AirVPN vs. CyberGhost VPN

Was die Forenbeiträge zeigen. Forenbeiträge zeigen, dass Nutzer AirVPN wiederholt um ein Warrant Canary gebeten haben, ohne dass Mitarbeiter bestätigt hätten, dass ein solches existiert. Das ist zwar ein Indiz, aber keine primäre Zurückweisung, daher bleibt P07 unknown statt „none“.

Anzahl, die niemand veröffentlicht. Die Anzahl der Anfragen/Datenübergaben ist folglich ebenfalls unbekannt (P08, P09), und die Gesamtzahl der Abonnenten wird nie offengelegt (M08 unknown) — AirVPN veröffentlicht nur einen Live-Zähler der gleichzeitig verbundenen Nutzer, keine Gesamtzahl registrierter Nutzer oder Abonnenten, sodass Schweigen/Unkenntnis hier tatsächlich Gewicht haben.

Builds und Pentests. Reproduzierbare Builds sind auf der eigenen Build-from-Source-Seite von AirVPN nicht dokumentiert (eddie.website/support/build/), und es konnte kein gezielter Pentest des Clients oder der Infrastruktur gefunden werden (V13, V14 unknown). Umfang des Kill Switch und Verhalten des Split-Tunneling stammen aus einem Testbericht eines Dritten und nicht aus der eigenen Dokumentation von AirVPN (U08, U09 mit Konfidenz C), weil die relevanten FAQ-Seiten über das Routing der Website nicht direkt erreichbar waren (sie werden über JavaScript dargestellt und lieferten bei einem einfachen Abruf nur ein Ladegerüst zurück).

Abdeckung außerhalb der Affiliates. Die Presseberichterstattung beschränkt sich nicht auf Affiliates: BleepingComputer, ein etabliertes Medium außerhalb der Liste der Affiliate-Aggregatoren, hat einen unabhängigen Testbericht mit eigenem Hinweis auf die Affiliate-Offenlegung veröffentlicht, statt auf Affiliate-Verzeichnisse beschränkt zu sein (X08=no). Im selben Testbericht wurde außerdem festgestellt, dass AirVPN bei jedem getesteten Streamingdienst scheiterte — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — weshalb U12b_streaming_works nun no statt des zuvor geltenden, aus addictivetips.com stammenden partial lautet, nachdem dieser Host als unzulässig eingestuft wurde.

Der Jahrespreis. U04b_price_yearly=4,08 ist der effektive monatliche Preis in EUR des Einjahresplans (49 EUR/Jahr) auf airvpn.org/buy/, bei der Verlängerung unverändert wie bei jeder AirVPN-Laufzeit.

Das Wortzeichen. AirVPN stellt sein Wortzeichen ausschließlich als PNG (/static/img/logo/web_header.png, logo_horiz.png) bereit und hat keine Presse- oder Markenseite, daher bleibt logos/airvpn.svg gemäß AUDITOR.md §1 leer, statt eine Rastergrafik nachzuzeichnen.

Transparenz zu Client und Builds nicht untersucht. Es konnte kein offizielles Quellcode-Repository von CyberGhost, keine Bescheinigung reproduzierbarer Builds und kein eigenständiger Anwendungspentest gefunden werden (der öffentliche Index von Cure53 enthält keinen Eintrag für CyberGhost oder Kape), sodass V12, V13 und V14 unbekannt bleiben und weder in die eine noch in die andere Richtung belegt sind.

Eine umstrittene Behauptung über einen Sicherheitsvorfall ließ sich nicht unabhängig klären. Ein Bericht eines Dritten vom September 2024 behauptete, dass Zugangsdaten von CyberGhost-Konten durchgesickert seien; CyberGhosts eigene Stellungnahme bestreitet eine Kompromittierung auf Dienstseite und führt die Zugangsdaten auf Malware auf Nutzerseite zurück, aber der zugrunde liegende Bericht konnte in dieser Sitzung nicht gelesen werden, sodass X09_incident_handling unbekannt bleibt, statt der Darstellung einer der beiden Seiten zu folgen.

Zwei eigene Seiten von CyberGhost widersprechen sich bei der Straßenadresse: Im Impressum wird 70-72 Dionisie Lupu street genannt, in der Datenschutzrichtlinie 68 Polonă street, beide im selben Bukarester Bezirk und beide auf aktuellen Seiten, statt dass eine davon ein archivierter Überrest wäre. Keine der beiden Angaben wurde als maßgeblicher gegenüber der anderen behandelt, und die Abweichung bleibt für eine künftige Aktualisierung offen, statt hier geraten zu werden.

Ein bemerkenswerter Datenpunkt aus der Praxis: Öffentliche Protokolle vor US-Bundesgerichten in United States v. Klyushin (D. Mass., Akte 61629108, Dokumente #183 und #217, gefunden über CourtListener/RECAP) zeigen, dass ein Pen-Register der Strafverfolgungsbehörden direkt beim Hosting-Unternehmen (DediPath) und nicht bei AirVPN eingerichtet wurde, um die IP eines AirVPN-Servers von Jan.–Feb. 2020 zu überwachen; die eigenen Mitarbeiter von AirVPN bestätigten in ihrem Forum, dass das Unternehmen keine Kenntnis von der Überwachung und keine Beteiligung daran hatte und dass das Gerät außerhalb der eigenen Systeme von AirVPN installiert werden musste.

Dies ist in P12_case_history als Ereignis court_order/nothing_produced erfasst, mit Quellenangabe aus der eigenen Forumsbestätigung von AirVPN (nicht aus den PACER-PDFs selbst, die automatisierte Abrufe mit 403 beantworteten und nur über eine sekundäre Zusammenfassung gelesen wurden).