Ist IVPN sicher? Protokollierungsrichtlinie, Audits und Gerichtsbarkeit

Datenschutz und Gerichtsbarkeit 9,0/10 und Sicherheit 7,5/10 (Segment-Mediane 2,7 und 2,1). Kein Warnsignal in unseren Daten. Unabhängiges No-Logs-Audit: ✓ Ja.

In 10 Sekunden

Unabhängiges No-Logs-Audit: ✓ Ja
Open-Source-Apps
Warrant Canary
Kill Switch

Datenschutz

Gerichtsbarkeit: Gibraltar, außerhalb der 5/9/14 Eyes
Rechtsträger: IVPN Limited
No-Logs-Richtlinie: Ja
Datenspeicherung: Kontodaten 90 Tage nach Kündigung gelöscht; Gutscheine 30 Tage
Weitergabe an Dritte: keine (Keine Dritten haben Zugriff); Zahlungen verarbeitet Braintree/PayPal
Tracker auf der Website: selbst gehostetes Matomo (IP gekürzt)

Welche Daten laut Datenschutzerklärung erhoben werden

Rot ✕: erfasst. Grün ✓: nicht erfasst. Grau: die Datenschutzerklärung sagt dazu nichts.

E-Mail✓ Nein
IP-Adresse bei der Registrierung✓ Nein
IP-Adresse bei der Verbindung✓ Nein
Sitzungszeiten✓ Nein
Bandbreite✓ Nein
Geräteinformationen✓ Nein
App-Nutzungsanalyse✓ Nein
Absturzberichte✕ Ja

Sicherheit

Kill Switch: Ja (ja (macOS, Windows, Linux, Android))
DNS-Leak-Schutz: Ja (ja (Firewall: Schutz vor DNS-/IPv6-Leaks))
Sicherheitsaudits: Ja acht Audits seit 2019
Open-Source-Apps: https://github.com/ivpn
Anmeldung mit Zwei-Faktor-Authentifizierung: Keine Angabe

Was über die Logs bekannt ist

IVPN Limited ist in Gibraltar registriert, einem britischen Überseegebiet, das nicht Teil der 5/9/14-Eyes-Bündnisse ist. Laut Datenschutzerklärung speichert der Dienst keine Verbindungs-IPs, Sitzungszeiten, Traffic-Mengen oder App-Nutzungsanalysen. Für die Registrierung ist keine E-Mail-Adresse erforderlich: Sie melden sich mit einer generierten Kontonummer an und können mit Bargeld oder Monero bezahlen. Audits werden seit 2019 jährlich durchgeführt, insgesamt acht, die Berichte sind im Blog des Dienstes veröffentlicht. IVPN erreicht 9 von 10 Punkten für Datenschutz, bei einem Segment-Median von 2,7. Vergleichen können Sie ihn mit anderen in der Liste der VPNs mit auditierter No-Logs-Richtlinie.

Was der Dienst dennoch speichert

Absturzberichte in den mobilen Apps sind standardmäßig aktiviert und müssen in den Einstellungen deaktiviert werden. Auf dem Desktop fragt die App zuerst um Erlaubnis. Kontodaten werden 90 Tage nach der Schließung gelöscht, Gutscheine nach 30 Tagen. Karten- und PayPal-Zahlungen werden von Braintree und PayPal abgewickelt, die eigene Aufzeichnungen führen. IVPN befolgt Gerichtsbeschlüsse, gibt aber an, keine Verbindungsdaten zu speichern, und würde bei einer vorgeschriebenen Protokollierung in eine andere Gerichtsbarkeit umziehen. Es gibt einen Transparenzbericht und einen Warrant Canary. In unseren Daten gibt es keinen Fall, in dem die Richtlinie vor Gericht oder nach einem Sicherheitsvorfall geprüft wurde. Zu den Rechtsräumen anderer Dienste gibt es eine eigene Seite.

Wo Punkte bei der Sicherheit verloren gehen

Ein kill switch, DNS- und IPv6-Leak-Schutz, WireGuard mit Post-Quantum-Schlüsselaustausch und Open-Source-Apps auf GitHub sind vorhanden, was 7,5 von 10 Punkten für Sicherheit ergibt. Punkteabzug gab es, weil der Dienst nicht angibt, ob er RAM-only-Server nutzt, eine Zwei-Faktor-Anmeldung anbietet oder ein Bug-Bounty-Programm betreibt. Die Server werden von Rechenzentren wie M247 und Leaseweb gemietet. Der kill switch wird für macOS, Windows, Linux und Android aufgeführt; iOS fehlt in dieser Liste.