Private Internet Access hat seinen dritten unabhängigen No-Logs-Audit bestanden. Deloitte Audit Romania, eine der Big-Four-Prüfgesellschaften weltweit, hat die Serverinfrastruktur und die IT-Managementsysteme von PIA nach dem Standard ISAE 3000 (Revised) geprüft und dabei keine Logs gefunden.
Das Ergebnis deckt sich mit dem, was PIAs Datenschutzrichtlinie schon immer behauptet. Interessant an diesem Audit ist nicht das Ergebnis selbst, sondern die Tatsache, dass PIA sich diesem Verfahren jetzt zum dritten Mal unterzieht.
Was der Deloitte-Audit tatsächlich geprüft hat
Die Prüfung von Deloitte Audit Romania umfasste PIAs laufende VPN-Serverinfrastruktur und die dahinterliegenden IT-Managementsysteme, geprüft nach ISAE 3000 (Revised), dem internationalen Standard für Prüfungsleistungen außerhalb der Finanzberichterstattung. Die Prüfer suchten nach Verbindungslogs, Aktivitätsdaten oder identifizierenden Informationen, die PIAs No-Logs-Richtlinie widersprechen würden.
Sie fanden nichts, weil nichts aufgezeichnet wurde. Das passt zu dem Aufbau, den PIA ohnehin betreibt: “NextGen”-Server, die vollständig im RAM laufen und bei jedem Neustart gelöscht werden, sowie Client-Apps, die vollständig quelloffen auf GitHub liegen, sodass jeder nachprüfen kann, was die Software tatsächlich tut, statt einer Marketingseite zu glauben.
Warum ein dritter Audit mehr zählt als ein erster
Ein einzelner No-Logs-Audit sagt nur, dass die Infrastruktur am Tag der Prüfung sauber war. Ein wiederholter Audit sagt etwas anderes: dass der Anbieter weiterhin externe Kontrolle zulässt, statt auf einen alten Bericht aus früheren Jahren zu verweisen.
PIAs Audit-Geschichte umfasst jetzt 2022, 2024 und diesen jüngsten Fall, der 2026 gemeldet wurde. Drei getrennte Prüfungen, drei saubere Ergebnisse, ohne Lücke, die groß genug wäre, um auf Verzögerungstaktiken hinzudeuten. Genau dieser Rhythmus verdient Aufmerksamkeit. Ein einmaliger Audit kann eine PR-Übung sein, die um eine Finanzierungsrunde oder eine schlechte Nachrichtenlage herum platziert wird. Ein Anbieter, der denselben unbequemen Test immer wieder in Auftrag gibt, obwohl er ohnehin nichts zu verbergen hat, verhält sich genau so, wie man es von einem datenschutzorientierten VPN erwartet.
| Jahr | Prüfer | Standard | Ergebnis |
|---|---|---|---|
| 2022 | Deloitte | No-Logs-Infrastrukturprüfung | Konform mit Richtlinie |
| 2024 | Deloitte | No-Logs-Infrastrukturprüfung | Konform mit Richtlinie |
| 2026 | Deloitte Audit Romania | ISAE 3000 (Revised) | Keine Logs gefunden |
Eine ausführlichere Einordnung, wie sich das zu PIAs gerichtlich geprüfter Geschichte verhält, gibt es in unserem Artikel dazu, ob PIA Logs führt, der die zwei FBI-Vorladungen behandelt, bei denen das Unternehmen nichts vorlegen konnte.
Was ISAE 3000 eigentlich bedeutet
ISAE 3000 (Revised) ist der internationale Standard, den Prüfer für Prüfungsleistungen nutzen, die keine Finanzberichte betreffen, etwa Sicherheitskontrollen, den Umgang mit Daten oder, wie hier, eine No-Logs-Behauptung. Er gehört zur selben Standardfamilie wie SOC-2-Berichte, ist aber nicht identisch damit. Entscheidend für einen VPN-Audit ist, dass ISAE 3000 verlangt, dass der Prüfer ausreichende Nachweise direkt aus den betroffenen Systemen sammelt, statt nur Richtliniendokumente durchzulesen und der Firma zu glauben.
