ExpressVPN vs. IVPN

Der Transparenzbericht. P05/P06/P08/P09 stützen sich nun auf den halbjährlichen Transparenzbericht von ExpressVPN (Juli–Dezember 2025: 155 Anfragen von Behörden und Strafverfolgungsbehörden, 0 Offenlegungen, 3 separat aufgeführte Haftbefehle), der über das Trust Center aufgerufen wurde — in der vorherigen Prüfung wurden beide übersehen.

Der Canary und der Rest des Blocks. Es konnte kein Haftbefehls-Canary von ExpressVPN gefunden werden, und keine primäre Erklärung verneint einen solchen, daher bleibt P07 unbekannt. P02/P03=none_known stützen sich auf die Transparenzserie und die Haltung der Datenschutzrichtlinie zu Rechtsstreitigkeiten; P11=none_known auf die Aussage der Richtlinie, dass alle Vorgaben über Gerichte auf den Britischen Jungferninseln laufen. P04=withdrew_physical ist der Exit aus Indien im Juni 2022.

Was nie veröffentlicht wird. Die Zahl der Abonnenten (M08) und die Gesamtzahl der Server (U03) werden nicht veröffentlicht. Das Eigentum an der Serverhardware (C08: Eigentum vs. gemietet) und Kennungen auf App-Ebene für Geräte (C12) konnten auf keiner geprüften Seite belegt werden.

106 Länder gegenüber einer Behauptung von 113. U02_server_countries entspricht den 105 Länder-Landingpages in ExpressVPNs eigener Sitemap plus China (bestätigt als „Available - Virtual Locations“ auf der aktiven /vpn-server-Seite, aber ohne eigene Landingpage) — insgesamt 106 Codes gegenüber der eigenen Marketingangabe „113 Countries“; die aktive Serverstandortseite ist eine sehr große Tabelle pro Protokoll, die nicht vollständig ausgewertet wurde, daher wird die Lücke zwischen 106 und 113 berichtet, statt sie aufzulösen.

Ein Audit-Befund zwischen zwei Kategorien. V11_audit_findings ist als session_metadata statt none_linkable oder aggregates_only erfasst: Der KPMG-Bericht von 2025 beschreibt einen strukturierten Datensatz pro Verbindung (Land, ISP, Datum, Protokoll, Datenvolumen, ein stabiles Pseudonym aus einem gesalzenen Hash), der über ein reines Aggregat hinausgeht, aber IP und genaue Zeitangabe nicht enthält — ein tatsächlich mehrdeutiger Fall für die vier mittleren Kategorien dieses Feldes.

In diesem Durchgang nicht geprüft. Ob die Abdeckung von ExpressVPN außerhalb von Affiliate-Seiten besteht (X08), ihre Affiliate-Auszahlungsstufe (X10) und ob von Eigentümern betriebene Testmedien die Eigentümerverbindung kenntlich machen (X11), wurden in diesem Durchgang nicht geprüft.

P2P, gesucht und nicht vorhanden. U12a_p2p_allowed bleibt aus einem anderen Grund als der Rest unbekannt: Es wurde danach gesucht und ist nicht veröffentlicht. Weder die Sitemap (578 Seiten- und Support-URLs) noch die Nutzungsbedingungen erwähnen irgendwo P2P, BitTorrent oder Filesharing, während jeder andere katalogisierte Anbieter seine Position in den eigenen Dokumenten angibt. Ein Supportartikel oder eine Klausel in den Nutzungsbedingungen würde die Lücke schließen; eine Testseite, die besagt, dass es funktioniert, würde dies nicht tun.

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und V03_audit_subject lautet dafür unknown, statt diese Anrechnung zu übernehmen. Die siebte Beauftragung zu den neuen E-Mail- und DNS-Diensten wurde erst für Mai 2025 angekündigt; ein Bericht dazu ist nicht veröffentlicht.

2017 beschlagnahmten türkische Behörden bei den Ermittlungen zur Ermordung des russischen Botschafters Andrei Karlov einen ExpressVPN-Server und fanden keine verwertbaren Logs (TorrentFreak, das einen Sponsoring-Hinweis für ExpressVPN trägt — vermerkt, nicht ausgeschlossen, da die Fakten extern überprüfbar sind und die eigene Stellungnahmeseite von ExpressVPN inzwischen HTTP 410 zurückgibt, ohne Snapshot in der Wayback Machine).

Im September 2021 wurde die Deferred Prosecution Agreement des DOJ mit Daniel Gericke, Chief Information Officer von ExpressVPN, wegen seiner früheren Rolle von 2016 bis 2018 in der Hacking-Operation „Project Raven“ der UAE öffentlich; das primäre DPA-Dokument selbst nennt ExpressVPN nie (es betrifft nur seine frühere Beschäftigung in den UAE) — die Verbindung zu ExpressVPN ergibt sich aus eigenen Stellungnahmen von ExpressVPN und aus Presseberichten. ExpressVPN beschäftigte Gericke weiter und veröffentlichte eine öffentliche Verteidigung dieser Entscheidung.

C12 ist resettable_ad_id im eigenen Text des Anbieters und nicht in einer Store-Kategorie. Der Marketing-Absatz der Datenschutzrichtlinie besagt, dass eine Installations-ID und eine XV User ID immer erhoben werden und dass Werbekennungen — IDFA oder die Android Advertising ID — nach ausdrücklicher Einwilligung folgen; all dies erreicht AppsFlyer. Das Play-Datensicherheitsformular erklärt unabhängig davon Device or other IDs für Werbung oder Marketing.

Die Einwilligungsschwelle und eine Mitigation, die hier sonst niemand anbietet – über AppsFlyer geleiteter Datenverkehr, der durch einen dedizierten ExpressVPN-IP-Pool geleitet wird, sodass die Attribution nicht anhand der IP korrelieren kann – sind real und werden hier aufgezeichnet, weil die Untergrenze bewertet, was festgehalten werden kann, nicht wie gut es erklärt wird.

U07_protocols umfasst den gesamten Auswahlbereich: Lightway UDP und TCP als vendor_open, daneben WireGuard, OpenVPN UDP/TCP und IKEv2. Lightway ist das eigene Protokoll von ExpressVPN, und sein Quellcode ist veröffentlicht, mit einer unabhängigen Prüfung dahinter (Cure53, 2021 und 2024). Genau dafür gibt es die Unterscheidung vendor_open – proprietary bewertet die Unmöglichkeit, festzustellen, ob ein Transport schwach ist, und hier lässt sich das feststellen.

PPTP ist in den ExpressVPN-Apps laut der eigenen Protokollseite des Anbieters eingestellt, und L2TP sowie SSTP werden dort erklärt, ohne angeboten zu werden.