VPN Matrix

ExpressVPN / Proton VPN compared

Same criteria, same rules. You see where they diverge.
ExpressVPNProton VPNOpen in the matrix
No winner on this page. vpn-matrix.com assigns no points and makes no recommendations.

Differences (79)

Criteria where the values diverge.

 ExpressVPNProton VPN
Legal company name
Express Technologies Ltd.provider claim
Proton AGconfirmed
Trademark holder, if different
Kape Technologies family (joined Kape)provider claim
Proton AG (Proton ecosystem)provider claim
Year founded
2009provider claim
2017provider claim
Headquarters (country)
VGprovider claim
CHconfirmed
Other relevant jurisdictions
Britische Jungferninseln (Vertragspartner und Gerichtsstand laut Nutzungsbedingungen), Vereinigtes Königreich (Mutterkonzern Kape Technologies mit Sitz in London)provider claim
Schweiz (Proton AG, Genf); als Vertreter in der EU benennt die Datenschutzerklärung die Proton Europe sarl, rue de Grünewald 94, L-1912 Luxemburg.provider claim
Parent group / holding
Kape Technologiesconfirmed
Proton Foundation, Genf, Hauptaktionärin der Proton AG seit Juni 2024confirmed
Beneficial owners publicly known
fully knownconfirmed
partly knownprovider claim
Ownership structure
private equityconfirmed
non-profitconfirmed
Leadership team publicly named
noprovider claim
yesconfirmed
Verifiable postal address for legal service
noprovider claim
yesconfirmed
Sister VPN brands in the group
Private Internet Access, CyberGhost VPNconfirmed
none (Proton Mail/Drive/Pass ecosystem; not separate VPN sister brands)provider claim
Group owns VPN review and comparison sites
Der Konzern übernahm im März 2021 Webselenese, den Betreiber der VPN-Vergleichsseiten vpnMentor und Wizcase, Kaufpreis 149,1 Millionen US-Dollar. Webselenese wird auf der Konzernseite als Marke geführt.confirmed
none disclosedprovider claim
Typical commission rate?
30 Prozent auf die meisten neuen Monatsabos (Mail, VPN, Drive, Pass, Lumo), 100 Prozent auf neue Drive-Monatsabos, 40 Prozent auf neue Drive-Jahres- und Zweijahresabos, 30 Prozent auf Verlängerungen.provider claim
Acquisition history / former name
2018 Umbenennung des Adware-Entwicklers Crossrider in Kape Technologies. 13.09.2021 Übernahme von ExpressVPN durch Kape für 936 Millionen US-Dollar. 26.04.2023 Übernahmeangebot von Unikmind Holdings für unbedingt erklärt, Streichung von der Londoner AIM zum 31.05.2023 angekündigt.confirmed
No VPN-brand acquisition history described on fetched Proton VPN home/features/wiki pages (Proton AG product)provider claim
Core statement of the logging policy
Laut Datenschutzerklärung werden keine Aktivitätslogs (Browserverlauf, Zielserver, Inhalte, DNS-Anfragen) und keine Verbindungslogs (IP-Adresse, ausgehende VPN-IP, Verbindungszeitpunkt, Sitzungsdauer) gespeichert. Erhoben werden der Tag eines erfolgreichen Verbindungsaufbaus ohne Uhrzeit, der gewählte Standort und die Summe des je Konto übertragenen Datenvolumens.provider claim
Laut Datenschutzerklärung protokolliert Proton VPN weder den Datenverkehr noch den Inhalt von Kommunikation und speichert keine VPN-Sitzungsdaten.provider claim
Connection logs
noneprovider claim
aggregated onlyconfirmed
Precision of stored timestamps
coarse (date only)provider claim
noneconfirmed
Recording of transferred data volume
per accountprovider claim
not recordedprovider claim
Enforcement of the device limit
10–14 simultaneous connections depending on plan tierprovider claim
Laut Auditbericht wird die aktive Sitzung in einem flüchtigen Speicher auf dem Server gehalten; ein getrennter Abrechnungsdienst in der Schweiz setzt Sitzungsgrenzen etwa für Gratiskonten durch, ohne nutzeridentifizierende Daten zu protokollieren.confirmed
Minimum account data required
Name, E-Mail-Adresse und Zahlungsdaten bei Anlage eines Kontos laut Datenschutzerklärung.provider claim
Für den Gratistarif eine externe, nicht von Proton stammende E-Mail-Adresse als Benutzername und ein Passwort; Zahlungsdaten sind dafür nicht nötig.provider claim
Telemetry in the apps
opt inprovider claim
on by defaultconfirmed
Trackers and SDKs in the Android app
AppsFlyer (attribution; advertising IDs with consent); additional analytics platforms referenced for marketingconfirmed
