AirVPN / Surfshark compared
Same criteria, same rules. You see where they diverge.
No winner on this page. vpn-matrix.com assigns no points and makes no recommendations.
Differences (98)
Criteria where the values diverge.
| AirVPN | Surfshark | |
|---|---|---|
| Legal company name | AirVPN di Paolo Briniconfirmed | Surfshark B.V.provider claim |
| Trademark holder, if different | AirVPN / Air VPN Ltd (as branded)provider claim | Surfshark (founder Vytautas Kaziukonis); merged under holding with Nord Security in 2022 while operating independentlyprovider claim |
| Year founded | 2010provider claim | 2018provider claim |
| Headquarters (country) | ITconfirmed | NLprovider claim |
| Other relevant jurisdictions | Nach den Nutzungsbedingungen gilt die EU-Verordnung 593/2008; zuständig sind der Europäische Gerichtshof und die Gerichte in Italien.provider claim | Britische Jungferninseln (früherer Registrierungsort, bis zur Verlagerung in die Niederlande 2021)confirmed |
| Intelligence alliance of the home country | 14 Eyesconfirmed | Nine Eyesprovider claim |
| Parent group / holding | Air (dedicated operating company; previously Iridium until Nov 2012)provider claim | Cyberspace (gemeinsame Holding von Surfshark und Nord Security, Niederlande)confirmed |
| Beneficial owners publicly known | fully knownconfirmed | partly knownprovider claim |
| Sister VPN brands in the group | Laut Anbieter betreibt die Gesellschaft Air ausschliesslich AirVPN und daneben nur eng zugehörige Nebenprojekte zu Netzneutralität und Zensurumgehung.provider claim | NordVPN (Nord Security)confirmed |
| Group owns VPN review and comparison sites | noneprovider claim | none disclosed on about pageprovider claim |
| Typical commission rate | 20 Prozent des Nettopreises beim Erstkauf, gutgeschrieben als Kontoguthaben; höhere Provisionen laut Anbieter auf Anfrage bei mittelfristiger Vereinbarung.provider claim | Ab 40 Prozent Umsatzbeteiligung an Neuverkäufen, Cookie-Laufzeit 30 Tage, Mindestauszahlung 100 USD.provider claim |
| YouTube and influencer sponsoring | noneprovider claim | unknownprovider claim |
| Documented misleading advertising claims | Die Startseite bewirbt den Dienst am 03.08.2026 mit den Formulierungen "This impenetrable tunnel prevents criminal organizations, your ISP or even your government from spying on your communications", "Surf Anonymously" und "Make it impossible to identify the type of traffic or protocol you are using, even for your ISP".provider claim | ? |
| Acquisition history / former name | Der Dienst wurde ab 2010 von der Firma Iridium betrieben; ab November 2012 übernahm laut Anbieter die eigens gegründete Gesellschaft Air den Betrieb.provider claim | Fusionsvereinbarung mit Nord Security, am 01.02.2022 vom Anbieter und am 02.02.2022 per Pressemitteilung bekanntgegeben.confirmed |
| Core statement of the logging policy | Laut Datenschutzerklärung werden Aktivitätsverkehr, Verkehrsinhalte und IP-Adressen der Nutzer weder inspiziert noch protokolliert noch auf einem Massenspeicher abgelegt; technisch notwendige Verbindungsdaten werden ausschliesslich im Arbeitsspeicher und nur für die Dauer der Diensterbringung verarbeitet.provider claim | Laut Datenschutzerklärung werden besuchte IP-Adressen, Browserverlauf, Sitzungsinformationen, Verbindungszeitstempel, genutzte Bandbreite und Netzwerkverkehr nicht erhoben.provider claim |
| Connection logs | noneprovider claim | per sessionprovider claim |
| Storage of the assigned VPN IP | storedprovider claim | not storedprovider claim |
| Precision of stored timestamps | coarse (date only)provider claim | noneprovider claim |
| Recording of transferred data volume | aggregate onlyprovider claim | not recordedconfirmed |
| Enforcement of the device limit | Je Konto sind bis zu fünf gleichzeitige Verbindungen zu unterschiedlichen VPN-Servern möglich. Mehrere Geräte am selben Server erfordern je einen eigenen Schlüssel, verwaltet im Bereich Devices des Kontos.provider claim | Unlimited simultaneous connectionsprovider claim |
| Minimum account data required | Das Registrierungsformular verlangt Anzeigename, E-Mail-Feld und Passwort. Der Anbieter vermerkt am Feld: "Real e-mail address is NOT mandatory, you can enter a random string."provider claim | E-Mail-Adresse, verschlüsseltes Passwort, Registrierungsdatum, gegebenenfalls Gutscheincode sowie Abonnement- und Zahlungsdaten.provider claim |
| Telemetry in the apps | noneprovider claim | cannot be disabledprovider claim |
| Trackers and SDKs in the Android app | None indicated; privacy policy rejects third-party profiling add-ons on web; no mobile SDK list published on fetched pagesprovider claim | Laut Datenschutzerklärung Iterable, Firebase Analytics (Google), Purchasely und AppsFlyer.provider claim |
| Trackers in the iOS app | None indicated; privacy policy rejects third-party profiling add-ons on web; no mobile SDK list published on fetched pagesprovider claim | AppsFlyer; Firebase Analytics; Iterable; Purchasely (named in privacy policy as marketing/application analytics providers)confirmed |
