Dienstklasse

Kommerzielles VPN — Sicherheit führt

Sicherheits-Score

17 von 100 · Unzureichend

Usability-Score

70 von 100 · Status belegt · 83% belegt · 88,2% des Gewichts gelesen

Rechtsträger

nordvpn S.A.

Jurisdiktion

Panama

Letztlicher Eigentümer

Nord Security

Exponierung

Mittel · dominanter Kanal: Speicherdauer

Speicherdauer

Nur aggregierte Zählungen

Letztes Audit

Deloitte Audit Lithuania · 12. Dez. 2025 · Eine jährliche Reihe · unbekannt

Länder mit Exits

149

Protokolle

Ein von WireGuard abgeleitetes Protokoll OpenVPN Ein verschleiertes Protokoll

Funktioniert unter aktiver Zensur

Funktionieren behauptet

Schwächstes noch angebotenes Protokoll

nicht zutreffend

Eigenes DNS im Tunnel

unbekannt

Plattformen

Windows macOS Linux Android iOS Browser-Erweiterung Android TV Apple TV

Gleichzeitige Geräte

Kill-Switch

Auf jeder Plattform

Split-Tunneling

Verfügbar

Anmeldung

unbekannt

Kostenloser Tarif

Keine kostenlose Stufe

P2P erlaubt

Erlaubt

Große Streaming-Dienste erreichbar

unbekannt

Preis, monatlich

$14.99 pro Monat

Preis, jährlich

$139.08 pro Jahr bei Verlängerung, einmal abgerechnet

Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries

Vereinigte Arabische Emirate Indien Irak Kasachstan Türkei Vietnam

Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction

unbekannt

Cluster-Schlüssel der EigentümergruppeM15_owner_group

Nord Security

Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since

2012

Rolle dieser Marke innerhalb der GruppeM17_brand_role

principal

Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure

separate

Insgesamt veröffentlichte AuditsV10_audit_count

Unzureichend

NordVPN

Kommerzielles VPNPanamaRang 12 von 68

Monatlich zahlend

$14.99 pro Monat

Jährlich zahlend

$139.08 einmal jährlich abgerechnet

Abdeckung

149 Länder mit einem Exit

Kostenloser Tarif

Nein nur kostenpflichtige Tarife

17 von 100

Sicherheit

70 von 100

Usability

Website besuchen

Woher der Sicherheits-Score stammt

Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert

Sicherheitsfelder

67 55 davon fließen in einen Kanal ein

Belegt

47 19 bleiben unknown, 1 nicht zutreffend

Vollständigkeit

69% der Anteil, den das Modell gewichten konnte

Quellenangaben

65 über 21 Dokumente hinweg

Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:

B gewichtet 0,85 · 58 hierC gewichtet 0,70 · 7 hier

Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.

Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.

Bei diesem Datensatz noch offen.

Die beiden Preise. U04b_price_yearly=139,08 und U04_price_monthly=14,99 sind die Verlängerungspreise der Basic-Stufe in USD, abgelesen auf nordvpn.com/pricing mit einer US-IP (die Seite sperrt die Währung geografisch; der Einjahresplan wirbt mit 5,49 USD/Monat für die ersten 12 Monate, danach 139,08 USD/Jahr).

Die Transparenzseite, erneut gelesen. Der P-Block wurde erneut anhand der Transparenzseite von NordVPN (nordvpn.com/blog/nordvpn-introduces-transparency-reports/, täglich aktualisiert) gelesen: Im Oktober 2024 zwang ein bindender Haftbefehl der Staatsanwaltschaft Panamas NordVPN, Zahlungsdaten und die Bestätigung herauszugeben, dass für eine bestimmte E-Mail-Adresse ein Konto existierte — die einzige lebenslange Offenlegung im Datensatz (P02/P03/P12).

der Rest dessen, was offen ist — 580 weitere Wörter

Der Canary und das Quartal, das ihn ersetzte. Dieselbe Seite stellte den Warrant Canary (P07=removed) zugunsten vierteljährlicher Transparenzberichte ein; das letzte vollständige Quartal (April–Juni 2026) weist 85 behördliche Anfragen und 0 Offenlegungen aus, daher beziehen sich P08/P09 auf diesen Zeitraum und nicht auf den lebenslangen Wert.

Indien und das Regime geheimer Anordnungen. P04=withdrew_physical ist der Rückzug aus Indien im Juni 2022. P11=none_known beruht auf der Aussage der Seite, dass NordVPN keine bindenden National Security Letters oder geheimen Anordnungen erhalten hat, sowie auf dem Fehlen eines solchen Regimes in Panama.

Eine Assurance-Ebene, die niemand prüfen kann. NordVPN beschreibt das Deloitte-Lithuania-Engagement als ein angemessenes Assurance-Engagement nach ISAE 3000 (Revised), was die stärkere Form wäre; der lesbare Bericht von PIA stellt eine Schlussfolgerung mit begrenzter Assurance fest.

Warum die stärkere Form nicht angerechnet wird. Das Modell bewertet diesen Unterschied jetzt, und dieser Datensatz erhält daraus keinen Vorteil: V15_assurance_strength ist unbekannt, weil die einzige Angabe zur Ebene von NordVPN selbst stammt und einen Bericht betrifft, den niemand außerhalb eines Nord Account öffnen kann. Ein Dokument hinter einer Anmeldung ist hier auf keiner Ebene ein Beleg, daher wird der Auftrag nach der Marktnorm angerechnet und nicht nach der Ebene, die er angeblich erreicht hat.

