ExpressVPN hat einen der ältesten No-Logs-Rufe der Branche. Es ist geprüft, nutzt RAM-Only-Server (TrustedServer) und sitzt auf den British Virgin Islands. Zwei Ereignisse seit 2021 haben das Bild komplizierter gemacht: die Übernahme durch Kape Technologies und ein Mitarbeiter-Fall, der das FBI auf den Plan rief.
Was ExpressVPN nicht protokolliert
Die Datenschutzrichtlinie schließt aus: IP-Adressen, Browserverlauf, Traffic-Ziele oder Metadaten, DNS-Anfragen und Verbindungszeitstempel.
Was ExpressVPN protokolliert
- E-Mail-Adresse bei der Registrierung
- Zahlungsdaten
- Datum (nicht Uhrzeit) der Verbindung
- Gewählter Serverstandort (nicht der konkrete Server)
- Genutzte Bandbreite pro Sitzung
Das ist mehr, als manche Anbieter angeben zu speichern, aber zu wenig, um einen Nutzer oder seine Aktivität zu identifizieren.
TrustedServer: die RAM-Only-Architektur
ExpressVPN führte 2019 seine TrustedServer-Technik ein: RAM-Only-Server, die bei jedem Neustart alle Daten löschen und von einem schreibgeschützten Image booten. PwC hat das unabhängig geprüft.
Das Audit bestätigte, dass TrustedServer wie beschrieben funktioniert und die Server die Nutzerdaten nicht speicherten, von denen die Richtlinie sagt, dass sie es nicht tun.
Der Türkei-Vorfall 2017
ExpressVPNs No-Logs-Behauptung bestand ihren härtesten Test 2017, als türkische Ermittler im Rahmen einer Mordermittlung einen ExpressVPN-Server beschlagnahmten. Auf der Hardware fand sich nichts Verwertbares: keine Verbindungslogs, keine Aktivitätsaufzeichnungen, nichts, was Nutzer mit Sitzungen verband.
Es ist einer der wenigen Fälle weltweit, in denen eine No-Logs-Richtlinie eine physische Beschlagnahmung überstand, nicht nur einen höflichen Rechtsweg. Der Vorfall liegt allerdings vor der TrustedServer-Architektur, die dasselbe Ergebnis seither auch zu einer Frage der Physik macht.
Die Kape-Übernahme
Im September 2021 kaufte Kape Technologies ExpressVPN für 936 Millionen Dollar. Kape besitzt außerdem CyberGhost, Private Internet Access und ZenMate.
Kape hieß früher Crossrider und betrieb bis 2018 eine Plattform zur Verbreitung von Adware und Browser-Hijackern. Der Wechsel zu Kape und der Schwenk zu Sicherheitsprodukten war erheblich, aber die Geschichte gehört zum Kontext.
Die Übernahme änderte Produkt, Richtlinie und Technik nicht sofort. Die Sorge ist struktureller Natur: ExpressVPN steht jetzt unter einem Konzern mit anderer Vorgeschichte und breiteren Verpflichtungen gegenüber Investoren. Wer dem nachgehen will, findet die Konzernkarte in unserem Artikel Wer besitzt Ihr VPN.
Der UAE-Mitarbeiterfall 2021
Im Dezember 2021 wurde bekannt, dass ein früherer ExpressVPN-Mitarbeiter (Daniel Gericke) für einen US-Auftragnehmer an Überwachungsoperationen für die Regierung der Vereinigten Arabischen Emirate beteiligt war, auch gegen US-Bürger. Gericke hatte zuvor bei der NSA gearbeitet.
Das US-Justizministerium teilte mit, Gericke zahle 335.000 Dollar und akzeptiere eine aufgeschobene Strafverfolgung wegen Verstößen gegen Exportkontrollgesetze.
Das warf Fragen zum Insider-Risiko auf. ExpressVPN erklärte, Gericke habe wegen der TrustedServer-Architektur keinen Zugriff auf Nutzerdaten gehabt. Die RAM-Only-Bauweise bedeutet, dass es selbst bei Insider-Zugriff keine gespeicherten Daten gibt.
Vergleich mit Alternativen
| Faktor | ExpressVPN | NordVPN | ProtonVPN |
|---|---|---|---|
| No-Logs-Audit | KPMG (2) | Deloitte (6) | Securitum (4) |
| RAM-Only-Server | Ja | Ja | Teilweise |
| Jurisdiktion | BVI | Panama | Schweiz |
| Mutterkonzern | Kape | Nord Security | Unabhängig |
| Bewertung | 3,7/5 | 4,6/5 | 4,2/5 |
ExpressVPNs technische Datenschutz-Infrastruktur ist solide: TrustedServer ist eine echte RAM-Only-Umsetzung, unabhängig geprüft. Die Vorbehalte sind struktureller, nicht technischer Art. Ein bis zwei KPMG-Audits gegen NordVPNs sechs. Kape-Eigentümerschaft gegen ProtonVPNs unabhängige Schweizer Struktur.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Unsere Einschätzung
Für Nutzer, deren Hauptsorge ISP-Tracking, Streaming und allgemeiner Datenschutz ist, ist ExpressVPN ein brauchbares Produkt. Bei knapp 11,19 €/Monat (rund 4,30 €/Monat im Jahresplan) ist der Preisvorteil allerdings schwach. Wer höhere Datenschutzansprüche hat, findet bei NordVPN und ProtonVPN überzeugendere Audit-Bilanzen und sauberere Eigentümerstrukturen. Wie man No-Logs-Behauptungen selbst prüft, zeigt unser Leitfaden No-Logs verifizieren.
ExpressVPN führt keine Logs, die Nutzer oder ihre Aktivität identifizieren würden. TrustedServer ist technisch robust und geprüft, und der Türkei-Vorfall 2017 ist ein realer Beleg. Die Vorbehalte betreffen Konzernstruktur und Audit-Frequenz, nicht das Produkt selbst. Für maximales Vertrauen: NordVPN (sechs Audits) oder ProtonVPN (Open Source).