Erste Erfahrungen mit dem Fluggastdaten-Informationssystem

Zum Fluggastdaten-Informationssystem liegen nach einem halben Jahr „eingeschränkten Wirkbetriebs“ erste Erkenntnisse vor. Längst nicht alle Fluggesellschaften sind angeschlossen, nur 1,3% der Daten des gesamten Passagierjahresaufkommens war am Wirkbetrieb beteiligt. Die Zahl vermeintlicher Treffer war sehr hoch und machte aufwändiges und kostenintensives Nacharbeiten durch zahlreiche BKA-Mitarbeiter notwendig. Danach stellten sich 0,023 % aller überprüften Personen als „echte Treffer“ heraus. Das verwendete Abgleichsverfahren ist eine Weiterentwicklung des INPOL-Abgleichsverfahrens des BKA. Mit „globalen“ Namen ist dieses System offensichtlich überfordert. Ein Einsatz im Echtbetrieb mit rund 180 Millionen Passagieren pro Jahr würde 7,2 Millionen Passagiere zum vermeintlichen Treffer machen und das Reisen, wie auch den Passagierflugbetrieb empfindlich stören. | Lesedauer: Ca. 10 Minuten

Was ist und wie funktioniert das Fluggastdaten-Informationssystem

Seit dem 29. August 2018 ist auch in der Bundesrepublik Deutschland ein Fluggastdaten-Informationssystem im – zunächst noch „eingeschränkten“ – Wirkbetrieb. In diesem System werden sehr (!) [a] umfassende Daten über alle Personen gespeichert, die mit einem Linien- oder Charterflug von Deutschland aus ins Ausland fliegen oder aus dem Ausland kommend in Deutschland landen [b].

Erhebung durch die Luftfahrtgesellschaften

Diese Daten müssen von den Luftfahrtgesellschaften erhoben werden und an die eigens eingerichtete Fluggastdatenzentralstelle übermittelt werden und zwar

1. 48 bis spätestens 24 Stunden vor dem planmäßigen Abflug
2. und ein zweites Mal unmittelbar nachdem die Fluggäste an Bord gegangen sind und das Flugzeug nicht mehr verlassen können.

EU-Richtlinie und Fluggastdatengesetz

Rechtsgrundlage ist die Richtlinie 2016/681 des EU-Parlaments und Rates vom 24.6.2016, die darauf abzielt, dass Fluggastdaten in allen Mitgliedsstaaten der EU nach einem gemeinsam abgestimmten Verfahren erhoben, gespeichert und verwendet werden. Diese Richtlinie wurde im Juni 2017 mit dem Fluggastdatengesetz (FlugDaG) [1] in deutsches Recht umgesetzt. Der gemeinsame Zweck der EU-Mitglieder bei der Fluggastdatensammlung und -verwendung ist „die Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität“.

Fluggastdatenzentralstelle beim BKA

Die Fluggastdatenzentralstelle (engl: Passenger Information Unit – PIU) ist formell beim Bundeskriminalamt angesiedelt, de facto wird jedoch das Bundesverwaltungsamt (BVA) im Auftrag und nach Weisung der Zentralstelle tätig. Seine Aufgaben umfassen die Anbindung und Betreuung der Fluggesellschaften, die technische Zusammenführung der angelieferten Daten und Weiterleitung an die Zentralstelle, sowie die technische Entwicklung und Weiterentwicklung des Fluggastdaten-Informationssystem. Der eigentliche IT-Betrieb erfolgt in einem Rechenzentrum des Informations-Technik-Zentrum Bund (ITZ).

Automatisierter Abgleich mit den Fahndungsdateien von INPOL und dem Schengen Informationssystem

Die von den Fluggesellschaften übermittelten Fluggastdaten werden – vor dem Abflug bzw. vor der Landung in Deutschland – automatisiert abgeglichen mit den Fahndungsdateien des polizeilichen Informationssystems INPOL und denen des Schengen Informationssystems (SIS II), sowie „mit Mustern“, über die im Gesetz nichts weiter ausgeführt ist.

