Kopf an Kopf
Der Abstand
Der Sicherheits-Score ist keine Summe guter Dinge. Er beginnt bei 100, und acht Kanäle nehmen jeweils einen Anteil von dem, was übrig ist, sodass ein einzelner Kanal einen Datensatz allein entscheiden kann. Beide Datensätze sind hier auf derselben Skala gezeichnet — der eigenen Obergrenze des Modells von 0.9 — statt auf einer für dieses Paar zurechtgeschnittenen Skala, die jeden Vergleich gleich dramatisch aussehen ließe.
Zeile für Zeile
Jedes Feld, das der Vertrag über einen Anbieter veröffentlicht, in den eigenen Gruppen des Vertrags, einschließlich der Zeilen, in denen beide übereinstimmen — eine Tabelle, die nur Unterschiede druckt, würde eine Uneinigkeit erfinden, und eine, die nur die interessanten Zeilen druckt, wären wir, die auswählen, was interessant ist. Öffnen Sie eine Gruppe, um ihre Zeilen zu lesen; jede sagt, wie viele sie enthält und bei wie vielen davon die beiden Datensätze unterschiedlich antworten.
Eine grüne Zelle bedeutet, dass die Methodik selbst diesen Wert niedriger bepreist als den anderen, nicht dass wir ihn bevorzugen. Zeilen, die das Modell nicht bepreist, tragen gar keine Markierung: Der Preis wird nie markiert, denn nichts im Modell sagt, dass billiger sicherer ist, und ebenso wenig Abdeckung, Plattformzahl oder Geräte. Wo ein Wert nie belegt wurde, sagt die Zelle das, statt eine Null zu zeigen.
Was tatsächlich geschah
Andere Paare
Paare innerhalb der Top 10 bekommen eine Seite — 80 Vergleiche insgesamt. Datensätze darunter werden hier nicht gepaart: Ein Vergleich verdient sich eine Seite dort, wo die Wahl zwischen beiden real ist, und diese Wahl trifft man nahe der Spitze des Registers.
Sicherheit
Usability
Rang 2 von 68 im Register
Schweden · Kommerzielles VPN
Exits in 50 Ländern
Sicherheit
Usability
Rang 8 von 68 im Register
Vereinigte Staaten · Kommerzielles VPN
Exits in 20 Ländern
1 dokumentierte Fall, keiner davon führte zu Daten
1 dokumentierte Fall, keiner davon führte zu Daten
Offene Fragen
Bei diesem Datensatz noch offen.
Der Audit-Turnus. Mullvad veröffentlicht im App-Repository ein Audit-Verzeichnis, und dieses ist beim Turnus eindeutig: Im Verzeichnis steht ausdrücklich, dass die Audits der Haupt-App alle zwei Jahre stattfinden, mit zusätzlichen Audits dazwischen. Deshalb wird die Regelmäßigkeit als wiederholt in keinem festen Intervall erfasst und nicht als jährliche Reihe — niemand behauptet einen jährlichen Turnus.
Zwei Berichte, ein Datum. Zwei separate Beauftragungen teilen sich den 17.02.2026, und der Datensatz nennt beide: Assureds Code-Review von GotaTun, der WireGuard-Implementierung im Userspace (keine kritischen, hohen oder mittleren Probleme; zwei niedrige und neun Hinweise), sowie Leviathans Mobile App Profile-Bewertung der Android-App, deren Konformitätsbericht den 17. Februar 2026 als Bewertungsdatum und AL2 als Sicherheitsstufe angibt. Ein Datum, zwei Berichte, kein Widerspruch.
Warum die Anzahl acht beträgt. Die Anzahl der Audits beträgt acht, weil die GotaTun-Überprüfung außerhalb der eigenen Liste des App-Repositorys liegt. Zuvor fand eine 30 Personentage umfassende X41-D-Sec-Überprüfung über alle fünf Plattformen hinweg sechs Schwachstellen — drei hohe, zwei mittlere, eine niedrige, keine kritische.
