„No-Logs“ ist kein einheitlich definierter technischer Standard. Zwei Anbieter können denselben Begriff verwenden und völlig unterschiedliche Daten verarbeiten. Der eine speichert weder Anschluss-IP noch Sitzungszeit, der andere verzichtet nur auf besuchte Domains, behält aber Zeitstempel und übertragene Datenmengen. Für eine Bewertung zählt deshalb nicht die Überschrift der Richtlinie, sondern jede einzelne Datenkategorie darunter.

Das Thema ist zentral, weil ein kommerzieller VPN-Dienst den Ausgang des verschlüsselten Tunnels betreibt. Er kann technisch sehen, von welcher Anschluss-IP eine Sitzung kommt, wann sie beginnt, welchen Server sie nutzt und wohin dieser Server Verbindungen aufbaut. HTTPS schützt Inhalte zur Zielseite, verhindert aber nicht jede Beobachtung auf Netzwerkebene. Eine No-Logs-Richtlinie soll erklären, welche dieser Informationen gar nicht erst aufgezeichnet werden.

Welche VPN-Logs gibt es?

Für eine klare Prüfung teilen wir mögliche Protokolle in vier Gruppen:

Aktivitätsdaten umfassen besuchte Domains, Ziel-IP-Adressen, DNS-Anfragen, übertragene Inhalte und gegebenenfalls verwendete Apps oder Protokolle. Solche Aufzeichnungen bilden direkt ab, was ein Nutzer im Tunnel tut. Ein Dienst, der Aktivitätsdaten kontobezogen speichert, erfüllt keine belastbare No-Logs-Zusage.

Verbindungsdaten beschreiben die Sitzung: Anschluss-IP, zugewiesene Tunnel-IP, gewählter Server, Beginn, Ende, Dauer und Datenmenge. Auch ohne Browserverlauf kann die Kombination sensibel sein. Stimmen Zeitstempel am Eingang und Ausgang überein, kann eine Aktivität unter Umständen zugeordnet werden.

Betriebsdaten sind aggregierte Auslastung, Gesamtzahl aktiver Verbindungen, Serverzustand und Fehlerquoten. Sie können für einen stabilen Betrieb notwendig sein, sollten aber nicht dauerhaft mit einem Konto oder einer IP verknüpft werden. „Aggregiert“ ist nur dann beruhigend, wenn der Anbieter erklärt, wann und wie die Zuordnung entfernt wird.

Konto- und Zahlungsdaten liegen meist außerhalb des VPN-Tunnels. E-Mail-Adresse, Vertragslaufzeit, Zahlungsbeleg und Supportnachrichten können trotzdem eine Person identifizieren. Eine korrekte No-Logs-Richtlinie darf offen sagen, dass diese Daten existieren. Mullvad zeigt ein anderes Modell: Ein zufälliges Kontokennzeichen ersetzt Benutzername, Passwort und E-Mail, während bestimmte Zahlungsarten weiterhin personenbezogene Spuren erzeugen können.

Die DSGVO berücksichtigt Online-Kennungen wie IP-Adressen bei der Frage, ob eine Person identifizierbar ist. Der Europäische Datenschutzausschuss nennt auch den Browserverlauf als Beispiel für personenbezogene Daten. Artikel 5 der DSGVO verlangt unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung. Das ist kein automatischer Beweis für eine No-Logs-Architektur, liefert aber einen rechtlichen Maßstab für sparsame und transparente Verarbeitung.

Was eine gute Richtlinie beantworten muss

Ein prüfbarer Text nennt nicht nur, was fehlt, sondern auch, was bleibt:

  • Werden Anschluss-IP, DNS-Anfragen, Ziele, Zeitstempel oder Datenmengen verarbeitet?
  • Geschieht das nur im Arbeitsspeicher oder werden Werte auf Datenträger geschrieben?
  • Sind Daten einem Konto, Gerät, Schlüssel oder Server zugeordnet?
  • Welche Diagnose- und Telemetriedaten sendet die App, sind sie freiwillig und wann werden sie gelöscht?
  • Welche Informationen fallen bei Kauf, Support, Betrugsabwehr und gleichzeitigen Verbindungen an?
  • Gelten dieselben Regeln für kostenlose Tarife, Spezialserver und alle Länder?
  • Können Rechenzentren oder Unterauftragnehmer eigene Protokolle führen?

