Sul caso Hanning il vero danno è compromettere la fiducia tra i servizi. Parla Teti

“Il problema più grave non è sempre il segreto che l’avversario riesce a rubare dall’esterno. A volte è quello che qualcuno riesce a portare fuori dall’interno”. Per Antonio Teti, esperto di intelligence, cybersecurity e intelligenza artificiale, è questa la lezione più importante del caso August Hanning, l’ex direttore del Bnd coinvolto in un’inchiesta che ipotizza un prolungato flusso di informazioni riservate dall’intelligence tedesca. Una vicenda che, al di là dell’esito giudiziario, apre interrogativi sulla sicurezza interna dei servizi, sulla tutela delle informazioni condivise tra alleati e sulla capacità delle agenzie europee di individuare in tempo le minacce provenienti dall’interno.

Professor Teti, perché il caso August Hanning sta provocando tanta preoccupazione in Germania?

Perché non stiamo parlando di un funzionario qualsiasi. August Hanning è stato presidente del Bundesnachrichtendienst, il Bnd, dal 1998 al 2005 e successivamente ha ricoperto importanti incarichi istituzionali. Parliamo quindi di una persona che ha conosciuto dall’interno la struttura, le procedure, gli uomini, le relazioni internazionali e soprattutto i meccanismi decisionali dell’intelligence tedesca. Secondo la ricostruzione della Procura federale, l’ipotesi investigativa riguarda un flusso di informazioni che si sarebbe protratto per molti anni. Se l’impianto accusatorio venisse confermato, ci troveremmo davanti a qualcosa di molto più complesso di una semplice sottrazione di documenti classificati. Avremmo un possibile canale informativo parallelo capace di trasferire all’esterno informazioni provenienti dal cuore dell’apparato intelligence tedesco. Naturalmente dobbiamo ricordare che siamo nella fase delle indagini e che le responsabilità dovranno essere accertate nelle sedi giudiziarie competenti.

Secondo gli investigatori sarebbero coinvolti quasi duemila documenti. È il numero a impressionarla maggiormente?

Non necessariamente. Il numero è certamente significativo, ma nell’intelligence la quantità non coincide automaticamente con il valore. Potrebbero esistere dieci documenti molto più importanti di mille altri. Quello che bisogna comprendere è la natura delle informazioni, il loro livello di classificazione, la loro provenienza, il periodo temporale al quale si riferiscono e soprattutto chi ne sia entrato eventualmente in possesso. C’è poi un elemento ancora più importante. Se si dispone per anni di un flusso costante di documenti provenienti da un servizio di intelligence, non si acquisiscono soltanto informazioni. Si può progressivamente ricostruire il modo nel quale quell’organizzazione pensa. Si comprendono le priorità informative, le aree geografiche di interesse, le minacce considerate più rilevanti, le capacità di raccolta, le lacune informative e persino il processo attraverso il quale l’intelligence viene trasferita al decisore politico. È quello che definirei una sorta di “reverse engineering” dell’intelligence.

Può spiegare meglio questo concetto?

Un servizio straniero non vuole semplicemente sapere cosa conosce il proprio avversario, ma vuole capire come arriva a conoscerlo. È una differenza fondamentale. Se riesco a ricostruire nel tempo quali informazioni raggiungono il vertice politico, posso comprendere quali siano le priorità dell’apparato, posso individuare eventuali lacune, posso intuire quali fonti siano particolarmente produttive e quali strumenti di raccolta vengano utilizzati. Soprattutto posso tentare di capire cosa il servizio “non sa”. Nell’intelligence, conoscere le lacune informative dell’avversario può essere persino più importante che conoscere ciò che sa. Ecco perché un archivio di quasi duemila documenti, se effettivamente fosse strutturato e distribuito lungo molti anni, potrebbe assumere un valore enormemente superiore alla somma dei singoli documenti.

Quindi il danno potrebbe andare oltre le informazioni contenute nei documenti?

Assolutamente sì e si stende su più livelli. Il primo livello riguarda il contenuto. Il secondo riguarda le fonti. Il terzo riguarda i metodi. Il quarto riguarda le relazioni. Il quinto, probabilmente il più importante, riguarda la capacità di ricostruire il sistema. Quando analizziamo una “intelligence compromise” dobbiamo evitare di ragionare come se stessimo analizzando esclusivamente un data breach informatico. Se vengono sottratti dei file da un’azienda, posso teoricamente quantificare il numero dei record compromessi. Nell’intelligence è molto più difficile. Un documento può contenere riferimenti indiretti a una fonte umana, a una capacità SIGINT, a una cooperazione internazionale o a un’operazione in corso. Combinando più documenti attraverso tecniche di analisi correlativa è possibile ottenere informazioni che nessuno dei singoli documenti conteneva esplicitamente. È il cosiddetto principio del “mosaico informativo”.