Datenübermittlung von „Treffern“ an die Polizeibehörden und Nachrichtendienste in Deutschland

Werden dabei echte „Treffer“ festgestellt (dazu unten mehr), so kann die Fluggastdatenzentral­stelle die Daten des Passagiers und die Ergebnisse des Abgleichs „zur weiteren Überprüfung oder zur Veranlassung weiterer Maßnahmen“, je nach Zuständigkeit übermitteln

• an das Bundeskriminalamt,
• die Landeskriminalämter,
• das Zollkriminalamt,
• die Bundespolizei

und ferner

• an den Bundesnachrichtendienst,
• das Bundesamt für Verfassungsschutz und
• den Militärischen Abschirmdienst

[c]

Datenaustausch mit dem bzw. -übermittlung an das Ausland

Auch ein Datenaustausch zwischen den Mitgliedsstaaten der EU ist im Gesetz geregelt, sowie die Datenübermittlung an Europol und – im Einzelfall – an Nicht-Mitgliedsstaaten der EU [d].

Umgang mit den Fluggastdaten

Depersonalisierung

Sechs Monate nach Übermittlung der Fluggastdaten an die Zentralstelle sind diese Daten zu depersonalisieren, d.h. es werden alle Attribute im jeweiligen Datensatz entfernt, die eine Identifizierung der betreffenden Person ermöglichen [e].

Übrig bleibende Informationen zur Mustererkennung

Dennoch bleibt nach der Depersonalisierung pro Passagier und Flug ein Datensatz übrig, der noch genügend Informationen zur Erkennung von Mustern enthält: Zum Beispiel über regelmäßige Reisen von A nach B oder Reiserouten, über reservierte, aber nicht angetretene Flüge, die Art der genutzten Zahlungsmittel, das Reisebüro, das die Buchung vorgenommen hat und sogar den oder die SachbearbeiterIn dort.

Speicherfrist und Löschung

Die (in der Regel nach 6 Monaten depersonalisierten) Daten werden bei der Fluggastdatenzentralstelle nach fünf Jahren gelöscht. Die Speicherfristen für „Treffer“-Daten, die an deutsche Polizeibehörden oder Nachrichtendienste weitergeleitet wurden, richten sich nach den entsprechenden Vorschriften für diese Behörden [f].

Stand der Umsetzung in Deutschland

Kapazitäten im „eingeschränkten Wirkbetrieb“ bis 31.3.2019

Die Fluggastdaten-Zentralstelle ist mit einem sogenannten „eingeschränkten Wirkbetrieb“ am 29.08.2018 an den Start gegangen. Bis Oktober 2018 waren lediglich drei „große deutsche“ Fluggesellschaften an das System angeschlossen und haben lediglich zu Erprobungszwecken Daten übermittelt. Bis Anfang April 2019 konnten dann 20 Fluggesellschaften „technisch“ Daten übermitteln. Die Fluggastdatenzentralstelle hat von elf davon „Daten zu einzelnen Flugrouten“ verarbeitet und gespeichert. Die anderen neun Fluggesellschaften nutzen das System derzeit im Testbetrieb, übermitteln aber keine Daten zur Speicherung im Echtsystem. Diese Zitate und Informationen stammen aus der Antwort der Bundesregierung auf eine Kleine Anfrage des Abgeordneten der LINKE-Fraktion, Andrej Hunko, im Deutschen Bundestag [2].

Noch Luft nach oben: Bisher nur 1,3% aller an sich betroffenen Passagiere erfasst

Bisher wird nur ein geringer Bruchteil der im Gesetz eigentlich vorgesehenen Passagiere im Fluggastdaten-Informationssystem erfasst: Eigentlich betroffen wären rund 180 Millionen Menschen, die aus Deutschland ins Ausland abfliegen oder von dort in Deutschland landen. Tatsächlich, sagt die Bundesregierung in ihrer Antwort auf die Anfrage, wurden in dem halben Jahr zwischen Ende August 2018 und 31.03.2019 3,5 Millionen Datensätze übermittelt und verarbeitet. Die hätten sich auf rund 1,2 Millionen Passagiere (in einem halben Jahr) bezogen, was rechnerisch einem Anteil von 1,3% aller an sich zu erfassenden Passagiere pro Jahr entspricht.
Da ist also noch enorm Luft nach oben, was – aus Sicht der Kritiker dieses Gesetzes – sicher nicht bedauert wird.

