Mullvad VPN hat im Mai 2026 eine Fingerprinting-Schwachstelle offengelegt, die es Websites ermöglichen konnte, die Aktivität eines Nutzers über verschiedene Mullvad-Server hinweg zu verknüpfen, und damit genau den Datenschutzvorteil eines Serverwechsels zur Trennung von Sitzungen untergrub. Ein unabhängiger Sicherheitsforscher meldete das Problem am 15. Mai, und Mullvad bestätigte es und veröffentlichte innerhalb weniger Tage eine technische Aufschlüsselung, eine Reaktionsgeschwindigkeit, die für den weiteren Verlauf dieser Geschichte wichtig ist.

Was die Lücke tatsächlich bewirkt

Mullvad weist jedem verbundenen Gerät eine Exit-IP-Adresse aus einem auf dem jeweiligen Server verfügbaren Bereich zu. Laut Mullvads eigener Erklärung und der Berichterstattung von Tom’s Guide ist diese Zuweisung nicht zufällig: Die relative Position eines Geräts innerhalb des IP-Bereichs eines Servers überträgt sich auf ungefähr dieselbe Position bei einem anderen Server. Liegt ein Gerät bei 40 Prozent des Adressbereichs von Server A, landet es auf Server B bei etwa demselben Prozentwert.

Eine Website, die den Datenverkehr eines Nutzers auf zwei verschiedenen Mullvad-Servern beobachtet, könnte diese konstante Positionierung nutzen, um daraus zu schließen, dass beide Sitzungen vom selben Gerät stammen, ganz ohne Cookie, Login oder die echte IP-Adresse des Nutzers zu einem beliebigen Zeitpunkt. Die Lücke legt weder Identität noch echte IP-Adresse offen. Sie widerspricht der konkreten Erwartung, dass ein Serverwechsel einen echten Bruch zwischen Sitzungen schafft.

Warum Mullvads eigene Architektur diese Öffnung schuf

Die meisten VPN-Anbieter weisen jedem Server eine einzige gemeinsame Exit-IP zu. Mullvad betreibt stattdessen pro Server einen Bereich an Exit-Adressen, gezielt um Überlastung einer einzelnen IP zu reduzieren und Massensperrungen durch Streaming- und Betrugserkennungssysteme zu vermeiden. Genau diese als Datenschutz- und Zuverlässigkeitsverbesserung gedachte Designentscheidung machte eine vorhersehbare positionale Zuweisung erst möglich, da die zugrunde liegende Methode zur Adresszuteilung innerhalb des Bereichs serverübergreifend gleich blieb.

Mullvads Reaktion

Mullvad bestätigte das Problem innerhalb weniger Tage nach der Meldung des Forschers öffentlich und veröffentlichte eine vollständige technische Erklärung im eigenen Blog, zusammen mit einer sofort anwendbaren Übergangslösung: sich in der App abmelden, wieder anmelden und neu verbinden regeneriert den WireGuard-Schlüssel des Geräts, was das Muster durchbricht, das das Fingerprinting ermöglichte.

Eine dauerhafte, serverseitige Lösung wird seit der Offenlegung schrittweise ausgerollt und erfordert kein App-Update. Mullvad hat eine Statusseite aktuell gehalten, während die Server nach und nach korrigiert wurden.

Was Mullvad-Nutzer tun sollten

Für die meisten Nutzer erfordert diese Lücke keine Reaktion, sie zählt nur, wenn Sie gezielt Server wechseln, um Ihre Online-Aktivität in nicht verknüpfbare Sitzungen zu trennen. Falls das auf Sie zutrifft, ist die Übergangslösung einfach: App öffnen, abmelden, wieder anmelden, dann mit dem neuen Server verbinden. Das regeneriert Ihren Schlüssel und setzt das Muster zurück, bevor eine neue Sitzung beginnt.

Mullvad VPN testen

Wie unabhängige Forscher solche Lücken überhaupt finden

Diese Art von Schwachstelle wird selten durch automatisierte Sicherheitsscanner entdeckt, sondern meist durch Forscher, die sich gezielt mit der konkreten Architektur eines Dienstes befassen und Verhaltensmuster testen, die für normale Nutzer unsichtbar bleiben. Im Fall von Mullvad bedeutete das, systematisch die IP-Zuweisung über mehrere Server hinweg zu vergleichen und ein statistisches Muster zu erkennen, das bei oberflächlicher Betrachtung nicht auffällt. Genau diese Art unabhängiger, unangekündigter Prüfung, unabhängig von den eigenen internen Audits eines Anbieters, ist ein wichtiger zusätzlicher Kontrollmechanismus in der VPN-Branche, da interne Tests naturgemäß eher das prüfen, wonach der Anbieter selbst sucht.

Was das über Mullvads Ruf beim Datenschutz aussagt

Mullvad hat einen der stärksten Datenschutz-Rufe der Branche, aufgebaut auf Kontoeinrichtung ohne E-Mail, Zahlungsoptionen per Bargeld und Kryptowährung, und einer No-Logs-Richtlinie, die sich 2023 bewährte, als die schwedische Polizei die Büros durchsuchte und nichts zum Beschlagnahmen fand. Diese Lücke ändert nichts an dieser grundlegenden Architektur. Was sie zeigt, ist, dass selbst Anbieter mit wirklich starken Datenschutz-Standardeinstellungen subtile Umsetzungsfehler haben können, die erst bei genauer, unabhängiger Prüfung auffallen, und dass Mullvads Reaktion, schnelle Anerkennung, öffentliche technische Details und eine sofortige nutzerseitige Lösung, nahe an dem liegt, was man von jedem Anbieter bei einer solchen Offenlegung erwarten würde.

