So prüfst du die No-Logs-Zusage eines VPN: 5 Tests

Wie prüfst du die No-Logs-Zusage eines VPN? Du kannst seine Server nicht untersuchen, aber du kannst testen, wie viele Belege hinter dem Versprechen stehen: Lies, was die Richtlinie tatsächlich sagt, such nach einem namentlich genannten Auditor und einem Bericht, prüfe, was dieses Audit abgedeckt hat und wann es stattfand, such nach Tests aus der Praxis wie Razzien und Gerichtsverfahren und prüfe, wem das Unternehmen gehört und wie es mit schlechten Nachrichten umgegangen ist.

Das ist wichtig, weil ein VPN alles sieht, was früher dein Internetanbieter gesehen hat. Der EFF-Ratgeber zur Wahl eines VPN sagt es deutlich: Ein VPN verbirgt dein Surfen zwar vor deinem Provider, aber der VPN-Anbieter sieht alles¹. Und er warnt: „Selbst wenn ein Unternehmen behauptet, keine Verbindungsdaten zu speichern, ist das keine Garantie für gutes Verhalten.“¹ Die fünf Tests unten nutzen echte Beispiele der von uns behandelten Anbieter, darunter eines, bei dem die Zusage nicht gehalten hat.

Was bedeutet „No Logs“ eigentlich?

Meist heißt es, dass das VPN nicht aufzeichnet, was du durch den Tunnel tust, und auch nichts, was eine Verbindung auf dich zurückführt. Fast nie heißt es, dass das Unternehmen überhaupt keine Daten speichert.

Es gibt zwei grobe Arten von Logs. Aktivitäts-Logs zeichnen auf, was du tust: besuchte Websites, DNS-Abfragen, heruntergeladene Dateien. Verbindungs-Logs zeichnen Metadaten der Sitzung auf: deine echte IP-Adresse, den genutzten VPN-Server, wann du dich verbunden hast und wie lange, wie viele Daten du übertragen hast. Ein VPN, das keine Aktivitäts-Logs, wohl aber Verbindungs-Logs führt, kann trotzdem dabei helfen, dich mit einer Handlung in Verbindung zu bringen, wenn jemand Server-IP und Zeitpunkt kennt; genau das ist im PureVPN-Fall unten passiert. Jedes VPN speichert außerdem einige Konto- und Zahlungsdaten, weil es dir ja etwas berechnen muss.

Test 1: Was steht tatsächlich in der Datenschutzrichtlinie?

Lies die Richtlinie, nicht die Startseite. Eine vertrauenswürdige Richtlinie nennt, was gespeichert wird, wie lange und warum; eine schwache schreibt groß „No Logs“ und erwähnt „Verbindungsdaten“ oder „Nutzungsdaten“ weiter unten, ohne sie zu erklären.

Die EFF weist darauf hin, dass ein VPN-Unternehmen deine Daten möglicherweise speichert, wenn es dies in seiner Datenschutzrichtlinie nicht ausdrücklich ausschließt¹. Achte also auf ausdrückliche Ausschlüsse. Die Richtlinie von Mullvad ist ein gutes Beispiel für den Detailgrad, den du erwarten kannst. Sie nennt „keine Protokollierung von Verbindungen, auch nicht, wann eine aufgebaut wird, wann sie getrennt wird, wie lange sie dauert oder irgendeine Art von Zeitstempel“² sowie keine Protokollierung von IP-Adressen oder DNS-Anfragen. Dann listet sie auf, was sie speichert: die Kontonummer und deren Ablaufdatum, Zahlungsdetails, die je nach Zahlungsmethode variieren, und Unterlagen, die sie nach schwedischem Buchführungsrecht sieben Jahre aufbewahren muss. Die Zahl der aktuellen Verbindungen pro Konto wird nur im Arbeitsspeicher gehalten. Nicht jeder Punkt auf dieser Liste muss dir gefallen, aber du kannst sie sehen.

