Mullvad

Geschwindigkeit

Unser Messsystem baut wiederkehrend einen WireGuard-Tunnel zu einem deutschen Mullvad-Endpunkt auf und erfasst dabei Download, Upload und Latenz in einer fortlaufenden Reihe. Der Messbereich oberhalb dieses Artikels zeigt die aktuellen Werte und ihren Verlauf. Konkrete Zahlen im Fließtext wären mit dem nächsten automatischen Lauf veraltet. Wir verweisen deshalb für alle aktuellen Angaben auf diesen dynamischen Bereich.

Die Reihe bildet genau einen Pfad ab: das WireGuard-Protokoll über einen Standort in Deutschland. Sie sagt nichts darüber aus, wie sich andere Mullvad-Standorte, andere Protokolle oder Zusatzfunktionen verhalten. Eine parallele Messung derselben Leitung ohne VPN liegt nicht vor. Wir berechnen deshalb keinen prozentualen Geschwindigkeitsverlust und leiten aus den Werten auch keine Rangfolge gegenüber anderen Anbietern ab. Schwankungen zwischen einzelnen Läufen können von Tageszeit, Serverauslastung, Routing oder dem verwendeten Speedtest-Server abhängen. Wir schreiben sie nicht automatisch dem Anbieter zu.

Neben Geschwindigkeit und Latenz prüft das System in regelmäßigen Abständen, ob der deutsche Endpunkt erreichbar ist. Im dokumentierten Beobachtungszeitraum war jeder dieser Erreichbarkeits-Checks erfolgreich. Das spricht für einen stabil erreichbaren Server an diesem Messpunkt, es ist aber kein Beleg für die Verfügbarkeit aller Server weltweit.

Sicherheit und Datenschutz

Mullvad ermöglicht die Erstellung eines Kontos ohne Namen, Benutzernamen, Passwort oder E-Mail-Adresse. Diese Angabe stammt aus einer Drittquelle mit mittlerer Zuverlässigkeit. Für die Praxis heißt das: Bei der Registrierung muss kein klassisches Profil mit persönlichen Daten angelegt werden. Wie der Zugang stattdessen genau funktioniert, belegen unsere Quellen nicht im Detail. Die Anbieterseite gibt dazu Auskunft.

Laut der offiziellen No-Logging-Richtlinie speichert Mullvad keinerlei Aktivitätsprotokolle seiner Nutzer. Das ist zunächst eine Selbstauskunft des Anbieters. Sie wurde mehrfach von außen überprüft.

Zur Datenverarbeitung im Betrieb weist Mullvad außerdem darauf hin, dass nur aggregierte Anwendungsdaten und generische Systemmetriken an das Monitoring-System gesendet werden. Auch das ist eine Angabe des Anbieters. Sie beschreibt, welche Art von Betriebsdaten anfällt, und ergänzt die No-Logging-Aussage um einen konkreten Punkt.

Externe Audits

Ein zweites Sicherheitsaudit der VPN-Server-Infrastruktur wurde im Mai 2022 abgeschlossen. Es fand weder Informationslecks noch eine Protokollierung von Kundendaten. Zum Infrastruktur-Audit von Assured AB ist außerdem dokumentiert, dass es einundzwanzig Probleme der Stufen „niedrig“ bis „mittel“ feststellte. In den Kategorien „kritisch“ oder „hoch“ gab es keine Funde. Ein Audit, das Befunde niedriger und mittlerer Schwere listet, ist bei einer ernsthaften Prüfung nichts Ungewöhnliches. Entscheidend ist hier das Fehlen schwerwiegender Funde.

Neu in dieser Fassung: Mullvad nennt auch das Infrastruktur-Audit von 2020 und erklärt, dass es zur Behebung eines konkreten Befunds (MUL-03-002 WP2) geführt hat. Das zeigt, dass Prüfergebnisse beim Anbieter nach eigener Darstellung in Korrekturen mündeten. Die Prüfungen liegen damit über mehrere Jahre verteilt vor.

