Geschwindigkeit
Unsere Bewertung von Surfshark beruht unter anderem auf einer fortlaufenden Messreihe. Sie läuft automatisch über ein manuell eingerichtetes WireGuard-Profil zu einem Frankfurter Surfshark-Endpunkt. Jeder Lauf erfasst Download, Upload und Latenz auf einem deutschen Rechenzentrumsanschluss. Dokumentiert werden Protokoll, Endpunkt, Zeitpunkt und Speedtest-Gegenstelle. Der Messbereich oberhalb dieses Artikels zeigt daraus gleitende Mittelwerte aus den jüngsten verifizierten Läufen und wird mit jedem neuen Durchlauf aktualisiert.
Weil sich diese Werte laufend ändern, verzichten wir im Fließtext bewusst auf konkrete Zahlen, Zeiträume und Spannweiten. Den aktuellen Stand von Download, Upload und Latenz sowie den Verlauf über die letzten Läufe finden Sie in der dynamischen Messkarte auf dieser Seite.
Für die Einordnung ist wichtig, was die Reihe misst: den Weg vom deutschen Messstand über den Frankfurter Surfshark-Server zu einer automatisch gewählten Speedtest-Gegenstelle. Sie misst nicht die Leistung an einem privaten Kabel-, DSL- oder Glasfaseranschluss. Serverlast, Routing, die gewählte Gegenstelle und die leistungsfähige Anbindung des Messstands beeinflussen das Ergebnis. Ohne eine zeitgleiche Vergleichsmessung derselben Verbindung ohne VPN berechnen wir keinen prozentualen Geschwindigkeitsverlust. Aus den Zahlen leiten wir auch keine Rangfolge gegenüber anderen Anbietern ab. Schwankungen innerhalb der Reihe schreiben wir nicht automatisch dem Anbieter zu.
Ergänzend läuft stündlich eine Erreichbarkeitsprüfung des deutschen Endpunkts. In den aktuell vorliegenden Einträgen wurde sie jeweils bestanden. Sie zeigt, dass der Endpunkt erreichbar war, sagt aber nichts über Geschwindigkeit oder Schutzfunktionen aus.
WireGuard und die Messmethode
Surfshark unterstützt den Export statischer WireGuard-Konfigurationen für manuelle Verbindungen. Die offizielle Anleitung beschreibt die Erzeugung eines Schlüsselpaares im Konto, die Auswahl eines Standorts und den Download einer Konfigurationsdatei. Dieses Verfahren ermöglicht einen reproduzierbaren Messstand, unabhängig von der grafischen Surfshark-App.
Vor der ersten Messung wurde geprüft, ob die öffentliche Route über die WireGuard-Schnittstelle läuft, der Handshake zustande kommt und der Ausgang als Frankfurt in Deutschland erkannt wird. Die private WireGuard-Konfiguration liegt ausschließlich auf dem Messstand und wird nicht im Projekt gespeichert.
Die Messreihe identifiziert keinen DNS-Resolver und liefert deshalb keinen DNS-Leak-Test. Wir treffen aus ihr weder eine Aussage zum Bestehen noch zum Scheitern eines DNS-Leak-Tests. Gleiches gilt für Kill-Switch, WebRTC-Schutz und IPv6-Schutz: Die vorliegenden Recherche-Findings belegen diese Funktionen nicht ausdrücklich, daher bewerten wir sie in diesem Bericht nicht. Mit unserem DNS-Leak-Test, WebRTC-Leak-Test, IPv6-Leak-Test und der IP-Anzeige können Sie Ihre eigene Verbindung selbst prüfen.
Die sichtbaren Werte gelten für WireGuard und den eingerichteten Frankfurter Endpunkt. Sie lassen sich nicht automatisch auf OpenVPN, andere Länder, mobile Netze oder die Surfshark-Apps übertragen. Ein einzelner sehr guter Messwert ist keine garantierte Mindestleistung. Aussagekräftig wird erst der Verlauf, den Sie im Messbereich sehen.
Unabhängige Prüfungen
Zur Sicherheitsarchitektur liegen mehrere externe Prüfungen vor. 2018 wurden die Browser-Erweiterungen unabhängig geprüft, 2021 die Server-Infrastruktur. Ebenfalls 2021 bestand Surfshark einen externen Sicherheitsaudit durch die Firma Cure53. Im Dezember 2025 wurde zusätzlich eine Infrastruktur-Sicherheitsprüfung durch die Firma SecuRing abgeschlossen, die laut Surfshark die Widerstandsfähigkeit des Netzwerks bestätigte.