Was keine Beauftragung abdeckt. Keine dieser Beauftragungen deckt die Serverflotte ab: Jede einzelne untersucht die App oder das Tunnelprotokoll, weshalb die Flottenabdeckung als nicht anwendbar und nicht als Stichprobe erfasst wird. Die No-Logs-Behauptung auf der Infrastrukturseite stützt sich daher auf den Durchsuchungsbeschluss vom April 2023 — die schwedische Polizei kam wegen Kundendaten und ging ohne sie — und nicht auf irgendein Audit.
Reproduzierbare Builds, nur für Android. Reproduzierbare Builds gibt es nur für Android, ab Version 2025.2, daher bleibt das Feld teilweise; die Desktop- und iOS-Builds sind nicht Bit für Bit verifizierbar. Die Türkei ist das einzige Land mit Vorgabe in der angebotenen Liste, und das Hosting dahinter ist nicht belegt.
Nichts über Forderungen veröffentlicht. Nichts im Datensatz stützt sich auf etwas, das der Anbieter über eingehende Forderungen veröffentlicht: Es gibt weder einen Transparenzbericht noch eine geheime Anordnung, daher trägt die Beschlagnahme vom April 2023 diese Grundlage allein. Die Abdeckung des Kill-Switches und die P2P-Richtlinie sind nicht belegt; das jüngste Audit ist ein Code-Review des Protokolls und keine Beauftragung zu No-Logs, daher bleibt V11 stumm, und die Speicherdauer stützt sich auf die Erklärung.
Bei diesem Datensatz noch offen.
Kein unabhängiges Audit. Auf der Website, in der Presse oder in Hilfedokumentationen wurde kein Audit der Sicherheit, Infrastruktur oder Nichtprotokollierung durch Dritte für die eigenen Systeme von OVPN gefunden; der ähnlichste adversariale Test der Behauptung zur Nichtprotokollierung ist das schwedische Gerichtsverfahren von 2020, das kein Audit ist und den aktuellen WireGuard/OpenVPN-Stack nicht im Detail behandelt.
Die Historie der Eigentümergruppe geht der Übernahme von OVPN voraus. Der nachteilige Befund hinter der Aufnahme dieses Datensatzes (X04) ist eine Beschwerde aus dem Jahr 2017 gegen AnchorFree, den Unternehmensvorgänger von Pango, wegen der Weitergabe von Daten aus dem Werbenetzwerk von Hotspot Shield – sechs Jahre bevor Pango OVPN übernahm. Sie wurde von der FTC nie entschieden, und die eigene Infrastruktur und die Richtlinien von OVPN sind in diesem Datensatz gesondert dokumentiert.
Auf zwei Einheiten aufgeteilte Unternehmensstruktur. Die aktuellen Nutzungsbedingungen und die Datenschutzerklärung von OVPN nennen OVPN Inc. (Redwood City, California) als Vertragspartei, während das eigene Hilfezentrum von OVPN OVPN Integritet AB (Sweden, org. no. 556999-4469) als Betreiber nennt. Beide werden als Unternehmen unter demselben letztendlichen Eigentümer, Pango, beschrieben; welche Einheit die Infrastruktur und die rechtliche Verantwortung für einen bestimmten Nutzer hält, wurde nicht weiter geklärt.
Jüngste Änderungen
35 Änderungen protokolliert, die letzte am 25. Sept. 2026
1 Änderung protokolliert, am 13. Sept. 2026
Anmerkungen
Zum Datensatz als Ganzes.
Der Durchsuchungsbefehl vom April 2023 ist das stärkste einzelne Element in diesem Datensatz: Die Polizei erschien im Büro und ging mit leeren Händen, was ein Praxisbeleg statt Papier ist und deutlich langsamer an Aktualität verliert als ein Audit. Die Preisgestaltung beträgt für jeden Zeitraum pauschal 5 EUR/Monat; U04_price_monthly enthält 5,80 (das von Mullvad auf der eigenen Seite angegebene USD-Äquivalent); U04b_price_yearly beträgt 69,60, das volle Jahr zu diesem Satz.