| Trackers and cookies on the website | Eigene Messung am 03.08.2026: In den HTML-Quelltexten von neun abgerufenen Unterseiten (Start, Preise, Specs, Nutzungsbedingungen, Datenschutz, FAQ-Logs, Serverstatus, Registrierung, Kontakt) band kein script-, link-, img- oder iframe-Element eine Ressource von einem Drittanbieter-Host ein; alle eingebundenen Ressourcen lagen auf airvpn.org.confirmed | Privacy policy discloses site analytics/cookies categoriesprovider claim |
| Data shared with third parties | Laut Datenschutzerklärung werden E-Mail-Adressen nicht an Dritte übermittelt und Support wird nicht ausgelagert. Daten, die Nutzer an Zahlungsabwickler wie PayPal geben, liegen laut Anbieter nicht in dessen Kontrolle; Instant Payment Notifications werden nach Anbieterangabe nicht gespeichert.provider claim | Zahlungsdienstleister, Marketing- und Analysedienste, Speicher- und Chat-Dienstleister sowie Konzerngesellschaften; genannte Empfängerländer sind die USA, Schweden, Frankreich, Irland und das Vereinigte Königreich.provider claim |
| Retention periods stated in the policy | Die Datenschutzerklärung nennt keine konkreten Aufbewahrungsfristen. Technisch notwendige Verbindungsdaten werden laut Anbieter nur im Arbeitsspeicher und nur für die Dauer der Diensterbringung verarbeitet; die Löschung aller Daten zu einer Person ist per schriftlicher E-Mail-Anfrage möglich.provider claim | Verbindungsdaten werden laut Anbieter innerhalb von 15 Minuten nach Sitzungsende gelöscht; Daten des Email-Scam-Checkers spätestens nach 7 Tagen.provider claim |
| Independent no-logs audit | noprovider claim | yesconfirmed |
| No-logs audit details | ? | ISAE 3000 (Revised), Deloitte Lietuva UAB, Prüfarbeiten vom 14.05.2025 bis 10.06.2025, Bericht vom 10.06.2025. Geprüft wurden Standard-, Static-IP-, Multihop- und Multiport-Server sowie Konfigurations- und Deployment-Prozesse. Nicht im Prüfumfang: Datenübertragungssicherheit, Streaming-Infrastruktur, Zugriffsrechte und physische Sicherheit.confirmed |
| Audit report published | not publishedprovider claim | full reportconfirmed |
| App and client audits | ? | Cure53 prüfte im November 2018 die Browser-Erweiterungen für Chrome und Firefox; SecuRing prüfte 2025 Web-, Desktop-, Mobil- und Browser-Anwendungen.confirmed |
| Infrastructure and server audits | ? | Cure53 prüfte im März 2021 Server- und VPN-Konfiguration sowie im Februar und März 2026 Architektur und Kryptografie des Dausos-Protokolls; SecuRing führte vom 01.12.2025 bis 10.12.2025 einen Penetrationstest der Netzinfrastruktur durch.confirmed |
| Audit frequency | never auditedprovider claim | irregularconfirmed |
| Tested in court or by authorities | ? | Im Transparenzbericht für April bis Juni 2026 nennt Surfshark 33 behördliche Anfragen und einen Durchsuchungsbeschluss aus April 2026.provider claim |
| Transparency report | noneprovider claim | regularprovider claim |
| Security incidents and data leaks | ? | None disclosed on fetched home/features/privacy pagesprovider claim |
| Bug bounty programme | Bug-Bounty-Programm für airvpn.org, eddie.website, ipleak.net sowie die Apps für Windows, macOS, GNU/Linux und Android. Prämien laut Anbieter: 100 EUR (serious), 170 EUR (high risk), 250 EUR (very high risk), mindestens 300 EUR (critical).provider claim | Eigenes Programm ohne externe Plattform, Meldungen per E-Mail an security@surfshark.com.provider claim |
| Handling of reported vulnerabilities | Meldungen an security@airvpn.org, PGP-Schlüssel mit Fingerabdruck 6F78 D101 B39E 824A C648 DDDE 08FF 65DE 46C5 EA4B veröffentlicht, koordinierte Offenlegung vereinbart. Eine security.txt nach RFC 5785 verweist auf Kontakt, Schlüssel und Policy. Genannter Fall: Meldung zum Eddie-Windows-Installer durch Kushal Arvind Shah (Fortinet FortiGuard Labs) am 14.05.2018.provider claim | ? |
| Open source clients | allconfirmed | noneprovider claim |
| Reproducible builds | ? | noprovider claim |
| Listings by independent bodies | Long-running activist/privacy-community provider (founded 2010) per About narrativeprovider claim | Press quotes on features page (e.g., speed/reviews)provider claim |
| IKEv2/IPsec | noprovider claim | yesprovider claim |
| Proprietary protocol | noneprovider claim | Dausosconfirmed |
| Legacy protocols still offered | Kein PPTP. Der Anbieter schreibt auf der Startseite "Forget PPTP or other insecure protocols".provider claim | none advertised; WireGuard, IKEv2, OpenVPN used with Dedicated IPprovider claim |
| Default data cipher | WireGuard: ChaCha20-Poly1305. OpenVPN ab Version 2.4: serverseitige data-ciphers-Liste mit CHACHA20-POLY1305, AES-256-GCM, AES-256-CBC, AES-192-GCM, AES-192-CBC, AES-128-GCM, AES-128-CBC. Für OpenVPN vor 2.4 nennt der Anbieter AES-256-CBC.provider claim | Dausos verschlüsselt den Datenkanal laut Cure53 mit AEGIS und einem 256-Bit-Schlüssel; für die Apple-TV-App nennt der Anbieter ChaCha20.confirmed |
