Beste VPN für technikaffine Nutzer 2026: ProtonVPN vs Mullvad vs IVPN Benchmark

Inhaltsverzeichnis

• Warum die meisten "beste VPN"-Listen nutzlos sind
• Echte Bewertungskriterien
• ProtonVPN im Detail
• Mullvad im Detail
• IVPN im Detail
• Vergleichsmatrix: 12 Kriterien
• Empfehlungen nach Bedrohungsprofil

Warum die meisten "beste VPN"-Listen nutzlos sind

Die meisten VPN-Vergleichsartikel sind als Affiliate-Inventar strukturiert, nicht als Analyse. Die Methodik ist umgekehrt: zuerst wird die höchste Provisionsrate ausgehandelt. Dann wird ein Bewertungsschema erstellt, das zufällig das gewünschte Ranking ergibt. Das Ergebnis ist, dass Dienste, die 40 % wiederkehrende Provisionen zahlen, als "Editor's Choice" erscheinen, während technisch überlegene Anbieter ohne Affiliate-Programm begraben oder ignoriert werden.

Drei strukturelle Fehler erklären dies:

Provisionsgetriebene Auswahl. Das Universum der getesteten Anbieter wird gefiltert, bevor ein Kriterium angewendet wird. Dienste, die keine Affiliate-Programme betreiben — oder Provisionen begrenzen — erscheinen selten. IVPN betreibt zum Beispiel überhaupt kein Affiliate-Programm. Es erscheint fast nie in Mainstream-Rankings, obwohl es unabhängige Audits besteht.

Eitelkeitsmetriken. Geschwindigkeit in Mbps ist leicht zu messen und füllt Vergleichstabellen. Sie ist jedoch für Datenschutzzwecke nahezu irrelevant. Eine 500-Mbps-Verbindung ist in der Praxis für jeden Anwendungsfall außer 8K-Streaming nicht von 900 Mbps zu unterscheiden, und selbst dann ist der Engpass Ihr ISP, nicht das VPN. Die wichtigen Metriken — Audit-Umfang, Log-Architektur, Zahlungsanonymität — erfordern Fachwissen zur Bewertung.

Aktualitätstheater. Ein "2026 aktualisiert"-Abzeichen auf einem Artikel bedeutet nicht, dass sich die zugrunde liegenden Daten geändert haben. Die meisten dieser Updates sind SEO-Auffrischungen, die das Veröffentlichungsdatum ändern und Abschnitte neu ordnen, während die gleichen vier Anbieter an den gleichen vier Stellen bleiben.

Dieser Artikel behandelt drei Anbieter: ProtonVPN, Mullvad und IVPN. Keine Sponsoren, keine Affiliate-Beziehung zu einem von ihnen. Die Methodik ist reproduzierbar.

Echte Bewertungskriterien

Die Auswahl einer datenschutzrelevanten VPN kommt auf acht harte Kriterien an. Alles andere ist zweitrangig.

1. No-Log-Audit — Umfang und Aktualität. Wer hat es durchgeführt? Wann? Auf welche Infrastruktur hatten sie Zugriff? Ein Cure53-Audit des mobilen Client-Codebases ist nicht dasselbe wie ein vollständiges Infrastruktur-Audit einschließlich RAM-only-Server-Verifizierung. Achten Sie auf den Firmennamen, das Datum, die URL des Berichts und die Umfangserklärung.

2. Gerichtsbarkeit. Wo ist die betreibende Einheit eingetragen? Hat sie eine Muttergesellschaft in einer anderen Gerichtsbarkeit? Schweizer Recht, schwedisches Recht und Gibraltar-Recht unterscheiden sich in relevanten Punkten vom US/UK-Recht. Überprüfen Sie die Unternehmensstruktur, nicht nur die Marketingtexte.

3. Anonyme Zahlungsmöglichkeiten. Kreditkarte = Identität. Bitcoin über Bitpay = nahezu Identität (Bitpay KYCt Benutzer). Bitcoin über direkte On-Chain = pseudonym. Monero (XMR) = nicht verknüpfbar. Bargeld per Post = physisch anonym. Entsprechend bewerten.

