Audits und No-Logs-Versprechen: Was sie beweisen und was nicht
Was ein No-Logs-Versprechen zusagt, was ein externes Audit prüft, wo seine Grenzen liegen und welche Audits die Anbieter im Archiv auf ihren eigenen Websites beschreiben.

Das Wichtigste
- Eine No-Logs-Richtlinie ist das Versprechen eines Anbieters, nicht aufzuzeichnen, was du online tust.
- Ein Audit ist eine Prüfung durch eine externe Firma. Es zeigt den Stand zum Zeitpunkt der Prüfung, in dem Umfang, den der Anbieter beauftragt hat.
- Ein veröffentlichtes Audit hat das Archiv bisher bei 6 von 13 Anbietern erfasst, so wie sie es beschreiben. Bei den übrigen ist noch keines erfasst, was nicht heißt, dass es keines gibt.
Welche Audits es gibt
| Art | Was sie prüft | Typische Grenze |
|---|---|---|
| No-Logs-Prüfung | ob Server und Systeme so eingerichtet sind, wie die Richtlinie sagt | ein Zeitpunkt; der vollständige Bericht ist oft nur für Kunden einsehbar |
| Infrastruktur-Audit | die Sicherheit von Servern und Netzen | findet Schwachstellen, beweist aber nicht, dass nichts gespeichert wird |
| App-Audit | die Sicherheit der Apps | gilt für eine Version einer App |
| Protokoll-Audit | Aufbau und Code eines VPN-Protokolls | sagt nichts darüber, wie die Server betrieben werden |
Was die Anbieter hier beschreiben
Das Folgende stammt von den Websites der Anbieter, jeweils mit Link zur Quelle:
ExpressVPN: Das Trust Center nennt 28 externe Audits; KPMG prüfte die Datenschutzzusagen zuletzt im Juni 2025.
IVPN: Lässt jährlich ein Sicherheitsaudit von Cure53 durchführen; das achte Audit war für Juli 2026 angesetzt.
Mullvad: Veröffentlicht externe Sicherheitsaudits in seinem Blog; die jüngsten aufgeführten stammen aus Januar, März und Juni 2026.
Private Internet Access: Sein Blog beschreibt drei Prüfungen der VPN-Infrastruktur durch Deloitte Audit Romania; die ersten beiden fanden 2022 und 2024 statt.
Proton VPN: Lässt die No-Logs-Richtlinie jährlich von Securitum prüfen; das fünfte Audit wurde 2026 veröffentlicht.
Surfshark: Das Trust Center nennt externe Prüfungen, darunter No-Logs-Prüfungen durch Deloitte 2023 und 2025 (der vollständige Bericht nur für Kunden) sowie Infrastruktur-Audits durch SecuRing (2025) und Cure53 (2026).
Was ein Audit nicht beweisen kann
- Die Zukunft. Ein System kann sich am Tag nach der Prüfung ändern.
- Was außerhalb des Auftrags lag. Ein Audit deckt nur ab, was der Anbieter prüfen ließ.
- Was unter Druck geschieht. Behörden können nach dem Recht am Firmensitz Daten anfordern. Manche Anbieter verweisen auf Gerichtsverfahren, in denen sie keine Daten herausgeben konnten; das sind ihre eigenen Angaben.
Wie du das als Käufer gewichtest
Ein Audit ist ein Signal, keine Garantie. Achte darauf, wie aktuell es ist, wer es gemacht hat, was es abdeckt und ob der Bericht öffentlich ist. Kombiniere es mit Fakten, die du selbst prüfen kannst: wo die Firma sitzt, wem sie gehört und was ihre eigene Website lädt. Wie das geht, zeigt Wem gehört dein VPN?.
Keine Bewertung: Diese Seite bewertet keine Audits. Sie hält fest, was jeder Anbieter angibt, mit Link zur Quelle und dem Datum der Prüfung.
Nächster Schritt
Deine Privatsphäre endet nicht beim VPN. Lies Mehr als VPN: private E-Mail.
Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 17. Oktober 2026.
Mit den Daten des Archivs prüfen
- VPN-Dienste und Anbieter: Standorte, Messungen, Preise
- VPN-Finder: Welcher VPN-Anbieter ist der beste für dich?
Weiterlesen: Mehr als VPN: Private E-Mail mit Proton Mail und HushmailAlle Ratgeber