Auditiert

Ein Siegel, vier verschiedene Prüfgegenstände

„Geprüft“ ist das am häufigsten missbrauchte Wort im VPN-Marketing, weil es einen Prozess benennt, nicht den Umfang. 100% von 37 Anbietern auf dieser Seite haben laut unseren Aufzeichnungen einen Audit durchlaufen; die Unterschiede zwischen diesen Audits sind größer als zwischen vielen Anbietern selbst. Drei Faktoren definieren sie: Was geprüft wurde (App, Infrastruktur, Policy), wann die Prüfung stattfand und ob der vollständige Bericht öffentlich ist.

Die tatsächlich veröffentlichten Audits

Die nützlichen Berichte sind lesbar: Mullvad veröffentlicht seine App-Audit-Berichte mit Ergebnissen und Daten[1], ergänzt durch eine Android-Bewertung aus 2026[2]; Proton VPNs Prüfung durch Securitum zielte direkt auf die No-Logs-Architektur ab[3]; PIAs Audit 2024 umfasste die Backend-Infrastruktur[4]. Achte auf das Gemeinsame: benannter Prüfer, klarer Umfang, öffentliches Dokument. Fehlt eines davon, verliert das Siegel an Aussagekraft.

Regelmäßigkeit zählt mehr als Größe

Die überzeugendste Audit-Historie in unserem Ranking gehört nicht der größten Marke, sondern dem Anbieter, der wiederholt prüfen lässt. Mullvads Serie reicht vom App-Audit 2024 bis zur Android-Bewertung 2026[2], mit Infrastrukturprüfungen dazwischen; IVPN veröffentlicht jährliche Audits mit Datumsangaben auf seiner Transparenzseite. Im Vergleich dazu stehen Anbieter, die nur einmalig bei der Markteinführung prüfen lassen und das Ergebnis ewig nutzen. Wenn du zwei geprüfte Anbieter vergleichst, gewinnt bei uns der mit der längeren Serie – Audit-Häufigkeit ist eine Betriebsgewohnheit, und genau das kaufst du. Fehlt die Serie komplett, zeigt der Warrant-Canary-Hub die andere Transparenzoption, die du prüfen kannst.

Der Fehler, den das Siegel verdeckt

NordVPNs Datenleck 2018 ist der klassische Fall: App-Audits existierten, und trotzdem wurde ein gemieteter Server im Rechenzentrum kompromittiert, wodurch geheime Schlüssel öffentlich wurden, die 2019 auftauchten[6]. Krebs zeigte später dieselben Phantom-Kontomuster bei Avast[5]. Die Audits deckten beides nicht auf, weil sie nicht darauf ausgelegt waren – der Umfang betraf Client und Policy, nicht das Server-Portfolio des Anbieters. Wenn du ein Siegel bewertest, bewerte auch, was es nicht abdeckt.

Empfohlene Vorgehensweise

Öffne die Seite des Anbieters in unserem Ranking, folge den Audit-Links und prüfe drei Dinge: das Jahr des jüngsten Audits, den geprüften Gegenstand und ob der Bericht herunterladbar ist. Prüfe danach den Eigentümer – ein Audit, das von einem Konzern in Auftrag gegeben wurde, der auch Review-Seiten betreibt[7], verdient dieselbe Skepsis wie jedes selbst ausgestellte Zertifikat. Denk schließlich daran, wo Audits in der Hierarchie stehen: unterhalb eines gerichtlich bestätigten Falls, weshalb der Court-Proven-Hub und diese Seite gemeinsam die höchste Stufe der Beweiskette abdecken. Wenn du über ein Homepage-Siegel hierher gekommen bist, zeigt der No-Logs-Hub dir, wie dieselbe Behauptung aussieht, wenn die Beweiskraft geringer ist.