13. Sept. 20261 Änderung
Sicherheits-Scoresecurity.score
25 geändert zu 24
25. Sept. 20261 Änderung
Monatlicher Preis in USD, Monatsplan, wie berechnetU04_price_monthly
5.8 geändert zu 5.69
12. Sept. 20264 Änderungen
Sicherheits-Scoresecurity.score
65 geändert zu 64
Sicherheits-Scoresecurity.score
64 geändert zu 60
Funktioniert unter aktiver ZensurU06_censorship_circumvention
none geändert zu claimed
Usability-Scoreusability.score
55 geändert zu 64
Mullvad VPN und OVPN wurden vom Team von HushFleet geprüft: Mullvad VPN erzielt 60/100 bei der Sicherheit, in der Stufe Akzeptabel, und OVPN 24/100, in der Stufe Unzureichend. Sie teilen Anmeldung ohne Konto. Der 36-Punkte-Abstand öffnet sich am weitesten bei Integrität — „Ist er dabei ertappt worden, eines zu sagen und ein anderes zu tun?“ — und nimmt Mullvad VPN 0% und OVPN 32%.
| KanalDruck, genommen von dem, was übrig war | Mullvad VPNDominanter Kanal: Speicherdauer0 bis 0.9, länger ist schlechter | OVPNDominanter Kanal: Speicherdauer0 bis 0.9, länger ist schlechter |
|---|---|---|
| SpeicherdauerGibt es einen Datensatz, der Datenverkehr mit einer Person verknüpft, und wer hat das geprüft? | 0.218 | 0.329 |
| IntegritätIst er dabei ertappt worden, eines zu sagen und ein anderes zu tun? | 0.000 | 0.323 |
| UnwissenheitWie viel davon hat niemand belegt? | 0.103 | 0.227 |
| JurisdiktionKann jemand das Vorhandene erzwingen, ohne dass der Anbieter mitreden kann? | 0.050 | 0.200 |
| HygieneWelche identifizierenden Daten werden nebenbei erhoben, und kann der Client überhaupt überprüft werden? | 0.050 | 0.104 |
| ArchitekturWer betreibt den Exit, und was macht er mit dem Datenverkehr? | 0.050 | 0.050 |
| OffenlegungHat er bereits etwas herausgegeben? | 0.000 | 0.000 |
| SchweigenZehn Jahre, Millionen von Nutzern und nichts im Datensatz? | 0.000 | 0.000 |
| Was von 100 übrig bleibtDie Kanäle multiplizieren sich: Jeder nimmt einen Anteil von dem, was der vorherige übrig gelassen hat | 60 | 24 |
| Mullvad VPN | OVPN | |
|---|---|---|
| Sicherheit | 60 akzeptabel · Rang 2 von 68 | 24 unzureichend · Rang 8 von 68 |
| Usability | 64 von 100 | 62 von 100 |
| Vollständigkeit des Datensatzes | 87% Usability 75% | 70% Usability 100% |
| Mullvad VPN | OVPN | |
|---|---|---|
| Wer betreibt den Exit | Vom Anbieter selbst betrieben provider_operated | Vom Anbieter selbst betrieben provider_operated |
| Speicherdauer laut Angabe | Nichts, was den Datenverkehr mit einer Person verknüpft none_linkable | Nichts, was den Datenverkehr mit einer Person verknüpft none_linkable |
| RAM-only-Server ohne Festplatten | Ja, laut Angabe des Anbieters yes_declared | Ja, laut Angabe des Anbieters yes_declared |
| Modell der IP-Zuweisung | Von Nutzern gemeinsam genutzte Exit-Adresse sharedBmullvad.net · | Dedizierte Adresse als Option angeboten dedicated_optionBsupport.ovpn.com · |
| Anmeldung ohne E-Mail | Ja, laut Angabe des Anbieters yes_declared | Ja, laut Angabe des Anbieters yes_declared |
| Anonyme Zahlungsoptionen | Bargeld · Direkt bezahlte Kryptowährung · Prepaid-Gutschein oder GeschenkkarteBmullvad.net · | Kryptowährung über einen ZahlungsdienstleisterBsupport.ovpn.com · |
| Eigener DNS innerhalb des Tunnels | Ja, laut Angabe des Anbieters yes_declared | Ja, laut Angabe des Anbieters yes_declared |
| Schlimmste Kategorie von SDKs Dritter in der App | Kein SDK Dritter noneBmullvad.net · | Absturzberichte crashBapps.apple.com · |
