Opera VPN vs. Surfshark

Warum der Score davon nicht abhängt. Sowohl clean als auch unknown price liegen bei 0,000, daher fließt nichts davon in den Score ein; was fehlt, ist der Datensatz, nicht die Zahl, und der nächste Durchlauf sollte bei den Einreichungen von Kunlun und dem Bundesregister beginnen, nicht bei einer Zusammenfassung davon.

Der Bericht, der vier Felder ändern würde. Der Deloitte-Bericht ist das andere Dokument, das mehrere Felder auf einmal ändern würde: V04, V07, V11 und V15 sind nur deshalb unbekannt, weil er nicht veröffentlicht ist, und insbesondere V11 ist das Feld, auf dem die gesamte No-Logs-Behauptung beruht.

Was kein Dokument hat. U07 hat kein Dokument, und C13 dahinter ebenfalls nicht: Opera nennt AES-256 und einen „secure tunnel“, aber nie ein Protokoll, daher ist der schwächste angebotene Transport nicht belegt. U08, U09 und U12b sind aus demselben Grund nicht ausgefüllt – die Funktionsvergleichstabelle auf der Produktseite markiert Zeilen mit Häkchen, die das abgerufene Markup nicht enthält, und Häkchen aus einem gerenderten Bild abzulesen ist keine Quelle.

Server beschrieben, nicht belegt. Hinter C02, C06 und C08 steht nichts: Opera sagt, die Server seien physisch und im eigenen Besitz, was weder Datenträger noch DNS noch die Eigentümerschaft an der Hardware klärt. C09b lässt sich nicht beantworten, solange U02 unbekannt ist.

Ein Store, nicht zwei. Gelesen wurde nur das Formular zur Datensicherheit bei Google Play; die Datenschutzangaben im App Store für den iOS-Browser wurden nicht gelesen, sodass X12 auf einem Store beruht und nicht auf dem schlechteren von zwei.

Zwei Lesarten statt Aussagen. Linux in U01 wird aus dem Desktop-Hilfshandbuch abgeleitet, das das VPN dokumentiert und Windows, macOS und Linux gemeinsam abdeckt, ohne nach Plattformen aufzuschlüsseln; Android und iOS werden in der Audit-Ankündigung ausdrücklich genannt. U10 ist unbegrenzt, weil es weder ein Konto noch eine Geräteobergrenze gibt, mit der eine solche Begrenzung durchgesetzt werden könnte; das ist eine Lesart des Produkts und keine genannte Zahl.

Indien und das Regime geheimer Anordnungen. P04_mandate_response=withdrew_physical ist der Rückzug aus Indien im Juni 2022, wiederhergestellt aus dem eigenen Blog von Surfshark (surfshark.com/blog/surfshark-servers-certin-india), nachdem der frühere Durchlauf ergeben hatte, dass die Seite /trust-center dies nicht mehr enthielt. P11=judicial_only stützt sich auf den Transparenzbericht, der die Anordnung des Amsterdam District Court vom April 2026 sowie seine Zähler für National-Security-letter und geheime Anordnung mit null ausweist.

Zwei Berichte gefunden, vielleicht nicht alle. Es wurden nur zwei veröffentlichte Deloitte-No-Logs-Berichte (Dez. 2022, Juni 2025) gefunden; möglicherweise gibt es weitere, die nicht von robots.txt verlinkt werden und nach denen dieses Audit nicht mit anderen Mitteln gesucht hat.

Wer dieser Dritte ist, hat sich geändert: Die Audit-Ankündigung von 2024 sagt, die Server von VPN Pro würden „in Zusammenarbeit mit Nord bereitgestellt“, und die Erläuterung von 2026 sagt, VPN Pro sei „mit dem Next-Gen-Lightway-Protokoll ausgestattet“, das von ExpressVPN stammt. Keines der beiden Dokumente sagt, dass sich die Vereinbarung geändert hat.

X02 ist die maßgebliche Feststellung, und beide zugrunde liegenden Dokumente stammen von Opera selbst. Die Ankündigung von 2024 zitiert Deloittes Urteil mit den Worten: „Die Konfiguration der IT-Systeme und die Verwaltung der unterstützenden IT-Abläufe wurden in allen wesentlichen Belangen angemessen entworfen und umgesetzt, basierend auf den in Operas Management Assertion beschriebenen Kriterien, mit Stand vom 10. August 2024“, und schreibt den Satz „In den VPN-Dienst ist keine Funktion zur Protokollierung von Daten eingebaut, und es werden überhaupt keine Daten erfasst“ gesondert Operas eigener Management Assertion zu.

Der Beitrag von 2026 schildert dasselbe Audit so, als habe Deloitte die Feststellung getroffen: „Wir gewährten dem Team von Deloitte vollständigen Zugang zu unserem VPN und unserer Serverinfrastruktur, und es konnte unsere Behauptung überprüfen … Tatsächlich ist eine Funktion zur Protokollierung von Daten überhaupt nicht in das VPN eingebaut.“ Derselbe Beitrag wertet einen Zeitraum, den der Beitrag von 2024 mit dem 18. Juni bis 10. August 2024 angibt, zu „vollständigem Zugang“ auf.

