IVPN vs. Opera VPN

Wer dieser Dritte ist, hat sich geändert: Die Audit-Ankündigung von 2024 sagt, die Server von VPN Pro würden „in Zusammenarbeit mit Nord bereitgestellt“, und die Erläuterung von 2026 sagt, VPN Pro sei „mit dem Next-Gen-Lightway-Protokoll ausgestattet“, das von ExpressVPN stammt. Keines der beiden Dokumente sagt, dass sich die Vereinbarung geändert hat.

X02 ist die maßgebliche Feststellung, und beide zugrunde liegenden Dokumente stammen von Opera selbst. Die Ankündigung von 2024 zitiert Deloittes Urteil mit den Worten: „Die Konfiguration der IT-Systeme und die Verwaltung der unterstützenden IT-Abläufe wurden in allen wesentlichen Belangen angemessen entworfen und umgesetzt, basierend auf den in Operas Management Assertion beschriebenen Kriterien, mit Stand vom 10. August 2024“, und schreibt den Satz „In den VPN-Dienst ist keine Funktion zur Protokollierung von Daten eingebaut, und es werden überhaupt keine Daten erfasst“ gesondert Operas eigener Management Assertion zu.

Der Beitrag von 2026 schildert dasselbe Audit so, als habe Deloitte die Feststellung getroffen: „Wir gewährten dem Team von Deloitte vollständigen Zugang zu unserem VPN und unserer Serverinfrastruktur, und es konnte unsere Behauptung überprüfen … Tatsächlich ist eine Funktion zur Protokollierung von Daten überhaupt nicht in das VPN eingebaut.“ Derselbe Beitrag wertet einen Zeitraum, den der Beitrag von 2024 mit dem 18. Juni bis 10. August 2024 angibt, zu „vollständigem Zugang“ auf.

Opera beschreibt ihre eigene Behauptung als Schlussfolgerung ihres Auditors. Deshalb ist der VERIFY-Block so aufgeteilt. V01 ist aufgrund eines tatsächlich geöffneten Berichts yes_verified – der eigenen veröffentlichten Managementzusammenfassung von Cure53 zu ihrer Prüfung im März 2022 – und nicht aufgrund der Ankündigung von Deloitte.

Der Deloitte-Bericht selbst ist nirgendwo veröffentlicht, daher ist V02 press_only, und jedes Feld, das ein Ergebnis dieses Berichts und keine Tatsache über den Prüfauftrag ist, bleibt unbekannt: Abdeckung der Flotte (V04), Prüfungsstandard (V07), was laut Bericht gespeichert wird (V11) und die Stärke des Urteils (V15).

Tatsachen zum Prüfauftrag – die Firma, ihre Kategorie, das Datum und was als geprüft aufgeführt wurde – stammen aus der Ankündigung. Ein Anbieter, der dieses Audit nachweislich einmal neu charakterisiert hat, ist keine Quelle dafür, wozu das Audit gelangt ist. C01 ist none_linkable, weil das die Erklärung in der Datenschutzerklärung ist; V11 ist das Ergebnis, und es gibt kein Ergebnis, das gelesen werden kann.

Der Bericht von Cure53 ist echt und der Grund dafür, dass V14 yes_verified ist: sieben Tester, vierundzwanzig Personentage, White-Box über vier Arbeitspakete hinweg, die die VPN-Clients, die Serverkonfiguration und -infrastruktur sowie das von Opera Mini zur Bereitstellung der VPN-Konfiguration verwendete Protokoll abdeckten. Vierzehn sicherheitsrelevante Probleme, davon acht tatsächliche Schwachstellen, fünf mit hohem Schweregrad bewertet und keine als kritisch bewertet.

Im März 2022 waren neun behoben und die Behebungen verifiziert, eines teilweise behoben, drei Risiken akzeptiert, eines ein Fehlalarm und eines noch in Arbeit. Operas Blog sagt, die sieben Elemente, die sich direkt auf das Browser-VPN beziehen, seien „alle anschließend behoben“ worden, und die Tabelle bestätigt das – der verbleibende Rest liegt im Arbeitspaket Opera Mini, nicht im VPN selbst.

Die Eigentumsverhältnisse sind vollständig offengelegt und enden in einem Vorgabeland, weshalb X03 und C11 in entgegengesetzte Richtungen weisen, ohne einander zu widersprechen.

Der in Operas eigener Datenschutzerklärung genannte Datenverantwortliche ist Opera Norway AS, ein norwegisches Unternehmen, und der Transparenzbericht ist auf diesen Namen eingereicht.

