Nafath-Login für Ihre Website oder App: So funktioniert es

Mit einer Nafath-Integration melden sich Menschen in Saudi-Arabien auf Ihrer Website oder in Ihrer App mit dem nationalen Single Sign-on an, den sie bereits für Behördendienste nutzen, und Sie wissen, dass das Konto einer realen, identifizierten Person gehört. Der Aufwand lohnt sich, wenn eine falsche Identität Sie Geld kostet oder rechtlich angreifbar macht, etwa bei Immobilien, Personalwesen und Finanzierung. Für einen gewöhnlichen Onlineshop oder eine Buchungsseite reichen meist eine Telefonnummer und ein Einmalcode.

Zuletzt geprüft: 6. November 2026

Dieser Leitfaden ist eine allgemeine Information für Unternehmer und keine Rechtsberatung. Der Betreiber von Nafath legt fest, wer sich anbinden darf und zu welchen Bedingungen. Prüfen Sie die aktuellen Bedingungen daher über den offiziellen Kanal, bevor Sie einen Starttermin planen.

Was Nafath ist und wer es nutzen kann

Nafath (Unified National Access) ist der nationale Single Sign-on Saudi-Arabiens. Das Innenministerium hat ihn gemeinsam mit dem National Information Center gestartet, entwickelt wurde er von Elm und der Technology Control Company. Nutzer greifen über die Nafath-App darauf zu, die jede Anmeldung mit Biometrie, Passkeys und Anfragecodes bestätigt.

Nafath gehört längst zum Alltag. Es ist mit mehr als 530 staatlichen und privaten Plattformen verbunden und hatte bis November 2024 mehr als 3 Milliarden Verifizierungen abgewickelt. Saudische Staatsbürger und Einwohner melden sich mit ihrem Absher-Konto an, sodass die meisten Ihrer Kunden in Saudi-Arabien die App bereits auf dem Telefon haben.

Diese Verbreitung ist der Hauptgrund, Nafath in Betracht zu ziehen. Sie verlangen von Kunden weder eine neue App noch ein weiteres Passwort, sondern bieten einen Login an, dem sie aus dem Umgang mit Behörden vertrauen.

So funktioniert ein Nafath-Login für Ihre Nutzer

Aus Sicht des Nutzers ist der Ablauf kurz:

1. Auf Ihrer Login-Seite wählt der Nutzer „Mit Nafath anmelden“ und identifiziert sich, in der Regel mit seiner nationalen ID oder seiner Aufenthaltsnummer (Iqama).
2. Ihre Website oder App sendet über die Integration eine Anmeldeanfrage.
3. Der Nutzer öffnet die Nafath-App auf seinem Telefon und sieht die Anfrage mit einem Anfragecode, den er mit Ihrem Bildschirm abgleicht.
4. Er bestätigt sie per Biometrie auf seinem Telefon.
5. Ihre Website erhält die Bestätigung und öffnet sein Konto.

Das dauert nur Sekunden, hängt aber vom Telefon des Nutzers ab. Wessen Akku leer ist oder wer das Telefon im Auto gelassen hat, kann die Anmeldung nicht abschließen. Ihr Design muss das berücksichtigen: Der Bildschirm sollte erklären, was als Nächstes passiert, und einen klaren Rückweg anbieten, wenn die Anfrage abläuft.

Login oder geprüfte Identität: zwei verschiedene Aufgaben

Unternehmer verlangen oft „Nafath“, meinen aber eines von zwei Dingen, und der Unterschied verändert das Projekt.

Wenn Sie nur einen reibungslosen Login brauchen, leistet eine Telefonnummer mit Einmalcode oft dasselbe mit weniger Aufwand. Nafath lohnt sich, wenn Sie sich auf die Identität der Person verlassen müssen.

