Der gläserne Fluggast

Die Europäische Union toleriert US-Datenpull - noch

Die Geschichte ist symptomatisch für den Kampf gegen den Terror nach dem 11. September: Die USA führen ihre Maßnahmen durch - andere Länder folgen oder müssen sich beugen. Doch in diesem Fall scheint sich langsam Widerstand zu regen.

Seit dem 5. März geben europäische Luftfahrtgesellschaften den US-Zollbehörden Auskunft über ihre Passagierdaten. Betroffen sind Deutsche Lufthansa, British Airways, Air France, Iberia und die niederländische KLM, neuerdings auch Alitalia und Scandinavian Airlines. Beamte der EU-Kommission hatten dies mit den US-Behörden Mitte Februar ausgehandelt, da anderenfalls ein US-Gesetz den Entzug der Landrechte vorsieht.

Das europäische Parlament kritisierte die Kommission dafür ungewöhnlich scharf. Es gäbe "Zweifel an der Rechtsgrundlage". Auch seien die Daten kaum "wirklich angemessen geschützt", sobald sie in amerikanische Datenbanken übertragen werden. Die US-Zollbehörden verhandeln derzeit mit der EU-Kommission über die Weitergabe von Flugpassagierdaten, den sogenannten "Passenger Name Records" (PNR). Sie verlangen in dem von der Kommission veröffentlichten Dokument "Undertakings of The United States Bureau of Customs and Border Protection and The United States Transport Security Administration" den Abruf von 40 Datenfeldern. Bis September soll eine Einigung erzielt werden.

Falls das Abkommen dann die Privatsphäre der EU-Bürger nicht angemessen schützt, erwägt das europäische Parlament die Kommission im September verklagen. Bis Ende August wolle der Ausschuss für die Freiheiten und Rechte der Bürger, Justiz und innere Angelegenheiten des Europäischen Parlaments aber die laufenden Verhandlungen noch abwarten, sagte die niederländische Europaparlamentsabgeordnete Johanna Boogerd-Quaak in einem Interview mit Radio Netherlands.

11 Millionen Betroffene

Zu den Daten gehören unter anderem das Buchungsdatum, das Reisebüro, auf dem Ticket enthaltene Informationen, finanzielle Angaben wie Nummer und Ablaufdatum der Kreditkarte und Rechnungsanschrift, die Reisestrecke sowie die Buchungshistorie. Das Buchungssystem speichert auch persönliche Daten wie Essenswünsche. Bis zu 11 Millionen Fluggäste sind jährlich auf transatlantischen Flügen von der Datenübermittlung an die USA betroffen.

Zu den 40 Datensätzen gehören neben dem Namen, Geburtsdatum, Anschrift und Telefonnummer des Reisenden auch die Namen seiner Mitreisenden und seines Reisebüros sowie des Reisebüro-Sachbearbeiters. Ebenfalls gewünscht ist die Rechnungsanschrift, die Email-Adresse und der Reisestatus. Die US-Behörde behält sich vor, die Liste unter Risikoaspekten zu erweitern. Die Daten sollen mindestens sieben Jahre gespeichert werden. Nach Ablauf der sieben Jahre sollen die Daten weitere acht Jahre in einem so genannten "Deleted Record File" aufbewahrt werden. Verwendet werden die Daten in einem Flugpassagier-Kontrollsystem.

CAPPS

Das Flugpassagier-Kontrollsystem soll das Passagiere in verschiedene Risikokategorien einstufen: "Grün" für "minimales Risiko", "Gelb" für "erhöhte Sicherheitsmaßnahmen" und "Rot" für "Sicherheitskräfte alarmieren für etwaige Festnahme" (Zuerst die ganz Bösen, dann die weniger Bösen). Das CAPPS II genannte System soll "innerhalb von fünf Sekunden eine Analyse und Risikoabschätzung erstellen und Terroristen identifizieren" können, so Steve McHale von der US- Transportsicherheitsbehörde. Dafür werde Passagierdaten mit dem "besten geheimdienstlichen US-Aufklärungsmaterial über Terroristen" abgleichen.

Unschuldige Reisende in den USA wurden aufgrund fehlerhafter Flugverbotslisten bereits verhört. So etwa im August 2002 die zwei Friedensaktivisten Jan Adams and Rebecca Gordon, die am Flughafen von San Francisco festgehalten wurden, da sie auf eine "No-Fly"-Liste gerieten. Nun führt die US-Bürgerrechtsorganisation "American Civil Liberties Union" Klage gegen das FBI, das Justizministerium und die Tranportation Security Administration, um herauszufinden, wie die beiden auf die Terroristenliste geraten konnten (Kriegsgegner auf CAPPS-Überwachungsliste).

