Im Jahr 2015 war der US-Geheimdienst auf der Jagd nach Alexej Burkow, einem berüchtigten russischen Hacker. Er wurde verdächtigt, den Diebstahl von 20 Mio. US-$ mit gestohlenen Kreditkarten auf der Website Cardplanet ermöglicht zu haben. Die Methoden, mit denen die Be­hörden ihn verfolgten, können dank einer Anfechtungsklage von Forbes erstmals offengelegt werden. Demnach konnte die US-Regierung zwei Datenunternehmen dazu zwingen, den Gesuchten zwei Jahre lang auf der Grundlage eines 233 Jahre alten Gesetzes auszu­spionieren. Die Firmen mussten wöchentliche Berichte über seinen Aufenthaltsort weitergeben. Die US-Regierung hat nie bekannt gegeben, wie viele andere Personen einer so langen und unkonventio­nellen Überwachung ausgesetzt sind oder ausgesetzt sein könnten.

Die beiden Unternehmen, Sabre in den USA und Travelport in Großbritannien, waren aufgrund ihrer Tätigkeit die perfekten Lieferanten für die US-Strafverfolgungsbehörden. Seit Jahrzehnten sammeln und speichern die Firmen Informationen über internationale Touristen in einem sogenannten Global Distribution System (GDS). GDS sind im Wesentlichen Infor­mationsdrehscheiben, die Reise­buchungen zwischen Fluggesellschaften, Kreuzfahrtanbietern, Autovermietern und Hoteliers erleichtern. Die beiden Unter­nehmen beherrschen die Branche außerhalb Russlands und Chinas, der einzige andere Mitbewerber ist das spanische Unternehmen Amadeus. Die US-Strafverfolgungsbehörden erkannten schnell den Wert der von Sabre und Travelport genutzten Daten. Moskau hat kein Auslieferungsabkommen mit Washington – somit blieb nur die Möglichkeit, Burkow während einer Reise aus Russland festzunehmen.

In einer gerichtlichen Anordnung vom November 2015 verlangte der Geheimdienst, dass Sabre und Travelport Burkows Reisen zwei Jahre lang kontinuierlich über­wachen (oder, wie die USA es ausdrückten, „vollständige und zeitgleiche Kontoaktivitäten in Echtzeit“ liefern). Jede Woche mussten die Unternehmen berichten, was sie gesehen hatten. Den Firmen wurde untersagt, diese Anordnung ohne gerichtliche Genehmigung offenzulegen. Die Wirksamkeit der Über­wachungen ist unklar. Nicht lange nach den Anordnungen wurde Burkow, der sich im Jahr 2020 des Computerhackens und des Betrugs schuldig bekannte, Ende 2015 in Tel Aviv verhaftet; es gibt keine offi­ziellen Angaben darüber, wie er aufgespürt werden konnte. Das US-Justiz­ministerium lehnte es ab, sich dazu zu äußern oder weitere Informationen preiszugeben.

Weder Sabre noch Travelport wollten sich dazu äußern, ob sie sich gegen die Anordnungen gewehrt haben oder ihnen sofort und widerstandslos nachgekommen sind. Ein Sabre-Sprecher sagte, das Unternehmen reagiere auf rechtmäßige Prozesse im Rahmen der geltenden Gesetze. „Wir nehmen unsere Verpflichtung ernst, die Daten der Sabre-Nutzer zu schützen und das Gesetz zu befolgen“, so der Sprecher. Er lehnte weitere Kommentare ab und verwies für detailliertere Fragen an die Strafverfolgungsbehörden. Im August 2020 teilte Sabre auf eine Anfrage aus dem Büro von Senator Ron Wyden aber mit, dass es sieben bundesgerichtliche Anordnungen erhalten habe, die sich auf sieben Personen beziehen. Das Unternehmen hat bis dato keine weiteren Aktualisierungen zu diesen Zahlen vorgelegt.

