Immer wieder wird bekannt, dass Daten etwa von Gästen in Hotels und Restaurants oder Kunden von Flug- und Reiseunternehmen in falsche Hände geraten, z.B. Daten zu Kreditkarten, mit denen im Urlaub bezahlt wird. Oft versuchen international agierende organisierte Kriminelle aber auch, Angaben aus Reisepässen, Personalausweisen, Führerscheinen sowie Reisedaten zu beschaffen, um sich unter Verwendung dieser Daten zu bereichern.

Die folgende Darstellung gibt - zum Beginn der Sommerurlaubszeit - Tipps, welche Sicherheitsmaßnahmen möglich und sinnvoll sind, um nicht das Opfer von Datenräubern zu werden:

Datenverarbeitung ist heute ein weltweites Geschäft, Computerkriminalität auch. Sog. Identitätsdiebstahl, d.h. die Beschaffung von Identitäts- und Kreditkartendaten und das Abheben von Geld oder das elektronische Bezahlen unter dem falschen Namen, ist z.B. in den USA zu einem riesigen gesellschaftlichen und wirtschaftlichen Problem geworden. Es besteht immer ein gewisses Risiko, dass die eigenen Daten, die man während des Urlaubs offenbart, missbraucht werden. Ob dies tatsächlich passiert, hängt von der Vertrauenswürdigkeit des Restaurants, Hotels, Veranstalters usw. ab, dem man seine Daten zur Verfügung stellt. In Deutschland gibt es strenge Datenschutzgesetze und eine funktionierende Datenschutzaufsicht. Daher ist hier das Risiko geringer als in anderen Ländern, und die Chance, dass ein Täter erwischt wird, ist höher.

In Hotels müssen in Deutschland - und ähnlich ist es in fast allen anderen Staaten - sog. Meldescheine ausgefüllt werden: Name und Vorname, Adresse, Geburtsangaben und Nationalität, Anreise- und Abreisetag - mehr nicht. Die Daten bleiben im Hotel, müssen aber auf Anfrage der Polizei zur Verfügung gestellt werden.

Autoverleihfirmen und sonstige Dienstleister erheben jeweils die Daten, die nötig sind zur Identitätsfeststellung und zur Abwicklung von Problemfällen, z.B. wenn ein Unfall passiert oder etwas abhanden kommt. Unter Umständen versucht sich das Unternehmen Sicherheiten zu beschaffen. Erhoben werden dürfen immer nur die Daten, die zur Identifizierung oder zur Risikoabsicherung erforderlich sind.

Beispiel: Die Vorlage des Passes oder Personalausweises ist dann in Ordnung, wenn die Identität zur Sicherheit eindeutig festgestellt werden muss; eine Kopie ist dagegen nicht nötig; auf der Kopie des Dokumentes sind nämlich mehr Infos enthalten, z.B. über frühere Reisen, die Ordnungsnummer oder biometrische Daten. Das Erstellen von Ausweiskopien bedarf also der ausdrücklichen und freiwilligen Zustimmung des Gastes. Die erhobenen Daten müssen in jedem Fall vertraulich behandelt werden, d.h. sie dürfen nicht einfach an Dritte weitergegeben werden. Zulässig ist aber, die Daten für eigene Werbezwecke zu nutzen.

Mit der Angabe von Kreditkartendaten sollte man sehr vorsichtig sein. Unter keinen Umständen darf die persönliche Identifizierungsnnummer, die PIN, bekannt werden, weder über Internet noch am Telefon, weder durch Beobachten beim Eintippen am Automaten noch durch einen Merkzettel im Geldbeutel. Wird eine EC-, Kredit- oder sonstige Berechtigungskarte gestohlen oder kommt diese abhanden, so sollte sie umgehend gesperrt werden. Nach Rückkehr aus dem Urlaub sollte in jedem Fall das Konto daraufhin überprüft werden, ob es nicht zu unberechtigten Abbuchungen gekommen ist. Wenn ja, sollten diese sofort rückgängig gemacht werden.