| Weakest accepted cipher | AES-128-CBC, enthalten in der serverseitigen data-ciphers-Liste für OpenVPN ab Version 2.4.provider claim | ? |
| Key exchange and authentication | OpenVPN: 4096-Bit-RSA-Schlüssel, 4096-Bit-Diffie-Hellman je Server, Kontrollkanal mit tls-crypt (2048 Bit), Rekeying alle 60 Minuten. WireGuard: ECDH mit Curve25519.provider claim | Dausos kombiniert laut Cure53 einen ephemeren ML-KEM-Schlüsselaustausch mit ECDH innerhalb eines hybriden TLS 1.3; der Server liefert zusätzlich zum RSA-Zertifikat eine ML-DSA-Signatur.confirmed |
| IPv6 handling | routed through tunnelprovider claim | unclearprovider claim |
| Obfuscation methods | OpenVPN über SSL mit stunnel und OpenVPN über SSH, laut Anbieter auf jedem Server verfügbar; zusätzlich in der Android-App Amnezia WireGuard 2.0 einschliesslich Amnezias CPS und 34 vorgefertigten CPS/QUIC-Profilen.provider claim | Verschleierte Server sowie der Modus NoBorders, der laut Anbieter bei Bedarf automatisch aktiv wird und auch manuell eingeschaltet werden kann.provider claim |
| Usability behind the Great Firewall | stated by providerprovider claim | per user reportsprovider claim |
| Split tunneling | Für Linux nennt der Anbieter die Komponente Cuckoo der AirVPN Suite als Traffic-Split-Manager mit Zugriff auf die Traffic-Split-Infrastruktur des Dienstes. Für Android beschreibt er die Option, per Weiss- und Schwarzliste festzulegen, welche Apps innerhalb oder ausserhalb des Tunnels laufen.provider claim | Bypasser für Windows, macOS, Android und iOS, wahlweise nach Anwendung oder nach Website beziehungsweise IP-Adresse; in den Erweiterungen für Chrome, Firefox und Edge nur nach Website.provider claim |
| Multihop | not availableprovider claim | freely combinableprovider claim |
| Tor integration (Onion over VPN) | yesprovider claim | noprovider claim |
| Port forwarding | availableprovider claim | not availableprovider claim |
| SOCKS5 proxy | ? | noprovider claim |
| Ad and tracker filtering in DNS | configurableprovider claim | fixed listprovider claim |
| Custom DNS servers allowed | yesconfirmed | ? |
| Local network access toggle | yesprovider claim | noprovider claim |
| Traffic analysis defence | OpenVPN over SSH/SSL/Tor for censorship resistanceprovider claim | Obfuscated servers; NoBorders for restricted networksprovider claim |
| IPv6 inside the tunnel | yesprovider claim | noprovider claim |
| Obfuscation without configuration | noprovider claim | yesprovider claim |
| Number of servers | 257 Serverconfirmed | 4,500 Serverprovider claim |
| Number of countries | 23 Laenderconfirmed | 100 Laenderprovider claim |
| Number of cities | 40 Staedteconfirmed | ? |
| Virtual locations | no virtual locationsprovider claim | not labelledprovider claim |
| RAM-only servers (diskless) | noprovider claim | entire networkconfirmed |
| Hardware ownership | owned hardwareprovider claim | mixedprovider claim |
| 10 Gbps ports | some serversprovider claim | noprovider claim |
| P2P and file sharing | entire networkprovider claim | dedicated locationsprovider claim |
| Public status page | yesconfirmed | noprovider claim |
| Known upstream hosting providers | Not individually listed on status/specs pages fetched; servers shown on public status page (257+ available at fetch time)provider claim | not disclosed on fetched servers/about pagesprovider claim |
| iOS app | manual config onlyprovider claim | native appprovider claim |
| Apple TV app | not availableprovider claim | native appprovider claim |
| Browser extension | not availableprovider claim | own extensionprovider claim |
| Type of browser extension | no extensionprovider claim | standalone browser proxyconfirmed |
| Router support | Dokumentierte Anleitungen für DD-WRT, Tomato, AsusWRT und pfSense.provider claim | Keine eigene Router-App; Anleitungen für DD-WRT, AsusWRT, GL.iNet, OpenWRT und weitere Firmwares mit OpenVPN- oder WireGuard-Client.provider claim |
| Native build for Apple Silicon | noprovider claim | ? |
| Simultaneous devices | 5provider claim | unbegrenztprovider claim |
| Data required at signup | any email addressprovider claim | verified emailprovider claim |
| Monero | yesprovider claim | noprovider claim |
| Bitcoin | yesprovider claim | noprovider claim |
| Monthly price | €7.00provider claim | ? |
| Effective price on the longest term | €2.75provider claim | €2.49provider claim |
| Price change at renewal | same priceprovider claim | very large increaseprovider claim |
| Free tier and its limits | Kein kostenloser Dauertarif. Der kürzeste Tarif läuft drei Tage für 2 Euro. Aktivisten und Journalisten in Ländern mit Repression bietet der Anbieter auf Anfrage kostenlosen Zugang an.provider claim | none (trials/guarantees only)provider claim |
| P2P policy in the terms of service | entire networkprovider claim | dedicated locationsprovider claim |
| Other streaming services | ? | Markets streaming/unblocking as a core use case on home and features pages (specific Netflix region list not published on fetched pages)provider claim |