| Schlimmste Kategorie von Trackern Dritter auf der Website | Kein Tracker Dritter noneBmullvad.net · | Analyse analyticsBovpn.com · |
| Wem gehört die Hardware | Eigene und gemietete Geräte mixedBmullvad.net · | Im Eigentum des Anbieters ownedBovpn.com · |
| Angebotene Länder, die einer Protokollierungsvorgabe unterliegen | 1 TürkeiBmullvad.net · | KeineBovpn.com · |
| Hosting in den angebotenen Ländern mit Vorgabe | — nicht belegtkeine Quelle veröffentlicht | — die Frage stellt sich nichtBovpn.com · |
| Das Gründungsland schreibt Speicherdauer vor | Keine solche Vorgabe noBmullvad.net · | — nicht belegtkeine Quelle veröffentlicht |
| Der wirtschaftlich Berechtigte unterliegt einer Speicherdauerregelung | Keine solche Regelung noCmullvad.net · | — nicht belegtkeine Quelle veröffentlicht |
| Dauerhafter Geräte-Identifikator | Keine gespeicherte Kennung none | Keine gespeicherte Kennung none |
| Das schwächste weiterhin angebotene Protokoll | — die Frage stellt sich nicht | — die Frage stellt sich nicht |
| Was der Exit mit durchgeleitetem Datenverkehr macht | — nicht belegt | — nicht belegt |
| Mullvad VPN | OVPN | |
|---|---|---|
| Mindestens ein unabhängiges Audit | Ja, und der Bericht wurde gelesen yes_verifiedBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
| Art der Veröffentlichung des Berichts | Der vollständige Bericht ist veröffentlicht full_pdfBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
| Gegenstand des Audits | Das Protokoll · Sicherheit der AppAassured.se · 2 Quellen · | — nicht belegtkeine Quelle veröffentlicht |
| Abdeckung der Server-Flotte | — die Frage stellt sich nichtkeine Quelle veröffentlicht | — |
| Mullvad VPN | OVPN | |
|---|---|---|
| Beschlagnahmung von Servern durch Strafverfolgungsbehörden | Beschlagnahmt, und es befanden sich keine nutzbaren Daten darauf seizure_no_dataBmullvad.net · | Keine Beschlagnahmung verzeichnet none_knownBovpn.com · |
| Tatsächliche Offenlegungshistorie | Keine dokumentierte Offenlegung none_known | Keine dokumentierte Offenlegung none_known |
| Gerichtliche Dokumentation der erzwungenen Herausgabe | Keine Gerichtsakte none_knownBmullvad.net · | Einem Gericht mitgeteilt, dass nichts vorzulegen sei unable_to_produceBovpn.com · |
| Mullvad VPN | OVPN | |
|---|---|---|
| Dokumentierte Lücke zwischen Behauptung und Verhalten | Keine dokumentierte Lüge none | Keine dokumentierte Lüge none |
| Marketing gegen Auditbefunde | Keine Lücke im Register none | Keine Lücke im Register none |
| Transparenz der Eigentümerstruktur | Die Eigentümerstruktur ist angegeben und überprüfbar clear | Die Eigentümerstruktur ist angegeben und überprüfbar clear |
| Nachteilige Ereignisse im Register der Eigentümergruppe | Nichts Nachteiliges im Register cleanCmullvad.net · | Eine Vorgeschichte mit Adware oder Malware adware_malware_historyAcdt.org · |
| Wie der Dienst bezahlt wird | Nur kostenpflichtige Abonnements paid_only | Nur kostenpflichtige Abonnements paid_only |
| Behauptungen von 100%iger Anonymität oder Verschlüsselung auf Militärniveau |
| Mullvad VPN | OVPN | |
|---|---|---|
| Juristische Person | Mullvad VPN AB, Box 53049, 400 14 Gothenburg, SwedenBmullvad.net · | OVPN Inc.Bovpn.com · |
| Wo das Unternehmen sitzt | Schweden SEBmullvad.net · | Vereinigte Staaten USBovpn.com · |
