Piero non esita più: la Germania autorizza i suoi hacker di Stato

Il riferimento del titolo è a "La guerra di Piero" di Fabrizio De André, la storia di un soldato che esita a sparare per primo e paga quell'esitazione con la vita. Non riproduco i versi, ma il tema torna utile: per ottant'anni la Germania ha scelto, per ragioni storiche precise, di essere lo Stato che osserva e non interviene. Con la riforma dei servizi segreti approvata a metà agosto 2026, ha deciso di non esserlo più.

Cosa è successo, concretamente

Il 12 agosto 2026 il governo tedesco, guidato dal cancelliere Friedrich Merz, ha approvato in Consiglio dei ministri una riforma definita dallo stesso esecutivo come la più estesa riscrittura delle basi giuridiche dei servizi segreti nella storia della Repubblica Federale. Il testo, circa settecento pagine, porta la firma del ministro dell'Interno Alexander Dobrindt e riguarda tre agenzie: il Bundesnachrichtendienst (BND, intelligence estera), il Bundesamt für Verfassungsschutz (BfV, sicurezza interna) e il servizio di controspionaggio militare (MAD).

Le novità sono sostanziali. Il BND potrà infiltrarsi nei sistemi informatici di soggetti coinvolti in operazioni ostili all'estero, copiare, modificare ed eliminare dati, disattivare strumenti digitali avversari. Potrà intervenire anche fuori dal mondo virtuale: il governo cita esplicitamente, come esempio di sabotaggio autorizzato, la sostituzione di componenti nella catena di fornitura con pezzi difettosi per disattivare da remoto le attrezzature di un potenziale avversario. Il BfV, tradizionalmente un'agenzia di sola osservazione, potrà intervenire attivamente quando una minaccia rischia di causare "gravi disordini in ampi settori della popolazione" o "danni particolarmente seri" derivanti da attività di intelligence straniera. Entrambe le agenzie otterranno inoltre accesso più ampio agli impianti di videosorveglianza pubblici e privati, incluso audio e immagini in tempo reale, e useranno più diffusamente l'intelligenza artificiale per l'analisi dei dati raccolti. Nessuna delle due agenzie riceve però l'autorizzazione a condurre operazioni letali: su questo il testo è esplicito.

Un tabù nato nel 1949

Per capire perché questa riforma non è una normale legge di sicurezza bisogna tornare indietro di ottant'anni. Nel dopoguerra, i governatori militari alleati imposero alla neonata Repubblica Federale una separazione netta tra servizi segreti e polizia, nota in tedesco come Trennungsgebot. L'origine è un documento del 1949, il cosiddetto Polizeibrief: i governatori alleati vietarono esplicitamente che i servizi di intelligence ricevessero poteri coercitivi tipici della polizia, proprio per impedire che si ripetesse quanto accaduto con la Gestapo prima e, nella Germania Est, con la Stasi poi. Da allora, intelligence e forze dell'ordine tedesche restano formalmente separate: chi raccoglie informazioni non arresta, non perquisisce, non interviene.

La riforma non abolisce formalmente questa separazione. Ma attribuire ai servizi segreti poteri di intervento attivo, capacità di disattivare infrastrutture e condurre operazioni di sabotaggio, avvicina nella sostanza le loro funzioni a quelle di un'agenzia operativa, anche se la cornice giuridica resta distinta da quella della polizia. Non a caso l'ex presidente del BfV Hans Georg Maaßen, oggi critico del suo stesso ex ambiente, ha parlato di un possibile superamento della linea rossa tracciata dal Trennungsgebot, mentre il leader dei liberali dell'FDP Wolfgang Kubicki ha usato l'espressione "rottura storica di un tabù", dichiarando di non volere in Germania una polizia segreta.

Il punto che, secondo me, meriterebbe più attenzione

Nel dibattito pubblico si discute soprattutto se la Germania debba avere questi poteri. A mio avviso la domanda più interessante è un'altra: quando arriva il controllo rispetto a quando arrivano i poteri. La riforma prevede l'entrata in vigore delle nuove norme dal 1° gennaio 2027. Il nuovo organo di controllo indipendente, l'Unabhängiger Kontrollrat, pensato per accentrare una vigilanza oggi distribuita tra più autorità, inizierà però a funzionare pienamente solo a partire dal 2029. Nel mezzo restano due anni in cui i cittadini avranno, secondo la stessa Garante federale tedesca per la protezione dei dati, Louisa Specht-Riemenschneider, una tutela dei propri diritti estremamente limitata.