Uno degli aspetti più delicati riguarda i possibili destinatari stranieri. Quanto è importante stabilire chi abbia ricevuto le informazioni?

È probabilmente la domanda principale dell’intera indagine. Nel contrasto al riciclaggio si utilizza spesso l’espressione “follow the money”. Nel controspionaggio potremmo utilizzare l’espressione “follow the information”. Bisogna ricostruire l’intero percorso dell’informazione. Chi l’ha prodotta? Chi poteva accedervi? Chi l’ha estratta? Come è stata trasferita? Chi l’ha ricevuta? È stata trasformata in un rapporto? Quel rapporto è stato venduto? Chi lo ha acquistato? Il destinatario apparente coincideva con quello reale? E soprattutto bisogna verificare se le informazioni siano state ulteriormente trasferite. Perché un documento consegnato a una singola persona può successivamente entrare nell’ecosistema informativo di un apparato intelligence straniero e diventare accessibile a numerosi analisti. Da quel momento il controllo sull’informazione è definitivamente perduto. È stato fatto anche il nome dell’Azerbaigian. Su questo occorre essere estremamente prudenti. La Procura federale tedesca, nelle informazioni pubblicamente disponibili, non ha identificato ufficialmente i servizi stranieri ai quali sarebbero state destinate le informazioni. Sono emerse ricostruzioni giornalistiche che hanno indicato possibili collegamenti con l’Azerbaigian, ma Baku ha respinto tali ricostruzioni. Finché non emergeranno elementi investigativi più precisi, attribuire con certezza l’operazione a un determinato Paese sarebbe metodologicamente scorretto. Nell’intelligence l’attribuzione è una delle operazioni più complesse, e quando si parla di spionaggio, distinguere tra fatti, indizi, valutazioni analitiche e ipotesi è fondamentale.

Il caso potrebbe coinvolgere indirettamente anche altri servizi occidentali?

Potenzialmente sì, ed è uno degli aspetti che considero più delicati. Nessun grande servizio di intelligence occidentale opera isolatamente. Esistono scambi continui di informazioni tra servizi alleati. Germania, Stati Uniti, Regno Unito, Francia, Italia e gli altri Paesi NATO condividono informazioni, analisi, indicatori di minaccia e prodotti intelligence. Quindi bisognerà comprendere se tra i documenti eventualmente compromessi fossero presenti anche informazioni provenienti da servizi partner. Se così fosse, il problema non sarebbe più soltanto tedesco.

Quale potrebbe essere la reazione degli altri servizi?

Nel mondo dell’intelligence la fiducia è una valuta strategica. Quando un servizio consegna un’informazione particolarmente sensibile a un partner, deve essere ragionevolmente certo che quella informazione venga protetta. Se questa certezza diminuisce, anche temporaneamente, può cambiare il livello della cooperazione. Non significa necessariamente interrompere i rapporti. Sarebbe irrealistico, soprattutto tra alleati strategici, ma potrebbe cambiare la qualità delle informazioni condivise. Un servizio potrebbe decidere di compartimentare maggiormente alcuni prodotti, limitare temporaneamente la distribuzione di determinate informazioni o aumentare i livelli di controllo.

Il danno reputazionale, nel mondo dell’intelligence, può durare più a lungo del danno operativo. È questo, secondo lei, il vero rischio per il Bnd?

Uno dei principali. Il Bnd dovrà certamente ricostruire l’eventuale danno informativo, ma dovrà contemporaneamente proteggere la fiducia dei partner, e ciò rappresenta un lavoro estremamente complesso. Occorrerà probabilmente effettuare un vero e proprio “damage assessment”, ovvero identificare i documenti, classificarli per sensibilità, ricostruirne la distribuzione, verificare la presenza di informazioni provenienti da servizi alleati, identificare eventuali fonti compromesse e stabilire quali operazioni possano essere state indirettamente esposte. È un processo che potrebbe richiedere molto tempo.

Il caso Hanning può essere considerato un esempio di insider threat? 

