ExpressVPN wurde vom Team von HushFleet geprüft und in die Stufe Nicht empfohlen eingeordnet, mit einem Sicherheits-Score von 14/100 und einem Usability-Score von 70/100. In der Gesamtrangliste der VPN-Anbieter nach Sicherheit liegt er auf Rang 16 von 68. Kommerzielles VPN, Unternehmensjurisdiktion Britische Jungferninseln. Er verfügt über ein unabhängiges Sicherheitsaudit: der vollständige Bericht ist veröffentlicht, Beleg-Ebene A.

Methodik: 3.7.0
Schema: 3.7.0
Veröffentlicht: 8. September 2026
Aktualisiert: 14. September 2026

Spezifikation

Mitgeführt, nie bewertet

7 Felder stehen in diesem Datensatz, ohne in den Score einzugehen, und der Vertrag sagt das im Feld selbst: scored: false. Sie stehen hier, weil ein Leser, der fragt, wem dieses Unternehmen gehört oder wer das Audit unterzeichnet hat, etwas fragt, das der Datensatz beantwortet — und weil ein Wert, der die Rechnung nie berührt, sichtbar außerhalb von ihr stehen sollte, statt still hineingemischt zu werden.

Länder mit einem Exit

Jedes Land, in dem der Anbieter einen Exit-Standort anbietet, gezählt von seiner eigenen Server-Seite: 106. Es gibt hier keine Serverzahlen pro Land und nirgends auf der Seite eine Gesamtflottengröße — der Vertrag führt keines von beidem, und eine Zahl, die niemand belegen kann, ist schlimmer als eine fehlende. Die 7 mit Vorgabe markierten Länder schreiben eine Datenspeicherungspflicht vor; diese Markierung stammt aus der eigenen Ländertabelle der Methodik, nicht vom Anbieter.

Klasse: Kommerzielles VPN Stufe: Nicht empfohlen Jurisdiktion: Britische Jungferninseln Speicherdauer: Sitzungsmetadaten Protokoll: Ein Anbieterprotokoll mit veröffentlichtem Quellcode Eigentümergruppe: Kape Technologies

Vom Team von HushFleet44 Änderungen zu diesem Datensatz protokolliert

Was sich geändert hat

Alternativen

Falls dieser nicht passt

ExpressVPN — Sicherheits-Testbericht von HushFleet

Dienstklasse	Kommerzielles VPN — Sicherheit führt
Sicherheits-Score	14 von 100 · Nicht empfohlen
Usability-Score	70 von 100 · Status belegt · 92% belegt · 94,1% des Gewichts gelesen
Rechtsträger	Express Technologies Ltd.
Jurisdiktion	Britische Jungferninseln
Letztlicher Eigentümer	Teddy Sagi, via Unikmind Holdings Limited (Isle of Man), sole shareholder of Kape Technologies plc since the May 2023 delisting; Kape owns ExpressVPN through Express Technologies Ltd.
Exponierung	Mittel · dominanter Kanal: Integrität
Speicherdauer	Sitzungsmetadaten
Letztes Audit	KPMG LLP · 28. Feb. 2025 · Eine jährliche Reihe · Ja, und der Bericht wurde gelesen
Länder mit Exits	106
Protokolle	Ein Anbieterprotokoll mit veröffentlichtem Quellcode WireGuard OpenVPN IKEv2
Funktioniert unter aktiver Zensur	Funktionieren behauptet
Schwächstes noch angebotenes Protokoll	nicht zutreffend
Eigenes DNS im Tunnel	Ja, laut Angabe des Anbieters
Plattformen	Windows Android iOS macOS Linux Router Android TV Browser-Erweiterung Apple TV Fire TV
Gleichzeitige Geräte	10
Kill-Switch	Auf jeder Plattform
Split-Tunneling	Verfügbar
Anmeldung	Nur eine E-Mail-Adresse
Kostenloser Tarif	Keine kostenlose Stufe
P2P erlaubt	unbekannt
Große Streaming-Dienste erreichbar	Erreichbar
Preis, monatlich	$14.99 pro Monat
Preis, jährlich	$59.85 pro Jahr bei Verlängerung, einmal abgerechnet

Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries	Vereinigte Arabische Emirate Belarus China Indien Kasachstan Türkei Vietnam
Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction	IM
Cluster-Schlüssel der EigentümergruppeM15_owner_group	Kape Technologies
Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since	2021-09
Rolle dieser Marke innerhalb der GruppeM17_brand_role	acquired_brand
Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure	unbekannt
Insgesamt veröffentlichte AuditsV10_audit_count	5

Woher der Sicherheits-Score stammt

Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert

Sicherheitsfelder

67 55 davon fließen in einen Kanal ein

Belegt

57 9 bleiben unknown, 1 nicht zutreffend

Vollständigkeit

84% der Anteil, den das Modell gewichten konnte

Quellenangaben

91 über 32 Dokumente hinweg

Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:

A gewichtet 1,00 · 15 hierB gewichtet 0,85 · 64 hierC gewichtet 0,70 · 11 hierD gewichtet 0,35 · 1 hier

Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.

Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.

Bei diesem Datensatz noch offen.

Der Pentest und der eine, der nicht durchgeführt wurde. Das Pentest-Feld stützt sich auf die Prüfung des Lightway-Protokolls durch Cure53 im Oktober und November 2024, bei der eine als Hoch eingestufte Denial-of-Service-Schwachstelle durch nicht authentifizierte Datenfragmente sowie vier weniger schwerwiegende Punkte festgestellt wurden. Das Trust Center von ExpressVPN führt eine lange Reihe solcher Prüfungen auf, die Regelmäßigkeit ist also belegt; was es nicht enthält, ist ein Infrastruktur-Pentest der Serverflotte, der vom No-Logs-Auftrag von KPMG getrennt ist.

Die beiden Preise, korrigiert. Die Preisseite verkauft nun drei getrennte Laufzeiten — 1 Monat, 12 Monate und 2 Jahre — statt der am 29.08.2026 gelesenen Struktur, die nur 24–28 Monate umfasste. U04_price_monthly=14.99 ist der Basic-Tarif mit 1 Monat Laufzeit und automatischer Verlängerung zum gleichen Preis von 14,99 $. U04b_price_yearly=59.85 ist der Betrag, den der Basic-Tarif mit 12 Monaten Laufzeit (abgerechnet als 12 Monate plus 3 Bonusmonate) im ersten Zeitraum tatsächlich berechnet; danach verlängert er sich automatisch für 99,95 $/Jahr, den Betrag, den der vorherige Datensatz fälschlich selbst als Jahresfeld gespeichert hatte.

der Rest dessen, was offen ist — 385 weitere Wörter

Der Transparenzbericht. P05/P06/P08/P09 stützen sich nun auf den halbjährlichen Transparenzbericht von ExpressVPN (Juli–Dezember 2025: 155 Anfragen von Behörden und Strafverfolgungsbehörden, 0 Offenlegungen, 3 separat aufgeführte Haftbefehle), der über das Trust Center aufgerufen wurde — in der vorherigen Prüfung wurden beide übersehen.

Der Canary und der Rest des Blocks. Es konnte kein Haftbefehls-Canary von ExpressVPN gefunden werden, und keine primäre Erklärung verneint einen solchen, daher bleibt P07 unbekannt. P02/P03=none_known stützen sich auf die Transparenzserie und die Haltung der Datenschutzrichtlinie zu Rechtsstreitigkeiten; P11=none_known auf die Aussage der Richtlinie, dass alle Vorgaben über Gerichte auf den Britischen Jungferninseln laufen. P04=withdrew_physical ist der Exit aus Indien im Juni 2022.

