Testaufbau und Aussagekraft
Dieser Mullvad-Testbericht trennt eigene Messungen, bestätigte Praxistests, Angaben des Anbieters und externe Prüfberichte. Unser Messsystem baut wiederkehrend einen WireGuard-Tunnel zu einem Frankfurter Mullvad-Endpunkt auf. Es erfasst Download, Upload und Latenz. Nur Datensätze mit dokumentiertem Protokoll, Endpunkt, Messzeitpunkt und technischer Herkunft fließen in die sichtbaren Werte ein.
Der Messbereich oberhalb dieses Artikels zeigt gleitende Mittelwerte aus bis zu 20 jüngsten verifizierten Läufen. Neue Messungen ersetzen schrittweise ältere Ergebnisse. Deshalb stehen im Fließtext keine festen Geschwindigkeitswerte, die nach wenigen Tagen veraltet wären. Der sichtbare Messbereich ist für den aktuellen Stand maßgeblich.
Die Reihe beschreibt einen konkreten deutschen Rechenzentrumspfad. Sie beweist nicht, dass jeder Mullvad-Server, jeder Internetanschluss und jedes Endgerät dieselbe Leistung erreicht. Routing, Serverauslastung, die gewählte Gegenstelle und der Speedtest-Server beeinflussen das Resultat. Eine zeitgleiche Messung derselben Verbindung ohne VPN liegt nicht vor, deshalb berechnen wir keinen prozentualen Geschwindigkeitsverlust und leiten keine pauschale Rangfolge ab.
WireGuard und die erste deutsche Messreihe
Das bereitgestellte Profil verwendet WireGuard und leitet IPv4 sowie IPv6 durch den Tunnel. Vor der ersten Geschwindigkeitsmessung haben wir den Handshake, die Route, die DNS-Auflösung und den Standort der Ausgangsadresse getrennt kontrolliert. Die Verbindung endete wie vorgesehen in Frankfurt. Der Anbieter stellt solche WireGuard-Konfigurationen auch für externe Clients und Router bereit.
Mullvad verwendet in seinen eigenen Apps inzwischen ausschließlich WireGuard. Je nach Plattform kommen unterschiedliche Implementierungen zum Einsatz. Die offizielle Funktionsübersicht nennt unter anderem den Linux-Kernel, WireGuardNT, wireguard-go und GotaTun. Unsere Messreihe prüft ein Standardprofil außerhalb der Mullvad-App. Funktionen wie DAITA, Multihop oder Verschleierung sind dabei nicht aktiviert und dürfen nicht aus den sichtbaren Geschwindigkeitswerten abgeleitet werden.
DNS, WebRTC, IPv6 und Kill-Switch
Die automatische Geschwindigkeitsreihe bestätigt den Tunnelaufbau, ersetzt aber keine Prüfung typischer Leckpfade. DNS, WebRTC, IPv6 und Kill-Switch wurden deshalb getrennt praktisch geprüft. Mullvad bestand den DNS-Leak-Test, den WebRTC-Leak-Test und den IPv6-Leak-Test. Der Kill-Switch blockierte den Verkehr beim kontrollierten Tunnelausfall wie vorgesehen.
Die grünen Hinweise im Messbereich beziehen sich auf diese bestätigten Praxistests und nicht nur auf Produktangaben. Sie gelten für den geprüften Teststand. Betriebssystem, App-Version, Browser und lokale Netzwerkkonfiguration können das Verhalten verändern.
Mit unserem DNS-Leak-Test, WebRTC-Leak-Test, IPv6-Leak-Test und der IP-Anzeige können Sie Ihre eigene Verbindung zusätzlich kontrollieren. Ein bestandenes Ergebnis ist keine dauerhafte Garantie für jede künftige App-Version.
Konto ohne E-Mail-Adresse
Mullvad verlangt bei der Kontoerstellung weder E-Mail-Adresse noch Benutzernamen oder Passwort. Stattdessen erzeugt der Dienst eine zufällige Kontonummer. Für das Konto speichert Mullvad laut No-Logging-Richtlinie die Nummer und die verbleibende Nutzungszeit. Für WireGuard kommen der öffentliche Schlüssel und die zugewiesenen Tunneladressen hinzu.
Dieses Modell reduziert die Datenmenge bereits vor dem ersten Verbindungsaufbau. Die Kontonummer ist zugleich der Zugangsschlüssel. Wer sie verliert, kann den Zugang unter Umständen nicht wiederherstellen. Wer sie weitergibt, gibt auch den Kontozugang weiter. Sie sollte deshalb wie ein Passwort geschützt werden.
