Mullvad VPN vs. NordVPN

Der Rechenzentrumsverstoß in Finnland von 2018 war ein Eindringen durch einen Dritten, keine Beschlagnahme durch Strafverfolgungsbehörden — er wird unter P12_case_history als kind=breach erfasst, nicht als P01_seizure_event. Die eigene Darstellung von NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) und die zeitgleiche Berichterstattung von Bloomberg stimmen darin überein, dass die Offenlegung auf Twitter-Anschuldigungen externer Forschender folgte, nicht auf eine eigene Initiative von NordVPN — daher third_party_disclosed statt self_disclosed_late.

NordVPN und Surfshark haben mit Nord Security denselben Mutterkonzern, aber die eigene Fusionsankündigung beider Unternehmen nennt separate Infrastruktur und Produkt-Roadmaps; M18 wird auf dieser Grundlage als getrennt festgelegt.

Warum die Anzahl acht beträgt. Die Anzahl der Audits beträgt acht, weil die GotaTun-Überprüfung außerhalb der eigenen Liste des App-Repositorys liegt. Zuvor fand eine 30 Personentage umfassende X41-D-Sec-Überprüfung über alle fünf Plattformen hinweg sechs Schwachstellen — drei hohe, zwei mittlere, eine niedrige, keine kritische.

Was keine Beauftragung abdeckt. Keine dieser Beauftragungen deckt die Serverflotte ab: Jede einzelne untersucht die App oder das Tunnelprotokoll, weshalb die Flottenabdeckung als nicht anwendbar und nicht als Stichprobe erfasst wird. Die No-Logs-Behauptung auf der Infrastrukturseite stützt sich daher auf den Durchsuchungsbeschluss vom April 2023 — die schwedische Polizei kam wegen Kundendaten und ging ohne sie — und nicht auf irgendein Audit.

Reproduzierbare Builds, nur für Android. Reproduzierbare Builds gibt es nur für Android, ab Version 2025.2, daher bleibt das Feld teilweise; die Desktop- und iOS-Builds sind nicht Bit für Bit verifizierbar. Die Türkei ist das einzige Land mit Vorgabe in der angebotenen Liste, und das Hosting dahinter ist nicht belegt.

Nichts über Forderungen veröffentlicht. Nichts im Datensatz stützt sich auf etwas, das der Anbieter über eingehende Forderungen veröffentlicht: Es gibt weder einen Transparenzbericht noch eine geheime Anordnung, daher trägt die Beschlagnahme vom April 2023 diese Grundlage allein. Die Abdeckung des Kill-Switches und die P2P-Richtlinie sind nicht belegt; das jüngste Audit ist ein Code-Review des Protokolls und keine Beauftragung zu No-Logs, daher bleibt V11 stumm, und die Speicherdauer stützt sich auf die Erklärung.

Der Canary und das Quartal, das ihn ersetzte. Dieselbe Seite stellte den Warrant Canary (P07=removed) zugunsten vierteljährlicher Transparenzberichte ein; das letzte vollständige Quartal (April–Juni 2026) weist 85 behördliche Anfragen und 0 Offenlegungen aus, daher beziehen sich P08/P09 auf diesen Zeitraum und nicht auf den lebenslangen Wert.

Indien und das Regime geheimer Anordnungen. P04=withdrew_physical ist der Rückzug aus Indien im Juni 2022. P11=none_known beruht auf der Aussage der Seite, dass NordVPN keine bindenden National Security Letters oder geheimen Anordnungen erhalten hat, sowie auf dem Fehlen eines solchen Regimes in Panama.

Eine Assurance-Ebene, die niemand prüfen kann. NordVPN beschreibt das Deloitte-Lithuania-Engagement als ein angemessenes Assurance-Engagement nach ISAE 3000 (Revised), was die stärkere Form wäre; der lesbare Bericht von PIA stellt eine Schlussfolgerung mit begrenzter Assurance fest.

Warum die stärkere Form nicht angerechnet wird. Das Modell bewertet diesen Unterschied jetzt, und dieser Datensatz erhält daraus keinen Vorteil: V15_assurance_strength ist unbekannt, weil die einzige Angabe zur Ebene von NordVPN selbst stammt und einen Bericht betrifft, den niemand außerhalb eines Nord Account öffnen kann. Ein Dokument hinter einer Anmeldung ist hier auf keiner Ebene ein Beleg, daher wird der Auftrag nach der Marktnorm angerechnet und nicht nach der Ebene, die er angeblich erreicht hat.

Ein Bericht hinter einer Anmeldung. Der Bericht selbst ist erst nach der Anmeldung bei einem Nord Account lesbar, daher hat niemand außerhalb dieser Beziehung seinen Umfang geprüft, und jedes Audit-Feld hier stützt sich auf die eigene Zusammenfassung von NordVPN statt auf das Dokument. Das – und nicht ein Befund gegen den Dienst – ist der Grund, warum dieser Datensatz der belegärmste im Katalog ist.