| Jahr, in dem der Dienst gestartet wurde | 2009Bmullvad.net · | 2014Bovpn.com · |
| Mullvad VPN | OVPN | |
|---|---|---|
| Plattformen mit einem Client | 5 Android, iOS, Linux, macOS, WindowsBmullvad.net · | 6 Windows, macOS, Linux, Android, iOS, RouterBovpn.com · |
| Länder mit einem Exit | 50 LänderBmullvad.net · | 20 LänderBovpn.com · |
| Monatlich zahlend | $5.69 pro MonatBmullvad.net · | $12.00 pro MonatBovpn.com · |
Nach Umstand
| Mullvad VPN | OVPN | |
|---|---|---|
| Torrenting | — nicht belegt | Erlaubt yes |
| Streaming | — nicht belegt | Erreichbar yes |
| Geräte gleichzeitig | 5 | 4 |
| Unter Zensur | Funktionieren behauptet claimed | Funktionieren behauptet claimed |
| Exits in Ländern mit Vorgabe | 1 Türkei | Keine |
| Hosting in diesen Ländern | — nicht belegt | — die Frage stellt sich nicht |
| Unternehmen unter einer Vorgabe | Keine solche Vorgabe no | — nicht belegt |
| Geheime Anordnungen | Anordnungen werden einem Richter vorgelegt judicial_only | Schreiben zur nationalen Sicherheit oder ihr Äquivalent nsl_equivalent |
| Name des Auditors | Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17Aassured.se · 3 Quellen · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Kategorie des Auditors | Ein Sicherheitsspezialist security_specialistBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Bestätigungsstandard | Ein weiterer Standard otherBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Datum des neuesten Berichts | 2026-02-17Aassured.se · 2 Quellen · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Audit-Rhythmus | Wiederholt, ohne festen Turnus repeated_irregularBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Insgesamt veröffentlichte Audits | 8Bgithub.com · 2 Quellen · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Speicherdauer laut Bericht | Der Bericht behandelt die Speicherdauer nicht not_statedBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Quellcode des Clients veröffentlicht | Jeder Client allBgithub.com · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Reproduzierbare Builds | Auf einigen Plattformen partialBmullvad.net · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Separater Pentest | Ja, und der Bericht wurde gelesen yes_verifiedAx41-dsec.de · 2 Quellen · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Stärke des Prüfungsurteils | — die Frage stellt sich nichtkeine Quelle veröffentlicht | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Reaktion auf eine nationale Vorgabe zur Protokollierung | War in diesem Land nie vertreten no_presenceBmullvad.net · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Transparenzbericht | — nicht belegtkeine Quelle veröffentlicht | Aktuell, mit Zahlen zu Anfragen fresh_with_numbersBovpn.com · |
|---|
| Gemeldete Zahlen für diese Größenordnung plausibel | — die Frage stellt sich nichtkeine Quelle veröffentlicht | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Warrant-Canary-Disziplin | — nicht belegt | — nicht belegt |
|---|
| Erhaltene Anfragen | — nicht belegtkeine Quelle veröffentlicht | 0Bovpn.com · |
|---|
| Anfragen, die Daten ergaben | — nicht belegtkeine Quelle veröffentlicht | 0Bovpn.com · |
|---|
| Regime für geheime Anordnungen | Anordnungen werden einem Richter vorgelegt judicial_onlyBmullvad.net · | Schreiben zur nationalen Sicherheit oder ihr Äquivalent nsl_equivalentBeff.org · |
|---|
