Ist CyberGhost VPN sicher? Rumänisches Recht, Kape Technologies und die Audit-Lücke

Für den Alltag ist CyberGhost auf dem Papier sicher genug. Betreiber ist CyberGhost S.R.L., ein rumänisches Unternehmen, das den EU-Datenschutzregeln unterliegt; laut seiner Datenschutzerklärung speichert der Dienst weder IP-Adressen bei der Verbindung noch Sitzungszeitstempel. VPNRadarLab bewertet es mit 4,18 von 10 insgesamt, platziert es auf Platz 24 unter den Consumer-VPNs und vermerkt kein Warnsignal. Der einzige klare Mangel: Es wurde kein unabhängiges No-Logs-Audit veröffentlicht. Die vorhandenen Zertifikate betreffen das Sicherheitsmanagement des Unternehmens, nicht das, was seine Server speichern.

Wem CyberGhost gehört und welches Recht gilt

Der Dienst läuft unter CyberGhost S.R.L., registriert in Bukarest, und gehört zu Kape Technologies PLC, der Gruppe, die auch ExpressVPN, Private Internet Access und ZenMate hält. Rumänien liegt außerhalb der 5-, 9- und 14-Eyes-Bündnisse, sodass vertragsbasierter Geheimdienst-Austausch kein Standardweg für die Daten ist.

Eine gerichtliche Anordnung ist ein anderer Weg: Die Richtlinie stellt klar, dass Daten offengelegt werden, wenn Gesetz oder Richter es verlangen. Der einzige echte Schutz ist, wie wenig laut Richtlinie gespeichert wird. Es gibt einen Transparenzbericht, verlinkt in der Fußzeile der Website, aber keinen Warrant Canary.

Was die Richtlinie zur Erfassung zugibt

Keine IP-Adresse bei der Verbindung plus keine Sitzungszeiten lassen wenig übrig, um eine Tunnel-Sitzung Ihrem Konto zuzuordnen. Der Ausgleich: Die E-Mail und die anonymisierte Registrierungs-IP verbinden das Abo doch mit der Identität, die Sie angeben.

Zwei Einschränkungen. Erstens die Speicherdauer: Kontodaten werden „so lange wie nötig“ aus Dienst- oder Rechtsgründen aufbewahrt, ohne festen Zeitraum; die Datenschutzerklärung wurde zuletzt am 18. März 2024 aktualisiert. Zweitens die Empfänger: Zahlungsabwickler, Support und Analyse-Tools sowie die Kape-Gruppe selbst. Die Tracker auf der CyberGhost-Website sehen Besuche der Website, nicht den Datenverkehr im VPN-Tunnel.

Für die Registrierung ist eine E-Mail-Adresse erforderlich, aber keine Telefonnummer und keine Identitätsprüfung; Bitcoin über BitPay wird in der Richtlinie genannt, erscheint aber nicht am Bestellabschluss, sodass anonymes Bezahlen schwieriger ist, als die Richtlinie nahelegt.

ISO-Zertifikate ohne No-Logs-Audit

Die unabhängige Überprüfung ist eine ISO-27001- und ISO-9001-Zertifizierung durch QSCert, seit 2012 vorhanden und jährlich erneuert. Diese Art von Audit prüft, wie das Unternehmen Sicherheit intern managt, nicht, was Server aufzeichnen – worauf sich eine No-Logs-Aussage stützt. CyberGhost veröffentlicht kein unabhängiges Audit der No-Logs-Aussage, und die Website-Daten verzeichnen keinen Gerichtsfall oder Vorfall, der sie bestätigt hat. Dieses fehlende Audit ist der schwereste Einzelpunkt in der Bewertung, mit 3 Datenschutz-Punkten.

Protokolle und Schutz vor Datenlecks

Im Hotel- oder Café-WLAN ist der Kill Switch das, was den Leak verhindert, wenn der Tunnel abbricht: Der Datenverkehr wird unterbrochen, bevor Ihre tatsächliche IP-Adresse entweicht. Der DNS-Leak-Schutz hält Lookups im Tunnel statt beim Resolver Ihres Providers. Was ein beschlagnahmter Server noch enthalten würde, bleibt eine offene Frage, solange der RAM-only-Betrieb nicht veröffentlicht ist.

Wo die beiden 5,0-Noten ihre Punkte verlieren

Der Datenschutz erreicht 5,0 von 10 (7,5 von 15 Punkten) gegenüber einem Consumer-Median von 2,7; die Sicherheit liegt bei 5,0 von 10 (7 von 14 Punkten) gegenüber einem Median von 2,1. Die Gerichtsbarkeit außerhalb der Bündnisse, die Richtlinie zur sparsamen Protokollierung und der Transparenzbericht bringen die meisten Punkte. Die Verluste sind konkret: das fehlende Audit beim Datenschutz, dazu die Registrierung mit Pflicht-E-Mail ohne Anmeldung mit Kontonummer. Die Zensur-Umgehung erreicht 0 von 10, weil CyberGhost keinen Stealth- oder Verschleierungsmodus veröffentlicht.

Warnsignale und Schwachstellen in den Daten

In den Daten der Website sind weder Warnsignale noch öffentlich bekannte Sicherheitsverletzungen verzeichnet. Die Bedenken sind leiser: Daten, die innerhalb der Kape-Gruppe geteilt werden, Tracker auf der Website und die offene Formulierung zur Speicherdauer. Für Leser, die eine unabhängig geprüfte Aussage brauchen, rankt VPNRadarLab VPNs mit unabhängigem No-Logs-Audit. In Netzwerken mit strenger DPI-Filterung ist CyberGhost eine schwache Wahl; der vollständige Rumänien-Vergleich findet sich auf VPNRadarLabs Seite für VPN-Anbieter mit Sitz in Rumänien, wo es von fünf Anbietern auf Platz 1 liegt.

Fragen zur Sicherheit von CyberGhost

Ist CyberGhost seriös?

Ja: ein registriertes rumänisches Unternehmen unter der DSGVO, mit namentlich genanntem Datenschutzbeauftragten in der Richtlinie. Seriös und unabhängig auditiert sind allerdings zwei verschiedene Dinge.

Ist CyberGhost auf einem iPhone sicher?

Die iOS-App fällt unter dieselbe Datenschutzerklärung, und die Website-Daten schlüsseln die Schutzmechanismen nicht nach Plattform auf.

Gibt es einen kostenlosen CyberGhost-Tarif?

Nein. Stattdessen gibt es eine Geld-zurück-Frist: 45 Tage bei Tarifen ab sechs Monaten, 14 Tage beim Monatstarif, Käufe im App-Store ausgenommen. Store-Bewertungen ändern das Sicherheitsbild nicht.

Kommt CyberGhost durch ein Netzwerk, das VPNs blockiert?

Unwahrscheinlich. Ohne veröffentlichte Verschleierung erkennt die Deep Packet Inspection die Standardprotokolle.

Fazit für verschiedene Nutzer

Nehmen Sie CyberGhost für den Schutz im öffentlichen WLAN, Torrenting und alltägliches Surfen: Die Gerichtsbarkeit, die Richtlinie zur sparsamen Protokollierung und der Kill Switch decken diesen Anwendungsfall ab. Lassen Sie es weg, wenn Sie eine auditierte No-Logs-Aussage, Double-VPN-Routing oder eine Verbindung brauchen, die DPI-Blockaden übersteht.