ExpressVPN vs. Surfshark

Der Transparenzbericht. P05/P06/P08/P09 stützen sich nun auf den halbjährlichen Transparenzbericht von ExpressVPN (Juli–Dezember 2025: 155 Anfragen von Behörden und Strafverfolgungsbehörden, 0 Offenlegungen, 3 separat aufgeführte Haftbefehle), der über das Trust Center aufgerufen wurde — in der vorherigen Prüfung wurden beide übersehen.

Der Canary und der Rest des Blocks. Es konnte kein Haftbefehls-Canary von ExpressVPN gefunden werden, und keine primäre Erklärung verneint einen solchen, daher bleibt P07 unbekannt. P02/P03=none_known stützen sich auf die Transparenzserie und die Haltung der Datenschutzrichtlinie zu Rechtsstreitigkeiten; P11=none_known auf die Aussage der Richtlinie, dass alle Vorgaben über Gerichte auf den Britischen Jungferninseln laufen. P04=withdrew_physical ist der Exit aus Indien im Juni 2022.

Was nie veröffentlicht wird. Die Zahl der Abonnenten (M08) und die Gesamtzahl der Server (U03) werden nicht veröffentlicht. Das Eigentum an der Serverhardware (C08: Eigentum vs. gemietet) und Kennungen auf App-Ebene für Geräte (C12) konnten auf keiner geprüften Seite belegt werden.

106 Länder gegenüber einer Behauptung von 113. U02_server_countries entspricht den 105 Länder-Landingpages in ExpressVPNs eigener Sitemap plus China (bestätigt als „Available - Virtual Locations“ auf der aktiven /vpn-server-Seite, aber ohne eigene Landingpage) — insgesamt 106 Codes gegenüber der eigenen Marketingangabe „113 Countries“; die aktive Serverstandortseite ist eine sehr große Tabelle pro Protokoll, die nicht vollständig ausgewertet wurde, daher wird die Lücke zwischen 106 und 113 berichtet, statt sie aufzulösen.

Ein Audit-Befund zwischen zwei Kategorien. V11_audit_findings ist als session_metadata statt none_linkable oder aggregates_only erfasst: Der KPMG-Bericht von 2025 beschreibt einen strukturierten Datensatz pro Verbindung (Land, ISP, Datum, Protokoll, Datenvolumen, ein stabiles Pseudonym aus einem gesalzenen Hash), der über ein reines Aggregat hinausgeht, aber IP und genaue Zeitangabe nicht enthält — ein tatsächlich mehrdeutiger Fall für die vier mittleren Kategorien dieses Feldes.

In diesem Durchgang nicht geprüft. Ob die Abdeckung von ExpressVPN außerhalb von Affiliate-Seiten besteht (X08), ihre Affiliate-Auszahlungsstufe (X10) und ob von Eigentümern betriebene Testmedien die Eigentümerverbindung kenntlich machen (X11), wurden in diesem Durchgang nicht geprüft.

P2P, gesucht und nicht vorhanden. U12a_p2p_allowed bleibt aus einem anderen Grund als der Rest unbekannt: Es wurde danach gesucht und ist nicht veröffentlicht. Weder die Sitemap (578 Seiten- und Support-URLs) noch die Nutzungsbedingungen erwähnen irgendwo P2P, BitTorrent oder Filesharing, während jeder andere katalogisierte Anbieter seine Position in den eigenen Dokumenten angibt. Ein Supportartikel oder eine Klausel in den Nutzungsbedingungen würde die Lücke schließen; eine Testseite, die besagt, dass es funktioniert, würde dies nicht tun.

Indien und das Regime geheimer Anordnungen. P04_mandate_response=withdrew_physical ist der Rückzug aus Indien im Juni 2022, wiederhergestellt aus dem eigenen Blog von Surfshark (surfshark.com/blog/surfshark-servers-certin-india), nachdem der frühere Durchlauf ergeben hatte, dass die Seite /trust-center dies nicht mehr enthielt. P11=judicial_only stützt sich auf den Transparenzbericht, der die Anordnung des Amsterdam District Court vom April 2026 sowie seine Zähler für National-Security-letter und geheime Anordnung mit null ausweist.

Zwei Berichte gefunden, vielleicht nicht alle. Es wurden nur zwei veröffentlichte Deloitte-No-Logs-Berichte (Dez. 2022, Juni 2025) gefunden; möglicherweise gibt es weitere, die nicht von robots.txt verlinkt werden und nach denen dieses Audit nicht mit anderen Mitteln gesucht hat.

2017 beschlagnahmten türkische Behörden bei den Ermittlungen zur Ermordung des russischen Botschafters Andrei Karlov einen ExpressVPN-Server und fanden keine verwertbaren Logs (TorrentFreak, das einen Sponsoring-Hinweis für ExpressVPN trägt — vermerkt, nicht ausgeschlossen, da die Fakten extern überprüfbar sind und die eigene Stellungnahmeseite von ExpressVPN inzwischen HTTP 410 zurückgibt, ohne Snapshot in der Wayback Machine).