Leistungsfähigkeit des eingesetzten Abgleichsverfahrens

Datensätze und Trefferquoten

In 94.098 Fällen stellte das Abgleichssystem eine vermeintlich relevante Übereinstimmung der betroffenen Person mit Informationen im Fahndungsbestand fest. Das ist, bezogen auf die 1,2 Millionen übermittelten und geprüften Fluggastdatensätze, eine Quote vermeintlicher Relevanz von 7,8%. Jeder einzelne dieser „Treffer“ wurde in der Fluggastdatenzentrale dann noch intellektuell überprüft. Damit waren im genannten Zeitraum 41 Mitarbeiter beim BKA beschäftigt. Nach deren Überprüfung blieben 277 „echte“ Treffer übrig, die zur Einleitung weitere Maßnahmen an die Bundespolizei übermittelt wurden. Das ist, bezogen auf die zunächst angezeigten vermeintlichen Treffer eine Relevanzquote von 0,3% und bezogen auf den Gesamtbestand der übermittelten Passagierdatensätze ein Anteil von 0,023%. Aus diesen Zahlenwerten sind Aussagen über das Verbesserungspotenzial der eingesetzten IT-Verfahren möglich:

Suchen und Entfernen von Duplikaten

Wenn sich 3,5 Millionen Datensätze auf rund 1,2 Millionen Passagiere zurückführen lassen, spricht das für Redundanz: Die sich aus dem im Gesetz vorgesehenen Verfahren ja von selbst ergibt, da Personendaten

1. nach dem Buchen – vor dem Abflug
2. nach dem Boarding und
3. in vielen Fällen auch noch zusätzlich in Form der Daten des Kreditkarteninhabers, der das Ticket bezahlt, übermittelt werden.

Offensichtlich ist die Software in der Lage, aus diesen mehrfach anfallenden Datensätzen für ein- und denselben Fluggast den mehrfach auftauchenden Namen der gleichen Person zu identifizieren, die Duplikate zu erkennen und auf EINEN Fluggastdatensatz zu reduzieren. So werden aus 3,5 Millionen Datensätzen 1,2 Millionen Passagiere. Dahinter steckt nicht unbedingt ein Ausbund an künstlicher Intelligenz: Denn beim Einchecken muss man für den Flug INS Ausland einen Pass vorlegen. Gleiches gilt bei der Einreise aus dem Ausland nach Deutschland. Die Personendaten im Reisepass sind die, die man als Passagier tunlichst auch bei der Buchung des Tickets angibt. Und es sind auch die Personendaten, die auf der Kreditkarte stehen, mit der man das Ticket zahlt. Insofern ist die Duplikatenerkennung aus Buchungsdaten, Eincheck-Daten und Bezahlungs-Daten wahrlich kein Hexenwerk, weil die entsprechenden Namensangaben im Pass, auf dem Ticket und auf dem Boarding-Pass übereinstimmen.

Automatisierter Abgleich der Namen von Fluggästen mit dem Fahndungsbestand von INPOL bzw. dem Schengen Informationssystem

Etwas mehr Können ist schon vonnöten, wenn es darum geht, Personendatensätze von Passagieren mit dem abzugleichen, was als Fahndungsbestand in INPOL bzw. dem SISII aktuell gespeichert ist. Diese Fahndungsbestände enthalten Datensätze von Personen, die zur Festnahme oder zur offenen oder verdeckten Kontrolle ausgeschrieben sind. Die Probleme bei dieser Aufgabe sind vielschichtig:

„Globale“ Personendaten

Die Passagiere, deren Personendaten abzugleichen sind, kommen aus aller Herren Länder und damit aus verschiedenen Kulturkreisen mit ihren unterschiedlichen Schrift- und Namenssystemen.