Das ist der Unterschied zwischen einem Papier-Audit und einem Live-Audit. Ein Papier-Audit prüft, ob die Datenschutzrichtlinie in sich stimmig ist. Ein Live-Audit, wie ihn Deloitte hier durchgeführt hat, prüft die tatsächlichen Produktivserver und Managementsysteme gegen diese Richtlinie. Hätten PIAs Ingenieure irgendwo heimlich begonnen, Verbindungsdaten zu protokollieren, wäre genau diese Art von Prüfung darauf gestoßen.
Wie sich das zum Gerichtsprotokoll verhält
PIAs Audit-Geschichte ist nicht der einzige Beleg. Die No-Logs-Behauptung des Unternehmens wurde bereits zweimal vor US-Bundesgerichten getestet, 2016 und 2018, als FBI-Vorladungen identifizierende Daten zu bestimmten Ermittlungen verlangten. Beide Male hatte PIA nichts vorzulegen. Eine Vorladung ist eine andere Art von Test als ein Audit: Sie erfolgt kontradiktorisch, ohne Vorwarnung, und bei Falschangaben drohen echte rechtliche Konsequenzen. Ein Audit dagegen ist geplant und wird von der geprüften Firma bezahlt, weshalb Rhythmus und Unabhängigkeit des Prüfers so viel zählen.
Zusammengenommen ergeben beide Beweisarten ein vollständigeres Bild als jede für sich. Das Gerichtsprotokoll zeigt, dass die No-Logging-Architektur auch dann hielt, als niemand bei PIA vorgewarnt war. Die Deloitte-Audits zeigen, dass dieselbe Architektur über vier Jahre geplanter Prüfungen hinweg konsistent geblieben ist. Die volle Aufarbeitung der Gerichtsfälle liefert unser ausführlicher Artikel dazu, ob PIA Logs führt.
Die Zahlen aus dem Transparenzbericht
PIA hat zusammen mit der Audit-Meldung auch seinen jüngsten quartalsweisen Transparenzbericht veröffentlicht. In den letzten drei Monaten des Jahres 2025 verzeichnete das Unternehmen 30 einzelne Anfragen von Behörden: Vorladungen, Durchsuchungsbeschlüsse, andere behördliche Anfragen sowie ausländische oder informelle Anfragen. In allen 30 Fällen berichtet PIA dasselbe Ergebnis: Die Behörden gingen leer aus, weil keine protokollierten Daten zur Herausgabe existierten.
Diese Zahl zählt, weil es sich nicht um ein Gedankenspiel handelt. Es sind reale Anfragen aus realen Rechtsverfahren, getestet an genau der Infrastruktur, die der Deloitte-Audit gerade geprüft hat. Der Transparenzbericht und der Audit sind zwei verschiedene Beweisarten, die auf dieselbe Schlussfolgerung hinweisen.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Der Kape-Eigentümerkontext, kurz erklärt
PIA gehört Kape Technologies, demselben Mutterkonzern wie ExpressVPN, CyberGhost und ZenMate. Die Konsolidierung der Eigentumsverhältnisse in der VPN-Branche ist generell einen Blick wert, weil sie bestimmt, wer letztlich über Infrastrukturentscheidungen bei mehreren Marken gleichzeitig entscheidet. Im konkreten Fall von PIA sind es die wiederholten Audits und die Open-Source-Apps, die für eine No-Logs-Bewertung zählen. Nichts in den Deloitte-Ergebnissen deutet darauf hin, dass die Kape-Eigentümerschaft die Serverkonfiguration von PIA verändert hätte.
RAM-only-Server und Open-Source-Apps, die andere Hälfte der Geschichte
Ein Audit bestätigt nur das, was die Prüfer an den Tagen gefunden haben, an denen sie hingeschaut haben. Das Infrastrukturdesign ist das, was ein sauberes Ergebnis auch an allen anderen Tagen wahrscheinlich macht. PIAs “NextGen”-Server laufen vollständig im RAM statt auf Festplatte zu schreiben, sodass jeder Neustart den Server löscht. Es gibt keine dauerhafte Logdatei, die irgendwo herumliegt und darauf wartet, beschlagnahmt, vorgeladen oder bei einer Fehlkonfiguration versehentlich stehen gelassen zu werden. Zusammen mit vollständig quelloffenen Client-Apps auf GitHub können nicht nur bezahlte Prüfer, sondern auch unabhängige Forscher nachprüfen, was die Software tatsächlich sendet und speichert.
