ExpressVPN vs. Opera VPN

Der Transparenzbericht. P05/P06/P08/P09 stützen sich nun auf den halbjährlichen Transparenzbericht von ExpressVPN (Juli–Dezember 2025: 155 Anfragen von Behörden und Strafverfolgungsbehörden, 0 Offenlegungen, 3 separat aufgeführte Haftbefehle), der über das Trust Center aufgerufen wurde — in der vorherigen Prüfung wurden beide übersehen.

Der Canary und der Rest des Blocks. Es konnte kein Haftbefehls-Canary von ExpressVPN gefunden werden, und keine primäre Erklärung verneint einen solchen, daher bleibt P07 unbekannt. P02/P03=none_known stützen sich auf die Transparenzserie und die Haltung der Datenschutzrichtlinie zu Rechtsstreitigkeiten; P11=none_known auf die Aussage der Richtlinie, dass alle Vorgaben über Gerichte auf den Britischen Jungferninseln laufen. P04=withdrew_physical ist der Exit aus Indien im Juni 2022.

Was nie veröffentlicht wird. Die Zahl der Abonnenten (M08) und die Gesamtzahl der Server (U03) werden nicht veröffentlicht. Das Eigentum an der Serverhardware (C08: Eigentum vs. gemietet) und Kennungen auf App-Ebene für Geräte (C12) konnten auf keiner geprüften Seite belegt werden.

106 Länder gegenüber einer Behauptung von 113. U02_server_countries entspricht den 105 Länder-Landingpages in ExpressVPNs eigener Sitemap plus China (bestätigt als „Available - Virtual Locations“ auf der aktiven /vpn-server-Seite, aber ohne eigene Landingpage) — insgesamt 106 Codes gegenüber der eigenen Marketingangabe „113 Countries“; die aktive Serverstandortseite ist eine sehr große Tabelle pro Protokoll, die nicht vollständig ausgewertet wurde, daher wird die Lücke zwischen 106 und 113 berichtet, statt sie aufzulösen.

Ein Audit-Befund zwischen zwei Kategorien. V11_audit_findings ist als session_metadata statt none_linkable oder aggregates_only erfasst: Der KPMG-Bericht von 2025 beschreibt einen strukturierten Datensatz pro Verbindung (Land, ISP, Datum, Protokoll, Datenvolumen, ein stabiles Pseudonym aus einem gesalzenen Hash), der über ein reines Aggregat hinausgeht, aber IP und genaue Zeitangabe nicht enthält — ein tatsächlich mehrdeutiger Fall für die vier mittleren Kategorien dieses Feldes.

In diesem Durchgang nicht geprüft. Ob die Abdeckung von ExpressVPN außerhalb von Affiliate-Seiten besteht (X08), ihre Affiliate-Auszahlungsstufe (X10) und ob von Eigentümern betriebene Testmedien die Eigentümerverbindung kenntlich machen (X11), wurden in diesem Durchgang nicht geprüft.

P2P, gesucht und nicht vorhanden. U12a_p2p_allowed bleibt aus einem anderen Grund als der Rest unbekannt: Es wurde danach gesucht und ist nicht veröffentlicht. Weder die Sitemap (578 Seiten- und Support-URLs) noch die Nutzungsbedingungen erwähnen irgendwo P2P, BitTorrent oder Filesharing, während jeder andere katalogisierte Anbieter seine Position in den eigenen Dokumenten angibt. Ein Supportartikel oder eine Klausel in den Nutzungsbedingungen würde die Lücke schließen; eine Testseite, die besagt, dass es funktioniert, würde dies nicht tun.

Warum der Score davon nicht abhängt. Sowohl clean als auch unknown price liegen bei 0,000, daher fließt nichts davon in den Score ein; was fehlt, ist der Datensatz, nicht die Zahl, und der nächste Durchlauf sollte bei den Einreichungen von Kunlun und dem Bundesregister beginnen, nicht bei einer Zusammenfassung davon.

Der Bericht, der vier Felder ändern würde. Der Deloitte-Bericht ist das andere Dokument, das mehrere Felder auf einmal ändern würde: V04, V07, V11 und V15 sind nur deshalb unbekannt, weil er nicht veröffentlicht ist, und insbesondere V11 ist das Feld, auf dem die gesamte No-Logs-Behauptung beruht.

Was kein Dokument hat. U07 hat kein Dokument, und C13 dahinter ebenfalls nicht: Opera nennt AES-256 und einen „secure tunnel“, aber nie ein Protokoll, daher ist der schwächste angebotene Transport nicht belegt. U08, U09 und U12b sind aus demselben Grund nicht ausgefüllt – die Funktionsvergleichstabelle auf der Produktseite markiert Zeilen mit Häkchen, die das abgerufene Markup nicht enthält, und Häkchen aus einem gerenderten Bild abzulesen ist keine Quelle.

Server beschrieben, nicht belegt. Hinter C02, C06 und C08 steht nichts: Opera sagt, die Server seien physisch und im eigenen Besitz, was weder Datenträger noch DNS noch die Eigentümerschaft an der Hardware klärt. C09b lässt sich nicht beantworten, solange U02 unbekannt ist.

Ein Store, nicht zwei. Gelesen wurde nur das Formular zur Datensicherheit bei Google Play; die Datenschutzangaben im App Store für den iOS-Browser wurden nicht gelesen, sodass X12 auf einem Store beruht und nicht auf dem schlechteren von zwei.

Zwei Lesarten statt Aussagen. Linux in U01 wird aus dem Desktop-Hilfshandbuch abgeleitet, das das VPN dokumentiert und Windows, macOS und Linux gemeinsam abdeckt, ohne nach Plattformen aufzuschlüsseln; Android und iOS werden in der Audit-Ankündigung ausdrücklich genannt. U10 ist unbegrenzt, weil es weder ein Konto noch eine Geräteobergrenze gibt, mit der eine solche Begrenzung durchgesetzt werden könnte; das ist eine Lesart des Produkts und keine genannte Zahl.

