Is Mullvad Veilig? Beveiliging, Privacy & Auditanalyse
Is Mullvad veilig? Onafhankelijke auditresultaten, versleutelingsprotocollen, jurisdictieanalyse, kill switch-tests en verificatie van het no-logsbeleid.
Meest veilige VPN's
Is Mullvad Veilig? Een Directe Beoordeling
Mullvad scoort 86/100 op onze vertrouwensindex. Het opereert onder Zweeds recht, rekent een vast tarief van €5/maand zonder accounts, en handhaaft een geverifieerd no-logsbeleid. Onafhankelijke audits door Cure53 en Assured AB bevestigden minimale kwetsbaarheden. Mullvad slaat geen verbindingslogs, verkeersgegevens of persoonlijk identificeerbare informatie op zijn 700+ servers in 50+ landen op.
Zweedse Jurisdictie en Juridische Gegevensverzoeken
Zweden maakt deel uit van de 14 Eyes-inlichtingenalliantie. Dat klinkt op het eerste gezicht alarmerend. In de praktijk vertelt het juridische kader een genuanceerder verhaal voor VPN-aanbieders.
De Zweedse wet verplicht VPN-bedrijven niet tot het bewaren van gebruikersgegevens. Mullvad heeft geen verplichte databewaarplicht op grond van de huidige Zweedse telecommunicatieregelgeving. Dit betekent dat autoriteiten verzoeken kunnen indienen, maar Mullvad heeft niets opgeslagen om over te dragen.
In april 2023 betraden Zweedse politieagenten fysiek het kantoor van Mullvad in Göteborg met een huiszoekingsbevel. Agenten waren van plan computers met klantgegevens in beslag te nemen. Medewerkers van Mullvad legden uit dat er geen klantgegevens op enige machine bestonden, en de politie vertrok met lege handen. Die echte test bewees dat het no-logsbeleid standhoudt onder juridische druk.
Geschiedenis van Onafhankelijke Audits
Mullvad heeft meerdere beveiligingsaudits door derden voltooid. Elke audit onderzocht verschillende onderdelen van de infrastructuur en clientapplicaties.
Cure53-audit (2020)
Cure53, een in Berlijn gevestigd penetratietestbedrijf, auditreerde de Mullvad VPN-apps in 2020. Het team identificeerde in totaal 7 kwetsbaarheden: 2 van gemiddeld ernstniveau en 5 van laag ernstniveau. Mullvad patchte alle 7 problemen voordat het volledige auditrapport openbaar op zijn website werd gepubliceerd.
Assured AB-audit (2023)
Assured AB voerde in 2023 een infrastructuuraudit uit van de servers en interne systemen van Mullvad. De beoordeling omvatte serverconfiguraties, versleutelingsimplementatie en gegevensverwerkingsprocedures. De resultaten bevestigden dat de infrastructuur van Mullvad overeenkwam met zijn publieke no-logsclaims. Er werden tijdens dit onderzoek geen kritieke kwetsbaarheden ontdekt.
Cure53 App-audit (2023)
Cure53 keerde in 2023 terug voor een tweede ronde, gericht op bijgewerkte app-code. Deze vervolgaudit vond minder problemen dan de audit van 2020. Mullvad pakte alle bevindingen aan en publiceerde opnieuw het volledige rapport voor openbare inzage.
Het publiceren van volledige auditrapporten is ongebruikelijk in de VPN-industrie. Mullvad redigeert bevindingen niet en kiest niet selectief gunstige resultaten uit. Die transparantie geeft aanzienlijk gewicht aan zijn beveiligingsclaims.
Logboekbeleid: Wat Mullvad Wel en Niet Opslaat
Gegevens Die Mullvad Niet Verzamelt
Mullvad logt geen verkeersgegevens, verbindingstijdstempels, sessieduur of IP-adressen. Het slaat geen DNS-query’s, bandbreedtegebruiksregistraties of VPN-servertowijzingen op. Accountactiviteit blijft volledig losgekoppeld van surfgedrag of verbindingsmetadata.
Gegevens Die Mullvad Wel Verwerkt
Mullvad verwerkt het totale aantal gelijktijdige verbindingen per account (begrensd op 5). Deze teller bestaat in realtime en wordt niet naar enige permanente opslag geschreven. Op het moment dat u de verbinding verbreekt, telt de teller terug. Er blijft geen historisch record bewaard.
Mullvad verwerkt ook kortetermijn geaggregeerde serverbelastingsgegevens voor prestatieoptimalisatie. Deze gegevens bevatten geen gebruikersidentificeerbare informatie en worden automatisch vernieuwd.
