Für möglichst wenig personenbezogene Kontodaten ist Mullvad die auffälligste Wahl, während Proton VPN bei Open-Source-Apps, veröffentlichten Prüfungen und einer auf Datenschutz ausgerichteten Gesamtstruktur überzeugt. NordVPN und ExpressVPN stützen ihre Datenschutzversprechen ebenfalls durch wiederholte externe Prüfungen. Private Internet Access und Surfshark bieten nachvollziehbare Schutzmerkmale, verlangen aber jeweils eine eigene Abwägung bei Rechtsstandort, Kontodaten und Funktionsumfang.
Keiner dieser Dienste macht Dich vollständig anonym. Ein VPN verschlüsselt die Verbindung bis zum VPN-Server und verbirgt Deine IP-Adresse gegenüber besuchten Seiten. Logins, Cookies, Browser-Fingerprints, Zahlungsdaten und Informationen aus Deinem Kundenkonto können Dich trotzdem identifizierbar machen. Der Vergleich muss sich daher auf nachprüfbare Datenschutzmerkmale beziehen, nicht auf absolute Werbeversprechen.
Das Vergleichsraster: Sechs Dienste nach denselben Maßstäben
Serverzahlen, Streaming-Kataloge und kurzfristige Rabatte sagen wenig über den Schutz persönlicher Daten aus. Für die Privatsphäre sind fünf andere Punkte maßgeblich: Welche Daten entstehen bei der Registrierung, wie belastbar ist die No-Logs-Aussage, welche Teile wurden extern geprüft, welche Schutzfunktionen verhindern unbeabsichtigte Lecks und unter welcher Rechtsordnung arbeitet der Anbieter?
| Anbieter | Kontodaten | Nachweise und Transparenz | Technischer Schutz | Wichtige Grenze |
|---|---|---|---|---|
| Proton VPN | Klassisches Konto; kostenloser Tarif verfügbar | Open-Source-Apps, veröffentlichte Prüfungen und No-Logs-Erklärung | Kill Switch; Secure Core für Mehrfachrouting | Konto-, Zahlungs- und Supportdaten sind von VPN-Verkehrsdaten zu unterscheiden |
| Mullvad | Kontonummer statt klassischer E-Mail-Pflicht; anonyme Zahlungswege möglich | Veröffentlichte Sicherheitsprüfungen | Datensparsame Kontostruktur und übliche Leckschutz-Funktionen | Kein identisch aufgebauter formaler No-Logs-Nachweis wie bei allen Wettbewerbern |
| NordVPN | Klassisches Kundenkonto | Wiederholte externe Prüfungen der No-Logs-Zusagen | NordLynx auf WireGuard-Basis, Kill Switch und Mehrfachrouting | Zusatzfunktionen reduzieren nicht die Bedeutung von Konto- und Zahlungsdaten |
| ExpressVPN | Klassisches Kundenkonto | Wiederholte Prüfungen von Datenschutz- und Sicherheitszusagen | TrustedServer-Konzept und Leckschutz-Funktionen | Prüfungen bestimmter Systeme beweisen keine vollständige Anonymität |
| Private Internet Access | Klassisches Kundenkonto | No-Logs-Prüfungen und Transparenzberichte | Kill Switch und moderne VPN-Protokolle | US-Rechtsstandort kann bei einem strengen Bedrohungsmodell gegen den Dienst sprechen |
| Surfshark | Klassisches Kundenkonto | Extern geprüfte No-Logs-Aussage | Kill Switch und Nutzung auf unbegrenzt vielen Geräten | Die unbegrenzte Gerätezahl ist praktisch, aber kein Datenschutzbeleg |
Diese Einordnung entspricht dem Informationsstand vom 18. Oktober 2026. Audits sind Momentaufnahmen mit einem festgelegten Prüfungsumfang. In den Trust-Centern, Transparenzbereichen und Datenschutzrichtlinien der Anbieter kannst Du nachsehen, welches System in welchem Zeitraum geprüft wurde. Eine ältere Prüfung sollte nicht automatisch als Beleg für jede spätere App-Version oder neu eingeführte Funktion gelten.
Mullvad und Proton VPN setzen unterschiedliche Datenschutzschwerpunkte
Mullvad reduziert bereits bei der Kontoeröffnung die Verbindung zwischen VPN-Nutzung und persönlicher Identität. Statt einer gewöhnlichen Anmeldung mit E-Mail-Adresse erhältst Du eine Kontonummer. In Verbindung mit einem anonymen Zahlungsweg kann dadurch weniger Zuordnungswissen entstehen als bei einem Konto, das E-Mail-Adresse und Kreditkartenzahlung verbindet.
