Norton VPN wurde vom Team von HushFleet geprüft und in die Stufe Nicht empfohlen eingeordnet, mit einem Sicherheits-Score von 4/100 und einem Usability-Score von 80/100. In der Gesamtrangliste der VPN-Anbieter nach Sicherheit liegt er auf Rang 42 von 68. Kommerzielles VPN, Unternehmensjurisdiktion Vereinigte Staaten. Er verfügt über ein unabhängiges Sicherheitsaudit: nur eine Zusammenfassung des Berichts ist veröffentlicht, Beleg-Ebene A.

Methodik: 3.7.0
Schema: 3.7.0
Veröffentlicht: 14. September 2026

Spezifikation

Mitgeführt, nie bewertet

7 Felder stehen in diesem Datensatz, ohne in den Score einzugehen, und der Vertrag sagt das im Feld selbst: scored: false. Sie stehen hier, weil ein Leser, der fragt, wem dieses Unternehmen gehört oder wer das Audit unterzeichnet hat, etwas fragt, das der Datensatz beantwortet — und weil ein Wert, der die Rechnung nie berührt, sichtbar außerhalb von ihr stehen sollte, statt still hineingemischt zu werden.

Länder mit einem Exit

Jedes Land, in dem der Anbieter einen Exit-Standort anbietet, gezählt von seiner eigenen Server-Seite: 103. Es gibt hier keine Serverzahlen pro Land und nirgends auf der Seite eine Gesamtflottengröße — der Vertrag führt keines von beidem, und eine Zahl, die niemand belegen kann, ist schlimmer als eine fehlende. Die 5 mit Vorgabe markierten Länder schreiben eine Datenspeicherungspflicht vor; diese Markierung stammt aus der eigenen Ländertabelle der Methodik, nicht vom Anbieter.

Klasse: Kommerzielles VPN Stufe: Nicht empfohlen Jurisdiktion: Vereinigte Staaten Speicherdauer: Verbindungszeitstempel Protokoll: WireGuard Eigentümergruppe: Gen Digital

Vom Team von HushFleet

Alternativen

Falls dieser nicht passt

Norton VPN — Sicherheits-Testbericht von HushFleet

Dienstklasse	Kommerzielles VPN — Sicherheit führt
Sicherheits-Score	4 von 100 · Nicht empfohlen
Usability-Score	80 von 100 · Status belegt · 67% belegt · 61,8% des Gewichts gelesen
Rechtsträger	Gen Digital Inc.
Jurisdiktion	Vereinigte Staaten
Letztlicher Eigentümer	Publicly traded on NASDAQ (GEN); no single controlling shareholder documented
Exponierung	Mittel · dominanter Kanal: Jurisdiktion
Speicherdauer	Verbindungszeitstempel
Letztes Audit	VerSprite · 3. Sept. 2025 · Wiederholt, ohne festen Turnus · Ja, und der Bericht wurde gelesen
Länder mit Exits	103
Protokolle	WireGuard OpenVPN IPsec Ein verschleiertes Protokoll
Funktioniert unter aktiver Zensur	unbekannt
Schwächstes noch angebotenes Protokoll	IPsec
Eigenes DNS im Tunnel	unbekannt
Plattformen	Windows macOS iOS Android Android TV Apple TV Fire TV
Gleichzeitige Geräte	10
Kill-Switch	unbekannt
Split-Tunneling	Verfügbar
Anmeldung	Nur eine E-Mail-Adresse
Kostenloser Tarif	Nur eine Testphase
P2P erlaubt	unbekannt
Große Streaming-Dienste erreichbar	Erreichbar
Preis, monatlich	nicht veröffentlicht
Preis, jährlich	$39.99 pro Jahr bei Verlängerung, einmal abgerechnet

Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries	Vereinigte Arabische Emirate Indien Kasachstan Türkei Vietnam
Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction	US
Cluster-Schlüssel der EigentümergruppeM15_owner_group	Gen Digital
Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since	2022-10-12
Rolle dieser Marke innerhalb der GruppeM17_brand_role	principal
Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure	unbekannt
Insgesamt veröffentlichte AuditsV10_audit_count	3

Woher der Sicherheits-Score stammt

Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert

Sicherheitsfelder

67 55 davon fließen in einen Kanal ein

Belegt

50 17 bleiben unknown, 0 nicht zutreffend

Vollständigkeit

72% der Anteil, den das Modell gewichten konnte

Quellenangaben

69 über 16 Dokumente hinweg

Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:

A gewichtet 1,00 · 29 hierB gewichtet 0,85 · 40 hier

Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.

Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.

Bei diesem Datensatz noch offen.

Die Serverhygiene ist nicht dokumentiert. Weder der Datenschutzhinweis noch die beiden veröffentlichten VerSprite-Berichte geben an, ob Edge-Server nur RAM oder persistente Datenträger verwenden, ob VPN-IP-Adressen von mehreren Nutzern gemeinsam genutzt oder dediziert sind, ob Norton eigene DNS-Resolver innerhalb des Tunnels betreibt oder wem die zugrunde liegende Hardware gehört. Alle vier werden daher als unknown erfasst und nicht in die eine oder andere Richtung als Wert angenommen.

Die länderweise physische/virtuelle Aufteilung wurde aus der Zusammenfassung einer Seite abgelesen, nicht Zeile für Zeile verifiziert. Eine direkte Darstellung bestätigte, dass die Spalte aus echtem Text und nicht aus einem Symbol besteht, und die Region Amerika entsprach exakt der Zusammenfassung — die anderen drei Regionen, ungefähr 90 der 103 aufgeführten Länder, stammten jedoch aus der Tabellenzusammenfassung eines Abruf-Tools, statt einzeln geöffnet zu werden. C09b_mandate_hosting wird auf dieser Grundlage als mixed erfasst.

der Rest dessen, was offen ist — 253 weitere Wörter

Keine dokumentierte Beschlagnahme, kein Gerichtsbeschluss und kein Regime aus Schweigepflicht-Anordnungen oder geheimen Anordnungen speziell für das VPN. Der vierteljährliche Transparenzbericht gibt an, dass Anfragen mit nichts beantwortet wurden, was herauszugeben gewesen wäre, weil nichts gespeichert wird; das ist jedoch eine periodische aggregierte Behauptung und kein datierter Fall wie bei P12_case_history — daher wurde keine Anerkennung für einen Praxisweg vergeben, und P04_mandate_response sowie P11_gag_order_regime bleiben mangels eines Dokuments, das eines von beiden nennt, unbekannt.

Ob Norton VPN Backend-Infrastruktur mit den Schwester-VPN-Marken von Gen Digital (Avast SecureLine, AVG Secure VPN, Avira Phantom VPN) gemeinsam nutzt, ist nicht belegt. Die VerSprite-Berichte beschränken ihren Untersuchungsumfang auf „Norton VPN“-Edge-Server, ohne anzugeben, ob diese Flotte ausschließlich Norton gehört oder im gesamten Portfolio gemeinsam genutzt wird; daher ist M18_shared_infrastructure unknown, statt in die eine oder andere Richtung angenommen zu werden.

Ein echter Monat-zu-Monat-Tarif existiert, aber sein Preis nicht. Der Norton-Support bestätigt, dass speziell für Norton VPN eine monatliche Abrechnung ohne jährliche Bindung angeboten wird, aber keine in dieser Sitzung erreichbare Seite den tatsächlichen Monatsbetrag zeigte — nur die drei Jahrestarife mit ihren Preisen für das erste Jahr und bei Verlängerung. U04_price_monthly bleibt unbekannt, statt die Jahressumme durch zwölf zu teilen.

Startjahr sowie Angaben zu Bewertungsmedien und Affiliate-Programm wurden nicht belegt. Es wurde keine Seite gefunden, die datiert, wann Norton VPN (im Unterschied zur umfassenderen Norton 360-Suite) erstmals veröffentlicht wurde, und in dieser Sitzung wurden weder die Abdeckung durch Bewertungen Dritter noch die Auszahlungsstruktur des Affiliate-Programms untersucht; daher sind M07, X08, X10 und X11 unbekannt, statt als unbedenklich angenommen zu werden.

Zum Datensatz als Ganzes.

Die Geschichte der Eigentümergruppe (X04_owner_group_history = sanctioned_or_prosecuted, M14_inclusion_basis = adverse_record) beruht auf der FTC-Anordnung vom Februar 2024 gegen Avast wegen des Verkaufs von Browserdaten, die zwischen 2014 und 2020 über dessen Antivirus- und Browser-Erweiterungsprodukte erhoben wurden, während diese Produkte als datenschutzschützend vermarktet wurden.

