Was eine No-Logs-VPN-Prüfung wirklich beweist (und 4 Dinge nicht)
Was eine No-Logs-VPN-Prüfung wirklich beweist (und die 4 Dinge nicht)
Fast jeder große VPN-Anbieter trägt heute den Satz "unabhängig auf No-Logs geprüft" wie einen Orden vor sich her. Marketing-Seiten reduzieren einen dichten, sorgfältig formulierten Prüfbericht auf ein einziges grünes Häkchen, und die meisten Käufer verstehen dieses Häkchen als "dieser Anbieter speichert nichts, niemals, und ein Gericht hat das bestätigt." Das ist nicht, was eine Prüfung aussagt. Nicht einmal annähernd.
Eine Prüfung ist ein abgegrenzter, zeitlich befristeter und oft nur eingeschränkt zusichernder Auftrag, den ein Anbieter selbst beauftragt und bezahlt. Richtig gelesen ist sie ein wirklich nützlicher Beleg. Als Garantie gelesen führt sie Sie in die Irre. Dieser Leitfaden entschlüsselt, was eine No-Logs-Prüfung tatsächlich beweist, welche vier Dinge sie strukturell nicht beweisen kann, wie Sie Umfang und Standard dahinter einordnen und warum überprüfbare Infrastruktur-Entscheidungen wie RAM-only-Server und eine real getestete Beschlagnahme mehr aussagen als jedes Siegel. Am Ende haben Sie eine Checkliste, die Sie selbst auf jeden Anbieter anwenden können.
Was "No-Logs" wirklich bedeutet (und die Unterscheidung, die die meisten Behauptungen verwischen)
Bevor Sie eine Prüfung beurteilen können, müssen Sie wissen, was überhaupt geprüft wird. "No-Logs" ist keine einheitliche Sache. Es gibt mindestens zwei sehr unterschiedliche Datenkategorien, und der Werbespruch "wir protokollieren nicht" bezieht sich fast immer stillschweigend nur auf eine davon.
Aktivitäts- bzw. Nutzungsprotokolle — die von Ihnen besuchten Websites, DNS-Anfragen, Inhalte oder Ziele Ihres Datenverkehrs, heruntergeladene Dateien. Ein glaubwürdiger No-Logs-VPN sollte davon nichts aufbewahren. Eine Speicherung würde den gesamten Zweck des Produkts zunichtemachen.
Verbindungs- bzw. Metadaten-Protokolle — Zeitstempel Ihrer Verbindungen, Sitzungsdauer, übertragene Datenmenge, die Quell-IP, von der aus Sie sich verbunden haben, und welchen VPN-Server Sie genutzt haben. Hier gehen die Behauptungen stark auseinander. Manche Anbieter bewahren aggregierte oder temporäre Verbindungsdaten auf, um Missbrauch zu verhindern, die Kapazität zu planen oder Limits für gleichzeitige Geräte durchzusetzen.
Die Gefahr ist die Korrelation. Selbst ohne Aktivitätsprotokolle kann ein präziser Verbindungszeitstempel zusammen mit Ihrer Ursprungs-IP-Adresse Sie im Prinzip mit einer Handlung verknüpfen, die am Zielort im selben Moment beobachtet wurde. Wenn ein Anbieter also "No-Logs" sagt, lautet die erste Frage nie, ob ein Prüfer kontrolliert hat, sondern welche Kategorie die Prüfung abgedeckt hat. Eine saubere Aktivitätsprotokoll-Prüfung, die nichts über Verbindungsmetadaten aussagt, hat die einfache Frage beantwortet und die schwierige übersprungen.
Die Arten von Prüfungen und warum sie nicht austauschbar sind
"Geprüft" presst mehrere unterschiedliche Vorgänge in ein einziges Wort. Sie überschneiden sich, beweisen aber Verschiedenes, und ein Anbieter wird naturgemäß diejenige anführen, die am stärksten klingt.
No-Logs- bzw. Datenschutzbestätigung vs. Sicherheitsprüfung
Ein No-Logs-Bestätigungsauftrag untersucht die Serverkonfigurationen, Datenverarbeitungsprozesse und internen Richtlinien, um zu beurteilen, ob die Beschreibung der Protokollierungspraxis des Anbieters zutreffend dargestellt ist. Eine Sicherheitsprüfung (Penetrationstest, Quellcode-Prüfung, App-Audit) sucht nach Schwachstellen in den Apps, der Infrastruktur oder der Kryptografie. Diese sind kein Ersatz füreinander. Ein VPN kann eine makellose No-Logs-Konfiguration und zugleich einen kritischen Fehler haben, der Ihre IP preisgibt, oder gehärtete Apps und ein Backend, das im Stillen Metadaten aufbewahrt. Sie wollen beides, und Sie sollten nicht zulassen, dass eines für das andere einsteht.
