Cuatro días después de que una furgoneta arrollara a la multitud en el Orgullo de Berlín, el atascado proyecto de ley alemán sobre conservación de direcciones IP vuelve al centro de la agenda política. Un diputado de la CDU ha pedido al parlamento que apruebe el paquete de seguridad pendiente, que obligaría a cada proveedor de internet del país a registrar qué abonado tenía qué dirección IP, durante tres meses, para todo el mundo. El texto ya fue aprobado por el consejo de ministros en abril. Lo que cambió el atentado no es su contenido, sino su urgencia.
Qué ocurrió en Berlín
La noche del 25 de julio de 2026 una furgoneta arrolló a personas reunidas en un paseo peatonal del Tiergarten durante el Christopher Street Day berlinés. Una mujer de 65 años procedente de Polonia murió y 29 personas resultaron heridas. El sospechoso, un alemán de 21 años de origen libanés, huyó a pie y fue localizado la tarde siguiente en Spandau, donde una unidad especial de la policía lo abatió durante el intento de detención. El ministro del Interior, Alexander Dobrindt, calificó los hechos de atentado terrorista islamista.
En dos días la respuesta política se trasladó al terreno legislativo. El diputado de la CDU Alexander Throm instó públicamente a sus colegas a aprobar la ley de seguridad pendiente, cuyo elemento central es la conservación de direcciones IP.
El proyecto que ahora se impulsa
El borrador lleva el incómodo título de "Ley para introducir la conservación de direcciones IP y ampliar las facultades de recogida de datos en el proceso penal". El Ministerio Federal de Justicia y Protección del Consumidor lo publicó el 22 de diciembre de 2025 y el consejo de ministros federal lo aprobó el 22 de abril de 2026, tras coordinarlo entre la ministra de Justicia Stefanie Hubig y el ministro del Interior Alexander Dobrindt. Después quedó a la espera de tiempo parlamentario.
- Qué se guarda: la dirección IP asignada a un abonado y, cuando haga falta, los números de puerto asociados, durante tres meses.
- A quién afecta: a todo cliente de acceso a internet, sin que se exija sospecha previa alguna para la conservación en sí.
- Qué queda excluido: las direcciones IP de destino, el contenido, los datos de localización y el resto de datos de tráfico quedan expresamente fuera de la obligación.
- Más allá de la conservación: nuevas órdenes de preservación para datos de tráfico que de otro modo se borrarían, y una ampliación de los volcados de antena.
Este último punto merece atención porque pasa fácilmente desapercibido. Los volcados de antena, que revelan todos los teléfonos conectados a un repetidor cerca del lugar de un delito, pasarían de los "delitos especialmente graves" a los "delitos de importancia sustancial". Eso revierte una restricción que el Tribunal Supremo Federal impuso en enero de 2024.
Qué cambia realmente y qué no
Un punto que se pierde entre los gritos: los investigadores alemanes ya pueden solicitar los datos del abonado asociados a una dirección IP. El despacho Gleiss Lutz, en su análisis, señala que aquí no se amplían las facultades de acceso. Lo nuevo es la obligación de los proveedores de conservar efectivamente los datos, para que haya algo que solicitar. El acceso sigue exigiendo sospecha razonable de un delito y acreditar que los datos son necesarios para la investigación.
La distinción importa, y corta en ambos sentidos. Los partidarios pueden decir con razón que la ley no otorga nuevas facultades de investigación. Los críticos pueden replicar con igual razón que convierte un mosaico, donde algunos registros existen por casualidad y la mayoría no, en un registro nacional garantizado de quién estaba detrás de qué dirección cualquier día del trimestre. Hoy, que una IP pueda rastrearse tres meses atrás depende en buena medida de qué proveedor tengas. Con esta ley pasa a ser una certeza.
La industria y el CCC: no sobrevivirá a los tribunales
La asociación de la industria de internet eco se opone al texto desde febrero de 2026 y repitió sus objeciones tras la decisión del consejo de ministros. Su argumento central es que la conservación indiscriminada sigue sin superar los estándares del Tribunal de Justicia de la Unión Europea, que anuló la Directiva de conservación de datos en 2014. eco también recuerda su victoria de 2023 junto a la empresa asociada SpaceNet, cuando el Tribunal Administrativo Federal alemán confirmó que las reglas de conservación anteriores eran contrarias al derecho de la Unión.
Más allá de la legalidad, eco plantea una objeción procesal fácil de pasar por alto: el control judicial se desplaza de la revisión previa a la notificación posterior. El miembro del consejo Klaus Landefeld sostiene que estos mecanismos "no pueden garantizar una protección jurídica efectiva en la misma medida" y advierte de que la supervisión se debilitaría en la práctica. También señala el coste: se vuelve a pedir a las empresas que inviertan en una infraestructura de estatus jurídico dudoso.
Constanze Kurz, portavoz del Chaos Computer Club, calificó la propuesta de ley de vigilancia masiva. El debate alemán sobre la Vorratsdatenspeicherung dura casi dos décadas y los tribunales han devuelto repetidamente distintas versiones. La respuesta del Ministerio de Justicia es que este borrador es más estrecho por diseño, limitado a direcciones IP en lugar del amplio conjunto de datos de tráfico rechazado antes, y que la jurisprudencia europea reciente deja espacio precisamente para ese modelo acotado.
El detalle incómodo
El sospechoso no era desconocido para las autoridades. Había intentado antes continuar viaje para unirse al Estado Islámico, fue detenido en Líbano y condenado allí, y estaba en el radar de los servicios de seguridad alemanes. Fallara lo que fallara en este caso, no fue la incapacidad de identificar a un desconocido a partir de una dirección IP. Esa brecha entre la medida que se exige y los hechos del caso por el que se exige es lo que conviene vigilar según avance el texto.
Para quien viva en Alemania, el efecto práctico sería que el proveedor se convierte en archivero obligatorio del historial de tus direcciones. Aquí la pregunta sobre la VPN aparece de forma honesta y no como argumento de venta: enrutar el tráfico por una VPN no elimina el registro del proveedor de que te conectaste, cambia qué dirección ven y registran los servicios que visitas. Son dos exposiciones distintas y la ley solo toca una. Quien siga el tema puede repasar nuestro análisis de el borrador alemán de retención de datos cuando apareció por primera vez y de cómo Chat Control avanzó en la UE pese a una mayoría en contra.
Conclusión
• Berlin Pride attack reignites calls to pass controversial IP retention bill in Germany - Cybernews
• Draft bill on IP address retention aims to strengthen digital crime investigations - Gleiss Lutz
• eco sees significant risks in IP storage after the cabinet decision - eco Association of the Internet Industry
• Suspect in deadly Berlin Pride attack is killed in confrontation with police - PBS News
• Berlin Pride attacker served less than 2 years in prison for wanting to join ISIS - CBS News
