ESTA wird zum Datenmonster der US-Grenzbehörde

Die Szene könnte bald Alltag werden: Ein deutsches Paar landet mit seinen Kindern in New York, stellt sich übermüdet an die Passkontrolle – und merkt schon beim ESTA-Antrag, dass es diesmal nicht nur um den Reisepass geht. Die USA wollen wissen, unter welchem Namen die Tochter auf TikTok unterwegs ist, welche E-Mail-Adresse der Vater vor acht Jahren im Job benutzt hat, auf welchen Fotos die Familie zu sehen ist – und wer zuhause geblieben ist.

Mit einem neuen Vorstoß weitet die US-Grenzbehörde Customs and Border Protection (CBP) die Datensammlung bei der visafreien Einreise massiv aus. Betroffen wären Millionen Reisende aus Europa, darunter auch Deutschland. Datenschützer sprechen von einem „Datenhunger ohne Maß“, Tourismus-Verbände warnen vor Abschreckung – und über allem steht eine Präsidialverfügung von Donald Trump.

Fünf Jahre Social Media, zehn Jahre E-Mails

Formal geht es um eine eher trocken klingende „Überarbeitung“ von ESTA und Formular I-94, also genau den Dokumenten, die Besucher aus den 42 Visa-Waiver-Staaten für eine kurze USA-Reise ausfüllen müssen. Im offiziellen Antrag an das Federal Register beantragt CBP, sogenannte „High-Value Data Elements“ künftig regulär abzufragen.

Hinter dem technokratischen Begriff steckt ein radikaler Perspektivwechsel:

Social-Media-Accounts der letzten fünf Jahre sollen verpflichtend offengelegt werden – inklusive aller verwendeten „Handles“, also Nutzernamen auf Plattformen wie X/Twitter, Facebook, Instagram, TikTok oder LinkedIn.
Telefonnummern der letzten fünf Jahre – privat wie beruflich – werden abgefragt.
E-Mail-Adressen der letzten zehn Jahre sollen vollständig angegeben werden, ebenfalls inklusive Geschäftsadressen.
Hinzu kommen IP-Adressen und Metadaten von Fotos, die für den Antrag hochgeladen werden – etwa Aufnahmezeitpunkt und Ort.

Neu ist auch der Blick auf Menschen, die gar nicht reisen: CBP will künftig detaillierte Angaben zu nahen Familienangehörigen – Eltern, Kinder, Ehepartner, Geschwister – einschließlich Geburtsort, Wohnort und Kontaktdaten.

Und als wäre all das nicht genug, werden die biometrischen Daten gleich als nächste Ausbaustufe mitdefiniert: Gesicht, Fingerabdrücke, Iris – und in den Unterlagen taucht sogar DNA als mögliche Kategorie auf.

ESTA nur noch per App – mit Live-Selfie und Standort

Parallel zur inhaltlichen Ausweitung will CBP die technische Infrastruktur umbauen: Der ESTA-Antrag soll perspektivisch primär über eine Smartphone-App laufen. Die Web-Anwendung wird zwar nicht sofort abgeschafft, aber die Behörde kalkuliert bereits mit zweistelligen Millionenzahlen mobiler Einreichungen pro Jahr.

Die App nutzt Live-Selfies und vergleicht sie mit dem Passbild – Teil des längst laufenden Programms zur biometrischen Ein- und Ausreisekontrolle.

Für Reisende, die ein I-94 benötigen, testet CBP zusätzlich ein Programm mit dem unschuldig klingenden Namen „Voluntary Self-Reported Exit“ (VSRE): Wer die USA verlässt, kann in der App eine Ausreise-Selbstauskunft abgeben – inklusive Selfie und Geodaten. So soll ein biometrisch bestätigter „Exit-Datensatz“ entstehen, der Overstays – also Menschen, die länger bleiben als erlaubt – leichter identifizierbar macht.

Freiwillig ist hier nur die Teilnahme – nicht die Tiefe des Eingriffs: Wer sich auf das System einlässt, liefert noch einmal zusätzliche, präzise gelabelte Bewegungs- und Gesichtsdaten.

Trumps Order 14161: Misstrauen als Regierungsprinzip

Politisch ist der Vorstoß klar eingebettet: Grundlage ist die Executive Order 14161, die Donald Trump zu Beginn seiner zweiten Amtszeit unterzeichnet hat. Die Verordnung trägt den Titel:

„Protecting the United States From Foreign Terrorists and Other National Security and Public Safety Threats“.

Konkret verpflichtet sie die Sicherheitsbehörden dazu, die Überprüfung ausländischer Staatsangehöriger massiv zu verschärfen. Sie sollen Personen identifizieren, die:

terroristische Anschläge planen,
eine Bedrohung für die nationale Sicherheit darstellen,
„hasserfüllte Ideologien“ vertreten oder
die Einwanderungsgesetze „für böswillige Zwecke ausnutzen“.

Im Klartext: Wer online lautstark US-Außenpolitik kritisiert, sich solidarisch mit unerwünschten Bewegungen zeigt oder schlicht „falsche“ Accounts folgt, könnte künftig im Rahmen der Einreiseprüfung auffallen – und vielleicht an der Grenze scheitern.

