Während sich die netzpolitischen Debatten des faden Wahlkampfs in Nordrhein-Westfalen vor allem um Fragen des Urheberrechts, der Netzsperren und der umstrittenen Vorratsdatenspeicherung drehen, entwickelt ein neues Thema im Hintergrund gewaltige Sprengkraft: PNR.

Noch wissen nur wenige, wofür diese drei Buchstaben stehen. Das wird sich jedoch bald ändern, meint Kai Biermann, mehrfacher Grimmepreisträger und langjähriger Ressortleiter Digitales bei ZEIT Online. Im “Passenger Name Record” (PNR) werden alle Daten und Vorgänge rund um eine Flugbuchung aufgezeichnet – bis hin zur Hotelwahl oder Mietwagenbuchung. Was in den USA längst üblich ist, soll bald auch bei Flügen aus oder in die EU Realität werden.

Kai Biermanns Blick in die Zukunft zeigt: Der Fluggastdatenspeicherung droht das gleiche Schicksal wie der Vorratsdatenspeicherung – 2016 wird das Bundesverfassungsgericht die anlasslose Speicherung aller Passagierdaten als unverhältnismäßigen Eingriff in die Persönlichkeitsrechte bezeichnen und das Gesetz kassieren. Doch bis dahin warten noch jede Menge Proteste und Skandale.

Die Zukunft der Überwachung von Kai Biermann

Überwachung, Spionage, gläserne Bürger? Das alles soll möglich sein mit den paar PNR-Daten, die Fluggesellschaften über ihre Passagiere speichern? Das glauben Sie nicht? Nun, dann begleiten Sie mich in das Reisebüro der nahen Zukunft:

Im April 2014 hatte das Europäische Parlament nach langen Debatten der Einführung eines europäischen Passagierinformationssystems zugestimmt. Wie sein amerikanisches Vorbild sollte es sogenannte Passenger Name Records speichern und Ermittlern zur Verfügung stellen.

Der deutsche Innenminister hatte die Entscheidung begrüßt und sie als einen großen und mutigen Schritt gewertet. Europa werde damit ein Stück mehr ein Raum der Freiheit, der Sicherheit und des Rechts. Selbstverständlich, versicherte er, sei der Datenschutz gewahrt. Bereits nach sechs Monaten – also dem gleichen Zeitraum wie bei der Vorratsdatenspeicherung – würden die Informationen “pseudonymisiert” und könnten damit nicht mehr der Person zugeordnet werden.

Rechtzeitig zur Urlaubssaison

Wenige Monate später, rechtzeitig zur Urlaubssaison, war die Infrastruktur einsatzbereit. Europol bekam Zugriff auf die Server der Buchungsdatenbank Amadeus in Erding bei München. Damit waren alle Fluggesellschaften und viele Reisebüros in Europa direkt mit der europäischen Polizeibehörde vernetzt. In Echtzeit konnten Daten abgerufen, analysiert und “Empfehlungen” ausgesprochen werden.

Als das Bundeskriminalamt im September 2014 verkündete, es habe dank PNR-Daten einen internationalen Menschenschmuggelring zerschlagen können, verändert das die öffentliche Wahrnehmung. Die Schmuggler hatten sich laut BKA mit einem Trick getarnt. Sie hatten mit gefälschten Papieren Flüge innerhalb Europas gebucht, gleichzeitig mit echten Papieren einen Flug in ein Land außerhalb der EU. Mit den echten Papieren und dem damit gekauften Ticket passierten sie die Sicherheitskontrollen, um anschließend den Inlandsflug zu nehmen und unter falschem Namen in einem anderen Land anzukommen. Wie das BKA betonte, wäre es ohne PNR nie möglich gewesen, diesen Trick zu durchschauen. Der Präsident des Amtes sprach von einer weltweiten Mafia, die damit arbeite und Milliarden Euro umsetze.

Erhebliche Verbesserung von Sicherheit

Eine Zeit lang erlahmte daraufhin der öffentliche Protest gegen das Verfahren. Zwei Entwicklungen aber ließen ihn 2016 wieder anschwellen.

Da waren zum einen die Reisebüros. Mit der Begründung, die sogenannte Vorfeldaufklärung zu verbessern, hatte die EU in einem bis dahin geheimen Aktionsplan Ende 2014 verfügt, dass die Überprüfung der Reisenden bereits bei der Buchung im Reisebüro zu erfolgen habe. Begründet wurde der Schritt mit dem Argument, so könnten die Sicherheit noch einmal erheblich verbessert und Anschläge bereits in der Planungsphase vereitelt werden. Für die Reisebüros bedeute es außerdem kaum Mehraufwand

Um den Aktionsplan umzusetzen, mussten die Reisebüros ihren Kunden, bevor sie ihnen Tickets verkaufen durften, einen Fragenkatalog mit insgesamt 60 Punkten vorlegen. Darin hatten die Urlauber nicht nur Daten wie Anschrift, mitreisende Personen und bisherige Aufenthalte in dem Zielland anzugeben, sondern auch genaue Beschreibungen ihrer Reiseziele und Reisegründe. Sie mussten außerdem offen legen, wen sie am Ziel alles treffen wollten.

