Die Begriffe eines Datensatzes

Dienstklasse service_class

Welche Art von Dienst dies ist; die Angabe wird mit jedem Score ausgegeben, weil beides getrennt bedeutungslos ist: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 der 77 sind kommerzielle VPNs, und decentralized ist derzeit leer.

Kanal breakdown.channels

Ein Weg, über den ein Nutzer identifiziert werden könnte und dem eine Wahrscheinlichkeit zwischen 0 und 1 zugeordnet ist. Auf jeder Anbieterseite werden alle acht Kanäle mit den Feldern angegeben, die in ihre Berechnung eingeflossen sind. Dadurch lässt sich die Arithmetik überprüfen, statt sie lediglich zu behaupten.

Keine Daten usability.state

Eine Aussage über die Untersuchung und nicht über den Anbieter, auf einer der beiden Achsen. Ein no_data-Urteil für die Sicherheit bedeutet, dass zu wenig veröffentlicht ist, um den Datensatz einzuordnen: 0 der 77 tragen ein solches Urteil, keine Liste führt sie in einer Rangliste, und jeder behält seine Seite. Wenn usability.state den Wert no_data hat, ist die Usability-Zahl eine Untergrenze statt einer Einordnung — es wurde zu wenig veröffentlicht, um zu sagen, wo der Anbieter tatsächlich steht. 10 der 77 befinden sich in dieser Position. Sie bleiben im Register und in jedem Filter, werden jedoch gekennzeichnet statt ausgeblendet.

Obergrenze und Untergrenze

Kein Kanal darf 0.9 überschreiten: Aus einer Dokumentenprüfung lässt sich keine Gewissheit ableiten, und ein Modell, das 1.0 erreicht, würde dies behaupten. Umgekehrt kann ein einzelner Befund einen Kanal von unten begrenzen — ein vom Anbieter gespeicherter dauerhafter Hardware-Identifier setzt bei der Speicherdauer eine Untergrenze, die kein Audit anheben kann.

Sicherheits-Score

0 bis 100 – und das Einzige, dem die Rangliste folgt. Er basiert auf acht Risikokanälen, die jeweils die Wahrscheinlichkeit angeben, dass diese konkrete Route den Nutzer identifiziert, zusammengefasst als 100 × ∏(1 − risk). Ein hohes Risiko in nur einem Kanal zieht das gesamte Ergebnis allein nach unten; kleine Risiken summieren sich sanft, statt weggerundet zu werden.

Urteil und die fünf Stufen verdict

Ein Begriff, der direkt aus dem Sicherheits-Score abgelesen wird, damit ein Anbieter keine Bezeichnung tragen kann, die seiner Zahl widerspricht: stark 75 und höher, akzeptabel 55–74, schwach 35–54, unzureichend 15–34, nicht empfohlen unter 15.

Usability-Score

0 bis 100 aus zwölf gewichteten Feldern — darunter Abdeckung, Preis, kostenloses Angebot, Umgehung, Protokolle, Kill-Switch, Geräte, Streaming und P2P. Es handelt sich um einen gewichteten Mittelwert über die Felder, für die ein Wert vorliegt, sodass ein Anbieter nicht dafür bestraft wird, dass ein Feld für niemanden ausgefüllt wurde. Er wird niemals mit dem Sicherheits-Score gemittelt und hebt einen Anbieter nie über einen Anbieter mit höherem Score; er entscheidet lediglich, welcher von zwei Datensätzen mit demselben Sicherheits-Score zuerst aufgeführt wird.

Architektur

Wer betreibt den Exit? Meist kostet das nichts und entscheidet gelegentlich über den gesamten Datensatz: Ein Dienst, der den Datenverkehr über Geräte unbeteiligter Dritter leitet, trägt hier ein Risiko, das keine noch so gute Regelung an anderer Stelle ausgleichen kann.

Hygiene

Welche identifizierenden Informationen nebenbei erfasst werden und ob der Client überhaupt überprüft werden kann. Zehn kleine Felder — Server, die ausschließlich RAM verwenden, gemeinsame IP-Nutzung, Anmeldung ohne E-Mail-Adresse, anonyme Zahlung, DNS im Tunnel, SDKs von Drittanbietern, Eigentum an Servern, Open Source, reproduzierbare Builds und Pentests. Einzeln wenig aufwendig, zusammen gedeckelt und ein verlässlicher Hinweis darauf, ob jemand hinsieht.

