Ist Mullvad sicher? Sicherheit, Datenschutz & Audit-Analyse
Ist Mullvad sicher? Ergebnisse unabhängiger Audits, Verschlüsselungsprotokolle, Jurisdiktionsanalyse, Kill-Switch-Tests und Überprüfung der No-Logs-Richtlinie.
Sicherste VPNs
Ist Mullvad sicher? Eine direkte Bewertung
Mullvad erreicht 86/100 auf unserem Vertrauensindex. Das Unternehmen operiert unter schwedischer Jurisdiktion, verlangt einen pauschalen Betrag von 5 €/Monat ohne Konten und setzt eine verifizierte No-Logs-Richtlinie durch. Unabhängige Audits von Cure53 und Assured AB bestätigten minimale Schwachstellen. Mullvad speichert keinerlei Verbindungsprotokolle, Datenverkehrsdaten oder personenbezogene Informationen auf seinen über 700 Servern in mehr als 50 Ländern.
Schwedische Jurisdiktion und rechtliche Datenanfragen
Schweden gehört dem 14-Augen-Geheimdienstbündnis an. Das klingt auf den ersten Blick beunruhigend. In der Praxis zeichnet der Rechtsrahmen ein differenzierteres Bild für VPN-Anbieter.
Das schwedische Recht verpflichtet VPN-Unternehmen nicht zur Speicherung von Nutzerdaten. Mullvad unterliegt nach den aktuellen schwedischen Telekommunikationsvorschriften keiner obligatorischen Datenspeicherungspflicht. Das bedeutet, dass Behörden zwar Anfragen stellen können, Mullvad jedoch nichts gespeichert hat, was es herausgeben könnte.
Im April 2023 betraten schwedische Polizisten Mullvads Büro in Göteborg mit einem Durchsuchungsbefehl. Die Beamten beabsichtigten, Computer mit Kundendaten zu beschlagnahmen. Mullvad-Mitarbeiter erklärten, dass auf keinem Gerät Kundendaten vorhanden seien, und die Polizei verließ das Büro mit leeren Händen. Dieser reale Test bewies, dass die No-Logs-Richtlinie auch unter rechtlichem Druck standhält.
Geschichte der unabhängigen Audits
Mullvad hat mehrere Sicherheitsaudits durch Dritte abgeschlossen. Jedes Audit untersuchte verschiedene Teile der Infrastruktur und der Client-Anwendungen.
Cure53-Audit (2020)
Cure53, ein in Berlin ansässiges Penetrationstesting-Unternehmen, prüfte die Mullvad-VPN-Apps im Jahr 2020. Das Team identifizierte insgesamt 7 Schwachstellen: 2 mit mittlerem Schweregrad und 5 mit niedrigem Schweregrad. Mullvad behob alle 7 Probleme, bevor der vollständige Auditbericht öffentlich auf der Website veröffentlicht wurde.
Assured AB Audit (2023)
Assured AB führte 2023 ein Infrastrukturaudit der Server und internen Systeme von Mullvad durch. Die Bewertung umfasste Serverkonfigurationen, die Implementierung der Verschlüsselung und Datenverarbeitungsverfahren. Die Ergebnisse bestätigten, dass Mullvads Infrastruktur den öffentlich kommunizierten No-Logs-Aussagen entsprach. Während dieser Prüfung wurden keine kritischen Schwachstellen entdeckt.
Cure53 App-Audit (2023)
Cure53 kehrte 2023 für eine zweite Prüfrunde zurück, diesmal mit Fokus auf den aktualisierten App-Code. Diese Folgeprüfung fand weniger Probleme als das Audit von 2020. Mullvad behob alle Feststellungen und veröffentlichte erneut den vollständigen Bericht zur öffentlichen Einsicht.
Die Veröffentlichung vollständiger Auditberichte ist in der VPN-Branche unüblich. Mullvad schwärzt keine Ergebnisse und wählt keine günstigen Resultate aus. Diese Transparenz verleiht seinen Sicherheitsaussagen erhebliches Gewicht.
