Am 5. Januar 2026 behauptete ein Hacker auf BreachForums, er habe den Salesforce-Entwicklungsserver von NordVPN geknackt. Innerhalb von 24 Stunden reagierte NordVPN. Die Kurzfassung: Es gab keinen Einbruch in Produktivsysteme, keine Kundendaten wurden offengelegt, und die “geleakten” Dateien stammten aus einer Testumgebung, die seit sechs Monaten nicht mehr aktiv war.
Trotzdem lohnt sich ein genauer Blick. Der Fall zeigt, wo VPN-Anbieter angreifbar bleiben, auch wenn ihre No-Logs-Architektur solide ist.
Was der Hacker behauptet hat
Der Beitrag auf BreachForums lief unter dem Alias “1011” und trug den Titel “nordvpn.com SalesForce - leaked, Download!”. Die Behauptung war groß: Salesforce-API-Keys, Jira-Tokens und Quellcode aus mehr als 10 Datenbanken. Der Angreifer gab an, er sei über ein falsch konfiguriertes System per Brute-Force in die Umgebung gelangt.
Wäre das wahr, wäre es ernst gewesen. API-Keys und interne Tokens können Türen zur Produktivinfrastruktur öffnen. Quellcode-Leaks geben Angreifern eine Landkarte, um Schwachstellen zu finden, bevor jemand sie patcht. Die Security-Community schaute genau hin.
BleepingComputer berichtete noch am selben Tag, TechRadar lieferte Kontext nach. Mehrere Medien hielten den Beitrag für plausibel genug, dass eine direkte Stellungnahme von NordVPN angebracht war.
NordVPNs Reaktion: isoliert, abgelaufen, nie verbunden
NordVPN war schnell. Die offizielle Stellungnahme bestätigte: Die Dateien stammten von einer automatisierten Test-Plattform eines Drittanbieters, die NordVPN sechs Monate zuvor testweise evaluiert hatte. Kein Vertrag wurde unterschrieben. Der Test endete. Die Umgebung war nie mit Produktivsystemen verbunden.
Die geleakten Dateien enthielten Dummy-Daten. Test-Zugangsdaten. Platzhalter-Tokens. Nichts, was mit echten Kundenkonten oder aktiver Infrastruktur zu tun hatte.
NordVPN bestätigte außerdem eine abgeschlossene forensische Analyse, die keinerlei Anzeichen für eine Kompromittierung von Produktivumgebungen fand.
Das ist die richtige Reaktion im richtigen Tempo. Man vergleiche das mit anderen Firmen: tagelanges Schweigen, vage PR-Statements oder gar keine Reaktion. NordVPN benannte das Problem, erklärte den technischen Kontext und legte eine forensische Prüfung vor. Diese Transparenz verdient Anerkennung.
Warum No-Logs Nutzer schützt, aber nicht alles
Hier kommt der Teil, der für jeden zählt, der ein VPN aus Datenschutzgründen wählt.
NordVPNs No-Logs-Politik ist unabhängig geprüft. Selbst wenn ein Angreifer Zugriff auf die echten Produktivserver bekäme, fände er keinen Browserverlauf, keine Verbindungslogs, keine IP-Adressen, die mit Nutzeraktivität verknüpft sind. Die RAM-only-Architektur macht das noch schwerer auszunutzen. Am Ort, der am meisten zählt, gibt es nichts zu stehlen.
VPN-Anbieter betreiben aber weit mehr als nur VPN-Tunnel. Da sind Abrechnungssysteme, Support-Plattformen, Integrationen von Drittanbietern, Entwickler-Tools und Cloud-Testkonten in Salesforce-Umgebungen. Dieses Ökosystem ist die eigentliche Angriffsfläche, und No-Logs schützt davon nichts.
Die BreachForums-Behauptung vom Januar 2026 war FUD. Die Daten waren Dummy-Daten aus einem abgelaufenen Test. Niemand kam zu Schaden. Aber das beschriebene Szenario, ein Angreifer, der API-Keys und Jira-Tokens aus einer falsch konfigurierten Dev-Umgebung zieht, ist genau die Art Vorfall, die anderswo echten Schaden angerichtet hat.
Wären die Keys aktiv gewesen oder die Testumgebung mit der Produktion verbunden, dann hätte diese Geschichte anders geendet.
So liest man VPN-Leak-Behauptungen kritisch
BreachForums-Beiträge sind kein Beweis für einen Einbruch. Es sind Behauptungen, oft mit dem Ziel, Aufmerksamkeit zu erzeugen, Daten zu verkaufen oder dem Ruf eines Konkurrenten zu schaden. Wenn so etwas auftaucht, hilft eine Handvoll konkreter Fragen.