Het Accountsysteem
Mullvad genereert een willekeurig 16-cijferig accountnummer. Geen e-mail, geen naam, geen wachtwoord vereist. U kunt betalen met contant geld per post, Bitcoin of Monero. Dit ontwerp elimineert persoonlijk identificeerbare informatie volledig uit het aanmeldproces.
Versleutelingsstandaarden en Protocollen
Mullvad ondersteunt twee protocollen: WireGuard en OpenVPN. Beide implementaties gebruiken sterke, goed beoordeelde cryptografische standaarden.
WireGuard-implementatie
WireGuard gebruikt ChaCha20 voor symmetrische versleuteling, Curve25519 voor sleuteluitwisseling en BLAKE2s voor hashing. Mullvad gebruikt WireGuard standaard op alle platforms. Verbindingshandshakes zijn op de meeste netwerken binnen 100 milliseconden voltooid.
OpenVPN-implementatie
OpenVPN-verbindingen gebruiken AES-256-GCM voor versleuteling van het gegevenskanaal. Sleuteluitwisseling is afhankelijk van RSA-4096-certificaten met SHA-512-authenticatie. Mullvad configureert OpenVPN met tls-auth om fingerprinting en DDoS-aanvallen op de VPN-tunnel te voorkomen.
Kwantumbestendige Tunnels
Mullvad voegde in 2023 post-kwantumsleuteluitwisseling toe aan WireGuard-tunnels. Deze functie laagt Classic McEliece en Kyber-sleutelinkapseling bovenop standaard WireGuard-cryptografie. Mullvad was de eerste commerciële VPN die deze functie op desktopplatforms uitbracht.
Kill Switch en DNS-lekbescherming
Kill Switch-gedrag
De kill switch van Mullvad wordt standaard geactiveerd op alle platforms. Het blokkeert al het internetverkeer wanneer de VPN-tunnel onverwacht wegvalt. De implementatie werkt op firewallniveau, niet op applicatieniveau. Dit voorkomt lekken zelfs als de Mullvad-app volledig crasht.
Op Linux gebruikt Mullvad nftables-regels om verkeerblokkering af te dwingen. Op Windows wijzigt het het Windows Filtering Platform. Op macOS gebruikt het pakketfilterregels. Elke implementatie voorkomt tegelijkertijd zowel IPv4- als IPv6-lekken.
DNS-lekbescherming
Mullvad routeert alle DNS-query’s via zijn eigen versleutelde DNS-servers. De app blokkeert systeem-DNS-verzoeken die de tunnel proberen te omzeilen. Mullvad beheert DNS-servers op elke VPN-serverlocatie, waarbij query’s lokaal worden opgelost zonder doorsturen naar derden.
Gebruikers kunnen ook aangepaste DNS configureren binnen de app. Zelfs met aangepaste DNS reizen query’s nog steeds binnen de versleutelde tunnel. Onafhankelijke lektests laten consistent nul DNS-, WebRTC- of IPv6-lekken zien in alle Mullvad-clients.
Eerdere Beveiligingsincidenten
Politieinval (april 2023)
Zes agenten van de Zweedse nationale politie betraden het kantoor van Mullvad in Göteborg. Ze droegen een huiszoekingsbevel van de rechtbank dat klantinformatie zocht. De CEO van Mullvad legde uit dat het bedrijf geen klantgegevens opslaat. De politie nam geen apparatuur in beslag nadat het juridische team van Mullvad de toepasselijkheid van het bevel aanvecht.
Geen Bekende Datalekken
Vanaf de laatste auditcyclus heeft Mullvad nul datalekken gemeld. Er zijn geen gebruikersgegevens aangetroffen in uitgelekte databases. Er zijn geen credential stuffing-aanvallen van toepassing omdat Mullvad geen wachtwoorden of e-mailadressen gebruikt. Het 16-cijferige accountnummersysteem beperkt het aanvalsoppervlak aanzienlijk.
Kwetsbaarheidsmeldingen
Mullvad hanteert een actieve bug bounty-aanpak en publiceert beveiligingsadviezen op zijn blog. Alle kwetsbaarheden die tijdens audits werden gevonden, ontvingen binnen weken na ontdekking patches. Het bedrijf heeft geen zero-day-exploitatie van zijn productie-infrastructuur meegemaakt.
Unieke Beveiligingsfuncties
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad ontwikkelde DAITA om verkeersanalyse-aanvallen tegen te gaan. Deze functie vult pakketten op tot uniforme groottes en injecteert lokvalieverkeerspatronen. Het voorkomt dat tegenstanders kunnen identificeren welke websites gebruikers bezoeken op basis van verkeersvingerafdrukken.