Bürgerrechtler warnen vor der Social-Media-Grenze

Dass die USA Social-Media-Profiling bei Visa-Anträgen längst praktizieren, ist nicht neu. Aber bislang waren die Angaben oft freiwillig oder auf bestimmte Gruppen beschränkt, etwa Asylsuchende oder Langzeit-Visa. Die neue CBP-Linie geht deutlich weiter: Alle Reisenden aus den Visa-Waiver-Staaten, darunter die meisten europäischen Länder, sollen standardmäßig in diesen Raster fallen.

Bürgerrechts- und Digital-Rights-Organisationen sprechen von einem massiven „Chilling Effect“:

Wer weiß, dass seine Tweets und Follower-Listen bei der Einreise mitgelesen werden, äußert sich vorsichtiger – oder schweigt ganz.
Aktivistinnen, Journalistinnen und Forscher, die US-Politik kritisieren, könnten vor der Wahl stehen: konsequent sein oder USA-Reisen riskieren.

Internationale Medien warnen zudem, dass die Pläne den ohnehin schon angeschlagenen US-Tourismus weiter belasten könnten – gerade mit Blick auf die Fußball-WM 2026, bei der Millionen Fans nach Nordamerika reisen wollen. Die Botschaft zwischen den Zeilen: Willkommen ist, wer möglichst wenig Spuren hinterlässt – oder möglichst stromlinienförmig wirkt.

Alte Daten, alte Fehler: Kann CBP die Datensammelwut beherrschen?

Kaum ein Kritiker glaubt, dass es bei der Datensammlung bleibt. Einmal erhoben, werden Informationen kopiert, ausgewertet, verknüpft – und irgendwann auch weitergegeben. Dabei ist die Behörde selbst nicht gerade als Musterknabe in Sachen Datenschutz bekannt.

Ein Bericht des eigenen Inspector General zu einem Vorfall im Jahr 2019 liest sich wie eine Warnung, was schiefgehen kann: Damals transferierte ein Subunternehmer im Rahmen eines Biometrie-Pilotprojekts rund 184.000 Gesichtsaufnahmen von Reisenden sowie zehntausende Nummernschilder unverschlüsselt auf seine eigenen Server – später wurden Teile der Daten im Darknet gefunden.

Der Vorfall ist inzwischen Jahre her – aber Bürgerrechtsorganisationen verweisen bis heute darauf, dass CBP keinen überzeugenden Nachweis geliefert habe, aus dem Desaster wirklich gelernt zu haben. Vor diesem Hintergrund wirkt die Vorstellung, dass dieselbe Behörde künftig Social-Media-Historien, Kontakt-Netzwerke, Biometrics und IP-/Standortdaten von Millionen Touristen bündelt, für viele Beobachter weniger wie eine Sicherheitsmaßnahme – und mehr wie ein Sicherheitsrisiko.

Was heißt das für Reisende aus Europa – und für Europa selbst?

Noch sind die Pläne nicht in Kraft. Das Verfahren läuft nach dem US-Paperwork-Reduction-Gesetz: 60 Tage lang können Bürger, Organisationen und Unternehmen Stellungnahmen einreichen, die CBP prüfen und gegebenenfalls in eine überarbeitete Version einarbeiten muss.

Für Reisende aus Deutschland und der EU zeichnet sich dennoch schon jetzt ein mögliches Szenario ab:

Ohne Social-Media-Disclosure kein ESTA – und ohne ESTA keine visafreie Einreise.
Wer seine historische E-Mail- und Telefonnummern-Liste nicht mehr vollständig rekonstruieren kann, riskiert formale Fehler.
Wer Familienmitglieder schützen möchte, kann das kaum – ihre Daten werden zum Teil des Datensatzes.

Für Europa stellt sich zusätzlich eine politisch heikle Frage: Wie kompatibel ist dieser US-Ansatz mit den eigenen Grundsätzen zu Datenschutz und informationeller Selbstbestimmung?

Brüssel hat in den vergangenen Jahren mühsam einen neuen transatlantischen Datenrahmen gezimmert, um den Austausch von personenbezogenen Daten zu ermöglichen. Die jetzt geplanten Grenzmaßnahmen führen dieses Konstrukt in eine Grauzone: De facto entsteht ein riesiges, asymmetrisches Überwachungsinstrument – mit europäischer Beteiligung, weil europäische Bürger es mit Daten füttern müssen, wenn sie in die USA reisen wollen.

Die Entscheidung: Urlaub, Konferenz – oder Prinzipien?

Am Ende wird jede und jeder Einzelne entscheiden müssen, wie viel Einblick die USA in das digitale Innenleben ihres Lebens bekommen sollen.

Wer auf Geschäftsreisen in die USA angewiesen ist, wird die neuen Bedingungen wohl zähneknirschend akzeptieren. Wer privat zum Roadtrip, zur WM 2026 oder zum Städtetrip nach New York aufbricht, könnte sich zum ersten Mal ernsthaft fragen, ob es nicht doch Mexiko, Kanada – oder einfach Lissabon sein darf.

Noch ist Zeit, den Kurs zu ändern: Die Kommentierungsphase ist offen, viele Details können sich noch verschieben. Doch die Richtung ist klar: Die US-Grenze verläuft längst nicht mehr nur dort, wo der Stempel in den Pass gedrückt wird. Sie verläuft durch Timeline, Posteingang und Kontaktliste – und vielleicht bald durch die DNA-Datenbank.