NordVPN vs. Opera VPN

Der Canary und das Quartal, das ihn ersetzte. Dieselbe Seite stellte den Warrant Canary (P07=removed) zugunsten vierteljährlicher Transparenzberichte ein; das letzte vollständige Quartal (April–Juni 2026) weist 85 behördliche Anfragen und 0 Offenlegungen aus, daher beziehen sich P08/P09 auf diesen Zeitraum und nicht auf den lebenslangen Wert.

Indien und das Regime geheimer Anordnungen. P04=withdrew_physical ist der Rückzug aus Indien im Juni 2022. P11=none_known beruht auf der Aussage der Seite, dass NordVPN keine bindenden National Security Letters oder geheimen Anordnungen erhalten hat, sowie auf dem Fehlen eines solchen Regimes in Panama.

Eine Assurance-Ebene, die niemand prüfen kann. NordVPN beschreibt das Deloitte-Lithuania-Engagement als ein angemessenes Assurance-Engagement nach ISAE 3000 (Revised), was die stärkere Form wäre; der lesbare Bericht von PIA stellt eine Schlussfolgerung mit begrenzter Assurance fest.

Warum die stärkere Form nicht angerechnet wird. Das Modell bewertet diesen Unterschied jetzt, und dieser Datensatz erhält daraus keinen Vorteil: V15_assurance_strength ist unbekannt, weil die einzige Angabe zur Ebene von NordVPN selbst stammt und einen Bericht betrifft, den niemand außerhalb eines Nord Account öffnen kann. Ein Dokument hinter einer Anmeldung ist hier auf keiner Ebene ein Beleg, daher wird der Auftrag nach der Marktnorm angerechnet und nicht nach der Ebene, die er angeblich erreicht hat.

Ein Bericht hinter einer Anmeldung. Der Bericht selbst ist erst nach der Anmeldung bei einem Nord Account lesbar, daher hat niemand außerhalb dieser Beziehung seinen Umfang geprüft, und jedes Audit-Feld hier stützt sich auf die eigene Zusammenfassung von NordVPN statt auf das Dokument. Das – und nicht ein Befund gegen den Dienst – ist der Grund, warum dieser Datensatz der belegärmste im Katalog ist.

Die Eigentümerfelder. M11_owner_jurisdiction und X04_owner_group_history sind unbekannt: nordvpn.com und nordsecurity.com nennen Nord Security als Eigentümer, aber keine der beiden Seiten nennt die eigene Jurisdiktion der Gründung von Nord Security oder eine frühere Historie der Gruppe; die Sekundärpresse bringt eine „Cyberspace“-Holdinggesellschaft seit der Fusion von 2022 mit den Niederlanden in Verbindung, doch dies wurde innerhalb der verfügbaren Zeit nicht gegen eine primäre Seite von Nord Security oder NordVPN bestätigt.

Was überhaupt nicht gelesen werden konnte. Der vollständige Text des Deloitte-Berichts von 2025 kann überhaupt nicht gelesen werden (durch Anmeldung geschützt), daher wird über die eigene Behauptung der Richtlinie in C01_linkable_retention hinaus kein Befund zur Speicherdauer festgehalten.

Die Servertabelle, die sich nicht öffnen ließ. C09b_mandate_hosting ist unbekannt: Die aktuelle Servertabelle nach Ländern zeigt in dem Akkordeon-Zustand, den dieses Audit darstellen konnte, den physischen/virtuellen Status nur für die Region Americas; die Abschnitte Europe, Asia-Pacific und Africa/Middle East (die mehrere Vorgabeländer enthalten, in denen die Flotte Server betreibt, z. B. AE, IN, TR, VN, IQ, KZ laut Server-API) werden beim Anklicken clientseitig geladen und wurden nicht aufgeklappt.

Unbekannt gelassen statt behauptet. C04-C07, U06 (Zensurbeleg), U11, V12-V14, X06, X07, X10 und X11 wurden nicht unabhängig gegen ein primäres Dokument bestätigt und werden unbekannt gelassen, statt sie aus der Sekundärberichterstattung zu behaupten.

