IVPN vs. Mullvad VPN

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und V03_audit_subject lautet dafür unknown, statt diese Anrechnung zu übernehmen. Die siebte Beauftragung zu den neuen E-Mail- und DNS-Diensten wurde erst für Mai 2025 angekündigt; ein Bericht dazu ist nicht veröffentlicht.

Was die primäre Website nie belegt. RAM-only wird als teilweise erfasst, weil IVPN es als Übergang mit laufenden Testbereitstellungen beschreibt und dessen Abschluss nicht angekündigt hat. Das Eigentum an der Server-Hardware (gemietet oder im Eigentum), die Änderung des Datenverkehrs am Exit und die persönliche Jurisdiktion des wirtschaftlich Berechtigten sind nicht belegt: Keine primäre IVPN-Seite nennt einen dieser drei Punkte, ebenso wenig die Größe der Nutzerbasis.

Drei Felder, die die Wissensbasis beantwortet, nicht die bei der ersten Erfassung gelesenen Seiten. Die IP-Zuweisung ist konstruktionsbedingt geteilt — durch „crowding“ werden Nutzer auf einer Adresse gebündelt, um die Zuordnung zu erschweren. P2P ist überall erlaubt, aber IVPN bittet Kunden, US-Exits zu vermeiden, und verweist auf Druck durch vorgelagerte Anbieter aufgrund des DMCA. Für Streaming gibt es keine Garantie, obwohl das Unternehmen angibt, dass viele Kunden darauf zugreifen.

Warum die Anzahl acht beträgt. Die Anzahl der Audits beträgt acht, weil die GotaTun-Überprüfung außerhalb der eigenen Liste des App-Repositorys liegt. Zuvor fand eine 30 Personentage umfassende X41-D-Sec-Überprüfung über alle fünf Plattformen hinweg sechs Schwachstellen — drei hohe, zwei mittlere, eine niedrige, keine kritische.

Was keine Beauftragung abdeckt. Keine dieser Beauftragungen deckt die Serverflotte ab: Jede einzelne untersucht die App oder das Tunnelprotokoll, weshalb die Flottenabdeckung als nicht anwendbar und nicht als Stichprobe erfasst wird. Die No-Logs-Behauptung auf der Infrastrukturseite stützt sich daher auf den Durchsuchungsbeschluss vom April 2023 — die schwedische Polizei kam wegen Kundendaten und ging ohne sie — und nicht auf irgendein Audit.

Reproduzierbare Builds, nur für Android. Reproduzierbare Builds gibt es nur für Android, ab Version 2025.2, daher bleibt das Feld teilweise; die Desktop- und iOS-Builds sind nicht Bit für Bit verifizierbar. Die Türkei ist das einzige Land mit Vorgabe in der angebotenen Liste, und das Hosting dahinter ist nicht belegt.

Nichts über Forderungen veröffentlicht. Nichts im Datensatz stützt sich auf etwas, das der Anbieter über eingehende Forderungen veröffentlicht: Es gibt weder einen Transparenzbericht noch eine geheime Anordnung, daher trägt die Beschlagnahme vom April 2023 diese Grundlage allein. Die Abdeckung des Kill-Switches und die P2P-Richtlinie sind nicht belegt; das jüngste Audit ist ein Code-Review des Protokolls und keine Beauftragung zu No-Logs, daher bleibt V11 stumm, und die Speicherdauer stützt sich auf die Erklärung.