Wo also liegen die Informationen zu meinem Flug?

Es ist nicht ganz einfach, die Frage zu beantworten, wo die Informationen zu einem Flug liegen. Sagen wir, ein Passagier hätte einen Flug bei der Lufthansa gebucht. Dann wäre sein PNR bei Amadeus gehostet. Doch einer der Flüge auf einer längeren Reise wird von einem Star-Alliance-Partner durchgeführt; dann wird ein verknüpfter PNR im System der jeweiligen Fluglinie angelegt - also bei Sabre, Galileo oder Worldspan.

Außerdem hat der Passagier über die Fluglinie noch ein Hotel und einen Mietwagen gebucht. All diese Datensätze liegen in verschiedenen, verknüpften Datenbanken vor. Der Kunde bekommt davon jedoch im Zweifelsfall nichts mit. Nur, wenn auf einer komplizierten Buchung mehrere Buchungscodes stehen, deutet dies daraufhin, dass die Informationen in verschiedenen Systemen gespeichert sind.

Buchungscode + Nachname = Benutzername + Passwort

Wie sicher sind diese Informationen? Experte Hasbrouck sagt: "Einen Zugang zu einem solchen Buchungssystem zu bekommen, ist nicht so schwer" Die einfachste Möglichkeit: ein unauffälliger Schulterblick am Flughafen. "Die Systeme sind so aufgebaut, dass sie für den Kunden möglichst leicht zu bedienen sind", sagt Hasbrouck. Auf der Webseite der Fluglinien müssen nur der sechstellige Buchungscode und der Nachname des Reisenden eingegeben werden. Beide Informationen sind auf den meisten Flugtickets zu finden.

Wer über diese Informationen verfügt, kann den weiteren Reiseplan einsehen - oder ändern. Denn Buchungscode und Nachname sind letztlich Nutzername und Passwort. Wenn bei der Fluglinie bereits eine Kreditkarte hinterlegt ist, dann könnten Umbuchungen der Reise vorgenommen und auch bezahlt werden. Im System würde dann hinterlegt, dass der Reiseplan "auf Kundenwunsch hin" geändert wurde.

Doch auch ohne die Informationen zu ändern, kann ein Einblick in die Systeme interessant sein: "Ich kann herausfinden, wann dein Rückflug stattfindet. Vielleicht möchte ich herausfinden, wie viel Zeit ich habe, um dein Haus auszurauben, bevor du nach Hause kommst. Oder ich kann herausfinden, wo du als Nächstes hinfliegst - vielleicht fliegst du zu einem anderen Ort, und das könnte für mich interessant sein, um Industriespionage zu betreiben." Und in brenzligen Familiensituationen oder bei Stalkern könnten Informationen aus PNRs dazu genutzt werden, den Aufenthaltsort einer Person zu ermitteln.

Die Buchungsinformationen können nicht nur bei den Fluglinien selbst eingesehen werden. Alle großen Betreiber unterhalten Angebote, die den direkten Zugriff auf den eigenen PNR ermöglichen. Wer einen Buchungscode und einen Nachnamen weiß, muss also nicht mal den Namen der Fluglinie in Erfahrung bringen, um auf die Informationen zuzugreifen - ausprobieren bei den vier Portalen reicht aus.

Austausch von PNR-Daten

Die von den Fluglinien gespeicherten Informationen sind aus Sicht von Sicherheitspolitikern von großem Wert für die Terrorismusbekämpfung. Seit vielen Jahren werden die PNR-Daten daher zwischen der EU und anderen Staaten im Rahmen der internationalen Terrorismusbekämpfung ausgetauscht. Ein entsprechendes Abkommen mit den USA scheiterte zwar zwischenzeitlich am Widerstand des EU-Parlaments, ist aber mittlerweile seit einigen Jahren in Kraft.

"Grundsätzlich gibt es zwei Verfahren, um der Regierung die Daten zur Verfügung zu stellen - Push und Pull." Beim Push-Verfahren werden alle Informationen aus den Systemen über eine API an die Ermittlungsbehörden geleitet - und dort gespeichert, durchsucht und schließlich wieder gelöscht.

Doch die USA hätten dieses Abkommen nur in wenigen Fällen wirklich gebraucht, sagt Hasbrouck. "Die US-Regierung hat einen Root-Zugriff auf die Datenbanken der US-PNR-Betreiber". Sie sei also als einzige Instanz in der Lage, die Informationen aus diesen verschiedenen Datenbanken zentral zusammenzuführen.