No-Logs-VPN: Was ein unabhängiges Audit belegt

Ein No-Logs-Versprechen ist noch kein Audit

„No logs“ ist zunächst eine Aussage des VPN-Anbieters über seine eigene Infrastruktur: Er soll keine Daten speichern, mit denen sich Ihre Aktivitäten oder Verbindungen zuordnen lassen. Ein unabhängiges Audit ist ein zusätzlicher Prüfschritt. Dabei untersucht eine externe Stelle bestimmte Systeme und Abläufe, um festzustellen, ob sie mit der beschriebenen Richtlinie vereinbar sind.

Das ist wertvoller als ein bloßes Versprechen, aber keine Garantie für jede künftige Situation. Ein Prüfbericht sagt nur etwas über den untersuchten Umfang und den Zeitraum aus. Er beweist weder, dass niemals irgendwo Daten anfallen, noch, dass sich die Systeme seit der Prüfung nicht geändert haben. Auch die Formulierung „unabhängig geprüft“ verrät für sich genommen nicht, wer geprüft hat oder wie tief der Zugang war.

In dieser gefilterten Ansicht erscheinen VPN-Tarife mit dem Merkmal „Audited no-logs policy“. Die Tabelle nennt jedoch nicht den Auditor, das Datum, den Prüfungsumfang oder die Häufigkeit der Prüfung. Behandeln Sie das Merkmal daher als Auswahlhilfe, nicht als Ersatz für den Bericht. Wenn Sie etwa als Journalist oder für ein Unternehmen besonders geringe Datenexposition brauchen, sind genau diese Details entscheidend.

Wer prüft – und wie unabhängig ist der Zugang?

Veröffentlichte Berichte und Berichterstattung nennen unterschiedliche Prüfer. NordVPN ließ laut Berichten Prüfungen durch PwC in den Jahren 2018 und 2020 sowie durch Deloitte von 2022 bis 2025 durchführen. Die Prüfungen werden dort im Zusammenhang mit dem Standard ISAE 3000 beschrieben. CyberGhost berichtet von zwei unabhängigen Audits durch Deloitte. Bei Proton VPN werden Prüfungen durch Securitum genannt.

Diese Beispiele zeigen, warum der Name einer bekannten Wirtschaftsprüfungs- oder Sicherheitsfirma allein nicht genügt. Entscheidend ist, was genau beauftragt wurde und welchen Zugang die Prüfer erhielten. Bei einigen Proton-Prüfungen soll ein operator-assisted-Modell verwendet worden sein: Mitarbeitende des Anbieters führten den Prüfern die Systeme vor, statt ihnen vollständig unabhängigen Fernzugriff zu geben. Das ist nicht dasselbe wie eine Prüfung ohne Mitwirkung des Betreibers. Lesen Sie im Bericht nach, wie die Prüfung ablief.

Auch ein Anbieter, der eine Audit-Aussage prominent platziert, muss nicht automatisch dieselbe Infrastruktur geprüft haben wie ein anderer. Achten Sie darauf, ob der Bericht Server, interne Verwaltungsprozesse, Apps oder nur einzelne technische Komponenten umfasst. Ein Audit von Client-Apps lässt sich nicht ohne Weiteres als Prüfung der Server-Infrastruktur lesen.

Was Auditoren sehen können – und was nicht

Eine Prüfung kann konkrete technische und organisatorische Kontrollen umfassen. Dazu gehören Gespräche mit Mitarbeitenden, Konfigurationsdateien und – sofern Zugriff gewährt wird – aktuelle Systemprotokolle. Bei einer berichteten NordVPN-Prüfung wurden Interviews, Konfigurationen und Live-Systemlogs in einem festgelegten Zeitraum vom 10. November bis zum 12. Dezember 2025 untersucht. Proton-Audits sollen unter anderem Konfigurationsverwaltung, Überwachungssysteme und Warnmeldungen geprüft haben, die Änderungen an der No-Logs-Umgebung erkennen sollen.

Solche Einblicke können zeigen, ob die geprüften Systeme zum Prüfzeitpunkt auf eine Weise eingerichtet waren, die zur Richtlinie passt. Prüfer können etwa Serverkonfigurationen oder Datenbankschemata untersuchen. Sie können aber nicht beweisen, dass ein Entwickler nie heimlich Protokollierungscode ergänzt hat oder dass ein solcher Code später nicht eingebaut wird. Absichten und zukünftige Änderungen lassen sich aus einer Momentaufnahme nicht verlässlich ableiten.

Der Anbieter beauftragt und bezahlt üblicherweise den Auditor und legt den Prüfauftrag mit fest. Das macht ein Audit nicht automatisch wertlos. Es bedeutet aber, dass Sie neben dem Prüfernamen auch den Umfang, die Zugangsmöglichkeiten und mögliche Einschränkungen lesen sollten. Ein Bericht mit klar benannten Grenzen ist hilfreicher als ein Werbesatz, der alle Einschränkungen auslässt.