Solche Prüfungen betrachten jeweils den Stand zum Prüfzeitpunkt. Sie sind keine fortlaufende Echtzeitkontrolle aller späteren Server- oder App-Versionen. Sie liefern aber einen extern erstellten Beleg statt einer reinen Eigenaussage.
No-Logs-Prüfung durch Deloitte
Deloitte führte das erste unabhängige No-Logs-Audit von Surfshark durch. Laut CNET bestand Surfshark dieses Audit, wie das Unternehmen in einem Blogbeitrag mitteilte. Laut TechRadar bestätigte Deloitte, dass die No-Logs-Richtlinie ordnungsgemäß umgesetzt ist. Geprüft wurden interne Systeme und Prozesse, es gab Interviews mit Mitarbeitenden, und es wurden Nachweise ausgewertet.
Neu in dieser Fassung: Surfshark hat die No-Logs-Richtlinie erneut von Deloitte unabhängig verifizieren lassen. Der ausführliche Bericht nach ISAE 3000 steht Nutzern im Surfshark-Konto zur Verfügung. Das deutet auf eine wiederkehrende statt einmalige Prüfpraxis hin. Den Bericht selbst haben wir für diese Fassung nicht ausgewertet, die Angaben stützen sich auf die Veröffentlichungen des Anbieters und die Berichterstattung darüber.
Auch eine wiederholte Prüfung gibt Sicherheit nur für den beschriebenen Stand zum jeweiligen Prüfzeitpunkt. Sie ist keine permanente Kontrolle sämtlicher aktueller Server, Apps oder Zusatzdienste.
Sicherheitsvorfall und Selbstdarstellung
Die Recherche liefert einen Punkt, der Ihre Einschätzung beeinflussen sollte. Laut BleepingComputer erkannte Surfshark am 31. August verdächtige Aktivitäten. Angreifer waren in interne Test- und Proxy-Server eingedrungen. Den Vorfall konnte das Unternehmen am 2. September eindämmen. Eine Jahresangabe enthält das Suchergebnis nicht, deshalb nennen wir hier keine.
Nach offizieller Darstellung von Surfshark (über TechRadar) waren keine Nutzerdaten und keine VPN-Dienste betroffen. Die Ursache war ein menschlicher Fehler: Ein interner Engineering-Testserver war falsch konfiguriert und öffentlich erreichbar. Diese Angaben stammen vom Anbieter und sind keine unabhängige Feststellung.
Auf der eigenen Website erklärt Surfshark zugleich, noch nie eine Datenpanne erlitten zu haben und dass keine Nutzerkonten kompromittiert wurden. Die Recherche wertet dies als Widerspruch zum bestätigten Einbruch in interne Server. Der Einbruch selbst betraf laut Anbieter keine Nutzerdaten. Die pauschale Formulierung „nie eine Datenpanne“ wirkt neben dem dokumentierten Vorfall jedoch missverständlich. Das ist ein Kritikpunkt an der Kommunikation, die Quellen belegen dafür kein Fehlverhalten gegenüber Kundendaten.
Datenschutzrichtlinie und Transparenz
Treten Sie bei der Bewertung von No-Logs einen Schritt zurück: Kein Anbieter verarbeitet im Betrieb überhaupt keine Daten. Nach der zuletzt von uns ausgewerteten Fassung der Surfshark-Datenschutzrichtlinie (Stand 21. Mai 2026) sammelt der Anbieter keine besuchten IP-Adressen, Browserverläufe, Verbindungszeitstempel oder Bandbreitennutzung dauerhaft. Für den Betrieb können Server vorübergehend Nutzerkennung beziehungsweise IP-Adresse und Zeitstempel der Verbindung halten. Diese Informationen sollen innerhalb von 15 Minuten nach Sitzungsende gelöscht werden. Konto- und Zahlungsdaten bleiben dagegen bestehen, Kontodaten bis zu zwei Jahre nach der letzten Anmeldung.
Surfshark führt ein Transparenzregister zu behördlichen Anfragen. Im April 2026 erfüllte das Unternehmen nach eigener Darstellung einen Beschluss des Bezirksgerichts Amsterdam in einem Strafverfahren. Herausgegeben wurden die Existenz des Kontos und zahlungsbezogene Informationen, Aktivitätsdaten nach eigener Aussage nicht, weil keine vorlagen. Das ist eine Selbstauskunft des Anbieters, zeigt aber, wie der No-Logs-Begriff praktisch zu verstehen ist.
Eigentümer und Sitz
Surfshark B.V. hat seinen Sitz in Amsterdam, Niederlande, und tritt als Verantwortlicher für die Datenverarbeitung auf. Die Niederlande sind damit die für Sie maßgebliche Jurisdiktion des Vertragspartners.
