Zo controleer je de no-logs-claim van een VPN: 5 tests

Hoe controleer je de no-logs-claim van een VPN? Je kunt de servers niet inspecteren, maar je kunt wel testen hoeveel bewijs achter de belofte staat: lees wat het beleid werkelijk zegt, zoek naar een genoemde auditor en een rapport, kijk wat die audit omvatte en wanneer, zoek naar tests in de praktijk zoals invallen en rechtszaken, en kijk wie eigenaar is van het bedrijf en hoe het met slecht nieuws is omgegaan.

Dit is belangrijk, want een VPN ziet alles wat je internetprovider vroeger zag. In de gids van de EFF over het kiezen van een VPN staat het duidelijk: een VPN verbergt je browsegedrag voor je provider, maar de VPN-aanbieder kan het allemaal zien¹. En er wordt gewaarschuwd: “Zelfs als een bedrijf beweert geen verbindingsgegevens bij te houden, is dat geen garantie voor goed gedrag.”¹ De vijf tests hieronder gebruiken echte voorbeelden van de aanbieders die we behandelen, waaronder een geval waarin de claim niet klopte.

Wat betekent “no logs” eigenlijk?

Meestal betekent het dat de VPN niet vastlegt wat je via de tunnel doet, noch iets wat een verbinding aan jou koppelt. Bijna nooit betekent het dat het bedrijf helemaal geen gegevens opslaat.

Er zijn twee grote soorten logs. Activiteitslogs leggen vast wat je doet: bezochte sites, DNS-opzoekingen, gedownloade bestanden. Verbindingslogs leggen metadata over de sessie vast: je echte IP-adres, de VPN-server die je gebruikte, wanneer je verbond en hoelang, en hoeveel data je verplaatste. Een VPN die geen activiteitslogs maar wel verbindingslogs bijhoudt, kan iemand nog steeds helpen je aan een handeling te koppelen als die het IP-adres van de server en het tijdstip kent. Dat is precies wat er gebeurde in de PureVPN-zaak hieronder. Elke VPN bewaart bovendien enkele account- en betaalgegevens, omdat het je moet kunnen factureren.

Test 1: Wat staat er echt in het privacybeleid?

Lees het beleid, niet de homepage. Een betrouwbaar beleid noemt wat er wordt bewaard, hoelang en waarom; een zwak beleid zet “no logs” in grote letters en noemt verderop “verbindingsgegevens” of “gebruiksgegevens” zonder uitleg.

De EFF merkt op dat een VPN-bedrijf je gegevens kan loggen als het dat niet specifiek uitsluit in zijn privacybeleid¹. Zoek dus naar expliciete uitsluitingen. Het beleid van Mullvad is een bruikbaar voorbeeld van het detailniveau dat je mag verwachten. Daarin staat dat er “geen logging van verbindingen is, ook niet van het moment waarop een verbinding wordt gemaakt of verbroken, de duur ervan, of welk tijdstempel dan ook”², en geen logging van IP-adressen of DNS-verzoeken. Daarna volgt wat het wel bewaart: het accountnummer en de vervaldatum, betaalgegevens die per betaalmethode verschillen, en gegevens die het volgens de Zweedse boekhoudregels zeven jaar moet bewaren. Het aantal live verbindingen per account wordt alleen in het geheugen bijgehouden. Je vindt misschien niet elk punt op die lijst prettig, maar je kunt het wel zien.

Vergelijk dat met wat TorrentFreak in 2017 ontdekte. PureVPN presenteerde zich als een dienst zonder logs, maar in het privacybeleid stond dat de servers automatisch verbindingstijden en bandbreedte vastlegden³. Toen de FBI een man uit Massachusetts onderzocht voor een cyberstalkingcampagne, kon PureVPN de agenten vertellen dat één klant de dienst had gebruikt vanaf twee IP-adressen, één thuis en één op zijn werk. In het beleid stond ook beloofd dat het geen gegevens bewaarde “waarmee een specifieke activiteit aan een specifieke gebruiker kan worden gekoppeld”. Beide uitspraken waren technisch waar, en samen waren ze genoeg om een verdachte te identificeren. PureVPN zei later dat het zijn beleid had aangepast en onafhankelijk had laten auditen; op de no-log-pagina⁴ staat nu dat het niet het oorspronkelijke IP-adres, het toegewezen VPN-IP-adres of de verbindingstijd van een gebruiker logt.

Test 2: Heeft een genoemde auditor het gecontroleerd, en kun je het rapport lezen?

Een auditclaim betekent weinig zonder een genoemd bedrijf, een datum en een rapport of samenvatting die je kunt openen. Als een aanbieder zegt dat hij "onafhankelijk is geauditeerd" maar niet wil zeggen door wie, beschouw de claim dan als niet geverifieerd.