Ein Zweifel bleibt offen und wird nicht angerechnet. Bei X12 bleibt ein Zweifel offen, ohne angerechnet zu werden: Das Play-Datensicherheitsformular für com.nordvpn.android weist „Installierte Apps“ unter analytics auf Android aus, während der Datenschutzhinweis von NordVPN installierte Anwendungen nur an einer Stelle erwähnt – beim Scan auf Schwachstellen durch Anti-Malware – und die Verarbeitung von Anwendungsnamen und -versionen auf Windows beschränkt.

Warum es weiterhin als Übereinstimmung erscheint. Die Kategorie ist angegeben und nicht abwesend, und R28 trifft wegen eines unterschiedlichen Plattformumfangs keinen Befund, daher lautet der Wert matches_policy; der Zweck auf Android ist jedoch nicht derjenige, den der Hinweis beschreibt, und nur NordVPN kann sagen, welche der beiden Angaben falsch geschrieben ist.

Warum der Score davon nicht abhängt. Sowohl clean als auch unknown price liegen bei 0,000, daher fließt nichts davon in den Score ein; was fehlt, ist der Datensatz, nicht die Zahl, und der nächste Durchlauf sollte bei den Einreichungen von Kunlun und dem Bundesregister beginnen, nicht bei einer Zusammenfassung davon.

Der Bericht, der vier Felder ändern würde. Der Deloitte-Bericht ist das andere Dokument, das mehrere Felder auf einmal ändern würde: V04, V07, V11 und V15 sind nur deshalb unbekannt, weil er nicht veröffentlicht ist, und insbesondere V11 ist das Feld, auf dem die gesamte No-Logs-Behauptung beruht.

Was kein Dokument hat. U07 hat kein Dokument, und C13 dahinter ebenfalls nicht: Opera nennt AES-256 und einen „secure tunnel“, aber nie ein Protokoll, daher ist der schwächste angebotene Transport nicht belegt. U08, U09 und U12b sind aus demselben Grund nicht ausgefüllt – die Funktionsvergleichstabelle auf der Produktseite markiert Zeilen mit Häkchen, die das abgerufene Markup nicht enthält, und Häkchen aus einem gerenderten Bild abzulesen ist keine Quelle.

Server beschrieben, nicht belegt. Hinter C02, C06 und C08 steht nichts: Opera sagt, die Server seien physisch und im eigenen Besitz, was weder Datenträger noch DNS noch die Eigentümerschaft an der Hardware klärt. C09b lässt sich nicht beantworten, solange U02 unbekannt ist.

Ein Store, nicht zwei. Gelesen wurde nur das Formular zur Datensicherheit bei Google Play; die Datenschutzangaben im App Store für den iOS-Browser wurden nicht gelesen, sodass X12 auf einem Store beruht und nicht auf dem schlechteren von zwei.

Zwei Lesarten statt Aussagen. Linux in U01 wird aus dem Desktop-Hilfshandbuch abgeleitet, das das VPN dokumentiert und Windows, macOS und Linux gemeinsam abdeckt, ohne nach Plattformen aufzuschlüsseln; Android und iOS werden in der Audit-Ankündigung ausdrücklich genannt. U10 ist unbegrenzt, weil es weder ein Konto noch eine Geräteobergrenze gibt, mit der eine solche Begrenzung durchgesetzt werden könnte; das ist eine Lesart des Produkts und keine genannte Zahl.

Der Rechenzentrumsverstoß in Finnland von 2018 war ein Eindringen durch einen Dritten, keine Beschlagnahme durch Strafverfolgungsbehörden — er wird unter P12_case_history als kind=breach erfasst, nicht als P01_seizure_event. Die eigene Darstellung von NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) und die zeitgleiche Berichterstattung von Bloomberg stimmen darin überein, dass die Offenlegung auf Twitter-Anschuldigungen externer Forschender folgte, nicht auf eine eigene Initiative von NordVPN — daher third_party_disclosed statt self_disclosed_late.

