VPN-No-Logs-Audits: Wer sie durchführt, was geprüft wird und was sie nicht belegen können

Wenn ein VPN eine unabhängig geprüfte No-Logs-Richtlinie bewirbt, bedeutet das, dass ein externes Unternehmen geprüft hat, ob die Systeme und Verfahren des Anbieters mit der veröffentlichten Richtlinie übereinstimmen, und eine Schlussfolgerung formuliert hat. Der Anbieter bezahlt die Bewertung und verhandelt deren Grenzen mit dem Auditor.

Wer ein No-Logs-Audit durchführt

Zwei Arten von Unternehmen übernehmen diese Arbeit. Die Big-Four-Wirtschaftsprüfungsnetzwerke (Deloitte, KPMG und PwC werden in den Daten der Seite genannt) erledigen dies als Assurance-Prüfung nach einer Norm wie ISAE 3000 (Revised) der IAASB und liefern eine formale Schlussfolgerung, ob die angegebenen Kontrollen mit der Richtlinie übereinstimmen. Da ISAE 3000 prinzipienbasiert ist, wählt der Auditor selbst aus, welche Kontrollen er prüft – der Umfangsabschnitt ist daher wichtiger, als Leser annehmen.

Sicherheits- und IT-Auditfirmen (Cure53, Securitum, Versprite, Altius IT in den Datensätzen) schicken Ingenieure, um Server, Konfigurationsdateien und Code zu prüfen, manchmal mit Penetrationstests, und erstellen einen Findings-Bericht. Ein Eintrag in den Daten der Seite ist eine Datenschutzerklärungs-Bewertung durch Aon vom August 2023 – eine engere Prüfung als eine Serverinspektion.

Was die Auditoren prüfen

Zuerst die schriftliche Richtlinie: Hat jedes Versprechen eine entsprechende Einstellung in den realen Systemen, und definieren interne Verfahren, wer Logging-Einstellungen ändern darf. Danach die Serverkonfiguration: VPN-Server-Einstellungen, Debug- und Logging-Schalter, was auf der Festplatte landet, RAM-only-Betrieb falls angegeben, sowie zentrale Systeme für Authentifizierung, Überwachung und Verwaltung. Eine starke Prüfung verifiziert, dass die inspizierte Konfiguration tatsächlich auf den Live-Servern läuft. Der Mitarbeiterzugang ist das dritte Ziel: Interviews über Administratorrechte, ob Mitarbeiter das Logging einschalten könnten, und die Change-Management-Aufzeichnungen hinter diesen Antworten.

Ein Datum oder eine laufende Prüfung

Die meisten Audits sind Momentaufnahmen: Die Schlussfolgerung gilt nur für das Inspektionsdatum oder einen kurzen Prüfungszeitraum, oft etwa eine Woche, und spätere Systemänderungen können sie ungültig machen. Manche Prüfungsrahmen sehen stattdessen vor, Kontrollen über mehrere Monate hinweg zu prüfen, im Stil von SOC 2 Type 2, und Anbieter, die die Bewertung jährlich wiederholen, bauen eine Reihe von Momentaufnahmen auf. Niemand beobachtet Server rund um die Uhr; eine Behauptung über „kontinuierliche Verifizierung“ sollte die Methode nennen oder als Marketing gelesen werden.

Wie viel vom Netzwerk ein Audit sieht

Auditoren prüfen stichprobenartig eine Auswahl von Servern und Servertypen und ergänzen dies durch Dokumentenprüfungen und Interviews. Manche Prüfungen decken nur eine App, eine Browser-Erweiterung oder den Wortlaut der Richtlinie ab – nichts davon zeigt, was die VPN-Server aufzeichnen. Auch das Maß an Prüfungssicherheit zählt: Bei begrenzter Prüfungssicherheit wird die Schlussfolgerung negativ formuliert („Uns ist nichts bekannt geworden, das auf etwas anderes hindeutet“); bei hinreichender Prüfungssicherheit wird nach umfangreicheren Prüfungen ein positiv formuliertes Prüfungsurteil abgegeben. Der Bericht gibt an, welches gilt.

Einen Auditbericht lesen

Ein Badge oder eine Pressemitteilung allein gibt Ihnen keine Möglichkeit, Umfang oder Vorbehalte zu prüfen. Ein vollständiger öffentlicher Bericht ist das stärkere Dokument.

Was ein sauberes Audit nicht beweist

Die Schlussfolgerung sagt nichts über den Tag nach dem Berichtsdatum, über Server außerhalb der Stichprobe oder darüber, was Zahlungsabwickler und andere Dritte speichern. Sie kann nicht verhindern, dass ein Gericht in der Gerichtsbarkeit des Anbieters anordnet, dass ein einzelner Abonnent künftig protokolliert wird. Die Unabhängigkeit des Auditors ist ebenfalls nicht vollständig, da der Anbieter zahlt und den Umfang festlegt. Ergänzen Sie das Audit um andere Belege: Gerichtsverfahren, bei denen beschlagnahmte Server keine Daten ergaben, RAM-only-Setups und was der Anbieter in seinen Transparenzberichten veröffentlicht. Welche Datentypen ein VPN speichert und wie No-Logs-Behauptungen geprüft werden, ist im No-Logs-Glossareintrag der Seite behandelt.

Audits im VPNRadarLab-Ranking

Von den 371 Diensten im Hauptranking ist für 35 ein unabhängiges No-Logs-Audit dokumentiert, 152 haben keines, und 190 geben es nicht an: Der Anbieter veröffentlicht nicht, ob er ein Audit hat, was nicht dasselbe ist wie keines zu haben. Deloitte, KPMG, Cure53, Securitum und andere Firmen erscheinen namentlich in den Daten der Seite, während viele Audit-Behauptungen ohne genannten Auditor eintreffen. Eine Shortlist mit Wertungen finden Sie im Ranking von VPNs mit auditierter No-Logs-Richtlinie.

FAQ

Bedeutet ein Audit, dass ein VPN gar keine Daten speichert?

Nein. Abrechnungs- und Kontodaten bleiben beim Anbieter; das Audit deckt ab, was über Verbindungen und Aktivitäten gespeichert wird.

Wie alt darf ein Audit sein und noch zählen?

Die Schlussfolgerung gilt nur für den Prüfungszeitraum. Nach etwa zwei Jahren sollten Sie es als Geschichte betrachten und eine Wiederholung erwarten.

Ist ein Big-Four-Audit besser als eines einer Sicherheitsfirma?

Das eine prüft Kontrollen gegen eine Norm, das andere wühlt sich durch Server und Code. Prüfen Sie, welche Systeme jeder Bericht abdeckte, bevor Sie sie vergleichen.

Die Audit-Frage in Kürze

Ein unabhängiges No-Logs-Audit zeigt, was ein bezahltes Unternehmen während eines Prüfungszeitraums gesehen hat, in dem Netzwerkbereich, den der Anbieter zu öffnen wählte. Prüfen Sie Daten, Umfangsliste, Assurance-Niveau und Vorbehalte, bevor Sie dem Badge Gewicht beimessen, und wägen Sie das Ergebnis gegen Transparenzberichte und Gerichtsakten ab, wo es sie gibt.