Se le accuse fossero confermate, sarebbe un caso estremamente significativo di insider threat, proprio perché coinvolgerebbe livelli elevatissimi dell’organizzazione. Siamo abituati a immaginare la minaccia interna come il dipendente infedele che copia documenti o utilizza impropriamente le proprie credenziali. Ma esiste un insider threat molto più sofisticato. Un alto dirigente possiede qualcosa che nessun hacker può sottrarre facilmente: la conoscenza profonda dell’organizzazione. Conosce le persone, le procedure, i meccanismi informali, la cultura interna, il significato reale delle classificazioni, e soprattutto sa attribuire valore alle informazioni. Un documento apparentemente ordinario può assumere un’importanza enorme agli occhi di chi conosce il sistema nel quale quel documento è stato prodotto.

Ma Hanning aveva lasciato il Bnd molti anni prima.

Ed è precisamente questo uno degli aspetti più interessanti della vicenda. Quando un dirigente lascia un servizio di intelligence perde le proprie funzioni, ma non perde automaticamente il proprio capitale relazionale. Decenni trascorsi ai vertici dello Stato producono una rete di rapporti con funzionari, diplomatici, militari, uomini politici, imprenditori, dirigenti pubblici e rappresentanti di servizi stranieri. Questo patrimonio relazionale è perfettamente legittimo, ma dal punto di vista della sicurezza deve essere considerato. Per questo ritengo che il caso Hanning riaprirà inevitabilmente il dibattito sulla cosiddetta “post-employment security”, cioè sulla gestione del rischio collegato agli ex dirigenti delle strutture più sensibili dello Stato.

Bisognerebbe quindi controllare gli ex direttori dei servizi?

Non parlerei genericamente di controllo sulle persone, sarebbe una semplificazione pericolosa. Bisogna invece costruire regole chiare. Ad esempio, valutare eventuali conflitti di interesse, regolamentare determinati incarichi di consulenza, definire obblighi di comunicazione per alcune attività professionali e mantenere programmi periodici di sensibilizzazione sulla protezione delle informazioni classificate. Bisogna trovare un equilibrio tra libertà individuale e sicurezza nazionale, ma è evidente che un ex vertice dell’intelligence rappresenta, per tutta la vita, un patrimonio straordinario di conoscenze sensibili.

C’è anche un problema legato al mercato privato dell’intelligence?

Certamente. Negli ultimi vent’anni abbiamo assistito alla crescita di un enorme mercato della “private intelligence”. Ex funzionari dei servizi, militari, diplomatici e specialisti della sicurezza entrano nel settore privato mettendo legittimamente a disposizione competenze maturate nel settore pubblico. È un fenomeno globale, ma il problema nasce quando diventa difficile distinguere tra il patrimonio professionale dell’individuo e l’utilizzo di informazioni che appartengono allo Stato. È una linea che deve essere assolutamente netta. La consulenza privata può utilizzare esperienza, competenza, metodologia e capacità analitica, ma non può utilizzare informazioni classificate ottenute attraverso canali impropri.

C’è un aspetto del caso che la colpisce particolarmente?

Sì. La durata del presunto flusso informativo. Se venisse confermato che documenti classificati sono stati trasferiti per un periodo così lungo, la domanda non sarebbe soltanto: “Chi li ha trasferiti?”. La domanda diventerebbe: “Perché il sistema non se ne è accorto?” E questa è una domanda molto più difficile. Un comportamento illecito individuale riguarda una persona, ma un comportamento che riesce eventualmente a proseguire per anni può indicare anche una vulnerabilità organizzativa. Bisognerà capire quali controlli sugli accessi esistessero, quali log venissero conservati, quali sistemi di auditing fossero attivi e se vi siano stati segnali deboli che non sono stati identificati o correttamente interpretati.

La tecnologia e l’intelligenza artificiale possono aiutare a prevenire casi simili?

Moltissimo. I sistemi di “User and Entity Behavior Analytics” consentono già oggi di costruire profili comportamentali degli utenti e individuare anomalie. L’intelligenza artificiale permette di andare oltre. Può correlare accessi, download, interrogazioni dei database, spostamenti di file, orari di lavoro e altre variabili per identificare comportamenti anomali che, considerati singolarmente, potrebbero sembrare irrilevanti. Immaginiamo un funzionario che consulta cento documenti. Il numero in sé potrebbe essere perfettamente normale. Ma se quei documenti appartengono a settori non coerenti con il suo incarico, vengono consultati in determinati momenti e successivamente trasferiti o stampati, la correlazione degli eventi può generare un indicatore di rischio.

L’IA può quindi diventare uno strumento straordinariamente importante per il controspionaggio interno. Non c’è però il rischio di trasformare un servizio in una struttura di sorveglianza permanente dei propri dipendenti?