Stichtagsbezogen vs. fortlaufend
Die überwiegende Mehrheit der No-Logs-Prüfungen ist stichtagsbezogen (manchmal Typ 1 genannt): Der Prüfer inspiziert die Systeme so, wie sie an einem bestimmten Tag oder in einem kurzen Zeitfenster bestehen. Ein fortlaufender Auftrag (Typ 2) prüft, ob die Kontrollen über einen definierten Zeitraum hinweg wirksam funktioniert haben, etwa sechs oder zwölf Monate. Stichtagsbezogen sagt Ihnen, dass der Schrank an dem Nachmittag leer war, an dem der Prüfer zu Besuch kam. Über die Tage davor oder danach sagt es nichts aus.
Hinreichende Sicherheit vs. begrenzte Sicherheit
Dies ist die mit Abstand am häufigsten übersehene Zeile in jedem Prüfbericht. Nach den Zusicherungsstandards, die die meisten VPN-Prüfungen verwenden, drückt der Prüfer eine von zwei Vertrauensstufen aus. Hinreichende Sicherheit ist die höhere Schwelle: umfangreiche Tests, die eine positive Aussage stützen ("nach unserer Auffassung sind die Kontrollen zutreffend dargestellt"). Begrenzte Sicherheit ist schwächer: Der Prüfer führt weniger Verfahren durch und gibt eine negative Form der Schlussfolgerung ab ("uns ist nichts bekannt geworden, das darauf hindeutet, dass die Behauptungen wesentlich falsch dargestellt sind"). Viele werbewirksame No-Logs-Prüfungen sind Aufträge mit begrenzter Sicherheit. "Uns ist nichts bekannt geworden" ist eine deutlich weichere Aussage als "wir haben dies verifiziert", und sie leistet hinter dem Siegel viel stille Arbeit.
Eine Prüfung ist kein Penetrationstest der Ehrlichkeit Ihres Anbieters. Sie ist eine strukturierte Auffassung über eine bestimmte Beschreibung, an einem bestimmten Datum, innerhalb eines Umfangs, den der Anbieter mitdefiniert hat.
Die vier Dinge, die eine No-Logs-Prüfung NICHT beweist
Selbst eine hervorragende Prüfung durch eine erstklassige Kanzlei hat harte strukturelle Grenzen. Das sind keine Versäumnisse des Prüfers; sie liegen im Wesen dessen, was eine Prüfung ist. Halten Sie jede Behauptung "geprüfter No-Logs" gegen diese vier Punkte.
Begrenzter Umfang. Die Prüfung deckt nur das ab, was der Auftragsbrief abdeckt, und der Anbieter wirkt an dessen Definition mit. Eine Prüfung der Desktop-Apps sagt nichts über die mobilen Apps oder die Serverflotte aus. Eine Prüfung von "keine Aktivitätsprotokolle" kann zu Verbindungsmetadaten, Abrechnungsdaten, der Aufbewahrung von Support-Tickets oder Drittanbieter-Analytik in der App schweigen. Der Umfang ist die Grenze des Beweises, und er ist oft enger als das Marketing.
Eine zeitlich befristete Momentaufnahme. Ein stichtagsbezogener Bericht beschreibt einen einzigen Moment. Konfigurationen verändern sich, neue Server werden bereitgestellt, Skripte werden geändert, ein panischer Techniker aktiviert während eines Vorfalls die Debug-Protokollierung. Sofern die Prüfung nicht fortlaufend und aktuell ist, ist sie ein Foto, kein Live-Stream.
Was der Prüfer nicht sehen durfte. Prüfer untersuchen, was der Auftraggeber zur Verfügung stellt. Sie sind keine Polizei, die einen Durchsuchungsbefehl vollstreckt; sie können die Offenlegung eines versteckten Protokollierungsservers, einer geheimen Datenaufbewahrungs-Pipeline oder eines Parallelsystems, das aus dem übergebenen Inventar herausgehalten wird, nicht erzwingen. Ein entschlossener böswilliger Akteur kann eine Prüfung gerade um das herum abgrenzen, was sie eigentlich hätte aufdecken sollen.