• Unterschiedliche Schriftsysteme
  Die Namensangaben der Fluggäste in deren Pässen können in kyrillischer Schrift, in arabischen oder chinesischen Schriftzeichen angegeben sein. Die Transkription in die hier verwendete Schrift muss jedoch eindeutig sein. Der russische Nachname Jelzin z.B. wird in Deutschland als „Jelzin“, in angloamerikanischen Ländern als „Yeltsin“ transkribiert. Ein Abgleichsverfahren muss solche Transkriptionsverfahren kennen und berücksichtigen. Denn es sollen ja DIE Treffer gefunden werden, die den gesuchten Jelzin im Fahndungsbestand von INPOL in der DORT gebrauchten Schreibweise finden.
• Unterschiedliche Namenssysteme
  Es gibt weltweit diverse Namenssysteme: Um nur einige Beispiele zu nennen: Viele US-Amerikaner haben zwischen dem Vornamen und Familiennamen noch einen Zwischennamen (engl. middle name) stehen. Der fungiert in einigen Fällen als weiterer Vorname, aber auch als Familienname der Mutter (Franklin DELANO Roosevelt – „Delano“ war der Familienname der Mutter), oder als Name einer bewunderten Person wie in Martin LUTHER King. Doch wo werden solche Zwischennamen im Bestand von INPOL „richtig“ untergebracht: Sind sie weiterer Vorname, oder Teil eines mehrteiligen Familiennamens, wie es sie ja auch in Deutschland gibt (von Bismarck, Müller-Lüdenscheidt)?! [3] Arabische Namen muslimischer Prägung weisen Bestandteile auf, die Familienverhältnisse angeben: Abu Mahmud = Vater des Mahmud oder Bin Faisal = der Sohn von Faisal. Oder den Träger als „Diener von Gott“ bezeichnen = „Abd al-“ oder auch „Abdullah“. Insgesamt unterscheidet die Namensforschung fünf verschiedene Namensbestandteile für arabische Namen, von denen „zweifelsfrei höchstens zwei in das wesentliche Namenssystem überführt werden können“ [3, Seite 36].

INPOL bzw. SIS sind nicht auf „globale“ Namenssysteme ausgelegt

Die möglichen Namensbestandteile im Datenmodell von INPOL (und SISII) sind

• der Familienname,
• der Geburtsname,
• ein Sonstiger Name,
• ein oder mehrere Vornamen (als EIN Merkmal),

sowie als ergänzende identifizierende Merkmale

• das Geburtsdatum,
• der Geburtsort,
• das Geburtsland
• und eine bzw. zwei Staatsangehörigkeit(en).

Die Überführung mehrteiliger Namen in die (wenigen) Namensfelder in INPOL/SIS für Namens-Merkmale wird häufig zu Zweifelsfällen und Weglassungen führen und letztlich zu einer nicht korrekten Abbildung des eigentlichen Namens.

In INPOL kann eine „rechtmäßige Personalie“ fehlen

Anders, als in den Reisedokumenten, steht im Fahndungsbestand von INPOL/SIS häufig ein Name, von dem man gar nicht weiß, ob er der rechtmäßige ist. Das gilt insbesondere für die zahlreichen Asylbewerber, die in den letzten Jahren ohne gültige Ausweispapiere ins Land gekommen sind. Um überhaupt eine Personalie angeben zu können, wird bei denen der Name als so genannte ‚Führungspersonalie‚ eingesetzt, der bei der Ersterfassung nach der Einreise „verstanden“ wurde. So kommt es dann zu einer Fülle von Ahmeds / Ameds / Ahmads oder Amads, den x-fachen Husseins oder Hosseins, den Mohameds in diversen Schreibweisen usw.

Das ABS – Abgleichssystem für INPOL, eine Eigenentwicklung des BKA

Für den automatisierten Abgleich der Fluggastdaten mit dem INPOL-/SIS Fahndungsbestand wird nach Auskunft in der Anfrage eine „Eigenentwicklung“ des BKA verwendet, die eine „Weiterentwicklung des BKA-eigenen ABS (=Abgleichssystem) sein soll. Dieses IT-Verfahren hat offensichtlich erhebliche Schwächen beim Aufspüren echter Treffer.

Ein Rechenexempel zur Kapazität dieses Verfahrens

Das zeigt sich daran, dass aus 94.098 vermeintlich relevanten Datensätzen im „eingeschränkten Wirkbetrieb“ eines Halbjahres nur 277 echte Treffer übrig bleiben – und zwar NACHDEM 41 Mitarbeiter jeden einzelnen Datensatz intellektuell nachgeprüft und dabei mehr als 99% der vermeintlich relevanten Datensätze ausgeschieden haben! Diese Zahlen beziehen sich auf einen Gesamtbestand von nur 1,2 Millionen Passagieren in einem halben Jahr.

