Proton VPN vs. Surfshark

Dieser Datensatz wurde zuvor zweimal gelesen — connection_timestamps in V11 aus der Formulierung des Audits, source_ip in C01 aus der Formulierung der Richtlinie — und mit dem schlechteren der beiden Werte bewertet, wodurch der Puffer von fünfzehn Minuten mehr kostete, als überhaupt nichts zu sagen: Eine Leerstelle bei C01 entspricht dem Marktprior 0,550 und source_ip 0,750.

R29 zieht nun die Grenze: Ein Zustand, der innerhalb eines erklärten Zeitfensters gelöscht wird, das an das Ende der Sitzung gebunden ist, ist die Verbindung und nicht deren Aufzeichnung, daher lauten beide Felder im selben Satz connection_timestamps. Angerechnet wird weiterhin, was die Sitzung überdauert — das Datum des letzten Logins in Richtlinienabschnitt 2.3.1 und die vom Auditor genannten connection timestamps.

Surfshark und NordVPN haben eine gemeinsame Muttergesellschaft (Nord Security, seit 2022), aber die eigene About-us-Seite von Surfshark erklärt, dass die Marken „während sie unabhängig operierten“ mit getrennter Infrastruktur fusionierten — M18 wird auf dieser Grundlage als getrennt gesetzt und bildet damit den Datensatz von nordvpn.com nach.

U12a ist in der eigenen P2P-Spalte der Servertabelle teilweise statt ja: 88 der 100 aufgeführten Länder führen sie, zwölf nicht (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Die Spalte wird clientseitig geladen, daher wurde sie aus der gerenderten Tabelle abgelesen und nicht aus dem statischen HTML, in dem jede Zeile jedes Label trägt.

Der Transparenzbericht unter /transparency-report — wohin /warrant-canary jetzt weiterleitet — führt das Quartal April–Juni 2026 als Tabelle auf: 374.719 DMCA-Meldungen, 33 Anfragen von staatlichen Einrichtungen, 1 Haftbefehl, 0 Schreiben zur nationalen Sicherheit und 0 Schweigepflicht-Anordnungen. P08 zählt die 34 rechtlichen Anfragen und lässt die DMCA-Meldungen außen vor: Dabei handelt es sich um Urheberrechtsbeschwerden über Datenverkehr, nicht um Anfragen nach den Daten eines Nutzers.

Auf derselben Seite steht, dass Surfshark seine Warrant-Canary zugunsten einer vierteljährlichen Berichterstattung einstellt, weshalb P07 entfernt statt none ist — die Canary existierte und wurde bewusst zurückgezogen.

U07_protocols führt für Dausos proprietary nach eigener Aussage von Surfshark: Auf der Protokollseite wird Dausos als „Surfshark's proprietär[es] Protokoll“ bezeichnet und keine Quelle dafür veröffentlicht — dieser einzelne Wert setzt C13_weakest_protocol und den darauf folgenden Hygiene-Abzug. IKEv2 bleibt erhalten, weil Surfshark es weiterhin dokumentiert, obwohl der eigene Blog die Entfernung aus der Windows-App festhält; Shadowsocks ist aus dem Support-Index verschwunden und wird nicht aufgeführt.

Der Rechtsbehelf und was er nicht klärt. Der Rechtsbehelf vom 22. Oktober 2021 wird hier mit einem Vorbehalt angeführt, der klar ausgesprochen werden sollte: Das Federal Administrative Court entschied, dass E-Mail-Dienste keine Telekommunikationsanbieter sind, und weder die Berichterstattung über das Urteil noch Protons eigene Darstellung erwähnt das VPN.

Was die beiden Felder tatsächlich festlegt. Was C10 und C11 festlegt, ist, dass die Schweiz in der eigenen Länderliste des Katalogs keine Grundlage für eine Vorgabe hat; der Einspruch bestätigt, wie Schweizer Behörden Proton behandeln, und ist nicht für sich genommen ein Befund zu Proton VPN. Ein Urteil zu einem Schwesterprodukt ist eine dünnere Grundlage, als die Quellenangabe es erscheinen lässt.

Der größte einzelne offene Punkt. Proton bietet Exit-Standorte in acht Ländern an, die eine Vorgabe zur Protokollierung auferlegen. Ob sich Hardware tatsächlich in einem dieser Länder befindet, ist nicht belegt: Proton zog 2022 physische Server aus Indien ab und dokumentiert Smart Routing für Standorte, die es von anderswo aus bedient, was auf virtuelle Standorte hindeutet; dies wurde jedoch nur für Indien verifiziert. C09b_mandate_hosting zu belegen, ist der größte einzelne offene Punkt in diesem Datensatz.

Indien und das Regime geheimer Anordnungen. P04_mandate_response=withdrew_physical ist der Rückzug aus Indien im Juni 2022, wiederhergestellt aus dem eigenen Blog von Surfshark (surfshark.com/blog/surfshark-servers-certin-india), nachdem der frühere Durchlauf ergeben hatte, dass die Seite /trust-center dies nicht mehr enthielt. P11=judicial_only stützt sich auf den Transparenzbericht, der die Anordnung des Amsterdam District Court vom April 2026 sowie seine Zähler für National-Security-letter und geheime Anordnung mit null ausweist.

Zwei Berichte gefunden, vielleicht nicht alle. Es wurden nur zwei veröffentlichte Deloitte-No-Logs-Berichte (Dez. 2022, Juni 2025) gefunden; möglicherweise gibt es weitere, die nicht von robots.txt verlinkt werden und nach denen dieses Audit nicht mit anderen Mitteln gesucht hat.