Wie sicher ist ExpressVPN? Logs, Audits, Lightway und BVI-Recht

Für den alltäglichen Datenschutz: ja. ExpressVPN zeichnet weder Aktivitäts- noch Verbindungs-Logs auf, KPMG hat dieses Versprechen geprüft, und jeder Server startet aus dem RAM, ohne dass etwas auf die Festplatte geschrieben wird. VPNRadarLab bewertet Datenschutz und Sicherheit jeweils mit 5,7 von 10, deutlich über den Verbraucher-Medianen von 2,7 und 2,1, ohne Warnsignale und mit voller Datenvollständigkeit. Die Gesamtnote liegt bei 4,77, Platz 14 unter den VPNs für Verbraucher, und die Abzüge sind konkret: eine Pflicht-E-Mail, das Fehlen eines veröffentlichten Transparenzberichts und schwache Leistung gegen starke Zensur.

Wer hinter ExpressVPN steckt und wie das BVI-Recht eine Datenanforderung behandelt

Betrieben wird der Dienst von Express Technologies Ltd., registriert auf den Britischen Jungferninseln, mit der Muttergesellschaft Kape Technologies PLC in Großbritannien (Details auf der Seite zu den Eigentumsverhältnissen). Die Britischen Jungferninseln liegen außerhalb der 5-, 9- und 14-Eyes-Allianzen. Das Unternehmen unterliegt dem Recht der Britischen Jungferninseln, laut eigener Angabe wehrt es sich gegen solche Anforderungen, und da es keine Logs gibt, die Aktivitäten einem Nutzer zuordnen, gibt es selbst bei erfolgreicher Anforderung wenig zu übergeben.

Was das Unternehmen laut Datenschutzerklärung erfassen darf

Die aktuelle Richtlinie (aktualisiert am 2. Oktober 2026) hält die Liste kurz: E-Mail bei der Registrierung, das Datum erfolgreicher Verbindungen, aggregierte Bandbreite pro Nutzer, Gerätedetails (Modell, Betriebssystem, App-Build, zufällige IDs), Analytik über AppsFlyer, wobei das Land aus einer gehashten IP-Adresse stammt, sowie Absturzberichte nach ausdrücklicher Zustimmung über Sentry und Crashlytics.

Zwei Details sind für die Einordnung wichtig. Die Kalendertage erfolgreicher Verbindungen zusammen mit dem gesamten Datenvolumen können zeigen, dass ein Abo an einem bestimmten Tag online ging, sagen aber nichts über die besuchten Seiten. Und die Abrechnungsseite überdauert den Tunnel: Transaktions-E-Mails werden 10 Jahre lang aufbewahrt, und Zahlungen laufen über namentlich genannte Zahlungsabwickler wie PayPal und Stripe.

KPMG, Cure53 und TrustedServer: Was die Audits abdecken

Zwei unabhängige Prüfungen stützen dieses Bild. KPMG hat die Richtlinie und den Serverbestand geprüft; Cure53 hat TrustedServer durchleuchtet, den reinen RAM-Betrieb, bei dem ein Server aus dem Speicher startet, sodass ein Neustart ihn löscht. In den erfassten Daten ist kein Audit-Jahr angegeben. Wenn eine unabhängig geprüfte Richtlinie für Sie wichtig ist, zeigt das Ranking der VPNs mit auditierter No-Logs-Richtlinie, welche anderen Anbieter das erfüllen.

Lightway, Network Lock und der Rest des Werkzeugkastens

Verfügbare Protokolle: Lightway (das hauseigene Protokoll, UDP/TCP, als das schnellste angepriesen), WireGuard, OpenVPN und IKEv2; PPTP und L2TP werden nicht angeboten. Behalten Sie Lightway als Standard bei; wechseln Sie auf Netzen, die UDP drosseln, zu OpenVPN über TCP.

Network Lock sollte auf Laptops immer aktiviert bleiben: Es blockiert den gesamten Datenverkehr, sobald der Tunnel abbricht, und schützt so Ihre echte Adresse, wenn Sie am Flughafen oder im Café zwischen Access Points wechseln. Verschlüsselte Anfragen über die eigenen Resolver von ExpressVPN verhindern, dass der Router an Ihrem Standort Ihre Abfragen mitliest. Split-Tunneling hält Banking-Apps außerhalb des Tunnels, und Threat Manager filtert Werbe- und Malware-Domains.

Warum die Noten für Datenschutz und Sicherheit bei 5,7 enden

Die Stärken sind real: eine geprüfte No-Logs-Richtlinie, keine gespeicherte IP-Adresse bei der Verbindung, keine Allianz, Server nur im RAM und ein funktionierender Kill Switch. Beim Datenschutz gibt es Abzüge wegen der Identität: Eine E-Mail ist bei der Registrierung Pflicht, eine Anmeldung per Kontonummer ist nicht möglich, und die erfassten Seiten zeigen weder einen Transparenzbericht noch einen Warrant Canary. Die Abzüge bei der Sicherheit folgen derselben Logik: Die Daten führen weder Open-Source-Apps noch eine Zwei-Faktor-Anmeldung, ein Bug-Bounty-Programm, Post-Quantum-Schlüssel oder angegebene Perfect Forward Secrecy auf, und eine Multi-Hop-Route gibt es nicht. Die Zensurumgehung, die niedrigste Note mit 1,9, beruht nur auf generischer Verschleierung; etwas Vergleichbares zu VLESS Reality oder Shadowsocks fehlt im Werkzeugkasten.

Fragen zur Sicherheit von ExpressVPN

Speichert ExpressVPN meine IP-Adresse?

Nein. Die Richtlinie lässt die Quell-IP-Adresse außen vor; erfasst werden das Datum plus das Datenvolumen.

Kann ich mich anonym registrieren?

Teilweise. Eine E-Mail ist Pflicht, aber eine Zahlung in Bitcoin entfernt die Karten-Verknüpfung und deaktiviert die automatische Verlängerung. Ein Einweg-Postfach schließt die restliche Lücke; eine KYC ist nicht erforderlich.

Ist es im öffentlichen WLAN sicher?

Ja, mit aktiviertem Network Lock: Der Kill Switch und privates, verschlüsseltes DNS schützen Sie, wenn ein offener Hotspot den Tunnel abreißen lässt.

Gibt es eine sichere kostenlose Version?

Kein kostenloser Tarif und keine Testphase. Neue Abonnenten erhalten bei Basic, Advanced oder Pro eine 30-tägige Geld-zurück-Frist; diese Erstattung kommt einer Testphase am nächsten.

Schlägt es strenge Zensur?

Selten. Allein die generische Verschleierung bringt 1,9, daher sind Staaten mit starker DPI das größte Problem.

Fazit zur Sicherheit von ExpressVPN

ExpressVPN ist für seinen Zweck sicher: eine unabhängig geprüfte No-Logs-Richtlinie, Server nur im RAM, ein Sitz auf den Britischen Jungferninseln außerhalb aller Eyes-Allianzen und ein Funktionsumfang, der öffentliche Netze und Reisen gut abdeckt. Schwächen zeigt es, wenn es um ein Konto ohne jegliche verknüpfte E-Mail oder eine verlässliche Route an strenger DPI-Zensur vorbei geht.