IVPN vs. Windscribe

Das noch nicht veröffentlichte Audit. Das achte jährliche Cure53-Audit war für Juli 2026 angesetzt, und für 2025 oder 2026 ist noch kein Bericht veröffentlicht, weshalb das jüngste Berichtsdatum das vom April 2024 ist.

Der Vorfall im August 2026. Im August 2026 nutzte ein Angreifer eine Schwachstelle im selbst gehosteten BTCPay Server aus, bevor sie öffentlich war, und erlangte IVPNs eigene Lightning-Betriebsmittel. IVPN veröffentlichte den Bericht darüber vier Tage später unaufgefordert und begrenzte den Vorfall auf diese Maschine: Die VPN-Gateways waren nicht betroffen, es wurde auf keine Kundendatensätze zugegriffen, und es ging kein Geld von Kunden verloren.

Warum es nichts kostet. Das Modell verlangt dafür nichts, und genau das ist der Punkt — ein Betreiber, der dies umgehend sagt, verhält sich so, wie es der Bereich belohnen soll, und der Eintrag steht hier, damit ein Leser weiß, dass es geschehen ist, nicht um eine Zahl zu verändern.

Was die Beauftragungen abdeckten. Der App-Pentest (iOS, Android, Electron, der Daemon) stammt aus dem März 2022 und die Prüfung von Gateway und Serverbetriebssystem aus dem Februar 2023; keine der beiden Prüfungen untersuchte die Behauptung zur Nichtprotokollierung selbst, wie der Bericht von 2023 ausdrücklich sagt, daher beruht die Speicherdauer allein auf der Erklärung in der Datenschutzrichtlinie.

Der jüngste Bericht ist nicht der relevante. Die Beauftragung vom April 2024, Cure53s sechste mit IVPN, prüfte die Website für Kundenkonten, die API und das Hosting; auf der eigenen Geltungsbereichsseite werden Client-Apps und VPN-Server als nicht umfasst genannt, sodass sie weder den Beleg zu den Apps noch den zu den Gateways erweitert, und V03_audit_subject lautet dafür unknown, statt diese Anrechnung zu übernehmen. Die siebte Beauftragung zu den neuen E-Mail- und DNS-Diensten wurde erst für Mai 2025 angekündigt; ein Bericht dazu ist nicht veröffentlicht.

Was die primäre Website nie belegt. RAM-only wird als teilweise erfasst, weil IVPN es als Übergang mit laufenden Testbereitstellungen beschreibt und dessen Abschluss nicht angekündigt hat. Das Eigentum an der Server-Hardware (gemietet oder im Eigentum), die Änderung des Datenverkehrs am Exit und die persönliche Jurisdiktion des wirtschaftlich Berechtigten sind nicht belegt: Keine primäre IVPN-Seite nennt einen dieser drei Punkte, ebenso wenig die Größe der Nutzerbasis.

Drei Felder, die die Wissensbasis beantwortet, nicht die bei der ersten Erfassung gelesenen Seiten. Die IP-Zuweisung ist konstruktionsbedingt geteilt — durch „crowding“ werden Nutzer auf einer Adresse gebündelt, um die Zuordnung zu erschweren. P2P ist überall erlaubt, aber IVPN bittet Kunden, US-Exits zu vermeiden, und verweist auf Druck durch vorgelagerte Anbieter aufgrund des DMCA. Für Streaming gibt es keine Garantie, obwohl das Unternehmen angibt, dass viele Kunden darauf zugreifen.

Warum die Speicherdauer auf Grundlage des Befunds bewertet wird. Die Speicherdauer wird daher danach bewertet, was ein Auditor als erreichbar nachgewiesen hat, und nicht danach, was die Richtlinie erklärt; der Integritätskanal trägt den Abstand zwischen beidem. Lesen Sie das als einen zwei Jahre alten Befund auf einem Knoten, nicht als aktuelle Messung: Der Umfang betraf allein ca-023.windscribe.com, und ein neuerer Auftrag, der mehr von der Flotte abdeckt, würde dies klären.

Die Liste, die nie gelesen wurde. Die angebotene Länderliste wurde nie gelesen, daher können weder der Länder-Usability-Score noch die Schnittmenge mit der Vorgabe berechnet werden – Windscribe veröffentlicht eine Unterscheidung zwischen physisch und virtuell, wodurch C09b hier beantwortbar wird, sobald die Liste vorliegt. Die Nutzergröße ist ebenfalls nicht belegt, sodass die Expositionsstufe auf weniger beruht, als sie sollte.

Woher die drei Ereignisse jetzt ihre Quellenangabe nehmen. AIN.UA führt weiterhin die am 24. Juni 2021 beschlagnahmten ukrainischen Server, und Windscribe's eigener Blog den am 11. April 2025 abgewiesenen griechischen Fall. Die niederländische Beschlagnahmung und das Beschlagnahmungsfeld verweisen nun auf Windscribe's eigene No-Logs-Seite statt auf die durch das Partnerprogramm bezahlte Presse, die zuerst darüber berichtete: Der Bericht eines Unternehmens über seine eigene Beschlagnahmung ist eine Primärquelle, nicht der Bericht eines anderen über eine solche. Das ukrainische Ereignis ist auf die Beschlagnahmung selbst datiert, nicht auf den Bericht darüber.