Surfshark verspricht, keine Logs zu führen. Aber was heißt das konkret, und stimmt es? Die Frage zählt, weil ein VPN, das Ihre Aktivität protokolliert, seinen ganzen Zweck verfehlt. Wir haben Audits, Nutzungsbedingungen und die tatsächlich gespeicherten Daten durchgesehen.
Was Surfshark nicht protokolliert
Laut Datenschutzrichtlinie werden nicht erfasst oder gespeichert:
- IP-Adressen Ihrer Sitzung
- Browserverlauf
- Dauer oder Zeitstempel der VPN-Sitzung
- Bandbreitendaten
- Netzwerk-Traffic oder DNS-Anfragen
- Verbindungslogs
So sieht eine echte No-Logs-Richtlinie auf dem Papier aus. Die Frage ist, ob das Audit sie stützt.
Die Audit-Bilanz
Surfshark wurde zweimal von Cure53 geprüft, einer unabhängigen deutschen Sicherheitsfirma: 2018 und 2021. Die Audits deckten Apps (Android, iOS, Windows, macOS, Browser-Erweiterungen), Server-Infrastruktur und Backend-Systeme ab.
Das Audit von 2021 prüfte gezielt die No-Logs-Infrastruktur und bestätigte, dass die Systeme keine Aktivitätsdaten speichern. 2023 folgte ein Deloitte-Audit der No-Logs-Richtlinie.
Wichtiger Kontext: Surfsharks letztes großes Audit liegt einige Jahre zurück. NordVPN und ProtonVPN haben aktuellere und häufigere Prüfungen. In unserer Datenbank kommt Surfshark auf 4,1/5, was die Qualität der Audits widerspiegelt, aber eine frischere Prüfung würde die Position stärken.
Was Surfshark protokolliert
- E-Mail-Adresse: nötig zum Anlegen eines Kontos
- Zahlungsdaten: von einem externen Dienstleister verarbeitet, nicht von Surfshark gespeichert
- Gerätedaten zur Kontoverwaltung: Gerätetyp und App-Version (nicht mit VPN-Aktivität verknüpft)
- Aggregierte Leistungsdaten: nicht identifizierbare Statistiken
Die E-Mail-Adresse ist der wichtigste Datenpunkt, weil sie das Konto mit einer Identität verbindet. Surfshark bietet keine anonyme Kontoerstellung (anders als Mullvad, das keine E-Mail verlangt). “Keine Logs” heißt: keine Aktivitätslogs, nicht völlige Anonymität.
Niederlande-Jurisdiktion (Nine Eyes)
Surfshark ist in den Niederlanden registriert, einem Mitglied der Nine-Eyes-Allianz. Niederländisches Recht könnte Surfshark zur Beantwortung von Anfragen verpflichten. Die Antwort wäre: die E-Mail-Adresse herausgeben (sofern vorhanden) und bestätigen, dass es keine Aktivitätslogs gibt.
In der Praxis ist kein Fall dokumentiert, in dem Surfshark Nutzerdaten herausgeben musste. Die Jurisdiktion ist weniger ideal als Panama (NordVPN) oder die Schweiz (ProtonVPN), aber die No-Logs-Infrastruktur hält die praktische Wirkung einer Anfrage gering.
RAM-Only-Server
Surfshark betreibt vollständig RAM-Only-Server. Es werden keine Daten auf physische Datenträger geschrieben. Beim Neustart wird alles gelöscht. Forensische Datenrettung aus einem beschlagnahmten Server ist damit unmöglich, der stärkste technische Beleg für eine No-Logs-Umsetzung.
Vergleich der No-Logs-Bilanzen
| VPN | Audit | Prüffirma | RAM-Server | Jurisdiktion |
|---|---|---|---|---|
| Surfshark | Ja (2) | Cure53 | Ja | Niederlande |
| NordVPN | Ja (6) | PwC, Deloitte | Ja | Panama |
| ProtonVPN | Ja (4) | Securitum | Teilweise | Schweiz |
| ExpressVPN | Ja (2) | KPMG | Ja | BVI |
| Mullvad | Ja (4) | Cure53 | Ja | Schweden |
| CyberGhost | Ja (alt) | QSCert | Ja | Rumänien |
CyberGhosts letztes No-Logs-Audit stammt aus 2012, was zeigt, wie ein veraltetes Audit bedeutungslos werden kann. Deshalb zählt die Aktualität. CyberGhost erreicht bei uns nur 3/5 beim No-Logs-Kriterium.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Hat Surfshark je Daten herausgegeben?
Kein dokumentierter Fall existiert. Das ist ein gutes Zeichen, spiegelt aber sowohl die No-Logs-Richtlinie als auch das Fehlen eines großen Rechtsfalls wider. Zum Vergleich: Mullvad wurde 2023 von der schwedischen Polizei durchsucht und gab nichts heraus, weil nichts existierte. NordVPN hatte 2018 einen beschlagnahmten Server, ohne Nutzerdaten. Das sind härtere Tests als das bloße Fehlen von Anfragen. Wie man solche Belege einordnet, erklärt unser Leitfaden No-Logs verifizieren.
Sollten Sie Surfshark vertrauen?
Für normale Nutzer ja. Die Kombination aus glaubwürdigem Cure53-Audit, RAM-Only-Servern und keinen dokumentierten Datenherausgaben macht Surfshark zu einer vertrauenswürdigen Option. Für ernste Datenschutzbedürfnisse (Aktivisten, Journalisten, Nutzer in autoritären Ländern) bieten aktuellere Audits und eine bessere Jurisdiktion mehr Sicherheit. Dann sind NordVPN oder ProtonVPN die bessere Wahl.
Surfsharks No-Logs-Richtlinie ist glaubwürdig, gestützt durch Cure53-Audits und RAM-Only-Server. Die Vorbehalte: Die Audits dürften eine Auffrischung vertragen, die Niederlande liegen in der Nine-Eyes-Allianz, und beim Login wird eine E-Mail erfasst (also keine völlig anonyme Nutzung). Für die meisten Nutzer ist die Richtlinie vertrauenswürdig, beim Preis-Leistungs-Verhältnis (rund 2,75 €/Monat im 2-Jahres-Plan, unbegrenzt Geräte) ist Surfshark stark. Für höchste Ansprüche bieten ProtonVPN oder Mullvad mehr.