Vage Sätze wie „Wir überwachen Ihre Online-Aktivitäten nicht“ lassen zu viele Fragen offen. Ein Anbieter kann diesen Satz wahrheitsgemäß schreiben und trotzdem Anschluss-IP, Sitzungsdauer und Datenmenge speichern. Präzise Tabellen, feste Fristen und eine Versionshistorie sind wertvoller als absolute Werbesprache.

Was ein unabhängiges Audit belegt

Bei einem No-Logs-Audit erhält eine externe Prüfstelle Zugang zu einem vereinbarten Teil der Infrastruktur. Sie kann Konfigurationsdateien, Server, zentrale Dienste, Zugriffsrechte, Änderungsprozesse und Interviews mit Mitarbeitern einbeziehen. Manche Prüfungen arbeiten nach ISAE 3000, einem internationalen Standard für Assurance-Aufträge außerhalb klassischer Abschlussprüfungen.

Der Prüfumfang ist entscheidend. Ein Audit nur der Datenschutzrichtlinie sagt weniger aus als eine technische Kontrolle der produktiven VPN-Server und Verwaltungssysteme. Der Bericht sollte Anbieter, Prüffirma, Zeitraum, untersuchte Komponenten, Ausnahmen und Ergebnis nennen. Ist er nur für zahlende Kunden sichtbar oder vollständig zurückgehalten, können Leser den Umfang kaum selbst beurteilen.

Proton VPN veröffentlicht beispielsweise die vollständigen Berichte seiner jährlichen No-Logs-Prüfungen, zuletzt 2026. Der beschriebene Umfang umfasst unter anderem produktive Server, DNS-Anfragen, Sitzungsmetadaten, Konfigurationsänderungen und die Frage, ob sich ein Nutzer mit einer Aktivität verknüpfen lässt. PIA veröffentlichte 2026 seine dritte Prüfung nach ISAE 3000. Sie betrachtet Serverkonfiguration, Betriebsprozesse, Verwaltungssysteme und die Technik für dedizierte IP-Adressen. Solche Beispiele zeigen, welche konkreten Fragen ein Audit beantworten kann.

Ein Audit ist dennoch keine Garantie für alle Zukunft. Es prüft einen abgegrenzten Zeitraum und einen vereinbarten Umfang. Ein späteres Update, ein neuer Servertyp oder eine fehlerhafte Konfiguration kann den Zustand ändern. Wiederholte, veröffentlichte Prüfungen wiegen daher mehr als ein fünf Jahre altes Zertifikat ohne Bericht.

Gerichtsstand, Eigentümer und reale Anfragen

Der Gerichtsstand bestimmt, welche Behörden Anordnungen erlassen können und welche Rechtsmittel bestehen. Er ist relevant, aber kein Ersatz für Technik. Ein Anbieter außerhalb eines bekannten Geheimdienstbündnisses kann schlecht protokollieren. Ein Anbieter innerhalb eines solchen Landes kann eine Architektur betreiben, in der verwertbare Aktivitätsdaten gar nicht entstehen.

Wir prüfen deshalb die tatsächliche Betriebsgesellschaft, nicht nur die Flagge auf der Startseite. Dazu gehören registrierter Sitz, Mutterunternehmen, Führungsverantwortliche und Rechenzentrumsverträge. Übernahmen können Datenschutzrichtlinien, technische Systeme und wirtschaftliche Anreize verändern.

Transparenzberichte und dokumentierte Behördenanfragen ergänzen Audits. Wenn ein Anbieter nachweislich keine angeforderten Sitzungsdaten liefern konnte, ist das ein reales Signal für den damaligen Zustand. Auch dieser Fall belegt aber nicht automatisch alle Server und alle späteren Jahre.

Die bekannte Einteilung in Five Eyes, Nine Eyes und Fourteen Eyes beschreibt Kooperationen von Nachrichtendiensten. Sie ist als grober Kontext brauchbar, wird im VPN-Marketing aber oft überbewertet. Wichtiger sind konkrete Speicherpflichten, die zuständige Gesellschaft, der technische Datenbestand und die Möglichkeit, eine Anordnung anzufechten oder offenzulegen.