Avast ist eine Schwestermarke unter derselben Muttergesellschaft Gen Digital Inc. (NASDAQ: GEN) wie Norton; sie entstand, als NortonLifeLock und Avast fusionierten und sich im Oktober 2022 umbenannten — die FTC-Anordnung liegt zwei bis acht Jahre vor dieser Fusion und nennt nur Avast Limited, nicht Norton, NortonLifeLock oder Gen Digital.

der Rest dessen, was offen ist — 482 weitere Wörter

Die Cluster-Ansteckung (Regel R02) erfordert eine eigene datierte Feststellung zur Lügenachse eines Schwesterunternehmens nach dem späteren M16_control_since, was hier nicht der Fall ist; daher wurde auf diesem Weg keine Ansteckung erfasst. Die Feststellung zur Eigentümergruppe selbst ist erfasst, weil sie unabhängig vom Zeitpunkt der Ansteckung die Geschichte der Gruppe betrifft.

Bei der App-Store-Hygiene liegt der schwächste Beleg dieses Datensatzes: Apples eigenes Datenschutzlabel im App Store für „Norton VPN – Fast & Secure“ (id1095519285) weist unter „Data Used to Track You“ einen Identifier aus — die Kategorie von App Tracking Transparency für appübergreifende Werbe-Identifier — sowie einen separaten Identifier „User ID“ unter „Developer's Advertising or Marketing“.

Das Formular zur Datensicherheit bei Google Play für dieselbe App (Paket com.symantec.securewifi) ist weniger spezifisch, stimmt aber grundsätzlich überein: „Device or other IDs“ für die App-Funktionalität sowie Standort (präzise, optional, Analytics) und SMS/MMS-Zugriff, die beide im VPN-spezifischen Datenschutzhinweis nicht erwähnt werden. C12_device_identifier und C07a_app_sdk werden anhand des Apple-Labels auf Grundlage der ungünstigeren der beiden Lesarten gesetzt; X12_store_data_declaration wird wegen der Lücke bei Standort und SMS gegenüber dem Datenschutzhinweis auf undisclosed_behaviour gesetzt, nicht auf contradicts_no_logs, weil nichts davon die VPN-Datenverkehrsprotokollierung betrifft, die die Behauptung zu keinen Protokollen tatsächlich verneint.

Zwei VerSprite-Prüfungen werden auf Ebene A angeführt: die Technical Privacy Impact Assessment vom September 2025 (Backend-Infrastruktur, keine Protokolle) und die Mimic-protocol source-code review vom November 2025. Beide wurden als vollständige PDFs geöffnet und gelesen, statt sie dem Blogbeitrag zu entnehmen, der sie beschreibt, obwohl sie den Titel „Executive Summary Report“ tragen —

JurisdiktionKann jemand das Vorhandene erzwingen, ohne dass der Anbieter mitreden kann?5 Felder gelesen · 2 unbekannt geblieben · 63,6 Punkte Druck×0,364

Wo das Unternehmen sitzt 0.6, wo sein Eigentümer sitzt 0.45, die Exits, die es anbietet 0.09, das Schweigepflicht-Regime 0.05 — ein Umstand, einmal bepreist statt kumuliert.

Hosting in den angebotenen Ländern mit VorgabeC09b_mandate_hosting

mixed

Bus.norton.com13. Sept. 2026

Melden eines Problems mit C09b_mandate_hosting

Das Gründungsland schreibt Speicherdauer vorC10_company_under_mandate

yes

Asec.gov12. Okt. 2022

Melden eines Problems mit C10_company_under_mandate

Der wirtschaftlich Berechtigte unterliegt einer SpeicherdauerregelungC11_owner_under_mandate

yes

Asec.gov12. Okt. 2022

Melden

Berechnet

×0,043 eines makellosen Datensatzes Vollständigkeit 72%

Woher der Abzug stammt: Jurisdiktion. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,364, und sein Balken oben ist bis dorthin gefüllt.

Die Exponierung ist erfasst als medium, der Integritätsstatus als clean.

Im Vergleich zum Rest des Registers liegt dieser Datensatz am weitesten oben bei Unwissenheit — ×0,788 gegenüber einem Registerdurchschnitt von ×0,662 — und am weitesten unten bei Jurisdiktion, ×0,364 gegenüber ×0,680.

Veröffentlichter Score

Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.

V02_report_publication

summary_only

Spezifikation

Mitgeführt, nie bewertet

Länder mit einem Exit

Falls dieser nicht passt

Norton VPN

Woher der Sicherheits-Score stammt

Proton VPN

Mullvad VPN

IVPN