Wie verifizieren Sie, dass ein VPN keine Logs führt? 2026

“Wir haben eine strikte No-Logs-Politik” steht im Marketing praktisch jedes VPN. Es ist die häufigste und am wenigsten aussagekräftige Behauptung der Branche. Eine No-Logs-Aussage zu schreiben kostet nichts. Sie zu verifizieren ist eine andere Sache. So bewerten Sie, ob die Behauptung eines VPN etwas wert ist.

Schritt 1: die Datenschutzerklärung genau lesen

Die konkrete Sprache verrät viel. Achten Sie auf einschränkende Formulierungen wie “wir protokollieren keine Browser-Aktivität” (schließt Verbindungs-Metadaten aus), “wir erfassen ggf. anonymisierte Diagnosedaten” (kann de-anonymisierbar sein) oder “wir speichern keine personenbezogenen Daten” (Metadaten können trotzdem gespeichert sein). Eine glaubwürdige Politik zählt jede Datenkategorie explizit auf und bestätigt, dass keine gespeichert wird: keine IPs, keine Verbindungs-Zeitstempel, keine DNS-Anfragen, kein Datenvolumen pro Sitzung. Vage Sprache (“wir respektieren Ihre Privatsphäre”) ist keine No-Logs-Politik, sondern Marketing.

Schritt 2: nach einem unabhängigen Audit suchen

Bei einem Audit prüft eine Drittfirma die echte Server-Infrastruktur und Konfiguration. Glaubwürdig macht es: eine anerkannte Firma (Deloitte, PwC, KPMG, Cure53), ein öffentlich verfügbarer Bericht, geprüfte Server (nicht nur der Richtlinientext), und ein aktuelles Datum (innerhalb der letzten 18 Monate). Nicht zählt: ein Audit, das nur die Apps prüfte, von einer unbekannten Firma, oder Jahre alt ohne Nachfolge. Aktueller Stand: NordVPN sechsmal geprüft (PwC, dann Deloitte), ProtonVPN von KPMG/Securitum, Surfshark und Mullvad von Cure53, ExpressVPN von KPMG. PIA hat kein aktuelles Audit, aber einen gerichtlich getesteten Track Record.

Schritt 3: reale Rechtstests prüfen

Ein Audit ist eine kontrollierte Bewertung. Eine Rechtsforderung ist der echte Test. Wurde der Anbieter mit einem Gerichtsbeschluss konfrontiert, und hatte er Daten herauszugeben? Bekannte Tests: Mullvad (2023): schwedische Polizei durchsuchte mit Beschluss, ging mit leeren Händen. PIA (mehrfach): von US-Gerichten vorgeladen, nichts geliefert. NordVPN (2018): ein Server-Vorfall zeigte, dass keine Nutzerdaten gespeichert waren. Eine saubere Rechtsbilanz ist überzeugender als jedes Audit.

Schritt 4: die technische Infrastruktur verstehen

RAM-Only-Server sind die stärkste technische Umsetzung: nichts wird auf Festplatte gespeichert, alles lebt im Speicher und wird beim Neustart gelöscht. Wird ein Server beschlagnahmt, gibt es nichts abzubilden. Voll umgestellt: NordVPN, ExpressVPN, Surfshark, ProtonVPN. Mullvad nutzt je nach Servertyp eine Mischung. Das Fehlen von RAM-Only bedeutet nicht automatisch Logging, aber selbst eine echte No-Logs-Politik hätte dann nicht den technischen Rückhalt gegen Datenwiederherstellung.

Schritt 5: das Eigentum recherchieren

Wem das VPN gehört, zählt. Zwei große Konsolidierungen: Kape Technologies besitzt ExpressVPN, CyberGhost, PIA und ZenMate (früher im Adware-Geschäft). Nord Security besitzt NordVPN und Surfshark, der Mutterkonzern ist litauisch (EU), auch wenn NordVPN in Panama eingetragen ist. Das macht die Produkte nicht unsicher, aber die Struktur beeinflusst, wer Daten erlangen oder zur Herausgabe gezwungen werden könnte.

Rote und grüne Flaggen

Meiden Sie VPNs mit mehreren roten Flaggen: kein Audit (oder über zwei Jahre alt), vage Richtliniensprache, Sitz in einem Land mit Vorratsdatenspeicherung, undurchsichtiges Eigentum, keine Transparenzberichte. Starke Signale: mehrere Audits benannter Firmen, explizite Liste ausgeschlossener Datentypen, RAM-Only, veröffentlichter Transparenzbericht, gerichtlich getesteter Track Record, unabhängiges Eigentum.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Weiterlesen: Führt NordVPN Logs? und Bestes VPN für Datenschutz 2026.