Technik, die Datensparsamkeit unterstützt

RAM-only-Server starten aus einem kontrollierten Abbild und halten den laufenden Zustand im Arbeitsspeicher. Nach einem Neustart bleiben dort gespeicherte Daten nicht erhalten. Das reduziert Risiken, verhindert aber keine bewusste Übertragung von Logs an ein zentrales System.

Getrennte Systeme können Konto, Schlüsselzuweisung und Ausgangsverkehr voneinander isolieren. Wenn kein einzelnes System Identität und Ziel gemeinsam kennt, wird eine nachträgliche Zuordnung schwieriger. Bei WireGuard ist besonders interessant, wie öffentliche Schlüssel und interne Tunneladressen verwaltet und gelöscht werden.

Offene Client-Software zeigt, welche Telemetrie eine App sendet und wie sie DNS oder Kill-Switch umsetzt. Sie macht die Server jedoch nicht automatisch transparent. Server-Audits und reproduzierbare Konfigurationen bleiben notwendig.

Zwei-Faktor-Authentifizierung schützt das Kundenkonto vor Übernahme. Sie verbessert nicht direkt die No-Logs-Architektur, verhindert aber, dass ein Angreifer Rechnungen, Geräte oder Supportdaten im Konto einsehen kann. Wir prüfen deshalb, ob 2FA angeboten wird und aktivieren sie im Testkonto.

Wie wir No-Logs-Aussagen prüfen

Wir können von außen nicht dauerhaft beweisen, dass in keinem Rechenzentrum ein Log geschrieben wird. Unsere Prüfung kombiniert deshalb mehrere, klar bezeichnete Belege:

  1. Wir zerlegen Datenschutz- und Logging-Richtlinie in Aktivitäts-, Verbindungs-, Betriebs-, Konto- und Zahlungsdaten.
  2. Wir lesen den vollständigen Audit-Bericht, nicht nur die Pressemitteilung. Datum, Prüfstelle, Standard, Umfang, Einschränkungen und technische Feststellungen werden dokumentiert.
  3. Wir gleichen Aussagen mit App-Telemetrie, offenem Quellcode und den beschriebenen Serverprozessen ab.
  4. Wir prüfen Gesellschaft, Eigentümer, Gerichtsstand sowie bekannte Übernahmen.
  5. Wir suchen nach Transparenzberichten, Behördenanfragen, Sicherheitsvorfällen und widersprüchlichen früheren Aussagen.
  6. Wir kontrollieren Kontosicherheit und Datensparsamkeit bei Anmeldung, Zahlung und Support getrennt vom VPN-Verkehr.

Fehlt ein öffentlicher Bericht, schreiben wir nicht „auditiert“ allein aufgrund eines Logos. Hat ein Audit nur Apps oder ein Browser-Plugin untersucht, übertragen wir das Ergebnis nicht auf die No-Logs-Infrastruktur.

Worauf Sie achten sollten

Suchen Sie in der Richtlinie nach konkreten Wörtern wie source IP, connection timestamp, DNS queries, bandwidth und retention. Prüfen Sie das Änderungsdatum und öffnen Sie den eigentlichen Audit-Bericht. Eine kurze, verständliche Richtlinie kann besser sein als viele Seiten Juristensprache, wenn sie alle Datenarten eindeutig abdeckt.

Überlegen Sie auch, welche Spuren Sie selbst erzeugen. Eine Kreditkartenzahlung und ein Supportticket mit persönlicher E-Mail verschwinden nicht durch eine No-Logs-Zusage für den Tunnel. Für viele Nutzer ist das akzeptabel. Entscheidend ist, dass Zweck, Zuordnung und Frist transparent sind.

Häufige Irrtümer und Grenzen

„No-Logs bedeutet, dass der Anbieter gar keine Daten hat.“ Falsch. Konto, Zahlung und freiwillige Diagnose können getrennt vom VPN-Verkehr verarbeitet werden.

„RAM-only beweist No-Logs.“ Nein. Arbeitsspeicher verhindert dauerhafte lokale Speicherung nach einem Neustart, nicht das Senden an ein anderes System.

„Ein Audit ist ein Gütesiegel ohne Ablaufdatum.“ Nein. Es ist eine Momentaufnahme mit festem Umfang. Lesen Sie Datum und Ausnahmen.

„Ein exotischer Gerichtsstand garantiert Privatsphäre.“ Nein. Technische Datensparsamkeit, transparente Betreiber und überprüfbare Prozesse sind mindestens ebenso wichtig.

Quellen