Unschuldige wurden in Reisebüros festgehalten

Die Daten wurden sofort ausgewertet und mit der bisherigen Reisehistorie der Betreffenden verglichen. Noch im Reisebüro erhielten sie dann von Computer einen “Board”-, oder “No Board”-Bescheid. Im letzteren Fall durften die Reisebüros selbstverständlich keine Tickets verkaufen.

Ein Widerspruch gegen einen solchen Bescheid war zulässig, konnte aber nicht direkt beim Reisebüro geltend gemacht werden. Möglich war er nur bei den zuständigen Landesdatenschutzbeauftragten. Diese bemängelten bald eine Überlastung und verstärkten ihre Kritik an dem PNR-Verfahren. So veröffentlichten sie verschiedene Fälle, in denen offensichtlich Unschuldige viele Stunden lang in Reisebüros festgehalten worden waren, bis ihr Boarding-Status geklärt war. Darunter auch Rentner und Familien mit kleinen Kindern. Bürgerrechtler kritisierten diese Praxis als eine unkontrollierbare Auslagerung der Strafermittlung an die private Wirtschaft.

Nachdem außerdem das Blog netzpolitik.org aufdeckte, dass im Jahr 2015 allein in Hamburg 4.000 Mal solche “No Board”-Bescheide erteilt worden waren, brach in Deutschland das Last-Minute-Geschäft zusammen. Daraufhin baten die Reiseverkehrsverbände um eine Krisensitzung im Kanzleramt.

Keine weiteren Auswirkungen

Zum anderen mehrten sich Berichte, PNR-Daten würden nur in 0,5 Prozent der Fälle zur Verfolgung von schwerer Kriminalität und Terrorismus herangezogen. Eine viel zitierte Studie der Universität Mannheim hatte beobachtet, dass damit vor allem Kreditkartenbetrug verfolgt wurde. Dank der langen Speicherfristen – beim europäischen System insgesamt immerhin fünf Jahre – ließen sich problemlos Verbindungen herstellen zwischen gekauften Tickets und später als gestohlen gemeldeten Kreditkarten.

Diese Studie beschrieb auch zum ersten Mal genauer die Praxis, wie die Daten bei Europol “pseudonymisiert” wurden. Demnach musste der Bearbeiter des Datensatzes lediglich den Befehl “unmask” anklicken, um auch nach Ablauf der sechsmonatigen Frist Daten wieder vollständig sehen zu können. Die Nutzung des Demaskierungsbefehls wurde zwar vom System protokolliert, hatte aber keine weiteren Auswirkungen. Außerdem war bekannt geworden, dass solche Demaskierungen nahezu routinemäßig bei einem großen Teil der Datensätze erfolgt waren, da sie anschließend den Ermittlern weitere sechs Monate zur Verfügung standen.

Noch ist es keine Realität

In ganz Europa waren daraufhin im Winter 2015 Demonstranten auf die Straße gegangen. Sie forderten ein Ende der “Rasterfahndung” und “Reisefreiheit”, was bei vielen Kommentatoren in den Medien Assoziationen an die RAF-Zeit und an die Montagsdemonstrationen in der DDR weckte. Nachdem das Bundesverfassungsgericht Anfang 2016 geurteilt hatte, dass die anlasslose Speicherung aller Passagierdaten einem Generalverdacht gegen die Bevölkerung gleichkomme und damit gegen die Zweckbindung des Datenschutzes verstoße, wurde das Gesetz in Deutschland außer Kraft gesetzt.

Noch ist eine solche Rasterfahndung mit Hilfe von PNR-Daten in Europa nicht Realität. Entsprechende Pläne aber werden in der EU seit Jahren diskutiert und die Wahrscheinlichkeit ist hoch, dass sie umgesetzt werden – abgesehen von den Reisebüros. Sie sind zwar die Orte, an denen die Daten erhoben werden, festgehalten und befragt aber würden die Betroffenen wohl auf Flughäfen.

***

Weiterführende Links:

Direktive der EU-Kommission über die Nutzung von PNR-Daten (PDF)

Netzseite des Reisejournalisten und PNR-Kritikers Edward Hasbrouck mit Informationen über die Datensammlung

Weiterführende Beiträge auf Deutschlandfunk: 

Angekündigte Anklage gegen Deutschland: Die Chronik des Streits um die Vorratsdatenspeicherung (MP3)

Europa soll stolz auf Bürgerrechte sein: Streit um die Vorratsdatenspeicherung (MP3)