US-Börsenaufsicht SEC kaufte eine Milliarde Fluggastdaten

Die US-amerikanische Börsenaufsichtsbehörde SEC kaufte eine weltweite Flugdatenbank mit unzähligen Details ein. Die Frage ist aber: warum?

Die U.S. Securities and Exchange Commission (SEC) ist die höchste Börsenaufsicht des Landes. Dies ist keine Polizeibehörde und auch kein Geheimdienst. Nach Angaben der Kollegen von 404 Media erwarb die Behörde unzählige Daten. Demnach hat die SEC Zugriff auf über eine Milliarde Flugbuchungsdatensätze. Die Daten sollen unter anderem die Namen der Fluggäste, ihre Flugrouten, Flugnummern, Zahlungsinformationen und die Reisebüros enthalten, wo sie gebucht haben. Die Informationen stammen von der Airlines Reporting Corporation (ARC). Dies ist ein Unternehmen, was sich im Besitz mehrerer großer Fluggesellschaften befindet. Die Journalisten erhielten die Informationen von der SEC im Rahmen eines Antrags nach dem Freedom of Information Act (FOIA).

Verkauf der Fluggastdaten war schon einmal ausgesetzt

Das Unternehmen stellte letztes Jahr nach wiederholter Berichterstattung durch 404 Media und Druck seitens der Gesetzgeber den Verkauf von Flugticketdaten (vorübergehend) ein. Die nun neu erhaltenen Unterlagen geben jedoch weiteren Einblick in den Umfang der Daten, die Fluggesellschaften ohne Wissen ihrer Kunden verkauft haben und auf die wahrscheinlich auch gleich mehrere Strafverfolgungsbehörden – vermutlich ohne richterliche Anordnung – zugegriffen haben. Natürlich hat man die Fluggäste darüber nicht in Kenntnis gesetzt.

Die Ticketdaten umfassen nicht nur Inlandsflüge in den USA und internationale Flüge von und nach den USA, sondern auch Flüge, die vollständig zwischen oder innerhalb ausländischer Länder stattfinden, heißt es in einem der Dokumente. Festgehalten sind der Namen jedes Passagiers, die zum Kauf des Tickets verwendete Kreditkartennummer, die Abflug- und Ankunftsorte der Reisen, das Flugdatum, die Flugnummer sowie die „Verkaufsstelle“, womit wahrscheinlich das von der Person beauftragte Reisebüro gemeint ist.

Die ARC besitzt diese Daten, weil das Unternehmen als Vermittler zwischen Fluggesellschaften und Reisebüros fungiert. Immer wenn jemand einen Flug bei einem Reisebüro buchte, erhielt das Unternehmen die Informationen dieser Buchung und verkaufte diese dann im Rahmen seines Datenbroker-Geschäfts weiter. Wir erinnern uns daran, dass es in den USA mit wenigen Ausnahmen keine gesetzlichen Regelungen zum Zwecke des Datenschutzes gibt. Wenig überraschend reagierte die Börsenaufsicht SEC nicht auf die Presseanfrage der Kollegen von 404 Media.

Börsenaufsicht erhielt die Informationen quasi auf Zuruf

Das „Travel Intelligence Program“ (TIP) von ARC, wie das Datenprodukt heißt, war laut dem Dokument zudem in der Lage, tägliche Suchergebnisse zu einer bestimmten Namensliste zu übermitteln. „ARC sendet tägliche Berichte über alle Flugtickets, die von Einzelpersonen in den vergangenen 24 Stunden gekauft wurden“, heißt es weiter. Den Unterlagen zufolge verlangte die SEC über diesen Benachrichtigungsdienst Zugriff auf 1 bis 25 tägliche Suchanfragen. Die SEC-Mitarbeiter hat man somit beinahe in Echtzeit über alle Flüge und vieles mehr informiert.