Die Holdinggesellschaft ist Opera Limited, eine im März 2018 auf den Cayman Islands gegründete Exempted Company ohne eigene substanzielle Geschäftstätigkeit. Das Form 20-F für 2025 nennt Hong Kong Kunlun Tech Holding Limited mit 68,0 % als Hauptaktionär, eine Tochtergesellschaft von Kunlun Tech Co., Ltd., die in der VR China gegründet wurde, und erklärt, Kunlun „is the ultimate parent of Opera and is controlled by Opera's executive chairman“.

M06 ist NO und C10 ist no, während M11 CN und C11 yes ist.

C12 ist die größte Lücke zwischen der Erklärung des VPN und der Anwendung, in der es enthalten ist. Der VPN-Abschnitt der Datenschutzerklärung erklärt, dass keine Protokollierung stattfindet; ein anderer Abschnitt desselben Dokuments sagt, dass bei der Installation einer Opera-Anwendung „eine zufällige Installations-ID generiert wird. Wir erfassen diese Kennung sowie die Machine ID, Hardwarespezifikationen (Modell, Veröffentlichungsdatum usw.), das Betriebssystem, die Umgebungskonfiguration und Daten zur Funktionsnutzung“, mit einer Speicherdauer von bis zu drei Jahren.

Eine Machine ID wird aus der Hardware abgeleitet, daher ist die Kennung, die der Anbieter hält, persistent_hardware_id und keine zufällige anwendungsbezogene Kennung, unabhängig davon, was der Tunnel protokolliert oder nicht protokolliert.

X12 vergleicht zwei Dokumente, die Opera selbst eingereicht hat. Das Play-Formular zur Datensicherheit für com.opera.browser erklärt, dass Installed apps für Analytics erfasst werden, und die Datenschutzerklärung erwähnt an keiner Stelle die Erfassung der auf dem Gerät installierten Anwendungen. Installed apps beschreibt ein Verhalten, keine Kennung, daher undisclosed_behaviour.

Dasselbe Formular erklärt, dass Device or other IDs zu Werbezwecken mit anderen Unternehmen geteilt werden; dadurch steht C07a auf ads. C07b beruht auf etwas Engerem und ist deshalb mit B gekennzeichnet: Der einzige Drittanbieter-Host im Markup der Produktseite ist Google Tag Manager, und was dieser Container zur Laufzeit lädt, wurde nicht aufgelistet.

U02 ist aufgrund des Produktdesigns unbekannt, nicht aufgrund eines Fehlschlags der Suche: Das kostenlose VPN bietet drei Regionen – Opera nennt sie America, Asia und Europe – und nie ein Land. C09 und C09b ergeben sich daraus und können nicht geklärt werden, solange dies gilt.

X05 ist ads_supported in Operas eigener Erläuterung, die Werbung an erster Stelle von drei Einnahmequellen aufführt und beschreibt, dass Opera Ads eine zufällig generierte Benutzer-ID, Stadt oder Land sowie breite Kategorien besuchter Websites erfasst, mit einer Speicherdauer von bis zu einem Jahr; zusammen mit U05 = unlimited_free ist dies genau der Fall, auf den R15 hinweisen soll.

X06 ist die Behauptung des Beitrags von 2026, dass es „einen Hacker mit selbst dem schnellsten Computer mehr als eine Milliarde Jahre kosten würde, AES-256 zu knacken“. X09 ist self_disclosed_prompt in zwei Beiträgen von 2026, in denen Opera von externen Forschern gemeldete Sicherheitslücken zusammen mit der Analyse und der behobenen Version veröffentlichte – dies sind Browser-Sicherheitslücken und keine VPN-Vorfälle, und kein VPN-Vorfall ist bekannt.

C05 ist not_sold. Das kostenlose VPN hat überhaupt keinen Zahlungsschritt – kein Abonnement, kein Konto –, daher gibt es nichts, was anonym oder anderweitig bezahlt werden könnte.

Dieser Datensatz wurde zunächst als none erfasst, was so gelesen wird, dass „nur die identifizierten Zahlungsmethoden angeboten werden“, und hier falsch ist, weil das Vokabular kein Token für einen Dienst vorsah, der kein Geld nimmt; unknown hätte behauptet, dass die Suche fehlgeschlagen ist, was ebenfalls falsch war, und zwischen zwei falschen Lesarten wurde diejenige erfasst, die zulasten des Anbieters irrt. Das Token existiert nun und wird mit nichts bepreist, was die ehrliche Antwort ist: Wo es keine Zahlung gibt, gibt es auch keine Zahlungsidentität, die offengelegt werden könnte.

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und