None named for VPN apps in Proton privacy policy; website uses self-developed local analytics; third parties may process image deliveryprovider claim
Trackers in the iOS app
AppsFlyer (attribution; IDFA with consent); Sentry and platform crash reporters discussed for appsconfirmed
None named for VPN apps in Proton privacy policy; website uses self-developed local analytics; third parties may process image deliveryprovider claim
Trackers and cookies on the website
Privacy policy discloses marketing/analytics cookies on websiteprovider claim
Laut Datenschutzerklärung nutzt Proton eine lokal installierte, selbst entwickelte Analysesoftware und speichert dafür keine IP-Adressen.provider claim
Data shared with third parties
Die Richtlinie nennt Dienstleister für Zahlungsabwicklung und Betrieb der Dienste sowie Marketingpartner für die Zuordnung von Werbekontakten. Die Empfänger werden nicht einzeln aufgezählt.provider claim
Laut Datenschutzerklärung Auftragsverarbeiter für Support und Zahlungsabwicklung, genannt werden unter anderem Zendesk, Stripe, PayPal, Chargebee und Atlassian.provider claim
Retention periods stated in the policy
Keine allgemeine Frist genannt, die Richtlinie spricht von einem begrenzten Zeitraum nach geltendem Datenschutzrecht. Für transaktionsbezogene Kommunikation nennt sie zehn Jahre.provider claim
Nutzungsstatistiken werden nach Anbieterangabe nach 30 Tagen gelöscht. Für IP-Protokolle nennt die Datenschutzerklärung keine feste Frist, sondern eine vorübergehende Speicherung zur Missbrauchsabwehr und eine dauerhafte Speicherung bei Verstößen gegen die Nutzungsbedingungen.provider claim
No-logs audit details
KPMG LLP, Prüfung nach ISAE (UK) 3000 Type 1 zum Stichtag 28.02.2025. Geprüft wurden die TrustedServer-Architektur und die Logging-Aussagen der Datenschutzerklärung anhand von Dokumentenprüfung, Systembeobachtung und Interviews. Type 1 bewertet die Ausgestaltung der Kontrollen zu einem Stichtag, nicht ihre Wirksamkeit über einen Zeitraum, und umfasste keine vollständige Sicherheitsanalyse.confirmed
Securitum, zwei Prüfer vor Ort im Proton-Büro Zürich vom 18. bis 20.08.2025, sechs Personentage, Berichtsversion 1.0 vom 19.09.2025. Der Bericht bezeichnet die Prüfung als begleitete Sichtung zufällig ausgewählter Produktivserver, nicht als unbeaufsichtigte forensische Untersuchung.confirmed
App and client audits
Cure53 veröffentlichte Berichte zur Browser-Erweiterung (10.-11.2018 und 09.-10.2022), zu ExpressVPN Keys (09.-10.2022), zum iOS-Client (08.-09.2022), zum Android-Client (08.2022), zum macOS-Client (06.-07.2022) und zu den Linux-Clients (07.-08.2022).confirmed
Der Anbieter verlinkt einen öffentlichen Sicherheitsbericht zu Proton VPN neben Berichten zu Mail, Calendar, Drive und Pass. Privacy Guides nennt Ruben Santamarta als Prüfer der Proton-VPN-Apps und Browser-Erweiterungen.provider claim
Infrastructure and server audits
Cure53 prüfte TrustedServer im Zeitraum 04.-05.2022 sowie die Router-Firmware Aircove 06.-07.2022 und 11.2024. Der Anbieter nennt zusätzlich eine Prüfung von TrustedServer durch PwC.confirmed
Securitum inspizierte 2025 die Produktiv-VPN-Infrastruktur vor Ort. Ausdrücklich ausgenommen waren die CI/CD-Pipeline, ein formales Quellcode-Review, Binäranalysen der Client- und Serversoftware sowie Nebensysteme wie Buchhaltung und Kontoverwaltung.confirmed
Tested in court or by authorities
Im Januar 2017 beschlagnahmten türkische Behörden im Ermittlungsverfahren zur Ermordung des russischen Botschafters Andrej Karlow einen von ExpressVPN genutzten Server. Nach dem Bericht konnten die Ermittler daraus keine Nutzerdaten gewinnen, der Anbieter erklärte, keine Verbindungs- oder Aktivitätslogs zu besitzen. ExpressVPN stellte danach den Betrieb physischer Server in der Türkei ein und liefert türkische IP-Adressen über Server in den Niederlanden.confirmed
Nach eigenem Transparenzbericht erhielt Proton VPN seit dem Start 2017 insgesamt 458 rechtsverbindliche Anordnungen Schweizer Behörden und konnte in keinem Fall Daten liefern; Stand der Seite ist der 14.07.2026.provider claim
Bug bounty programme