Die Firma ARC erläuterte die Entstehung des Datenweiterleitungsprogrammes TIP. Man habe es nach den Terroranschlägen vom 11. September 2001 ins Leben gerufen. Seitdem nutzten die US-Geheimdienste und Strafverfolgungsbehörden mit Unterstützung beider Parteien die Informationen zur Gewährleistung der nationalen Sicherheit. Auch geht es um die Aufklärung und Verhinderung krimineller Aktivitäten, wie es offiziell heißt. Das System habe wesentlich dazu beigetragen, Straftaten zu verhindern und Kriminelle festzunehmen. Diese waren in Menschenhandel, Drogenhandel, Geldwäsche, Sexhandel, Bedrohungen der nationalen Sicherheit, Terrorismus und andere unmittelbare Gefahren für die Vereinigten Staaten verwickelt. Doch was bitteschön hat die Börsenaufsicht der USA damit zu tun?

Was will die SEC eigentlich mit den ganzen Daten?

Höchst wahrscheinlich geht es der SEC um die Bekämpfung und Aufklärung beispielsweise von Delikten wie den Insiderhandel. Wenn die Behörde untersucht, ob ein Tatverdächtiger aufgrund einer wichtigen Unternehmensmeldung Wertpapiere an- oder verkauft hat, können die entsprechenden Reisedaten recht aussagekräftig sein. Sie zeigen beispielsweise, ob sich Verdächtige vor geheimen Treffen oder Firmenübernahmen getroffen haben.

Zudem sollen die Daten die Mitarbeiter der Börsenaufsicht beim Aufspüren von Beschuldigten oder Zeugen unterstützen. Die SEC führt auch zivilrechtliche Vollstreckungsmaßnahmen durch. Wenn jemand ins Ausland reist oder schwer auffindbar ist, können Flugdaten helfen, Aufenthaltsorte oder Reisebewegungen nachzuvollziehen.

Rekonstruktion von Netzwerken. Bei komplexen Betrugsfällen mit mehreren Beteiligten auch abseits des Insiderhandels können die Reisebewegungen der Beteiligten interessante Hinweise auf Absprachen oder persönliche Treffen liefern.

Allerdings geht aus den bisher veröffentlichten Dokumenten gar nicht eindeutig hervor, wofür die SEC einen Datensatz dieses Umfangs benötigt. Genau das kritisieren Datenschützer: Für viele Ermittlungen würden gezielte Anfragen oder richterlich angeordnete Auskünfte ausreichen, während man hier nach dem Gießkannenprinzip handelt. Den Mitarbeitern war es offenkundig lieber, eine riesige Datenbank mit den Reisen von Millionen unbeteiligter Menschen zu kaufen, anstatt auf die Antwort auf die Anfrage und die vorherige Zustimmung einer Richterin oder eines Richters warten zu müssen.

Auch die US-Grenzschutzbehörde hatte sich eingedeckt

Bereits im Jahr 2025 hatte 4040 Media berichtet, dass auch Behörden wie die U.S. Customs and Border Protection und U.S. Immigration and Customs Enforcement dieselben ARC-Daten angekauft haben. Dabei gab man als Zweck ausdrücklich das Verfolgen von „persons of interest“ an. Wie gesagt, nach der Berichterstattung und politischem Druck stellte ARC den Verkauf dieses Produkts schließlich zeitweise ein.

Stellt sich abschließend die Frage, ob eine völlig fachfremde Behörde überhaupt so viele Daten in ihren Besitz bekommen sollte. Wäre es für die US-Börsenaufsicht nicht schon ausreichend, einzelne Abfragen mit einem entsprechenden richterlichen Beschluss zu stellen? Der ungehemmte Zugriff auf eine Milliarde Flugdaten, die auch Flüge außerhalb der USA betreffen, sind schon nicht mehr verhältnismäßig, um eine vergleichsweise kleine Menge an Delikten im Bereich der Finanzkriminalität aufzuklären. Aber wie gesagt, anders als in der EU existiert in den USA kein allgemeines Datenschutzgesetz. Außer in Bundesstaaten wie Kalifornien hat man den Handel mit personenbezogenen Daten häufig nur (sehr) begrenzt reguliert.