Die United States Customs and Border Protection, kurz CBP, speichert zahlreiche Daten von Reisenden zum Schutz der US-Grenzen. Cyrus Farivar, Redakteur beim US-Magazin Ars Technica, interessierte sich für die Daten, die in seinem sogenannten Passenger Name Record stecken. Bereits im Mai 2014 versuchte er, Einsicht zu bekommen, bekam aber nur eine oberflächliche Sammlung zurückgeschickt, die seine Reisen von 1994 an beinhaltete. Nach einer Beschwerde bekam er nun 76 Seiten an neuen Daten.

Was die US-Behörde CBP demnach alles über Jahre hinweg speichert, überraschte Farivar. Postadressen, E-Mail-Adressen und Telefonnummern, die er nutzte, fanden sich in den Daten. Dazu kommen IP-Adressen, die er für den Kauf von Flugtickets verwendet hatte, sowie die genutzte Sprache und die Anrufe bei Fluggesellschaften – selbst wenn nur ein Sitzplatz geändert werden sollte.

Besonders überrascht hat ihn allerdings, dass seine Kreditkartendaten sich ebenfalls im PNR befinden. In voller Länge und mit Ablaufdatum. Allerdings nicht immer. Es ist abhängig vom sammelnden Unternehmen, ob die Kreditkartendaten vollständig in den PNR übermittelt werden. In einem Fall gab American Airlines Farivars – mittlerweile nicht mehr gültige – Kreditkartennummer in aller Vollständigkeit in den PNR. Auch die Buchungsseite Travelocity gab Kreditkartendaten komplett weiter. Weder American Airlines noch Travelocity konnte Farivar zu einer Stellungnahme bewegen. Die Fälle ereigneten sich in den Jahren 2005 und 2007.

Die gesammelten Daten, die über Call Center in den PNR übermittelt wurden, landeten ebenfalls bei der CBP. Dabei wurde offenbar nicht darauf geachtet, die Daten wenigstens zu minimieren. Farivar konsultierte mit Edward Hasbrouck einen Experten, der die Schuld dazu dem Outsourcing gibt. Die Mitarbeiter in Call Centern bekämen kein Training, was Datenminimierung angeht.

Wieviele Daten ein Unternehmen wie eine Fluggesellschaft in den PNR überführt, entscheidet auch über die Qualität des Profils, das erstellbar ist. Allerdings gebe es keine Möglichkeit herauszufinden, wie ausführlich Daten von einem Unternehmen überführt würden, wie Hasbrouck erklärte.

PNR geht an mehrere Behörden

Das PDF-Dokument zum Passenger Name Record der CBP gibt an, dass alle Fluggesellschaften, die von, zu oder über das Territorium der USA einen Flug durchführen, einen PNR ihrer Gäste übermitteln müssen. Empfänger sind hierbei nicht nur die CBP, sondern auch das Department of Homeland Security (DHS). Zusammen mit der TSA (Transport Security Administration) und der ICE (U.S. Immigration and Customs Enforcement) ist die CBP dem DHS für den Grenzschutz unterstellt.

Normalerweise sollen die Daten nur für fünf Jahre vorgehalten werden. Farivar Daten sind hingegen deutlich älter, mit dem ersten Eintrag vom März 2005. Die CBP konnte ihm nicht erklären, wieso die Daten so alt sein konnten. Farivar selbst glaubt nicht, dass er etwas dagegen tun könne. Zwar verhindere das Kaufen von Last-Minute-Flugtickets am Flughafen ausführliche PNR, allerdings sei das ein sehr teures Unterfangen, da solche Flüge in der Regel den teuersten Buchungsklassen entsprächen.

Die US-Grenzschutzbehörden haben umfassende Rechte, weswegen die Electronic Frontier Foundation 2011 einen Reiseführer für Grenzgänger mit Daten veröffentlichte, nachdem die Arbeiten daran auf dem Chaos Communication Camp im selben Jahr vorgestellt wurden.