Travelport erklärte gegenüber Forbes, dass es keine gezielte Über­wachung durchführe, wollte sich aber nicht dazu äußern, wie es auf die Burkow-Anordnung reagiert hat. „Da diese Vorladung fast sieben Jahre alt ist und nach ihren Bestimmungen vor fünf Jahren ablief, können wir uns nicht zu den Details dieser speziellen Angelegenheit äußern“, so ein Sprecher – „Tra­velport hält sich an rechtsgültig ausgestellte Vorladungen der Regierung, führt aber keine aktive Überwachung von Einzelpersonen durch.“ Das Unternehmen gab nicht bekannt, welche Art von Daten es den Regierungen auf Anfrage zur Verfügung stellen kann. Nach der Veröffentlichung unserer Recherche sagte Travelport, dass es die Daten der Reisenden 36 Monate „nach Abschluss der letzten Reisetrans­aktion in der Reservierungskartei“ vernichte. Darüber hinaus zeigen die Aufzeichnungen von Travelport nur an, wo eine Reisebuchung vorgenommen wurde, „bestätigen aber nicht, ob die Person tatsächlich mit dieser Buchung gereist ist“.

Ein Sprecher dazu: „Travelport stellt Regierungs­behörden weder systematisch oder routinemäßig personenbezogene Daten zur Verfügung noch gewährt es Strafverfolgungsbehörden, Geheim­diensten oder anderen Regierungs­be­hörden der Vereinigten Staaten in großem Umfang Daten beziehungsweise einen Zugang durch die Hintertür.“

Die Rechtmäßigkeit des Einsatzes von Datenerfassungs­unternehmen zum Ausschnüffeln von Einzelpersonen ergibt sich aus dem All Writs Act von 1789, der es der Regierung erlaubt, „nicht belastende“ Unterstützung von Einrichtungen anzufordern, die nicht direkt mit einer bestimmten Untersuchung in Verbindung stehen. Das Gesetz löste 2015 eine Kontroverse aus, als das FBI versuchte, Apple zu zwingen, das iPhone eines des Massenmordes Verdächtigen von San Bernardino zu öffnen – und damit letztlich scheiterte.

Datenschützer der American Civil Liberties Union (ACLU) und der Electronic Frontier Foundation monieren, dass Anordnungen nach dem All Writs Act nicht die gleiche rechtliche oder öffentliche Prüfung erfahren wie Durch­suchungsbefehle oder Abhör­maßnahmen und „routine­mäßig“ unter Verschluss gehalten werden. „Zu viel über diese Art von Durch­suchungsbefehlen wird vor der Öffentlichkeit ver­borgen“, sagt Jennifer Granick, Beraterin für Überwachung und Cybersicherheit bei der ACLU.

Das Sammeln von Informa­tionen über zukünftige Reisen, die möglicherweise nichts mit früheren Straftaten zu tun haben, „ist besonders anfällig für Missbrauch“, so Granick weiter. „Die Polizei nutzt die Sammlung privater Daten, um sich revolutionäre Überwachungsbefugnisse zu verschaffen, die im Wesentlichen nicht genehmigt sind und nicht durch demokratische Prozesse überwacht werden.“ Die Öffentlichkeit wisse so gut wie nichts darüber, wie die Straf­­verfolgungsbehörden diese Be­fugnisse nutzen – oder wie häufig und bei welchen Arten von Ermittlungen die Regierung diese Infor­mationen nutzt.

Solche Überwachungen blieben in den letzten zehn Jahren geheim. Dank der Klagen, die Forbes in Zusammenarbeit mit Anwälten des Reporters Committee for Freedom of the Press und Mit­gliedern der University of Virginia School of Law eingereicht hat, wird der Schleier nun gelüftet – wenn auch nur teilweise. Die Dokumente, die Sabre und Travelport anweisen, Burkow zu überwachen, wurden letzten Monat nach der Anfechtung durch Forbes zugänglich gemacht. Im Januar 2021 wurden weitere Petitionen zur Freigabe von Dokumenten im Zusammenhang mit ähnlichen Anordnungen in drei anderen Gerichten eingereicht. Das Justiz­ministerium argumentiert weiterhin, dass es kein allgemeines Recht auf Zugang zu Anordnungen nach dem All Writs Act gibt und dass „zwingende Strafverfolgungsinteressen die weitere Versiegelung dieser Akten erfordern“. Ein Gericht stimmte zu, dass solche Anordnungen „tradi­tionell aus wichtigen politischen Gründen geheim gehalten werden“.