Was nie veröffentlicht wird. Die Zahl der Abonnenten (M08) und die Gesamtzahl der Server (U03) werden nicht veröffentlicht. Das Eigentum an der Serverhardware (C08: Eigentum vs. gemietet) und Kennungen auf App-Ebene für Geräte (C12) konnten auf keiner geprüften Seite belegt werden.

106 Länder gegenüber einer Behauptung von 113. U02_server_countries entspricht den 105 Länder-Landingpages in ExpressVPNs eigener Sitemap plus China (bestätigt als „Available - Virtual Locations“ auf der aktiven /vpn-server-Seite, aber ohne eigene Landingpage) — insgesamt 106 Codes gegenüber der eigenen Marketingangabe „113 Countries“; die aktive Serverstandortseite ist eine sehr große Tabelle pro Protokoll, die nicht vollständig ausgewertet wurde, daher wird die Lücke zwischen 106 und 113 berichtet, statt sie aufzulösen.

Ein Audit-Befund zwischen zwei Kategorien. V11_audit_findings ist als session_metadata statt none_linkable oder aggregates_only erfasst: Der KPMG-Bericht von 2025 beschreibt einen strukturierten Datensatz pro Verbindung (Land, ISP, Datum, Protokoll, Datenvolumen, ein stabiles Pseudonym aus einem gesalzenen Hash), der über ein reines Aggregat hinausgeht, aber IP und genaue Zeitangabe nicht enthält — ein tatsächlich mehrdeutiger Fall für die vier mittleren Kategorien dieses Feldes.

In diesem Durchgang nicht geprüft. Ob die Abdeckung von ExpressVPN außerhalb von Affiliate-Seiten besteht (X08), ihre Affiliate-Auszahlungsstufe (X10) und ob von Eigentümern betriebene Testmedien die Eigentümerverbindung kenntlich machen (X11), wurden in diesem Durchgang nicht geprüft.

P2P, gesucht und nicht vorhanden. U12a_p2p_allowed bleibt aus einem anderen Grund als der Rest unbekannt: Es wurde danach gesucht und ist nicht veröffentlicht. Weder die Sitemap (578 Seiten- und Support-URLs) noch die Nutzungsbedingungen erwähnen irgendwo P2P, BitTorrent oder Filesharing, während jeder andere katalogisierte Anbieter seine Position in den eigenen Dokumenten angibt. Ein Supportartikel oder eine Klausel in den Nutzungsbedingungen würde die Lücke schließen; eine Testseite, die besagt, dass es funktioniert, würde dies nicht tun.

Zum Datensatz als Ganzes.

Express Technologies Ltd., seit 2009 auf den Britischen Jungferninseln eingetragen, befindet sich seit der Übernahme im September 2021 im Eigentum von Kape Technologies plc (936 Mio. $, eigene Über-uns-Seite von Kape). Die RAM-only-Architektur TrustedServer wurde seit 2022 jährlich von KPMG auf die Einhaltung der Datenschutzrichtlinie geprüft (ISAE (UK) 3000 Type I, zuletzt am 28. Feb. 2025), außerdem von PwC Switzerland (2019, TrustedServer) und Cure53 (2019 Browser-Erweiterungen; 2021 Lightway-Protokoll, als Open Source veröffentlicht).

Der KPMG-Bericht von 2025 wurde direkt gelesen (Konfidenz A): Der Server schreibt pro Verbindung ein pseudonymes Ereignis (Datum ohne Uhrzeit, gesalzener und gehashter Benutzername, Land+ISP aus GeoIP, Datenvolumen, Standortgruppe, Protokoll), protokolliert aber niemals die IP-Adresse oder den genauen Zeitstempel; die Builds werden als über zwei unabhängig betriebene Build-Systeme reproduzierbar beschrieben.

der Rest dessen, was offen ist — 328 weitere Wörter

2017 beschlagnahmten türkische Behörden bei den Ermittlungen zur Ermordung des russischen Botschafters Andrei Karlov einen ExpressVPN-Server und fanden keine verwertbaren Logs (TorrentFreak, das einen Sponsoring-Hinweis für ExpressVPN trägt — vermerkt, nicht ausgeschlossen, da die Fakten extern überprüfbar sind und die eigene Stellungnahmeseite von ExpressVPN inzwischen HTTP 410 zurückgibt, ohne Snapshot in der Wayback Machine).

