Geschwindigkeit
Unser Messsystem prüft ExpressVPN fortlaufend über ein automatisiertes Verfahren, das in regelmäßigen Abständen Download, Upload und Latenz zu einem deutschen VPN-Endpunkt erfasst. Diese Werte fließen in eine rollierende Reihe der jüngsten Messläufe ein, aus der gleitende Mittelwerte sowie Minimal- und Maximalwerte berechnet werden. Die Messkarte oberhalb dieses Artikels zeigt Ihnen die aktuell gültigen Zahlen und den Verlauf. Wir verzichten an dieser Stelle bewusst darauf, konkrete Mbit- oder Millisekundenwerte im Fließtext zu wiederholen, da sie mit jedem neuen automatischen Lauf veralten würden.
Wichtig für die Einordnung: Die Messreihe verwendet ein von ExpressVPN bereitgestelltes OpenVPN-Profil zu einem Frankfurter Endpunkt, nicht das in den Apps standardmäßig aktive Lightway-Protokoll. Ergebnisse aus unserer Reihe lassen sich deshalb nicht ohne Weiteres auf die tägliche Nutzung mit Lightway übertragen. Auch Serverlast, Tageszeit, Routing zwischen Messstandort und Endpunkt sowie die jeweilige Speedtest-Gegenstelle beeinflussen jeden Einzelwert. Ohne eine parallele Messung ohne VPN auf derselben Leitung berechnen wir keine prozentuale Verlangsamung, und einzelne Schwankungen in der Reihe schreiben wir nicht automatisch dem Anbieter zu.
Die Reachability-Prüfungen, die parallel zu jedem Geschwindigkeitslauf durchgeführt werden, fielen im gesamten dokumentierten Beobachtungszeitraum durchgehend positiv aus. Der Tunnelaufbau zum deutschen Endpunkt gelang bei jedem protokollierten Lauf. Das ist ein Hinweis auf eine stabile Erreichbarkeit des getesteten Servers, erlaubt aber ohne dokumentierte Vergleichsmessung anderer Anbieter keine qualitative Rangfolge.
OpenVPN im Messstand, Lightway in den Apps
Die fortlaufende Reihe verwendet OpenVPN über UDP, weil ExpressVPN für den Messstand ein statisches OpenVPN-Profil bereitstellt. Der Anbieter bewirbt in seinen Apps vor allem Lightway. Deshalb dürfen die sichtbaren Zahlen nicht als Lightway-Test gelesen werden, sie belegen die Leistung und Stabilität des eingerichteten OpenVPN-Pfads.
ExpressVPN veröffentlicht Lightway als Rust-Projekt auf GitHub unter der AGPL 3.0. Die ältere C-Implementierung bleibt ebenfalls öffentlich, wird laut Projektbeschreibung aber nicht mehr aktiv weiterentwickelt. Für die Rust-Fassung nennt der Anbieter Prüfungen durch Cure53 und Praetorian aus dem Jahr 2024. Quellcode und Prüfberichte erleichtern die technische Kontrolle, garantieren aber keine fehlerfreie Implementierung in jeder App-Version.
Sicherheit und bekannte Vorfälle
ExpressVPN beschreibt einen Kill-Switch unter dem Namen Internet Kill Switch beziehungsweise Network Lock, der laut Produktdokumentation IPv4-, IPv6- und DNS-Verkehr außerhalb des Tunnels blockieren soll. Diese Beschreibung ist eine Anbieterangabe. Unsere fortlaufende Rig-Messung identifiziert keinen DNS-Resolver und liefert deshalb keinen eigenen DNS-Leak-Test zu diesem Endpunkt. Wer die eigene Verbindung prüfen möchte, kann dafür unsere separaten Werkzeuge nutzen, etwa den DNS-Leak-Test, den WebRTC-Leak-Test, den IPv6-Leak-Test und die IP-Anzeige.
Recherchen zeigen zudem, dass ExpressVPN in der Vergangenheit von konkreten Sicherheitsproblemen betroffen war, die inzwischen behoben wurden. Ein Software-Fehler führte dazu, dass DNS-Anfragen von Nutzern teilweise an Dritte wie den jeweiligen Internetanbieter gesendet wurden, statt ausschließlich über ExpressVPN-eigene Server zu laufen. Getrennt davon betraf ein Fehler in der Windows-App, dokumentiert für die Versionen 12.97 bis 12.101.0.2-beta, den Remote-Desktop-Verkehr über Port 3389: Dieser Datenverkehr konnte den verschlüsselten VPN-Tunnel umgehen und dabei die reale IP-Adresse offenlegen. ExpressVPN hat diesen RDP-IP-Leck-Fehler laut Berichten durch ein Update behoben.
