No-logs VPN-audit: wat bewijst die? 2026

Een no-logsbelofte is geen audit

Een no-logsbeleid is de belofte van een VPN-aanbieder dat bepaalde gegevens niet worden vastgelegd of bewaard. Denk aan bezochte websites, gebruikte apps of de inhoud van je verkeer. Welke gegevens precies buiten de registratie vallen, verschilt per aanbieder. Sommige diensten bewaren bijvoorbeeld wel beperkte account- of betaalgegevens. Lees daarom de precieze formulering van het beleid, niet alleen de korte claim op een productpagina.

Een audit is een controle van die belofte en de systemen die haar moeten ondersteunen. Een onafhankelijke partij onderzoekt bijvoorbeeld serverinstellingen, interne procedures of beschikbare logbestanden. Zo’n controle kan aanwijzingen geven dat de beschreven werkwijze overeenkomt met de praktijk. Het is geen permanente garantie en ook geen bewijs dat een aanbieder nooit gegevens heeft opgeslagen.

De tabel op deze pagina is gefilterd: je ziet er alleen VPN-abonnementen met het kenmerk dat het no-logsbeleid onafhankelijk is geaudit. Dat zegt niet automatisch dat elk abonnement van een aanbieder een afzonderlijke controle heeft gehad. In onze volledige VPN-vergelijking staan 22 abonnementen van 22 aanbieders. De gemiddelde prijs daar is € 2,62, maar prijs en auditkwaliteit zijn twee verschillende zaken.

Wie voert de controle uit?

De naam van de auditor maakt de claim controleerbaarder. In berichtgeving over NordVPN worden PwC-audits uit 2018 en 2020 genoemd en Deloitte-audits uit 2022 tot en met 2025, uitgevoerd onder ISAE 3000. CyberGhost meldt twee onafhankelijke audits door Deloitte. Voor Proton VPN worden audits door Securitum genoemd. Dat zijn voorbeelden van aanbieders en auditpartijen; controleer bij een concrete keuze altijd het rapport zelf en de dienst waarop het betrekking heeft.

Let ook op hoe onafhankelijk de controle in de praktijk was. Een auditpartij wordt doorgaans ingehuurd en betaald door de VPN-aanbieder. Dat maakt de uitkomst niet automatisch waardeloos, maar de opdracht en de afgesproken scope doen ertoe. In berichtgeving over sommige Proton-audits wordt een operator-assisted aanpak beschreven: medewerkers van Proton demonstreerden de systemen, in plaats van dat auditors volledig zelfstandig op afstand toegang hadden. Vraag je dus af welke toegang de auditor kreeg en welke handelingen door personeel werden begeleid.

Een bedrijfsnaam op een marketingpagina is minder nuttig dan een rapport met concrete informatie. Zoek daarin naar de naam van de auditor, de periode van het onderzoek en de systemen die zijn bekeken. Als alleen staat dat een dienst ‘geverifieerd’ is, zonder verdere details, kun je moeilijk inschatten hoe sterk die controle was.

Wat controleert een audit, en wat niet?

Een onderzoek kan onder meer interviews met medewerkers, configuratiebestanden en live systeemlogs omvatten. In verslaggeving over een NordVPN-audit wordt bijvoorbeeld een vaste onderzoeksperiode genoemd, van 10 november tot 12 december 2025, met interviews, configuratiecontroles en inspectie van live logs. Proton-audits door Securitum worden beschreven als controles van configuratiebeheer, monitoring en waarschuwingen die veranderingen aan de no-logsopzet moeten signaleren.

Dat soort controles kan laten zien hoe de systemen tijdens de onderzochte periode waren ingericht. Het kan ook helpen vaststellen of er processen zijn die een wijziging zichtbaar maken. Maar een auditor kan niet bewijzen dat er nooit geheime loggingcode is toegevoegd, of wat ontwikkelaars van plan waren. Een rapport is dus bewijs over afgebakende systemen en handelingen, niet over iedere denkbare situatie of toekomstige wijziging.

Controleer vooral of de scope over de VPN-infrastructuur gaat. Een audit van apps op je telefoon of computer is iets anders dan een onderzoek van servers en logprocessen. Lees daarom welke onderdelen expliciet zijn genoemd: serverconfiguraties, databases, accountsystemen, beheertools of alleen de clientsoftware. Een kritiek op een ExpressVPN-beoordeling door Cure53 stelt bijvoorbeeld dat die vooral clientapps betrof; dat is een interpretatie en geen reden om zonder het rapport te concluderen wat wel of niet onderzocht is.

Datum en scope: een controle is een momentopname

Een auditrapport hoort bij een bepaalde periode. Een controle van jaren geleden vertelt je niet vanzelf hoe de dienst vandaag werkt. Zoek de datum op en kijk of er later een rapport is verschenen. Sommige aanbieders laten vaker controles uitvoeren; terugkerende audits kunnen meer zicht geven op veranderingen dan één oude momentopname. Dat geldt alleen als de rapporten ook duidelijk maken wat er telkens is onderzocht.

