Dienstklasse

Kommerzielles VPN — Sicherheit führt

Sicherheits-Score

1 von 100 · Nicht empfohlen

Usability-Score

67 von 100 · Status belegt · 67% belegt · 64,7% des Gewichts gelesen

Rechtsträger

Innovative Connecting Pte. Limited, 8 Marina View #43-052A Asia Square Tower 1, Singapore 018960, UEN 201812738K

Jurisdiktion

Singapur

Letztlicher Eigentümer

Not disclosed by the provider. Copyright filings with the USPTO give Innovative Connecting Pte Limited a holder address in Tongzhou District, Beijing; the Tech Transparency Project links the group to Qihoo 360, reported by the same paper.

Exponierung

Mittel · dominanter Kanal: Integrität

Speicherdauer

Sitzungsmetadaten

Letztes Audit

unbekannt · unbekannt · unbekannt · unbekannt

Länder mit Exits

Protokolle

IKEv2 Shadowsocks

Funktioniert unter aktiver Zensur

unbekannt

Schwächstes noch angebotenes Protokoll

Shadowsocks

Eigenes DNS im Tunnel

unbekannt

Plattformen

Android Browser-Erweiterung iOS macOS Windows

Gleichzeitige Geräte

Kill-Switch

unbekannt

Split-Tunneling

Verfügbar

Anmeldung

Nur eine E-Mail-Adresse

Kostenloser Tarif

Eine kostenlose Stufe ohne Datenlimit

P2P erlaubt

unbekannt

Große Streaming-Dienste erreichbar

unbekannt

Preis, monatlich

$11.99 pro Monat

Preis, jährlich

$59.99 pro Jahr bei Verlängerung, einmal abgerechnet

Angebotene Länder, die einer Protokollierungsvorgabe unterliegenC09_mandate_countries

Vereinigte Arabische Emirate Indien Irak Kasachstan Türkei Vietnam

Land des wirtschaftlich BerechtigtenM11_owner_jurisdiction

Cluster-Schlüssel der EigentümergruppeM15_owner_group

Innovative Connecting

Datum, an dem der aktuelle Eigentümer die Kontrolle übernahmM16_control_since

2018

Rolle dieser Marke innerhalb der GruppeM17_brand_role

principal

Mit Geschwisteranbietern im Cluster gemeinsam genutzte InfrastrukturM18_shared_infrastructure

same_fleet

Insgesamt veröffentlichte AuditsV10_audit_count

unbekannt

Nicht empfohlen

Turbo VPN

Kommerzielles VPNSingapurRang 61 von 68

Monatlich zahlend

$11.99 pro Monat

Jährlich zahlend

$59.99 einmal jährlich abgerechnet

Abdeckung

80 Länder mit einem Exit

Kostenloser Tarif

Ja kostenlos, kein Datenlimit

1 von 100

Sicherheit

67 von 100

Usability

Website besuchen

Woher der Sicherheits-Score stammt

Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert

Sicherheitsfelder

67 55 davon fließen in einen Kanal ein

Belegt

47 15 bleiben unknown, 5 nicht zutreffend

Vollständigkeit

76% der Anteil, den das Modell gewichten konnte

Quellenangaben

64 über 12 Dokumente hinweg

Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:

B gewichtet 0,85 · 42 hierC gewichtet 0,70 · 22 hier

Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.

Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.

Bei diesem Datensatz noch offen.

Welche Kennung die Apps speichern. Die Kennung ist die größte Lücke. Die Richtlinie besagt, dass der Anbieter dem Gerät eine eindeutige Kennung zuweist und sie zum Herstellen der Verbindung verwendet, was C12 als app_scoped_id erfasst; das Play-Datensicherheitsformular erklärt separat, dass Geräte- oder andere IDs mit anderen Unternehmen geteilt werden, und keines der beiden Dokumente sagt, um welche Kennung es sich handelt. Eine in einem der beiden Dokumente genannte Werbekennung würde C12 um zwei Stufen anheben.

Vorgaben zur Speicherdauer und wo sich die Hardware befindet. C09b ist unbeantwortet und relevant: Für sechs der achtzig angebotenen Länder gilt eine Vorgabe zur Speicherdauer, und nichts sagt aus, ob sich die Hardware dort befindet oder der Standort virtuell ist.

Was kein Dokument belegt. Für C02, C03, C06, C07b und C08 gibt es überhaupt kein Dokument - die Website beschreibt Funktionen, nicht die Infrastruktur. U06, U08, U12a und U12b sind nicht ausgefüllt, weil die Seiten, auf denen sie genannt werden, Funktionswerbung statt Aussagen zur Abdeckung sind, und U08 ist insbesondere eine Überschrift mit der Aussage „all your devices“ über einer Liste von Plattformen, die eine Browser-Erweiterung enthält.

Zum Datensatz als Ganzes.

Die hohen Werte hier beruhen auf einem Dokument: Mixon-Baca, Knockel und Crandall, „Hidden Links: Analyzing Secret Families of VPN Apps“, FOCI 2025 (14. August 2025), vollständig gelesen. Es gruppiert Innovative Connecting, Autumn Breeze und Lemon Clove als eine Familie von acht Apps mit nahezu identischem dekompiliertem Java, gemeinsamen Bibliotheken und Assets und bestätigt, dass sie die Serverinfrastruktur teilen, indem sie sich mit denselben fest einprogrammierten Shadowsocks-Zugangsdaten mit den Servern der jeweils anderen verbinden.

