VPNs mit Warrant Canary: Wer veröffentlicht einen, und was er beweist

Top 3 VPNs mit Warrant Canary

Keiner der drei gehört einer Überwachungsallianz an. Die Lücken ergeben sich aus dem Datenschutz, der 45 % der Seitenwertung ausmacht: Proton verliert Punkte, weil bei der Registrierung eine E-Mail-Adresse verlangt wird und eine Richtlinie das Speichern der IP-Adresse bei der Verbindung nur teilweise ausschließt. IVPN fällt beim Preis und beim Netzwerk zurück, weil in unseren Daten kein Preis vorhanden ist und das Servernetz klein ist.

Wie der Mechanismus funktioniert

Der Anbieter veröffentlicht einen kurzen, datierten Text, in dem er erklärt, keine mit einer Schweigepflicht belegte gerichtliche Anordnung und keine National Security Letter erhalten zu haben, und wiederholt ihn in festen Abständen. Mehrere Dienste hier erneuern ihn monatlich: AzireVPN, Bolehvpn und Malwarebytes Privacy VPN, während LunoVPN seine Datei signiert und sie nach einem Zeitplan erneuert. Sobald eine Anordnung mit Schweigepflicht eingeht, darf das Unternehmen niemanden informieren und stellt die Erneuerung daher still ein. Das verpasste Datum ist das Signal. Eine PGP-Signatur ermöglicht es, zu bestätigen, dass der Text vom Schlüssel des Anbieters stammt; manche Anbieter ergänzen zudem eine aktuelle Schlagzeile in der Datei, um zu zeigen, dass sie nicht im Voraus erstellt wurde. Unser Glossar-Eintrag zu Warrant Canaries gibt die einfache Definition.

Warum der Canary das Ranking kaum beeinflusst

In unserer Datenschutzformel bringt ein Canary 1 von 15 Punkten. Da alle Dienste auf dieser Seite diesen Punkt erhalten, entstehen dadurch keine Unterschiede im Ranking. Ein unabhängiges No-Logs-Audit ist 3 Punkte wert, eine strenge No-Logs-Richtlinie 2, die Nichtmitgliedschaft in einer Allianz 2. Dort findet die Sortierung statt.

Wer auf der Liste steht

Die 22 setzen sich aus 16 Privatkunden-VPNs, zwei VPNs innerhalb von Security-Suiten, zwei dezentralen Netzwerken und zwei kostenlosen mobilen Apps zusammen. Sechs haben ihren Sitz in den USA – passenderweise, denn die amerikanischen Vorschriften zur Geheimhaltung behördlicher Anordnungen sind der Grund, warum Canaries überhaupt existieren. Die Rechtsräume variieren (Panama, Hongkong, Schweiz, Gibraltar), und neun der 22 gehören nach eigenen Angaben keiner Überwachungsallianz an. Die Veröffentlichungsqualität unterscheidet sich: Manche signieren nach einem strengen Zeitplan, andere sind nur über eine Bewertung durch Dritte erfasst, wie bei AVG Secure VPN und Vpn.ht. Nur 8 der 22 veröffentlichen zusätzlich einen Transparenzbericht, und lediglich 7 haben ein unabhängiges No-Logs-Audit – ein Canary allein ist also nicht das ganze Bild.

Was ein Canary nicht beweist

Er sagt nichts über Logging aus. Das prüft das Audit. Ein veralteter Canary kann an einem vergessenen Cron-Job liegen statt an einer Anordnung, und Australien hat den Canary selbst bei Anordnungen, die Journalisten betreffen, für unzulässig erklärt. Die FAQ der EFF zu Warrant Canaries stellt außerdem fest, dass bis zu ihrer Entstehung kein Gericht über einen Warrant Canary entschieden hatte.

Kein Canary ist kein Warnsignal

Von 543 Privatkunden-VPNs veröffentlichen 22 einen Canary, 89 erklären, dass sie keinen haben, und 432 erwähnen ihn nie. Mehrere große Anbieter haben Canaries durch regelmäßige Transparenzberichte ersetzt, was dort sinnvoll ist, wo das Gesetz ohnehin eine spätere Benachrichtigung vorschreibt. Bewerten Sie zuerst das Audit; unser Ranking der VPNs mit unabhängigem No-Logs-Audit listet diejenigen auf, die eines haben.

Canary, Bericht oder Audit

Canary selbst prüfen

1. Prüfen Sie das Datum gegen den versprochenen nächsten Update-Termin.
2. Importieren Sie den öffentlichen Schlüssel des Anbieters und führen Sie gpg --verify auf der Datei aus.
3. Vergleichen Sie den Wortlaut mit einer archivierten Version; eine still gelöschte Zeile ist das Signal.

Warrant Canary FAQ

Kurzantwort

CitadelVPN, IVPN und Proton VPN veröffentlichen alle einen Canary sowie ein Audit und einen Transparenzbericht. Prüfen Sie, ob der Canary datiert, im Zeitplan und signiert ist; wählen Sie den Dienst anhand seines Audits und seiner Datenschutz-Bilanz, nicht allein wegen des Canaries.