Proteste wie Boycott Delta führten inzwischen dazu, dass Testläufe für CAPPS II gestoppt wurden, um Datenschutzregeln zu implementieren. Diese gelten jedoch nur für US-Amerikaner - nicht für Ausländer.

Die Flugverbotsliste ist zudem nicht die einzige Überwachungsliste von US-Behörden. Das General Accounting Office, der Rechnungshof des US-Kongresses, berichtete kürzlich, dass zwölf verschiedene Datenbanken "gefährliche Personen" speichern. Neun Regierungsstellen pflegen die Datenbanken, die unter drei verschiedenen Betriebssystemen laufen und Daten in inkompatiblen Formaten speichern. Acht Datenbanken verwenden firmenspezifische Standards, sieben sind nicht vernetzt. Der Rechnungshof empfiehlt nun, alle Datenbanken zu einer einzigen zu verbinden.

In eine solche Super-Datenbank werden dann auch Daten kommerzieller Firmen verwendet. Der US-Datenkonzern ChoicePoint etwa liefert regelmäßig Daten an das US-Justizministerium. In Mexiko ist die Firma höchst umstritten, da sie über Mittelsmänner das komplette mexikanische Wählerregister für 250.000 US-Dollar erworben hatte, um sie US-Behörden gegen Entgelt zur Verfügung zu stellen (zu ChoicePoint s.a.: Matrix ist in Florida).

Wirtschaftsspionage?

Carsten Bange, Geschäftsführer des Würzburger "Business Application Research Center" (BARC) , meint, dass eine gezielte Abfrage bezüglich bestimmter Hypothesen und Fragestellungen jedenfalls nicht nur für die Terrorbekämpfung, sondern auch für Wirtschaftsspionage relevante Daten herausfiltern könnte. Bucht etwa eine Firma über ein eigenes Reisebüro, können Personen dieser Firma zugeordnet werden. Konkurrieren mehrere Unternehmen um eine lukrative Regierungsausschreibung in einem bestimmten Land, können Flüge in dieses Land als Indikator für Vorverhandlungen gewertet werden. Bange: "Dann wird es spannend." Ebenfalls denkbar wäre es, Flüge von Firmenvertretern in ein Embargoland als Indikator für Verhandlungen zu werten. Kritisch wird es auch, wenn die Flugpassagierdaten mittels der angegebenen Kreditkartennummer mit den Daten von Kreditkartenunternehmen verknüpft werden.

Carsten Bange hält eine maschinelle Datenmustererkennung für solche Massendaten grundsätzlich für geeignet. Als "problematisch" sieht er jedoch "die wenigen relevanten Datensätze in diesen Massendaten":

Sie können über Data Mining versuchen, ein typisches Muster innerhalb der 40 Datenfelder für Terroristen zu filtern.

Allerdings sieht er das Hauptproblem darin, dass man dafür bereits "eine ausreichende Menge von bekannten Flügen von Terroristen" hat. Sind diese verfügbar, kann man anhand der Profile der bekannten Terroristen-Flüge ähnlich wie bei der Bonitätsprüfung in einer Bank die relevanten Felder und ihre Kombination untereinander herausfinden und eine Wahrscheinlichkeit ausrechnen, das jemand ein Terrorist sein könnte.

Kritik

Der Vize-Präsident des Europäischen Parlaments, Gerhard Schmid, bezeichnete das Vorgehen unverblümt als "ökonomische Erpressung unserer Fluglinien". Europäische Datenschützer der Artikel-29-Gruppe formulierten nach anfänglich harscher Kritik Mitte Juni in einem Schreiben an die Kommission mehrere Bedingungen für den Datentransfer: So soll die im Februar zwischen den USA und der EU getroffene Vereinbarung nur vorübergehend gültig sein. Ob ein internationales Abkommen oder nur eine Vereinbarung zwischen den zuständigen Behörden abgeschlossen wird, ist noch offen. Jedenfalls bestehen die Datenschützer darauf, dass nur ein genau definiertes Datenpaket maximal 48 Stunden vor Abflug übermittelt werden dar. Auch dürfen die US-Behörden diese Daten nur wenige Wochen, und nicht wie gewünscht sieben bis acht Jahre gespeichert werden.