Integrität

Wurde der Anbieter dabei ertappt, eines zu sagen und etwas anderes zu tun? Dokumentierte Lügen, Lücken zwischen Marketingaussagen und Audit-Ergebnissen, mangelnde Transparenz über den Eigentümer, die bisherige Bilanz der Eigentümergruppe und die Finanzierung des kostenlosen Tarifs. Kleine Marketing-Signale — Behauptungen absoluter Anonymität, das Anpreisen von lebenslangen Abonnements, eine Abdeckung, die nur auf Affiliate-Seiten existiert — fließen jeweils ein wenig ein.

Jurisdiktion

Kann jemand das Vorhandene erzwingen, ohne dass der Anbieter mitreden kann? Maßgeblich sind der Registrierungsort des Unternehmens und der Sitz seines wirtschaftlichen Eigentümers — eine Vorgabe gegenüber dem Eigentümer wiegt weniger als eine gegenüber dem Unternehmen, ist aber dennoch relevant.

Offenlegung

Hat der Anbieter bereits etwas herausgegeben? Der einzige Kanal, der vollständig auf Ereignissen statt auf Richtlinien beruht: Beschlagnahmungen, bei denen Daten erlangt wurden, Gerichtsakten über erzwungene Herausgabe, die bisherige Offenlegungspraxis. Die Offenlegung von Inhalten kommt einer Disqualifikation nahe; Kontodaten allein werden deutlich niedriger gewichtet.

Schweigen

Zehn Jahre, Millionen Nutzer und nichts dokumentiert? Ein Anbieter mit realer Angriffsfläche — jahrelanger Betrieb × Nutzerzahl × feindselige Jurisdiktionen — und ohne Beschlagnahmung, Gerichtsprotokoll oder Transparenzbericht ist damit nicht als unbedenklich erwiesen. Geringe Angriffsfläche kostet hier nichts; hohe Angriffsfläche bei leerem Datensatz kostet ein wenig.

Speicherdauer

Gibt es einen Datensatz, der den Datenverkehr mit einer Person verknüpft, und wer hat das geprüft? Der am höchsten gewichtete Kanal im Modell. Er liest das Speicherdauer-Feld, die Gerätekennung und alle Angaben zum Audit aus, die den Datensatz bestätigen oder entkräften würden — die Kategorie des Auditors, den Prüfstandard, wie der Bericht veröffentlicht wurde und ob der Umfang die gesamte Flotte oder eine Stichprobe umfasste.

Unwissenheit

Wie viel davon hat niemand belegt? Der Kanal, der unsere eigenen blinden Flecken bewertet, bestimmt durch den fehlenden Anteil des Datensatzes. Er ist der Grund dafür, dass ein nicht untersuchter Anbieter in der Rangliste unter einem recherchierten Anbieter steht, statt gleichauf mit ihm.

Verhalten verschafft Entlastung: ein auf dem aktuellen Stand gehaltener Warrant Canary, ein aktueller Transparenzbericht mit Zahlen, die umgehende Veröffentlichung eines Vorfalls oder der physische Rückzug aus einem Land, das eine Protokollierungsvorgabe erlassen hat. Keines davon ist eine Behauptung über Protokollierung — jedes ist ein Verhalten, das sich nur schwer vortäuschen ließe.

Audit-Umfang V04_scope_servers

Ob ein Audit die gesamte Flotte oder nur eine Stichprobe davon abgedeckt hat. Ein No-Logs-Urteil über eine Stichprobe bezieht sich auf die Server, die dem Auditor gezeigt wurden. Das Modell berücksichtigt den Unterschied, statt beide als “auditiert” zu behandeln.

DNS innerhalb des Tunnels C06_own_dns_in_tunnel

Ob Namensauflösungen innerhalb des Tunnels über die eigenen Resolver des Anbieters erfolgen. Wenn sie an den Standardresolver des Netzwerks durchsickern, erfährt ein Beobachter von jeder von Ihnen besuchten Website, ohne jemals Ihren Datenverkehr zu sehen.

Gerätekennung C12_device_identifier

Eine dauerhafte Kennung auf Ihrem Gerät, die der Anbieter selbst hält und die von einer auf die App begrenzten ID über eine zurücksetzbare Werbe-ID bis zu einer dauerhaften Hardware-ID reicht. Dieses Feld kann einen makellosen No-Logs-Bericht gegenstandslos machen: Über Ihren Datenverkehr wurde nichts aufgezeichnet, und Sie sind trotzdem identifizierbar.

Geteilte und dedizierte IP-Adressen C03_ip_sharing

Eine geteilte Exit-Adresse führt viele Nutzer über eine IP, und genau diese Vielzahl ist teilweise der Zweck eines VPN. Eine dedizierte IP gehört nur Ihnen — besser für Dienste, die geteilte IP-Bereiche blockieren, aber schlechter für das, wofür Sie ein VPN nutzen.

