Mullvad VPN vs. Opera VPN

Wer dieser Dritte ist, hat sich geändert: Die Audit-Ankündigung von 2024 sagt, die Server von VPN Pro würden „in Zusammenarbeit mit Nord bereitgestellt“, und die Erläuterung von 2026 sagt, VPN Pro sei „mit dem Next-Gen-Lightway-Protokoll ausgestattet“, das von ExpressVPN stammt. Keines der beiden Dokumente sagt, dass sich die Vereinbarung geändert hat.

X02 ist die maßgebliche Feststellung, und beide zugrunde liegenden Dokumente stammen von Opera selbst. Die Ankündigung von 2024 zitiert Deloittes Urteil mit den Worten: „Die Konfiguration der IT-Systeme und die Verwaltung der unterstützenden IT-Abläufe wurden in allen wesentlichen Belangen angemessen entworfen und umgesetzt, basierend auf den in Operas Management Assertion beschriebenen Kriterien, mit Stand vom 10. August 2024“, und schreibt den Satz „In den VPN-Dienst ist keine Funktion zur Protokollierung von Daten eingebaut, und es werden überhaupt keine Daten erfasst“ gesondert Operas eigener Management Assertion zu.

Der Beitrag von 2026 schildert dasselbe Audit so, als habe Deloitte die Feststellung getroffen: „Wir gewährten dem Team von Deloitte vollständigen Zugang zu unserem VPN und unserer Serverinfrastruktur, und es konnte unsere Behauptung überprüfen … Tatsächlich ist eine Funktion zur Protokollierung von Daten überhaupt nicht in das VPN eingebaut.“ Derselbe Beitrag wertet einen Zeitraum, den der Beitrag von 2024 mit dem 18. Juni bis 10. August 2024 angibt, zu „vollständigem Zugang“ auf.

Opera beschreibt ihre eigene Behauptung als Schlussfolgerung ihres Auditors. Deshalb ist der VERIFY-Block so aufgeteilt. V01 ist aufgrund eines tatsächlich geöffneten Berichts yes_verified – der eigenen veröffentlichten Managementzusammenfassung von Cure53 zu ihrer Prüfung im März 2022 – und nicht aufgrund der Ankündigung von Deloitte.

Der Deloitte-Bericht selbst ist nirgendwo veröffentlicht, daher ist V02 press_only, und jedes Feld, das ein Ergebnis dieses Berichts und keine Tatsache über den Prüfauftrag ist, bleibt unbekannt: Abdeckung der Flotte (V04), Prüfungsstandard (V07), was laut Bericht gespeichert wird (V11) und die Stärke des Urteils (V15).

Tatsachen zum Prüfauftrag – die Firma, ihre Kategorie, das Datum und was als geprüft aufgeführt wurde – stammen aus der Ankündigung. Ein Anbieter, der dieses Audit nachweislich einmal neu charakterisiert hat, ist keine Quelle dafür, wozu das Audit gelangt ist. C01 ist none_linkable, weil das die Erklärung in der Datenschutzerklärung ist; V11 ist das Ergebnis, und es gibt kein Ergebnis, das gelesen werden kann.

Der Bericht von Cure53 ist echt und der Grund dafür, dass V14 yes_verified ist: sieben Tester, vierundzwanzig Personentage, White-Box über vier Arbeitspakete hinweg, die die VPN-Clients, die Serverkonfiguration und -infrastruktur sowie das von Opera Mini zur Bereitstellung der VPN-Konfiguration verwendete Protokoll abdeckten. Vierzehn sicherheitsrelevante Probleme, davon acht tatsächliche Schwachstellen, fünf mit hohem Schweregrad bewertet und keine als kritisch bewertet.

Im März 2022 waren neun behoben und die Behebungen verifiziert, eines teilweise behoben, drei Risiken akzeptiert, eines ein Fehlalarm und eines noch in Arbeit. Operas Blog sagt, die sieben Elemente, die sich direkt auf das Browser-VPN beziehen, seien „alle anschließend behoben“ worden, und die Tabelle bestätigt das – der verbleibende Rest liegt im Arbeitspaket Opera Mini, nicht im VPN selbst.

Die Eigentumsverhältnisse sind vollständig offengelegt und enden in einem Vorgabeland, weshalb X03 und C11 in entgegengesetzte Richtungen weisen, ohne einander zu widersprechen.

Der in Operas eigener Datenschutzerklärung genannte Datenverantwortliche ist Opera Norway AS, ein norwegisches Unternehmen, und der Transparenzbericht ist auf diesen Namen eingereicht.

Die Holdinggesellschaft ist Opera Limited, eine im März 2018 auf den Cayman Islands gegründete Exempted Company ohne eigene substanzielle Geschäftstätigkeit. Das Form 20-F für 2025 nennt Hong Kong Kunlun Tech Holding Limited mit 68,0 % als Hauptaktionär, eine Tochtergesellschaft von Kunlun Tech Co., Ltd., die in der VR China gegründet wurde, und erklärt, Kunlun „is the ultimate parent of Opera and is controlled by Opera's executive chairman“.

M06 ist NO und C10 ist no, während M11 CN und C11 yes ist.

C12 ist die größte Lücke zwischen der Erklärung des VPN und der Anwendung, in der es enthalten ist. Der VPN-Abschnitt der Datenschutzerklärung erklärt, dass keine Protokollierung stattfindet; ein anderer Abschnitt desselben Dokuments sagt, dass bei der Installation einer Opera-Anwendung „eine zufällige Installations-ID generiert wird. Wir erfassen diese Kennung sowie die Machine ID, Hardwarespezifikationen (Modell, Veröffentlichungsdatum usw.), das Betriebssystem, die Umgebungskonfiguration und Daten zur Funktionsnutzung“, mit einer Speicherdauer von bis zu drei Jahren.