Auf der Client-Seite führten Auditoren Ende 2024 Penetrationstests und Quellcode-Audits der Mullvad-Apps durch. Sie kamen zu dem Schluss, dass die Apps ein hohes Sicherheitsniveau aufweisen. TechRadar berichtet, dass dieser jüngste Audit die langjährige Aussage von Mullvad bestätige, keine Nutzerdaten zu protokollieren. Cure53 hielt in seinem Bericht von 2024 fest, dass keine Probleme oder Schwachstellen gefunden wurden, die die Anonymität oder Integrität des VPN-Verkehrs der Nutzer beeinträchtigen könnten. Der Cure53-Befund stammt aus einem Forenbeitrag, der den Bericht zitiert, und ist daher etwas schwächer belegt als die Angaben auf der Anbieterseite.

Die Prüfungen decken Serverseite und Apps zu unterschiedlichen Zeitpunkten ab. Das stärkt die No-Logs-Aussage. Jede Prüfung bezieht sich aber nur auf den geprüften Stand und Umfang und ersetzt keine dauerhafte Kontrolle.

Polizeiliche Durchsuchung

Es gibt außerdem Berichte über eine polizeiliche Durchsuchung bei Mullvad. Laut Factually.co ergab die dokumentierte Durchsuchung im Jahr 2024 keine Verbindungsdaten, was die No-Logs-Aussage stütze. Ein Forenbeitrag beschreibt es ähnlich: Es seien keine Kundendaten kompromittiert worden, weil keine Protokolle vorlagen. Beide Quellen sind nur mit begrenzter Sicherheit belegt, wir führen die Durchsuchung deshalb als Hinweis auf und nicht als gesicherte Tatsache. Sie ist zudem kein Ersatz für die oben genannten Audits.

Was unsere Messung nicht leistet

Unsere automatisierte Messreihe enthält keinen Leck-Test. Der Aufbau identifiziert im aktuellen Lauf keinen DNS-Resolver und liefert deshalb kein DNS-Leak-Ergebnis. Weder ein bestandenes noch ein durchgefallenes Resultat lässt sich daraus ableiten. Aussagen zu Kill-Switch, WebRTC- oder IPv6-Schutz treffen wir nicht, weil unsere Quellen sie nicht ausdrücklich belegen. Wenn Sie Ihre eigene Verbindung prüfen möchten, nutzen Sie unabhängige DNS-, WebRTC- und IPv6-Leak-Tests und eine IP-Anzeige.

Vorfälle und Kontroversen

Im Oktober 2023 wurde berichtet, dass Mullvad-Konten im Dark Web beziehungsweise in öffentlichen Foren auftauchten. Der Sicherheitsforscher Damien Bancal behauptete, Mullvad habe Nutzerdaten verloren. Cybernews berichtete über Dutzende Konten und deutete zunächst auf ein Datenleck über die Mullvad-API hin. Mullvad wies das zurück: Es handle sich nicht um ein Datenleck, die Konten seien zuvor kostenlos verteilt worden.

Beide Darstellungen stehen nebeneinander. Eine unabhängige, abschließende Klärung des Ursprungs liegt uns nicht vor. Wir ordnen den Vorfall deshalb weder als bestätigtes Leck noch als widerlegt ein. Wenn Ihnen Kontosicherheit besonders wichtig ist, sollten Sie ihn kennen.

Eigentümer und Jurisdiktion

Betreiber ist die Mullvad VPN AB, die der Muttergesellschaft Amagicom AB gehört. Laut Mullvad befindet sich die Amagicom AB direkt im Besitz der Gründer Fredrik Strömberg und Daniel Berntsson. Beide Gesellschaften sind in Schweden eingetragen, die Jurisdiktion ist damit Schweden. Eine direkte Eigentümerstruktur ohne erkennbare Zwischenholdings ist für die Einordnung eines VPN-Anbieters hilfreich, weil sie zeigt, wer hinter dem Dienst steht.

