IVPN vs. Private Internet Access

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und V03_audit_subject lautet dafür unknown, statt diese Anrechnung zu übernehmen. Die siebte Beauftragung zu den neuen E-Mail- und DNS-Diensten wurde erst für Mai 2025 angekündigt; ein Bericht dazu ist nicht veröffentlicht.

Was die primäre Website nie belegt. RAM-only wird als teilweise erfasst, weil IVPN es als Übergang mit laufenden Testbereitstellungen beschreibt und dessen Abschluss nicht angekündigt hat. Das Eigentum an der Server-Hardware (gemietet oder im Eigentum), die Änderung des Datenverkehrs am Exit und die persönliche Jurisdiktion des wirtschaftlich Berechtigten sind nicht belegt: Keine primäre IVPN-Seite nennt einen dieser drei Punkte, ebenso wenig die Größe der Nutzerbasis.

Drei Felder, die die Wissensbasis beantwortet, nicht die bei der ersten Erfassung gelesenen Seiten. Die IP-Zuweisung ist konstruktionsbedingt geteilt — durch „crowding“ werden Nutzer auf einer Adresse gebündelt, um die Zuordnung zu erschweren. P2P ist überall erlaubt, aber IVPN bittet Kunden, US-Exits zu vermeiden, und verweist auf Druck durch vorgelagerte Anbieter aufgrund des DMCA. Für Streaming gibt es keine Garantie, obwohl das Unternehmen angibt, dass viele Kunden darauf zugreifen.

Was nicht untersucht wurde. Der Bericht deckt nur die Infrastruktur ab. C07a_app_sdk und C12_device_identifier sind Fakten auf App-Seite, die er nie untersucht hat; sie verweisen nun stattdessen auf die Datenschutzrichtlinie, die Analysen für Website-Besucher und optionale Diagnoseberichte mit Plattform- und App-Version beschreibt. Beide als Aussage über in die App kompilierten SDKs zu lesen, ist die schwächste Verbindung in diesem Datensatz; dort, wo es tatsächlich geklärt würde, sind die Open-Source-Clients.

Die Vorladung von 2016 stützt sich auf die eigene Aussage von PIA, nicht auf die Gerichtsakte. Die einzige detaillierte Darstellung des Falls McWaters (S.D. Fla., 9:16-cr-80043) steht auf einer Partnerseite, die dieser Datensatz nicht als Quelle angeben kann; der Verfahrensregistereintrag von CourtListener für diesen Fall nennt weder eine Vorladung noch einen Anbieter oder einen Ausgang. P03_court_record und P12_case_history beruhen nun auf der eigenen Aussage von PIA in einem Transparenzbericht, dass PIA 2016–2017 vorgeladen wurde und nichts herausgab — eine Selbsterklärung der B-Ebene, kein verifiziertes Gerichtsprotokoll.

M08_user_scale, P02_disclosure_history, P03_court_record und P12_case_history wurden anhand derselben Quellen erneut gelesen und bleiben unverändert; die zentrale Seite zum Transparenzbericht nennt weiterhin keinen Fall außer den bereits erfassten Vorladungen von 2016–2017. Die erneute Prüfung der Preise anhand derselben buy-vpn-online-Seite ergab, dass beide Werte unverändert sind: monatlich 11,95 $, Einjahresplan 47,88 $, im ersten Jahr abgerechnet und danach automatisch zum gleichen Betrag von 47,88 $ verlängert, ohne Lücke zwischen Einführungs- und Verlängerungspreis, im Einklang mit der an anderer Stelle im Katalog vermerkten Pauschalpreisgestaltung von PIA.

Belegt durch die eigenen Seiten und den Blog von privateinternetaccess.com, die beiden Deloitte ISAE 3000 (Revised) „Independent Limited Assurance Report“-PDFs (April 2024 und Dezember 2025, beide direkt geöffnet und gelesen), die eigene Website von Kape Technologies, die auf Isle of Man/Companies House basierende Berichterstattung zur Übernahme von Kape im Jahr 2023 durch Unikmind Holdings (Teddy Sagi) von der Börse sowie die offizielle GitHub-Organisation pia-foss für die Open-Source-Clients.

Der öffentliche CourtListener-Verfahrensregistereintrag für United States v. McWaters (9:16-cr-80043, S.D. Fla.) wurde geöffnet, nennt jedoch weder eine Vorladung noch einen VPN-Anbieter oder einen Ausgang; der Partnerartikel (vpncompare.co.uk), der diese Vorladung ausführlich beschreibt, wurde als unzulässige Quelle verworfen, und die eigene Berichterstattung von TorrentFreak lieferte bei jedem Abrufversuch in diesem Durchlauf, einschließlich curl, HTTP 403 zurück. P03/P12 beruhen nun stattdessen auf der eigenen Selbsterklärung von PIA in einem Transparenzbericht.

Wikipedia wurde in V12 zugunsten der GitHub-Organisation selbst entfernt. Keine Partnerseite und keine „best VPN“-Aggregatorseite wurde irgendwo in diesem Datensatz als Sachquelle verwendet, obwohl mehrere davon in den Suchergebnissen wiederholt mit plausibel wirkenden Zahlen (Serveranzahlen, Nutzerzahlen, Audit-Daten) auftauchten, die nicht anhand einer Primärseite gegengeprüft werden konnten und verworfen statt verwendet wurden.