Eine Machine ID wird aus der Hardware abgeleitet, daher ist die Kennung, die der Anbieter hält, persistent_hardware_id und keine zufällige anwendungsbezogene Kennung, unabhängig davon, was der Tunnel protokolliert oder nicht protokolliert.

X12 vergleicht zwei Dokumente, die Opera selbst eingereicht hat. Das Play-Formular zur Datensicherheit für com.opera.browser erklärt, dass Installed apps für Analytics erfasst werden, und die Datenschutzerklärung erwähnt an keiner Stelle die Erfassung der auf dem Gerät installierten Anwendungen. Installed apps beschreibt ein Verhalten, keine Kennung, daher undisclosed_behaviour.

Dasselbe Formular erklärt, dass Device or other IDs zu Werbezwecken mit anderen Unternehmen geteilt werden; dadurch steht C07a auf ads. C07b beruht auf etwas Engerem und ist deshalb mit B gekennzeichnet: Der einzige Drittanbieter-Host im Markup der Produktseite ist Google Tag Manager, und was dieser Container zur Laufzeit lädt, wurde nicht aufgelistet.

U02 ist aufgrund des Produktdesigns unbekannt, nicht aufgrund eines Fehlschlags der Suche: Das kostenlose VPN bietet drei Regionen – Opera nennt sie America, Asia und Europe – und nie ein Land. C09 und C09b ergeben sich daraus und können nicht geklärt werden, solange dies gilt.

X05 ist ads_supported in Operas eigener Erläuterung, die Werbung an erster Stelle von drei Einnahmequellen aufführt und beschreibt, dass Opera Ads eine zufällig generierte Benutzer-ID, Stadt oder Land sowie breite Kategorien besuchter Websites erfasst, mit einer Speicherdauer von bis zu einem Jahr; zusammen mit U05 = unlimited_free ist dies genau der Fall, auf den R15 hinweisen soll.

X06 ist die Behauptung des Beitrags von 2026, dass es „einen Hacker mit selbst dem schnellsten Computer mehr als eine Milliarde Jahre kosten würde, AES-256 zu knacken“. X09 ist self_disclosed_prompt in zwei Beiträgen von 2026, in denen Opera von externen Forschern gemeldete Sicherheitslücken zusammen mit der Analyse und der behobenen Version veröffentlichte – dies sind Browser-Sicherheitslücken und keine VPN-Vorfälle, und kein VPN-Vorfall ist bekannt.

C05 ist not_sold. Das kostenlose VPN hat überhaupt keinen Zahlungsschritt – kein Abonnement, kein Konto –, daher gibt es nichts, was anonym oder anderweitig bezahlt werden könnte.

Dieser Datensatz wurde zunächst als none erfasst, was so gelesen wird, dass „nur die identifizierten Zahlungsmethoden angeboten werden“, und hier falsch ist, weil das Vokabular kein Token für einen Dienst vorsah, der kein Geld nimmt; unknown hätte behauptet, dass die Suche fehlgeschlagen ist, was ebenfalls falsch war, und zwischen zwei falschen Lesarten wurde diejenige erfasst, die zulasten des Anbieters irrt. Das Token existiert nun und wird mit nichts bepreist, was die ehrliche Antwort ist: Wo es keine Zahlung gibt, gibt es auch keine Zahlungsidentität, die offengelegt werden könnte.

Warum die Anzahl acht beträgt. Die Anzahl der Audits beträgt acht, weil die GotaTun-Überprüfung außerhalb der eigenen Liste des App-Repositorys liegt. Zuvor fand eine 30 Personentage umfassende X41-D-Sec-Überprüfung über alle fünf Plattformen hinweg sechs Schwachstellen — drei hohe, zwei mittlere, eine niedrige, keine kritische.

Was keine Beauftragung abdeckt. Keine dieser Beauftragungen deckt die Serverflotte ab: Jede einzelne untersucht die App oder das Tunnelprotokoll, weshalb die Flottenabdeckung als nicht anwendbar und nicht als Stichprobe erfasst wird. Die No-Logs-Behauptung auf der Infrastrukturseite stützt sich daher auf den Durchsuchungsbeschluss vom April 2023 — die schwedische Polizei kam wegen Kundendaten und ging ohne sie — und nicht auf irgendein Audit.

Reproduzierbare Builds, nur für Android. Reproduzierbare Builds gibt es nur für Android, ab Version 2025.2, daher bleibt das Feld teilweise; die Desktop- und iOS-Builds sind nicht Bit für Bit verifizierbar. Die Türkei ist das einzige Land mit Vorgabe in der angebotenen Liste, und das Hosting dahinter ist nicht belegt.

Nichts über Forderungen veröffentlicht. Nichts im Datensatz stützt sich auf etwas, das der Anbieter über eingehende Forderungen veröffentlicht: Es gibt weder einen Transparenzbericht noch eine geheime Anordnung, daher trägt die Beschlagnahme vom April 2023 diese Grundlage allein. Die Abdeckung des Kill-Switches und die P2P-Richtlinie sind nicht belegt; das jüngste Audit ist ein Code-Review des Protokolls und keine Beauftragung zu No-Logs, daher bleibt V11 stumm, und die Speicherdauer stützt sich auf die Erklärung.