Zahlungen bleiben ein getrennter Bereich. Banküberweisung, PayPal, Kreditkarte, Swish und weitere Verfahren können personenbezogene Daten bei Mullvad oder dem Zahlungsdienstleister erzeugen. Barzahlung und unterstützte Kryptowährungen bieten andere Spuren, haben aber eigene Risiken. Eine anonyme Kontoerstellung bedeutet daher nicht automatisch, dass jede Zahlungsart anonym ist.
No-Logging-Richtlinie und Betriebsdaten
Die am 17. Juni 2026 aktualisierte Richtlinie erklärt, dass Mullvad keinen Datenverkehr, keine DNS-Anfragen, keine Verbindungszeitpunkte, keine Ausgangs-IP-Adressen und keine Bandbreite pro Konto dauerhaft protokolliert. Die Prüfung gleichzeitiger Verbindungen läuft nach Anbieterangaben nur im Arbeitsspeicher. Pro Konto sind höchstens fünf gleichzeitige Verbindungen erlaubt.
Für den Betrieb verarbeitet Mullvad aggregierte Werte. Dazu gehören die Gesamtzahl aktueller Verbindungen, CPU-Auslastung und die gesamte Serverbandbreite. Webserverprotokolle ohne IP-Adresse sollen höchstens fünf Minuten gespeichert werden. Supportnachrichten können personenbezogene Inhalte enthalten und werden laut Richtlinie 70 Tage nach Abschluss eines Falls gelöscht. Diese Angaben sind präziser als eine pauschale Aussage, es würden überhaupt keine Daten verarbeitet.
Externe Prüfungen richtig einordnen
Cure53 untersuchte im Juni 2024 einen OpenVPN- und einen WireGuard-Server sowie den zugehörigen Ansible-Code. Die Systeme liefen in einer Staging-Umgebung, die laut Mullvad abgesehen von fehlenden Kundenverbindungen der Produktion entsprach. Cure53 meldete ein niedrig und ein mittel eingestuftes Problem sowie mehrere Hinweise. Mullvad erklärte, die Korrekturen anschließend in der Produktion ausgerollt zu haben. Im geprüften Umfang fand Cure53 keine Schwachstelle, die Anonymität oder Integrität des VPN-Verkehrs beeinträchtigte.
Die App-Prüfung von X41 im Herbst 2024 umfasste Quellcode und Penetrationstests auf allen unterstützten Plattformen. Sechs Schwachstellen wurden gemeldet, darunter drei mit hoher Einstufung. Der Bericht dokumentiert zugleich, dass die relevanten Korrekturen umgesetzt und nachgeprüft wurden. Ein Beispiel war die Windows-Installationsroutine, die unter bestimmten Bedingungen eine fremde Datei aus demselben Ordner ausführen konnte. Das Problem wurde in Version 2024.8 behoben.
Ende 2025 prüfte X41 außerdem die Konto- und Zahlungsdienste samt Gerätebereitstellung und Verteilung von WireGuard-Schlüsseln. Der im Januar 2026 veröffentlichte Bericht nennt drei mittlere und zwei niedrige Funde. Nach Darstellung des Anbieters ermöglichte keiner davon einen Zugriff auf Nutzerdaten. Einige Details wurden wegen möglicher Angriffe auf die Verfügbarkeit geschwärzt. Im Juni 2026 meldete Mullvad zusätzlich eine bestandene MASA-Prüfung der Android-App nach der Behebung mehrerer kleinerer Befunde.
Diese Berichte decken unterschiedliche Komponenten ab. Sie sind keine permanente Überwachung und kein pauschaler Beweis für jeden heutigen Server. Positiv ist die wiederholte Prüfung mit veröffentlichten Befunden. Für die Einordnung müssen Umfang, Zeitpunkt und nachträgliche Änderungen trotzdem berücksichtigt werden.
Durchsuchung im Jahr 2023
Im April 2023 erschien die schwedische Polizei mit einem Durchsuchungsbeschluss im Büro von Mullvad in Göteborg. Nach Darstellung des Anbieters suchten die Beamten nach Computern mit Kundendaten. Mullvad erklärte die eigene Datenhaltung und argumentierte, dass die gesuchten Daten nicht vorhanden seien. Nach Rücksprache mit dem Staatsanwalt verließen die Beamten das Büro ohne Geräte oder Kundeninformationen mitzunehmen.
Der Vorgang ist ein praktisches Indiz dafür, dass der Anbieter damals keine entsprechenden Kundendaten herausgeben konnte. Er beweist nicht automatisch den Zustand jedes heutigen Systems. Zusammen mit den Richtlinien und technischen Prüfungen liefert er jedoch mehr Kontext als eine reine Werbeaussage.
