüsse zu, wem diese Deals in erster Linie nutzen, so Julia Bleckner von der NGO Human Rights Watch in New York. Sie hat sich einige der Abkommen angeschaut und findet sie höchst problematisch.

Ziel ist es, mithilfe von US-Geldern Afrikas Gesundheitssysteme zu digitalisieren. Die US-Regierung verlangt jedoch im Gegenzug Zugriff auf sämtliche gesundheitsrelevante Daten, auch mit personenbezogenen Details: „Die Formulierungen sind so vage, dass wir befürchten, sie könnten den individuellen Gesundheitszustand umfassen“, so Bleckner: Dazu gehören HIV-Status, Viruslast oder Schwangerschaftstests: „Unabhängig davon, ob dies ein Risiko darstellt, verletzt es das Recht auf Gesundheitsdatenschutz.“

Die US-Regierung rechtfertigt diesen Datenzugriff damit, dass so Seuchenausbrüche wie Ebola überwacht werden können. Sie wolle aber auch sicherstellen, das mit ihren Geldern keine Abtreibungen vorgenommen werden, da dies in den USA gesetzlich verboten ist: „Wenn die Staaten diese Daten nicht liefern, kann das zur vollständigen Beendigung des Abkommens führen“, so Bleckner. „Damit werden die Leben von Millionen von Menschen, die auf Gesundheitsversorgung angewiesen sind, gewissermaßen als Geisel genommen.“

31 afrikanische Regierungen haben mittlerweile die US-Abkommen unterschrieben. Sieben hat sich Bleckner konkret angeschaut: Fünf davon, Kenia, Äthiopien, Uganda, Mosambik und Nigeria, waren kurzzeitig auf US-Regierungsseiten abrufbar. Dann berichtete die New York Times, dass im Fall von Sambia die US-Regierung auch Zugang zu Mineralien verhandelt hatte. Daraufhin wurden sie offline genommen: „Das deutet auf größere Bedenken hinsichtlich der Transparenz hin“, merkt Bleckner an. Immerhin, die fünf genannten Abkommen hat sie gespeichert, bevor sie offline gingen, die Abkommen mit Rwanda und Liberia wurden ihr geleaked. Die übrigen sind unter Verschluss.

US-Pharmafirmen sind scharf auf pathogene Daten, notfalls ohne Zustimmung der Betroffenen

Foto: Hajarah Nalwadda/ap/picture alliance

Schockiert zeigt sich Bleckner über die Laufzeiten. Denn während das Gesundheitsabkommen nur für fünf Jahre gilt, erhalten die USA das Recht, im Fall von Rwanda bis zu 25 Jahre auf die Daten zuzugreifen. „Die Bedingungen aus den USA könnten sich ändern, aber Rwanda müsste die Datenweitergabe bis zu 25 Jahre lang fortsetzen.“

Kenia war das erste Land, das am 4. Dezember 2025 ein 2,5-Milliarden-US-Dollar-Abkommen unterzeichnete. Der Verbraucherschutzverband zog direkt am nächsten Tag vor Gericht, das die Umsetzung vorerst stoppte. Im April schloss sich das Menschenrechtsinstituts Katiba der Klage an. Im Wesentlichen gehe es um den Verstoß gegen das Recht auf Privatsphäre sowie gegen das Datenschutzgesetz, sagt Direktorin Nora Mbagathi: „Die kenianische Regierung hat, ohne mich überhaupt genügend informiert zu haben und ohne mein Einverständnis, beschlossen, meine Daten einfach zu verkaufen“, erklärt Mbagathi das Problem gegenüber der taz.

Im November wird nun das Urteil erwartet. Für Mbagathi ein wichtiger Präzedenzfall, denn Kenias Regierung tüftelt derzeit an einer Onlineplattform, auf welcher sie sämtliche von der Regierung gesammelte Daten – anonymisiert – zum Verkauf anbietet. Für die Menschenrechtlerin ein alarmierendes Vorhaben: „Wenn solch ein Geist erst einmal aus der Flasche heraus ist, dann ist es schwer, das rückgängig zu machen.“

Doch viele afrikanische Regierungen haben keine Wahl. Als Ugandas Finanzministerin Matia Kasaija am 10. Dezember 2025 das US-Gesundheitsabkommen unterzeichnete, ging ein Raunen der Erleichterung durch das Land. Knapp ein Jahr zuvor hatte US-Präsident Donald Trump im Hauruckverfahren die US-Entwicklungsagentur USAID und weitere Programme abgewickelt, die zur Bekämpfung von Malaria, Tuberkulose oder HIV/Aids eingesetzt wurden.

Kenias Regierung hat, ohne mich informiert zu haben und ohne mein Einverständnis, beschlossen, meine Daten zu verkaufen

Nora Mbagathi, Katiba-Institut

Damit waren von heute auf morgen Gelder in Milliardenhöhe weggebrochen und hatten eine gewaltige Lücke im Staatshaushalt hinterlassen. Als die US-Regierung dann das neue Abkommen im Umfang von 2,3 Milliarden Dollar vorlegte, wurde dies mit Kusshand unterzeichnet.