Öffentliches Programm über die Plattform YesWeHack, alternativ Meldung per E-Mail. Geltungsbereich sind Desktop- und Mobil-Apps, Router und Router-Firmware (Aircove), Browser-Erweiterungen, Backend-Systeme und die VPN-Server mit TrustedServer-Technik. Für den ersten Nachweis eines unberechtigten Serverzugriffs, einer Codeausführung, eines IP-Lecks oder einer Einsicht in unverschlüsselten Verkehr auf TrustedServer ist ein einmaliger Bonus von 100.000 US-Dollar ausgelobt.provider claim
Meldungen per E-Mail an security@proton.me. Prämien bis 100.000 US-Dollar, kritische Fälle 25.000 bis 50.000, hohe 2.500 bis 25.000, mittlere 1.000 bis 2.500 US-Dollar. Der Geltungsbereich umfasst Web-, Desktop- und Mobil-Apps sowie Server.provider claim
Handling of reported vulnerabilities
Eigenes Vulnerability Disclosure Program mit zugesagtem Safe Harbor für Sicherheitsforschung im Rahmen der Richtlinie. Meldungen können anonym und ohne Prämie eingereicht werden.provider claim
?
Open source clients
someconfirmed
allconfirmed
Available on F-Droid
noprovider claim
yesconfirmed
Listings by independent bodies
Public audits by PwC, Cure53, KPMG linked from features/trust messagingprovider claim
Privacy Guides führt Proton VPN in seiner VPN-Übersicht (Abruf 03.08.2026) und nennt dort als Kriterien unter anderem WireGuard-Unterstützung, anonyme Zahlungswege und veröffentlichte Audits.confirmed
Proprietary protocol
Lightway. Der Quellcode ist veröffentlicht (Lightway Core in C unter GPL-2.0, laut Repository nicht mehr aktiv entwickelt, sowie die aktive Neuimplementierung Lightway in Rust unter AGPL-3.0). Cure53 prüfte die Rust-Implementierung und die WolfSSL-RS-Anbindung im Oktober und November 2024 und meldete fünf Feststellungen, davon eine als Sicherheitslücke eingestufte Denial-of-Service-Schwachstelle der Stufe High.confirmed
Stealth, eine Eigenentwicklung auf WireGuard-Basis, die den Tunnel als obfuskierten TLS-Verkehr über TCP führt.provider claim
Legacy protocols still offered
PPTP und SSTP werden laut Anbieter in den ExpressVPN-Apps nicht mehr unterstützt.provider claim
none highlighted on features (WireGuard-focused modern stack)provider claim
Default data cipher
AES-256 nach Anbieterangabe, der Betriebsmodus wird nicht dokumentiert.provider claim
AES-256 bei OpenVPN und IKEv2, ChaCha20 bei WireGuardprovider claim
Weakest accepted cipher
AES-256 (no weaker cipher advertised)provider claim
?
Key exchange and authentication
Lightway protocol handshake (plus OpenVPN/IKEv2 options historically)provider claim
Diffie-Hellman-Schlüsselaustausch für die Sitzungsschlüssel; WireGuard nutzt laut Auditbericht zertifikatsbasierte Authentifizierung.provider claim
Post-quantum key exchange
on by defaultprovider claim
?
IPv6 handling
unclearprovider claim
?
Obfuscation methods
Laut Anbieter automatische Verschleierung auf jedem Server, die ohne Zutun greift, wenn ein Netz VPN-Verkehr blockiert. Das Verfahren wird nicht dokumentiert.provider claim
Stealth führt den WireGuard-Tunnel obfuskiert als TLS über TCP. Ergänzend leitet Alternative Routing die App-Verbindung über Drittnetze wie AWS, wenn die Proton-Server blockiert sind.provider claim
Usability behind the Great Firewall
per user reportsprovider claim
unclearprovider claim
Split tunneling
Windows und macOS nach Anwendung und nach Website, Linux nach Anwendung, IP-Adresse oder Subnetz, Android ab 7.0 nach Anwendung. Unter iOS nur Ausschluss einzelner IPv4-Adressen, keine Auswahl nach Anwendung.provider claim
Windows und Android nach Anwendung und IP-Adresse, Linux-GUI und Android TV nach Anwendung, macOS nach Anwendung und dort als experimentell gekennzeichnet (ohne WebKit-Apps einschliesslich Safari), Browser-Erweiterung nach Domain. Ausschluss- und Einschlussmodus je nach Plattform.provider claim
Multihop
not availableprovider claim
freely combinableprovider claim
Tor integration (Onion over VPN)
noprovider claim
yesprovider claim
Port forwarding
not availableprovider claim
limitedprovider claim
Smart DNS
yesprovider claim
noprovider claim
Custom DNS servers allowed
noprovider claim
yesprovider claim
Local network access toggle
yesprovider claim
noprovider claim
Traffic analysis defence
Automatic obfuscation on every server; Lightway protocolprovider claim
Secure Core multi-hop routing in privacy-friendly countriesprovider claim
IPv6 inside the tunnel
noprovider claim
?