| Chronologie dokumentierter Durchsetzungsereignisse | 1 dokumentierte FallBmullvad.net · | 1 dokumentierte FallBovpn.com · |
|---|
| — nicht belegtkeine Quelle veröffentlicht |
Behauptet vollständige Anonymität oder Verschlüsselung auf Militärniveau yesBsupport.ovpn.com · |
| Aggressive lebenslange Abonnements | Tut dies nicht no | Tut dies nicht no |
|---|
| Nur auf Affiliate-Seiten erwähnt | Auch außerhalb von Affiliate-Seiten erwähnt no | Auch außerhalb von Affiliate-Seiten erwähnt no |
|---|
| Sicherheitsvorfall und seine Offenlegung | Vom Anbieter zeitnah offengelegt self_disclosed_promptBmullvad.net · | Kein Vorfall im Register none_knownBovpn.com · |
|---|
| Partnerprogramm und Auszahlungsstufe | Kein Partnerprogramm noneBmullvad.net · | Eine Standardauszahlung standardBovpn.com · |
|---|
| Eigentümergeführtes Testbericht-Medium legt die Verbindung offen | — die Frage stellt sich nicht | — die Frage stellt sich nicht |
|---|
| App-Store-Angabe | Das Store-Formular entspricht der veröffentlichten Richtlinie matches_policy | Das Store-Formular entspricht der veröffentlichten Richtlinie matches_policy |
|---|
| Größe der Nutzerbasis (Massenmarkt >=10 Mio., mittel >=1 Mio., Nische <1 Mio.) | Mittel: eine Million Nutzer oder mehr midBmullvad.net · | — nicht belegtkeine Quelle veröffentlicht |
|---|
| Wirtschaftlich Berechtigter, wie angegeben | Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel BerntssonBmullvad.net · | PangoBsupport.ovpn.com · |
|---|
| Andere Unternehmen der Eigentümergruppe | Keine AngabenBmullvad.net · | Ein Portfolio anderer AppsCen.wikipedia.org · |
|---|
| Land des wirtschaftlich Berechtigten | SEBmullvad.net · | USBovpn.com · |
|---|
| Eigentümergruppe | independentBmullvad.net · | pangoBsupport.ovpn.com · 2 Quellen · |
|---|
| Datum, an dem der aktuelle Eigentümer die Kontrolle übernahm | — die Frage stellt sich nichtkeine Quelle veröffentlicht | 2023-05-08Bovpn.com · |
|---|
| Rolle dieser Marke innerhalb der Gruppe | Die Hauptmarke der Gruppe principalBmullvad.net · | Eine von der Gruppe erworbene Marke acquired_brandBovpn.com · |
|---|
| Mit Geschwisteranbietern im Cluster gemeinsam genutzte Infrastruktur | Separate Infrastruktur separate | Separate Infrastruktur separate |
|---|
| Jährlich zahlend | $69.60 pro Jahr bei Verlängerung, einmal abgerechnetBmullvad.net · | $59.88 pro Jahr bei Verlängerung, einmal abgerechnetBovpn.com · |
|---|
| Nutzbare kostenlose Stufe | Keine kostenlose Stufe none | Keine kostenlose Stufe none |
|---|
| Funktioniert unter aktiver Zensur | Funktionieren behauptet claimed | Funktionieren behauptet claimed |
|---|
| Angebotene Protokolle | 1 WireGuardBmullvad.net · 2 Quellen · | 3 OpenVPN, WireGuard, Ein verschleiertes ProtokollBovpn.com · 2 Quellen · |
|---|
| Abdeckung des Kill Switches | — nicht belegtkeine Quelle veröffentlicht | Nur auf Desktop desktop_onlyBsupport.ovpn.com · |
|---|
| Split-Tunneling verfügbar | Verfügbar yes | Verfügbar yes |
|---|
| Gleichzeitige Verbindungen | 5Bmullvad.net · | 4Bsupport.ovpn.com · |
|---|
| Hürde für den Nutzungsbeginn | Kein Konto erforderlich no_account | Kein Konto erforderlich no_account |
|---|
| P2P erlaubt | — nicht belegtkeine Quelle veröffentlicht | Erlaubt yesBsupport.ovpn.com · |
|---|
| Große Streaming-Dienste erreichbar | — nicht belegtkeine Quelle veröffentlicht | Erreichbar yesBsupport.ovpn.com · |
|---|
