Är Mullvad säker? Säkerhet, integritet & revisionsanalys

Är Mullvad säker? En direkt bedömning

Mullvad får 76/100 i vårt förtroendeindex. Det verkar under svensk jurisdiktion, tar ut en fast avgift på €5/månad utan konton och publicerar en no-logs-policy. Externa granskningar av Cure53, Assured AB och andra hittade ingen loggning av kundaktivitet på de servrar de fick tillgång till, enligt Mullvads publicerade granskningssammanfattningar[1]. Mullvad säger att man inte lagrar några anslutningsloggar, trafikdata eller personligt identifierbar information på sina servrar.

Svensk jurisdiktion och juridiska datakrav

Sverige tillhör 14 Eyes-alliansen för underrättelsedelning. Det verkar oroande vid första anblicken. I praktiken berättar den juridiska ramen en mer nyanserad historia för VPN-leverantörer.

Mullvad säger att Sveriges lag om elektronisk kommunikation, som styr hur internetleverantörer måste logga trafik, inte gäller för VPN-tjänster[2], så svensk lag kräver inte att VPN-företag sparar användardata. Det innebär att myndigheter kan skicka förfrågningar, men Mullvad har inget lagrat att lämna ut.

Den 18 april 2023 besökte minst sex svenska poliser Mullvads kontor i Göteborg med en husrannsakan[3]. De avsåg att beslagta datorer som innehöll kunddata. Mullvad säger att de argumenterade för att poliserna inte hade någon anledning att förvänta sig att hitta några sådana uppgifter, demonstrerade hur tjänsten fungerar och att poliserna lämnade platsen utan att ta med sig något efter att ha konsulterat åklagaren. Detta är Mullvads egen redogörelse, men det är ett verkligt test av en no-logs-design under juridiskt tryck.

Oberoende revisions- och granskningshistorik

Mullvad har publicerat rapporter från flera externa säkerhetsfirmor. Var och en granskade olika delar av infrastrukturen eller apparna, och Mullvad beställde alla revisioner.

Cure53-infrastrukturgranskning (2020)

Cure53, ett penetrationstestföretag baserat i Berlin, granskade Mullvads infrastruktur i november och december 2020. Granskningen identifierade sex sårbarheter och sex övriga problem, med allvarlighetsgrader från informativa till höga, och kunde inte upptäcka några personligt identifierbara uppgifter kopplade till slutanvändare. Mullvad uppgav att man hade åtgärdat alla sårbarheter[4], och rapporten är offentlig på Cure53:s webbplats.

Assured AB-granskning av reläservrar (2022)

Assured AB granskade tre Mullvad-reläservrar (två WireGuard och en OpenVPN), avslutade i maj 2022, och skrev att konfigurationen är sund och inte visade några tecken på direkt kundinformation[5]. Granskningen identifierade 21 problem som bedömdes som låga till medelhöga, och inga som bedömdes som höga eller kritiska. Mullvads egen redogörelse säger att de granskade servrarna var nyinstallerade maskiner som inga kunder använde.

Radically Open Security-granskningen (2023)

Radically Open Security testade två RAM-only-servrar hos Mullvad, som avslutades i mitten av juni 2023, och skrev att den inte hittade någon loggning av användaraktivitetsdata[6]. Granskningen noterade också att administratörer med SSH-åtkomst tekniskt sett kan avlyssna trafik i produktions-VPN. Mullvad uppgav att de införde kommandologgning och undersökte att ta bort SSH.

Cure53-granskning av testserver (2024)

Cure53 granskade en OpenVPN-server och en WireGuard-server i staging-miljö mellan 3 och 14 juni 2024, och hittade två problem (ett lågt och ett medelallvarligt)[7]. Mullvad markerade båda som åtgärdade i produktion efter en genomgång. Cure53 beskrev säkerhetsläget för de granskade komponenterna som “very positive”.

X41 D-Sec-appgranskning (2024)

X41 D-Sec granskade Mullvad-apparna på alla plattformar som stöds mellan den 23 oktober och den 28 november 2024. Granskningen hittade sex sårbarheter (ingen kritisk, tre höga, två medelhöga, en låg)[8], och företaget bedömde att apparna har en hög säkerhetsnivå och verifierade Mullvads åtgärder.