Specht-Riemenschneider ha criticato duramente il testo, sostenendo che i servizi segreti "non dovrebbero agire e intervenire come una polizia" e che diverse disposizioni rischiano di essere dichiarate incostituzionali dalla Corte costituzionale federale. Nel merito, contesta in particolare l'accesso a telecamere di sorveglianza pubbliche e private, la conservazione dei dati senza limiti temporali, e proprio la tempistica: la sua autorità perderebbe parte della vigilanza sul BND prima ancora che il nuovo organo di controllo sia operativo. Non è un'accusa isolata: anche l'associazione per le libertà civili Gesellschaft für Freiheitsrechte sostiene che i nuovi poteri del BND rischiano di confondere i confini costituzionali tra intelligence, polizia e forze armate, mentre in Parlamento la deputata della Linke Clara Bünger critica esplicitamente i poteri di "hackback", e il verde Konstantin von Notz, pur favorevole al rafforzamento del BND, considera eccessive le nuove competenze del BfV.

Non è una critica che riguarda la legittimità della riforma in sé, quanto la sua sequenza. Rafforzare prima le capacità operative e completare poi l'architettura di controllo è una scelta che qualunque governo può fare per ragioni pratiche, ma che lascia una finestra temporale in cui poteri ampliati e vigilanza indebolita convivono. Vale la pena tenerla d'occhio, anche perché la Corte costituzionale tedesca in passato ha già qualificato l'uso di trojan di Stato come un'ingerenza grave nei diritti fondamentali tutelati dall'articolo 10 della Legge fondamentale, quello sulla segretezza delle comunicazioni: un precedente che rende tutt'altro che scontato l'esito di un eventuale ricorso, argomento del resto già toccato parlando dell'accesso statale ai metadati delle comunicazioni.

La Germania non è sola, ma paga un prezzo diverso

Detto questo, va inquadrata anche la proporzione della notizia. Sul piano tecnico, la Germania non sta introducendo nulla di eccezionale rispetto ad altri paesi europei. I Paesi Bassi hanno già utilizzato capacità offensive in passato: nel 2014 il servizio di intelligence AIVD è entrato nei sistemi del gruppo di hacker legato alla Russia noto come APT29, ottenendo informazioni poi condivise con gli Stati Uniti. Da anni l'Aia dispone anche di una cornice legale, la Tijdelijke wet cyberoperaties, pensata per le indagini contro paesi con programmi di cyber offensivi diretti contro interessi olandesi. La Francia, dal 2019, ha una dottrina ufficiale per le operazioni cibernetiche offensive, gestita dal comando cyber delle forze armate in coordinamento con la DGSE.

La differenza, a mio avviso, non sta nella tecnologia né nella natura dei poteri, ma nel punto di partenza. Per Parigi o per L'Aia, dotare i propri servizi di capacità offensive è stata un'evoluzione naturale di un impianto istituzionale che non ha mai conosciuto un vincolo paragonabile al Trennungsgebot. Per Berlino, lo stesso passo tocca una linea rossa costruita apposta, ottant'anni fa, per impedire che l'intelligence tedesca tornasse a somigliare a quella della Gestapo o della Stasi. Lo stesso identico potere ha, in altre parole, un peso costituzionale diverso a seconda di chi lo esercita, ed è un tema che si intreccia con la più ampia discussione europea sulla sovranità tecnologica di cui avevo scritto a proposito del Digital Omnibus.

Dove si arriverà, probabilmente

Il testo deve ancora passare dal Bundestag, che riprende i lavori dopo la pausa estiva ai primi di settembre 2026. La maggioranza di governo (CDU, CSU e SPD) dovrebbe avere i numeri per approvarlo senza grandi difficoltà, ma gli oppositori, dalla Linke ai liberali, hanno già annunciato che tenteranno di impugnare singole disposizioni davanti alla Corte costituzionale federale una volta che la legge sarà in vigore, presumibilmente dal 1° gennaio 2027.

Ritengo che rafforzare le capacità di intelligence in un contesto di sabotaggi, spionaggio e attacchi informatici realmente in crescita, non solo percepiti, sia una scelta difendibile in linea di principio, tanto più per un paese che dipende ancora in modo sproporzionato dalle capacità dei propri alleati. Il criterio che però dovrebbe guidare ogni riforma di questo tipo è la proporzionalità tra i poteri concessi e le garanzie che li accompagnano, non semplicemente l'ordine in cui arrivano. Un vuoto normativo temporaneo, per ragioni diverse ma con una logica simile, lo avevo raccontato anche a proposito del riconoscimento biometrico: sono le fasi di transizione, più che le norme a regime, il momento in cui i diritti rischiano di restare senza una rete sotto di sé. Anche perché la fiducia dei cittadini nelle proprie istituzioni di sicurezza, tema che ho affrontato anche parlando del rapporto tra tecnologia e democrazia digitale, si costruisce proprio nei dettagli di sequenza come questo, non solo nei grandi principi.