Opera beschreibt ihre eigene Behauptung als Schlussfolgerung ihres Auditors. Deshalb ist der VERIFY-Block so aufgeteilt. V01 ist aufgrund eines tatsächlich geöffneten Berichts yes_verified – der eigenen veröffentlichten Managementzusammenfassung von Cure53 zu ihrer Prüfung im März 2022 – und nicht aufgrund der Ankündigung von Deloitte.

Der Deloitte-Bericht selbst ist nirgendwo veröffentlicht, daher ist V02 press_only, und jedes Feld, das ein Ergebnis dieses Berichts und keine Tatsache über den Prüfauftrag ist, bleibt unbekannt: Abdeckung der Flotte (V04), Prüfungsstandard (V07), was laut Bericht gespeichert wird (V11) und die Stärke des Urteils (V15).

Tatsachen zum Prüfauftrag – die Firma, ihre Kategorie, das Datum und was als geprüft aufgeführt wurde – stammen aus der Ankündigung. Ein Anbieter, der dieses Audit nachweislich einmal neu charakterisiert hat, ist keine Quelle dafür, wozu das Audit gelangt ist. C01 ist none_linkable, weil das die Erklärung in der Datenschutzerklärung ist; V11 ist das Ergebnis, und es gibt kein Ergebnis, das gelesen werden kann.

Der Bericht von Cure53 ist echt und der Grund dafür, dass V14 yes_verified ist: sieben Tester, vierundzwanzig Personentage, White-Box über vier Arbeitspakete hinweg, die die VPN-Clients, die Serverkonfiguration und -infrastruktur sowie das von Opera Mini zur Bereitstellung der VPN-Konfiguration verwendete Protokoll abdeckten. Vierzehn sicherheitsrelevante Probleme, davon acht tatsächliche Schwachstellen, fünf mit hohem Schweregrad bewertet und keine als kritisch bewertet.

Im März 2022 waren neun behoben und die Behebungen verifiziert, eines teilweise behoben, drei Risiken akzeptiert, eines ein Fehlalarm und eines noch in Arbeit. Operas Blog sagt, die sieben Elemente, die sich direkt auf das Browser-VPN beziehen, seien „alle anschließend behoben“ worden, und die Tabelle bestätigt das – der verbleibende Rest liegt im Arbeitspaket Opera Mini, nicht im VPN selbst.

Die Eigentumsverhältnisse sind vollständig offengelegt und enden in einem Vorgabeland, weshalb X03 und C11 in entgegengesetzte Richtungen weisen, ohne einander zu widersprechen.

Der in Operas eigener Datenschutzerklärung genannte Datenverantwortliche ist Opera Norway AS, ein norwegisches Unternehmen, und der Transparenzbericht ist auf diesen Namen eingereicht.

Die Holdinggesellschaft ist Opera Limited, eine im März 2018 auf den Cayman Islands gegründete Exempted Company ohne eigene substanzielle Geschäftstätigkeit. Das Form 20-F für 2025 nennt Hong Kong Kunlun Tech Holding Limited mit 68,0 % als Hauptaktionär, eine Tochtergesellschaft von Kunlun Tech Co., Ltd., die in der VR China gegründet wurde, und erklärt, Kunlun „is the ultimate parent of Opera and is controlled by Opera's executive chairman“.

M06 ist NO und C10 ist no, während M11 CN und C11 yes ist.

C12 ist die größte Lücke zwischen der Erklärung des VPN und der Anwendung, in der es enthalten ist. Der VPN-Abschnitt der Datenschutzerklärung erklärt, dass keine Protokollierung stattfindet; ein anderer Abschnitt desselben Dokuments sagt, dass bei der Installation einer Opera-Anwendung „eine zufällige Installations-ID generiert wird. Wir erfassen diese Kennung sowie die Machine ID, Hardwarespezifikationen (Modell, Veröffentlichungsdatum usw.), das Betriebssystem, die Umgebungskonfiguration und Daten zur Funktionsnutzung“, mit einer Speicherdauer von bis zu drei Jahren.

Eine Machine ID wird aus der Hardware abgeleitet, daher ist die Kennung, die der Anbieter hält, persistent_hardware_id und keine zufällige anwendungsbezogene Kennung, unabhängig davon, was der Tunnel protokolliert oder nicht protokolliert.

X12 vergleicht zwei Dokumente, die Opera selbst eingereicht hat. Das Play-Formular zur Datensicherheit für com.opera.browser erklärt, dass Installed apps für Analytics erfasst werden, und die Datenschutzerklärung erwähnt an keiner Stelle die Erfassung der auf dem Gerät installierten Anwendungen. Installed apps beschreibt ein Verhalten, keine Kennung, daher undisclosed_behaviour.