Änderungen nach der Prüfung. Der Bericht wird an dem Tag eingefroren, an dem er unterzeichnet wird. Eigentumsverhältnisse können wechseln, das Unternehmen kann übernommen werden, die Gerichtsbarkeit kann sich verschieben, ein neues Gesetz kann eine Aufbewahrungspflicht auferlegen, oder der Anbieter kann seine Infrastruktur einfach in der Woche nach der Veröffentlichung verändern. Das Siegel auf der Startseite kann Jahre alt sein und ein Unternehmen beschreiben, das in derselben Form nicht mehr existiert.
Wie man einen Prüfbericht tatsächlich liest
Wenn ein Anbieter den vollständigen Bericht verlinkt (und falls nicht, behandeln Sie die Behauptung als Marketing, nicht als Beleg), verbringen Sie zehn Minuten mit diesen fünf Dingen, bevor Sie dem Siegel vertrauen.
Wer hat den Umfang festgelegt und wer hat bezahlt. Prüfungen werden vom Anbieter beauftragt und bezahlt; das ist normal und kein Ausschlusskriterium, aber es prägt den Umfang. Achten Sie auf ausdrückliche Grenzen: welche Apps, welche Server, welche Datenkategorien, welcher Zeitraum.
Das Datum. Eine Entscheidung im Jahr 2026 sollte nicht auf einem Bericht von 2021 beruhen. Aktualität und Wiederholung zählen mehr als eine einzelne historische Prüfung. Ein Anbieter, der jährlich neu prüfen lässt, trifft eine stärkere Aussage als einer, der von einem einmaligen Stempel zehrt.
Unabhängigkeit und Ruf des Prüfers. Anerkannte Namen in diesem Bereich sind die Big-Four-Kanzleien (Deloitte, PwC, KPMG, EY) für Bestätigungsaufträge sowie spezialisierte Sicherheitsfirmen wie Cure53 für Code- und Infrastrukturarbeit. Ein obskurer oder nicht genannter Prüfer ist ein Warnsignal.
Der verwendete Standard. Seriöse No-Logs-Bestätigungsberichte werden typischerweise nach ISAE 3000 (International Standard on Assurance Engagements 3000) durchgeführt, herausgegeben vom IAASB, der Bestätigungsaufträge regelt, die keine Prüfungen historischer Finanzinformationen sind. Ein genannter Standard sagt Ihnen, dass der Auftrag eine definierte Methodik hatte. Achten Sie darauf, ob es sich um hinreichende oder begrenzte Sicherheit handelte.
Die Zusicherungssprache selbst. Suchen Sie den Absatz mit der Auffassung. Unterscheiden Sie "nach unserer Auffassung ist die Beschreibung zutreffend dargestellt" (positiv, hinreichende Sicherheit) von "uns ist nichts bekannt geworden" (negativ, begrenzte Sicherheit). Beide haben einen Wert; es ist nicht derselbe Wert.
RAM-only-Server: Was plattenlose Infrastruktur wirklich garantiert
Prüfungen bewerten Prozesse. RAM-only- (plattenlose) Server verändern die zugrunde liegende Physik, und genau deshalb sind sie unabhängig von jedem Siegel wichtig. Die Idee: den gesamten VPN-Server samt Betriebssystem aus flüchtigem RAM betreiben, ohne angeschlossene Festplatte oder SSD. Die Software wird über einen sicheren Bootvorgang aus einem zentralen, schreibgeschützten Image geladen. Mehrere große Anbieter betreiben Varianten davon, vermarktet unter Namen wie ExpressVPNs TrustedServer und NordVPNs colocierter plattenloser Flotte.
Was RAM-only Ihnen wirklich bringt:
Nichts überdauert einen Neustart oder Stromausfall. Flüchtiger Speicher wird gelöscht, sobald der Strom abgeschaltet wird. Wird ein Server physisch beschlagnahmt und vom Netz getrennt, sind alle Daten, die nur im RAM existierten, weg, nicht gelöscht-aber-wiederherstellbar, sondern physisch nicht mehr vorhanden.
Ein konsistenter, zentral definierter Zustand. Jeder Server lädt beim Booten dasselbe geprüfte Image neu, was die Konfigurationsabweichung und das Risiko verringert, dass ein einzelner abtrünniger Server im Stillen einen anderen, protokollierenden Build ausführt.
Eine kleinere forensische Angriffsfläche. Es gibt keine Festplatte zum Imagen, keine Auslagerungsdatei, kein Protokollverzeichnis, das man im Nachhinein durchforsten könnte.