Mullvad publicerar dessa rapporter, vilket är ovanligt i VPN-branschen. Varje granskning beställdes av Mullvad, täcker en specifik tidpunkt, och ingen granskade produktionsservrar, så rapporterna visar vad revisorer hittade på de maskiner de fick tillgång till, inte kontinuerlig verifiering.

Loggningspolicy: Vad Mullvad lagrar och inte lagrar

Data som Mullvad inte samlar

Mullvad loggar inte trafikdata, anslutningstidsstämplar, sessionslängd eller IP-adresser. Det lagrar inga DNS-frågor, bandbreddsanvändningsregister eller VPN-servertilldelningar. Kontoaktivitet förblir helt avskild från surfbeteende eller anslutningsmetadata.

Data som Mullvad bearbetar

Mullvad bearbetar det totala antalet samtidiga anslutningar per konto (begränsat till 5). Denna räknare finns i realtid och skrivs inte till någon permanent lagring. Det ögonblick du kopplar från, minskar denna räknare. Ingen historisk post finns kvar.

Mullvad behandlar också kortvarig aggregerad serverbelastningsdata för prestandaoptimering. Denna data innehåller noll användaridentifierbar information och roteras automatiskt.

Kontosystemet

Mullvad genererar ett slumpmässigt 16-siffrigt kontonummer. Ingen e-post, inget namn, inget lösenord krävs. Du kan betala med post skickad i ett kuvert, Bitcoin eller Monero. Denna design eliminerar personlig identifierbar information från registreringsprocessen helt.

Krypteringsstandarder och protokoll

Mullvad stöder två protokoll: WireGuard och OpenVPN. Båda implementeringarna använder starka, väl granskade kryptografiska standarder.

WireGuard-implementering

WireGuard använder ChaCha20 för symmetrisk kryptering, Curve25519 för nyckelutbyte och BLAKE2s för hashning. Mullvad använder WireGuard som standard på alla plattformar. Anslutningshandskaningar slutförs på under 100 millisekunder på de flesta nätverk.

OpenVPN-implementering

OpenVPN-anslutningar använder AES-256-GCM för datakanalskryptering. Nyckelutbyte förlitar sig på RSA-4096-certifikat med SHA-512-autentisering. Mullvad konfigurerar OpenVPN med tls-auth för att förhindra fingeravtryck och DDoS-attacker på VPN-tunneln.

Kvantresistenta tunnlar

Mullvad gjorde post-kvantnyckelutbyte tillgängligt i sin skrivbordsapp i april 2023[9], genom att lägga Classic McEliece- och Kyber-inkapsling ovanpå standardkryptering i WireGuard. I januari 2025 gjorde Mullvad kvantresistenta tunnlar till standard på skrivbord[10] och bytte från Kyber till NIST:s ML-KEM.

Kill Switch och DNS-läckageskydd

Kill Switch-beteende

Mullvads kill switch aktiveras som standard på alla plattformar. Det blockerar all internettrafik när VPN-tunneln tappar oväntat. Implementeringen fungerar på brandväggsnivå, inte på applikationsnivå. Detta förhindrar läckor även om Mullvad-appen kraschar helt.

På Linux använder Mullvad nftables-regler för att tillämpa trafikblockering. På Windows ändrar den Windows Filtering Platform. På macOS använder den paketfiltreringsregler. Varje implementering förhindrar både IPv4- och IPv6-läckor samtidigt.

DNS-läckageskydd

Mullvad dirigerar alla DNS-frågor genom sina egna krypterade DNS-servrar. Appen blockerar system-DNS-förfrågningar som försöker kringgå tunneln. Mullvad använder DNS-servrar på varje VPN-serverplats, löser frågor lokalt utan vidarebefordran till tredje parter.

Användare kan också konfigurera anpassad DNS i appen. Även med anpassad DNS reser frågor inne i den krypterade tunneln. Oberoende läckagetester visar konsekvent noll DNS-, WebRTC- eller IPv6-läckor över alla Mullvad-klienter.

Tidigare säkerhetshändelser

Polisräd (april 2023)

Minst sex tjänstemän från den nationella operativa avdelningen vid svenska polisen besökte Mullvads kontor i Göteborg med en husrannsakningsorder och sökte efter datorer med kunddata. Mullvad säger att företaget inte lagrar sådan data och hävdade att all beslagtagning skulle vara olaglig enligt svensk lag. Efter en demonstration och en konsultation med åklagaren lämnade tjänstemännen platsen utan att ta något med sig. I ett uppföljningsinlägg[11] står att Åklagarmyndigheten beskrev husrannsakningsordern som ett beslut fattat inom ramen för internationellt rättsligt samarbete med Tyskland.