Certamente, ed è qui che entra in gioco la governance. La tecnologia non deve diventare un alibi per eliminare qualsiasi forma di proporzionalità. Servono regole, controlli, audit e una chiara definizione delle finalità. Ma dobbiamo anche essere realistici: chi lavora con informazioni dalle quali può dipendere la sicurezza nazionale opera inevitabilmente all’interno di un regime di sicurezza più rigoroso rispetto a quello applicabile a un normale ambiente lavorativo. Il principio dovrebbe essere quello dello Zero Trust, opportunamente adattato al mondo intelligence. Non significa non fidarsi di nessuno. Significa che la fiducia non può sostituire il controllo.

Nemmeno quando si parla dei vertici?

Soprattutto quando si parla dei vertici. Ed è questo il grande paradosso dell’intelligence. Più una persona sale nella gerarchia, maggiore è la fiducia che deve necessariamente ricevere. Ma contemporaneamente aumenta il danno che quella persona potrebbe provocare se quella fiducia venisse tradita. Per questo ritengo che una delle lezioni più importanti sia racchiusa nel principio “trust, but continuously verify”. Fidarsi, ma verificare continuamente. Il controllo non deve dipendere dalla posizione gerarchica. C’è un altro elemento singolare: l’inchiesta sarebbe emersa nell’ambito di un procedimento diverso. È un aspetto che merita molta attenzione. Secondo la ricostruzione della Procura federale, parte del materiale sarebbe stata individuata durante una perquisizione effettuata nel settembre 2025 nell’ambito di un altro procedimento e successivamente trasmessa alla Procura federale. Se questa dinamica venisse pienamente confermata, emergerebbe una domanda inevitabile: il presunto circuito sarebbe stato scoperto senza quell’indagine? È una domanda che qualsiasi organizzazione intelligence dovrebbe porsi. Non soltanto il Bnd.

Quindi il caso Hanning contiene una lezione anche per gli altri servizi europei?

Assolutamente sì. Sarebbe un errore considerarlo esclusivamente un problema tedesco. Ogni grande incidente intelligence deve essere studiato dagli altri servizi come un caso di scuola. Bisogna chiedersi: potrebbe accadere anche a noi? I nostri sistemi sarebbero in grado di rilevarlo? Quanto tempo impiegheremmo? Quali informazioni potrebbero essere compromesse? Come reagiremmo? È questo il valore dell’analisi comparativa nel controspionaggio.

Il contesto geopolitico rende la vicenda ancora più grave?

Senza dubbio. L’Europa si trova in una fase di competizione intelligence estremamente intensa. La guerra in Ucraina, il confronto con la Russia, la crescente assertività cinese, l’Iran, il terrorismo, le minacce ibride, la competizione tecnologica e le operazioni di influenza hanno aumentato enormemente l’importanza dell’intelligence. Contemporaneamente è aumentata la cooperazione tra i servizi occidentali. Questo significa che circola una quantità maggiore di informazioni, e più informazioni circolano, maggiore diventa la necessità di proteggerle.

Qual è allora la vera lezione del caso Hanning?

Che la sicurezza di un servizio segreto non può essere misurata soltanto dalla sua capacità di raccogliere informazioni. Deve essere misurata anche dalla capacità di proteggerle. Possiamo disporre dei migliori sistemi SIGINT, dei satelliti più sofisticati, dell’intelligenza artificiale più avanzata e delle migliori capacità cyber, ma alla fine rimane sempre l’elemento umano. La risorsa più importante dell’intelligence continua a essere la fiducia, ovvero fiducia tra funzionari, fiducia tra il servizio e il governo, fiducia tra apparati alleati. Se questa fiducia viene compromessa, soprattutto ai livelli più elevati, il danno può essere molto più profondo della perdita di un singolo documento classificato.

Quindi la domanda centrale non è soltanto quali segreti siano eventualmente usciti dal Bnd?

Esatto, bisogna certamente capire cosa sia eventualmente uscito, ma bisogna soprattutto capire dove sia arrivato, chi lo abbia utilizzato, quali decisioni possa aver influenzato, quali fonti possa aver compromesso, quali servizi alleati possano essere stati indirettamente coinvolti. E soprattutto se qualcuno, attraverso anni di informazioni, sia riuscito a comprendere meglio il funzionamento interno dell’intelligence tedesca, perché nel controspionaggio il problema più grave non è sempre il segreto che l’avversario riesce a rubare dall’esterno. A volte è quello che qualcuno riesce a portare fuori dall’interno. Ed è proprio per questo che, indipendentemente dall’esito giudiziario, il caso Hanning rappresenta già oggi un importante caso di studio per l’intera comunità dell’intelligence europea.