Wie verantwortungsvolle Offenlegung funktionieren soll, und warum es hier klappte

Verantwortungsvolle Offenlegung bedeutet, dass ein Forscher das betroffene Unternehmen privat informiert, bevor Details veröffentlicht werden, und ihm so ein Zeitfenster gibt, das Problem zu beheben oder zumindest eine Übergangslösung vorzubereiten, bevor Angreifer oder Neugierige dieselbe Information nutzen können. Genau das geschah hier: Der Forscher informierte Mullvad, Mullvad bestätigte und begann an einer Lösung zu arbeiten, und erst danach wurden die technischen Details öffentlich, zusammen mit Mullvads eigener Erklärung statt nur über externe Berichterstattung. Diese Reihenfolge zählt, weil Mullvad-Nutzer so gleichzeitig vom Problem und einer sofortigen Übergangslösung erfuhren, statt dass sich die Schwachstelle öffentlich verbreitete, während das Unternehmen versuchte aufzuholen. Es ist auch eine nützliche Erinnerung daran, dass eine offengelegte Schwachstelle bei einem VPN-Anbieter diesen nicht automatisch disqualifiziert, wie der Anbieter danach reagiert, sagt mehr über seine Vertrauenswürdigkeit aus als die bloße Existenz des Problems.

Wie sich das in Mullvads bisherige Bilanz einfügt

Das ist nicht die erste öffentliche Prüfung, der sich Mullvad stellen musste, und bisher ist das Unternehmen damit gut umgegangen. Als die schwedische Polizei 2023 im Rahmen einer Strafermittlung das Büro in Göteborg durchsuchte und nach Nutzerdaten suchte, sorgte Mullvads No-Logs-Architektur dafür, dass es nichts herauszugeben gab, ein Ergebnis, das mehr für die Glaubwürdigkeit tat als jedes Marketingversprechen. Die Fingerprinting-Offenlegung folgt demselben Muster: ein echtes Problem, von außen gefunden, schnell anerkannt, und auf Infrastrukturebene behoben, ohne dass Mullvad-Nutzer dem Unternehmen einfach auf sein Wort vertrauen mussten.

Was das für die Wahl zwischen wenigen Exit-IPs und ganzen Bereichen bedeutet

Diese Episode wirft eine interessante Designfrage für die ganze Branche auf: Ist eine einzige gemeinsame Exit-IP pro Server, das gängigere Modell, tatsächlich datenschutzfreundlicher als Mullvads Ansatz mit einem Adressbereich? Auf den ersten Blick ja, da eine einzelne geteilte IP keine positionale Information preisgibt. In der Praxis bringt ein einziger Exit-Punkt pro Server aber eigene Probleme mit sich, etwa eine höhere Wahrscheinlichkeit, von Streaming-Diensten oder Banken kollektiv gesperrt zu werden, sobald ein einzelner Nutzer dieser IP missbräuchlich verwendet. Es gibt hier keine perfekte Lösung, nur unterschiedliche Kompromisse zwischen Anonymität innerhalb eines Servers und Zuverlässigkeit über verschiedene Dienste hinweg, und Mullvads Korrektur zielt darauf ab, die Vorteile der Bereichszuteilung zu behalten, ohne die vorhersehbare Positionierung, die das Fingerprinting ermöglichte.

Der Ablauf der Offenlegung

  • 15. Mai 2026: Ein unabhängiger Sicherheitsforscher meldet Mullvad privat die Fingerprinting-Lücke bei Exit-IPs
  • 20. Mai 2026: Mullvad bestätigt das Problem öffentlich und erklärt, eine Lösung befinde sich in der Testphase
  • 21. Mai 2026: Tom’s Guide und andere Medien berichten über die Offenlegung, zusammen mit Mullvads veröffentlichter technischer Aufschlüsselung und den Übergangsschritten
  • Laufend seit Mitte 2026: Mullvad rollt die dauerhafte, serverseitige Lösung schrittweise im gesamten Netzwerk aus, verfolgbar auf der öffentlichen Statusseite

Sollte das die VPN-Wahl ändern?

Für sich genommen nicht. Die Lücke wurde verantwortungsvoll offengelegt, auf Infrastrukturebene behoben, ohne dass Nutzer über die Übergangslösung hinaus handeln mussten, und legt weder Identitäten noch echte IP-Adressen offen. Es ist eine Erinnerung daran, dass keine Datenschutzaussage eines VPNs allein auf Vertrauen beruhen sollte, unabhängige Audits und öffentliche Offenlegungen von Schwachstellen wie dieser sind genau der Mechanismus, der solche Probleme sichtbar macht, statt sie unentdeckt zu lassen. Siehe unseren Mullvad-Testbericht für die Gesamteinordnung, Lücke inbegriffen.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Unsere Einschätzung

Mullvads Fingerprinting-Lücke bei Exit-IPs war real, aber eng begrenzt: Sie legt weder Identitäten noch IP-Adressen offen, sondern nur die Möglichkeit, Sitzungen serverübergreifend zu verknüpfen, für Nutzer, die sich gezielt auf Serverwechsel zur Trennung verlassen. Mullvads schnelle Offenlegung und die dauerhafte Lösung sind eine angemessene Reaktion, und die Übergangslösung, ab- und wieder anmelden, schließt die Lücke sofort für alle, die sie jetzt brauchen.

Weiterlesen: Mullvad Test 2026 und Schützt ein VPN vor Browser-Fingerprinting?.