Inga kända dataintrång

Vi har inte hittat något dataintrång som Mullvad rapporterat. Eftersom konton använder ett slumpmässigt 16-siffrigt nummer i stället för e-postadress och lösenord finns inga e-post- och lösenordspar som kan läcka eller användas i credential stuffing. Den konstruktionen begränsar angreppsytan, även om det inte kan uteslutas att ett intrång inträffar i framtiden.

Sårbarhetsrapporter

Mullvad tar emot sårbarhetsrapporter och publicerar granskningsresultat och åtgärder på sin blogg[1].

Unika säkerhetsfunktioner

DAITA (Defense Against AI-Guided Traffic Analysis)

Mullvad utvecklade DAITA för att motverka trafikanalysattacker. Denna funktion fyller paket till enhetliga storlekar och injicerar attrapptrafikmönster. Det förhindrar motståndare från att identifiera vilka webbplatser användare besöker baserat på trafikfingeravtryck.

Krypterad DNS över HTTPS (DoH)

Mullvad erbjuder en offentlig DoH-tjänst på dns.mullvad.net. Användare kan kryptera DNS-frågor även utan VPN-körning. Tjänsten inkluderar valfri annons- och spårningsblockering av DNS-profiler.

Diskfria RAM-only-servrar

Mullvad säger att de har slutfört sin migrering till RAM-only VPN-infrastruktur[12], så att deras VPN-servrar körs utan permanent lagring och en omstart rensar det som fanns i minnet. Mullvad har sagt att WireGuard-nycklar är undantaget: de behålls vid kontrollerade omstarter. Även så innehåller en beslagtagen server betydligt mindre än en server med disk skulle göra.

Multihop-routning

Användare kan dirigera trafik genom 2 separata VPN-servrar i olika länder. Detta lägger till ett andra krypteringslager och separerar ingångspunkten från utgångspunkten. Multihop är konfigurerbar direkt i appen utan manuell installation.

Slutsatsen om Mullvads säkerhet

Mullvad får sitt förtroendepoäng på 76/100 genom sin arkitektur, inte genom löften. Servrar som enbart körs i RAM, anonyma konton, publicerade granskningsrapporter och en no-logs-policy som Mullvad säger höll när polisen besökte bolaget skiljer det från konkurrenterna. Det fasta priset på €5/månad utan provperioder eller rabatter speglar ett företag som fokuserar på tjänsten snarare än på antalet abonnenter. För användare som prioriterar verifierbar integritet framför antalet funktioner är Mullvad fortfarande en av de starkaste alternativen i hela sitt servernät.

Referenser

1. Mullvad VPN. u.å. Mullvad VPN | Privacy is a universal right. https://mullvad.net/en/blog/tag/audits.Arkiverad: Wayback Machine-ögonblicksbild
2. Mullvad VPN. u.å. Why it's important where your VPN provider is based. https://mullvad.net/en/vpn/laws-that-matter.Arkiverad: Wayback Machine-ögonblicksbild
3. Mullvad VPN. 2023. Mullvad VPN was subject to a search warrant. Customer data not compromised. https://mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised.Arkiverad: Wayback Machine-ögonblicksbild
4. Mullvad VPN. 2021. No PII or privacy leaks found in Cure53's Infrastructure audit. https://mullvad.net/en/blog/no-pii-or-privacy-leaks-found-cure53s-infrastructure-audit.Arkiverad: Wayback Machine-ögonblicksbild
5. Mullvad VPN. 2022. VPN server audit found no information leakage or logging of customer data. https://mullvad.net/en/blog/vpn-server-audit-found-no-information-leakage-or-logging-of-customer-data.Arkiverad: Wayback Machine-ögonblicksbild
6. Mullvad VPN. 2023. Infrastructure audit completed by Radically Open Security. https://mullvad.net/en/blog/infrastructure-audit-completed-by-radically-open-security.Arkiverad: Wayback Machine-ögonblicksbild
7. Mullvad VPN. 2024. Fourth Infrastructure audit completed by Cure53. https://mullvad.net/en/blog/fourth-infrastructure-audit-completed-by-cure53.Arkiverad: Wayback Machine-ögonblicksbild
8. Mullvad VPN. 2024. The report for the 2024 security audit of the app is now available. https://mullvad.net/en/blog/the-report-for-the-2024-security-audit-of-the-app-is-now-available.Arkiverad: Wayback Machine-ögonblicksbild
9. Mullvad VPN. 2023. Stable Quantum-resistant tunnels in the app! https://mullvad.net/en/blog/stable-quantum-resistant-tunnels-in-the-app.Arkiverad: Wayback Machine-ögonblicksbild
10. Mullvad VPN. 2025. Quantum-resistant tunnels are now the default on desktop. https://mullvad.net/en/blog/quantum-resistant-tunnels-are-now-the-default-on-desktop.Arkiverad: Wayback Machine-ögonblicksbild
11. Mullvad VPN. 2023. Update: The Swedish authorities answered our protocol request. https://mullvad.net/en/blog/update-the-swedish-authorities-answered-our-protocol-request.Arkiverad: Wayback Machine-ögonblicksbild
12. Mullvad VPN. 2023. We have successfully completed our migration to RAM-only VPN infrastructure. https://mullvad.net/en/blog/we-have-successfully-completed-our-migration-to-ram-only-vpn-infrastructure.Arkiverad: Wayback Machine-ögonblicksbild

