Germania: dopo l'attentato al Pride di Berlino torna la conservazione degli IP

Quattro giorni dopo che un furgone è piombato sulla folla al Pride di Berlino, il disegno di legge tedesco sulla conservazione degli indirizzi IP, finora arenato, torna al centro dell'agenda politica. Un deputato della CDU ha chiesto al parlamento di approvare il pacchetto sicurezza in sospeso, che obbligherebbe ogni provider internet del paese a registrare quale abbonato avesse quale indirizzo IP, per tre mesi, per tutti. Il testo era già stato approvato dal consiglio dei ministri ad aprile. L'attentato non ne ha cambiato il contenuto, ma l'urgenza.

Che cosa è successo a Berlino

La sera del 25 luglio 2026 un furgone ha investito le persone riunite su un percorso pedonale del Tiergarten durante il Christopher Street Day berlinese. Una donna di 65 anni proveniente dalla Polonia è morta e 29 persone sono rimaste ferite. Il sospettato, un tedesco di 21 anni di origine libanese, è fuggito a piedi ed è stato trovato la sera successiva a Spandau, dove un reparto speciale della polizia lo ha ucciso durante il tentativo di arresto. Il ministro dell'Interno Alexander Dobrindt ha definito l'accaduto un attentato terroristico islamista.

In due giorni la reazione politica si è spostata sul terreno legislativo. Il deputato della CDU Alexander Throm ha esortato pubblicamente i colleghi ad approvare la legge sulla sicurezza rimasta ferma, il cui elemento centrale è la conservazione degli indirizzi IP.

Il testo che ora viene spinto

La bozza porta il titolo poco maneggevole di "Legge per introdurre la conservazione degli indirizzi IP e ampliare i poteri di raccolta dati nel procedimento penale". Il Ministero federale della Giustizia e della Tutela dei consumatori l'ha pubblicata il 22 dicembre 2025 e il consiglio dei ministri federale l'ha approvata il 22 aprile 2026, dopo il coordinamento tra la ministra della Giustizia Stefanie Hubig e il ministro dell'Interno Alexander Dobrindt. Poi è rimasta in attesa di tempo parlamentare.

• Che cosa viene conservato: l'indirizzo IP assegnato a un abbonato e, ove necessario, i numeri di porta associati, per tre mesi.
• Chi riguarda: ogni cliente di accesso a internet, senza che per la conservazione in sé serva alcun sospetto preventivo.
• Che cosa è escluso: indirizzi IP di destinazione, contenuti, dati di localizzazione e altri dati di traffico restano espressamente fuori dall'obbligo.
• Oltre la conservazione: nuovi ordini di preservazione per dati di traffico che altrimenti verrebbero cancellati, e un ampliamento delle interrogazioni per cella.

Quest'ultimo punto merita attenzione perché sfugge facilmente. Le interrogazioni per cella, che rivelano tutti i telefoni collegati a un ripetitore vicino a una scena del crimine, passerebbero dai "reati particolarmente gravi" ai "reati di rilevanza sostanziale". Ciò ribalta una restrizione posta dalla Corte federale di giustizia nel gennaio 2024.

Che cosa cambia davvero e che cosa no

Un punto che si perde nel frastuono: gli inquirenti tedeschi possono già richiedere i dati dell'abbonato collegati a un indirizzo IP. Lo studio legale Gleiss Lutz, nella sua analisi, osserva che qui i poteri di accesso non vengono ampliati. La novità è l'obbligo per i provider di conservare effettivamente i dati, così che ci sia qualcosa da richiedere. L'accesso continua a richiedere un ragionevole sospetto di reato e la dimostrazione che i dati siano necessari all'indagine.

La distinzione conta, e taglia in entrambe le direzioni. I sostenitori possono dire correttamente che la legge non concede nuovi poteri investigativi. I critici possono replicare con altrettanta correttezza che trasforma un mosaico, in cui alcune registrazioni esistono per caso e la maggior parte no, in un registro nazionale garantito di chi stava dietro quale indirizzo in qualsiasi giorno del trimestre. Oggi, che un IP sia tracciabile a tre mesi dipende in larga misura da quale provider si usa. Con questa legge diventa una certezza.

Industria e CCC: davanti ai giudici non regge

L'associazione dell'industria di internet eco si oppone al testo da febbraio 2026 e ha ribadito le obiezioni dopo la decisione del consiglio dei ministri. L'argomento centrale è che la conservazione indiscriminata continua a non superare gli standard della Corte di giustizia dell'Unione europea, che nel 2014 ha annullato la direttiva sulla conservazione dei dati. eco richiama anche la propria vittoria del 2023 insieme all'azienda associata SpaceNet, quando la Corte amministrativa federale tedesca confermò che le precedenti regole di conservazione erano contrarie al diritto dell'Unione.

Oltre alla legittimità, eco solleva un'obiezione procedurale facile da trascurare: il controllo giudiziario si sposta dall'esame preventivo alla notifica successiva. Il membro del consiglio Klaus Landefeld sostiene che tali meccanismi "non possono garantire una tutela giuridica effettiva nella stessa misura" e avverte che nella pratica la vigilanza risulterebbe indebolita. Segnala anche i costi: alle aziende si chiede di nuovo di investire in un'infrastruttura dallo status giuridico discutibile.

Constanze Kurz, portavoce del Chaos Computer Club, ha definito la proposta una legge di sorveglianza di massa. Il dibattito tedesco sulla Vorratsdatenspeicherung dura da quasi vent'anni e i tribunali hanno respinto più volte diverse sue versioni. La risposta del ministero della Giustizia è che questa bozza è per scelta più stretta, limitata agli indirizzi IP anziché all'ampio insieme di dati di traffico bocciato in precedenza, e che la recente giurisprudenza europea lascia spazio proprio a questo modello ristretto.

Il dettaglio scomodo

Il sospettato non era sconosciuto alle autorità. In passato aveva tentato di proseguire il viaggio per unirsi allo Stato Islamico, era stato arrestato in Libano e lì condannato, ed era nel raggio d'osservazione dei servizi di sicurezza tedeschi. Qualunque cosa sia fallita in questo caso, non è stata l'incapacità di identificare uno sconosciuto a partire da un indirizzo IP. Questo scarto tra la misura invocata e i fatti del caso in nome del quale la si invoca è ciò che vale la pena osservare mentre il testo avanza.

Per chi vive in Germania l'effetto pratico sarebbe che il provider diventa archivista obbligato della storia dei vostri indirizzi. È qui che la domanda sulla VPN nasce onestamente e non come argomento di vendita: instradare il traffico attraverso una VPN non elimina la registrazione, presso il provider, del fatto che vi siete connessi; cambia quale indirizzo vedono e registrano i servizi che visitate. Sono due esposizioni diverse e la legge ne tocca solo una. Chi segue il tema può rileggere la nostra analisi della bozza tedesca sulla conservazione dei dati alla sua prima comparsa e di come Chat Control è avanzato nell'UE nonostante una maggioranza contraria.

Conclusione