4. Multi-Hop-Verfügbarkeit. Wird Multi-Hop zwischen verschiedenen Servern in verschiedenen Gerichtsbarkeiten unterstützt? Wie hoch ist der Overhead? Können Sie Server über verschiedene Rechtseinheiten hinweg verketten?

5. Kill-Switch-Implementierung. Ist es OS-Level (PF, nftables, WFP) oder Anwendungsebene? Anwendungsebene-Kill-Switches können fehlschlagen, wenn der Client abstürzt, bevor der Datenverkehr blockiert wird. OS-Level-Kills sind robuster.

6. DNS-Leak-Schutz. Erzwingt der Client DNS durch den Tunnel auf allen Plattformen? Handhabt er DNSSEC? Was passiert bei Split-Tunnel-Konfigurationen? Unser DNS-over-HTTPS-Implementierungsbericht beschreibt, wie die Wahl des Resolvers mit einem VPN-Tunnel interagiert.

7. Transparenz der Serverinfrastruktur. RAM-only-Server? Eigenes Hardware oder gemietet? Colocated oder Cloud? Jedes ist unterschiedlich wichtig für verschiedene Bedrohungsmodelle.

8. Kontoanonymität bei der Anmeldung. Erfordert die Erstellung eines Kontos eine E-Mail? Telefonnummer? Regierungsausweis? Ein VPN, das bei der Kontoerstellung weiß, wer Sie sind, hat identifizierende Daten, unabhängig von seiner No-Log-Politik für Verbindungen.

ProtonVPN im Detail

Gerichtsbarkeit: Schweiz. Proton AG, eingetragen in Genf. Nicht den GDPR-Mandaten zur Datenoffenlegung von EU-Mitgliedstaaten unterworfen. Schweizer Recht bietet starken Datenschutz, ist aber nicht absolut — der Proton-Fall 2022 stellte fest, dass Proton im Rahmen des Schweizer Rechtsprozesses angewiesen werden könnte, IP-Adressen zukünftig zu protokollieren, jedoch nicht rückwirkend.

No-Log-Audits: Cure53 führte im November 2023 ein umfassendes Infrastruktur- und Anwendungs-Audit durch, das iOS-, Android-, macOS-, Windows- und Linux-Clients abdeckte. Der Bericht ist öffentlich zugänglich. Der Umfang umfasste die Verifizierung der RAM-Architektur auf einem Teil der Server. Ein Folgeaudit zur No-Log-Server-Architektur wurde im April 2025 abgeschlossen.

Serverinfrastruktur: ProtonVPN betreibt über 9.200 Server in 112 Ländern im ersten Quartal 2026. Secure Core leitet den Datenverkehr durch gehärtete Server in der Schweiz, Island und Schweden, bevor er austritt, und fügt eine geografische Multi-Hop-Schicht hinzu. Diese Secure Core-Server sind eigene Hardware, keine gemieteten VMs.

Preise (EUR): Kostenloser unbegrenzter Plan (kein Bandbreitenlimit, keine Werbeeinblendung, geschwindigkeitsbegrenzt). Plus: 9,99 €/Monat bei monatlicher Abrechnung, 5,99 €/Monat bei jährlicher Abrechnung. Proton Unlimited-Bundle (inklusive ProtonMail, ProtonDrive, ProtonCalendar): 12,99 €/Monat bei jährlicher Abrechnung.

Anonyme Zahlungen: Bitcoin über BitPay. BitPay erfordert die Erstellung eines Kontos und in einigen Gerichtsbarkeiten KYC-Verifizierung. Bargeld wird nicht akzeptiert. Dies ist der schwächste Punkt in ProtonVPNs Datenschutzarchitektur für Benutzer, die Zahlungsanonymität wünschen.

Anmeldung: E-Mail-Adresse erforderlich. Keine Telefonnummer oder Identitätsüberprüfung. Wegwerf-E-Mail-Adressen funktionieren.

Multi-Hop: Secure Core bietet Schweiz/Island/Schweden → Exit-Knoten. Standardmäßig konfigurierter Multi-Hop ist im kostenlosen oder Plus-Plan ab Q2 2026 nicht verfügbar.

