Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries

Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction

Cluster-Schlüssel der EigentümergruppeM15_owner_group

Unabhängig

Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since

nicht zutreffend

Rolle dieser Marke innerhalb der GruppeM17_brand_role

principal

Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure

separate

Insgesamt veröffentlichte AuditsV10_audit_count

Dienstklasse

Kommerzielles VPN — Sicherheit führt

Sicherheits-Score

60 von 100 · Akzeptabel

Usability-Score

64 von 100 · Status belegt · 75% belegt · 79,4% des Gewichts gelesen

Rechtsträger

Mullvad VPN AB, Box 53049, 400 14 Gothenburg, Sweden

Jurisdiktion

Schweden

Letztlicher Eigentümer

Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel Berntsson

Exponierung

Mittel · dominanter Kanal: Speicherdauer

Speicherdauer

Nichts, was den Datenverkehr mit einer Person verknüpft

Letztes Audit

Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17 · 17. Feb. 2026 · Wiederholt, ohne festen Turnus · Ja, und der Bericht wurde gelesen

Länder mit Exits

Protokolle

WireGuard

Funktioniert unter aktiver Zensur

Funktionieren behauptet

Schwächstes noch angebotenes Protokoll

nicht zutreffend

Eigenes DNS im Tunnel

Ja, laut Angabe des Anbieters

Plattformen

Android iOS Linux macOS Windows

Gleichzeitige Geräte

Kill-Switch

unbekannt

Split-Tunneling

Verfügbar

Anmeldung

Kein Konto erforderlich

Kostenloser Tarif

Keine kostenlose Stufe

P2P erlaubt

unbekannt

Große Streaming-Dienste erreichbar

unbekannt

Preis, monatlich

$5.69 pro Monat

Preis, jährlich

$69.60 pro Jahr bei Verlängerung, einmal abgerechnet

Akzeptabel

Mullvad VPN

Kommerzielles VPNSchwedenRang 2 von 68

Monatlich zahlend

$5.69 pro Monat

Jährlich zahlend

$69.60 einmal jährlich abgerechnet

Abdeckung

50 Länder mit einem Exit

Kostenloser Tarif

Nein nur kostenpflichtige Tarife

60 von 100

Sicherheit

64 von 100

Usability

Website besuchen

Woher der Sicherheits-Score stammt

Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert

Sicherheitsfelder

67 55 davon fließen in einen Kanal ein

Belegt

54 7 bleiben unknown, 6 nicht zutreffend

Vollständigkeit

87% der Anteil, den das Modell gewichten konnte

Quellenangaben

74 über 25 Dokumente hinweg

Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:

A gewichtet 1,00 · 9 hierB gewichtet 0,85 · 61 hierC gewichtet 0,70 · 4 hier

Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.

Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.

Bei diesem Datensatz noch offen.

Der Audit-Turnus. Mullvad veröffentlicht im App-Repository ein Audit-Verzeichnis, und dieses ist beim Turnus eindeutig: Im Verzeichnis steht ausdrücklich, dass die Audits der Haupt-App alle zwei Jahre stattfinden, mit zusätzlichen Audits dazwischen. Deshalb wird die Regelmäßigkeit als wiederholt in keinem festen Intervall erfasst und nicht als jährliche Reihe — niemand behauptet einen jährlichen Turnus.

Zwei Berichte, ein Datum. Zwei separate Beauftragungen teilen sich den 17.02.2026, und der Datensatz nennt beide: Assureds Code-Review von GotaTun, der WireGuard-Implementierung im Userspace (keine kritischen, hohen oder mittleren Probleme; zwei niedrige und neun Hinweise), sowie Leviathans Mobile App Profile-Bewertung der Android-App, deren Konformitätsbericht den 17. Februar 2026 als Bewertungsdatum und AL2 als Sicherheitsstufe angibt. Ein Datum, zwei Berichte, kein Widerspruch.

der Rest dessen, was offen ist — 227 weitere Wörter

Warum die Anzahl acht beträgt. Die Anzahl der Audits beträgt acht, weil die GotaTun-Überprüfung außerhalb der eigenen Liste des App-Repositorys liegt. Zuvor fand eine 30 Personentage umfassende X41-D-Sec-Überprüfung über alle fünf Plattformen hinweg sechs Schwachstellen — drei hohe, zwei mittlere, eine niedrige, keine kritische.