| Data cap | Keine Volumenbegrenzung. Auf die Frage nach Traffic-Limits antwortet der Anbieter: "No, there are no traffic limits."provider claim | noneprovider claim |
| Speed measurement references | Anbieterangabe: garantierte Mindestbandbreite 4 Mbit/s je Konto, Obergrenze 1 Gbit/s auf Servern mit 1-Gbit/s-Anbindung, bis zu 5 Gbit/s Gesamtdurchsatz auf Servern an 10-Gbit/s-Leitungen. Unabhängige Messungen liegen für diesen Eintrag nicht vor.provider claim | ? |
| SMTP and port 25 handling | Ausgehender Port 25 ist gesperrt, laut Anbieter zur Spam-Vermeidung.provider claim | Not stated on fetched home/features/privacy/pricing pagesprovider claim |
| Official support in restrictive countries | Für Länder, in denen OpenVPN gestört wird, verweist der Anbieter auf OpenVPN über SSL oder über SSH; China und Iran werden namentlich genannt. Aktivisten und Journalisten in Ländern mit Repression bietet der Anbieter auf Anfrage kostenlosen Zugang an.provider claim | Surfshark unterhält einen Support-Artikel zum Verbindungsaufbau aus Ländern mit Netzsperren und verweist darin auf einen eigenen Artikel zu China.provider claim |
| 24/7 live chat | noprovider claim | yesprovider claim |
| German-language support | noprovider claim | yesconfirmed |
| Documentation assessment | thorough and currentprovider claim | workableprovider claim |
| SSL Labs grade of the website | Der Anbieter gibt für airvpn.org die Bewertung A+ bei Qualys SSL Labs an; für die gehärtete Variante airvpn.dev nennt er eine auf 100 Prozent zielende Konfiguration bei SSL Labs und CryptCheck.provider claim | Aconfirmed |
| Tracker load of the website | Eigene Messung am 03.08.2026: In den HTML-Quelltexten von neun abgerufenen Unterseiten war keine Ressource von einem Drittanbieter-Host eingebunden. Beim Betreten der Website setzt der Server eine PHP-Sitzungskennung und leitet auf eine Zwischenseite um, deren Skript ein technisches Cookie af3 setzt; ohne dieses Cookie wird kein Inhalt ausgeliefert. Über Referral-Links entsteht laut FAQ zusätzlich ein Cookie referred_by mit einem Monat Laufzeit.confirmed | Privacy policy details cookie/analytics categories on surfshark.comprovider claim |
| Length and readability of the legal documents | Eigene Auszählung am 03.08.2026: Nutzungsbedingungen rund 1609 Wörter, Datenschutzerklärung rund 1000 Wörter, beide Dokumente liegen nur auf Englisch vor.confirmed | Standard long-form ToS linked from pricing; readability not specially simplifiedprovider claim |
| Marketing claims contradicting the provider's own terms | Die Startseite wirbt am 03.08.2026 mit "Make it impossible to identify the type of traffic or protocol you are using, even for your ISP." Die Seite SSL Tunnel desselben Anbieters schreibt dagegen: "Deep Packet Inspection lets your ISP recognize the you are using an OpenVPN connection." Erst der zusätzlich wählbare SSL- oder SSH-Tunnel verbirgt laut Anbieter den OpenVPN-Fingerabdruck; die Specs-Seite führt als empfohlene Voreinstellung natives OpenVPN oder WireGuard.confirmed | Home advertises 4500+ RAM-only servers and 100+ countries; pricing heavily uses multi-month intro discounts with free trialprovider claim |
All sourced criteria (153)
| AirVPN | Surfshark | |
|---|---|---|
| Legal company name | AirVPN di Paolo Briniconfirmed | Surfshark B.V.provider claim |
| Trademark holder, if different | AirVPN / Air VPN Ltd (as branded)provider claim | Surfshark (founder Vytautas Kaziukonis); merged under holding with Nord Security in 2022 while operating independentlyprovider claim |
| Year founded | 2010provider claim | 2018provider claim |
| Headquarters (country) | ITconfirmed | NLprovider claim |
| Other relevant jurisdictions | Nach den Nutzungsbedingungen gilt die EU-Verordnung 593/2008; zuständig sind der Europäische Gerichtshof und die Gerichte in Italien.provider claim | Britische Jungferninseln (früherer Registrierungsort, bis zur Verlagerung in die Niederlande 2021)confirmed |
| Intelligence alliance of the home country | 14 Eyesconfirmed | Nine Eyesprovider claim |
| Parent group / holding | Air (dedicated operating company; previously Iridium until Nov 2012)provider claim | Cyberspace (gemeinsame Holding von Surfshark und Nord Security, Niederlande)confirmed |
| Beneficial owners publicly known | fully knownconfirmed | partly knownprovider claim |
| Ownership structure | founder ownedprovider claim | founder ownedprovider claim |
| Leadership team publicly named | yesprovider claim | yesprovider claim |
| Verifiable postal address for legal service | yesconfirmed | yesprovider claim |
| Sister VPN brands in the group | Laut Anbieter betreibt die Gesellschaft Air ausschliesslich AirVPN und daneben nur eng zugehörige Nebenprojekte zu Netzneutralität und Zensurumgehung.provider claim | NordVPN (Nord Security)confirmed |
| Group owns VPN review and comparison sites | noneprovider claim | none disclosed on about pageprovider claim |
| Runs an affiliate programme | yesprovider claim | yesprovider claim |
