NordVPN vs. Private Internet Access

Der Canary und das Quartal, das ihn ersetzte. Dieselbe Seite stellte den Warrant Canary (P07=removed) zugunsten vierteljährlicher Transparenzberichte ein; das letzte vollständige Quartal (April–Juni 2026) weist 85 behördliche Anfragen und 0 Offenlegungen aus, daher beziehen sich P08/P09 auf diesen Zeitraum und nicht auf den lebenslangen Wert.

Indien und das Regime geheimer Anordnungen. P04=withdrew_physical ist der Rückzug aus Indien im Juni 2022. P11=none_known beruht auf der Aussage der Seite, dass NordVPN keine bindenden National Security Letters oder geheimen Anordnungen erhalten hat, sowie auf dem Fehlen eines solchen Regimes in Panama.

Eine Assurance-Ebene, die niemand prüfen kann. NordVPN beschreibt das Deloitte-Lithuania-Engagement als ein angemessenes Assurance-Engagement nach ISAE 3000 (Revised), was die stärkere Form wäre; der lesbare Bericht von PIA stellt eine Schlussfolgerung mit begrenzter Assurance fest.

Warum die stärkere Form nicht angerechnet wird. Das Modell bewertet diesen Unterschied jetzt, und dieser Datensatz erhält daraus keinen Vorteil: V15_assurance_strength ist unbekannt, weil die einzige Angabe zur Ebene von NordVPN selbst stammt und einen Bericht betrifft, den niemand außerhalb eines Nord Account öffnen kann. Ein Dokument hinter einer Anmeldung ist hier auf keiner Ebene ein Beleg, daher wird der Auftrag nach der Marktnorm angerechnet und nicht nach der Ebene, die er angeblich erreicht hat.

Ein Bericht hinter einer Anmeldung. Der Bericht selbst ist erst nach der Anmeldung bei einem Nord Account lesbar, daher hat niemand außerhalb dieser Beziehung seinen Umfang geprüft, und jedes Audit-Feld hier stützt sich auf die eigene Zusammenfassung von NordVPN statt auf das Dokument. Das – und nicht ein Befund gegen den Dienst – ist der Grund, warum dieser Datensatz der belegärmste im Katalog ist.

Die Eigentümerfelder. M11_owner_jurisdiction und X04_owner_group_history sind unbekannt: nordvpn.com und nordsecurity.com nennen Nord Security als Eigentümer, aber keine der beiden Seiten nennt die eigene Jurisdiktion der Gründung von Nord Security oder eine frühere Historie der Gruppe; die Sekundärpresse bringt eine „Cyberspace“-Holdinggesellschaft seit der Fusion von 2022 mit den Niederlanden in Verbindung, doch dies wurde innerhalb der verfügbaren Zeit nicht gegen eine primäre Seite von Nord Security oder NordVPN bestätigt.

Was überhaupt nicht gelesen werden konnte. Der vollständige Text des Deloitte-Berichts von 2025 kann überhaupt nicht gelesen werden (durch Anmeldung geschützt), daher wird über die eigene Behauptung der Richtlinie in C01_linkable_retention hinaus kein Befund zur Speicherdauer festgehalten.

Die Servertabelle, die sich nicht öffnen ließ. C09b_mandate_hosting ist unbekannt: Die aktuelle Servertabelle nach Ländern zeigt in dem Akkordeon-Zustand, den dieses Audit darstellen konnte, den physischen/virtuellen Status nur für die Region Americas; die Abschnitte Europe, Asia-Pacific und Africa/Middle East (die mehrere Vorgabeländer enthalten, in denen die Flotte Server betreibt, z. B. AE, IN, TR, VN, IQ, KZ laut Server-API) werden beim Anklicken clientseitig geladen und wurden nicht aufgeklappt.

Unbekannt gelassen statt behauptet. C04-C07, U06 (Zensurbeleg), U11, V12-V14, X06, X07, X10 und X11 wurden nicht unabhängig gegen ein primäres Dokument bestätigt und werden unbekannt gelassen, statt sie aus der Sekundärberichterstattung zu behaupten.

Ein Zweifel bleibt offen und wird nicht angerechnet. Bei X12 bleibt ein Zweifel offen, ohne angerechnet zu werden: Das Play-Datensicherheitsformular für com.nordvpn.android weist „Installierte Apps“ unter analytics auf Android aus, während der Datenschutzhinweis von NordVPN installierte Anwendungen nur an einer Stelle erwähnt – beim Scan auf Schwachstellen durch Anti-Malware – und die Verarbeitung von Anwendungsnamen und -versionen auf Windows beschränkt.

Warum es weiterhin als Übereinstimmung erscheint. Die Kategorie ist angegeben und nicht abwesend, und R28 trifft wegen eines unterschiedlichen Plattformumfangs keinen Befund, daher lautet der Wert matches_policy; der Zweck auf Android ist jedoch nicht derjenige, den der Hinweis beschreibt, und nur NordVPN kann sagen, welche der beiden Angaben falsch geschrieben ist.

Was nicht untersucht wurde. Der Bericht deckt nur die Infrastruktur ab. C07a_app_sdk und C12_device_identifier sind Fakten auf App-Seite, die er nie untersucht hat; sie verweisen nun stattdessen auf die Datenschutzrichtlinie, die Analysen für Website-Besucher und optionale Diagnoseberichte mit Plattform- und App-Version beschreibt. Beide als Aussage über in die App kompilierten SDKs zu lesen, ist die schwächste Verbindung in diesem Datensatz; dort, wo es tatsächlich geklärt würde, sind die Open-Source-Clients.

Die Vorladung von 2016 stützt sich auf die eigene Aussage von PIA, nicht auf die Gerichtsakte. Die einzige detaillierte Darstellung des Falls McWaters (S.D. Fla., 9:16-cr-80043) steht auf einer Partnerseite, die dieser Datensatz nicht als Quelle angeben kann; der Verfahrensregistereintrag von CourtListener für diesen Fall nennt weder eine Vorladung noch einen Anbieter oder einen Ausgang. P03_court_record und P12_case_history beruhen nun auf der eigenen Aussage von PIA in einem Transparenzbericht, dass PIA 2016–2017 vorgeladen wurde und nichts herausgab — eine Selbsterklärung der B-Ebene, kein verifiziertes Gerichtsprotokoll.

Der Rechenzentrumsverstoß in Finnland von 2018 war ein Eindringen durch einen Dritten, keine Beschlagnahme durch Strafverfolgungsbehörden — er wird unter P12_case_history als kind=breach erfasst, nicht als P01_seizure_event. Die eigene Darstellung von NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) und die zeitgleiche Berichterstattung von Bloomberg stimmen darin überein, dass die Offenlegung auf Twitter-Anschuldigungen externer Forschender folgte, nicht auf eine eigene Initiative von NordVPN — daher third_party_disclosed statt self_disclosed_late.

NordVPN und Surfshark haben mit Nord Security denselben Mutterkonzern, aber die eigene Fusionsankündigung beider Unternehmen nennt separate Infrastruktur und Produkt-Roadmaps; M18 wird auf dieser Grundlage als getrennt festgelegt.