Datum und Umfang richtig lesen

Ein Audit ist häufig eine Prüfung für einen definierten Zeitraum. Fragen Sie deshalb nicht nur „Wurde geprüft?“, sondern auch: Wann, was und unter welchen Bedingungen? Manche Anbieter lassen wiederholt prüfen. Wiederkehrende Audits können Veränderungen besser abdecken als ein einzelner Bericht, ersetzen aber nicht die Prüfung des konkreten Datums und Umfangs. Suchen Sie nach dem vollständigen Bericht und nicht nur nach einer Zusammenfassung auf der Verkaufsseite.

• Datum: Wann begann und endete die Prüfung? Ein älterer Bericht kann für eine inzwischen veränderte Infrastruktur weniger aussagekräftig sein.
• Prüfer: Welche Firma war beauftragt, und ist der Bericht selbst verfügbar? Verlassen Sie sich nicht allein auf ein Logo oder eine kurze Anbieter-Aussage.
• Umfang: Wurden Server und Protokollierung untersucht oder nur Apps, Richtlinien beziehungsweise Teilbereiche?
• Zugang: Konnten Prüfer unabhängig auf Systeme zugreifen, oder wurden Abläufe hauptsächlich vom Anbieter vorgeführt?
• Abdeckung: Welche Standorte, Servertypen und internen Prozesse waren eingeschlossen, und welche ausdrücklich nicht?
• Wiederholung: Gibt es weitere Prüfberichte, und wie viel Zeit liegt zwischen ihnen?

Die Preisangaben in unserer vollständigen VPN-Übersicht beziehen sich auf alle 22 Tarife bei 22 Anbietern, nicht nur auf diese gefilterte Ansicht. Dort beginnen die Preise bei 0,74 €; der Preisstand ist 31 Oktober 2026. Für die Bewertung eines Audits sind diese Werte nebensächlich – wichtiger sind Bericht und Prüfgrenzen.

RAM-only-Server: nützlicher Schutz, aber kein Audit-Ersatz

Bei RAM-only-Servern liegt die laufende Systemumgebung im Arbeitsspeicher statt dauerhaft auf einem herkömmlichen Laufwerk. Wird ein solcher Server ausgeschaltet, geht der Inhalt des Arbeitsspeichers verloren. Das kann bei der Beschlagnahme eines ausgeschalteten Geräts helfen, weil dort weniger laufende Daten zurückbleiben. Es schützt jedoch nicht automatisch vor Zugriff auf einen eingeschalteten Server oder vor einer Erfassung des Arbeitsspeichers im laufenden Betrieb.

RAM-only ist außerdem keine vollständige Aussage darüber, was auf einem Server gespeichert wird. Surfshark hat erklärt, dass Konfigurationsdateien weiterhin auf Festplatten liegen können. Proton VPN nutzt nach eigener Position keine RAM-only-Server und argumentiert, dass eine Beschlagnahme ausgeschalteter Server nicht mehr Informationen liefere als bei RAM-only-Systemen. Diese Ansätze zeigen: Die technische Architektur muss im Zusammenhang mit Konfiguration, Betrieb und Audit bewertet werden.

In der gefilterten Tabelle tragen einige Tarife zusätzlich das Merkmal „RAM-only servers“, andere nicht. Das Merkmal ersetzt weder eine geprüfte No-Logs-Richtlinie noch beantwortet es, welche Server ein Audit abgedeckt hat. Wenn Ihnen dieser Schutz wichtig ist, prüfen Sie beide Punkte getrennt.

Reale Fälle und eine praktische Entscheidung

Ein No-Logs-Versprechen ist nicht immun gegen Widersprüche. Im Jahr 2017 nutzte das FBI in einem Cyberstalking-Verfahren in Massachusetts Verbindungsprotokolle von PureVPN, um Aktivitäten dem Beschuldigten Ryan Lin zuzuordnen. PureVPN hatte zuvor mit einer No-Logs-Richtlinie geworben. Nach dem Fall veröffentlichte der Anbieter Drittprüfungen seiner Richtlinie. Der Fall zeigt, warum damalige Werbeaussagen und spätere Prüfungen zeitlich auseinandergehalten werden müssen; er ist keine Aussage über jeden VPN-Anbieter.

Auch HideMyAss übergab laut Berichten aus dem Jahr 2011 Protokolle in einem Hacking-Fall im Umfeld der LulzSec-Ermittlungen. Die Fälle erinnern daran, dass eine Richtlinie nicht automatisch bedeutet, ein Anbieter könne unter allen Umständen keine Daten herausgeben. Rechtsraum und mögliche gesetzliche Verpflichtungen spielen neben Technik und Audit eine Rolle. Das ist keine Rechtsberatung, sondern ein Grund, die rechtliche Umgebung in die eigene Risikobewertung einzubeziehen.

Wenn Sie einen Tarif aus dieser Ansicht prüfen, gehen Sie in dieser Reihenfolge vor: Öffnen Sie den Prüfbericht, notieren Sie Datum und Prüfer, vergleichen Sie den Umfang mit dem tatsächlich genutzten Dienst und prüfen Sie, wie unabhängig der Zugang war. Suchen Sie anschließend nach wiederholten Prüfungen und lesen Sie die Grenzen des Berichts. Für eine geschäftliche Entscheidung können Sie den Anbieter direkt fragen, welche Server und Regionen abgedeckt sind, ob die Prüfer Live-Systeme untersuchten und wann der nächste Bericht erwartet wird. Eine klare Antwort ist aussagekräftiger als das Etikett allein.