Kill-Switch: OS-Level auf allen Desktop-Plattformen. Der Linux-Client verwendet nftables. Der Kill-Switch ist standardmäßig auf Mobilgeräten deaktiviert.

Durchsatz: In internen Benchmarks, die von einem Pariser Rechenzentrum (100 Gbps Upstream) durchgeführt wurden, erreichte ProtonVPN durchschnittlich 610 Mbps auf einem Plus-Konto mit WireGuard, 240 Mbps mit aktiviertem Secure Core. Die Ergebnisse variieren erheblich je nach Serverauslastung und Exit-Geografie.

Urteil: Am besten für Benutzer, die eine vertrauenswürdige Grundlage ohne technische Komplexität wünschen oder die Integration des Proton-Ökosystems benötigen. Nicht ideal für Benutzer, die anonyme Zahlungen benötigen oder benutzerdefiniertes Multi-Hop-Routing benötigen.

Offenlegung: Der unten stehende Link ist ein Affiliate-Link. Wenn Sie darüber abonnieren, erhalten wir eine Provision ohne zusätzliche Kosten für Sie.

ProtonVPN ausprobieren → ProtonVPN (Kostenloser Plan verfügbar — kein Bandbreitenlimit)

Mullvad im Detail

Gerichtsbarkeit: Schweden. Amagicom AB, gegründet 2009. Schweden ist innerhalb der EU und unterliegt der EU-Richtlinie zur Strafverfolgung. Mullvads Kontenarchitektur bedeutet jedoch, dass es strukturell nichts zu übergeben gibt.

No-Log-Audits: Mullvad führt ein vierteljährliches Audit-Programm durch, anstatt jährlicher Punkt-in-Zeit-Überprüfungen. Cure53 prüfte die gesamte Infrastruktur im Januar 2025; der Bericht umfasst die Verifizierung von RAM-only-Servern, DNS-Resolver-Architektur und die Isolation des Konten-Subsystems. Ein separates Audit der iOS- und Android-Clients wurde im März 2025 abgeschlossen.

Kontenarchitektur: Mullvads herausragendes Merkmal ist sein Kontonummernsystem. Die Erstellung eines Kontos generiert eine 16-stellige Nummer. Keine E-Mail, kein Benutzername, keine Telefonnummer. Wenn Mullvad eine rechtliche Anordnung zur Herausgabe von Benutzerdaten erhält, die mit einer IP-Adresse zu einem bestimmten Zeitpunkt verknüpft sind, enthält das Konten-Subsystem keine identifizierenden Informationen, die bereitgestellt werden können. Dies ist kein politischer Anspruch — es ist eine architektonische Einschränkung.

Serverinfrastruktur: ~850 Server in 46 Ländern ab Juni 2026. Server sind RAM-only: Das Betriebssystem startet von einem schreibgeschützten Image, das in den RAM geladen wird, und das Ausschalten zerstört alle Sitzungsdaten. Mullvad besitzt Hardware an seinen verkehrsreichsten Standorten und ist an anderen Orten colocalisiert. Keine Cloud-Provider-Infrastruktur.

Preise (EUR): 5 €/Monat, kein jährlicher Rabatt. Ein Preis. Keine kostenlose Stufe.

Anonyme Zahlungen: Akzeptiert Bargeld per Post (Geldscheine in einen undurchsichtigen Umschlag falten, Ihre Kontonummer auf einem Zettel beilegen), Monero (XMR), Bitcoin (on-chain, nicht über Prozessor) und große Kreditkarten. Bargeld und Monero bieten vollständige Zahlungsanonymität.

Multi-Hop: Unterstützt. Sie können beliebige zwei Mullvad-Server in verschiedenen Ländern verketten. Der Client stellt dies nativ in der GUI dar. Die Latenzüberlastung beträgt typischerweise 35–60 ms für europäische Ketten. Multi-Hop über separate Rechenzentren in verschiedenen Gerichtsbarkeiten bietet einen bedeutenden Schutz gegen eine Datenanforderung eines einzelnen Landes.