Im März wurden die ersten 725 Server, 4.700 Computer sowie Solaranlagen und Internetrouter für fast 800 Gesundheitseinrichtungen landesweit aus den USA angeliefert. In Zukunft soll, so geht es aus dem 32-seitigen Abkommen hervor, das der taz vorliegt, jede kleine Gesundheitsstation in sämtlichen Dörfern die Krankenakten online speichern, um der US-Regierung Einblick zu gewähren. Dazu stellen die USA „Softwarelizenzen, Cybersecuritymaßnahmen sowie die Erweiterung der Datenspeicherung bis 2028“, so das Abkommen.

Immerhin: Die Daten werden in Uganda selbst gespeichert und ein gemeinsames Gremium soll den Datenschutz überwachen. Die damalige Gesundheitsministerin Ruth Aceng versicherte bei Unterzeichnung: „Ugandas Souveränität über seine biologischen Ressourcen und Gesundheitsdaten ist unschätzbar und unverhandelbar.“ Auf taz-Anfrage über die Details dieses Deals erklärt der Sprecher des Gesundheitsministeriums, dass nur der Minister diese Fragen beantworten dürfe. Doch der ist telefonisch nicht erreichbar und beantwortet auch keine Nachrichten.

Anwalt David Waboga ist spezialisiert auf Datensicherheit; seine NGO Lawpoint Uganda hat sich auf die Fahnen geschrieben, die Bevölkerung über Datensicherheit aufzuklären und sich deswegen die Abkommen angesehen, die ihm von Quellen im Ministerium zugespielt wurden: Auf den 32 Seiten fand er jede Menge „Schlupflöcher“, die „problematisch“ sind.

Im Aufbau: Nur rund 250 Rechenzentren gibt es auf dem afrikanischen Kontinent. Das hier steht in Ghana

Foto: amazing aerial agency/picture alliance

Immerhin, so merkt er an: Der ursprüngliche Vertragstext, den die US-Regierung vorgelegt hatte und der, der letztlich unterzeichnet wurde, unterscheiden sich: Ugandas Regierung hat also nachverhandelt. Der wichtigste Unterschied, so Waboga: Der Umgang mit den Daten falle nun unter Ugandas Datenschutzgesetze und nicht unter die US-amerikanischen. Damit hat auch die Datenschutzbehörde PDPO die Aufsicht: „Das verschafft Uganda zumindest ein gewisses Maß an Einfluss.“

Keinen Einfluss hat Uganda jedoch darauf, was mit den Daten in den USA geschieht. Denn die US-Regierung behält sich vor, pathogene Daten, also Informationen über krankheitserregende Organismen wie Viren und deren Genomdaten, mit der US-Pharmaindustrie zu teilen: „Vielleicht finden sie ein Heilmittel für diese schrecklichen Krankheiten“, so Waboga. „Aber wir Ugander haben kein Recht, diese Impfungen oder Medikamente dann auch zu erhalten.“

Genau dies unterminiere die globalen Verhandlungen über ein internationales Pandemieabkommen, das von der WHO derzeit ausgearbeitet wird, um die Fehler während der Coronapandemie in Zukunft zu vermeiden. Damals erhielten die meisten Staaten Afrikas nicht genügend Impfdosen. Künftig sollen alle Regierungen weltweit pathogene Daten mit der WHO teilen, diese stellt sie in einer Datenbank öffentlich zur Verfügung. Hersteller von Impfstoffen garantieren im Gegenzug einen festen Prozentsatz an den Globalen Süden abzugeben.

Foto: Michael Muhati/reuters

Der Text des Pandemieabkommens wurde von der Weltgesundheitsversammlung angenommen. Derzeit sollten eigentlich die Unterverträge verhandelt werden, wie diese Daten geteilt werden. Doch diese Gespräche sind auf 2027 verschoben, so Julia Bleckner von HRW. Der Grund: „Die bilateralen US-Abkommen untergraben diese Verhandlungen vollständig.“

Um dies zu verhindern, haben 60 afrikanische NGOs kurz vor der Unterzeichnung im Dezember 2025 einen offenen Brief an alle Regierungen des Kontinents verfasst: „Diese Bestimmungen bergen auch das Risiko schwerwiegender Menschenrechtsverletzungen“, heißt es darin. Die meisten haben diese Warnungen in den Wind geschlagen. Sambia hat die Verhandlungen zumindest auf Eis gelegt.

Nur Simbabwe hat den USA eine Absage erteilt – das Land hat bei den Verhandlungen über das WHO-Pandemieabkommen den Vorsitz inne: „Unser Verfassungsauftrag verpflichtet uns, die Daten unserer Bürger zu schützen“, rechtfertigte Informationsminister Nick Mangwana die Entscheidung. Das US-Abkommen „erfüllt diese grundlegenden Kriterien nicht“. Die Antwort der US-Botschafterin in Simbabwe, Pamela Tremont, kam prompt: „Wir werden uns nun der schwierigen und bedauerlichen Aufgabe zuwenden, unsere Gesundheitshilfe in Simbabwe schrittweise einzustellen.“

Jean Kaseya, Direktor der afrikanischen Seuchenbekämpfungsbehörde Africa-CDC, hat nun Simbabwe und Sambia seine Unterstützung angeboten, denn, so bekräftigt er: „Wir können es nicht akzeptieren, die Kontrolle über unsere Daten zu verlieren.“