2017 beschlagnahmten türkische Behörden bei den Ermittlungen zur Ermordung des russischen Botschafters Andrei Karlov einen ExpressVPN-Server und fanden keine verwertbaren Logs (TorrentFreak, das einen Sponsoring-Hinweis für ExpressVPN trägt — vermerkt, nicht ausgeschlossen, da die Fakten extern überprüfbar sind und die eigene Stellungnahmeseite von ExpressVPN inzwischen HTTP 410 zurückgibt, ohne Snapshot in der Wayback Machine).

Im September 2021 wurde die Deferred Prosecution Agreement des DOJ mit Daniel Gericke, Chief Information Officer von ExpressVPN, wegen seiner früheren Rolle von 2016 bis 2018 in der Hacking-Operation „Project Raven“ der UAE öffentlich; das primäre DPA-Dokument selbst nennt ExpressVPN nie (es betrifft nur seine frühere Beschäftigung in den UAE) — die Verbindung zu ExpressVPN ergibt sich aus eigenen Stellungnahmen von ExpressVPN und aus Presseberichten. ExpressVPN beschäftigte Gericke weiter und veröffentlichte eine öffentliche Verteidigung dieser Entscheidung.

C12 ist resettable_ad_id im eigenen Text des Anbieters und nicht in einer Store-Kategorie. Der Marketing-Absatz der Datenschutzrichtlinie besagt, dass eine Installations-ID und eine XV User ID immer erhoben werden und dass Werbekennungen — IDFA oder die Android Advertising ID — nach ausdrücklicher Einwilligung folgen; all dies erreicht AppsFlyer. Das Play-Datensicherheitsformular erklärt unabhängig davon Device or other IDs für Werbung oder Marketing.

Die Einwilligungsschwelle und eine Mitigation, die hier sonst niemand anbietet – über AppsFlyer geleiteter Datenverkehr, der durch einen dedizierten ExpressVPN-IP-Pool geleitet wird, sodass die Attribution nicht anhand der IP korrelieren kann – sind real und werden hier aufgezeichnet, weil die Untergrenze bewertet, was festgehalten werden kann, nicht wie gut es erklärt wird.

U07_protocols umfasst den gesamten Auswahlbereich: Lightway UDP und TCP als vendor_open, daneben WireGuard, OpenVPN UDP/TCP und IKEv2. Lightway ist das eigene Protokoll von ExpressVPN, und sein Quellcode ist veröffentlicht, mit einer unabhängigen Prüfung dahinter (Cure53, 2021 und 2024). Genau dafür gibt es die Unterscheidung vendor_open – proprietary bewertet die Unmöglichkeit, festzustellen, ob ein Transport schwach ist, und hier lässt sich das feststellen.

PPTP ist in den ExpressVPN-Apps laut der eigenen Protokollseite des Anbieters eingestellt, und L2TP sowie SSTP werden dort erklärt, ohne angeboten zu werden.

Wer dieser Dritte ist, hat sich geändert: Die Audit-Ankündigung von 2024 sagt, die Server von VPN Pro würden „in Zusammenarbeit mit Nord bereitgestellt“, und die Erläuterung von 2026 sagt, VPN Pro sei „mit dem Next-Gen-Lightway-Protokoll ausgestattet“, das von ExpressVPN stammt. Keines der beiden Dokumente sagt, dass sich die Vereinbarung geändert hat.

X02 ist die maßgebliche Feststellung, und beide zugrunde liegenden Dokumente stammen von Opera selbst. Die Ankündigung von 2024 zitiert Deloittes Urteil mit den Worten: „Die Konfiguration der IT-Systeme und die Verwaltung der unterstützenden IT-Abläufe wurden in allen wesentlichen Belangen angemessen entworfen und umgesetzt, basierend auf den in Operas Management Assertion beschriebenen Kriterien, mit Stand vom 10. August 2024“, und schreibt den Satz „In den VPN-Dienst ist keine Funktion zur Protokollierung von Daten eingebaut, und es werden überhaupt keine Daten erfasst“ gesondert Operas eigener Management Assertion zu.

Der Beitrag von 2026 schildert dasselbe Audit so, als habe Deloitte die Feststellung getroffen: „Wir gewährten dem Team von Deloitte vollständigen Zugang zu unserem VPN und unserer Serverinfrastruktur, und es konnte unsere Behauptung überprüfen … Tatsächlich ist eine Funktion zur Protokollierung von Daten überhaupt nicht in das VPN eingebaut.“ Derselbe Beitrag wertet einen Zeitraum, den der Beitrag von 2024 mit dem 18. Juni bis 10. August 2024 angibt, zu „vollständigem Zugang“ auf.

Opera beschreibt ihre eigene Behauptung als Schlussfolgerung ihres Auditors. Deshalb ist der VERIFY-Block so aufgeteilt. V01 ist aufgrund eines tatsächlich geöffneten Berichts yes_verified – der eigenen veröffentlichten Managementzusammenfassung von Cure53 zu ihrer Prüfung im März 2022 – und nicht aufgrund der Ankündigung von Deloitte.

Der Deloitte-Bericht selbst ist nirgendwo veröffentlicht, daher ist V02 press_only, und jedes Feld, das ein Ergebnis dieses Berichts und keine Tatsache über den Prüfauftrag ist, bleibt unbekannt: Abdeckung der Flotte (V04), Prüfungsstandard (V07), was laut Bericht gespeichert wird (V11) und die Stärke des Urteils (V15).