Vergleiche das mit dem, was TorrentFreak 2017 herausfand. PureVPN warb damit, keine Logs zu speichern, aber in der Datenschutzrichtlinie stand, dass seine Server Verbindungszeiten und Bandbreite automatisch aufzeichneten³. Als das FBI gegen einen Mann aus Massachusetts wegen einer Cyberstalking-Kampagne ermittelte, konnte PureVPN den Ermittlern mitteilen, dass ein Kunde den Dienst von zwei IP-Adressen aus genutzt hatte, einer bei ihm zu Hause und einer bei seinem Arbeitgeber. Die Richtlinie hatte außerdem versprochen, dass keine Aufzeichnungen geführt würden, „die eine bestimmte Aktivität einem bestimmten Nutzer zuordnen könnten“. Beide Aussagen waren technisch wahr, und zusammen reichten sie aus, um einen Verdächtigen zu identifizieren. PureVPN erklärte später, die Richtlinie geändert und unabhängig geprüft zu haben; die No-Log-Seite⁴ besagt jetzt, dass es weder die Ursprungs-IP eines Nutzers noch die zugewiesene VPN-IP oder die Verbindungszeit speichert.

Test 2: Hat ein namentlich genannter Prüfer es kontrolliert, und kannst du den Bericht lesen?

Eine Audit-Behauptung sagt wenig ohne eine namentlich genannte Firma, ein Datum und einen Bericht oder eine Zusammenfassung, die du öffnen kannst. Wenn ein Anbieter behauptet, er sei „unabhängig geprüft“ worden, aber nicht sagt, von wem, behandle die Behauptung als nicht verifiziert.

Die EFF beschreibt den Wert davon: VPN-Anbieter können ihren Dienst Sicherheitsaudits durch Dritte unterziehen, deren Ergebnisse dann veröffentlicht werden¹. Mehrere der von uns behandelten Anbieter tun genau das:

Ein paar Details aus dieser Tabelle sind bemerkenswert. Proton verlinkt alle fünf seiner Securitum-Berichte von 2022 bis 2026 auf einer Seite¹¹, sodass du die Aussage leicht selbst überprüfen kannst. Die ersten beiden Assurance-Prüfungen von NordVPN in den Jahren 2018 und 2020 wurden von PwC durchgeführt¹², bevor der Anbieter zu Deloitte wechselte. Auf der No-Logs-Seite von PIA sind Deloitte-Audits aus den Jahren 2022, 2024 und 2025¹³ aufgeführt, das jüngste wurde am 19. Dezember 2025 abgeschlossen, doch PIA gibt die vollständigen Berichte an Kunden weiter¹⁴, statt sie öffentlich zu veröffentlichen. PureVPN ist der schwierigste Fall. 2020 veröffentlichte das Unternehmen einen Beitrag mit dem Titel „KPMG Validates PureVPN No-Log Claims“¹⁵, doch auf der aktuellen No-Log-Seite⁴ ist von einer Prüfung im Februar 2023 durch eine nicht genannte „well known audit firm“ die Rede, und PureVPN wird als „always-on audit VPN“ bezeichnet, das die Prüfgesellschaft ohne Vorankündigung kontrollieren kann. Wenn der aktuelle Prüfer nicht genannt wird und der Bericht nicht öffentlich ist, lässt sich sein Umfang nicht beurteilen. Gewichte ihn deshalb geringer als einen Bericht, den du selbst lesen kannst.

Test 3: Was hat das Audit abgedeckt, und wann?

Prüfe drei Dinge: ob das Audit einen einzelnen Zeitpunkt oder einen Zeitraum betrachtet hat, ob es die No-Logs-Behauptung oder die allgemeine Sicherheit getestet hat und wie alt es ist. Audits unterscheiden sich in allen drei Punkten stark.

Ein Tag oder Monate?

Die meisten No-Logs-Audits von VPN-Anbietern sind Prüfungen mit hinreichender Sicherheit nach dem Standard ISAE 3000, und viele beschreiben den Zustand an einem einzigen Stichtag. Der KPMG-Bericht 2025 zu ExpressVPN hat geprüft, wie die No-Logs-Kontrollen zum 28. Februar 2025⁷ ausgelegt waren. Der Deloitte-Bericht zu PIA beschrieb die Serverkonfigurationen zum 30. Juni 2022⁸. Der Prüfer von Proton bezeichnet seine Prüfung 2026 als Stichtagsprüfung anhand einer Stichprobe von Servern⁵. Eine Stichtagsprüfung zeigt dir, dass die Kontrollen an diesem Tag korrekt eingerichtet waren. Ob sie das ganze Jahr über auch so gelaufen sind, sagt sie weniger aus. Eine Prüfung, die testet, wie die Kontrollen über einen Zeitraum hinweg funktioniert haben, in der Prüfungssprache oft „Type 2“ genannt, ist der stärkere Nachweis. Achte beim Lesen eines Berichts also auf diese Formulierung.

