Mullvad VPN vs. Surfshark

Warum die Anzahl acht beträgt. Die Anzahl der Audits beträgt acht, weil die GotaTun-Überprüfung außerhalb der eigenen Liste des App-Repositorys liegt. Zuvor fand eine 30 Personentage umfassende X41-D-Sec-Überprüfung über alle fünf Plattformen hinweg sechs Schwachstellen — drei hohe, zwei mittlere, eine niedrige, keine kritische.

Was keine Beauftragung abdeckt. Keine dieser Beauftragungen deckt die Serverflotte ab: Jede einzelne untersucht die App oder das Tunnelprotokoll, weshalb die Flottenabdeckung als nicht anwendbar und nicht als Stichprobe erfasst wird. Die No-Logs-Behauptung auf der Infrastrukturseite stützt sich daher auf den Durchsuchungsbeschluss vom April 2023 — die schwedische Polizei kam wegen Kundendaten und ging ohne sie — und nicht auf irgendein Audit.

Reproduzierbare Builds, nur für Android. Reproduzierbare Builds gibt es nur für Android, ab Version 2025.2, daher bleibt das Feld teilweise; die Desktop- und iOS-Builds sind nicht Bit für Bit verifizierbar. Die Türkei ist das einzige Land mit Vorgabe in der angebotenen Liste, und das Hosting dahinter ist nicht belegt.

Nichts über Forderungen veröffentlicht. Nichts im Datensatz stützt sich auf etwas, das der Anbieter über eingehende Forderungen veröffentlicht: Es gibt weder einen Transparenzbericht noch eine geheime Anordnung, daher trägt die Beschlagnahme vom April 2023 diese Grundlage allein. Die Abdeckung des Kill-Switches und die P2P-Richtlinie sind nicht belegt; das jüngste Audit ist ein Code-Review des Protokolls und keine Beauftragung zu No-Logs, daher bleibt V11 stumm, und die Speicherdauer stützt sich auf die Erklärung.

Indien und das Regime geheimer Anordnungen. P04_mandate_response=withdrew_physical ist der Rückzug aus Indien im Juni 2022, wiederhergestellt aus dem eigenen Blog von Surfshark (surfshark.com/blog/surfshark-servers-certin-india), nachdem der frühere Durchlauf ergeben hatte, dass die Seite /trust-center dies nicht mehr enthielt. P11=judicial_only stützt sich auf den Transparenzbericht, der die Anordnung des Amsterdam District Court vom April 2026 sowie seine Zähler für National-Security-letter und geheime Anordnung mit null ausweist.

Zwei Berichte gefunden, vielleicht nicht alle. Es wurden nur zwei veröffentlichte Deloitte-No-Logs-Berichte (Dez. 2022, Juni 2025) gefunden; möglicherweise gibt es weitere, die nicht von robots.txt verlinkt werden und nach denen dieses Audit nicht mit anderen Mitteln gesucht hat.

Dieser Datensatz wurde zuvor zweimal gelesen — connection_timestamps in V11 aus der Formulierung des Audits, source_ip in C01 aus der Formulierung der Richtlinie — und mit dem schlechteren der beiden Werte bewertet, wodurch der Puffer von fünfzehn Minuten mehr kostete, als überhaupt nichts zu sagen: Eine Leerstelle bei C01 entspricht dem Marktprior 0,550 und source_ip 0,750.

R29 zieht nun die Grenze: Ein Zustand, der innerhalb eines erklärten Zeitfensters gelöscht wird, das an das Ende der Sitzung gebunden ist, ist die Verbindung und nicht deren Aufzeichnung, daher lauten beide Felder im selben Satz connection_timestamps. Angerechnet wird weiterhin, was die Sitzung überdauert — das Datum des letzten Logins in Richtlinienabschnitt 2.3.1 und die vom Auditor genannten connection timestamps.

Surfshark und NordVPN haben eine gemeinsame Muttergesellschaft (Nord Security, seit 2022), aber die eigene About-us-Seite von Surfshark erklärt, dass die Marken „während sie unabhängig operierten“ mit getrennter Infrastruktur fusionierten — M18 wird auf dieser Grundlage als getrennt gesetzt und bildet damit den Datensatz von nordvpn.com nach.

U12a ist in der eigenen P2P-Spalte der Servertabelle teilweise statt ja: 88 der 100 aufgeführten Länder führen sie, zwölf nicht (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Die Spalte wird clientseitig geladen, daher wurde sie aus der gerenderten Tabelle abgelesen und nicht aus dem statischen HTML, in dem jede Zeile jedes Label trägt.

Der Transparenzbericht unter /transparency-report — wohin /warrant-canary jetzt weiterleitet — führt das Quartal April–Juni 2026 als Tabelle auf: 374.719 DMCA-Meldungen, 33 Anfragen von staatlichen Einrichtungen, 1 Haftbefehl, 0 Schreiben zur nationalen Sicherheit und 0 Schweigepflicht-Anordnungen. P08 zählt die 34 rechtlichen Anfragen und lässt die DMCA-Meldungen außen vor: Dabei handelt es sich um Urheberrechtsbeschwerden über Datenverkehr, nicht um Anfragen nach den Daten eines Nutzers.

Auf derselben Seite steht, dass Surfshark seine Warrant-Canary zugunsten einer vierteljährlichen Berichterstattung einstellt, weshalb P07 entfernt statt none ist — die Canary existierte und wurde bewusst zurückgezogen.

U07_protocols führt für Dausos proprietary nach eigener Aussage von Surfshark: Auf der Protokollseite wird Dausos als „Surfshark's proprietär[es] Protokoll“ bezeichnet und keine Quelle dafür veröffentlicht — dieser einzelne Wert setzt C13_weakest_protocol und den darauf folgenden Hygiene-Abzug. IKEv2 bleibt erhalten, weil Surfshark es weiterhin dokumentiert, obwohl der eigene Blog die Entfernung aus der Windows-App festhält; Shadowsocks ist aus dem Support-Index verschwunden und wird nicht aufgeführt.