AirVPN vs. IVPN

Was die Forenbeiträge zeigen. Forenbeiträge zeigen, dass Nutzer AirVPN wiederholt um ein Warrant Canary gebeten haben, ohne dass Mitarbeiter bestätigt hätten, dass ein solches existiert. Das ist zwar ein Indiz, aber keine primäre Zurückweisung, daher bleibt P07 unknown statt „none“.

Anzahl, die niemand veröffentlicht. Die Anzahl der Anfragen/Datenübergaben ist folglich ebenfalls unbekannt (P08, P09), und die Gesamtzahl der Abonnenten wird nie offengelegt (M08 unknown) — AirVPN veröffentlicht nur einen Live-Zähler der gleichzeitig verbundenen Nutzer, keine Gesamtzahl registrierter Nutzer oder Abonnenten, sodass Schweigen/Unkenntnis hier tatsächlich Gewicht haben.

Builds und Pentests. Reproduzierbare Builds sind auf der eigenen Build-from-Source-Seite von AirVPN nicht dokumentiert (eddie.website/support/build/), und es konnte kein gezielter Pentest des Clients oder der Infrastruktur gefunden werden (V13, V14 unknown). Umfang des Kill Switch und Verhalten des Split-Tunneling stammen aus einem Testbericht eines Dritten und nicht aus der eigenen Dokumentation von AirVPN (U08, U09 mit Konfidenz C), weil die relevanten FAQ-Seiten über das Routing der Website nicht direkt erreichbar waren (sie werden über JavaScript dargestellt und lieferten bei einem einfachen Abruf nur ein Ladegerüst zurück).

Abdeckung außerhalb der Affiliates. Die Presseberichterstattung beschränkt sich nicht auf Affiliates: BleepingComputer, ein etabliertes Medium außerhalb der Liste der Affiliate-Aggregatoren, hat einen unabhängigen Testbericht mit eigenem Hinweis auf die Affiliate-Offenlegung veröffentlicht, statt auf Affiliate-Verzeichnisse beschränkt zu sein (X08=no). Im selben Testbericht wurde außerdem festgestellt, dass AirVPN bei jedem getesteten Streamingdienst scheiterte — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — weshalb U12b_streaming_works nun no statt des zuvor geltenden, aus addictivetips.com stammenden partial lautet, nachdem dieser Host als unzulässig eingestuft wurde.

Der Jahrespreis. U04b_price_yearly=4,08 ist der effektive monatliche Preis in EUR des Einjahresplans (49 EUR/Jahr) auf airvpn.org/buy/, bei der Verlängerung unverändert wie bei jeder AirVPN-Laufzeit.

Das Wortzeichen. AirVPN stellt sein Wortzeichen ausschließlich als PNG (/static/img/logo/web_header.png, logo_horiz.png) bereit und hat keine Presse- oder Markenseite, daher bleibt logos/airvpn.svg gemäß AUDITOR.md §1 leer, statt eine Rastergrafik nachzuzeichnen.

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und V03_audit_subject lautet dafür unknown, statt diese Anrechnung zu übernehmen. Die siebte Beauftragung zu den neuen E-Mail- und DNS-Diensten wurde erst für Mai 2025 angekündigt; ein Bericht dazu ist nicht veröffentlicht.

Ein bemerkenswerter Datenpunkt aus der Praxis: Öffentliche Protokolle vor US-Bundesgerichten in United States v. Klyushin (D. Mass., Akte 61629108, Dokumente #183 und #217, gefunden über CourtListener/RECAP) zeigen, dass ein Pen-Register der Strafverfolgungsbehörden direkt beim Hosting-Unternehmen (DediPath) und nicht bei AirVPN eingerichtet wurde, um die IP eines AirVPN-Servers von Jan.–Feb. 2020 zu überwachen; die eigenen Mitarbeiter von AirVPN bestätigten in ihrem Forum, dass das Unternehmen keine Kenntnis von der Überwachung und keine Beteiligung daran hatte und dass das Gerät außerhalb der eigenen Systeme von AirVPN installiert werden musste.

Dies ist in P12_case_history als Ereignis court_order/nothing_produced erfasst, mit Quellenangabe aus der eigenen Forumsbestätigung von AirVPN (nicht aus den PACER-PDFs selbst, die automatisierte Abrufe mit 403 beantworteten und nur über eine sekundäre Zusammenfassung gelesen wurden).