No-Logs-Audit oder Sicherheitsaudit?

Diese beantworten unterschiedliche Fragen. Mullvads Cure53-Audit von 2024 testete die Sicherheit von einem OpenVPN- und einem WireGuard-Staging-Server¹⁰ sowie des Deployment-Codes, fand ein mittleres und ein geringes Problem (beide behoben) und keine Möglichkeit, die Anonymität von Nutzern zu kompromittieren. Das ist wertvoll und ein Hinweis darauf, wie die Server aufgebaut sind, aber es ist kein Bericht, der als No-Logs-Verifizierung betitelt ist. Betrachte beide Arten als nützlich und verwechsle sie nicht.

Wie aktuell?

IVPNs einziges No-Logs-Audit stammt von Cure53 aus dem Jahr 2019, und das Unternehmen sagt, es werde keine weiteren No-Logs-Audits in Auftrag geben und sich stattdessen auf jährliche Sicherheitsaudits stützen⁹. Das ist eine vertretbare, offen erklärte Position, bedeutet aber, dass du dich für die konkrete Behauptung auf ältere Belege verlässt. Selbst ein aktuelles, einwandfreies Audit ist eine Momentaufnahme: Die EFF weist darauf hin, dass nicht sicher ist, dass die Praktiken nach dem Audit nicht geändert werden, besonders wenn eine Regierung dazu zwingt¹.

Test 4: Hat die Behauptung einen Praxistest überstanden?

Der stärkste Beleg ist, was passiert ist, als jemand mit rechtlicher Befugnis vorstellig wurde: eine Razzia, die Beschlagnahme eines Servers oder eine Vorladung in einem Gerichtsverfahren. Das ist selten und lässt sich nicht herbeiführen, aber wenn es aktenkundig ist, wiegt es mehr als jedes Audit.

• Mullvad, 2023. Schwedische Polizisten kamen mit einem Durchsuchungsbeschluss in Mullvads Büro in Göteborg, um Computer mit Kundendaten zu beschlagnahmen. Mullvad sagt, solche Daten existierten nicht¹⁶, und die Beamten zogen ab, ohne etwas mitzunehmen.
• ExpressVPN, 2017. Türkische Behörden beschlagnahmten einen ExpressVPN-Server bei den Ermittlungen zur Ermordung des russischen Botschafters. ExpressVPN erklärte, die Untersuchung habe keine nützlichen Informationen ergeben¹⁷, weil es keine Verbindungsprotokolle führt.
• Private Internet Access, 2016. In einem Strafverfahren in Florida wegen falscher Bombendrohungen erließ das FBI eine Vorladung gegen PIA. Laut der Strafanzeige, wie TorrentFreak berichtete, konnte PIA nur die Information liefern, dass die verwendeten IP-Adressen von der Ostküste¹⁸ der USA stammten. (TorrentFreak legte offen, dass PIA einer seiner Sponsoren war.) In einem Bundesverfahren wegen Hackings 2018 in San Jose sagte der General Counsel von PIA aus, dass PIA keine Logs¹⁹ über die Internetaktivität der Kunden führt.
• Windscribe, 2025. Griechische Staatsanwälte klagten den CEO von Windscribe persönlich an, nachdem einer der Server des Anbieters in Finnland angeblich bei einem Einbruch im Jahr 2023 genutzt worden war. Der Fall wurde am 11. April 2025 eingestellt²⁰, Windscribe erklärte, es habe keine Logs zum Herausgeben gehabt. Windscribe gibt außerdem an, pro Konto nur das Datum der letzten Nutzung und eine 30-Tage-Bandbreitensumme²¹ zu speichern.
• PureVPN, 2017: das Gegenbeispiel. Wie in Test 1 beschrieben, halfen PureVPNs Verbindungsprotokolle dem FBI³, einen Cyberstalking-Verdächtigen seinen IP-Adressen zu Hause und bei der Arbeit zuzuordnen, trotz des No-Logs-Marketings.