Bei vollem Wirkbetrieb des Fluggast-Informationssystems sind jedoch mindestens 90 Millionen im Halbjahr zu verarbeiten, also 180 Millionen im Jahr. Würde man also das aktuell verwendete Abgleichsverfahren weiterhin einsetzen, so beläuft sich bei gleicher Leistung hochgerechnet die Zahl der vermeintlich relevanten Treffer auf 14,1 Millionen Datensätze. Dafür würden rechnerisch dann mehrere tausend Mitarbeiter für die intellektuelle Nachprüfung erforderlich. Allein diese Zahlen zeigen schon, dass dieses Vorgehen sicher nicht zum angestrebten Ziel führt.

Ursprünglicher Zweck war der Abgleich von Daten innerhalb des INPOL-Verbunds

Das Abgleichsverfahren für den INPOL-Datenbestand wurde entwickelt, um Daten aus den INPOL-Land-Systemen untereinander und mit dem INPOL-Zentralbestand abzugleichen. Alle INPOL-Land-Systeme und das INPOL-Zentralsystem verwenden jedoch das gleiche Datenmodell und das gleiche logische Informationsmodell. Auch aus diesem Grund ist DIESES Abgleichsverfahren für den Einsatz im Fluggastdaten-Informationssystem nicht geeignet: Denn hier müssen anders strukturierte Informationen diverser Fluggesellschaften, sowie Namen aus unterschiedliche Schrift- und Namenssystemen mit dem INPOL-/SIS-Bestand abgeglichen werden. Für die Spezifika die sich aus dieser „globalen“ Anforderung ergeben, ist das BKA-Abgleichssystem aber weder gemacht worden, noch ausreichend leistungsfähig, was ja bereits der „eingeschränkte Wirkbetrieb“ bewiesen hat.

Der Kunstgriff mit den „Kreuztreffern“

In dem BKA-Abgleichssystem für INPOL verwendet man einen Kunstgriff, um dem Dilemma mit den unterschiedlichen Namensbestandteilen begegnen zu können. Man bildet ein Kunstobjekt, genannt Abgleichsobjekt. Dort werden, als „Alias-Namen“ sämtliche bekannten Namensbestandteile eingesetzt, und zwar in jeder möglichen Konstellation. Mohamed kann also als Nachname vorkommen, als Geburtsname oder als Vorname, kombiniert mit einem u.U. bekannten Geburtsort und Geburtsdatum usw. So ergeben sich in diesem Abgleichsobjekt eine Reihe von künstlich erzeugten Alias-Personalien, also Kombinationen, die SO u.U. bei keiner real existierenden Person vorkommen.

Diese künstlichen Namenskombinationen werden dann automatisiert mit allen anderen Namenskombinationen abgeglichen. Dabei ergeben sich teilweise Übereinstimmungen, so insbesondere bei häufig vorkommenden Namen, wie Nguyen (40% alle Vietnamesen heißen mit Nachnamen so) oder den oben schon erwähnten arabischen Namensteilen, wie Amed, Ahmed, Mohamed, Hussein. Aber auch für deutsche Namen gibt es häufig Übereinstimmungen, wenn jemand mit Nachnamen Müller oder Meier oder Schmidt heißt und dann auch noch Klaus oder Stefanie, Thomas oder Andrea mit Vornamen. Bei den Asylbewerbern der letzten Jahre hat man sich bei den Sicherheitsbehörden noch ein weiteres Problem selbst geschaffen: Indem alle jungen Männer, deren genaues Geburtsdatum nicht bekannt war, als Geburtsdatum den 01.01.1992 verpasst bekamen. Denn das Geburtsdatum ist in INPOL ein Pflichtfeld, da muss also ein Wert eingegeben werden!

