CyberGhost VPN vs. IVPN

Transparenz zu Client und Builds nicht untersucht. Es konnte kein offizielles Quellcode-Repository von CyberGhost, keine Bescheinigung reproduzierbarer Builds und kein eigenständiger Anwendungspentest gefunden werden (der öffentliche Index von Cure53 enthält keinen Eintrag für CyberGhost oder Kape), sodass V12, V13 und V14 unbekannt bleiben und weder in die eine noch in die andere Richtung belegt sind.

Eine umstrittene Behauptung über einen Sicherheitsvorfall ließ sich nicht unabhängig klären. Ein Bericht eines Dritten vom September 2024 behauptete, dass Zugangsdaten von CyberGhost-Konten durchgesickert seien; CyberGhosts eigene Stellungnahme bestreitet eine Kompromittierung auf Dienstseite und führt die Zugangsdaten auf Malware auf Nutzerseite zurück, aber der zugrunde liegende Bericht konnte in dieser Sitzung nicht gelesen werden, sodass X09_incident_handling unbekannt bleibt, statt der Darstellung einer der beiden Seiten zu folgen.

Zwei eigene Seiten von CyberGhost widersprechen sich bei der Straßenadresse: Im Impressum wird 70-72 Dionisie Lupu street genannt, in der Datenschutzrichtlinie 68 Polonă street, beide im selben Bukarester Bezirk und beide auf aktuellen Seiten, statt dass eine davon ein archivierter Überrest wäre. Keine der beiden Angaben wurde als maßgeblicher gegenüber der anderen behandelt, und die Abweichung bleibt für eine künftige Aktualisierung offen, statt hier geraten zu werden.

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und V03_audit_subject lautet dafür unknown, statt diese Anrechnung zu übernehmen. Die siebte Beauftragung zu den neuen E-Mail- und DNS-Diensten wurde erst für Mai 2025 angekündigt; ein Bericht dazu ist nicht veröffentlicht.