Protokollierungsrichtlinie: Was Mullvad speichert und was nicht
Daten, die Mullvad nicht erhebt
Mullvad protokolliert keine Datenverkehrsdaten, Verbindungszeitstempel, Sitzungsdauern oder IP-Adressen. Es werden keine DNS-Anfragen, Bandbreitennutzungsaufzeichnungen oder VPN-Serverzuweisungen gespeichert. Die Kontoaktivität bleibt vollständig von Surfverhalten oder Verbindungsmetadaten getrennt.
Daten, die Mullvad verarbeitet
Mullvad verarbeitet die Gesamtzahl der gleichzeitigen Verbindungen pro Konto (begrenzt auf 5). Dieser Zähler existiert in Echtzeit und wird nicht in einem dauerhaften Speicher gesichert. In dem Moment, in dem Sie die Verbindung trennen, wird dieser Zähler dekrementiert. Es bleiben keine historischen Aufzeichnungen erhalten.
Mullvad verarbeitet außerdem kurzfristige aggregierte Serverlastdaten zur Leistungsoptimierung. Diese Daten enthalten keinerlei benutzeridentifizierbare Informationen und werden automatisch rotiert.
Das Kontosystem
Mullvad generiert eine zufällige 16-stellige Kontonummer. Keine E-Mail, kein Name, kein Passwort erforderlich. Sie können mit per Post versandtem Bargeld, Bitcoin oder Monero bezahlen. Dieses Design eliminiert personenbezogene Daten vollständig aus dem Registrierungsprozess.
Verschlüsselungsstandards und Protokolle
Mullvad unterstützt zwei Protokolle: WireGuard und OpenVPN. Beide Implementierungen verwenden starke, gut geprüfte kryptografische Standards.
WireGuard-Implementierung
WireGuard verwendet ChaCha20 für die symmetrische Verschlüsselung, Curve25519 für den Schlüsselaustausch und BLAKE2s für das Hashing. Mullvad setzt standardmäßig WireGuard auf allen Plattformen ein. Verbindungs-Handshakes werden auf den meisten Netzwerken in unter 100 Millisekunden abgeschlossen.
OpenVPN-Implementierung
OpenVPN-Verbindungen verwenden AES-256-GCM für die Datenkanalverschlüsselung. Der Schlüsselaustausch basiert auf RSA-4096-Zertifikaten mit SHA-512-Authentifizierung. Mullvad konfiguriert OpenVPN mit tls-auth, um Fingerprinting und DDoS-Angriffe auf den VPN-Tunnel zu verhindern.
Quantenresistente Tunnel
Mullvad ergänzte WireGuard-Tunnel 2023 um einen post-quanten Schlüsselaustausch. Diese Funktion schichtet Classic McEliece und Kyber-Schlüsselkapselung über die Standard-WireGuard-Kryptografie. Mullvad war der erste kommerzielle VPN-Anbieter, der diese Funktion auf Desktop-Plattformen auslieferte.
Kill Switch und DNS-Leckschutz
Kill-Switch-Verhalten
Mullvads Kill Switch ist standardmäßig auf allen Plattformen aktiviert. Er blockiert den gesamten Internetverkehr, wenn der VPN-Tunnel unerwartet abbricht. Die Implementierung arbeitet auf Firewall-Ebene, nicht auf Anwendungsebene. Dies verhindert Lecks, selbst wenn die Mullvad-App vollständig abstürzt.
Unter Linux verwendet Mullvad nftables-Regeln, um die Datenverkehrsblockierung durchzusetzen. Unter Windows wird die Windows Filtering Platform modifiziert. Unter macOS werden Paketfilterregeln eingesetzt. Jede Implementierung verhindert gleichzeitig sowohl IPv4- als auch IPv6-Lecks.
DNS-Leckschutz
Mullvad leitet alle DNS-Anfragen über seine eigenen verschlüsselten DNS-Server weiter. Die App blockiert System-DNS-Anfragen, die versuchen, den Tunnel zu umgehen. Mullvad betreibt DNS-Server an jedem VPN-Serverstandort und löst Anfragen lokal auf, ohne sie an Dritte weiterzuleiten.
