AstrillVPN — Sicherheits-Testbericht von HushFleet

Woher der Sicherheits-Score stammt

Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert

Sicherheitsfelder

67 55 davon fließen in einen Kanal ein

Belegt

25 41 bleiben unknown, 1 nicht zutreffend

Vollständigkeit

38% der Anteil, den das Modell gewichten konnte

Quellenangaben

33 über 14 Dokumente hinweg

Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:

B gewichtet 0,85 · 33 hier

Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.

Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.

Bei diesem Datensatz noch offen.

Kein unabhängiges Audit. Auf der eigenen Website, im Blog und im Wiki von Astrill findet sich kein Hinweis auf ein Audit ohne Protokollierung, einen Pentest-Bericht oder die Beauftragung eines Auditors, und das Bug-Bounty-Programm schließt die Client-Apps ausdrücklich aus. V01-V15 bleiben unknown statt "nein", weil die Suche die eigenen Kanäle des Anbieters abdeckte, nicht jeden möglichen Fundort.

Serverflotte: Physisch gegenüber virtuell nicht dokumentiert. Die 54 Länder, die der Netzwerkseite entnommen wurden, sind dort nirgends als physisch oder virtuell gekennzeichnet, daher kann C09b (Hosting innerhalb der vier Vorgabeländer, die von der Flotte berührt werden – RU, IN, TR, VN) nicht beantwortet werden, und die eigene Angabe der Seite von 58 Ländern konnte nicht vollständig mit der sichtbaren Liste in Einklang gebracht werden.

der Rest dessen, was offen ist — 87 weitere Wörter

Eigentum über die Betreiberin hinaus nicht angegeben. Veloxee Corp. (Liechtenstein) wird in den Nutzungsbedingungen als Vertragspartei genannt, aber kein Dokument nennt einen wirtschaftlich Berechtigten, eine Muttergesellschaft oder andere Beteiligungen, daher bleiben M09-M11 und die Cluster-Felder zur Eigentümergruppe aufgrund der Belege unknown statt "unabhängig".

Behauptungen zur Umgehung von Zensur haben keine primäre Messung. Astrill bewirbt StealthVPN und OpenWeb für restriktive Netzwerke, aber jedes gefundene China-spezifische Testergebnis lässt sich auf Affiliate-Ranglisten-Websites zurückführen, die hier als Quelle nicht zulässig sind; U06 bleibt unknown, statt sich auf diese Belege zu stützen.

Zum Datensatz als Ganzes.

Astrill betreibt ein Affiliate-/Empfehlungsprogramm (astrill.com/affiliates), aber seine Auszahlungsstufe wird auf der Seite nicht angegeben, daher bleibt X10 unbekannt, statt dass sie geraten wird.

Der Eintrag im App Store erklärt, dass keine Daten erfasst werden, während der Eintrag im Play Store E-Mail-Adresse, Telefonnummer und Kaufverlauf für Konto- und Betrugspräventionszwecke erklärt; die beiden widersprechen einander stärker, als jeweils einer von ihnen der Datenschutzrichtlinie widerspricht, was hier als die von der Audit-Anweisung erwartete Lücke in der Store-Definition gelesen wird und nicht als dokumentierte Lüge.

Krypto-Zahlung (Bitcoin im FAQ bestätigt, Monero nur in Fußzeilen-Symbolen angezeigt) wird als crypto_processor erfasst und nicht als crypto_direct, da keine Seite den Prozessor oder den Wallet-Mechanismus benennt.

UnwissenheitWie viel davon hat niemand belegt?5 Felder gelesen · 4 unbekannt geblieben · 55,8 Punkte Druck×0,442

Bepreist aus dem, was fehlt: 0.38 des gewichteten Datensatzes ist belegt, auf einer Steigung von 0.9 unter einer Obergrenze von 0.6, mit einer Haltung von 0.0, gemildert durch 0.4.