Nichts davon ist neu für PIAs Audit 2026 im Speziellen. Aber genau dieser Kontext erklärt, warum drei getrennte Deloitte-Prüfungen, vier Jahre auseinander, immer zum selben Ergebnis kommen. Wenn die zugrunde liegende Architektur von vornherein keine Daten speichert, gibt es nichts Neues, das ein neuer Audit finden könnte.
Was das für die VPN-Wahl aus Datenschutzgründen bedeutet
Wenn der Hauptgrund für ein VPN ist, den eigenen Internetanbieter, Netzwerkadministrator oder Werbetreibende von der Nachverfolgung abzuhalten, deckt PIAs Beweislage jetzt drei verschiedene Nachweisarten ab: ein Gerichtsprotokoll, einen wiederholten unabhängigen Audit, und einen quartalsweisen Transparenzbericht, der immer wieder zum selben “nichts herauszugeben”-Ergebnis kommt. Wenige Budget-VPNs können alle drei vorweisen.
Der ehrliche Vorbehalt betrifft die Jurisdiktion. PIA ist ein US-Unternehmen innerhalb der Five Eyes, ein struktureller Fakt, den kein Audit ändert. Wer ein Bedrohungsmodell mit einem staatlichen Akteur hat, der ihn gezielt ins Visier nimmt, sollte das gegen Anbieter mit Sitz in der Schweiz oder Panama abwägen. Für die meisten Nutzer, die sich vor gewöhnlicher ISP-Überwachung und öffentlichem WLAN schützen wollen, reichen die Zahlen aus Audit und Transparenzbericht mehr als aus.
Was das für PIAs Gesamtbewertung bedeutet
PIA erreicht in unserer Vergleichstabelle aktuell 3,7 von 5, hinter Kategoriesiegern wie NordVPN (4,6/5) und ProtonVPN (4,3/5) bei Gesamtfunktionen und Streaming, aber die Datenschutz-Nachweise sind für den Preis stark. Bei rund 3,33 $/Monat im Ein-Jahres-Plan bleibt PIA eine der günstigsten Möglichkeiten, ein VPN mit wiederholt geprüfter No-Logs-Behauptung und unbegrenzten Geräteverbindungen zu bekommen.
Wer PIA gegen einen höher bewerteten Allrounder abwägt: NordVPN gewinnt weiterhin bei Streaming und Geschwindigkeit, aber PIAs Audit-Geschichte hält inzwischen glaubwürdig mit Anbietern mit, die zwei- bis dreimal so viel kosten.
Unser Fazit
Drei Audits derselben Prüfungskategorie über vier Jahre hinweg, dazu ein Transparenzbericht, der die gleiche Geschichte dazwischen bestätigt, ist ein stärkeres Signal als jeder einzelne saubere Bericht für sich. Das ändert nichts an PIAs Gesamtwertung in unserer Tabelle, da die Datenschutz-Grundlagen dort bereits eingeflossen sind, aber es beseitigt letzte Zweifel bei Käufern, die auf eine zweite oder dritte Meinung gewartet haben, bevor sie der No-Logs-Behauptung trauen.
PIAs dritter aufeinanderfolgender No-Logs-Audit, diesmal von Deloitte Audit Romania nach ISAE 3000, bestätigt, was Gerichtsprotokoll und Transparenzberichte schon gezeigt haben: Es gibt nichts zu loggen, weil nichts geloggt wird. Die Wiederholung ist die eigentliche Nachricht, nicht das Ergebnis selbst. Zusammen mit RAM-only-Servern und Open-Source-Apps ist PIAs Datenschutz-Nachweis so überprüfbar wie bei kaum einem anderen Budget-VPN am Markt.
Quellen: TechRadar und der Blogbeitrag von PIA zum Datenschutz-Audit.
Weiterlesen: Private Internet Access im Test 2026 und ProtonVPN besteht SOC 2 Typ II und vierten No-Logs-Audit 2026.