Surfshark gehört zu Nord Security, dem Mutterunternehmen von NordVPN. Laut CleanVPNs wurde die Fusion am 1. bis 2. Februar 2022 angekündigt. Laut Wikipedia begann sie bereits Mitte 2021 und wurde 2022 abgeschlossen. Nach der Fusion laufen Surfshark und Nord laut CleanVPNs weiterhin als getrennte Produkte mit unterschiedlichen Apps, Servern und Entwicklungsteams. Zusätzlich wird Surfshark laut einer weniger gesicherten Quelle (ChampSignal) von Tesonet unterstützt, einem litauischen Venture-Builder und Technologie-Accelerator.
Preise
Laut Surfshark kosten die Monatstarife 16,45 US-Dollar (Starter), 18,95 US-Dollar (One) und 21,85 US-Dollar (One+). Im 2-Jahres-Tarif sinkt Starter auf bis zu 2,49 US-Dollar pro Monat. Das ist ein sehr großer Abstand zwischen Monats- und Langzeitpreis.
Wichtig ist die Zeit nach der ersten Laufzeit. Laut Security.org verlängert sich Starter zu 79 US-Dollar pro Jahr, One zu 99 US-Dollar und One+ zu 119 US-Dollar. Ein Reddit-Nutzer berichtet, sein Abonnement habe sich für 12 Monate zu 83,75 US-Dollar verlängert, nachdem er zuvor 62,75 US-Dollar für 26 Monate gezahlt hatte, und kritisiert dies als Preiserhöhung. Das ist eine einzelne Nutzerstimme (Reddit) und kein eigenes Testergebnis. Sie passt aber zum Muster der genannten Verlängerungspreise. Preise nennen die Quellen in US-Dollar. Prüfen Sie den tatsächlichen Betrag in Euro und die Verlängerungskonditionen vor dem Abschluss.
Für wen geeignet
- Sie legen Wert auf externe Prüfungen: Wiederholte Deloitte-Verifizierungen der No-Logs-Richtlinie sowie Audits durch Cure53 und SecuRing liefern mehr als bloße Eigenaussagen. Der ISAE-3000-Bericht lässt sich im Konto einsehen.
- Sie möchten WireGuard nutzen: Surfshark ermöglicht den Export statischer WireGuard-Konfigurationen für manuelle Verbindungen. Wie sich ein deutscher Endpunkt aktuell verhält, zeigt unsere Messkarte.
- Sie suchen einen günstigen Langzeittarif: Der 2-Jahres-Tarif ist laut Anbieter sehr niedrig bepreist. Rechnen Sie aber die Verlängerungspreise ein.
- Sie wollen Eigentümerstrukturen verstehen: Surfshark B.V. sitzt in den Niederlanden und gehört zu Nord Security. Wer Konzernverflechtungen kritisch sieht, sollte das einplanen.
- Weniger passend: Wenn Sie eine lückenlos konsistente Sicherheitskommunikation erwarten, bedenken Sie den Widerspruch zwischen „nie eine Datenpanne“ und dem bestätigten Serverbruch. Zu Kill-Switch, WebRTC- und IPv6-Schutz liefern die vorliegenden Findings keine Belege.
Häufige Fragen
Wie schnell ist Surfshark?
Die aktuellen Download-, Upload- und Latenzwerte zeigt die dynamische Messkarte auf dieser Seite. Sie speist sich aus einer fortlaufenden WireGuard-Messreihe zu einem Frankfurter Endpunkt. Auf Ihrem Anschluss können die Werte abweichen.
Speichert Surfshark Logs?
Laut Richtlinie werden keine Aktivitätsdaten dauerhaft gespeichert, kurzlebige Verbindungsdaten sollen nach 15 Minuten gelöscht werden. Konto- und Zahlungsdaten bleiben bestehen. Deloitte hat die No-Logs-Umsetzung unabhängig geprüft und erneut verifiziert.
Hatte Surfshark eine Datenpanne?
Surfshark erklärt, noch nie eine Datenpanne gehabt zu haben. Bestätigt ist aber ein Einbruch in interne Test- und Proxy-Server. Laut Anbieter waren keine Nutzerdaten und keine VPN-Dienste betroffen, Ursache war ein falsch konfigurierter Testserver.
Hat Surfshark einen DNS-Leak-Test bestanden?
Dazu machen wir keine Aussage. Unsere Messreihe identifiziert keinen DNS-Resolver und liefert deshalb keinen DNS-Leak-Test. Sie können Ihre Verbindung mit unserem DNS-Leak-Test selbst prüfen.
Wem gehört Surfshark?
Surfshark B.V. mit Sitz in Amsterdam gehört laut CleanVPNs zu Nord Security, dem Mutterunternehmen von NordVPN. Beide Dienste laufen weiter als getrennte Produkte.