Wann sich Nafath lohnt

Nutzen Sie die folgende Übersicht als grobe Orientierung und prüfen Sie sie an Ihren eigenen Risiken:

• Immobilien. Reservierungen, Anzahlungen und Mietverträge betreffen echtes Geld und namentlich bekannte Parteien. Zu wissen, wer unterschrieben hat, verringert Streitfälle und passt gut in ein CRM, das einen Interessenten von der ersten Anfrage bis zum unterschriebenen Vertrag begleitet, wie in unserem Leitfaden zum Immobilien-CRM.
• Personal- und Bewerberportale. Bewerber- und Mitarbeiterdaten gehören zu einer Person, und eine Verwechslung in einer Personalakte ist teuer zu korrigieren.
• Finanzierung und Ratenzahlung. Kredite, Buy-now-pay-later und alles, wobei Sie Kredit gewähren, brauchen eine echte Identität hinter dem Konto.
• Medizinische und andere sensible Dienste. Dort dürfen Unterlagen über eine Person nur diese Person erreichen.
• Kostenpflichtige oder beschränkte Mitgliederplattformen. Dort kosten geteilte oder gefälschte Konten Sie Geld.

Wo es sich meist nicht lohnt:

• Onlineshops. Ein Gastkauf mit Telefonnummer hält die Hürde niedrig, und die Zahlung übernimmt ohnehin das Zahlungsgateway. Unser Leitfaden zu Zahlungsgateways in Saudi-Arabien behandelt diese Seite.
• Buchungs- und Anfrageformulare. Ein Einmalcode an das Telefon des Kunden stoppt den meisten Spam.
• Websites mit vielen Besuchern außerhalb des Königreichs. Diese haben kein Nafath, daher kann es immer nur eine Option unter mehreren sein.

Zugang erhalten: was Sie zuerst klären sollten

Nafath ist kein öffentlicher Login-Button, den jeder Entwickler einschalten kann. Der Zugang läuft über die offiziellen Kanäle des Betreibers, und die Voraussetzungen können von Ihrer Unternehmensform und Ihrem Angebot abhängen. Die aktuellen Schritte zur Aufnahme konnten wir in keinem öffentlichen offiziellen Dokument überprüfen, deshalb führen wir sie hier nicht als Tatsache auf.

Bevor Sie ein Entwicklungsbudget festlegen, klären Sie:

• Ob Ihr Unternehmen zugelassen ist und welche Unterlagen Sie brauchen, etwa Ihren Handelsregisterauszug.
• Welchen Dienst Sie benötigen: nur die Anmeldung oder auch die Übermittlung von Identitätsdaten.
• Welche kommerziellen Bedingungen gelten, einschließlich etwaiger Gebühren pro Verifizierung oder pro Jahr.
• Ob eine Testumgebung verfügbar ist und wie lange die Freigabe für den Livebetrieb dauert.
• Welche Sicherheits- und Datenschutzauflagen Sie erfüllen müssen.

Stellen Sie diese Fragen über den offiziellen Nafath-Kanal (iam.gov.sa) oder den Integrator Ihrer Wahl und lassen Sie sich die Antworten schriftlich geben. Die Dauer der Freigabe liegt nicht in der Hand Ihres Entwicklers, planen Sie den Starttermin also danach.

Was Sie auf Ihrer Seite bauen müssen

Die Verbindung zu Nafath ist nur ein kleiner Teil der Arbeit. Der größte Aufwand steckt in Ihrem eigenen System, und genau dort scheitern Projekte:

• Ein alternativer Login. Besucher, neue Einwohner und alle ohne die App müssen sich trotzdem anmelden können, per Code an das Telefon oder per E-Mail.
• Kontoverknüpfung. Legen Sie fest, wie eine Nafath-Identität mit einem bestehenden Kundendatensatz verbunden wird und was passiert, wenn zwei Konten dieselbe Person beanspruchen.
• Klare Warte- und Ablaufzustände. Zeigen Sie dem Nutzer, was er auf seinem Telefon tun muss, und lassen Sie ihn erneut versuchen, ohne von vorn zu beginnen.
• Sitzungsverwaltung. Wie lange eine Anmeldung gilt und welche Aktionen, etwa eine Vertragsunterschrift, eine neue Bestätigung erfordern.
• Ein Prüfprotokoll. Halten Sie fest, wann jede Verifizierung stattfand und wofür sie genutzt wurde, damit Sie später auf einen Streitfall antworten können.
• Datensparsamkeit. Speichern Sie nur die Identitätsfelder, die Sie für den Vorgang brauchen, und beschränken Sie, wer in Ihrem Team sie sehen darf.