Vollständigkeit des DatensatzesS08_completeness

38%

aus dem Datensatz selbst abgeleitet

Reaktion auf eine nationale Vorgabe zur Protokollierungauch gelesen von JurisdiktionP04_mandate_response

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit P04_mandate_response

Transparenzberichtauch gelesen von Schweigen, IntegritätP05_transparency_report

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit P05_transparency_report

Gemeldete Zahlen für diese Größenordnung plausibelauch gelesen von IntegritätP06_report_plausibility

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit P06_report_plausibility

Warrant-Canary-Disziplinauch gelesen von OffenlegungP07_warrant_canary

Berechnet

×0,095 eines makellosen Datensatzes Vollständigkeit 38%

Woher der Abzug stammt: Unwissenheit. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,442, und sein Balken oben ist bis dorthin gefüllt.

Die Exponierung ist erfasst als medium, der Integritätsstatus als unexamined.

Im Vergleich zum Rest des Registers liegt dieser Datensatz am weitesten oben bei Integrität — ×0,902 gegenüber einem Registerdurchschnitt von ×0,658 — und am weitesten unten bei Unwissenheit, ×0,442 gegenüber ×0,662.

Veröffentlichter Score

Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.

Dienstklasse	Kommerzielles VPN — Sicherheit führt
Sicherheits-Score	10 von 100 · Keine Daten
Usability-Score	62 von 100 · Status belegt · 67% belegt · 64,7% des Gewichts gelesen
Rechtsträger	Veloxee Corp.
Jurisdiktion	Liechtenstein
Letztlicher Eigentümer	unbekannt
Exponierung	Mittel · dominanter Kanal: Unwissenheit
Speicherdauer	Verbindungszeitstempel
Letztes Audit	unbekannt · unbekannt · unbekannt · unbekannt
Länder mit Exits	54
Protokolle	WireGuard OpenVPN Ein verschleiertes Protokoll
Funktioniert unter aktiver Zensur	unbekannt
Schwächstes noch angebotenes Protokoll	nicht zutreffend
Eigenes DNS im Tunnel	unbekannt
Plattformen	Windows macOS Linux iOS Android Router
Gleichzeitige Geräte	unlimited
Kill-Switch	unbekannt
Split-Tunneling	Verfügbar
Anmeldung	Nur eine E-Mail-Adresse
Kostenloser Tarif	Keine kostenlose Stufe
P2P erlaubt	unbekannt
Große Streaming-Dienste erreichbar	unbekannt
Preis, monatlich	$30.00 pro Monat
Preis, jährlich	$180.00 pro Jahr bei Verlängerung, einmal abgerechnet

Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries	Vereinigte Arabische Emirate Indien Russland Türkei Vietnam
Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction	unbekannt
Cluster-Schlüssel der EigentümergruppeM15_owner_group	Unabhängig
Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since	unbekannt
Rolle dieser Marke innerhalb der GruppeM17_brand_role	principal
Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure	separate
Insgesamt veröffentlichte AuditsV10_audit_count	unbekannt

unbekannt

SpeicherdauerGibt es einen Datensatz, der Datenverkehr mit einer Person verknüpft, und wer hat das geprüft?13 Felder gelesen · 11 unbekannt geblieben · 55,0 Punkte Druck×0,450

Zusammengesetzt statt addiert: ein Ausgangswert von 0.55 auf dem Zweig none, verschoben durch das, was das Papier sagt (0.0), und durch das, was die Praxis zeigt (0.0), mit einer Glaubwürdigkeit von 0.0 aus dem Audit und 0.2975 aus der Art, wie der Anbieter sich beteiligt hat, gegen eine Schwere von 0.2 für das, was tatsächlich gespeichert wird.