Im September 2021 wurde die Deferred Prosecution Agreement des DOJ mit Daniel Gericke, Chief Information Officer von ExpressVPN, wegen seiner früheren Rolle von 2016 bis 2018 in der Hacking-Operation „Project Raven“ der UAE öffentlich; das primäre DPA-Dokument selbst nennt ExpressVPN nie (es betrifft nur seine frühere Beschäftigung in den UAE) — die Verbindung zu ExpressVPN ergibt sich aus eigenen Stellungnahmen von ExpressVPN und aus Presseberichten. ExpressVPN beschäftigte Gericke weiter und veröffentlichte eine öffentliche Verteidigung dieser Entscheidung.

C12 ist resettable_ad_id im eigenen Text des Anbieters und nicht in einer Store-Kategorie. Der Marketing-Absatz der Datenschutzrichtlinie besagt, dass eine Installations-ID und eine XV User ID immer erhoben werden und dass Werbekennungen — IDFA oder die Android Advertising ID — nach ausdrücklicher Einwilligung folgen; all dies erreicht AppsFlyer. Das Play-Datensicherheitsformular erklärt unabhängig davon Device or other IDs für Werbung oder Marketing.

Die Einwilligungsschwelle und eine Mitigation, die hier sonst niemand anbietet – über AppsFlyer geleiteter Datenverkehr, der durch einen dedizierten ExpressVPN-IP-Pool geleitet wird, sodass die Attribution nicht anhand der IP korrelieren kann – sind real und werden hier aufgezeichnet, weil die Untergrenze bewertet, was festgehalten werden kann, nicht wie gut es erklärt wird.

U07_protocols umfasst den gesamten Auswahlbereich: Lightway UDP und TCP als vendor_open, daneben WireGuard, OpenVPN UDP/TCP und IKEv2. Lightway ist das eigene Protokoll von ExpressVPN, und sein Quellcode ist veröffentlicht, mit einer unabhängigen Prüfung dahinter (Cure53, 2021 und 2024). Genau dafür gibt es die Unterscheidung vendor_open – proprietary bewertet die Unmöglichkeit, festzustellen, ob ein Transport schwach ist, und hier lässt sich das feststellen.

PPTP ist in den ExpressVPN-Apps laut der eigenen Protokollseite des Anbieters eingestellt, und L2TP sowie SSTP werden dort erklärt, ohne angeboten zu werden.

Dieser Datensatz wurde zuvor zweimal gelesen — connection_timestamps in V11 aus der Formulierung des Audits, source_ip in C01 aus der Formulierung der Richtlinie — und mit dem schlechteren der beiden Werte bewertet, wodurch der Puffer von fünfzehn Minuten mehr kostete, als überhaupt nichts zu sagen: Eine Leerstelle bei C01 entspricht dem Marktprior 0,550 und source_ip 0,750.

R29 zieht nun die Grenze: Ein Zustand, der innerhalb eines erklärten Zeitfensters gelöscht wird, das an das Ende der Sitzung gebunden ist, ist die Verbindung und nicht deren Aufzeichnung, daher lauten beide Felder im selben Satz connection_timestamps. Angerechnet wird weiterhin, was die Sitzung überdauert — das Datum des letzten Logins in Richtlinienabschnitt 2.3.1 und die vom Auditor genannten connection timestamps.

Surfshark und NordVPN haben eine gemeinsame Muttergesellschaft (Nord Security, seit 2022), aber die eigene About-us-Seite von Surfshark erklärt, dass die Marken „während sie unabhängig operierten“ mit getrennter Infrastruktur fusionierten — M18 wird auf dieser Grundlage als getrennt gesetzt und bildet damit den Datensatz von nordvpn.com nach.

U12a ist in der eigenen P2P-Spalte der Servertabelle teilweise statt ja: 88 der 100 aufgeführten Länder führen sie, zwölf nicht (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Die Spalte wird clientseitig geladen, daher wurde sie aus der gerenderten Tabelle abgelesen und nicht aus dem statischen HTML, in dem jede Zeile jedes Label trägt.

Der Transparenzbericht unter /transparency-report — wohin /warrant-canary jetzt weiterleitet — führt das Quartal April–Juni 2026 als Tabelle auf: 374.719 DMCA-Meldungen, 33 Anfragen von staatlichen Einrichtungen, 1 Haftbefehl, 0 Schreiben zur nationalen Sicherheit und 0 Schweigepflicht-Anordnungen. P08 zählt die 34 rechtlichen Anfragen und lässt die DMCA-Meldungen außen vor: Dabei handelt es sich um Urheberrechtsbeschwerden über Datenverkehr, nicht um Anfragen nach den Daten eines Nutzers.