| Typical commission rate | 20 Prozent des Nettopreises beim Erstkauf, gutgeschrieben als Kontoguthaben; höhere Provisionen laut Anbieter auf Anfrage bei mittelfristiger Vereinbarung.provider claim | Ab 40 Prozent Umsatzbeteiligung an Neuverkäufen, Cookie-Laufzeit 30 Tage, Mindestauszahlung 100 USD.provider claim |
| YouTube and influencer sponsoring | noneprovider claim | unknownprovider claim |
| Documented misleading advertising claims | Die Startseite bewirbt den Dienst am 03.08.2026 mit den Formulierungen "This impenetrable tunnel prevents criminal organizations, your ISP or even your government from spying on your communications", "Surf Anonymously" und "Make it impossible to identify the type of traffic or protocol you are using, even for your ISP".provider claim | ? |
| Acquisition history / former name | Der Dienst wurde ab 2010 von der Firma Iridium betrieben; ab November 2012 übernahm laut Anbieter die eigens gegründete Gesellschaft Air den Betrieb.provider claim | Fusionsvereinbarung mit Nord Security, am 01.02.2022 vom Anbieter und am 02.02.2022 per Pressemitteilung bekanntgegeben.confirmed |
| Operating status | activeconfirmed | activeconfirmed |
| Core statement of the logging policy | Laut Datenschutzerklärung werden Aktivitätsverkehr, Verkehrsinhalte und IP-Adressen der Nutzer weder inspiziert noch protokolliert noch auf einem Massenspeicher abgelegt; technisch notwendige Verbindungsdaten werden ausschliesslich im Arbeitsspeicher und nur für die Dauer der Diensterbringung verarbeitet.provider claim | Laut Datenschutzerklärung werden besuchte IP-Adressen, Browserverlauf, Sitzungsinformationen, Verbindungszeitstempel, genutzte Bandbreite und Netzwerkverkehr nicht erhoben.provider claim |
| Activity and traffic logs | noneprovider claim | noneconfirmed |
| Connection logs | noneprovider claim | per sessionprovider claim |
| Storage of the real IP address | transient onlyprovider claim | transient onlyprovider claim |
| Storage of the assigned VPN IP | storedprovider claim | not storedprovider claim |
| Precision of stored timestamps | coarse (date only)provider claim | noneprovider claim |
| Recording of transferred data volume | aggregate onlyprovider claim | not recordedconfirmed |
| Enforcement of the device limit | Je Konto sind bis zu fünf gleichzeitige Verbindungen zu unterschiedlichen VPN-Servern möglich. Mehrere Geräte am selben Server erfordern je einen eigenen Schlüssel, verwaltet im Bereich Devices des Kontos.provider claim | Unlimited simultaneous connectionsprovider claim |
| Minimum account data required | Das Registrierungsformular verlangt Anzeigename, E-Mail-Feld und Passwort. Der Anbieter vermerkt am Feld: "Real e-mail address is NOT mandatory, you can enter a random string."provider claim | E-Mail-Adresse, verschlüsseltes Passwort, Registrierungsdatum, gegebenenfalls Gutscheincode sowie Abonnement- und Zahlungsdaten.provider claim |
| Telemetry in the apps | noneprovider claim | cannot be disabledprovider claim |
| Trackers and SDKs in the Android app | None indicated; privacy policy rejects third-party profiling add-ons on web; no mobile SDK list published on fetched pagesprovider claim | Laut Datenschutzerklärung Iterable, Firebase Analytics (Google), Purchasely und AppsFlyer.provider claim |
| Trackers in the iOS app | None indicated; privacy policy rejects third-party profiling add-ons on web; no mobile SDK list published on fetched pagesprovider claim | AppsFlyer; Firebase Analytics; Iterable; Purchasely (named in privacy policy as marketing/application analytics providers)confirmed |
| Trackers and cookies on the website | Eigene Messung am 03.08.2026: In den HTML-Quelltexten von neun abgerufenen Unterseiten (Start, Preise, Specs, Nutzungsbedingungen, Datenschutz, FAQ-Logs, Serverstatus, Registrierung, Kontakt) band kein script-, link-, img- oder iframe-Element eine Ressource von einem Drittanbieter-Host ein; alle eingebundenen Ressourcen lagen auf airvpn.org.confirmed | Privacy policy discloses site analytics/cookies categoriesprovider claim |
| Data shared with third parties | Laut Datenschutzerklärung werden E-Mail-Adressen nicht an Dritte übermittelt und Support wird nicht ausgelagert. Daten, die Nutzer an Zahlungsabwickler wie PayPal geben, liegen laut Anbieter nicht in dessen Kontrolle; Instant Payment Notifications werden nach Anbieterangabe nicht gespeichert.provider claim | Zahlungsdienstleister, Marketing- und Analysedienste, Speicher- und Chat-Dienstleister sowie Konzerngesellschaften; genannte Empfängerländer sind die USA, Schweden, Frankreich, Irland und das Vereinigte Königreich.provider claim |
| Retention periods stated in the policy | Die Datenschutzerklärung nennt keine konkreten Aufbewahrungsfristen. Technisch notwendige Verbindungsdaten werden laut Anbieter nur im Arbeitsspeicher und nur für die Dauer der Diensterbringung verarbeitet; die Löschung aller Daten zu einer Person ist per schriftlicher E-Mail-Anfrage möglich.provider claim | Verbindungsdaten werden laut Anbieter innerhalb von 15 Minuten nach Sitzungsende gelöscht; Daten des Email-Scam-Checkers spätestens nach 7 Tagen.provider claim |