Im September 2021 wurde die Deferred Prosecution Agreement des DOJ mit Daniel Gericke, Chief Information Officer von ExpressVPN, wegen seiner früheren Rolle von 2016 bis 2018 in der Hacking-Operation „Project Raven“ der UAE öffentlich; das primäre DPA-Dokument selbst nennt ExpressVPN nie (es betrifft nur seine frühere Beschäftigung in den UAE) — die Verbindung zu ExpressVPN ergibt sich aus eigenen Stellungnahmen von ExpressVPN und aus Presseberichten. ExpressVPN beschäftigte Gericke weiter und veröffentlichte eine öffentliche Verteidigung dieser Entscheidung.

C12 ist resettable_ad_id im eigenen Text des Anbieters und nicht in einer Store-Kategorie. Der Marketing-Absatz der Datenschutzrichtlinie besagt, dass eine Installations-ID und eine XV User ID immer erhoben werden und dass Werbekennungen — IDFA oder die Android Advertising ID — nach ausdrücklicher Einwilligung folgen; all dies erreicht AppsFlyer. Das Play-Datensicherheitsformular erklärt unabhängig davon Device or other IDs für Werbung oder Marketing.

Die Einwilligungsschwelle und eine Mitigation, die hier sonst niemand anbietet – über AppsFlyer geleiteter Datenverkehr, der durch einen dedizierten ExpressVPN-IP-Pool geleitet wird, sodass die Attribution nicht anhand der IP korrelieren kann – sind real und werden hier aufgezeichnet, weil die Untergrenze bewertet, was festgehalten werden kann, nicht wie gut es erklärt wird.

U07_protocols umfasst den gesamten Auswahlbereich: Lightway UDP und TCP als

IntegritätIst er dabei ertappt worden, eines zu sagen und ein anderes zu tun?16 Felder gelesen · 5 unbekannt geblieben · 63,3 Punkte Druck×0,367

Was dieser Kanal bei diesem Datensatz bepreist hat:Monetarisierung 0.2Gekaufte Berichterstattung 0.1Vorfallbehandlung 0.2Unplausibler Bericht 0.15Historie der Eigentümergruppe 0.25

Größe der Nutzerbasis (Massenmarkt >=10 Mio., mittel >=1 Mio., Nische <1 Mio.)auch gelesen von SchweigenM08_user_scale

unbekannt

nichts veröffentlicht · erfasst als asserted

Melden eines Problems mit M08_user_scale

Andere Unternehmen der EigentümergruppeM10_owner_other_business

antivirusreview_directoryadtech_adware

Cen.wikipedia.org27. Aug. 2026

Melden eines Problems mit M10_owner_other_business

Transparenzberichtauch gelesen von Unwissenheit, SchweigenP05_transparency_report

fresh_with_numbers

Bexpressvpn.com

Berechnet

×0,144 eines makellosen Datensatzes Vollständigkeit 84%

Woher der Abzug stammt: Integrität. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,367, und sein Balken oben ist bis dorthin gefüllt.

Die Exponierung ist erfasst als medium, der Integritätsstatus als clean.

Im Vergleich zum Rest des Registers liegt dieser Datensatz am weitesten oben bei Jurisdiktion — ×1,000 gegenüber einem Registerdurchschnitt von ×0,680 — und am weitesten unten bei Integrität, ×0,367 gegenüber ×0,658.

Veröffentlichter Score

Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.

vendor_open

proprietary

Spezifikation

Mitgeführt, nie bewertet

Länder mit einem Exit

Was sich geändert hat

Falls dieser nicht passt

Verglichen mit

ExpressVPN

Woher der Sicherheits-Score stammt

Mullvad VPN

IVPN

Proton VPN