Südafrikanische ID-Nummer und POPIA: vor der KI erkennen und anonymisieren

In Südafrika ist die 13-stellige Identitätsnummer allgegenwärtig. Sie steht auf Kreditanträgen, in Krankenakten, in Arbeitsverträgen und auf den RICA-Formularen der Mobilfunkanbieter. Deshalb landet sie ganz selbstverständlich auch in den Tabellen und E-Mails, die Teams täglich in ChatGPT, Copilot oder Gemini einfügen.

Diese Nummer ist mehr als eine Kennung. Ihr Aufbau verrät Informationen über die Person. Dieser Artikel erklärt, warum POPIA ihren Schutz verlangt, wie man sie in einem Prompt zuverlässig erkennt und wie man sie anonymisiert, ohne den geschäftlichen Nutzen der KI zu verlieren.

POPIA und der Information Regulator: der Rahmen

Der Protection of Personal Information Act (Gesetz 4 von 2013), kurz POPIA, gilt nach einer einjährigen Übergangsfrist seit dem 1. Juli 2021 vollständig. Die Aufsicht liegt beim Information Regulator, einer unabhängigen Behörde.

Das Gesetz ist eindeutig: Zu den personenbezogenen Informationen gehört jede Identifikationsnummer, die einer Person zugewiesen ist. Verantwortliche müssen angemessene technische und organisatorische Maßnahmen treffen, um Verlust und unbefugten Zugriff zu verhindern. Bei einer Sicherheitsverletzung sind der Regulator und die Betroffenen so bald wie vernünftigerweise möglich zu informieren. Übermittlungen aus Südafrika heraus sind nur unter bestimmten Bedingungen erlaubt, etwa in ein Land mit angemessenem Schutzniveau oder mit Einwilligung der Person.

Der Regulator setzt das Gesetz durch. Im Juli 2023 verhängte er eine Geldbuße von 5 Millionen Rand gegen das Ministerium für Justiz und Verfassungsentwicklung. Das Ministerium hatte eine Durchsetzungsverfügung nicht befolgt, nachdem es seine Sicherheitslizenzen hatte auslaufen lassen, darunter Virenschutz, SIEM und Intrusion Detection.

Was eine südafrikanische ID-Nummer verrät

Die Nummer folgt dem Format JJMMTT SSSS C A Z. Ein fiktives Beispiel: 8804125123080.

1. 880412: das Geburtsdatum, hier der 12. April 1988.

2. 5123: eine laufende Nummer, die auch das Geschlecht angibt. 0000 bis 4999 für Frauen, 5000 bis 9999 für Männer.

3. 0: der Status, 0 für südafrikanische Staatsbürger, 1 für Personen mit dauerhaftem Aufenthaltsrecht.

4. 8: eine Ziffer ohne besondere Bedeutung.

5. 0: eine Prüfziffer nach dem Luhn-Algorithmus.

Eine einzige Nummer verrät also Alter, Geschlecht und Staatsbürgerschaftsstatus. Zusammen mit einem Namen oder einer Akte identifiziert sie eine Person eindeutig. Deshalb sollte sie als sensibles Datum behandelt werden, auch wenn sie nicht auf der Liste der besonderen personenbezogenen Informationen des Gesetzes steht.

Eine ID-Nummer im Prompt erkennen

Eine einfache Suche nach 13 aufeinanderfolgenden Ziffern liefert viele Fehlalarme: Kontonummern, Bestellreferenzen, interne Codes. Eine zuverlässige Erkennung kombiniert mehrere Prüfungen.

• Format: 13 Ziffern, manchmal mit Leerzeichen nach Datum und laufender Nummer.

• Datum: Die ersten sechs Ziffern müssen ein echtes Datum ergeben, Monat 01 bis 12 und ein passender Tag.

• Status: Die elfte Ziffer ist 0 oder 1.

• Luhn-Prüfung: Die letzte Ziffer muss gültig sein. Allein dieser Test beseitigt etwa neun von zehn Fehlalarmen.

• Kontext: Begriffe wie „ID“, „identity number“, „ID no“ oder „RSA ID“ in der Nähe erhöhen den Score.

Dasselbe gilt für andere gängige Kennungen: Telefonnummern im Format +27, Passnummern, Steuernummern und Bankdaten. Genau das unterscheidet eine präzise Erkennung von einem Filter, der alles blockiert und den Teams am Ende umgehen. Mehr dazu in warum Netzwerk-DLP an ChatGPT scheitert.

Anonymisieren, ohne die KI-Nutzung zu zerstören

Wer die Nummer einfach löscht, macht die Antwort oft wertlos. Soll die KI etwa die Konsistenz einer Datei prüfen, braucht der Analyst Nummern, die wie echte aussehen. Der richtige Weg ist die formatbewahrende Anonymisierung.

1. Die echte Nummer 8804125123080 wird vor dem Senden durch eine fiktive ersetzt, etwa 9107235412081.

2. Der Ersatz bleibt gültig: echtes Datum, stimmiger Status und korrekte Luhn-Prüfziffer. Das Geschlecht kann erhalten bleiben, wenn die Analyse es braucht.

3. Die Zuordnung wird lokal auf dem Gerät für die Dauer der Sitzung gespeichert.

4. Antwortet die KI, können die fiktiven Nummern für den Nutzer wieder durch die echten ersetzt werden.

Die KI sieht nie die echten Daten, der Nutzer erhält trotzdem eine brauchbare Antwort. Die Methode erklären wir ausführlich in formatbewahrende Anonymisierung.

Wo diese Kontrolle hingehört

Eine Kontrolle auf Netzwerkebene sieht wenig vom Inhalt verschlüsselter Sitzungen und übersieht Dateien, die in den Browser gezogen werden. Eine Kontrolle auf dem Arbeitsplatz sieht den Text genau dann, wenn er eingefügt oder gesendet wird. Dort muss man ansetzen, bevor die Daten das Gerät verlassen, und zwar unabhängig davon, welches KI-Tool gerade genutzt wird. Wie ein Leck konkret entsteht, zeigt die Anatomie eines KI-Datenlecks.

Auch der regulatorische Kontext weist in diese Richtung. Am 10. April 2026 veröffentlichte das Ministerium für Kommunikation und digitale Technologien den Entwurf einer nationalen KI-Politik, zu dem bis zum 10. Juni 2026 Stellungnahmen möglich waren. Er ist nicht verbindlich, kündigt aber einen risikobasierten Ansatz an.

Zusammenfassung

Die südafrikanische ID-Nummer bündelt Geburtsdatum, Geschlecht und Staatsbürgerschaftsstatus in 13 Ziffern. POPIA verlangt ihren Schutz, und der Information Regulator hat gezeigt, dass er fehlende technische Kontrollen sanktioniert. ZeusLock erkennt diese Nummern und weitere südafrikanische Kennungen direkt auf dem Gerät, anonymisiert sie formatbewahrend, warnt oder blockiert nach Ihren Regeln und protokolliert jedes Ereignis als Compliance-Nachweis.

Sie möchten die Erkennung mit Ihren eigenen Anwendungsfällen testen? Fordern Sie eine ZeusLock-Demo an.