Praxistests können auch die Grenzen des Rechts statt die des Anbieters zeigen. 2021 wurde Proton durch eine bindende Schweizer Anordnung, nach einem französischen Polizeiersuchen über Europol, gezwungen, die IP-Adresse eines französischen Aktivisten²² bei Proton Mail, dem E-Mail-Dienst, zu protokollieren. Protons CEO sagte, das Schweizer Recht lasse sich nicht auf dieselbe Weise nutzen, um VPN-Logging zu erzwingen. Für dich bedeutet das: Ein Anbieter kann ein No-Logs-Versprechen nur so weit halten, wie das Recht des Landes, in dem er tätig ist, es erlaubt. Die EFF macht denselben Punkt: Der Anbieter unterliegt den Gesetzen dieser Länder, einschließlich der Gesetze zu Behördenanfragen¹.

Test 5: Wem gehört er, und wie ist er mit schlechten Nachrichten umgegangen?

Ein No-Logs-Versprechen ist nur so gut wie das Unternehmen dahinter. Finde heraus, wem der Anbieter gehört, wo er rechtlich ansässig ist und wie schnell und ehrlich er frühere Vorfälle offengelegt hat.

• Offenlegungstempo. Ein Angreifer verschaffte sich im März 2018 Zugriff auf einen NordVPN-Server in einem Rechenzentrum in Finnland, über ein unsicheres Fernwartungssystem, das der Rechenzentrumsbetreiber hinterlassen hatte. NordVPN sagte, auf dem Server hätten keine Nutzeraktivitätsprotokolle gelegen, doch der Einbruch wurde im Oktober 2019 öffentlich²³, etwa anderthalb Jahre später.
• Eigentümerwechsel. Kape Technologies, früher Crossrider genannt, kaufte ExpressVPN 2021²⁴ für etwa 936 Millionen $ und besitzt außerdem Private Internet Access und CyberGhost. Ein neuer Eigentümer erbt das No-Logs-Versprechen, und die Audits vor dem Verkauf beschreiben das alte Unternehmen.
• Jüngste Vorfälle. 2026 gab Surfshark bekannt, dass auf einen falsch konfigurierten internen Testserver aus dem Internet zugegriffen worden war²⁵, ebenso auf einen Proxy-Server. Es sagt, die produktive VPN-Infrastruktur und Kundendaten seien nicht betroffen gewesen. Wie ein Unternehmen einen solchen Vorfall erklärt und was es danach tut, sagt viel aus.

Keine dieser Tatsachen schließt einen Anbieter von vornherein aus. Sicherheitsvorfälle passieren auch sorgfältigen Unternehmen, und Eigentümerwechsel sind normal. Entscheidend ist, ob das Unternehmen dich schnell und klar darüber informiert. Die EFF ergänzt einen menschlichen Test: „Wenn das VPN von Personen gegründet wurde, die in der Informationssicherheits-Community bekannt sind, ist es wahrscheinlicher vertrauenswürdig.“¹

Wie passen diese Prüfungen zusammen?

Kein einzelner Test beweist, dass ein VPN keine Logs speichert. Ein Anbieter, der alle fünf besteht, hat sich mehr Vertrauen verdient als einer, der nur in großen Buchstaben „No Logs“ schreibt.

So gehst du am besten vor: Beginne mit Test 1 – ist die Richtlinie vage, hörst du hier auf. Suche dann nach einem namentlich genannten Prüfer (Test 2) und prüfe Umfang und Datum (Test 3). Suche den Namen des Anbieters zusammen mit „Razzia“, „Beschlagnahme“, „Vorladung“ oder „Gericht“, um Belege für Test 4 zu finden, und lies die Vorfallshistorie (Test 5). In unseren Tests zu Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe und PureVPN sammeln wir diese Belege für jeden Anbieter samt Quellen, und unser No-Logs-Vergleich stellt sie nebeneinander.

Wenn du noch überlegst, ob du überhaupt ein VPN brauchst, beginne mit Brauche ich ein VPN?, und wenn du ein kostenloses in Betracht ziehst, lies zuerst kostenlose vs. bezahlte VPNs: Bei kostenlosen Diensten fallen diese Tests am häufigsten durch.