Resurser för den här sidan

Diagram och referensbilder från vår forskning, fria att visa och dela.

• 

• Mullvads säkerhetPDF · 0.7 MB

Vanliga frågor

AllaSäkerhet och integritetHur det fungerarPrissättning

Är Mullvad verkligen säkert att använda?

Ja. Mullvad får 76/100 på vårt förtroendeindex, med stöd från en publicerad no-logs-policy, RAM-endast-servrar som raderas vid varje omstart och flera externa granskningar. Cure53 granskade infrastrukturen 2020 och en stagingserver 2024, Assured AB granskade relä-servrar 2022, och X41 D-Sec granskade apparna 2024. Ingen granskade produktionsservrar, och Mullvad publicerade rapporterna.

Exponerar Mullvads svenska jurisdiktion användardata eftersom Sverige är medlem i 14 Eyes?

Inte i praktiken. Mullvad säger att svensk lag inte kräver att VPN-leverantörer loggar trafik, så företaget har inget att lämna ut även om myndigheter begär det. I april 2023 besökte svensk polis Mullvads kontor i Göteborg med en husrannsakan i syfte att få tag i kunduppgifter, och enligt Mullvad lämnade de utan att ta något eftersom inga sådana uppgifter fanns.

Vad hände under den svenska polisrazzian mot Mullvad 2023?

Den 18 april 2023 besökte minst sex poliser från svenska polisen Mullvads kontor i Göteborg med en husrannsakan för att beslagta datorer med kunddata. Mullvad uppger att företaget av konstruktionsskäl inte sparar några kunddata, och poliserna lämnade platsen utan att ta med sig något, varken datorer eller några kunduppgifter. Det är Mullvads egen beskrivning av ett verkligt test av påståendet om att man inte för loggar, under juridiskt tryck.

Vad fann Cure53:s granskningar av Mullvad?

Cure53:s infrastrukturgranskning från 2020 identifierade sex sårbarheter och sex övriga problem, vardera med allvarlighetsgrad från informativ till hög, och kunde inte upptäcka några personligt identifierbara uppgifter kopplade till slutanvändare. Mullvad säger att alla fynd har åtgärdats. Cure53:s granskning i juni 2024 av två staging-servrar fann två problem (ett lågt, ett medel) och inget sätt att komprometera användartrafikens anonymitet eller integritet. Ingen av granskningarna undersökte produktionsservrar.

Vad täckte Assured AB-revisionen?

Assured AB reviserade tre Mullvad-relä-servrar (två WireGuard, en OpenVPN) från april till maj 2022 och skrev att konfigurationen är solid och visade inga tecken på direkt kundinformation. Servrarna var nyetablerade för revisionen, så resultatet täcker inte produktionsflottan. Tillsammans med Cure53 och Radically Open Security-revisionerna av servrar och X41 D-Sec-revisionen av apparna har Mullvad publicerat externa granskningar av både sina appar och sin serverinstallation.

