TunnelBear: Sicherheitsprüfung – auditierte Apps, kanadisches Recht und welche Daten laut Datenschutzerklärung gespeichert werden

TunnelBear ist für den Alltag sicher genug: Die Apps, das Backend und die APIs werden jährlich einem externen White-Box-Audit unterzogen, der Traffic läuft über WireGuard, OpenVPN oder IKEv2 mit AES-256, und laut Datenschutzerklärung werden weder IP-Adressen bei der Verbindung noch Sitzungszeitstempel gespeichert. Bei der Anonymität hapert es jedoch. Die No-Logs-Zusage ist selbst erklärt, da TunnelBear kein unabhängiges Audit dieser Aussage veröffentlicht hat, Kanada gehört zum Five-Eyes-Bündnis, und das Konto ist an eine E-Mail-Adresse plus Kartenzahlung gebunden. Aus diesen Gründen erhält Datenschutz die Wertung 3,0 von 10.

Wer betreibt TunnelBear und was kanadisches Recht für Ihre Daten bedeutet

TunnelBear LLC ist in Kanada registriert, die Adresse liegt in Toronto, und der eigene Blog beschreibt den Dienst seit der Übernahme 2018 als Teil der McAfee-Familie. Die kanadische Registrierung unterwirft das Unternehmen kanadischem Recht und der Geheimdienst-Kooperation zwischen den Five-Eyes-Staaten, was den Dienst alle 2 Punkte für die Zugehörigkeit zu einer Überwachungsallianz in unserer Datenschutzwertung kostet. Die Richtlinie ergänzt allerdings, dass personenbezogene Daten nur innerhalb Kanadas gespeichert und nach kanadischem Recht verarbeitet werden, unabhängig vom Wohnort des Nutzers.

Was die Datenschutzerklärung über TunnelBears Datensammlung sagt

Nichts in der gespeicherten Liste verknüpft eine VPN-Session mit einer Heimatadresse oder einem Zeitpunkt. Erfasst wird das im laufenden Monat insgesamt verbrauchte Datenvolumen, kein Nutzungsverlauf. Daten gehen nur an Dienstleister, und die Richtlinie wurde zuletzt am 11. Mai 2026 überarbeitet; der vollständige Text steht auf der TunnelBear-Website. Eine Besonderheit: Die Marketing-Website selbst lädt Google Analytics, Hotjar, LinkedIn Insight, Cloudflare und einen Affiliate-Tracker. Diese erfassen Ihren Besuch auf tunnelbear.com, nicht den Traffic im Tunnel.

Jährliche Sicherheits-Audits: Was sie prüfen und was offen bleibt

Cure53 führt das Audit als White-Box-Assessment mit Zugang zu Quellcode, Konfigurationen und interner Dokumentation durch und deckt die Apps, Backend-Systeme, öffentlichen APIs, Datenverarbeitung und Verschlüsselung ab. TunnelBear veröffentlicht die Ergebnisse in seinem Blog, darunter den 8. Jahresbericht, und gibt an, die Feststellungen seien behoben oder abgemildert worden.

Ein Audit beantwortet die Frage, ob Angreifer Schwachstellen im Programmcode ausnutzen können. Nicht beantwortet wird, was das Unternehmen speichert. Die Daten der Seite verzeichnen keine unabhängige Bewertung der No-Logs-Aussage, daher bleibt diese Zusage selbst erklärt, und die 3 Punkte für ein externes No-Logs-Audit bleiben unerreicht. TunnelBear weist zudem keinen DNS-Leak-Schutz, keine Open-Source-Clients, keine Anmeldung mit Zwei-Faktor-Authentifizierung und keine RAM-only-Server aus, was die Sicherheit trotz der jährlichen Prüfung bei 3,9 hält.

Wie sich die Wertungen 3,0 für Datenschutz und 3,9 für Sicherheit zusammensetzen

Die Sicherheit liegt deutlich über dem Median für Verbraucher-VPNs, vor allem wegen des jährlichen Audits, des VigilantBear-Kill Switch und der WireGuard-Unterstützung. Beim Datenschutz verliert TunnelBear vor allem an einer Stelle: Die nicht verifizierte No-Logs-Aussage kostet 3 Punkte, Five Eyes weitere 2, und das Fehlen einer veröffentlichten Registrierung ohne E-Mail oder eines Logins über Kontonummer kostet nochmals 2 Punkte. Auch ein Transparenzbericht oder Warrant Canary ist nicht verzeichnet. VigilantBear ist konkret relevant: Im Hotel-WLAN ist es der Mechanismus, der die Verbindung trennt, wenn der Tunnel abbricht, statt den Traffic außerhalb des Tunnels zu leaken.

Ist der kostenlose 2-GB-Tarif so sicher wie Unlimited?

Für kostenlose Konten gilt dieselbe Datenschutzerklärung wie für kostenpflichtige. Der kostenlose Tarif begrenzt Sie auf 2 GB pro Monat, blendet die Länderauswahl aus und überlässt SplitBear, die Split-Tunneling-Funktion, den zahlenden Nutzern. Unlimited kostet 60,19 € pro Jahr oder 9,45 € monatlich, mit unbegrenzter Gerätezahl; die volle 30-tägige Erstattung gilt nur für ein Jahresabo im ersten Jahr, monatliche Tarife, Teams sowie Käufe über App Store oder Google Play sind davon ausgeschlossen.

FAQ zur Sicherheit von TunnelBear

Verkauft TunnelBear Daten über Ihre Online-Aktivitäten oder gibt es sie weiter?

Die Richtlinie nennt Dienstleister als einzige Empfänger und speichert keine Browsing-Aufzeichnungen, die weitergegeben werden könnten.

Können Sie TunnelBear bezahlen, ohne sich zu identifizieren?

Nicht wirklich. Der Bestellabschluss akzeptiert Bankkarten über Stripe oder Link, und der Abwickler kann Transaktionsdaten außerhalb Kanadas speichern. Keine Krypto- oder Bargeld-Option ist aufgeführt.

Kommt TunnelBear durch Netze, die VPNs blockieren?

Die GhostBear-Verschleierung ist das einzige Umgehungswerkzeug in den Daten, daher kann strenge DPI-Filterung dennoch gewinnen.

Ist TunnelBear sicher für Torrenting?

P2P-Server existieren, allerdings verbieten die Bedingungen die Verbreitung urheberrechtlich geschützten Materials.

Für wen ist TunnelBear sicher genug?

Wählen Sie TunnelBear, wenn Sie geprüfte Apps für öffentliches WLAN und Reisen wollen und damit einverstanden sind, über Ihr Konto identifiziert zu werden. Suchen Sie sich andernfalls ein anderes Angebot, vielleicht unter VPNs mit geprüfter No-Logs-Richtlinie, wenn Anonymität oder Zensurumgehung das Ziel sind: Die Umgehungswertung von 1,9 und der Bestellabschluss nur per Karte zeigen, wo es hakt.