Preise

Mullvad bietet einen einzigen Tarif zu einem festen Preis von 5 Euro pro Monat an. Laut Security.org gilt dieser Preis pauschal und unabhängig von der Laufzeit, ohne Preisstufen, Rabatte oder Preiserhöhungen bei Verlängerung. Das deckt sich mit den Angaben auf der Preisseite des Anbieters. Der Preis ist also für Neu- und Bestandskunden gleich. Mehrjährige Rabattstaffeln, wie sie bei vielen Anbietern üblich sind, gibt es hier nicht. Wer einen planbaren Preis ohne Lockangebote bevorzugt, bekommt ein einfaches Modell. Wer auf langfristige Rabattaktionen setzt, hat bei Mullvad keine Laufzeitauswahl.

Hinzu kommt eine Geld-zurück-Garantie: Mullvad gewährt 14 Tage. Barzahlungen sind davon ausgenommen, der Anbieter begründet das mit Geldwäschevorschriften. Wenn Sie bar zahlen möchten, sollten Sie das vor der Buchung wissen.

Für wen geeignet

Mullvad passt zu Ihnen, wenn Sie ein Konto ohne persönliche Angaben wie Name oder E-Mail-Adresse anlegen möchten. Es passt auch, wenn Sie bei der Anbieterwahl Wert auf veröffentlichte externe Prüfungen legen. Für Server-Infrastruktur und Apps liegen Audits vor, das jüngste stammt von Ende 2024 und bestätigt laut TechRadar die No-Logs-Aussage des Anbieters.

Wenn Sie einen kalkulierbaren Preis ohne Rabattfallen suchen, ist der Einzeltarif zu 5 Euro pro Monat mit 14-tägiger Geld-zurück-Garantie eine klare Grundlage. Das gilt auch, wenn Sie den Dienst zunächst risikoarm ausprobieren wollen. Wer wissen möchte, wer hinter einem Anbieter steht, findet eine nachvollziehbare Eigentümerstruktur in Schweden.

Weniger aussagekräftig ist unser Bericht, wenn Sie vor der Buchung einen Geschwindigkeitsvergleich mit anderen Anbietern brauchen. Unsere Messreihe zeigt nur einen deutschen WireGuard-Pfad ohne Vergleichsmessung. Dasselbe gilt für Streaming, Support oder Funktionsumfang: Dazu liegen uns keine belegten Findings vor, deshalb treffen wir dazu keine Aussage.

Häufige Fragen

Speichert Mullvad meine Aktivitäten? Laut eigener No-Logging-Richtlinie speichert Mullvad keinerlei Aktivitätsprotokolle. Das Server-Infrastruktur-Audit von 2022 fand keine Protokollierung von Kundendaten. Der Cure53-Bericht von 2024 fand keine Probleme, die die Anonymität des VPN-Verkehrs beeinträchtigen könnten. Laut TechRadar bestätigt auch der jüngste Audit die Aussage.

Brauche ich eine E-Mail-Adresse für ein Konto? Nein. Mullvad ermöglicht die Kontoerstellung ohne Namen, Benutzernamen, Passwort oder E-Mail-Adresse.

Gab es ein Datenleck bei Mullvad? Im Oktober 2023 wurde über Mullvad-Konten im Dark Web berichtet, ein Sicherheitsforscher sprach von verlorenen Nutzerdaten. Mullvad bestreitet ein Datenleck und erklärt, die Konten seien zuvor kostenlos verteilt worden. Eine unabhängige Klärung liegt uns nicht vor.

Was kostet Mullvad und kann ich das Geld zurückverlangen? Es gibt einen Tarif zu 5 Euro pro Monat, unabhängig von der Laufzeit, ohne Einführungsrabatt und ohne Preiserhöhung bei Verlängerung. Eine Geld-zurück-Garantie gilt 14 Tage, ausgenommen bei Barzahlung.

Wo sitzt Mullvad? Die Mullvad VPN AB und die Muttergesellschaft Amagicom AB sind in Schweden eingetragen und gehören laut Anbieter den Gründern Fredrik Strömberg und Daniel Berntsson.