Benutzer können auch benutzerdefiniertes DNS innerhalb der App konfigurieren. Selbst bei benutzerdefiniertem DNS verlaufen Anfragen weiterhin durch den verschlüsselten Tunnel. Unabhängige Lecktests zeigen durchgängig null DNS-, WebRTC- oder IPv6-Lecks bei allen Mullvad-Clients.
Vergangene Sicherheitsvorfälle
Polizeirazzia (April 2023)
Sechs Beamte der schwedischen Nationalpolizei betraten Mullvads Büro in Göteborg. Sie trugen einen Durchsuchungsbefehl eines Bezirksgerichts, der auf Kundeninformationen abzielte. Mullvads CEO erklärte, dass das Unternehmen keine Kundendaten speichert. Die Polizei beschlagnahmte keine Geräte und verließ das Büro, nachdem Mullvads Rechtsteam die Anwendbarkeit des Durchsuchungsbefehls angefochten hatte.
Keine bekannten Datenpannen
Zum Zeitpunkt des letzten Auditszyklus hat Mullvad keine Datenpannen gemeldet. Keine Nutzerdaten sind in geleakten Datenbanken aufgetaucht. Credential-Stuffing-Angriffe greifen nicht, da Mullvad weder Passwörter noch E-Mail-Adressen verwendet. Das 16-stellige Kontonummern-System reduziert die Angriffsfläche erheblich.
Offenlegung von Schwachstellen
Mullvad verfolgt einen aktiven Bug-Bounty-Ansatz und veröffentlicht Sicherheitshinweise in seinem Blog. Alle während der Audits gefundenen Schwachstellen wurden innerhalb von Wochen nach ihrer Entdeckung behoben. Das Unternehmen hat keine Zero-Day-Ausnutzung seiner Produktionsinfrastruktur erlebt.
Einzigartige Sicherheitsfunktionen
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad entwickelte DAITA zur Abwehr von Datenverkehrsanalyse-Angriffen. Diese Funktion füllt Pakete auf einheitliche Größen auf und injiziert Köder-Verkehrsmuster. Sie verhindert, dass Angreifer anhand von Datenverkehrs-Fingerabdrücken erkennen, welche Websites Nutzer besuchen.
Verschlüsseltes DNS über HTTPS (DoH)
Mullvad bietet einen öffentlichen DoH-Dienst unter dns.mullvad.net an. Benutzer können DNS-Anfragen auch ohne aktives VPN verschlüsseln. Der Dienst umfasst optionale DNS-Profile zur Blockierung von Werbung und Trackern.
Festplattenlose RAM-Only-Server
Mullvad betreibt seinen gesamten Serverpark im RAM-Only-Modus. In den Servern befinden sich keine Festplatten. Jeder Neustart löscht alle Daten vollständig. Diese Architektur stellt sicher, dass physische Server-Beschlagnahmungen keinerlei verwertbare Informationen liefern.
Multihop-Routing
Benutzer können ihren Datenverkehr über 2 separate VPN-Server in verschiedenen Ländern leiten. Dies fügt eine zweite Verschlüsselungsschicht hinzu und trennt den Einstiegspunkt vom Ausstiegspunkt. Multihop ist direkt in der App konfigurierbar, ohne manuelle Einrichtung.
Das Fazit zur Sicherheit von Mullvad
Mullvad verdient seinen Vertrauensscore von 86/100 durch Architektur, nicht durch Versprechen. RAM-Only-Server, Kontoanonymität, veröffentlichte Auditberichte und das verifizierte Ergebnis einer Poliziedurchsuchung heben es von der Konkurrenz ab. Der pauschale Preis von 5 €/Monat ohne Testversionen oder Rabatte spiegelt ein Unternehmen wider, das sich auf den Dienst und nicht auf die Abonnentenzahl konzentriert. Für Benutzer, die der Datenschutzverifizierung Vorrang vor der Anzahl der Funktionen einräumen, bleibt Mullvad mit seinen über 700 Servern in mehr als 50 Ländern eine der stärksten verfügbaren Optionen.