Das ist die Grundlage für M15, M17 und M18 - nicht ein gemeinsamer Eigentumseintrag auf dem Papier, sondern zwischen den Marken hergestellte Tunnel. X01 ist die eigene Feststellung des Dokuments und wird durch VPN Pro und das Tech Transparency Project bestätigt: Die Anbieter unternahmen erhebliche Anstrengungen, zu verbergen, dass sie einem chinesischen Staatsangehörigen gehören, und das Detail „ist beim Aufrufen der Google-Play-Store-Seiten dieser VPNs nicht ersichtlich und befindet sich auch auf keiner Website.“

der Rest dessen, was offen ist — 503 weitere Wörter

„Stattdessen geben diese Apps an, dass sie ihren Sitz in Singapur haben.“ Abbildung 1 des Dokuments zeigt eine Urheberrechtsanmeldung beim USPTO mit einer Inhaberadresse von Innovative Connecting im Bezirk Tongzhou, Peking. M11 und C11 folgen daraus.

X02 ist die zweite Feststellung und die schwerwiegendere: „Die Datenschutzrichtlinien der Apps behaupten alle, dass sie keine Nutzeradressen (privat oder geschäftlich) erfassen, doch wir beobachteten, dass sie dies tun“ - die App fordert die Postleitzahl der öffentlichen IP-Adresse des Nutzers von ip-api.com an, selbst ohne Standortberechtigung, und lädt sie zu einem Firebase-Endpunkt hoch. In der Richtlinie verneint, im Datenverkehr beobachtet.

C01 wird aus der Richtlinie und nicht aus dem Paper befüllt, weil C01 die Erklärung ist. In der Richtlinie steht, dass in den Rechenzentren weder Datenverkehr noch personenbezogene Daten gespeichert werden und dass Nutzungsdaten irreversibel anonymisiert werden, aber dasselbe Dokument erklärt Verbindungsstatus, den verbundenen Standort, das Land und den ISP des Nutzers sowie eine dauerhafte gerätebezogene Kennung, die zum Zeitpunkt der Verbindung verwendet wird, ohne ein sitzungsbezogenes Löschfenster.

Das sind nach den eigenen Worten des Anbieters Sitzungsmetadaten. U07 ist kurz und bewusst so. Die Website wirbt mit „IKEv2 & OpenVPN“; das Paper stellte fest, dass das OpenVPN-Optionsfeld im Einstellungsmenü zum Zeitpunkt der Analyse nicht auswählbar war, daher handelt es sich nicht um ein Angebot.

Die Apps enthalten außerdem Shadowsocks, und U07 führt es jetzt mit: Das Vokabular hatte keinen Code dafür, als dieser Datensatz verfasst wurde, weshalb die Liste nur ikev2 enthielt. C13 leitet sich entsprechend aus shadowsocks ab – einem echten, interoperablen Transport, der mit den funktionierenden Transporten bewertet wird und nicht die Garantien eines modernen Tunnels bietet, da er keine Vorwärtsgeheimhaltung besitzt und den Server ausschließlich mit einem symmetrischen Schlüssel authentifiziert.

IntegritätIst er dabei ertappt worden, eines zu sagen und ein anderes zu tun?16 Felder gelesen · 2 nicht zutreffend · 90,0 Punkte Druck×0,100

Was dieser Kanal bei diesem Datensatz bepreist hat:Lüge 0.85Monetarisierung 0.15Absolute Behauptungen 0.04Cluster-Ansteckung 0.4Vorfallbehandlung 0.2Transparenz des Eigentümers 0.4Berichtsverschleierung 0.15Historie der Eigentümergruppe 0.35

Größe der Nutzerbasis (Massenmarkt >=10 Mio., mittel >=1 Mio., Nische <1 Mio.)auch gelesen von SchweigenM08_user_scale

mass

Cpetsymposium.org14. Aug. 2025

Melden eines Problems mit M08_user_scale

Andere Unternehmen der EigentümergruppeM10_owner_other_business

app_portfolio

Cpetsymposium.org14. Aug. 2025

Melden eines Problems mit M10_owner_other_business

Transparenzbericht

Berechnet

×0,010 eines makellosen Datensatzes Vollständigkeit 76%

Woher der Abzug stammt: Integrität. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,100, und sein Balken oben ist bis dorthin gefüllt.

Die Exponierung ist erfasst als medium, der Integritätsstatus als caught_lying.

Im Vergleich zum Rest des Registers liegt dieser Datensatz am weitesten oben bei Unwissenheit — ×0,784 gegenüber einem Registerdurchschnitt von ×0,662 — und am weitesten unten bei Integrität, ×0,100 gegenüber ×0,658.

Veröffentlichter Score

Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.

Spezifikation

Mitgeführt, nie bewertet

Länder mit einem Exit

Was sich geändert hat

Falls dieser nicht passt

Turbo VPN

Woher der Sicherheits-Score stammt

Mullvad VPN

Proton VPN

IVPN