Die SEC kaufte Zugriff auf über eine Milliarde Flugdatensätze, um Reisende ohne Durchsuchungsbeschluss zu überwachen
Wichtige Erkenntnisse
- •Die SEC erhielt ohne Gerichtsbeschluss oder Durchsuchungsbeschluss Zugriff auf über eine Milliarde Flugticket-Datensätze von Airlines Reporting Corporation, einschließlich Passagiernamen, Kreditkartennummern und Flugreiserouten.
- •ARC's Travel Intelligence Program hatte zuvor ähnlichen Datenzugang für das FBI, die IRS und das Ministerium für Innene Sicherheit bereitgestellt, bevor es 2025 unter Druck von Abgeordneten eingestellt wurde.
- •Das SEC-Abonnement umfasste ein Echtzeit-Warnsystem, das Reisen gezielt überwachter Personen kennzeichnete, wobei die Behörde bis zu 25 Warnungen pro Tag anforderte.
- •Datenschutzbefürworter charakterisieren die Praxis als Datenmakler-Lücke, die es Behörden ermöglicht, Unterlagen kommerziell zu erwerben, für deren Erzwingung sie sonst eine rechtliche Grundlage wie eine Vorladung oder einen Durchsuchungsbeschluss bräuchten.
- •Trotz der Einstellung von TIP verkaufen andere kommerzielle Datenmakler weiterhin ähnliche Reisedaten-Produkte an Bundesbehörden in einer rechtlich ungelösten Grauzone nach der Carpenter-Entscheidung des Supreme Court von 2018.
Die US-Börsenaufsichtsbehörde (SEC) kaufte Zugriff auf eine weltweite Flugticket-Datenbank mit mehr als einer Milliarde Datensätzen. Dies geht aus SEC-Unterlagen hervor, die 404 Media durch einen Antrag nach dem Freedom of Information Act erhielt.
Die Daten wurden von der Airlines Reporting Corporation (ARC) geliefert, einer Clearingstelle, die gemeinsam von American Airlines, Delta Air Lines und United Airlines betrieben wird. ARC fungiert als Vermittler zwischen Fluggesellschaften und Reisebüros und verarbeitet sowie verkauft Buchungen weiter, die über Plattformen wie Expedia und Kayak getätigt wurden.
Die der SEC zugänglichen Datensätze umfassten die vollständigen Namen der Passagiere, die beim Ticketkauf verwendeten Kreditkartennummern, Abflug- und Ankunftsstädte sowie Flugnummern. Das SEC-Abonnement enthielt außerdem ein Echtzeit-Warnsystem, das neue Buchungen mit einer Liste von Personen abglich, die von der Behörde überwacht wurden. Das System kennzeichnete Reisen der zurückliegenden 24 Stunden, wobei die SEC zwischen einer und 25 solcher Warnungen pro Tag anforderte. Es war kein Gerichtsbeschluss erforderlich; die Regierung kaufte die Daten einfach – höchstwahrscheinlich ohne Durchsuchungsbeschluss.
ARC's Travel Intelligence Program (TIP) hatte zuvor denselben Überwachungsinfrastruktur-Bestand aus der Zeit nach dem 11. September an das FBI, die IRS und das Ministerium für Innere Sicherheit verkauft. Die Beteiligung der SEC veranschaulicht, wie sich die Praxis über nationale Sicherheits- und Grenzbehörden hinaus auf zivile Finanzregulierungsbehörden ausweitete. Die neu veröffentlichten Dokumente zeigen, dass die Reichweite des Programms größer war als bisher bekannt – auch Auslandsreisen zwischen fremden Staaten wurden neben Inlandsflügen im System erfasst. Der Druck von Abgeordneten führte schließlich 2025 zur Einstellung von TIP.
ARC verteidigte das Programm in einer Erklärung gegenüber 404 Media und sagte, TIP sei „nach den Terroranschlägen vom 11. September 2001 eingerichtet" worden und habe „wahrscheinlich zur Verhinderung und Ergreifung von Kriminellen beigetragen, die in ... Geldwäsche" und Terrorismus verwickelt waren.
Die SEC ist eine Finanzregulierungsbehörde, deren Aufgabe es ist, amerikanische Verbraucher vor Insiderhandel, Betrug und Marktmanipulation zu schützen – kein Geheimdienst. Die von ihr gekauften Reise- und Zahlungsdaten überschneiden sich jedoch unmittelbar mit den finanziellen Spuren, die Kryptowährungsutzer hinterlassen: eine Kreditkarte, die mit einem Krypto-Börsenkonto verknüpft ist, ein Flug zu einer Krypto-Konferenz, eine Grenzüberquerung.
Während der zweiten Trump-Regierung hat die SEC große Krypto-Durchsetzungsmaßnahmen zurückgefahren (Decrypt), während der Datenmakler-Behelf es Bundesbehörden ermöglicht, den Durchsuchungsbeschluss zu umgehen, den sie einhalten müssten, wenn sie die Unterlagen direkt anfordern würden. Die IRS hat ebenfalls ihre Überwachung von Krypto-Investoren mit vergleichbaren Methoden ausgeweitet. Die Coinbase-Untersuchung der SEC im Vorjahr zeigte dieselbe Vorliebe für Nutzerdaten.
Datenschutzbefürworter und Bürgerrechtsorganisationen bezeichnen diese Praxis als „Datenmakler-Lücke" – Behörden kaufen kommerziell verfügbare Daten, für deren Beschaffung sie andernfalls eine rechtliche Grundlage wie eine Vorladung oder einen Durchsuchungsbeschluss bräuchten. Dieser Ansatz existiert in einer rechtlich ungelösten Grauzone: Die Entscheidung des Supreme Court von 2018 in Carpenter v. United States besagte, dass der Zugriff auf bestimmte digitale Datensätze Dritter eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellt, für die ein Durchsuchungsbeschluss erforderlich ist. Dennoch vertreten Behörden die Auffassung, dass auf dem freien Markt gekaufte Daten nicht unter diesen Rahmen fallen. Obwohl TIP selbst eingestellt wurde, bleibt der kommerzielle Markt für Reisedaten, auf den es sich stützte, aktiv, und andere Datenmakler bieten Bundesbehörden weiterhin ähnliche Produkte an. Geldwäsche – der Vorwurf, der am häufigsten mit Krypto-bezogenen Ermittlungen in Verbindung gebracht wird – gehörte zu den Straftaten, die ARC zur Verteidigung des Programms anführte.