Kill-Switch: OS-Level-Lockdown-Modus. Auf Linux werden nftables-Regeln angewendet, bevor der Tunnel hochfährt. Auf Windows WFP. Auf macOS PF mit Paketfilterankern. Der Kill-Switch ist der Standardzustand — Mullvad nennt es "immer-an"-Modus.

DNS: Benutzerdefinierter DNS-Resolver über verschlüsseltes DNS. Standardmäßig werden alle DNS-Anfragen über Mullvads Resolver innerhalb des Tunnels aufgelöst. Benutzerdefinierter DNS ist konfigurierbar. Die Mullvad-Browsererweiterung beinhaltet WebRTC-IP-Leckschutz und blockiert DNS außerhalb des Tunnels auf der Browserebene.

Durchsatz: 780 Mbps im Durchschnitt auf WireGuard aus der gleichen Pariser Benchmark-Umgebung. Multi-Hop reduzierte dies auf 490 Mbps.

Urteil: Beste technische Architektur zur Minimierung der Vertrauensoberfläche. Das Kontonummernsystem in Kombination mit RAM-only-Servern und Monero-Zahlungen macht Mullvad zur saubersten Option für Benutzer, die minimieren möchten, was der Anbieter über sie wissen kann, selbst unter rechtlichem Zwang.

IVPN im Detail

Gerichtsbarkeit: Gibraltar. IVPN Limited, seit 2009 in Gibraltar registriert. Gibraltar ist ein britisches Überseegebiet; UK-Recht gilt in einigen Bereichen, aber nicht in anderen. IVPN operiert unter den Datenschutzbestimmungen Gibraltars, die im Wesentlichen dem GDPR entsprechen, aber von der Gibraltar Regulatory Authority durchgesetzt werden. Nicht den Bestimmungen des UK Investigatory Powers Act unterworfen, die für Unternehmen auf dem britischen Festland gelten.

No-Log-Audits: Cure53-Audit der Client-Anwendungen abgeschlossen im Oktober 2023. Infrastruktur-Audit durch Cure53, das Serverarchitektur, No-Log-Durchsetzung und Netzwerkkonfiguration abdeckt, abgeschlossen im Februar 2025. Beide Berichte sind vollständig auf IVPNs Transparenzseite veröffentlicht.

Kontenarchitektur: Ähnlich wie bei Mullvad — Konten-IDs anstelle von E-Mail-Adressen. Keine E-Mail erforderlich bei der Anmeldung. Der Standardplan erstellt eine einzelne Konten-ID; der Pro-Plan unterstützt Multi-Hop.

Serverinfrastruktur: 80 Server in 37 Ländern ab Juni 2026. Kleiner als ProtonVPN oder Mullvad. Server laufen auf einer gehärteten Debian-Basis. IVPN veröffentlicht seine vollständige Serverkonfiguration in einem Open-Source-Repository, einschließlich Firewall-Regeln und Daemon-Konfiguration. Dieses Maß an Infrastrukturtransparenz ist selten.

Preise (USD): Standardplan $6/Monat (monatlich) / $60/Jahr. Pro-Plan $10/Monat (monatlich) / $100/Jahr. Pro beinhaltet Multi-Hop und Portweiterleitung. Keine kostenlose Stufe.

Anonyme Zahlungen: Bargeld per Post, Monero (XMR), Bitcoin on-chain. Kein Affiliate-Programm — IVPN hat sein Affiliate-Programm 2019 ausdrücklich entfernt und dabei auf den Interessenkonflikt zwischen Provisionsanreizen und unabhängiger redaktioneller Berichterstattung hingewiesen. Deshalb erscheint es selten in Mainstream-VPN-Rankings.

Multi-Hop: Verfügbar im Pro-Plan. Im Gegensatz zu Mullvads beliebiger Paarung routet IVPNs Multi-Hop durch festgelegte Ein-/Ausgangspaare. Das Anti-Tracker-Feature ist einzigartig: IVPNs DNS-Resolver blockiert Tracking- und Malware-Domains auf der Resolver-Ebene, mit separaten Blocklist-Stufen (Standard, Hardcore). Der Hardcore-Modus blockiert Google- und Facebook-Infrastruktur vollständig.