Häufig gestellte Fragen
Ist Mullvad wirklich sicher zu verwenden?
Ja. Mullvad erreicht 86/100 auf unserem Vertrauensindex, unterstützt durch eine verifizierte No-Logs-Richtlinie, RAM-Only-Server, die bei jedem Neustart gelöscht werden, und zwei Runden unabhängiger Audits. Cure53 prüfte die Apps 2020 und erneut 2023, während Assured AB die Infrastruktur 2023 auditierte. Beide Audits fanden keine kritischen Probleme, und Mullvad veröffentlichte die vollständigen Berichte öffentlich.
Gefährdet Mullvads schwedische Jurisdiktion Nutzerdaten, da Schweden ein 14-Augen-Mitglied ist?
Nicht in der Praxis. Das schwedische Recht schreibt VPN-Providern keine obligatorische Datenspeicherung vor, daher hat Mullvad nichts zu übergeben, selbst wenn Behörden es verlangen. Dies wurde im April 2023 bestätigt, als schwedische Polizisten Mullvads Göteborg-Büro mit einem Durchsuchungsbefehl zur Beschlagnahme von Kundendaten betraten und ohne Beschlagnahmen gingen, da keine solchen Daten existierten.
Was geschah während der schwedischen Polizeirazzia 2023 bei Mullvad?
Im April 2023 betraten sechs Beamte der schwedischen Nationalpolizei Mullvads Göteborg-Büro mit einem Bezirksgerichtsbeschluss zur Beschlagnahme von Kundeninformationen. Mullvads CEO erklärte, dass das Unternehmen absichtlich keine Kundendaten speichert. Die Polizei verließ ohne Beschlagnahmen, ein realer Test der No-Logs-Behauptung unter direktem rechtlichem Druck.
Was fanden die Cure53-Audits 2020 und 2023 von Mullvad?
Das Cure53-Audit 2020 der Mullvad-Apps identifizierte 7 Schwachstellen: 2 mit mittlerem Schweregrad und 5 mit niedrigem Schweregrad, alle vor Veröffentlichung behoben. Cure53 kehrte 2023 zur Prüfung des aktualisierten App-Codes zurück und fand weniger Probleme als in der ersten Runde. Mullvad behob alle Feststellungen und veröffentlichte beide vollständigen Berichte ohne Schwärzungen.
Was deckte das 2023er Assured AB Audit ab?
Assured AB prüfte 2023 Mullvads Server-Infrastruktur und interne Systeme und überprüfte Serverkonfigurationen, Verschlüsselungsimplementierung und Datenverarbeitungsvorgänge. Die Bewertung bestätigte, dass Mullvads Infrastruktur seinen öffentlichen No-Logs-Behauptungen entsprach, ohne kritische Schwachstellen. Kombiniert mit zwei Cure53-App-Audits hat Mullvad nun sowohl seine Apps als auch die Backend-Infrastruktur unabhängig verifiziert.
Wie funktioniert Mullvads anonymes Kontosystem wirklich?
Mullvad generiert eine zufällige 16-stellige Kontonummer statt E-Mail, Name oder Passwort zu verlangen. Sie können per Karte, Bitcoin, Monero oder per Post verschicktem Bargeld bezahlen. Dieses Design entfernt personenbezogene Informationen aus dem Anmeldeprozess vollständig, was Teil des Grundes ist, warum seine No-Logs-Richtlinie die 2023er Polizeirazzia auf sein Göteborg-Büro überstanden hat.
Welche Verschlüsselung nutzt Mullvad und ist sie quantenresistent?
Mullvad setzt standardmäßig auf WireGuard und nutzt ChaCha20 für Verschlüsselung, Curve25519 für Schlüsselaustausch und BLAKE2s für Hashing. Die OpenVPN-Option verwendet AES-256-GCM mit RSA-4096-Zertifikaten. 2023 fügte Mullvad einen Post-Quantum-Schlüsselaustausch hinzu, der Classic McEliece und Kyber über Standard-WireGuard-Kryptografie schichtet, als erster kommerzieller VPN mit dieser Funktion auf Desktop-Plattformen.