| EU representative named under GDPR | yesprovider claim | yesprovider claim |
| Independent no-logs audit | noprovider claim | yesconfirmed |
| No-logs audit details | ? | ISAE 3000 (Revised), Deloitte Lietuva UAB, Prüfarbeiten vom 14.05.2025 bis 10.06.2025, Bericht vom 10.06.2025. Geprüft wurden Standard-, Static-IP-, Multihop- und Multiport-Server sowie Konfigurations- und Deployment-Prozesse. Nicht im Prüfumfang: Datenübertragungssicherheit, Streaming-Infrastruktur, Zugriffsrechte und physische Sicherheit.confirmed |
| Audit report published | not publishedprovider claim | full reportconfirmed |
| App and client audits | ? | Cure53 prüfte im November 2018 die Browser-Erweiterungen für Chrome und Firefox; SecuRing prüfte 2025 Web-, Desktop-, Mobil- und Browser-Anwendungen.confirmed |
| Infrastructure and server audits | ? | Cure53 prüfte im März 2021 Server- und VPN-Konfiguration sowie im Februar und März 2026 Architektur und Kryptografie des Dausos-Protokolls; SecuRing führte vom 01.12.2025 bis 10.12.2025 einen Penetrationstest der Netzinfrastruktur durch.confirmed |
| Audit frequency | never auditedprovider claim | irregularconfirmed |
| Tested in court or by authorities | ? | Im Transparenzbericht für April bis Juni 2026 nennt Surfshark 33 behördliche Anfragen und einen Durchsuchungsbeschluss aus April 2026.provider claim |
| Transparency report | noneprovider claim | regularprovider claim |
| Warrant canary | noneprovider claim | noneprovider claim |
| Security incidents and data leaks | ? | None disclosed on fetched home/features/privacy pagesprovider claim |
| Bug bounty programme | Bug-Bounty-Programm für airvpn.org, eddie.website, ipleak.net sowie die Apps für Windows, macOS, GNU/Linux und Android. Prämien laut Anbieter: 100 EUR (serious), 170 EUR (high risk), 250 EUR (very high risk), mindestens 300 EUR (critical).provider claim | Eigenes Programm ohne externe Plattform, Meldungen per E-Mail an security@surfshark.com.provider claim |
| Handling of reported vulnerabilities | Meldungen an security@airvpn.org, PGP-Schlüssel mit Fingerabdruck 6F78 D101 B39E 824A C648 DDDE 08FF 65DE 46C5 EA4B veröffentlicht, koordinierte Offenlegung vereinbart. Eine security.txt nach RFC 5785 verweist auf Kontakt, Schlüssel und Policy. Genannter Fall: Meldung zum Eddie-Windows-Installer durch Kushal Arvind Shah (Fortinet FortiGuard Labs) am 14.05.2018.provider claim | ? |
| Open source clients | allconfirmed | noneprovider claim |
| Open source server side | noprovider claim | noprovider claim |
| Reproducible builds | ? | noprovider claim |
| Available on F-Droid | noprovider claim | noprovider claim |
| Listings by independent bodies | Long-running activist/privacy-community provider (founded 2010) per About narrativeprovider claim | Press quotes on features page (e.g., speed/reviews)provider claim |
| WireGuard | yesprovider claim | yesprovider claim |
| OpenVPN over UDP | yesprovider claim | yesprovider claim |
| OpenVPN over TCP | yesprovider claim | yesprovider claim |
| IKEv2/IPsec | noprovider claim | yesprovider claim |
| Proprietary protocol | noneprovider claim | Dausosconfirmed |
| Legacy protocols still offered | Kein PPTP. Der Anbieter schreibt auf der Startseite "Forget PPTP or other insecure protocols".provider claim | none advertised; WireGuard, IKEv2, OpenVPN used with Dedicated IPprovider claim |
| Default data cipher | WireGuard: ChaCha20-Poly1305. OpenVPN ab Version 2.4: serverseitige data-ciphers-Liste mit CHACHA20-POLY1305, AES-256-GCM, AES-256-CBC, AES-192-GCM, AES-192-CBC, AES-128-GCM, AES-128-CBC. Für OpenVPN vor 2.4 nennt der Anbieter AES-256-CBC.provider claim | Dausos verschlüsselt den Datenkanal laut Cure53 mit AEGIS und einem 256-Bit-Schlüssel; für die Apple-TV-App nennt der Anbieter ChaCha20.confirmed |
| Weakest accepted cipher | AES-128-CBC, enthalten in der serverseitigen data-ciphers-Liste für OpenVPN ab Version 2.4.provider claim | ? |
| Key exchange and authentication | OpenVPN: 4096-Bit-RSA-Schlüssel, 4096-Bit-Diffie-Hellman je Server, Kontrollkanal mit tls-crypt (2048 Bit), Rekeying alle 60 Minuten. WireGuard: ECDH mit Curve25519.provider claim | Dausos kombiniert laut Cure53 einen ephemeren ML-KEM-Schlüsselaustausch mit ECDH innerhalb eines hybriden TLS 1.3; der Server liefert zusätzlich zum RSA-Zertifikat eine ML-DSA-Signatur.confirmed |
| Perfect forward secrecy | yesprovider claim | yesprovider claim |
| Post-quantum key exchange | on by defaultprovider claim | on by defaultconfirmed |
| Own DNS resolvers | yesprovider claim | yesprovider claim |
| DNS leak protection | yesprovider claim | yesprovider claim |
| IPv6 handling | routed through tunnelprovider claim | unclearprovider claim |
| WebRTC protection or guidance | yesprovider claim | yesprovider claim |