Dieses Modell passt besonders zu Nutzern, die Datensparsamkeit wichtiger finden als ein großes Paket aus Zusatzdiensten. Die praktische Folge ist einfach: Selbst eine überzeugende No-Logs-Regel ist weniger entscheidend, wenn der Anbieter von Anfang an kaum personenbezogene Kontodaten erhält. Vor der Buchung solltest Du in Mullvads Datenschutzinformationen und im Bereich zu Sicherheitsprüfungen kontrollieren, welche Angaben beim gewählten Zahlungsweg verarbeitet werden. Eine Karten- oder App-Store-Zahlung hinterlässt außerhalb des VPN-Kontos weiterhin Spuren.
Proton VPN verfolgt einen breiteren Ansatz. Der Dienst arbeitet mit Open-Source-Apps, veröffentlicht Sicherheitsprüfungen und bietet mit Secure Core eine Verbindung über zusätzliche, nach eigener Darstellung selbst betriebene Server. Die Schweiz als Rechtsstandort ist ein Teil dieser Einordnung, ersetzt aber keine technische oder organisatorische Prüfung. Ein günstiger Rechtsrahmen verhindert weder Fehler in einer App noch die Verarbeitung von Konto- und Zahlungsdaten.
Typisch ist folgende Nutzungssituation: Du möchtest zunächst ohne langfristige Zahlung testen, ob die Apps auf Deinen Geräten zuverlässig funktionieren. Der kostenlose Proton-VPN-Tarif ermöglicht einen Einstieg, besitzt aber funktionale Einschränkungen. Für die Datenschutzentscheidung ist nicht die kostenlose Nutzung selbst ausschlaggebend, sondern ob App, Kill Switch und Verbindungsaufbau im Alltag verlässlich arbeiten. Den jeweiligen Funktionsumfang findest Du in Protons Tarifübersicht; die geprüften App-Versionen und Prüfgegenstände stehen im Sicherheits- beziehungsweise Auditbereich.
NordVPN und ExpressVPN: Wiederholte Prüfungen mit klaren Grenzen
NordVPN und ExpressVPN gehören zu den Anbietern, die ihre Datenschutzversprechen wiederholt extern untersuchen ließen. Das ist aussagekräftiger als eine No-Logs-Behauptung ohne erkennbare Kontrolle. Es bedeutet jedoch nur, dass festgelegte Systeme, Prozesse und Zeiträume Gegenstand einer Prüfung waren.
Bei NordVPN wurde die No-Logs-Zusage mehrfach geprüft. Der Dienst sitzt in Panama und verwendet mit NordLynx ein auf WireGuard beruhendes Protokoll. Kill Switch und Mehrfachrouting können verhindern, dass Daten bei einem Verbindungsabbruch ungeschützt weiterlaufen, beziehungsweise den Datenverkehr über mehr als einen VPN-Server führen. Beides erhöht den technischen Schutz, beseitigt aber keine Identifikatoren im Browser.
Ein realistischer Ablauf zeigt die Bedeutung des Kill Switch: Du arbeitest in einem fremden WLAN, während die VPN-Verbindung kurz ausfällt. Ist der Kill Switch in der verwendeten App aktiviert und greift er wie vorgesehen, wird die Internetverbindung unterbrochen, statt über die normale Leitung weiterzulaufen. Nach einem App- oder Betriebssystem-Update solltest Du diesen Zustand erneut testen, weil Berechtigungen und Netzwerkeinstellungen verändert worden sein können.
ExpressVPN verbindet seine No-Logs-Aussagen mit Prüfungen durch KPMG und führt weitere Sicherheitsprüfungen im eigenen Trust Center auf. Das TrustedServer-Konzept betrifft die technische Serverarchitektur und soll die dauerhafte Speicherung auf herkömmlichen Festplatten vermeiden. Daraus folgt kein pauschaler Beweis, dass außerhalb der geprüften Serverprozesse keinerlei Daten anfallen. Kundenkonto, Zahlung, Supportkontakt und Maßnahmen gegen Missbrauch bleiben getrennte Datenbereiche.
Für beide Dienste gilt: Öffne vor einem Abschluss nicht nur die Verkaufsseite, sondern auch das Trust Center beziehungsweise den Auditbereich. Prüfe dort Datum, Prüforganisation, betroffene Systeme und veröffentlichte Zusammenfassung. Ein Bericht zur Serverinfrastruktur deckt nicht automatisch Abrechnung, Website-Tracking oder jede mobile App ab.