Let daarnaast op welke servers, locaties en diensten binnen de opdracht vielen. Een rapport kan bepaalde systemen uitsluiten of slechts een deel van de infrastructuur beoordelen. Kijk ook naar de toegang: kon de auditor zelf bestanden en logs inspecteren, of verliep de controle vooral via demonstraties en uitleg van medewerkers? Hoe concreter het rapport deze punten beschrijft, hoe beter je de uitkomst kunt wegen.

Een praktisch stappenlijstje helpt bij het lezen:

• Datum: wanneer vond het onderzoek plaats, en is er een recentere controle?
• Auditor: welke organisatie voerde het uit, en staat de naam ook in een rapport?
• Scope: ging het om servers en logprocessen, apps, of allebei?
• Toegang: inspecteerde de auditor systemen zelfstandig of met begeleiding?
• Betaling: wie gaf de opdracht en financierde het onderzoek?

RAM-only servers zijn een extra maatregel

Bij RAM-only servers worden gegevens op de server in vluchtig geheugen verwerkt in plaats van permanent op een harde schijf opgeslagen. Als de machine uitgaat, verdwijnt de inhoud van dat geheugen. Dat verkleint de hoeveelheid data die iemand kan terughalen van een uitgeschakelde of in beslag genomen server. Het maakt een actieve server niet onzichtbaar en voorkomt geen toegang tot gegevens terwijl het systeem draait.

RAM-only is daarom geen vervanging voor een no-logsbeleid of een audit. Het vertelt je op zichzelf niet welke gegevens een aanbieder tijdens gebruik verwerkt, of hoe die dat doet. Ook kan niet alles op een server in RAM staan: Surfshark heeft bijvoorbeeld aangegeven dat configuratiebestanden op harde schijven kunnen blijven staan. Proton VPN gebruikt geen RAM-only servers en stelt dat een in beslag genomen, uitgeschakelde server niet meer informatie oplevert dan een RAM-only server.

In de tabel hebben sommige abonnementen het extra label ‘RAM-only servers’ en andere niet. Beoordeel dat als één technische eigenschap naast de audit, niet als een kwaliteitsoordeel op zichzelf. Bij een dreigingsmodel waarin fysieke inbeslagname belangrijk is, kan het relevant zijn; voor je dagelijkse keuze blijven ook de auditdekking en het logbeleid van belang.

Wat eerdere zaken over no-logsclaims laten zien

In 2017 gebruikten Amerikaanse onderzoekers in een cyberstalkingzaak tegen Ryan Lin, toen 24 jaar, PureVPN-connectionlogs om activiteit te herleiden. PureVPN had een no-logsbeleid geadverteerd. Na de zaak publiceerde de aanbieder externe audits van dat beleid. De zaak laat zien waarom je een publieke belofte niet als bewijs moet behandelen dat gegevens onder alle omstandigheden ontbreken. Ze zegt op zichzelf niet hoe iedere huidige VPN werkt.

Ook HideMyAss werd in berichtgeving uit 2011 genoemd in verband met het overdragen van logs in een zaak rond het LulzSec-onderzoek. Privacyvoorvechters bekritiseerden de aanbieder vanwege het verschil met de indruk die de publieke privacybelofte wekte. De details en berichtgeving rond zulke zaken moet je niet veralgemeniseren tot een uitspraak over alle VPN-diensten. Ze maken wel duidelijk dat de exacte bewaartermijnen en het soort logs ertoe doen.

Een audit en RAM-only infrastructuur nemen bovendien juridische risico’s niet weg. In sommige rechtsgebieden kan een aanbieder mogelijk worden verplicht om vanaf dat moment gegevens te gaan verzamelen. De vestigingsplaats en toepasselijke wetgeving blijven dus relevante onderdelen van je afweging, naast technische controles. Een audit vertelt niet welke wettelijke verplichtingen later kunnen gelden.

Zo weeg je het label voor jouw keuze

Begin met het rapport, niet met de badge. Kun je geen datum, auditor of scope vinden, dan heb je weinig houvast om te bepalen wat er daadwerkelijk is gecontroleerd. Is er wel een rapport, kijk dan of het jouw gebruik raakt: voor een journalist kan de vraag welke servers en verbindingen zijn onderzocht zwaarder wegen dan een algemene controle van apps. Voor een bedrijf is het verstandig ook te vragen hoe vaak audits terugkeren en hoe wijzigingen worden gemeld.

Gebruik het label als een aanwijzing, niet als eindconclusie. Een recente audit met duidelijke serverdekking en zelfstandige toegang geeft je meer informatie dan een ongedateerde claim. RAM-only kan de impact van een uitgeschakelde server verkleinen, maar vervangt die informatie niet. En geen enkele audit kan beloven dat een aanbieder nooit onder druk komt te staan of dat er in elke toekomstige situatie geen gegevens beschikbaar zullen zijn.