Kill Switch U08_kill_switch

Blockiert den Datenverkehr, wenn der Tunnel abbricht, statt ihn unbemerkt über die normale Verbindung nach außen zu leiten. Er verhindert den Fehler, den niemand bemerkt, während er auftritt.

Nur-RAM-Server C02_ram_only

Server, die aus flüchtigem Speicher laufen und keine Festplatte haben, sodass eine Beschlagnahmung nichts ergibt, was das Abschalten der Stromversorgung überstanden hat. Leicht zu behaupten und schwer zu überprüfen; deshalb unterscheidet das Feld zwischen yes_verified und yes_declared.

P2P-Exit-Knoten C00_architecture

Eine Architektur, bei der der Datenverkehr über die Geräte anderer Nutzer statt über die Server des Betreibers nach außen geleitet wird, meist im Austausch gegen einen kostenlosen Tarif. Niemand betreibt den Exit, was zugleich das gesamte Versprechen und das gesamte Problem ist — und bedeutet, dass der Datenverkehr anderer Personen möglicherweise über Sie nach außen geleitet wird.

Protokolle U07_protocols

Jedes Tunnelprotokoll, das ein Client unterstützt, als Liste. Das Feld enthielt früher das einzelne schnellste Protokoll; seit Schema 3.4.0 enthält es alle, wodurch das schwächste sichtbar wird. WireGuard ist klein, schnell und modern; OpenVPN ist älter, langsamer und wird noch immer fast überall angeboten; L2TP, PPTP und SSTP sind veraltet. Das Anbieten eines solchen Protokolls wird von C13_weakest_protocol erfasst und legt die Protokolluntergrenze fest. Anbieternamen — NordLynx, Lightway, Hydra, Chameleon — bezeichnen Implementierungen, nicht Protokolle; NordLynx zählt als WireGuard, was es auch ist.

Reproduzierbare Builds V13_reproducible_builds

Ob jeder die veröffentlichte App aus dem veröffentlichten Quellcode neu erstellen und eine byteidentische Binärdatei erhalten kann. Open Source zeigt, was der Code tut; reproduzierbare Builds zeigen, dass der Code dem entspricht, was Sie ausführen.

Serverländer U02_server_countries

Die Länder, für die ein Anbieter tatsächlich einen Exit-Standort aufführt — die Liste, nicht eine Zahl. Veröffentlicht ein Anbieter keine Liste, ist das Feld unbekannt, statt anhand seiner Marketingangaben ausgefüllt zu werden; jede hier angezeigte Zahl ist daher die Länge von etwas, das sich überprüfen lässt. 27 der 77 veröffentlichen überhaupt keine Liste; die 41, die eine veröffentlichen, decken zusammen 180 Länder ab.

Split-Tunneling U09_split_tunneling

Einige Anwendungen durch den Tunnel senden und andere daran vorbei. Praktisch, aber eine Entscheidung darüber, was weiterhin offengelegt wird — deshalb gehört diese Funktion zur Usability-Achse und nicht zur Sicherheitsachse.

Transparenzbericht P05_transparency_report

Eine regelmäßige Erfassung der eingegangenen Anfragen und der Anzahl der Anfragen, die mit Daten beantwortet wurden. Bewertet wird, ob er aktuell ist und Zahlen ausweist — außerdem wird er auf Plausibilität gegengeprüft, denn null Anfragen über Jahre hinweg bei großer Reichweite sind eine Aussage über die Wirklichkeit, nicht über die Richtlinie.

Verknüpfbare Speicherdauer C01_linkable_retention

Welcher Datensatz existiert, der Datenverkehr mit einer Person verknüpfen könnte — anhand der vorliegenden Belege gefragt und nicht danach, was ein Anbieter über seine Protokollierung behauptet. Fünf Antworten, in der Reihenfolge der damit verbundenen Kosten: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Vorgabe zur Protokollierung C09, C10, C11

Eine nationale Vorgabe, nach der VPN-Anbieter Nutzerdaten speichern müssen. Einige der im Register erfassten Länder haben eine solche Vorgabe. Sie ist an zwei Stellen relevant: im Land, in dem das Unternehmen registriert ist, und in den Ländern, in denen die Flotte Server hat — unterschiedliche Fragen mit unterschiedlichen Folgen.

Warrant Canary P07_warrant_canary

Eine veröffentlichte Erklärung, dass keine geheime Anordnung eingegangen ist, die nach einem festen Zeitplan aktualisiert wird, sodass ihre Abwesenheit die Botschaft vermittelt, die der Betreiber nicht senden darf. Nur nützlich, wenn sie gepflegt wird: stale und removed werden getrennt erfasst, und ein Canary, der stillschweigend eingestellt wurde, ist kein neutrales Ereignis.