Einer Person zuordenbare Speicherdauer laut AngabewesentlichC01_linkable_retention

connection_timestamps

Bastrill.com Bastrill.com13. Sept. 2026

Melden eines Problems mit C01_linkable_retention

Dauerhafte Gerätekennung, die der Anbieter speichertC12_device_identifier

none

Bplay.google.com13. Sept. 2026

Melden eines Problems mit C12_device_identifier

Mindestens ein unabhängiges AuditwesentlichV01_audit_exists

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V01_audit_exists

Art der Veröffentlichung des BerichtsV02_report_publication

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V02_report_publication

Gegenstand des letzten AuditsV03_audit_subject

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V03_audit_subject

Abdeckung der Server-FlotteV04_scope_servers

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V04_scope_servers

Kategorie des AuditorsV06_firm_category

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V06_firm_category

BestätigungsstandardV07_audit_standard

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V07_audit_standard

Datum des neuesten BerichtswesentlichV08_audit_date_latest

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V08_audit_date_latest

Audit-RhythmusV09_audit_regularity

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V09_audit_regularity

Was laut Bericht gespeichert wirdV11_audit_findings

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V11_audit_findings

Stärke des PrüfungsurteilsV15_assurance_strength

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit V15_assurance_strength

Chronologie dokumentierter DurchsetzungsereignisseP12_case_history

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit P12_case_history

IntegritätIst er dabei ertappt worden, eines zu sagen und ein anderes zu tun?16 Felder gelesen · 11 unbekannt geblieben · 9,8 Punkte Druck×0,902

Was dieser Kanal bei diesem Datensatz bepreist hat:Absolute Behauptungen 0.04Transparenz des Eigentümers 0.06

Größe der Nutzerbasis (Massenmarkt >=10 Mio., mittel >=1 Mio., Nische <1 Mio.)auch gelesen von SchweigenM08_user_scale

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit M08_user_scale

Andere Unternehmen der EigentümergruppeM10_owner_other_business

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit M10_owner_other_business

Transparenzberichtauch gelesen von Unwissenheit, SchweigenP05_transparency_report

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit P05_transparency_report

Gemeldete Zahlen für diese Größenordnung plausibelauch gelesen von UnwissenheitP06_report_plausibility

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit P06_report_plausibility

Dokumentierte Lücke zwischen Behauptung und VerhaltenX01_documented_lie

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X01_documented_lie

Marketing im Vergleich zu Audit-ErgebnissenX02_claim_gap

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X02_claim_gap

Transparenz der EigentümerstrukturX03_owner_transparency

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X03_owner_transparency

Nachteilige Ereignisse im Register der EigentümergruppeX04_owner_group_history

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X04_owner_group_history

Wie der Dienst bezahlt wirdX05_monetisation_model

paid_only

Bastrill.com13. Sept. 2026

Melden eines Problems mit X05_monetisation_model

Behauptungen von 100%iger Anonymität oder Verschlüsselung auf MilitärniveauX06_absolute_claims

yes

Bastrill.com13. Sept. 2026

Melden eines Problems mit X06_absolute_claims

Aggressive lebenslange AbonnementsX07_lifetime_push

no

Bastrill.com13. Sept. 2026

Melden eines Problems mit X07_lifetime_push

Nur auf Affiliate-Seiten erwähntX08_affiliate_only_reviews

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X08_affiliate_only_reviews

Sicherheitsvorfall und seine Offenlegungauch gelesen von UnwissenheitX09_incident_handling

none_known

nichts veröffentlicht · erfasst als asserted13. Sept. 2026

Melden eines Problems mit X09_incident_handling

Partnerprogramm und AuszahlungsstufeX10_affiliate_program

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X10_affiliate_program

Eigentümergeführtes Testbericht-Medium legt die Verbindung offenX11_review_media_disclosure

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit X11_review_media_disclosure

Datenerklärung im App Store im Widerspruch zur eigenen Richtlinie des AnbietersX12_store_data_declaration

matches_policy

Bplay.google.com Bapps.apple.com13. Sept. 2026

Melden eines Problems mit X12_store_data_declaration

Ansteckung durch die EigentümergruppeS18_cluster_contagion

0.0

keine Eigentümergruppe bei diesem Datensatz, also nichts zu übertragen

Spezifikation

Mitgeführt, nie bewertet

Länder mit einem Exit

Was sich geändert hat

Falls dieser nicht passt

AstrillVPN

Woher der Sicherheits-Score stammt

Proton VPN

Mullvad VPN

IVPN