Hur fungerar Mullvads anonyma kontosystem faktiskt?

Mullvad genererar ett slumpmässigt 16-siffrigt kontonummer istället för att kräva e-post, namn eller lösenord. Du kan betala med kort, Bitcoin, Monero eller kontanter skickade i ett kuvert. Denna design tar bort personligt identifierbar information från registreringen helt, vilket är del av varför dess no-logs-policy höll under 2023 polisräden på dess Göteborgkontor.

Vilken kryptering använder Mullvad, och är den kvantresistent?

Mullvad använder WireGuard som standard med ChaCha20 för kryptering, Curve25519 för nyckelutbyte och BLAKE2s för hashning. Dess OpenVPN-alternativ använder AES-256-GCM med RSA-4096-certifikat. 2023 lade Mullvad till post-quantum nyckelutbyte som lager Classic McEliece och Kyber ovanpå standard WireGuard, vilket gör det till den första kommersiella VPN som levererade detta över skrivbordsplattformar.

Vilken information samlar Mullvad faktiskt om mitt konto?

Väldigt lite. Mullvad spårar endast antalet samtidiga anslutningar i realtid, begränsat till 5, som minskar till noll det ögonblick du kopplar från och aldrig skrivs till permanent lagring. Det bearbetar också kortvarig aggregerad serverbelastningsdata utan användaridentifierbar information. Trafik, tidsstämplar, DNS-frågor och IP-adresser loggas aldrig.

Blockerar Mullvads kill switch på ett tillförlitligt sätt läckor om anslutningen tappar?

Ja. Mullvads kill switch körs på brandväggsnivå snarare än applikationsnivå, så det fortsätter att blockera trafik även om appen själv kraschar. Det använder nftables på Linux, Windows Filtering Platform på Windows och paketfilterregler på macOS, vilket förhindrar både IPv4- och IPv6-läckor över all implementering.

Erbjuder Mullvad en kostnadsfri provperiod eller återbetalning om jag är missnöjd?

Nej, Mullvad har löpande betalning utan kostnadsfri provperiod. Istället för ett standardåterbetalningsfönster kan oanvända dagar på ditt kontosaldo återbetalas om du bestämmer dig för att sluta. Detta skiljer sig från ProtonVPN och NordVPN, som båda stöder betalda planer med en 30-dagars pengarna-tillbaka-garanti snarare än en proportionerad återbetalningsmodell.

Hur många enheter kan jag köra på ett Mullvad-konto?

Ett enskilt Mullvad-konto täcker 5 samtidiga anslutningar, mindre än NordVPNs 10 och inom 1-10-intervallet som ProtonVPN erbjuder beroende på plantierning. Mullvad har ingen per-enhet-kontokrav eftersom registreringen endast använder ett 16-siffrigt nummer, så enheter ansluter oberoende utan länk till personlig identitet.

Hur jämför Mullvads plana prissättning med ProtonVPN och NordVPN?

Mullvad tar ut en enkel fast taxa från $5.50/månad utan rabattavsnitt på lång sikt, till skillnad från ProtonVPN (från $3.49/månad på sin längsta plan) och NordVPN (från $3.09/månad). På prestanda rankas Mullvad #11 av 22 på vårt förtroendebetygssystem, bakom NordVPN på #1 men före ProtonVPN på #5.

Kan jag få tillgång till Netflix eller Disney+ på ett tillförlitligt sätt genom Mullvad?

Inkonsekvent. Mullvad bygger inte dedikerad teknik för att komma förbi streaming geo-blockeringar, så större plattformar som Netflix, Disney+ och Prime Video är ofta blockerade helt. Det stöder BBC iPlayer, 9Now och Channel 4, med resultaten varierande efter server. Om pålitlig streaming av större plattformar är viktigast kan en leverantör med dedikerad streaming-infrastruktur passa bättre.

Vad gör jag om Mullvad blir blockerat på ett restriktivt eller brandväggat nätverk?

Byt till Mullvads obfuskations- och QUIC-inställningar, byggda specifikt för att dölja VPN-trafik och komma förbi nätverksnivå-blockering. Multihop-routning, som skickar trafik genom två separata servrar i olika länder, kan också hjälpa om en enskild utgångspunkt filtreras. Testa dessa inställningar innan du förlitar dig på anslutningen i en restriktiv miljö.