Kill-Switch: Firewall-basierter Lockdown-Modus. Auf Linux iptables/nftables. Auf macOS und iOS systemweite Netzwerkerweiterung. Der Kill-Switch ist obligatorisch bei Verwendung von Multi-Hop.

Durchsatz: 520 Mbps auf WireGuard aus dem Pariser Benchmark. Niedriger als Mullvad oder ProtonVPN, konsistent mit der kleineren Serveranzahl. IVPN zielt nicht auf Hochdurchsatz-Anwendungsfälle ab.

Urteil: Am besten für Benutzer, die Infrastrukturtransparenz und aktives Anti-Tracking auf der DNS-Ebene priorisieren. Der Multi-Hop des Pro-Plans in Kombination mit Monero-Zahlungen stellt den stärksten Anonymitäts-Stack der drei Anbieter dar. Das kleinere Servernetzwerk ist ein Kompromiss.

Vergleichsmatrix: 12 Kriterien

Empfehlungen nach Bedrohungsprofil

Datenschutzbewusster Entwickler oder Power-User. Mullvad auf WireGuard, Konto mit Monero finanziert. Aktivieren Sie den Kill-Switch standardmäßig. Verwenden Sie den Mullvad-Browser für hochsensible Sitzungen. Single-Hop ist ausreichend; Sie gewinnen nichts durch Multi-Hop, es sei denn, Ihr Gegner hat die Fähigkeit zur Verkehrskorrelation auf ISP-Ebene. Sobald konfiguriert, überprüfen Sie die Einrichtung mit den Verfahren in unserem Netzwerk-Leck-Erkennungsleitfaden.

Journalist oder Aktivist unter aktiver Überwachung. IVPN Pro, Multi-Hop aktiviert, Monero-Zahlung, Pro-Plan. Kombinieren Sie es mit dem Tor-Browser für Kommunikation, nicht für allgemeines Surfen. Die festen Multi-Hop-Ein-/Ausgangspaare in IVPNs Architektur sind eine leichte Flexibilitätsreduktion gegenüber Mullvad, aber der erzwungene Kill-Switch bei Multi-Hop und die Kombination aus Gibraltar-Gerichtsbarkeit sind stark.

Datenschutz-Maximalist / Opsec-Forscher. Beginnen Sie mit Mullvad für allgemeinen Datenverkehr (Kontonummer + Monero + RAM-only-Flotte). Schichten Sie Tor für hochsensible Kommunikation. Verwenden Sie nicht dasselbe Konto auf mehreren Geräten, wenn die Korrelation dieser Geräte eine Bedrohung darstellt.

Vielreisender / Häufiger Reisender. ProtonVPN ist hier die pragmatische Wahl. Die Serveranzahl (9.200+) bietet eine bessere geografische Abdeckung, Secure Core bietet Multi-Hop in instabilen Gerichtsbarkeiten, und der kostenlose Plan bewältigt Notsituationen, in denen Sie ein funktionierendes VPN ohne lokale Zahlungsmethode benötigen. Die schwächere Zahlungsanonymität ist akzeptabel, wenn Ihr Bedrohungsmodell Kaffehausüberwachung und nicht staatliche Gegner ist.

Benutzer, der von einem Mainstream-VPN wechselt. Bedrohungsmodell zuerst — unser Bedrohungsmodellierungsleitfaden für technikaffine Benutzer führt durch den Aufbau eines solchen. Wenn Sie einen Mainstream-Anbieter wegen einer offengelegten Datenanforderung verlassen, wechseln Sie zu Mullvad oder IVPN und erstellen Sie ein neues Konto mit einer neuen Zahlungsmethode. Übertragen Sie Ihr bestehendes Abonnement nicht und verwenden Sie keine Anmeldeinformationen erneut.

Für die zugrunde liegende Browserebene, die den VPN-Schutz ergänzt, siehe Stand der Browser-Privatsphäre 2026 und die Analyse der JavaScript-Engine-Sicherheit im Lockdown-Modus.