Ein weiterer, bereits früher dokumentierter Vorfall betraf DNS-Probleme bei bestimmten Windows-Konfigurationen mit aktiviertem Split-Tunneling. Eine Ursache lag in einem Modus der Windows-App-Version 12, eine weitere im Zusammenspiel mit installierten Apps anderer VPN-Anbieter. ExpressVPN entfernte Split-Tunneling vorübergehend, veröffentlichte korrigierte Versionen und ließ die Behebung durch den externen Prüfer Nettitude kontrollieren. Der Nettitude-Bericht bestätigte die Behebung der ursprünglich untersuchten Szenarien, dokumentierte während der Nachprüfung aber ein weiteres Problem, das anschließend ebenfalls adressiert wurde.
Diese drei Vorfälle zeigen ein wiederkehrendes Muster: Probleme wurden öffentlich bekannt, vom Anbieter bestätigt und durch Updates beziehungsweise externe Nachprüfungen behoben. Das spricht für eine gewisse Reaktionsfähigkeit, ändert aber nichts daran, dass Schutzversprechen wie Kill-Switch oder Leak-Schutz immer nur für konkrete geprüfte App-Versionen und Konfigurationen gelten, nicht pauschal für das gesamte Produkt über die Zeit.
Datenschutzrichtlinie und Nutzungsstatistik
Die ExpressVPN Datenschutzrichtlinie wurde laut Anbieterangabe zum 1. Januar 2026 aktualisiert. Betreiber ist Express Technologies Ltd. auf den Britischen Jungferninseln, einem Land ohne Vorratsdatenspeicherungsgesetze. Die Richtlinie schließt Aktivitätsprotokolle wie Browserverlauf, Ziele, Inhalte und DNS-Anfragen aus. Ebenso sollen keine Verbindungsprotokolle mit Quell-IP, zugewiesener VPN-IP, Zeitstempel oder Sitzungsdauer gespeichert werden.
No-Logs bedeutet hier nicht, dass überhaupt keine Betriebsdaten verarbeitet werden. ExpressVPN erfasst laut Richtlinie, ob an einem bestimmten Tag eine Verbindung zustande kam, welchen VPN-Standort der Nutzer wählte und aus welchem Land sowie über welchen Internetanbieter die Verbindung erfolgte. Die Quell-IP und die genaue Uhrzeit sollen dabei nicht gespeichert werden. Hinzu kommen aktivierte Apps und Versionen sowie das übertragene Gesamtvolumen eines Nutzers. Für Marketing und Zuordnung können mit Einwilligung Werbekennungen verarbeitet und an AppsFlyer übermittelt werden.
Unabhängige Prüfungen: KPMG, PwC und Cure53
ExpressVPN wurde laut Recherche in der Vergangenheit bereits mehrfach unabhängig geprüft, unter anderem durch KPMG, PwC und Cure53, jeweils mit Fokus auf No-Logs-Richtlinie beziehungsweise Sicherheit einzelner Komponenten. Die jüngste, dritte unabhängige No-Logs-Prüfung durch KPMG bestätigt die No-Logs-Richtlinie zum Stichtag 28. Februar 2025. Externe Prüfer von KPMG kamen dabei laut Berichten mit „reasonable assurance“ zu dem Schluss, dass keine Nutzeraktivitäten protokolliert werden.
Der KPMG-Bericht ist öffentlich zugänglich, enthält jedoch eine wichtige Abgrenzung: Geprüft wurden die TrustedServer-Architektur und ausgewählte, im Bericht benannte Auszüge der damaligen Datenschutzrichtlinie, nicht die vollständige Richtlinie oder jede heutige App-Version. Die Prüfung ist zudem eine Momentaufnahme des festgelegten Stichtags, keine laufende Überwachung. TrustedServer wird von ExpressVPN als RAM-basierte Serverarchitektur beschrieben, die den vollständigen Softwarebestand aus einem schreibgeschützten, signierten Image startet und bei einem Neustart flüchtige Daten verwirft. Diese Architektur reduziert persistente Zustände, ersetzt aber keine kontinuierliche Kontrolle von Entwicklung und Zugriffsrechten.
Transparenz und Eigentümer
ExpressVPN gehört seit 2021 zu Kape Technologies, das ExpressVPN laut Recherche für 936 Millionen US-Dollar übernommen hat. Die aktuelle Datenschutzrichtlinie erklärt, dass Express Technologies Ltd. auf den Britischen Jungferninseln die personenbezogenen Daten kontrolliert und diese nicht von der britischen Muttergesellschaft oder verbundenen Unternehmen verwaltet würden. Die operative Zuständigkeit auf den Britischen Jungferninseln ist relevant, hebt die Konzernzugehörigkeit zu einem britischen Software-Konzern aber nicht auf. Nutzer sollten beide Tatsachen, die niedrigschwellige Jurisdiktion und die Kape-Zugehörigkeit, in ihre eigene Vertrauensentscheidung einbeziehen.