Was RAM-only nicht leistet, und hier übertreibt das Marketing:
Es stoppt das Protokollieren nicht, während der Server läuft. Der RAM hält Live-Daten; ist die laufende Software so konfiguriert, dass sie Metadaten erfasst und weiterleitet, kann sie das in Echtzeit tun, noch vor jedem Neustart. Bei plattenlos geht es um Persistenz, nicht darum, was im Moment geschieht.
Es schützt nicht vor einem Server, der im eingeschalteten Zustand beschlagnahmt wird. Eine Maschine, die ohne Stromverlust mitgenommen wird, behält ihren RAM-Inhalt, bis sie heruntergefahren wird, und der Live-Speicher kann ausgelesen werden.
Es beweist für sich genommen nicht, dass das zentrale Image sauber ist. Sie vertrauen nun dem Build-Image und der Boot-Pipeline statt der Festplatte. Dieses Vertrauen muss weiterhin verdient werden, idealerweise durch eine Prüfung.
RAM-only und Prüfung ergänzen einander. Die Architektur begrenzt, was aufbewahrt werden kann; die Prüfung kontrolliert, was konfiguriert ist. Keines von beiden allein ist die ganze Geschichte.
Der einzige echte Test: wenn No-Logs-Behauptungen auf einen Durchsuchungsbefehl treffen
Der überzeugendste Beleg ist überhaupt keine Prüfung. Es ist das, was passiert, wenn die Strafverfolgung tatsächlich vor der Tür steht. Einige Fälle haben No-Logs-Behauptungen in der realen Welt einem Belastungstest unterzogen.
Die Mullvad-Razzia 2023. Am 18. April 2023 erschienen Beamte der Nationalen Einsatzabteilung der schwedischen Polizei mit einem Durchsuchungsbefehl im Büro von Mullvad in Göteborg, um im Rahmen einer Ermittlung Computer zu beschlagnahmen. Nach Mullvads veröffentlichter Darstellung erklärten seine Mitarbeiter und Rechtsbeistände, dass das Unternehmen keine Kundendaten speichert und dass es nach schwedischem Recht nichts Relevantes zu beschlagnahmen gebe. Die Polizei ging ohne Hardware mitzunehmen. Dies ist die sauberste öffentliche Demonstration des Prinzips: Wenn die Daten wirklich nicht existieren, bringt ein Durchsuchungsbefehl nichts ein. Die Architektur und die Richtlinie, nicht das Siegel, brachten dieses Ergebnis hervor.
Im Ausland beschlagnahmte Server. 2017 beschlagnahmten türkische Ermittler, die das Attentat auf den russischen Botschafter Andrei Karlow untersuchten, einen von ExpressVPN genutzten Server. Berichten aus der Zeit zufolge konnten die Behörden keine Verbindungs- oder Aktivitätsprotokolle wiederherstellen, weil keine gespeichert waren. Gesondert davon erklärte Private Internet Access in US-Gerichtsakten, dass es auf rechtliche Anforderungen hin keine Nutzungsprotokolle vorlegen konnte, weil es keine aufbewahrte. Diese Episoden sind keine Prüfungen, aber sie sind reale Bestätigungen, dass der Schrank für diese Anbieter zu jener Zeit unter Druck tatsächlich leer war.
Die Lehre ist durchgehend dieselbe: Die stärkste Datenschutzgarantie sind Daten, die nie erzeugt wurden. Eine Prüfung sagt dieses Ergebnis voraus; eine Beschlagnahme beweist es.
Gerichtsbarkeit und der Kontext der 5/9/14 Eyes
Wo ein Anbieter rechtlich ansässig ist, prägt, wozu er gezwungen werden kann und was er aufbewahren muss. Das Five-Eyes-Geheimdienstbündnis (USA, Vereinigtes Königreich, Kanada, Australien, Neuseeland) teilt Fernmeldeaufklärung; die Nine Eyes ergänzen Dänemark, Frankreich, die Niederlande und Norwegen; die Fourteen Eyes fügen darüber hinaus Deutschland, Belgien, Italien, Spanien und Schweden hinzu. Mitgliedschaft bedeutet nicht, dass ein Land VPNs zur Protokollierung zwingt, und einige hervorragende Anbieter operieren aus diesen Bündnissen heraus. Aber die Gerichtsbarkeit bestimmt die verfügbaren rechtlichen Werkzeuge, einschließlich Vorratsdatenspeicherungspflichten und Befugnissen zu Schweigeanordnungen.