Generell sollte folgender Tipp beachtet werden: Menschen und Stellen, die man nicht kennt und denen man nicht vertraut, nur das Allernötigste offenbaren. Erscheinen bestimmte Fragen dubios, unbedingt nachfragen, was das soll. Es macht Sinn, eher auf ein Angebot zu verzichten als persönliche Angaben zu machen, die den Gegenüber nichts angehen und die möglicherweise missbraucht werden können. Besteht der Gegenüber auf bestimmten Angaben und will man auf ein Angebot nicht verzichten, ist es auch möglich, Phantasieangaben zu machen. Dies ist zulässig, es gibt also ein "Recht auf Lüge", wenn die Angaben für den Vertragsabschluss nicht benötigt werden.

Der wichtigste Tipp ist: Datenspuren vermeiden: Bargeld ist anonym, Kartenzahlungen sind es nicht. Oft akzeptieren aber Hotels oder Veranstalter nur noch Kartenzahlungen. Dann muss man entscheiden, ob man das nötige Vertrauen hat. In jedem Fall sollte man die Karte nicht völlig aus der Hand geben, so dass sie z.B. auch nicht einem Hinterzimmer kopiert werden kann.

Kaum eine Möglichkeit der Datenvermeidung besteht bei Flugreisen. Tickets werden in der Regel nur personifiziert ausgestellt. Beim Check-In erfolgt eine eindeutige Identifikation anhand von Pass oder Personalausweis. Doch sind seriöse Fluggesellschaften - nach einigen bekannt gewordenen Skandalen - bestrebt, die Fluggastdaten vertraulich zu behandeln. Faktisch ist dies bei Flügen, die einen Bezug zu den USA haben, nicht gegenüber den US-Behörden möglich. Diese zwingen unter dem Vorwand der Terrorismusbekämpfung die Fluggesellschaften dazu, einen sog. Passenger Name Record (PNR) mit 34 Einzelangaben herauszugeben: neben Name und Adresse z.B. Buchungs-, Zahlungs- und Kreditkartendaten, Angaben zur Flugroute und Begleitpersonen, E-Mail- und Telefonnummer. Es sind Fälle bekannt geworden, dass anhand dieser Daten die US-Behörden Reisende abgecheckt und dann an der Grenze abgewiesen haben.

Welche Formen des Datenmissbrauchs sind möglich?

Der klassische Schaden für den Normalbürger ist, dass mit den Kreditkartendaten das Konto geplündert wird. Auch durch zeitnahe Kontrolle der Kontobewegungen und der sofortigen Meldung des Verlustes einer EC- oder Kreditkarte kann der Schaden nicht immer begrenzt werden. Abwesenheitsinformationen können dazu genutzt werden, zu Hause die Wohnung auszuräumen. Der Phantasie von Kriminellen sind leider keine Grenzen gesetzt: Kompromittierende Urlaubsdaten können zur Erpressung genutzt werden. Bei Prominenten können Urlaubsindiskretionen bis hin zu üblen Artikeln z.B. in einem Boulevardblatt führen.

Welche Hilfemöglichkeiten gibt es, wenn mit den eigenen Daten etwas falsch gelaufen ist?

Inzwischen gibt es in allen europäischen und vielen anderen Ländern Datenschutzkontrollinstanzen, bei denen man sich bei Datenmissbrauch beschweren kann und die Verstöße aufklären und ahnden können. Die Adressen der zuständigen Instanzen sind im Internet im Virtuellen Datenschutzbüro zu finden unter

http://www.datenschutz.de/institutionen/adressen/

Bei kriminellen Machenschaften ist der Gang zur örtlichen Polizei zu empfehlen, die aber in Sachen Datenschutz oft nicht die nötige Erfahrung hat. In jedem Fall sollte man vor Ort bei dem Unternehmen, also z.B. beim Verantwortlichen im Hotel, Aufklärung einfordern. Soweit es in den Ländern Datenschutzgesetze gibt, enthalten diese durchgängig einen Auskunftsanspruch der Betroffenen gegenüber dem Unternehmen. In jedem Fall sollte auch der Reiseveranstalter bei Unregelmäßigkeiten eingeschaltet werden.

Wenn das oben Gesagte beachtet wird, ist das Risiko eines Datenmissbrauchs gering. Aber: eine hundertprozentige Sicherheit gibt es nicht. Dies sollte aber Niemanden daran hindern, in den Urlaub zu fahren. Das ULD wünscht allen keine bösen Überraschungen, viel Spaß und gute Erholung.

Dr. Thilo Weichert
Leiter des ULD