Welche Informationen erfasst Mullvad wirklich über mein Konto?
Sehr wenig. Mullvad verfolgt nur die Anzahl der gleichzeitigen Verbindungen in Echtzeit, begrenzt auf 5, die auf Null dekrementiert, sobald Sie die Verbindung trennen, und wird niemals in dauerhaftem Speicher geschrieben. Es verarbeitet auch kurzfristige aggregierte Serverlastdaten ohne benutzeridentifizierbare Informationen. Verkehr, Zeitstempel, DNS-Anfragen und IP-Adressen werden nie protokolliert.
Blockiert Mullvads Kill Switch zuverlässig Lecks, wenn die Verbindung abbricht?
Ja. Mullvads Kill Switch läuft auf Firewall-Ebene statt auf Anwendungsebene, sodass er den Verkehr blockiert, selbst wenn die App abstürzt. Er nutzt nftables auf Linux, die Windows Filtering Platform auf Windows und Paketfilterregeln auf macOS, wobei jede Implementierung IPv4- und IPv6-Lecks gleichzeitig verhindert.
Bietet Mullvad eine kostenlose Testversion oder Rückerstattung, wenn ich nicht zufrieden bin?
Nein, Mullvad läuft nach dem Pay-as-you-go-Modell ohne kostenlose Testphase. Statt eines standardmäßigen Rückgabefensters werden nicht genutzte Tage auf Ihrem Kontoguthaben erstattet, wenn Sie stoppen möchten. Dies unterscheidet sich von ProtonVPN und NordVPN, die beide bezahlte Pläne mit 30-Tage-Geld-zurück-Garantie statt eines anteilig gestaffelten Rückerstattungsmodells bieten.
Wie viele Geräte kann ich mit einem Mullvad-Konto betreiben?
Ein einzelnes Mullvad-Konto deckt 5 gleichzeitige Verbindungen, weniger als NordVPNs 10 und im Bereich 1–10, den ProtonVPN je nach Plan-Stufe anbietet. Mullvad hat keine Pro-Gerät-Kontenanforderung, da die Anmeldung nur eine 16-stellige Nummer nutzt, sodass sich Geräte unabhängig ohne Verknüpfung mit persönlicher Identität verbinden.
Wie vergleicht sich Mullvads pauschales Preismodell mit ProtonVPN und NordVPN?
Mullvad verlangt einen einheitlichen Preis von 5,50 $/Monat ohne Langzeitrabatt-Stufen, anders als ProtonVPN (ab 2,49 $/Monat beim längsten Plan) und NordVPN (ab 3,49 $/Monat). Bei der Leistung rangiert Mullvad #7 von 22 in unserem Speed Lab, hinter NordVPN auf #1, aber vor ProtonVPN auf #12.
Kann ich Netflix oder Disney+ über Mullvad zuverlässig nutzen?
Inkonsistent. Mullvad hat keine dedizierte Technologie, um Streaming-Geo-Blöcke zu umgehen, daher sind große Plattformen wie Netflix, Disney+ und Prime Video oft komplett gesperrt. Es unterstützt BBC iPlayer, 9Now und Channel 4, wobei die Ergebnisse nach Server variieren. Falls zuverlässiges Major-Platform-Streaming wichtig ist, passt ein Provider mit dedizierter Streaming-Infrastruktur besser.
Was tun, wenn Mullvad auf einem restriktiven oder gefeuerten Netzwerk blockiert wird?
Wechseln Sie zu Mullvads Verschleierung und QUIC-Einstellungen, speziell entwickelt, um VPN-Verkehr zu verbergen und Netzwerk-Blockades zu überwinden. Multihop-Routing, das Verkehr durch zwei separate Server in verschiedenen Ländern sendet, kann auch helfen, wenn ein einzelner Exit-Point gefiltert wird. Testen Sie diese Einstellungen, bevor Sie sich in einer restriktiven Umgebung darauf verlassen.