Vieles spricht dafür, dass der Kunstgriff mit diesen Abgleichsobjekten und ihren künstlichen Namenskombinationen nun auch für den Personenabgleich im Fluggastdaten-Informationssystem verwendet wird. Verwürfelte Kunstnamen, gebildet aus den Personalien jedes Fluggastes werden automatisiert abgeglichen mit den rechtmäßigen, Führungs- und Aliaspersonalien im Fahndungsbestand von INPOL und SIS. Dass sich dabei eine Fülle von zufälligen Treffern ergeben, ist nachvollziehbar. Und erklärt, warum ein für den Einsatzzweck nicht gemachtes und offensichtlich auch nicht geeignetes Abgleichsverfahren eine Fülle vermeintlicher Treffer produziert, die mit erheblichem Personalaufwand intellektuell auf eine Handvoll echter Treffer reduziert werden müssen.

Belästigung für die große Mehrzahl der Flugreisenden

Nur am Rande sei erwähnt, dass jeder der vermeintlichen Treffer zu einer Störung des Ablaufs bei der Aus- bzw. Einreisekontrolle und einem Anhalten des betroffenen Fluggastes führen kann. 7,2 Millionen Passagiere, die aus Deutschland abfliegen oder hier landen UND von einem solchen Abgleichsverfahren belästigt werden, fänden das sicher alles andere als „lustig“; genauso wenig übrigens, wie die davon ebenfalls betroffenen Fluggesellschaften, die ihre Flüge im Rahmen der zugewiesenen Slots pünktlich abwickeln wollen/müssen.

Fazit und Prognose

Somit bleibt ein weiteres Mal im Zusammenhang mit IT-Entwicklungen des BKA die Erkenntnis, dass die verbal so großartig formulierten Ansprüche in krassem Widerspruch stehen zu den tatsächlichen Leistungsmöglichkeit der dabei entstehenden Systeme. Kritiker der Mobilitätsüberwachung von Flugpassagieren werden diese Erkenntnis willkommen heißen. Politischer Druck, an der unzureichenden technischen Realisierung etwas zu ändern, wird daraus nicht erwachsen. Und so wird hier, so meine Prognose, ein weiteres Mal – nach INPOL-Neu, INPOL-Fall und PIAV – ein IT-System beim BKA entstehen bzw. weiter ausgebaut, das Unsummen von Geld kostet, viele Bürger belastet und belästigt und nicht das hält, was es operativ eigentlich bewirken soll, nämlich terroristische Straftaten und schwere Kriminalität zu verhüten, aufzudecken, zu ermitteln und zu verfolgen.

Fußnoten

[a]   §2, Abs. 2 FlugDaG (=[1])

[b]   §2, Abs. 3 FlugDaG (=[1])

[c]  §6 FlugDaG (=[1])

[d]  §§ 7 mit 10 FlugDaG (=[1])

[e]  § 5 FlugDaG (=[1])

[f]  §13 FlugDaG (=[1])

Quellen und Literaturangabe

[1]   Gesetz über die Verarbeitung von Fluggastdaten zur Umsetzung der Richtlinie (EU) 2016/681 (Fluggastdatengesetz – FlugDaG) vom 06.06.2017
https://www.gesetze-im-internet.de/flugdag/BJNR148410017.html

[2]   Ausbau der Vorratsdatenspeicherung von Fluggastdaten, Antwort der BUndesregierung auf die Kleine Anfrage der Linksfraktion, DBT-Drs- 19/9536 vom 17.04.2019
http://dip21.bundestag.de/dip21/btd/19/095/1909536.pdf

[3]   Bertrand Lisbach: Linguistisches Identity Matching, Paradigmenwechsel in der Suche und im Abgleich von Personendaten, 1. Auflage 2011, Vieweg & Teubner

Copyright und Nutzungsrechte

(C) 2019 CIVES Redaktionsbüro GmbH
Sämtliche Urheber- und Nutzungsrechte an diesem Artikel liegen bei der CIVES Redaktionsbüro GmbH bzw. bei dem bzw. den namentlich benannten Autor(en). Links von anderen Seiten auf diesen Artikel, sowie die Übernahme des Titels und eines kurzen Textanreißers auf andere Seiten sind zulässig, unter der Voraussetzung der korrekten Angabe der Quelle und des/der Namen des bzw. der Autoren. Eine vollständige Übernahme dieses Artikels auf andere Seiten bzw. in andere Publikationen, sowie jegliche Bearbeitung und Veröffentlichung des so bearbeiteten Textes ohne unsere vorherige schriftliche Zustimmung ist dagegen ausdrücklich untersagt.