Versleuteld DNS Over HTTPS (DoH)
Mullvad biedt een openbare DoH-service aan op dns.mullvad.net. Gebruikers kunnen DNS-query’s versleutelen zelfs zonder dat de VPN actief is. De service bevat optionele DNS-profielen voor het blokkeren van advertenties en trackers.
Schijfloze RAM-Only Servers
Mullvad beheert zijn gehele servervloot in RAM-only modus. Er bestaan geen harde schijven in de servers. Elke herstart wist alle gegevens volledig. Deze architectuur zorgt ervoor dat fysieke serverinbeslagname geen bruikbare informatie oplevert.
Multihop-routing
Gebruikers kunnen verkeer routeren via 2 afzonderlijke VPN-servers in verschillende landen. Dit voegt een tweede versleutelingslaag toe en scheidt het ingangspunt van het uitgangspunt. Multihop is rechtstreeks in de app configureerbaar zonder handmatige installatie.
De Conclusie over de Beveiliging van Mullvad
Mullvad verdient zijn vertrouwensscore van 86/100 door architectuur, niet door beloften. RAM-only servers, accountanonimiteit, gepubliceerde auditrapporten en een geverifieerde uitkomst van een politieinval onderscheiden het van de rest. Het vaste tarief van €5/maand zonder proefperiodes of kortingen weerspiegelt een bedrijf dat gericht is op dienstverlening in plaats van abonneeaantal. Voor gebruikers die verificatie van privacy boven het aantal functies stellen, blijft Mullvad een van de sterkste beschikbare opties op zijn 700+ servers in 50+ landen.
Veelgestelde Vragen
Is Mullvad eigenlijk veilig om te gebruiken?
Ja. Mullvad scoort 86/100 op onze vertrouwensindex, ondersteund door een geverifieerd no-logsbeleid, RAM-only servers die bij elke herstart wissen, en twee ronden van onafhankelijke audits. Cure53 onderzocht de apps in 2020 en opnieuw in 2023, terwijl Assured AB de infrastructuur in 2023 auditreerde. Beide onderzoeken vonden geen kritieke problemen, en Mullvad publiceerde de volledige rapporten publiekelijk.
Stelt de Zweedse jurisdictie van Mullvad gebruikersgegevens bloot, aangezien Zweden lid is van 14 Eyes?
Niet in de praktijk. De Zweedse wet stelt geen verplichte databewaarplicht op VPN-providers, dus Mullvad heeft niets om over te dragen zelfs als autoriteiten erom verzoeken. Dit hield stand in april 2023 toen Zweedse politieagenten het kantoor van Mullvad in Göteborg betraden met een huiszoekingsbevel op zoek naar klantgegevens en vertrokken zonder iets in beslag te nemen, omdat dergelijke gegevens niet bestonden.
Wat gebeurde er tijdens de politieraid van 2023 op Mullvad?
Zes agenten van de Zweedse Nationale Politie betraden in april 2023 het kantoor van Mullvad in Göteborg met een huiszoekingsbevel op zoek naar klantinformatie. De CEO van Mullvad legde uit dat het bedrijf geen klantgegevens bewaart door ontwerp. Politieagenten vertrokken zonder apparatuur of gegevens in beslag te nemen, een echte test van de no-logsclaim onder rechtstreekse juridische druk.
Wat vonden Cure53’s audits van 2020 en 2023 van Mullvad?
Cure53’s auditrapport van 2020 van de Mullvad-apps identificeerde 7 kwetsbaarheden: 2 van gemiddeld ernstniveau en 5 van laag ernstniveau, allemaal gepatcht voordat het rapport publiekelijk werd vrijgegeven. Cure53 keerde in 2023 terug om bijgewerkte app-code uit te stellen en vond minder problemen dan in de eerste ronde. Mullvad pakte elke bevinding aan en publiceerde beide volledige rapporten zonder redactie.
Wat omvatte de audit van Assured AB uit 2023?
Assured AB auditreerde in 2023 de serverinfrastructuur en interne systemen van Mullvad, waarbij serverconfiguraties, versleutelingsimplementatie en gegevensverwerkingsprocedures werden gecontroleerd. De beoordeling bevestigde dat de infrastructuur van Mullvad overeenkwam met zijn publieke no-logsclaims, zonder kritieke kwetsbaarheden ontdekt. Gecombineerd met twee Cure53-appaudits heeft Mullvad nu zowel zijn apps als zijn backend-infrastructuur onafhankelijk geverifieerd gekregen.
Hoe werkt het anonieme accountsysteem van Mullvad eigenlijk?