Zwei Mahnungen. Erstens ist die populäre Regel "alle 14 Eyes meiden" gröber als die Realität; die Schweiz und Panama werden oft als datenschutzfreundliche Standorte genannt, doch die tatsächliche Datenpraxis eines Anbieters zählt weit mehr als seine Flagge. Zweitens bedeutet ein sogenannter "Datenschutz-Hafen" als Hauptsitz wenig, wenn die Server, das Personal oder der Zahlungsdienstleister anderswo sitzen. Genau deshalb gilt: verifizierte Infrastruktur schlägt Werbetexte — die Gerichtsbarkeit setzt die rechtliche Obergrenze, aber nur die technische Realität, geprüft und idealerweise getestet, sagt Ihnen, welche Daten tatsächlich gefährdet sind.
Eine anbieterneutrale Checkliste, die Sie auf jeden Anbieter anwenden können
Nutzen Sie diese, um die No-Logs-Behauptung jedes VPN selbst zu bewerten, unabhängig von den Siegeln auf seiner Startseite.
Ist der vollständige Bericht öffentlich oder nur ein Logo? Kein verlinkbarer Bericht bedeutet: die Behauptung als Marketing behandeln.
Wie aktuell und wie häufig? Bevorzugen Sie Anbieter, die in regelmäßigem Takt neu prüfen lassen, gegenüber solchen, die einen einzelnen alten Auftrag anführen.
Stichtagsbezogen oder fortlaufend? Ein mehrmonatiger Typ-2-Auftrag ist wesentlich stärker als eine eintägige Momentaufnahme.
Hinreichende oder begrenzte Sicherheit? Lesen Sie den Absatz mit der Auffassung und den genannten Standard (achten Sie auf ISAE 3000).
Deckt der Umfang Metadaten ab, nicht nur Aktivitätsprotokolle? Und deckt er die Serverflotte ab, nicht nur die Apps?
Wer ist der Prüfer? Eine anerkannte Bestätigungs- oder Sicherheitsfirma, ausdrücklich genannt, nicht anonymisiert.
Ist die Infrastruktur RAM-only oder plattenlos? Eine echte Grenze dessen, was nach Beschlagnahme oder Neustart fortbestehen kann.
Wurde die Behauptung je in der realen Welt getestet? Öffentliche Fälle von Beschlagnahme, Vorladung oder Durchsuchungsbefehl sind der Goldstandard des Beweises.
Welche Gerichtsbarkeit gilt, und wo stehen die Server tatsächlich? Gemessen an der realen Datenpraxis des Anbieters, nicht nur an der Flagge.
Die praktische Erkenntnis
Eine unabhängige No-Logs-Prüfung ist ein echtes und wertvolles Signal, aber sie ist ein Beleg, kein Urteil. Sie beweist, dass ein definierter Umfang von Systemen, an einem definierten Datum, mit einer angegebenen Beschreibung übereinstimmte, auf einem angegebenen Sicherheitsniveau. Sie kann nicht beweisen, dass nichts vor dem Prüfer verborgen wurde, dass die Konfiguration auch eine Woche später noch hielt oder dass das Unternehmen, dem Sie heute vertrauen, morgen dasselbe ist.
Gewichten Sie also die Dinge, die einer Prüfung standhalten: eine aktuelle, wiederholte Prüfung mit hinreichender Sicherheit nach einem genannten Standard und veröffentlichtem Bericht; eine RAM-only-Infrastruktur, die begrenzt, was fortbestehen kann; eine klare, Metadaten einschließende Protokollierungsrichtlinie; eine sinnvolle Gerichtsbarkeit; und, am besten von allem, ein dokumentierter Fall, in dem ein Durchsuchungsbefehl oder eine Beschlagnahme ins Leere lief. Behandeln Sie das grüne Häkchen als Anfang Ihrer Sorgfaltsprüfung, nicht als deren Ende.
Häufig gestellte Fragen
Was bedeutet eine No-Logs-VPN-Prüfung in einfachen Worten?
Sie bedeutet, dass eine unabhängige Firma eine definierte Auswahl der Systeme und Datenverarbeitungspraktiken des Anbieters an einem bestimmten Datum überprüft und eine Auffassung dazu abgegeben hat, ob die Protokollierungsbehauptungen des Anbieters zutreffend dargestellt sind. Es ist eine abgegrenzte, zeitlich befristete Bewertung, keine dauerhafte Garantie, dass der Anbieter niemals etwas protokollieren kann. Der Wert hängt stark vom Umfang, vom Datum und vom Sicherheitsniveau ab.
