NordVPN vs. Windscribe

Der Canary und das Quartal, das ihn ersetzte. Dieselbe Seite stellte den Warrant Canary (P07=removed) zugunsten vierteljährlicher Transparenzberichte ein; das letzte vollständige Quartal (April–Juni 2026) weist 85 behördliche Anfragen und 0 Offenlegungen aus, daher beziehen sich P08/P09 auf diesen Zeitraum und nicht auf den lebenslangen Wert.

Indien und das Regime geheimer Anordnungen. P04=withdrew_physical ist der Rückzug aus Indien im Juni 2022. P11=none_known beruht auf der Aussage der Seite, dass NordVPN keine bindenden National Security Letters oder geheimen Anordnungen erhalten hat, sowie auf dem Fehlen eines solchen Regimes in Panama.

Eine Assurance-Ebene, die niemand prüfen kann. NordVPN beschreibt das Deloitte-Lithuania-Engagement als ein angemessenes Assurance-Engagement nach ISAE 3000 (Revised), was die stärkere Form wäre; der lesbare Bericht von PIA stellt eine Schlussfolgerung mit begrenzter Assurance fest.

Warum die stärkere Form nicht angerechnet wird. Das Modell bewertet diesen Unterschied jetzt, und dieser Datensatz erhält daraus keinen Vorteil: V15_assurance_strength ist unbekannt, weil die einzige Angabe zur Ebene von NordVPN selbst stammt und einen Bericht betrifft, den niemand außerhalb eines Nord Account öffnen kann. Ein Dokument hinter einer Anmeldung ist hier auf keiner Ebene ein Beleg, daher wird der Auftrag nach der Marktnorm angerechnet und nicht nach der Ebene, die er angeblich erreicht hat.

Ein Bericht hinter einer Anmeldung. Der Bericht selbst ist erst nach der Anmeldung bei einem Nord Account lesbar, daher hat niemand außerhalb dieser Beziehung seinen Umfang geprüft, und jedes Audit-Feld hier stützt sich auf die eigene Zusammenfassung von NordVPN statt auf das Dokument. Das – und nicht ein Befund gegen den Dienst – ist der Grund, warum dieser Datensatz der belegärmste im Katalog ist.

Die Eigentümerfelder. M11_owner_jurisdiction und X04_owner_group_history sind unbekannt: nordvpn.com und nordsecurity.com nennen Nord Security als Eigentümer, aber keine der beiden Seiten nennt die eigene Jurisdiktion der Gründung von Nord Security oder eine frühere Historie der Gruppe; die Sekundärpresse bringt eine „Cyberspace“-Holdinggesellschaft seit der Fusion von 2022 mit den Niederlanden in Verbindung, doch dies wurde innerhalb der verfügbaren Zeit nicht gegen eine primäre Seite von Nord Security oder NordVPN bestätigt.

Was überhaupt nicht gelesen werden konnte. Der vollständige Text des Deloitte-Berichts von 2025 kann überhaupt nicht gelesen werden (durch Anmeldung geschützt), daher wird über die eigene Behauptung der Richtlinie in C01_linkable_retention hinaus kein Befund zur Speicherdauer festgehalten.

Die Servertabelle, die sich nicht öffnen ließ. C09b_mandate_hosting ist unbekannt: Die aktuelle Servertabelle nach Ländern zeigt in dem Akkordeon-Zustand, den dieses Audit darstellen konnte, den physischen/virtuellen Status nur für die Region Americas; die Abschnitte Europe, Asia-Pacific und Africa/Middle East (die mehrere Vorgabeländer enthalten, in denen die Flotte Server betreibt, z. B. AE, IN, TR, VN, IQ, KZ laut Server-API) werden beim Anklicken clientseitig geladen und wurden nicht aufgeklappt.

Unbekannt gelassen statt behauptet. C04-C07, U06 (Zensurbeleg), U11, V12-V14, X06, X07, X10 und X11 wurden nicht unabhängig gegen ein primäres Dokument bestätigt und werden unbekannt gelassen, statt sie aus der Sekundärberichterstattung zu behaupten.

Ein Zweifel bleibt offen und wird nicht angerechnet. Bei X12 bleibt ein Zweifel offen, ohne angerechnet zu werden: Das Play-Datensicherheitsformular für com.nordvpn.android weist „Installierte Apps“ unter analytics auf Android aus, während der Datenschutzhinweis von NordVPN installierte Anwendungen nur an einer Stelle erwähnt – beim Scan auf Schwachstellen durch Anti-Malware – und die Verarbeitung von Anwendungsnamen und -versionen auf Windows beschränkt.

Warum es weiterhin als Übereinstimmung erscheint. Die Kategorie ist angegeben und nicht abwesend, und R28 trifft wegen eines unterschiedlichen Plattformumfangs keinen Befund, daher lautet der Wert matches_policy; der Zweck auf Android ist jedoch nicht derjenige, den der Hinweis beschreibt, und nur NordVPN kann sagen, welche der beiden Angaben falsch geschrieben ist.

Warum die Speicherdauer auf Grundlage des Befunds bewertet wird. Die Speicherdauer wird daher danach bewertet, was ein Auditor als erreichbar nachgewiesen hat, und nicht danach, was die Richtlinie erklärt; der Integritätskanal trägt den Abstand zwischen beidem. Lesen Sie das als einen zwei Jahre alten Befund auf einem Knoten, nicht als aktuelle Messung: Der Umfang betraf allein ca-023.windscribe.com, und ein neuerer Auftrag, der mehr von der Flotte abdeckt, würde dies klären.

Die Liste, die nie gelesen wurde. Die angebotene Länderliste wurde nie gelesen, daher können weder der Länder-Usability-Score noch die Schnittmenge mit der Vorgabe berechnet werden – Windscribe veröffentlicht eine Unterscheidung zwischen physisch und virtuell, wodurch C09b hier beantwortbar wird, sobald die Liste vorliegt. Die Nutzergröße ist ebenfalls nicht belegt, sodass die Expositionsstufe auf weniger beruht, als sie sollte.

Woher die drei Ereignisse jetzt ihre Quellenangabe nehmen. AIN.UA führt weiterhin die am 24. Juni 2021 beschlagnahmten ukrainischen Server, und Windscribe's eigener Blog den am 11. April 2025 abgewiesenen griechischen Fall. Die niederländische Beschlagnahmung und das Beschlagnahmungsfeld verweisen nun auf Windscribe's eigene No-Logs-Seite statt auf die durch das Partnerprogramm bezahlte Presse, die zuerst darüber berichtete: Der Bericht eines Unternehmens über seine eigene Beschlagnahmung ist eine Primärquelle, nicht der Bericht eines anderen über eine solche. Das ukrainische Ereignis ist auf die Beschlagnahmung selbst datiert, nicht auf den Bericht darüber.

Der Rechenzentrumsverstoß in Finnland von 2018 war ein Eindringen durch einen Dritten, keine Beschlagnahme durch Strafverfolgungsbehörden — er wird unter P12_case_history als kind=breach erfasst, nicht als P01_seizure_event. Die eigene Darstellung von NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) und die zeitgleiche Berichterstattung von Bloomberg stimmen darin überein, dass die Offenlegung auf Twitter-Anschuldigungen externer Forschender folgte, nicht auf eine eigene Initiative von NordVPN — daher third_party_disclosed statt self_disclosed_late.

NordVPN und Surfshark haben mit Nord Security denselben Mutterkonzern, aber die eigene Fusionsankündigung beider Unternehmen nennt separate Infrastruktur und Produkt-Roadmaps; M18 wird auf dieser Grundlage als getrennt festgelegt.