PIA und Surfshark: gute Nachweise, aber andere Abwägungen
Private Internet Access veröffentlicht Transparenzberichte und hat seine No-Logs-Aussagen extern prüfen lassen. Der US-Rechtsstandort ist dennoch ein nachvollziehbarer Abwägungspunkt. Er macht einen Dienst nicht automatisch unsicher, beeinflusst aber, welchen gesetzlichen Anforderungen und Anfragen ein Unternehmen ausgesetzt sein kann.
PIA kann passen, wenn Du veröffentlichte Berichte, etablierte VPN-Funktionen und eine nachvollziehbare No-Logs-Position höher gewichtest als den Rechtsstandort. Für Personen mit einem erhöhten Schutzbedarf kann dieselbe Ausgangslage zur gegenteiligen Entscheidung führen. Maßgeblich sind dann nicht allgemeine Länder-Ranglisten, sondern das eigene Bedrohungsmodell: Geht es um gewöhnlichen Tracking-Schutz im Alltag oder um mögliche Anfragen einer bestimmten staatlichen Stelle?
Surfshark kombiniert eine extern geprüfte No-Logs-Aussage mit einer unbegrenzten Gerätezahl. Das ist in einem Haushalt mit Smartphones, Tablets und Computern bequem, liefert aber keinen zusätzlichen Beweis für geringere Datenerfassung. Mehr installierte Apps vergrößern sogar die Zahl der Geräte, auf denen Einstellungen und Updates gepflegt werden müssen.
Ein typisches Haushaltsszenario macht den Unterschied sichtbar: Fünf Personen möchten zahlreiche Geräte über ein gemeinsames Abonnement absichern. Surfshark vermeidet hier eine starre Gerätegrenze. Für die Privatsphäre bleibt trotzdem zu prüfen, ob alle Personen dasselbe Konto verwenden sollen, welche Zahlungsdaten hinterlegt sind und ob der Kill Switch auf jedem Betriebssystem verfügbar und aktiviert ist. Die Gerätezahl beantwortet diese Fragen nicht.
Was eine No-Logs-Aussage tatsächlich abdeckt
No Logs bedeutet üblicherweise, dass der Anbieter keine Protokolle führen will, mit denen sich die besuchten Ziele oder VPN-Aktivitäten einem Nutzer zuordnen lassen. Der Begriff sagt allein nicht, dass überhaupt keine Daten verarbeitet werden. Schon für Vertragsabwicklung, Zahlung, Support und Betrugsabwehr können weitere Angaben anfallen.
Eine belastbare Prüfung trennt daher vier Ebenen:
- Verkehrsdaten: besuchte Ziele, DNS-Anfragen oder übertragene Inhalte.
- Verbindungsdaten: Zeitpunkt, Sitzungsdauer, ursprüngliche IP-Adresse oder genutzter VPN-Server.
- Kontodaten: E-Mail-Adresse, Kontonummer, Tarif und Supportvorgänge.
- Zahlungsdaten: Zahlungsmittel, Transaktionsreferenzen und Angaben bei externen Zahlungsdienstleistern.
Die Datenschutzrichtlinie sollte diese Kategorien getrennt erläutern. Ist nur allgemein von keinen Aktivitätsprotokollen die Rede, bleibt offen, welche Verbindungs- oder Kontodaten gespeichert werden. Ein externer Bericht ist besonders nützlich, wenn er den Prüfgegenstand klar benennt und nicht lediglich bestätigt, dass eine interne Richtlinie existiert.
Drei Alltagstests zeigen mehr als eine lange Funktionsliste
Nach der Einrichtung lässt sich der Schutz mit wenigen Beobachtungen sinnvoll kontrollieren. Die Tests beweisen keine anonyme Nutzung, decken aber häufige Fehlkonfigurationen auf.
- Aktiviere das VPN und prüfe mit einem seriösen IP- und DNS-Test, ob die angezeigte öffentliche IP-Adresse sowie die DNS-Server zur VPN-Verbindung passen. Tauchen stattdessen Daten Deines Internetzugangs auf, solltest Du die Verbindung nicht für sensible Nutzung einsetzen.
- Aktiviere den Kill Switch, starte einen laufenden Download ohne vertraulichen Inhalt und trenne die VPN-Verbindung kurz. Stoppt die Übertragung, arbeitet die Sperre in dieser Situation. Läuft sie weiter, prüfe die Kill-Switch-Einstellung und die Berechtigungen der App.