Identitätsdaten sind personenbezogene Daten. Das saudische Datenschutzgesetz (PDPL) gilt seit dem 14. September 2023. Zu seinen wichtigsten Pflichten gehören die Registrierung bestimmter Verantwortlicher, die Meldung einer Datenpanne an die Aufsichtsbehörde SDAIA innerhalb von 72 Stunden und Strafen von bis zu 5 Millionen SAR. Im Oktober 2026 zur Konsultation veröffentlichte Änderungsentwürfe würden eine Regel zur Speicherung personenbezogener Daten im Königreich einführen. Sie sind noch ein Entwurf, doch Sie sollten wissen, wo Ihre Daten gehostet werden.

Ein Nafath-Login ist meist Teil eines größeren Projekts. Wenn Sie eine App darum herum planen, erklärt unser Leitfaden zu den Kosten der App-Entwicklung in Saudi-Arabien, was das Budget bestimmt, und der Artikel über die Verbindung Ihrer bestehenden Systeme zeigt, wie solche Integrationen zusammenpassen.

Wie KF Tech Solutions hilft

KF Tech Solutions ist ein Softwarestudio in Kairo, das Websites, Web- und Mobile-Apps sowie die APIs und Backends dahinter entwickelt. Wir arbeiten mit Unternehmen in Ägypten und am Golf. Bei einem Nafath-Projekt helfen wir Ihnen zu entscheiden, ob Sie einen Login oder eine geprüfte Identität brauchen, gestalten die Anmeldebildschirme auf Arabisch und Englisch, bauen Kontoverknüpfung, alternativen Login, Prüfprotokoll und Datenverarbeitung in Ihr System und schließen die Anbindung ab, sobald Ihr Zugang über den offiziellen Kanal freigegeben ist. Den Zugang selbst gewährt nur der Betreiber von Nafath, nicht wir und kein anderer Entwickler. Mehr dazu, wie wir mit saudischen Unternehmen arbeiten, finden Sie auf unserer Seite zu Saudi-Arabien.

Häufige Fragen

Kann jede Website einen Nafath-Login hinzufügen?

Nicht im Alleingang. Der Zugang wird über die offiziellen Kanäle von Nafath gewährt und hängt von Voraussetzungen ab, die der Betreiber festlegt. Prüfen Sie diese, bevor Sie einen Starttermin zusagen.

Können Besucher und Personen außerhalb Saudi-Arabiens Nafath nutzen?

Nafath wird von saudischen Staatsbürgern und Einwohnern über ihr Absher-Konto genutzt. Alle anderen brauchen einen anderen Anmeldeweg, planen Sie die Alternative also von Anfang an ein.

Ersetzt Nafath meine eigenen Benutzerkonten?

Nein. Nafath bestätigt, wer die Person ist. Ihr System verwaltet weiterhin das Kundenkonto mit Bestellungen, Verträgen und Einstellungen und verknüpft sie mit dieser bestätigten Identität.

Reicht stattdessen eine Telefonnummer mit Einmalcode?

Für die meisten Shops, Buchungsseiten und Portale ja. Wählen Sie Nafath, wenn Sie sich auf die echte Identität einer Person verlassen müssen, etwa vor einem Vertrag, einer Anzahlung oder einer Kreditentscheidung.

Wie lange dauert eine Nafath-Integration?

Die Entwicklungsarbeit auf Ihrer Seite dauert innerhalb eines größeren Projekts meist einige Wochen. Die Freigabe des Zugangs liegt beim Betreiber und ist oft der längere Teil, beginnen Sie dieses Gespräch also früh.

Wenn Sie Nafath für ein Portal oder eine App erwägen, erzählen Sie uns, was Sie bauen oder buchen Sie ein kostenloses Gespräch. Wir helfen Ihnen zu entscheiden, ob es sich lohnt, bevor eine Zeile Code geschrieben wird.

Quellen

• Unified national access (Nafath), Wikipedia
• Datenschutzrecht in Saudi-Arabien, DLA Piper
• SDAIA veröffentlicht Änderungsentwürfe zum PDPL, Clyde & Co