De EFF beschrijft de waarde hiervan: VPN-aanbieders kunnen hun dienst laten onderwerpen aan beveiligingsaudits door derden, waarvan de resultaten vervolgens openbaar worden gemaakt¹. Meerdere aanbieders die wij behandelen doen precies dat:

Een paar details uit die tabel zijn het opmerken waard. Proton linkt al zijn vijf Securitum-rapporten, van 2022 tot 2026, vanaf één pagina¹¹, waardoor je de claim zo zelf kunt nagaan. De eerste twee assurance-opdrachten van NordVPN, in 2018 en 2020, werden uitgevoerd door PwC¹² voordat het overstapte naar Deloitte. De eigen no-logs-pagina van PIA noemt Deloitte-audits in 2022, 2024 en 2025¹³, de laatste afgerond op 19 december 2025, maar PIA geeft de volledige rapporten aan klanten¹⁴ in plaats van ze openbaar te publiceren. PureVPN is het lastigste geval. In 2020 publiceerde het een bericht met de titel "KPMG Validates PureVPN No-Log Claims"¹⁵, maar de huidige no-log-pagina⁴ beschrijft een beoordeling van februari 2023 door een niet bij naam genoemd "well known audit firm" en noemt PureVPN een "always-on audit VPN" die dat bedrijf zonder aankondiging kan controleren. Als de huidige auditor niet wordt genoemd en het rapport niet openbaar is, kun je de reikwijdte niet beoordelen. Geef het dan minder gewicht dan een rapport dat je zelf kunt lezen.

Test 3: Wat omvatte de audit, en wanneer?

Controleer drie dingen: of de audit naar één moment of een periode keek, of de no-logs-claim werd getest of de algemene beveiliging, en hoe oud de audit is. Audits verschillen op alle drie sterk.

Eén dag, of maandenlang?

De meeste no-logs-audits van VPN's zijn assurance-opdrachten volgens een standaard die ISAE 3000 heet, en veel ervan beschrijven de situatie op één datum. Het KPMG-rapport van ExpressVPN uit 2025 controleerde hoe de no-logs-controles waren opgezet per 28 februari 2025⁷. Het Deloitte-rapport van PIA beschreef serverconfiguraties per 30 juni 2022⁸. De auditor van Proton beschrijft zijn review van 2026 als een momentopname die een steekproef van servers beslaat⁵. Een momentopname laat zien dat de controles die dag goed waren ingericht. Het zegt minder over de vraag of ze het hele jaar zo draaiden. Een opdracht die test hoe controles over een periode werkten, in assurance-taal vaak "Type 2" genoemd, is sterker bewijs, dus let op die formulering als je een rapport leest.

No-logs-audit of beveiligingsaudit?

Die beantwoorden verschillende vragen. De Cure53-audit van Mullvad uit 2024 testte de beveiliging van één OpenVPN- en één WireGuard-stagingserver¹⁰ en de deploymentcode, vond één middelzwaar en één licht probleem (beide verholpen) en geen manier om de anonimiteit van gebruikers te doorbreken. Dat is waardevol en het is bewijs over hoe de servers zijn opgebouwd, maar het is geen rapport dat als no-logs-verificatie is betiteld. Beschouw beide soorten als nuttig en verwar ze niet met elkaar.

Hoe recent?

De enige no-logs-audit van IVPN was die van Cure53 in 2019, en het bedrijf zegt dat het geen verdere no-logs-audits zal laten uitvoeren en in plaats daarvan vertrouwt op jaarlijkse beveiligingsaudits⁹. Dat is een verdedigbaar standpunt dat openlijk wordt uitgedragen, maar het betekent dat je voor die specifieke claim op ouder bewijs leunt. Ook een recente, schone audit is een momentopname: de EFF merkt op dat er geen zekerheid is dat de werkwijze na de audit niet verandert, zeker niet als een overheid daartoe dwingt¹.

Test 4: Heeft de claim een test in de praktijk doorstaan?

Het sterkste bewijs is wat er gebeurde toen iemand met wettelijke bevoegdheden aanklopte: een inval, het in beslag nemen van een server of een dagvaarding in een rechtszaak. Die zijn zeldzaam en je kunt ze niet regelen, maar als ze openbaar bekend zijn, wegen ze zwaarder dan welke audit ook.