Ein Bericht hinter einer Anmeldung. Der Bericht selbst ist erst nach der Anmeldung bei einem Nord Account lesbar, daher hat niemand außerhalb dieser Beziehung seinen Umfang geprüft, und jedes Audit-Feld hier stützt sich auf die eigene Zusammenfassung von NordVPN statt auf das Dokument. Das – und nicht ein Befund gegen den Dienst – ist der Grund, warum dieser Datensatz der belegärmste im Katalog ist.

Die Eigentümerfelder. M11_owner_jurisdiction und X04_owner_group_history sind unbekannt: nordvpn.com und nordsecurity.com nennen Nord Security als Eigentümer, aber keine der beiden Seiten nennt die eigene Jurisdiktion der Gründung von Nord Security oder eine frühere Historie der Gruppe; die Sekundärpresse bringt eine „Cyberspace“-Holdinggesellschaft seit der Fusion von 2022 mit den Niederlanden in Verbindung, doch dies wurde innerhalb der verfügbaren Zeit nicht gegen eine primäre Seite von Nord Security oder NordVPN bestätigt.

Was überhaupt nicht gelesen werden konnte. Der vollständige Text des Deloitte-Berichts von 2025 kann überhaupt nicht gelesen werden (durch Anmeldung geschützt), daher wird über die eigene Behauptung der Richtlinie in C01_linkable_retention hinaus kein Befund zur Speicherdauer festgehalten.

Zum Datensatz als Ganzes.

nordvpn.com selbst gibt bei jedem in diesem Audit verwendeten Abruf außerhalb eines Browsers, einschließlich eines Headless-Fetch-Tools, eine Cloudflare-Bot-Herausforderung (403) zurück; jede Quellenangabe zu einer nordvpn.com-Seite in diesem Datensatz wurde über einen Drittanbieter-Leseproxy (r.jina.ai) abgerufen, der die Seite serverseitig rendert, nicht über eine direkte Anfrage an die Domain.

Rechtsdokumente (Datenschutzerklärung, Vertragsbedingungen) liegen auf einer separaten Domain, my.nordaccount.com, und sind über die eigene Sitemap von nordvpn.com nicht auffindbar — sie wurden nur durch das Folgen des Footer-Links auf einer gerenderten Seite erreicht. Der sechste Deloitte-Bericht zur Zusicherung einer Protokollierungsfreiheit (ausgestellt am 12.12.2025) ist laut einem eigenen Blogbeitrag von NordVPN ausdrücklich nur nach Anmeldung zugänglich („wir veröffentlichen keine Auszüge öffentlich … melden Sie sich bei Ihrem Nord Account an“); daher wird V11_audit_findings gemäß R23 als not_stated erfasst, statt aus der Zusammenfassung der Ankündigung einen Befund zur Speicherdauer abzuleiten.

der Rest dessen, was offen ist — 90 weitere Wörter

Der Rechenzentrumsverstoß in Finnland von 2018 war ein Eindringen durch einen Dritten, keine Beschlagnahme durch Strafverfolgungsbehörden — er wird unter P12_case_history als kind=breach erfasst, nicht als P01_seizure_event. Die eigene Darstellung von NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) und die zeitgleiche Berichterstattung von Bloomberg stimmen darin überein, dass die Offenlegung auf Twitter-Anschuldigungen externer Forschender folgte, nicht auf eine eigene Initiative von NordVPN — daher third_party_disclosed statt self_disclosed_late.

NordVPN und Surfshark haben mit Nord Security denselben Mutterkonzern, aber die eigene Fusionsankündigung beider Unternehmen nennt separate Infrastruktur und Produkt-Roadmaps; M18 wird auf dieser Grundlage als getrennt festgelegt.

SpeicherdauerGibt es einen Datensatz, der Datenverkehr mit einer Person verknüpft, und wer hat das geprüft?13 Felder gelesen · 1 unbekannt geblieben · 45,0 Punkte Druck×0,550

Zusammengesetzt statt addiert: ein Ausgangswert von 0.55 auf dem Zweig silent, verschoben durch das, was das Papier sagt (0.0374), und durch das, was die Praxis zeigt (0.3005), mit einer Glaubwürdigkeit von 0.3173 aus dem Audit und 0.85 aus der Art, wie der Anbieter sich beteiligt hat, gegen eine Schwere von 0.08 für das, was tatsächlich gespeichert wird.

Einer Person zuordenbare Speicherdauer laut AngabewesentlichC01_linkable_retention

aggregates_only

Bmy.nordaccount.com28. Aug. 2026

Melden eines Problems mit C01_linkable_retention

Dauerhafte Gerätekennung, die der Anbieter speichertC12_device_identifier

resettable_ad_id

Bmy.nordaccount.com27. Aug. 2026

Melden eines Problems mit C12_device_identifier

Mindestens ein unabhängiges AuditwesentlichV01_audit_exists

yes_declared

Berechnet

×0,172 eines makellosen Datensatzes Vollständigkeit 69%

Woher der Abzug stammt: Speicherdauer. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,550, und sein Balken oben ist bis dorthin gefüllt.

Die Exponierung ist erfasst als medium, der Integritätsstatus als clean.

Im Vergleich zum Rest des Registers liegt dieser Datensatz am weitesten oben bei Jurisdiktion — ×0,921 gegenüber einem Registerdurchschnitt von ×0,680 — und am weitesten unten bei Offenlegung, ×0,780 gegenüber ×0,970.

Veröffentlichter Score

Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.

Spezifikation

Mitgeführt, nie bewertet

Länder mit einem Exit

Verglichen mit

Was sich geändert hat

Falls dieser nicht passt

NordVPN

Woher der Sicherheits-Score stammt

Proton VPN

Mullvad VPN

IVPN