| Obfuscation methods | OpenVPN über SSL mit stunnel und OpenVPN über SSH, laut Anbieter auf jedem Server verfügbar; zusätzlich in der Android-App Amnezia WireGuard 2.0 einschliesslich Amnezias CPS und 34 vorgefertigten CPS/QUIC-Profilen.provider claim | Verschleierte Server sowie der Modus NoBorders, der laut Anbieter bei Bedarf automatisch aktiv wird und auch manuell eingeschaltet werden kann.provider claim |
| Usability behind the Great Firewall | stated by providerprovider claim | per user reportsprovider claim |
| Kill switch | system-wideprovider claim | system-wideprovider claim |
| Permanent lockdown | yesprovider claim | yesprovider claim |
| Split tunneling | Für Linux nennt der Anbieter die Komponente Cuckoo der AirVPN Suite als Traffic-Split-Manager mit Zugriff auf die Traffic-Split-Infrastruktur des Dienstes. Für Android beschreibt er die Option, per Weiss- und Schwarzliste festzulegen, welche Apps innerhalb oder ausserhalb des Tunnels laufen.provider claim | Bypasser für Windows, macOS, Android und iOS, wahlweise nach Anwendung oder nach Website beziehungsweise IP-Adresse; in den Erweiterungen für Chrome, Firefox und Edge nur nach Website.provider claim |
| Multihop | not availableprovider claim | freely combinableprovider claim |
| Tor integration (Onion over VPN) | yesprovider claim | noprovider claim |
| Port forwarding | availableprovider claim | not availableprovider claim |
| SOCKS5 proxy | ? | noprovider claim |
| HTTP proxy | noprovider claim | noprovider claim |
| Smart DNS | noprovider claim | noprovider claim |
| Ad and tracker filtering in DNS | configurableprovider claim | fixed listprovider claim |
| Malware and phishing filter | yesprovider claim | yesprovider claim |
| Custom DNS servers allowed | yesconfirmed | ? |
| Local network access toggle | yesprovider claim | noprovider claim |
| Auto connect rules | yesprovider claim | yesprovider claim |
| Private device network (mesh) | noprovider claim | noprovider claim |
| GPS location override (Android) | yesprovider claim | yesprovider claim |
| Traffic analysis defence | OpenVPN over SSH/SSL/Tor for censorship resistanceprovider claim | Obfuscated servers; NoBorders for restricted networksprovider claim |
| IPv6 inside the tunnel | yesprovider claim | noprovider claim |
| Obfuscation without configuration | noprovider claim | yesprovider claim |
| Number of servers | 257 Serverconfirmed | 4,500 Serverprovider claim |
| Number of countries | 23 Laenderconfirmed | 100 Laenderprovider claim |
| Number of cities | 40 Staedteconfirmed | ? |
| Virtual locations | no virtual locationsprovider claim | not labelledprovider claim |
| RAM-only servers (diskless) | noprovider claim | entire networkconfirmed |
| Hardware ownership | owned hardwareprovider claim | mixedprovider claim |
| Own AS (autonomous system) | noprovider claim | noprovider claim |
| 10 Gbps ports | some serversprovider claim | noprovider claim |
| P2P and file sharing | entire networkprovider claim | dedicated locationsprovider claim |
| Public server list | yesconfirmed | yesprovider claim |
| Public status page | yesconfirmed | noprovider claim |
| Known upstream hosting providers | Not individually listed on status/specs pages fetched; servers shown on public status page (257+ available at fetch time)provider claim | not disclosed on fetched servers/about pagesprovider claim |
| Windows app | native appprovider claim | native appprovider claim |
| macOS app | native appprovider claim | native appprovider claim |
| Linux app with GUI | native appprovider claim | native appprovider claim |
| Linux command line | native appprovider claim | native appprovider claim |
| Android app | native appprovider claim | native appprovider claim |
| iOS app | manual config onlyprovider claim | native appprovider claim |
| Android TV app | native appprovider claim | native appprovider claim |
| Apple TV app | not availableprovider claim | native appprovider claim |
| Fire TV app | native appprovider claim | native appprovider claim |
| Browser extension | not availableprovider claim | own extensionprovider claim |
| Type of browser extension | no extensionprovider claim | standalone browser proxyconfirmed |
| Router support | Dokumentierte Anleitungen für DD-WRT, Tomato, AsusWRT und pfSense.provider claim | Keine eigene Router-App; Anleitungen für DD-WRT, AsusWRT, GL.iNet, OpenWRT und weitere Firmwares mit OpenVPN- oder WireGuard-Client.provider claim |
| Native build for Apple Silicon | noprovider claim | ? |
| Command line documented | yesprovider claim | yesprovider claim |
| Simultaneous devices | 5provider claim | unbegrenztprovider claim |
| Usable without an account | noprovider claim | noprovider claim |
| Data required at signup | any email addressprovider claim | verified emailprovider claim |
| Account model | email as loginprovider claim | email as loginprovider claim |
| Cash by mail | noprovider claim | noprovider claim |
| Monero | yesprovider claim | noprovider claim |
| Bitcoin | yesprovider claim | noprovider claim |