• Mullvad, 2023. De Zweedse politie kwam met een huiszoekingsbevel naar het kantoor van Mullvad in Göteborg om computers met klantgegevens in beslag te nemen. Mullvad zegt dat zulke gegevens niet bestonden¹⁶, en de agenten vertrokken zonder iets mee te nemen.
• ExpressVPN, 2017. Turkse autoriteiten namen een ExpressVPN-server in beslag tijdens het onderzoek naar de moord op de Russische ambassadeur. ExpressVPN zei dat inspectie ervan geen bruikbare informatie opleverde¹⁷ omdat het geen verbindingslogs bijhoudt.
• Private Internet Access, 2016. In een strafzaak in Florida over valse bommeldingen legde de FBI PIA een dagvaarding op. Volgens de strafklacht, zoals gemeld door TorrentFreak, was de enige informatie die PIA kon geven dat de gebruikte IP-adressen van de oostkust¹⁸ van de VS afkomstig waren. (TorrentFreak maakte bekend dat PIA een van zijn sponsors was.) In een federaal hackingproces in San Jose in 2018 verklaarde de general counsel van PIA dat PIA geen logs bijhoudt¹⁹ van de internetactiviteit van klanten.
• Windscribe, 2025. Griekse aanklagers vervolgden de CEO van Windscribe persoonlijk nadat een van de servers in Finland naar verluidt was gebruikt bij een inbraak in 2023. De zaak werd op 11 april 2025 geseponeerd²⁰, waarbij Windscribe zei geen logs te hebben die het kon overhandigen. Windscribe zegt ook dat het van een account alleen de laatste gebruiksdatum en een bandbreedtetotaal over 30 dagen²¹ bewaart.
• PureVPN, 2017: het tegenvoorbeeld. Zoals beschreven bij test 1 hielpen de verbindingsgegevens van PureVPN de FBI³ om een verdachte van cyberstalking te koppelen aan zijn IP-adressen thuis en op het werk, ondanks de no-logs-marketing.

Tests in de praktijk kunnen ook de grenzen van de wet laten zien in plaats van die van de aanbieder. In 2021 werd Proton door een bindend Zwitsers bevel, naar aanleiding van een verzoek van de Franse politie via Europol, gedwongen om het IP-adres van een Franse activist te loggen²² op Proton Mail, zijn e-maildienst. De CEO van Proton zei dat Zwitserse wetgeving niet op dezelfde manier kan worden gebruikt om VPN-logging af te dwingen. Het punt voor jou is dat een aanbieder een no-logs-belofte alleen kan nakomen voor zover de wet in het land waar hij actief is dat toestaat. De EFF maakt hetzelfde punt: de aanbieder valt onder de wetten van die landen, inclusief wetten over verzoeken van overheden¹.

Test 5: Wie is de eigenaar, en hoe ging het bedrijf om met slecht nieuws?

Een no-logs-belofte is zo goed als het bedrijf dat hem doet. Zoek uit wie de aanbieder bezit, waar hij juridisch gevestigd is, en hoe snel en eerlijk hij eerdere incidenten openbaar heeft gemaakt.

• Snelheid van openbaarmaking. In maart 2018 kreeg een aanvaller toegang tot één NordVPN-server in een datacenter in Finland, via een onveilig remote-managementsysteem dat de datacenteraanbieder had achtergelaten. NordVPN zei dat de server geen logs van gebruikersactiviteit bevatte, maar de inbreuk werd in oktober 2019 openbaar²³, ongeveer anderhalf jaar later.
• Eigenaarswisselingen. Kape Technologies, vroeger Crossrider genoemd, kocht ExpressVPN in 2021²⁴ voor ongeveer $936 miljoen en bezit ook Private Internet Access en CyberGhost. Een nieuwe eigenaar erft de no-logs-belofte, en de audits van vóór de verkoop beschrijven het oude bedrijf.
• Recente incidenten. In 2026 maakte Surfshark bekend dat een verkeerd geconfigureerde interne testserver vanaf het internet was benaderd²⁵, samen met een proxyserver. Het zegt dat de productie-infrastructuur van de VPN en klantgegevens niet zijn getroffen. Hoe een bedrijf zo'n incident uitlegt, en wat het daarna doet, zegt veel.

Geen van deze feiten sluit een aanbieder op zich uit. Datalekken overkomen ook zorgvuldige bedrijven en eigenaarswisselingen komen gewoon voor. Waar het om gaat, is of het bedrijf je er snel en duidelijk over informeert. De EFF voegt daar een menselijke toets aan toe: "Als de VPN is opgezet door mensen die bekend zijn in de informatiebeveiligingsgemeenschap, is de kans groter dat hij betrouwbaar is."¹

Hoe passen deze controles bij elkaar?

Geen enkele test bewijst dat een VPN geen logs bijhoudt. Een aanbieder die alle vijf de tests doorstaat, heeft meer vertrouwen verdiend dan een aanbieder die alleen "no logs" in grote letters roept.

Zo gebruik je ze snel. Begin met test 1: is het beleid vaag, dan stop je hier. Zoek daarna een genoemde auditor (test 2) en controleer de reikwijdte en de datum (test 3). Zoek de naam van de aanbieder samen met "raid", "seizure", "subpoena" of "court" om bewijs voor test 4 te vinden, en lees de incidentgeschiedenis (test 5). Onze reviews van Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe en PureVPN verzamelen dit bewijs per aanbieder, met bronnen, en in ons overzicht van no-logs-VPN's zie je ze naast elkaar.

Twijfel je nog of je überhaupt een VPN nodig hebt? Begin dan met Heb ik een VPN nodig?. Overweeg je een gratis VPN, lees dan eerst gratis versus betaalde VPN's: bij gratis diensten falen deze tests het vaakst.