Die Datenschützer wollen den Zugriff der US-Behörden im Pull-Verfahren abschaffen und nur noch ein Push-Verfahren zulassen. Auch bestehen sie darauf, dass der Verwendungszweck auf Terrorismusbekämpfung beschränkt werden muss und nicht, wie die derzeitige Vereinbarung vorsieht, auch "schwere Straftaten" umfasst. Außerdem verlangen sie eine Datenschutz-Kontrolle seitens unabhängiger Dritter.

EU-Kommissar Bolkestein warnt vor transatlantischer Konfrontation

Nachdem der für auswärtige Angelegenheiten zuständige Kommissar Chris Patten angesichts der drohenden Landeverbote die rechtswidrige Vereinbarung im Februar getroffen hatte, wurde ihm die Zuständigkeit entzogen. EU-Kommissar Frits Bolkestein schaltete sich nach der Kritik des EU-Parlaments und der Datenschützer ein und scheint jetzt auch neuer Verhandlungsführer zu sein. In einem Schreiben an Tom Ridge, dem Minister für das US-Ministerium für Homeland Security, unterstrich er die Forderungen der Datenschützer. Die bisherigen Erläuterungen der US-Behörde seien nicht überzeugend. Falls die USA wesentliche Kritikpunkte wie die Zweckbindung, die Beschränkung auf Kerndaten und die Kontrolle durch unabhängige Dritte nicht berücksichtigten, "riskieren wir eine sehr belastende transatlantische Konfrontation ohne offensichtlichen Ausweg", warnte Bolkestein.

Dem immanenten Vorwurf der USA, angesichts von Terrorgefahren Paragrafenreiterei zu betreiben, trat Bolkestein entschieden entgegen: Es gehe nicht nur darum, die Datenschutzrichtlinie anzuwenden, sondern um die Wahrung "fundamentaler Rechte und Freiheiten". An diesen Freiheiten würde man in der Europäischen Union "grimmig festhalten", schrieb Bolkestein wörtlich.

Widerstand?

Widerstand gegen den gesetzwidrigen Zustand gibt es nicht wirklich. Allein der italienische Datenschutzbeauftragte hat der Fluggesellschaft Alitalia die Übermittlung der Daten untersagt. Alitalia folgte - und die US-Behörden entzogen die Landeerlaubnis wider Erwarten nicht.

Bei der für die Deutsche Lufthansa zuständigen nordrhein-westfälischen Datenschutzbeauftragten haben sich bisher sieben Personen über die Datenübermittlung beschwert. Alle waren Fluggäste, die sich dagegen gewendet haben, dass der Zugriff der US-Behörden technisch auch für Flüge außerhalb der USA möglich ist. Die Datenschutzbeauftragte führte inzwischen bei der Lufthansa Stichprobenkontrollen durch, inwieweit der US-Zoll auch auf Flüge zugreift, die nicht in die USA gehen. "Ein Zugriff auf Nicht-US-Flüge konnte in keinem einzigen Fall festgestellt werden", sagte die zuständige Referentin Bettina Gayk.

Aus den übrigen europäischen Staaten sind auch nur vereinzelte Beschwerden bekannt geworden. Die griechische Datenschutzbehörde prüft derzeit einen Fall, in dem ein Passagier erhebliche Schwierigkeiten bei der Einreise hatte. Dies ging aber wohl nicht auf eine Flugpassagierdaten-Übermittlung zurück, sondern hatte seine Ursache in anderen Informationen, die den US-Behörden über die Person vorlagen.

Immerhin hat die europäische Cyberrights-Gruppe EDRI Beschwerdebriefe an die Luftfahrtgesellschaften und Datenschutzbeauftragten vorformuliert. Reger Gebrauch wurde jedoch, wenn die sieben deutschen Beschwerden betrachtet, davon noch nicht gemacht.

Die Europäer zeigen sich jedoch nicht nur skeptisch. Für manche ist das Vorgehen der Amerikaner sogar Inspiration. Spanien unterbreitete im März den Vorschlag, dass europäische Strafverfolger EU-weit ebenfalls auf Flugpassagierdaten zugreifen dürfen, um illegale Einwanderung und Terrorismus zu bekämpfen (Flugpassagierdaten auch in der EU begehrt). Der europäische Luftverkehrsverband AEA und der internationale Flugverkehrsverband IATA warnten jedoch davor, dass diese Forderungen eine "verheerende Wirkung" auf die zivile Luftfahrt haben könnten. Der Datenzugriff nütze den Staaten nur eingeschränkt, werde jedoch die Kosten der Luftfahrtgesellschaften ins "Unermessliche" steigern.