CyberGhost VPN vs Proton VPN

CyberGhost VPN

針對整筆紀錄。

Deloitte 第三份無日誌保障報告（三份已公開報告中唯一一份以完整可下載 PDF 發布，而非設有登入限制或須向 Deloitte 提交電郵申請）屬於一項 有限度 保障、按 ISAE 3000（修訂版）進行的工作，日期截至 31 October 2025，並於 19 December 2025 簽署；報告按抽樣方式檢視 CyberGhost 對其自身不記錄控制措施的描述，而非整個伺服器群組，結論是負面保障（「我們沒有注意到任何事項」），而非正面確認沒有日誌。

私隱政策的非個人資料清單在網站式措辭下列出 Google Advertising ID 和陀螺儀感應器資料，而實際上只有流動應用程式能夠讀取這些資料。

Proton VPN

針對整筆紀錄。

2021 年迫使 Proton Mail 進行前瞻性記錄留存的瑞士命令，針對的是 Proton Mail 而不是 VPN，因此刻意不列入 P12：把同系產品所受命令的影響歸於 VPN，會是關於 Proton AG 的事實，而不是關於這項服務。

U08 是 all_platforms，因為支援文件為 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 提供啟用步驟——每個有應用程式的平台。相同文件列明兩項該值無法承載、而本註記可以承載的限制：在 macOS 上切換伺服器時，真實 IP 可能會短暫暴露；在 iOS 上，即使已開啟 kill switch，部分 Apple 服務的 DNS 請求仍可能繞過通道。

U04b_price_yearly 紀錄 1 年 VPN Plus 計劃的首期收費：首 12 個月為 $53.88（每月 $4.49），這在定價頁面上其續期行旁邊列明——「其後每 12 個月以 $83.88 續期」（每月 $6.99）——而這不是該欄位的值。

CyberGhost VPN

此紀錄目前仍未解決的事項。

所有者集團歷史。 Kape Technologies 自 2017 年 3 月起成為 CyberGhost 的母公司，其歷史可追溯至 Crossrider；Crossrider 是一個廣告注入 SDK 平台，其服務在 2016 年轉向 VPN 之前，曾被廣泛濫用於廣告軟件及惡意軟件分發商。沒有已記錄的謊言或聲稱空白將這段歷史與 CyberGhost 自身的行為連繫起來，但這項不利紀錄正是此業者被收錄的原因，而不是按照中性選擇規則收錄。

規模及覆蓋範圍沒有文件記錄。 除了「millions of customers」之外，無法從業者自有頁面取得 CyberGhost 特有的用戶數目，因此 M08_user_scale 保留為未知；而且沒有可用作與 U04b_price_yearly 比較定價的清晰 12 個月方案——CyberGhost 只出售 1 個月、6 個月及 26 個月期限。

用戶端及建置透明度未經查核。 找不到任何官方 CyberGhost 原始碼儲存庫、可重現建置證明或獨立應用程式滲透測試（Cure53 的公開索引沒有 CyberGhost 或 Kape 的項目），因此 V12、V13 及 V14 保留為未知，而非得出任何方向的結論。

有爭議的外洩聲稱無法獨立釐清。 一份 2024 年 9 月的第三方報告聲稱 CyberGhost 帳戶憑證遭外洩；CyberGhost 自身的回應否認服務端遭入侵，並將憑證歸因於用戶端惡意軟件，但本次工作階段無法閱讀原始報告，因此 X09_incident_handling 保留為未知，而不採納任何一方的說法。

CyberGhost 的兩個自有頁面對其街道地址有分歧：版權資料列出 70-72 Dionisie Lupu street，私隱政策列出 68 Polonă street，兩者均位於同一個布加勒斯特區，而且都是現行頁面，並非其中一個是存檔遺留頁面。兩者均沒有被視為比另一者更具權威，這項差異留待日後更新時解決，而非在此臆測。

Proton VPN

此紀錄目前仍未解決的事項。

稽核實際檢查的內容。 無日誌的判定同時強而狹窄。Securitum 於 2025 年 8 月親身檢查生產伺服器，並自 2022 年起每年進行檢查。

報告自行列明的限制。 這是一次時點檢查，是對 Proton 工程師示範的系統進行的引導式審查，而非無人監督的鑑證檢查；同時是具代表性的樣本，而非整個伺服器群。CI/CD、原始碼及帳戶管理系統明確不在範圍內，因此這裏沒有任何內容說明帳單一側持有甚麼資料。

上訴，以及它沒有解決的問題。 這裏引用 2021 年 10 月 22 日的上訴，並附上值得明確說明的限制：Federal Administrative Court 裁定，電郵服務不是電訊業者，而判決報道及 Proton 自己對事件的說明均沒有提及 VPN。

實際決定兩個欄位的依據。 決定 C10 和 C11 的是，瑞士在名錄自己的國家清單中沒有義務依據；上訴印證了瑞士當局如何處理 Proton，但本身並不是對 Proton VPN 的判定。對同系服務作出的裁決，其依據比出處呈現出來的更薄弱。

唯一最大的未決項目。 Proton 在八個施加記錄留存義務的國家提供出口位置。硬件是否實際位於其中任何一個國家，尚未確認：Proton 在 2022 年從印度撤走實體伺服器，並記錄了從其他地方提供服務的位置所使用的 Smart Routing，這指向虛擬位置，但這只在印度得到驗證。在這份紀錄中，確認 C09b_mandate_hosting 是唯一最大的未決項目。