Sind No-Logs-VPN-Prüfungen vertrauenswürdig?
Sie sind nützlich, aber begrenzt. Prüfungen werden vom Anbieter beauftragt und bezahlt, decken nur einen vereinbarten Umfang ab und erfassen meist einen einzelnen Zeitpunkt. Eine glaubwürdige Prüfung ist aktuell, wird von einer anerkannten Firma nach einem genannten Standard wie ISAE 3000 durchgeführt und vollständig veröffentlicht. Begegnen Sie einem nicht veröffentlichten oder jahrealten Siegel mit Skepsis, und denken Sie daran: Ein Prüfer kann kein Protokollierungssystem finden, das der Anbieter vor ihm verbirgt.
Was sind RAM-only-VPN-Server, einfach erklärt?
RAM-only- (oder plattenlose) Server betreiben das gesamte Betriebssystem und die VPN-Software aus flüchtigem Speicher, ohne angeschlossene Festplatte. Da der RAM bei Stromverlust gelöscht wird, überdauern keine Daten einen Neustart oder die physische Beschlagnahme einer vom Netz getrennten Maschine. Sie verhindern jedoch nicht, dass ein laufender Server Daten in Echtzeit verarbeitet, sie begrenzen also die Datenpersistenz, statt jedes Protokollierungsrisiko zu beseitigen.
Was ist der Unterschied zwischen Verbindungsprotokollen und Aktivitätsprotokollen?
Aktivitätsprotokolle erfassen, was Sie online tun: besuchte Websites, DNS-Anfragen sowie Inhalte oder Ziele des Datenverkehrs. Verbindungsprotokolle sind Metadaten: Zeitstempel, Sitzungsdauer, genutzte Bandbreite und Ihre Ursprungs-IP. Die meisten "wir protokollieren nicht"-Behauptungen beziehen sich auf Aktivitätsprotokolle, während sie bei den Verbindungsmetadaten vage bleiben — also bei genau den Daten, die einen Nutzer tatsächlich mit einer Handlung in Verbindung bringen könnten.
Was ist eine unabhängige VPN-Prüfung, erklärt im Vergleich zum Penetrationstest?
Eine unabhängige No-Logs-Prüfung beurteilt, ob die beschriebenen Datenverarbeitungspraktiken eines Anbieters zutreffend dargestellt sind, oft auf dem Niveau "begrenzter Sicherheit". Ein Penetrationstest sondiert Apps und Infrastruktur aktiv auf ausnutzbare Schwachstellen. Sie beantworten unterschiedliche Fragen, sodass eines das andere nicht ersetzen kann. Ein starker Anbieter beauftragt beides bei namentlich genannten, seriösen Firmen und veröffentlicht die Berichte.
Wurde die No-Logs-Behauptung eines VPN je tatsächlich von der Polizei getestet?
Ja. Im April 2023 erschien die schwedische Polizei mit einem Durchsuchungsbefehl im Göteborger Büro von Mullvad und zog ohne Beschlagnahme von Hardware wieder ab, nachdem ihr gezeigt worden war, dass das Unternehmen keine Kundendaten speichert. Zuvor stellten türkische Behörden, die 2017 einen ExpressVPN-Server beschlagnahmten, Berichten zufolge keine Protokolle sicher, und Private Internet Access erklärte vor einem US-Gericht, es habe keine Nutzungsprotokolle zur Herausgabe. Diese realen Tests sind ein stärkerer Beleg als jedes Prüfsiegel.
Ist die Gerichtsbarkeit eines VPN wichtiger als seine Prüfung?
Sie messen Unterschiedliches. Die Gerichtsbarkeit (etwa die Mitgliedschaft in den Five, Nine oder Fourteen Eyes) bestimmt die rechtlichen Werkzeuge, die eine Regierung einsetzen kann, einschließlich Vorratsdatenspeicherung und Schweigeanordnungen. Aber die Prüfung und die tatsächliche Infrastruktur sagen Ihnen, welche Daten überhaupt existieren, die angefordert werden könnten. Ein datenschutzfreundlicher Hauptsitz bedeutet wenig, wenn Server oder Personal anderswo sitzen, daher sollten verifizierte technische Praktiken mehr Gewicht haben als die Flagge auf der Startseite.