Eigentümer, Standort und offene Apps
Betreiber ist Mullvad VPN AB in Schweden. Das Unternehmen ist eine Tochtergesellschaft von Amagicom AB. Beide Gesellschaften gehören laut offizieller Richtlinienseite vollständig den Gründern Fredrik Strömberg und Daniel Berntsson, die weiterhin aktiv im Unternehmen tätig sind. Die veröffentlichte Eigentümerrichtlinie nennt für beide Gründer jeweils 50 Prozent der Anteile. Sie beschreibt diese Richtlinie als Steuerungsdokument für Aufsichtsorgan, Strategie und langfristige Unternehmensziele.
50-Prozent-Eigentümer als Hauptfinanzier einer Remigrationspartei
Flamman legte im Juni 2026 offen, dass Daniel Berntsson im Jahr 2025 aus seinem Privatvermögen 5 Millionen schwedische Kronen an die populistische Örebro-Partei gespendet hatte. Das waren laut Bericht 72 Prozent ihrer gesamten Jahreseinnahmen und die größte einzelne private Parteispende in Schweden im Jahr 2025. Flamman beschreibt Forderungen der Partei nach umfassender Remigration, dem Entzug von Staatsbürgerschaften und der Ausweisung von Einwanderern. Ein Forscher der Stiftung Expo ordnete sie dem äußersten rechten Spektrum zu und verwies auf ausdrücklich ethnonationalistische Positionen.
Berntsson nannte den Widerstand der Partei gegen Korruption als einen Grund für seine Unterstützung. Die Spende war jedoch nicht auf dieses Thema beschränkt. Sie finanzierte 72 Prozent der gesamten Parteiarbeit und damit auch die Remigrationsagenda. Zur Remigrationspolitik sagte er gegenüber Flamman, es sei traurig, dass sie notwendig sei. Außerdem hoffte er, die Partei werde auf nationaler Ebene ähnlich handeln wie in Örebro. Damit unterstützte er nicht nur die Partei als Organisation, sondern auch ihr politisches Projekt einschließlich der Remigrationspolitik. Aufgrund des Finanzierungsanteils war Berntsson ihr maßgeblicher privater Geldgeber.
Mullvad erklärte, die Zahlung stamme aus Berntssons Privatvermögen und die Unternehmen hätten nicht gespendet. Co-CEO Fredrik Strömberg lehnte die Spende gegenüber TechRadar persönlich ab. Mullvad erklärte, sie gehöre nicht zu seinen Werten oder seinem Auftrag, und bot wechselwilligen Kunden eine Rückerstattung an.
Diese formale Zuordnung der Zahlung schafft keine überzeugende Trennung bei Eigentum und Kontrolle. Berntsson hält 50 Prozent, ist aktiv eingebunden und steuert als einer von zwei gleichberechtigten Eigentümern über die Eigentümerrichtlinie Aufsichtsorgan, Strategie und langfristige Ziele mit. Seine Finanzierung stellte den Großteil der Parteieinnahmen und war laut Flamman ein Auslöser für die angekündigte nationale Wahlkampagne. Für unsere Bewertung verursacht diese Verbindung einen erheblichen Vertrauensverlust beim VPN-Anbieter. Die Distanzierung der anderen Unternehmensseite hebt Berntssons Kontrollrolle nicht auf. Es gibt zugleich keinen Beleg, dass Unternehmensmittel verwendet wurden oder die technische Sicherheit verändert wurde.
Die Mullvad-Apps stehen unter einer freien Lizenz, der Quellcode ist öffentlich auf GitHub einsehbar. Das ermöglicht unabhängige Analysen, ersetzt aber keine Prüfung der tatsächlich ausgelieferten Binärdatei. Für Android dokumentiert Mullvad reproduzierbare Builds. Signierte Veröffentlichungen und öffentliche Auditunterlagen ergänzen die Quelloffenheit.
DAITA soll Verkehrsmuster durch gleich große Pakete und zusätzlichen Datenverkehr schwerer auswertbar machen. Multihop leitet die Verbindung über zwei VPN-Server. Beide Optionen können Geschwindigkeit und Latenz beeinflussen. Sie gehören nicht zum Standardprofil unserer automatischen Messreihe.
Preis, Rückerstattung und Grenzen
Mullvad verlangt 5 Euro pro Monat inklusive Mehrwertsteuer. Der Monatspreis bleibt laut Preisseite gleich, unabhängig davon, ob ein Monat, ein Jahr oder ein längerer Zeitraum im Voraus bezahlt wird. Es gibt keine Einführungspreise und keine günstigere Verlängerung nach einer langen Bindung. Unterstützte Kryptowährungen erhalten wegen geringerer Verwaltungskosten einen Rabatt von zehn Prozent.