Dasselbe Formular erklärt, dass Device or other IDs zu Werbezwecken mit anderen Unternehmen geteilt werden; dadurch steht C07a auf ads. C07b beruht auf etwas Engerem und ist deshalb mit B gekennzeichnet: Der einzige Drittanbieter-Host im Markup der Produktseite ist Google Tag Manager, und was dieser Container zur Laufzeit lädt, wurde nicht aufgelistet.

U02 ist aufgrund des Produktdesigns unbekannt, nicht aufgrund eines Fehlschlags der Suche: Das kostenlose VPN bietet drei Regionen – Opera nennt sie America, Asia und Europe – und nie ein Land. C09 und C09b ergeben sich daraus und können nicht geklärt werden, solange dies gilt.

X05 ist ads_supported in Operas eigener Erläuterung, die Werbung an erster Stelle von drei Einnahmequellen aufführt und beschreibt, dass Opera Ads eine zufällig generierte Benutzer-ID, Stadt oder Land sowie breite Kategorien besuchter Websites erfasst, mit einer Speicherdauer von bis zu einem Jahr; zusammen mit U05 = unlimited_free ist dies genau der Fall, auf den R15 hinweisen soll.

X06 ist die Behauptung des Beitrags von 2026, dass es „einen Hacker mit selbst dem schnellsten Computer mehr als eine Milliarde Jahre kosten würde, AES-256 zu knacken“. X09 ist self_disclosed_prompt in zwei Beiträgen von 2026, in denen Opera von externen Forschern gemeldete Sicherheitslücken zusammen mit der Analyse und der behobenen Version veröffentlichte – dies sind Browser-Sicherheitslücken und keine VPN-Vorfälle, und kein VPN-Vorfall ist bekannt.

C05 ist not_sold. Das kostenlose VPN hat überhaupt keinen Zahlungsschritt – kein Abonnement, kein Konto –, daher gibt es nichts, was anonym oder anderweitig bezahlt werden könnte.

Dieser Datensatz wurde zunächst als none erfasst, was so gelesen wird, dass „nur die identifizierten Zahlungsmethoden angeboten werden“, und hier falsch ist, weil das Vokabular kein Token für einen Dienst vorsah, der kein Geld nimmt; unknown hätte behauptet, dass die Suche fehlgeschlagen ist, was ebenfalls falsch war, und zwischen zwei falschen Lesarten wurde diejenige erfasst, die zulasten des Anbieters irrt. Das Token existiert nun und wird mit nichts bepreist, was die ehrliche Antwort ist: Wo es keine Zahlung gibt, gibt es auch keine Zahlungsidentität, die offengelegt werden könnte.

Dieser Datensatz wurde zuvor zweimal gelesen — connection_timestamps in V11 aus der Formulierung des Audits, source_ip in C01 aus der Formulierung der Richtlinie — und mit dem schlechteren der beiden Werte bewertet, wodurch der Puffer von fünfzehn Minuten mehr kostete, als überhaupt nichts zu sagen: Eine Leerstelle bei C01 entspricht dem Marktprior 0,550 und source_ip 0,750.

R29 zieht nun die Grenze: Ein Zustand, der innerhalb eines erklärten Zeitfensters gelöscht wird, das an das Ende der Sitzung gebunden ist, ist die Verbindung und nicht deren Aufzeichnung, daher lauten beide Felder im selben Satz connection_timestamps. Angerechnet wird weiterhin, was die Sitzung überdauert — das Datum des letzten Logins in Richtlinienabschnitt 2.3.1 und die vom Auditor genannten connection timestamps.

Surfshark und NordVPN haben eine gemeinsame Muttergesellschaft (Nord Security, seit 2022), aber die eigene About-us-Seite von Surfshark erklärt, dass die Marken „während sie unabhängig operierten“ mit getrennter Infrastruktur fusionierten — M18 wird auf dieser Grundlage als getrennt gesetzt und bildet damit den Datensatz von nordvpn.com nach.

U12a ist in der eigenen P2P-Spalte der Servertabelle teilweise statt ja: 88 der 100 aufgeführten Länder führen sie, zwölf nicht (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Die Spalte wird clientseitig geladen, daher wurde sie aus der gerenderten Tabelle abgelesen und nicht aus dem statischen HTML, in dem jede Zeile jedes Label trägt.

Der Transparenzbericht unter /transparency-report — wohin /warrant-canary jetzt weiterleitet — führt das Quartal April–Juni 2026 als Tabelle auf: 374.719 DMCA-Meldungen, 33 Anfragen von staatlichen Einrichtungen, 1 Haftbefehl, 0 Schreiben zur nationalen Sicherheit und 0 Schweigepflicht-Anordnungen. P08 zählt die 34 rechtlichen Anfragen und lässt die DMCA-Meldungen außen vor: Dabei handelt es sich um Urheberrechtsbeschwerden über Datenverkehr, nicht um Anfragen nach den Daten eines Nutzers.