Erstens: Wurden die behaupteten Daten von einem unabhängigen Dritten überprüft? Hier sichteten BleepingComputer und andere die Samples. Ihr Urteil deckte sich mit NordVPNs: Die Daten sahen nach Testumgebung aus, nicht nach Produktivdaten.
Zweitens: Antwortete der Anbieter mit technischen Details oder nur mit PR? NordVPN benannte den genauen Ursprung der Dateien, erklärte den Testzeitraum und bestätigte die Isolation. Das ist eine technische Antwort, keine Schönfärberei.
Drittens: Gibt es Hinweise auf Kundendaten im Leak? Keine Kontodaten, keine Verbindungslogs, keine Zahlungsdaten tauchten im Beitrag auf. Bei einem behaupteten Einbruch bei einem VPN mit Millionen Nutzern zählt diese Abwesenheit.
Viertens: Was war der echte Angriffsweg? Brute-Force gegen eine falsch konfigurierte Testumgebung eines Drittanbieters ist eine reale Technik, aber etwas ganz anderes als die Kompromittierung der Kerninfrastruktur. Beides gleichzusetzen, ist ein gängiger Trick, um die Aufregung zu maximieren.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Was der Vorfall wirklich zeigt
Für NordVPN-Nutzer ist das im Wesentlichen eine gute Nachricht. Die No-Logs-Architektur hielt. Kundendaten waren nie in Gefahr. Das Unternehmen reagierte transparent und legte eine Forensik vor.
Die weniger bequeme Erkenntnis: Auch ein gut geführter Sicherheitsbetrieb hat Drittanbieter-Integrationen, Testkonten und Entwicklungsumgebungen, die zum Ziel werden können. Das Risiko liegt nicht im VPN-Tunnel selbst. Es liegt in der Geschäftsinfrastruktur drumherum.
NordVPN ist da keine Ausnahme. Jeder große VPN-Anbieter nutzt Salesforce, Jira, Zendesk, AWS und Dutzende weitere Plattformen. Jede davon ist ein möglicher Einstiegspunkt. Die Frage ist nicht, ob diese Dienste existieren (sie tun es überall), sondern ob sie richtig abgegrenzt sind, abgeschaltet werden, wenn man sie nicht mehr braucht, und von der Produktion isoliert bleiben. In diesem Fall war die Testumgebung isoliert, der Test abgelaufen, die Daten gefälscht.
Wenn Sie NordVPN nutzen, gibt Ihnen dieser Vorfall keinen Grund, etwas zu ändern. Ihre Browserdaten waren nie Teil der Behauptung, und die Forensik bestätigte, dass keine Produktivsysteme berührt wurden. Wer VPN-Anbieter nach Sicherheit bewertet: Breach-Behauptungen treffen jeden großen Anbieter. Der Maßstab ist, wie sie damit umgehen.
Das FUD-Problem in der VPN-Berichterstattung
Ein größeres Thema sei hier benannt. BreachForums-Beiträge über große VPN-Anbieter erzeugen enormen Traffic. Die Schlagzeile “NordVPN gehackt” reist schneller als die Korrektur “NordVPN bestätigt Dummy-Daten aus abgelaufenem Test”. Bis die Forensik veröffentlicht ist, sind die meisten, die die erste Schlagzeile sahen, längst weiter.
Das ist ein strukturelles Problem der Sicherheits-Berichterstattung, nicht spezifisch für diesen Fall. Es schafft Anreize für Bedrohungsakteure, unbestätigte Behauptungen zu posten, weil selbst eine halbe Panik wertvoll ist. Gerade in der VPN-Branche, wo Vertrauen das Produkt ist, kann der Imageschaden eines glaubwürdig klingenden Beitrags jedes Dementi überdauern. Das Gegenmittel ist genau das, was NordVPN tat: schnelle, konkrete, technische Transparenz. Und Leser, die Behauptungen als Behauptungen behandeln, nicht als Fakten.
Die BreachForums-Behauptung gegen NordVPN vom Januar 2026 war kein Einbruch. Die Dateien stammten aus einer isolierten Testumgebung eines Drittanbieters, enthielten nur Dummy-Daten und hatten keine Verbindung zu Produktivsystemen oder Kundendaten. NordVPNs Reaktion war schnell und technisch detailliert, die Forensik fand nichts. Für Nutzer ist kein Handeln nötig. Die größere Lektion bleibt: No-Logs schützt Ihre VPN-Daten, beseitigt aber nicht die Angriffsfläche rund um jedes große Software-Unternehmen.
Weiterlesen: Führt NordVPN Logs? Was die Audits wirklich sagen und NordVPN Klage wegen automatischer Verlängerung 2026.
Quellen: BleepingComputer, TechRadar, NordVPN Blog.