Die Rückerstattungsfrist beträgt 14 Tage. Barzahlungen sind wegen der genannten Geldwäschevorgaben ausgeschlossen, Kryptozahlungen werden laut FAQ ebenfalls nicht erstattet. Pro Konto sind fünf Geräte möglich. Wer mehr Geräte benötigt, braucht ein zweites Konto oder kann einen kompatiblen Router verwenden.
Seit Juli 2023 unterstützt Mullvad keine Portweiterleitung mehr. Das ist für Nutzer relevant, die von außen erreichbare Dienste oder bestimmte Peer-to-Peer-Abläufe benötigen. Streaming wurde in diesem Test nicht praktisch geprüft. Mullvad selbst veröffentlicht eine Anleitung, Netflix bei Proxyerkennung per Split-Tunneling am VPN vorbeizuleiten. Daraus leiten wir keine Entsperrgarantie ab.
Für wen eignet sich Mullvad?
Mullvad kommt für Nutzer infrage, die möglichst wenige Kontodaten hinterlegen, einen transparenten Monatspreis zahlen und WireGuard auch außerhalb einer Hersteller-App verwenden möchten. Die offenen Apps, die veröffentlichten Prüfberichte und das nummerierte Konto liefern konkrete Anhaltspunkte für eine Datenschutzentscheidung.
Weniger passend ist der Dienst, wenn mehr als fünf Geräte ohne Router verbunden werden sollen, Portweiterleitung erforderlich ist oder bestimmte Streaming-Bibliotheken im Mittelpunkt stehen. Auch die nur 14 Tage lange Rückerstattungsfrist sollte vor der Zahlung berücksichtigt werden.
Unsere vier praktischen Schutzprüfungen waren erfolgreich. Für Ihre Entscheidung sollten Sie die Messreihe, das Kontomodell, die Grenzen der Audits und die fehlende Portweiterleitung gemeinsam bewerten.
Häufige Fragen
Wie schnell ist Mullvad im Test?
Die aktuellen Mittelwerte und der Verlauf stehen im Messbereich oberhalb des Artikels. Sie basieren auf bis zu 20 jüngsten verifizierten WireGuard-Läufen über einen Frankfurter Endpunkt und ändern sich mit neuen Messungen.
Benötigt Mullvad eine E-Mail-Adresse?
Nein. Bei der Kontoerstellung wird eine zufällige Kontonummer erzeugt. Diese Nummer ist der Zugangsschlüssel und sollte sicher aufbewahrt werden.
Hat Mullvad die Leak-Tests bestanden?
Ja. DNS, WebRTC und IPv6 zeigten in unseren praktischen Prüfungen keine Offenlegung der normalen Verbindung. Der Kill-Switch blockierte den Verkehr beim kontrollierten Tunnelausfall wie vorgesehen.
Unterstützt Mullvad Portweiterleitung?
Nein. Neue Portweiterleitungen wurden im Mai 2023 deaktiviert, bestehende Weiterleitungen im Juli 2023 entfernt.
Wie viele Geräte sind erlaubt?
Ein Mullvad-Konto kann auf bis zu fünf Geräten verwendet werden. Zusätzliche Geräte erfordern ein weiteres Konto oder eine Verbindung über einen kompatiblen Router.
Was kostet Mullvad?
Der offizielle Preis beträgt 5 Euro pro Monat inklusive Mehrwertsteuer. Derselbe Monatspreis gilt auch bei längerer Vorauszahlung. Preise und Bedingungen sollten vor dem Kauf erneut geprüft werden.
Quellen
- Mullvad: No-Logging of User Activity Policy, aktualisiert am 17. Juni 2026
- Mullvad: Preis, Zahlungsarten und Rückerstattung
- Mullvad: Funktionen, Plattformen und technische Architektur
- Mullvad: öffentliche Serverliste mit Eigentums- und Standortangaben
- Cure53: vierte Infrastrukturprüfung, veröffentlicht am 27. Juni 2024
- X41: Prüfung der Mullvad-Apps aus dem Jahr 2024
- X41: Prüfung der Konto- und Zahlungsdienste, veröffentlicht am 21. Januar 2026
- Mullvad: MASA-Prüfung der Android-App, 1. Juni 2026
- Mullvad: Bericht zur Durchsuchung vom 18. April 2023
- Mullvad: Richtlinienseite mit Betreiber- und Eigentümerangaben
- Mullvad: Eigentümerrichtlinie mit jeweils 50 Prozent der Anteile für Daniel Berntsson und Fredrik Strömberg
- Flamman: Offenlegung der Spende und Aussagen von Daniel Berntsson zur Remigrationspolitik, 26. Juni 2026
- TechRadar: Bericht zur privaten Parteispende von Daniel Berntsson und zur Reaktion von Mullvad, 29. Juni 2026
- Mullvad: Open-Source-Projekte und Signaturschlüssel