Ein Warrant Canary ist eine Erklärung, die ein Unternehmen regelmäßig auf seiner Webseite veröffentlicht: dass es keinen geheimen Gerichtsbeschluss, keinen National Security Letter, keine Schweigeanordnung und keine vergleichbare Behördenanfrage erhalten hat. Verschwindet diese Erklärung oder wird sie nicht mehr aktualisiert, ist genau das Fehlen das Signal: etwas hat sich geändert.
Der Name kommt aus dem Bergbau. Bergleute nahmen Kanarienvögel mit in die Stollen, weil die Tiere empfindlicher auf giftige Gase reagieren als Menschen. Starb der Vogel, war das das Zeichen zum Rückzug. Ein Warrant Canary funktioniert gleich: nicht das Vorhandensein, sondern das Verschwinden ist die Warnung.
Warum VPNs Warrant Canaries nutzen
In vielen Ländern, allen voran die USA, können Behörden Datenanfragen mit einer Schweigeanordnung verbinden. Das Unternehmen darf dann nicht öffentlich sagen, dass es überhaupt eine Anfrage bekommen hat. National Security Letters sind das bekannteste Beispiel: Wer einen erhält, darf das nicht verraten.
Bekommt ein VPN-Anbieter so eine Anordnung, die ihn zwingt heimlich Logging-Software zu installieren oder Nutzerdaten herauszugeben, kann er die Nutzer nicht direkt warnen. Er kann aber aufhören, seinen Warrant Canary zu aktualisieren. Aufmerksame Nutzer, die auf dieses Fehlen achten, schließen daraus, dass etwas passiert ist.
Die rechtliche Grundlage ist umstritten. Manche Juristen argumentieren, das Entfernen eines Canary sei eine Art erzwungene Aussage durch Unterlassung, was selbst verfassungsrechtlich heikel sein könnte. In der Praxis nutzen VPNs und Tech-Firmen Warrant Canaries aber seit Jahren, ohne dass dieser Punkt vor Gericht geklärt wurde.
Welche VPNs führen einen Warrant Canary?
ProtonVPN betreibt eine aktive Transparenzbericht-Seite mit Warrant-Canary-Erklärung. Sie wird quartalsweise aktualisiert und sagt ausdrücklich, ob ProtonVPN geheime Anordnungen, FISA-Anfragen oder Ähnliches erhalten hat. Die Schweizer Rechtslage hilft hier: es gibt kein direktes Gegenstück zum US-amerikanischen National Security Letter. ProtonVPN steht in unserer Bewertung bei 4,2/5.
Mullvad führt einen Warrant Canary und eine Transparenzseite. Nach der Polizei-Razzia 2023 bestätigte Mullvad im Transparenzbericht, dass die Razzia stattfand und keine Daten herausgegeben wurden. Das geht über einen Canary hinaus, hin zur direkten Offenlegung. Mullvad liegt bei 4,2/5.
NordVPN veröffentlicht einen regelmäßig aktualisierten Transparenzbericht. Panama, wo NordVPN sitzt, hat keine Geheimdienst-Abkommen mit den USA und kein Pendant zum National Security Letter. Der Canary ist hier rechtlich weniger nötig, wird aber zum Vertrauensaufbau gepflegt. NordVPN ist mit 4,6/5 unser bestbewerteter Anbieter.
Windscribe (3,8/5) führt ausdrücklich einen Warrant Canary und ist in der Datenschutz-Szene für direkte, offene Kommunikation über Behördenkontakte bekannt.
| VPN | Warrant Canary | Jurisdiktion | Bewertung |
|---|---|---|---|
| NordVPN | ja, im Transparenzbericht | Panama | 4,6/5 |
| ProtonVPN | ja, quartalsweise | Schweiz | 4,2/5 |
| Mullvad | ja, plus direkte Offenlegung | Schweden | 4,2/5 |
| Windscribe | ja | Kanada | 3,8/5 |
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Wogegen ein Warrant Canary nicht schützt
Wichtig ist Ehrlichkeit über die Grenzen. Ein Canary nützt nur, wenn drei Bedingungen stimmen.
Sie beobachten ihn. Verschwindet der Canary und niemand schaut hin, fällt es nicht auf.
Der Anbieter handelt in gutem Glauben. Ein Canary ist nur sinnvoll, wenn das Unternehmen ihn tatsächlich entfernt, sobald es muss, statt einen falschen Canary unter Geheimhaltung weiterzuführen. Von außen lässt sich das nicht prüfen.
Die Rechtslage trägt. Gerichte haben nicht abschließend entschieden, ob ein falscher Canary als Falschaussage gilt oder ob das Entfernen eine erzwungene Aussage darstellt. Das ist von Land zu Land verschieden.
Gegen folgende Dinge hilft ein Canary nicht: eine künftige Logging-Pflicht, der das Unternehmen nach Entfernen des Canary nachkommt (das Signal sagt nur, dass sich etwas geändert hat, es verhindert die Datensammlung nicht). Einen Anbieter, der einer geheimen Anordnung folgt und den Canary still entfernt, ohne darauf aufmerksam zu machen. Und Metadaten-Analyse durch Gegner mit Zugang zu Ihrem ISP, egal ob der Canary intakt ist.
Wie man einen Warrant Canary praktisch nutzt
Den Ort kennen. Die meisten VPNs veröffentlichen ihren Transparenzbericht auf einer eigenen Seite. Setzen Sie ein Lesezeichen.
Regelmäßig prüfen. Quartalsweise reicht für die meisten. Wer besonders sensibel ist, prüft monatlich.
Wissen, worauf man achtet. Eine Canary-Erklärung lautet sinngemäß: “Stand [Datum] hat [Firma] keine National Security Letters, FISA-Anordnungen, geheimen Gerichtsbeschlüsse oder ähnliche Anfragen mit Schweigepflicht erhalten.” Fehlt diese Aussage oder ist sie veraltet, lohnt ein genauer Blick.
Mit der Jurisdiktion zusammendenken. Ein Canary von einem US-Anbieter ist rechtlich relevanter als einer aus Panama oder der Schweiz, weil diese Länder von NSL-artigen Anordnungen kaum betroffen sind. Mehr dazu in unserer Erklärung zu Five Eyes, Nine Eyes und VPN-Jurisdiktion.
Braucht ein VPN ohne Logs überhaupt einen Canary?
Berechtigte Frage. Führt ein Anbieter wirklich keine Logs, läuft eine Behördenanordnung ins Leere, weil es schlicht nichts herauszugeben gibt. Mullvad hat das in der Praxis bewiesen, nachzulesen in was die Polizei-Razzia bei Mullvad wirklich gezeigt hat.
Am wichtigsten ist ein Canary für VPNs, die selbst unter No-Log-Politik noch Metadaten haben könnten, oder wo die Jurisdiktion geheime Anordnungen wahrscheinlicher macht. Für einen No-Log-Dienst mit reinem RAM-Betrieb in Panama oder der Schweiz ist der Canary ein nützliches Transparenzsignal, aber operativ weniger kritisch als für einen US-Anbieter.
Warrant Canaries sind ein nützliches Transparenzwerkzeug, aber kein Ersatz für auditierte No-Log-Politik oder eine starke Jurisdiktion. Die glaubwürdigsten Canaries führen ausgerechnet die Anbieter mit der stärksten Datenschutz-Architektur: ProtonVPN (4,2/5), Mullvad (4,2/5) und NordVPN (4,6/5). Ein Canary von einem Anbieter in schlechter Jurisdiktion, der Metadaten speichert, sagt weniger aus als einer von einem No-Log-Anbieter in einem datenschutzfreundlichen Land.