Kritiker sprechen von einer Form des Ausspionierens – für Kenner der Branche ist es jedoch keine Überraschung, dass die US-Regierung Datenbestände dieser Reiseunternehmen nutzbar machen will. Zusammen verfügen die Firmen über Reisedaten, die ein halbes Jahrhundert zurückreichen und ein detailliertes Bild des Lebens einer Person vermitteln könnten.

Die Branche begann mit Sabre in den 1960er-Jahren, nachdem es von American Airlines ausgegliedert worden war. Heute sind die drei führenden Anbieter riesige Unternehmen – Sabre ist ein börsen­notierter Konzern an der Nasdaq mit einer Marktkapitalisierung von 2,5 Mrd. US-$, Amadeus wird an den spanischen Börsen mit über 25 Mrd. US-$ bewertet, Travelport ist nach wie vor ein privates Unternehmen, das 2018 für 4,4 Mrd. US-$ übernommen wurde. Sabre ver­arbeitet nach eigenen Angaben mehr als eine Milliarde Reisen und 120 Mrd. US-$ an Reiseausgaben pro Jahr.

Bevor Covid-19 den globalen Reisemarkt ins Wanken brachte, wickelte Travelport im Jahr 2019 Reisetransaktionen im Wert von 79 Mrd. US-$ ab. „Es geht mehr Geld über unsere Plattform als über E-Bay“, teilte das Unternehmen im Mai 2020 der britischen Regierung mit. Der Einfluss dieser Unternehmen ist enorm: Indem Sabre die russische Fluggesellschaft Aeroflot als Reaktion auf die Invasion der Ukraine vom Flugverkehr ausschloss, wurde laut Berichten der Verkauf von Sitzplätzen verhindert.

Joe Herzog, ein ehemaliger leitender Angestellter von Sabre und Travelport, sagte gegenüber Forbes, dass es für die Unternehmen technisch gesehen „relativ einfach“ sei, den Strafverfolgungsbehörden Daten zu liefern. „Es ist nur eine Frage der Datenschutzgesetze“, so Herzog. Amadeus, Sabre und Travelport haben Gegenstücke in Russland und China: Sirena-Travel und Travelsky. Beide sind eng mit ihren jeweiligen Regierungen verbunden.

Es ist möglich, dass Burkow erneut unter US-Beobachtung steht. Ende 2019 wurde er trotz der Ver­suche Russlands, seine Überstellung zu verhindern, von Israel an die USA ausgeliefert – und nachdem er Betrugs- und Hackerdelikte zuge­geben hatte, wurde er im Juni 2020 zu 108 Monaten Haft verurteilt. Im September 2021 geschah jedoch Seltsames: Burkow wurde nach Russland zurückgeschickt. Es ist unklar, warum. Das US-Justiz­ministerium hat noch keine voll­ständige Erklärung abgegeben.

In einem Schreiben vom März an den nationalen Sicherheitsberater Jake Sullivan forderten die repub­likanischen Mitglieder der Ausschüsse für Justiz, innere Sicherheit, Nachrichtendienste und auswärtige Angelegenheiten des Repräsentantenhauses eine Erklärung. „Die russische Regierung hat in der Vergangenheit Cyberkriminelle als Aktivposten für russische Geheimdienste eingesetzt“, warnten die Gesetzgeber. „Einige frühere Beamte haben angedeutet, dass Burkow jetzt möglicherweise für Russland und gegen die USA arbeitet.“

Text: Thomas Brewster
Illustration: Christian Zelaya for Forbes, Foto: Cynthia Wood