NordVPN und Surfshark haben mit Nord Security denselben Mutterkonzern, aber die eigene Fusionsankündigung beider Unternehmen nennt separate Infrastruktur und Produkt-Roadmaps; M18 wird auf dieser Grundlage als getrennt festgelegt.

Wer dieser Dritte ist, hat sich geändert: Die Audit-Ankündigung von 2024 sagt, die Server von VPN Pro würden „in Zusammenarbeit mit Nord bereitgestellt“, und die Erläuterung von 2026 sagt, VPN Pro sei „mit dem Next-Gen-Lightway-Protokoll ausgestattet“, das von ExpressVPN stammt. Keines der beiden Dokumente sagt, dass sich die Vereinbarung geändert hat.

X02 ist die maßgebliche Feststellung, und beide zugrunde liegenden Dokumente stammen von Opera selbst. Die Ankündigung von 2024 zitiert Deloittes Urteil mit den Worten: „Die Konfiguration der IT-Systeme und die Verwaltung der unterstützenden IT-Abläufe wurden in allen wesentlichen Belangen angemessen entworfen und umgesetzt, basierend auf den in Operas Management Assertion beschriebenen Kriterien, mit Stand vom 10. August 2024“, und schreibt den Satz „In den VPN-Dienst ist keine Funktion zur Protokollierung von Daten eingebaut, und es werden überhaupt keine Daten erfasst“ gesondert Operas eigener Management Assertion zu.

Der Beitrag von 2026 schildert dasselbe Audit so, als habe Deloitte die Feststellung getroffen: „Wir gewährten dem Team von Deloitte vollständigen Zugang zu unserem VPN und unserer Serverinfrastruktur, und es konnte unsere Behauptung überprüfen … Tatsächlich ist eine Funktion zur Protokollierung von Daten überhaupt nicht in das VPN eingebaut.“ Derselbe Beitrag wertet einen Zeitraum, den der Beitrag von 2024 mit dem 18. Juni bis 10. August 2024 angibt, zu „vollständigem Zugang“ auf.

Opera beschreibt ihre eigene Behauptung als Schlussfolgerung ihres Auditors. Deshalb ist der VERIFY-Block so aufgeteilt. V01 ist aufgrund eines tatsächlich geöffneten Berichts yes_verified – der eigenen veröffentlichten Managementzusammenfassung von Cure53 zu ihrer Prüfung im März 2022 – und nicht aufgrund der Ankündigung von Deloitte.

Der Deloitte-Bericht selbst ist nirgendwo veröffentlicht, daher ist V02 press_only, und jedes Feld, das ein Ergebnis dieses Berichts und keine Tatsache über den Prüfauftrag ist, bleibt unbekannt: Abdeckung der Flotte (V04), Prüfungsstandard (V07), was laut Bericht gespeichert wird (V11) und die Stärke des Urteils (V15).

Tatsachen zum Prüfauftrag – die Firma, ihre Kategorie, das Datum und was als geprüft aufgeführt wurde – stammen aus der Ankündigung. Ein Anbieter, der dieses Audit nachweislich einmal neu charakterisiert hat, ist keine Quelle dafür, wozu das Audit gelangt ist. C01 ist none_linkable, weil das die Erklärung in der Datenschutzerklärung ist; V11 ist das Ergebnis, und es gibt kein Ergebnis, das gelesen werden kann.

Der Bericht von Cure53 ist echt und der Grund dafür, dass V14 yes_verified ist: sieben Tester, vierundzwanzig Personentage, White-Box über vier Arbeitspakete hinweg, die die VPN-Clients, die Serverkonfiguration und -infrastruktur sowie das von Opera Mini zur Bereitstellung der VPN-Konfiguration verwendete Protokoll abdeckten. Vierzehn sicherheitsrelevante Probleme, davon acht tatsächliche Schwachstellen, fünf mit hohem Schweregrad bewertet und keine als kritisch bewertet.