Was keine Beauftragung abdeckt. Keine dieser Beauftragungen deckt die Serverflotte ab: Jede einzelne untersucht die App oder das Tunnelprotokoll, weshalb die Flottenabdeckung als nicht anwendbar und nicht als Stichprobe erfasst wird. Die No-Logs-Behauptung auf der Infrastrukturseite stützt sich daher auf den Durchsuchungsbeschluss vom April 2023 — die schwedische Polizei kam wegen Kundendaten und ging ohne sie — und nicht auf irgendein Audit.

Reproduzierbare Builds, nur für Android. Reproduzierbare Builds gibt es nur für Android, ab Version 2025.2, daher bleibt das Feld teilweise; die Desktop- und iOS-Builds sind nicht Bit für Bit verifizierbar. Die Türkei ist das einzige Land mit Vorgabe in der angebotenen Liste, und das Hosting dahinter ist nicht belegt.

Nichts über Forderungen veröffentlicht. Nichts im Datensatz stützt sich auf etwas, das der Anbieter über eingehende Forderungen veröffentlicht: Es gibt weder einen Transparenzbericht noch eine geheime Anordnung, daher trägt die Beschlagnahme vom April 2023 diese Grundlage allein. Die Abdeckung des Kill-Switches und die P2P-Richtlinie sind nicht belegt; das jüngste Audit ist ein Code-Review des Protokolls und keine Beauftragung zu No-Logs, daher bleibt V11 stumm, und die Speicherdauer stützt sich auf die Erklärung.

Zum Datensatz als Ganzes.

Der Durchsuchungsbefehl vom April 2023 ist das stärkste einzelne Element in diesem Datensatz: Die Polizei erschien im Büro und ging mit leeren Händen, was ein Praxisbeleg statt Papier ist und deutlich langsamer an Aktualität verliert als ein Audit. Die Preisgestaltung beträgt für jeden Zeitraum pauschal 5 EUR/Monat; U04_price_monthly enthält 5,80 (das von Mullvad auf der eigenen Seite angegebene USD-Äquivalent); U04b_price_yearly beträgt 69,60, das volle Jahr zu diesem Satz.

SpeicherdauerGibt es einen Datensatz, der Datenverkehr mit einer Person verknüpft, und wer hat das geprüft?13 Felder gelesen · 2 nicht zutreffend · 21,8 Punkte Druck×0,782

Zusammengesetzt statt addiert: ein Ausgangswert von 0.55 auf dem Zweig silent, verschoben durch das, was das Papier sagt (0.0687), und durch das, was die Praxis zeigt (0.608), mit einer Glaubwürdigkeit von 0.6389 aus dem Audit und 0.855 aus der Art, wie der Anbieter sich beteiligt hat, gegen eine Schwere von 0.03 für das, was tatsächlich gespeichert wird.

Einer Person zuordenbare Speicherdauer laut AngabewesentlichC01_linkable_retention

none_linkable

Bmullvad.net13. Aug. 2026

Melden eines Problems mit C01_linkable_retention

Dauerhafte Gerätekennung, die der Anbieter speichertC12_device_identifier

none

Bplay.google.com15. Aug. 2026

Melden eines Problems mit C12_device_identifier

Mindestens ein unabhängiges AuditwesentlichV01_audit_exists

yes_verified

Berechnet

×0,601 eines makellosen Datensatzes Vollständigkeit 87%

Woher der Abzug stammt: Speicherdauer. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,782, und sein Balken oben ist bis dorthin gefüllt.

Die Exponierung ist erfasst als medium, der Integritätsstatus als clean.

Dieser Datensatz liegt bei allen 8 Kanälen über dem Durchschnitt des Registers. Der knappste Abstand liegt bei Offenlegung, ×1,000 gegenüber ×0,970.

Veröffentlichter Score

Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.

Spezifikation

Mitgeführt, nie bewertet

Länder mit einem Exit

Verglichen mit

Was sich geändert hat

Falls dieser nicht passt

Mullvad VPN

Woher der Sicherheits-Score stammt

IVPN

AirVPN

Proton VPN

Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries	Türkei
Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction	SE
Cluster-Schlüssel der EigentümergruppeM15_owner_group	Unabhängig
Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since	nicht zutreffend
Rolle dieser Marke innerhalb der GruppeM17_brand_role	principal
Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure	separate
Insgesamt veröffentlichte AuditsV10_audit_count	8