| Lightning | noprovider claim | noprovider claim |
| Retail gift cards | noprovider claim | noprovider claim |
| PayPal | yesprovider claim | yesprovider claim |
| Credit and debit card | yesprovider claim | yesprovider claim |
| SEPA payment | noprovider claim | noprovider claim |
| Monthly price | €7.00provider claim | ? |
| Effective price on the longest term | €2.75provider claim | €2.49provider claim |
| Price change at renewal | same priceprovider claim | very large increaseprovider claim |
| Flat pricing without permanent discounts | noprovider claim | noprovider claim |
| Free tier and its limits | Kein kostenloser Dauertarif. Der kürzeste Tarif läuft drei Tage für 2 Euro. Aktivisten und Journalisten in Ländern mit Repression bietet der Anbieter auf Anfrage kostenlosen Zugang an.provider claim | none (trials/guarantees only)provider claim |
| Money-back window | 30 Tageprovider claim | 30 Tageprovider claim |
| Cancellation path | cancel in accountprovider claim | cancel in accountprovider claim |
| P2P policy in the terms of service | entire networkprovider claim | dedicated locationsprovider claim |
| Streaming unblocking officially advertised | yesprovider claim | yesprovider claim |
| Other streaming services | ? | Markets streaming/unblocking as a core use case on home and features pages (specific Netflix region list not published on fetched pages)provider claim |
| Bandwidth cap | no limitprovider claim | no limitprovider claim |
| Data cap | Keine Volumenbegrenzung. Auf die Frage nach Traffic-Limits antwortet der Anbieter: "No, there are no traffic limits."provider claim | noneprovider claim |
| Speed measurement references | Anbieterangabe: garantierte Mindestbandbreite 4 Mbit/s je Konto, Obergrenze 1 Gbit/s auf Servern mit 1-Gbit/s-Anbindung, bis zu 5 Gbit/s Gesamtdurchsatz auf Servern an 10-Gbit/s-Leitungen. Unabhängige Messungen liegen für diesen Eintrag nicht vor.provider claim | ? |
| SMTP and port 25 handling | Ausgehender Port 25 ist gesperrt, laut Anbieter zur Spam-Vermeidung.provider claim | Not stated on fetched home/features/privacy/pricing pagesprovider claim |
| Official support in restrictive countries | Für Länder, in denen OpenVPN gestört wird, verweist der Anbieter auf OpenVPN über SSL oder über SSH; China und Iran werden namentlich genannt. Aktivisten und Journalisten in Ländern mit Repression bietet der Anbieter auf Anfrage kostenlosen Zugang an.provider claim | Surfshark unterhält einen Support-Artikel zum Verbindungsaufbau aus Ländern mit Netzsperren und verweist darin auf einen eigenen Artikel zu China.provider claim |
| 24/7 live chat | noprovider claim | yesprovider claim |
| Email or ticket support | yesprovider claim | yesprovider claim |
| Telephone support | noprovider claim | noprovider claim |
| German-language support | noprovider claim | yesconfirmed |
| Documentation assessment | thorough and currentprovider claim | workableprovider claim |
| Self-hosted chat widget | noprovider claim | noprovider claim |
| Self-service account deletion | noprovider claim | noprovider claim |
| SSL Labs grade of the website | Der Anbieter gibt für airvpn.org die Bewertung A+ bei Qualys SSL Labs an; für die gehärtete Variante airvpn.dev nennt er eine auf 100 Prozent zielende Konfiguration bei SSL Labs und CryptCheck.provider claim | Aconfirmed |
| Tracker load of the website | Eigene Messung am 03.08.2026: In den HTML-Quelltexten von neun abgerufenen Unterseiten war keine Ressource von einem Drittanbieter-Host eingebunden. Beim Betreten der Website setzt der Server eine PHP-Sitzungskennung und leitet auf eine Zwischenseite um, deren Skript ein technisches Cookie af3 setzt; ohne dieses Cookie wird kein Inhalt ausgeliefert. Über Referral-Links entsteht laut FAQ zusätzlich ein Cookie referred_by mit einem Monat Laufzeit.confirmed | Privacy policy details cookie/analytics categories on surfshark.comprovider claim |
| URL of the warrant canary | none foundprovider claim | none foundprovider claim |
| Length and readability of the legal documents | Eigene Auszählung am 03.08.2026: Nutzungsbedingungen rund 1609 Wörter, Datenschutzerklärung rund 1000 Wörter, beide Dokumente liegen nur auf Englisch vor.confirmed | Standard long-form ToS linked from pricing; readability not specially simplifiedprovider claim |
| Marketing claims contradicting the provider's own terms | Die Startseite wirbt am 03.08.2026 mit "Make it impossible to identify the type of traffic or protocol you are using, even for your ISP." Die Seite SSL Tunnel desselben Anbieters schreibt dagegen: "Deep Packet Inspection lets your ISP recognize the you are using an OpenVPN connection." Erst der zusätzlich wählbare SSL- oder SSH-Tunnel verbirgt laut Anbieter den OpenVPN-Fingerabdruck; die Specs-Seite führt als empfohlene Voreinstellung natives OpenVPN oder WireGuard.confirmed | Home advertises 4500+ RAM-only servers and 100+ countries; pricing heavily uses multi-month intro discounts with free trialprovider claim |