Das Trust Center des Anbieters veröffentlicht laut Anbieterangabe halbjährliche Zahlen zu staatlichen und zivilrechtlichen Anfragen sowie zu DMCA-Meldungen. ExpressVPN erklärt dazu, keine VPN-Aktivitätsdaten herausgegeben zu haben, weil diese nicht vorhanden seien. Diese Zahlen schaffen Transparenz über das Anfragevolumen, erlauben aber keine unabhängige Prüfung jedes Einzelfalls.
Tarife, Verlängerung und Rückerstattung
ExpressVPN bietet mehrere Tarifstufen als Monatsabo, Jahresabo und mehrjähriges Einstiegsangebot an, die sich unter anderem in der Zahl gleichzeitiger Verbindungen und in gebündelten Zusatzprodukten unterscheiden. Mehrjährige Angebote verlängern sich nach der ersten Laufzeit häufig jährlich, auch Jahres- und Monatsabos verlängern sich automatisch, wenn die Verlängerung nicht vor dem Stichtag beendet wird. Der beworbene Einführungspreis gilt üblicherweise nur für die erste Laufzeit, danach greift der reguläre Verlängerungspreis. Prüfen Sie Einstiegspreis, Verlängerungspreis und Rhythmus vor dem Kauf in Ihrer eigenen Bestellübersicht, da diese sich je nach Region und Aktion unterscheiden können.
Für wen geeignet
Aufgrund der durchgehend erfolgreichen Erreichbarkeitsprüfungen zum deutschen Endpunkt eignet sich ExpressVPN grundsätzlich für Nutzer, die eine stabil aufbaubare VPN-Verbindung zu einem deutschen Server suchen, etwa für alltägliches Surfen oder Arbeiten aus dem Ausland mit deutschem Ausgangspunkt. Wer Wert auf extern geprüfte No-Logs-Versprechen legt, findet mit den mehrfachen KPMG-Prüfungen sowie früheren PwC- und Cure53-Prüfungen eine im Markt vergleichsweise gut dokumentierte Prüfhistorie.
Wer besonders sensibel auf frühere Sicherheitsvorfälle reagiert, sollte die dokumentierten RDP- und DNS-Lecks sowie das Split-Tunneling-Problem zur Kenntnis nehmen und bei Nutzung dieser spezifischen Funktionen auf aktuelle App-Versionen sowie eigene Kontrollen mit den verlinkten Leak-Test-Werkzeugen achten. Nutzer, denen die Konzernzugehörigkeit zu einem börsennotierten Sicherheitskonzern wichtig ist, sollten die Kape-Übernahme in ihre Abwägung einbeziehen, auch wenn die Datenschutzrichtlinie eine getrennte operative Kontrolle auf den Britischen Jungferninseln beschreibt.
Häufige Fragen
Zeigt die Messreihe Lightway oder OpenVPN? Die fortlaufende Reihe misst ausschließlich über ein bereitgestelltes OpenVPN-Profil zu einem deutschen Endpunkt, nicht über das in den Apps meist aktive Lightway-Protokoll.
Wurde ein DNS-Leak-Test durchgeführt? Unsere automatisierte Rig-Messung identifiziert keinen DNS-Resolver und liefert deshalb keinen eigenen DNS-Leak-Befund für diesen Endpunkt. Für eine eigene Prüfung verweisen wir auf unser separates DNS-Leak-Test-Werkzeug.
Wo sitzt ExpressVPN rechtlich? Der Betreiber Express Technologies Ltd. ist auf den Britischen Jungferninseln registriert, einem Land ohne Vorratsdatenspeicherungsgesetze, auch wenn der Konzern seit 2021 zu Kape Technologies gehört.
Gab es Sicherheitsvorfälle bei ExpressVPN? Ja, dokumentiert sind ein behobener RDP-IP-Leck-Fehler in bestimmten Windows-Versionen, ein Software-Fehler mit DNS-Anfragen an Dritte sowie ein DNS-Problem bei Split-Tunneling unter Windows, das durch Updates und eine externe Nachprüfung adressiert wurde.
Verlängert sich das Abo automatisch? Laut Anbieterangaben verlängern sich Monats-, Jahres- und mehrjährige Einstiegsangebote automatisch, sofern die Verlängerung nicht rechtzeitig beendet wird, wobei der Einführungspreis meist nur für die erste Laufzeit gilt.