- Vergleiche die Anmeldung auf einer Website im normalen Browser und in einem frischen Browserprofil. Erkennt die Seite Dich trotz wechselnder VPN-IP wieder, geschieht das wahrscheinlich über Login, Cookies oder andere Browsermerkmale. Ein VPN kann diese Identifikation nicht verhindern.
Besonders auf einem Smartphone entsteht eine weitere Grenze: Apps können je nach Berechtigungen Standort, Gerätekennungen oder Kontoinformationen verwenden. Eine VPN-Verbindung ändert diese Daten nicht. Wer einer App den genauen Standort erlaubt und sich gleichzeitig mit einem persönlichen Konto anmeldet, wird durch eine andere IP-Adresse nicht anonym.
Welche Wahl zu welchem Schutzbedarf passt
Die Anbieter lassen sich ohne erfundenen Gesamtsieger sinnvoll nach Prioritäten zuordnen:
- Mullvad passt am besten, wenn die Kontoeröffnung möglichst wenige Identitätsdaten verlangen soll und Du auf umfangreiche Zusatzpakete verzichten kannst.
- Proton VPN ist eine starke Wahl, wenn Du Open-Source-Apps, veröffentlichte Prüfungen und optionale Mehrfachverbindungen in einem datenschutzorientierten Gesamtangebot suchst.
- NordVPN eignet sich, wenn wiederholte No-Logs-Prüfungen, moderne Protokolle und mehrere technische Schutzfunktionen gemeinsam wichtig sind.
- ExpressVPN kommt infrage, wenn Du wiederholte Prüfungen und eine speziell dokumentierte Serverarchitektur höher gewichtest als eine besonders datensparsame Kontoeröffnung.
- Private Internet Access ist eine mögliche Wahl, wenn Transparenzberichte und No-Logs-Prüfungen überzeugen und der US-Rechtsstandort für Dein persönliches Risikomodell kein Ausschlussgrund ist.
- Surfshark bietet sich für viele Geräte an, sofern Du den Komfort nicht mit einem stärkeren Datenschutzbeleg verwechselst.
Für die engste Auslegung von Privatsphäre liegt Mullvad wegen der sparsamen Registrierung vorn. Proton VPN bietet das ausgewogenere Transparenzpaket für Nutzer, die zusätzlich Open-Source-Apps und veröffentlichte Sicherheitsprüfungen möchten. NordVPN und ExpressVPN sind vertretbare Alternativen mit wiederholten Prüfungen, sammeln im klassischen Kundenverhältnis aber typischerweise mehr zuordenbare Kontoinformationen als ein nur über eine Nummer geführtes Mullvad-Konto.
Häufige Fragen zum privaten VPN-Einsatz
Ist eine anonyme Zahlungsart wichtiger als der Rechtsstandort?
Das hängt vom Risiko ab. Eine anonyme Zahlungsart kann die direkte Verbindung zwischen Identität und VPN-Konto reduzieren, während der Rechtsstandort beeinflusst, welchen gesetzlichen Anfragen ein Anbieter unterliegt. Bei erhöhtem Schutzbedarf sollten beide Punkte zusammenpassen; für gewöhnlichen WLAN- und Tracking-Schutz kann eine geprüfte No-Logs-Praxis wichtiger sein als eine einzelne Ländereigenschaft.
Schützt ein VPN auch andere Geräte im Heimnetz?
Eine installierte VPN-App schützt normalerweise nur den Datenverkehr des jeweiligen Geräts. Eine Einrichtung auf dem Router kann weitere Geräte erfassen, ist aber vom Routermodell und vom VPN-Dienst abhängig. Smart-TVs, Drucker und vernetzte Haushaltsgeräte werden nicht automatisch geschützt, nur weil auf dem Notebook ein VPN läuft.
Kann der kostenlose Tarif eines VPN genauso privat sein wie ein Bezahlangebot?
Ein kostenloser Tarif kann dieselbe technische Verschlüsselung verwenden, aber bei Serverauswahl, Geschwindigkeit oder Funktionen eingeschränkt sein. Entscheidend ist das Finanzierungsmodell: Ein kostenloser Tarif eines transparenten Anbieters ist anders zu bewerten als ein unbekannter Dienst, dessen Einnahmequelle und Datenverarbeitung unklar bleiben. Datenschutzrichtlinie, App-Berechtigungen und veröffentlichte Prüfungen sollten auch bei kostenloser Nutzung kontrolliert werden.