Mullvad genereert een willekeurig 16-cijferig accountnummer in plaats van een e-mail, naam of wachtwoord te vereisen. U kunt betalen met kaart, Bitcoin, Monero of contant geld per post. Dit ontwerp verwijdert persoonlijk identificeerbare informatie volledig uit het aanmeldproces, wat deel uitmaakt van waarom het no-logsbeleid standhield tijdens de politieraid van 2023 op het kantoor van Mullvad in Göteborg.
Welke versleuteling gebruikt Mullvad, en is deze kwantumbestendig?
Mullvad gebruikt standaard WireGuard, met ChaCha20 voor versleuteling, Curve25519 voor sleuteluitwisseling en BLAKE2s voor hashing. De OpenVPN-optie gebruikt AES-256-GCM met RSA-4096-certificaten. In 2023 voegde Mullvad post-kwantumsleuteluitwisseling toe door Classic McEliece en Kyber bovenop standaard WireGuard-cryptografie te stapelen, waardoor het de eerste commerciële VPN werd die dit op alle desktopplatforms lanceerde.
Welke informatie verzamelt Mullvad eigenlijk over mijn account?
Zeer weinig. Mullvad volgt alleen het aantal gelijktijdige verbindingen in realtime, begrensd op 5, dat daalt tot nul op het moment dat u zich afmeldt en nooit naar permanente opslag wordt geschreven. Het verwerkt ook kortetermijn geaggregeerde serverbelastingsgegevens zonder gebruikersidentificeerbare informatie. Verkeer, tijdstempels, DNS-query’s en IP-adressen worden nooit geregistreerd.
Blokkeert de kill switch van Mullvad betrouwbaar lekken als de verbinding verbreekt?
Ja. De kill switch van Mullvad werkt op firewallniveau in plaats van applicatieniveau, dus het blijft verkeer blokkeren zelfs als de app zelf crasht. Het gebruikt nftables op Linux, het Windows Filtering Platform op Windows en pakketfilterregels op macOS, waarbij zowel IPv4- als IPv6-lekken in alle implementaties worden voorkomen.
Biedt Mullvad een gratis proefperiode of terugbetaling als ik niet tevreden ben?
Nee, Mullvad werkt op basis van betaal-per-gebruik zonder gratis proefperiode. In plaats van een standaard terugbetalingsperiode, kunnen ongebruikte dagen op uw accountbalans worden terugbetaald als u besluit te stoppen. Dit verschilt van ProtonVPN en NordVPN, die beide betaalde abonnementen ondersteunen met een garantie van 30 dagen geld terug in plaats van een pro-gerateerd terugbetalingsmodel.
Hoeveel apparaten kan ik op één Mullvad-account uitvoeren?
Een enkel Mullvad-account dekt 5 gelijktijdige verbindingen, minder dan NordVPN’s 10 en binnen de 1-10 range die ProtonVPN aanbiedt, afhankelijk van de plantier. Mullvad heeft geen vereiste voor per-apparaataccount aangezien aanmelding alleen een 16-cijferig getal gebruikt, dus apparaten maken onafhankelijk verbinding zonder aan persoonlijke identiteit te koppelen.
Hoe vergelijkt de vaste prijsstelling van Mullvad met ProtonVPN en NordVPN?
Mullvad rekent een enkel vast tarief van €5/maand zonder kortingstiers voor langetermijn, in tegenstelling tot ProtonVPN (vanaf €2,49/maand op het langste abonnement) en NordVPN (vanaf €3,49/maand). Op prestaties rangschikt Mullvad #7 van 22 in onze Speed Lab, achter NordVPN op #1 maar voor ProtonVPN op #12.
Kan ik betrouwbaar toegang krijgen tot Netflix of Disney+ via Mullvad?
Inconsistent. Mullvad bouwt geen specifieke technologie om streaming geo-blokkering te omzeilen, dus grote platforms zoals Netflix, Disney+ en Prime Video worden vaak volledig geblokkeerd. Het ondersteunt BBC iPlayer, 9Now en Channel 4, met resultaten variërend per server. Als betrouwbare streamingondersteuning voor grote platforms het meest belangrijk is, is een provider met speciale streaming-infrastructuur een beter keuze.
Wat als Mullvad wordt geblokkeerd op een restrictief of gesloten netwerk?
Schakel over naar de obfuscatie- en QUIC-instellingen van Mullvad, speciaal gebouwd om VPN-verkeer te camoufleren en netwerkverkeersfiltering te omzeilen. Multihop-routing, dat verkeer via twee afzonderlijke servers in verschillende landen verzendt, kan ook helpen als een enkel exitpunt wordt gefilterd. Test deze instellingen voordat u op de verbinding vertrouwt in een restrictieve omgeving.