Ist es sicher, KI für die Reiseplanung zu nutzen?

Die kurze Antwort: ja zum Planen, nein mit Ihren echten Daten. Eine KI kann eine Reiseroute erstellen oder eine Stadt vorschlagen. Aber geben Sie ihr niemals Ihre Passnummer. Oder Ihre Buchungsreferenz. Oder die genauen Tage, an denen Sie abwesend sind, verknüpft mit Ihrer Adresse. Ein Reisepass ist erstklassiges Material für Identitätsdiebstahl, warnt die US Federal Trade Commission (FTC), die amerikanische Verbraucherschutzbehörde. Ein PNR (Passenger Name Record, Ihr Buchungscode) funktioniert wie ein Passwort. Und Ihre Reiseroute ist eine Karte der Tage, an denen Ihr Zuhause leer steht. Die Lösung erfolgt in zwei Schritten: planen Sie im Abstrakten, dann anonymisieren Sie vor dem Senden.

Ihre Reiseroute ist eine Karte Ihres leeren Zuhauses

Das ist das physische Risiko, das fast jeder übersieht. Eine vollständige Reiseroute verrät die genauen Tage, an denen Sie abwesend sind. Fügen Sie Ihre Wohnadresse hinzu, die oft auf einer Buchungsbestätigung steht. Sie haben soeben einen Urlaubsplan in einen Einbruchsleitfaden verwandelt. Der Anfang, das Ende, die Hotelnächte: alles zeigt an, wann das Haus leer ist.

Die Gefahr geht über den Einbruch hinaus. Für eine allein reisende oder gefährdete Person ist es ein persönliches Sicherheitsrisiko, den Aufenthaltsort in Echtzeit und die Pläne zu veröffentlichen. Halten Sie Ihre genauen Abwesenheitstermine offline. Eine Verbraucher-KI braucht weder Ihre Adresse noch Ihr Abreisedatum, um Ihnen bei der Planung zu helfen.

Reisepass- und Ausweisdaten sind Treibstoff für Identitätsdiebstahl

Die FTC beschreibt Identitätsdiebstahl als die Nutzung Ihrer persönlichen oder finanziellen Daten ohne Ihre Zustimmung. Sie nennt den Reisepass unter den Dokumenten, die Diebe ins Visier nehmen, neben dem Führerschein und der Krankenversicherungskarte. Eine Passnummer bildet zusammen mit Ihrem vollständigen Namen und Geburtsdatum ein perfektes Trio, um Ihre Identität zu missbrauchen.

Die FTC rät, Ihre Ausweisnummern nur dann herauszugeben, wenn es wirklich notwendig ist. Sie empfiehlt, die ausstellende Behörde zu kontaktieren, wenn ein Reisepass verloren geht, gestohlen oder missbraucht wird. Die Botschaft ist klar: Diese Nummern sind hochwertige Identifikationsmerkmale, keine gewöhnlichen Referenzen. Eine Verbraucher-KI hat keinen legitimen Grund, sie zu sehen.

Eine Buchungsreferenz (PNR) ist ein Schlüssel, kein harmloser Code

Sicherheitsforscher, deren Arbeit von Kaspersky auf der Konferenz 33C3 berichtet wurde, haben es demonstriert. Die weltweiten Systeme hinter den meisten Fluglinienreservierungen authentifizieren einen Reisenden mit nur zwei Dingen: seinem Nachnamen und dem 6-stelligen PNR-Code. Der PNR funktioniert also wie ein Passwort. Dennoch ist er im Klartext auf Bordkarten und Gepäckanhängern aufgedruckt.

Mit einem Nachnamen und einem PNR kann ein Angreifer großen Schaden anrichten.

• Die Flüge, Kontaktdaten und Passdaten der Buchung einsehen.
• Das Ticket stornieren, um die Rückerstattung abzugreifen.
• Den Namen des Passagiers ändern, damit jemand anderes fliegen kann.
• Benachrichtigungen umleiten oder überzeugendes Phishing mit echten Buchungsdetails betreiben.

Die Forscher weisen darauf hin, dass viele Fluggesellschaften wiederholte Anmeldeversuche nicht blockieren. Das macht die kurzen Codes leicht per Brute-Force zu erraten. Diese Systeme verwalten rund 90 % der Reservierungen und bleiben, in den Worten der Forscher, beim Schutz veraltet. Behandeln Sie einen PNR daher als aktives Identifikationsmerkmal. Veröffentlichen Sie ihn niemals online, fügen Sie ihn nicht in einen Chatbot ein, teilen Sie ihn nicht in einer Gruppennachricht. Die Sicherheit hat sich seitdem etwas verbessert, doch die sichere Gewohnheit bleibt unverändert.

Andere Menschen, Standort und Betrug

Eine Familien- oder Gruppenbuchung enthält nicht nur Ihre Daten. Sie enthält die Passnummern und persönlichen Daten Ihrer Reisebegleiter. Das Einfügen einer geteilten Bestätigung legt daher die Informationen anderer Personen offen, nicht nur Ihre eigenen. Sie haben dafür nicht deren Zustimmung.

Beim Standort ist das Prinzip eindeutig. Das Information Commissioner's Office (ICO), die britische Datenschutzbehörde, behandelt Standortdaten als personenbezogene Daten. Es empfiehlt, sie zu minimieren, zu schwärzen oder zu anonymisieren und niemals über den ursprünglichen Erhebungszweck hinaus zu verwenden. Dieselbe Gewohnheit gilt, bevor Sie einen Ort oder ein Reisedetail einer KI anvertrauen. Hüten Sie sich zudem vor KI-generierten gefälschten Buchungsseiten und Phishing mit Reiseangeboten: Sie nehmen zu.

Die Lösung: im Abstrakten planen

Gute Nachricht: Die KI ist nach wie vor hervorragend darin, eine Reise vorzubereiten. Beschreiben Sie Ihren Bedarf in allgemeinen Begriffen. „Eine 5-tägige Reise in eine Küstenstadt im Juni, mittleres Budget, zu zweit.“ Sie erhalten eine nützliche Reiseroute. Ohne einen einzigen echten Namen, ein Abwesenheitsdatum, eine Adresse, eine Passnummer oder einen PNR anzugeben.

Wenn Sie wirklich ein echtes Detail einbeziehen müssen, anonymisieren Sie es zuerst. Ersetzen Sie jeden sensiblen Wert durch ein Token. Die KI schlussfolgert über die Struktur Ihrer Reise, ohne jemals die echten Werte zu sehen. Sie stellen die echten Werte anschließend wieder her, lokal.

1. 1Erkennen Sie die sensiblen Daten: Reisepass, PNR, Adresse, Abwesenheitstermine, Namen.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort wieder her, lokal.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Passnummer, PNR, Adresse, Termine — und ersetzt sie durch umkehrbare Token vor dem Senden. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI findet nur Token, niemals Ihren Reisepass oder Ihre Buchung. Sie erhalten die Reisehilfe, ohne das Risiko von Identitätsdiebstahl, Buchungsübernahme oder Einbruch.