Number of servers?
20,522 Serverprovider claim
Number of countries
113 Laenderprovider claim
148 Laenderprovider claim
Number of cities
214 Staedteprovider claim
?
Virtual locations
labelledprovider claim
no virtual locationsprovider claim
RAM-only servers (diskless)
entire networkprovider claim
noprovider claim
Hardware ownership
mixedprovider claim
owned hardwareconfirmed
Own AS (autonomous system)?
yesconfirmed
P2P and file sharing
entire networkprovider claim
dedicated locationsprovider claim
Public status page
noprovider claim
yesprovider claim
Known upstream hosting providers
Not individually listed on server-locations page; markets servers in 113 countriesprovider claim
Secure Core / self-operated hardened servers emphasizedprovider claim
Router support
Kein eigenes Router-Programm und keine eigene Router-Firmware mehr, der Anbieter nennt einen app-first-Ansatz und verweist auf routereigene VPN-Funktionen sowie auf DD-WRT oder OpenWrt. Der eigene Router Aircove wird weiterhin geführt.provider claim
OpenVPN-Konfigurationen für AsusWRT, AsusWRT-Merlin, DD-WRT, FreshTomato, GL.iNet Flint, OpenWRT und pfSense; WireGuard für AsusWRT, MikroTik, OpenWRT, OPNsense und pfSense; ausserdem Vilfo-Router.provider claim
Simultaneous devices
Bis zu 14 Geräte gleichzeitig, abhängig vom gebuchten Tarif.provider claim
10 gleichzeitige Verbindungen in den Bezahltarifen, 1 im Gratistarif; ein Router zählt als eine Verbindung.provider claim
Cash by mail
noprovider claim
yesprovider claim
SEPA payment
noprovider claim
?
Monthly price?
€9.99provider claim
Free tier and its limits
noneprovider claim
Dauerhaft kostenlos, ohne Datenlimit, 1 gleichzeitige Verbindung. Server in 10 Ländern, die zufällig zugewiesen werden (Niederlande, Japan, Rumänien, Polen, Norwegen, Schweiz, Singapur, Mexiko, Kanada, USA). NetShield, Secure Core, Tor-Server, P2P, Portweiterleitung und die Streaming-Freigabe sind den Bezahltarifen vorbehalten.provider claim
P2P policy in the terms of service
entire networkprovider claim
dedicated locationsprovider claim
Netflix regions reported?
Nach Anbieterangabe die lokalen Netflix-Kataloge der USA, Grossbritanniens, Indiens, Italiens, Australiens, Deutschlands, Kanadas, Japans, der Schweiz und Frankreichs.provider claim
Other streaming services
Markets HD/4K streaming on 10G/40G servers; Netflix not region-audited on fetched pagesprovider claim
Der Anbieter listet über 100 Dienste, darunter Disney+, Amazon Prime Video, BBC iPlayer, Hulu und Crunchyroll.provider claim
Data cap
Kein monatliches Datenlimit und keine eigene Bandbreitenbegrenzung nach Anbieterangabe.provider claim
Kein Datenlimit, auch nicht im Gratistarif.provider claim
Official support in restrictive countries
Automatic obfuscation marketed for restrictive networksprovider claim
Für China dokumentiert der Anbieter Stealth-Protokoll und Alternative Routing sowie den Rat, die App vor der Einreise einzurichten, schreibt aber, kein VPN-Dienst könne dort volle Zuverlässigkeit garantieren.provider claim
24/7 live chat
yesprovider claim
noprovider claim
Tracker load of the website
Privacy policy covers website cookies/trackersprovider claim
Privacy policy governs site cookies/trackers; Proton emphasizes privacy-first analytics postureprovider claim
URL of the warrant canary
none foundprovider claim
Keine eigene Warrant-Canary-Seite. Der Anbieter führt stattdessen einen Transparenzbericht unter https://protonvpn.com/blog/transparency-report.provider claim
Length and readability of the legal documents
Standard corporate legal pagesprovider claim
Standard vendor legal pages; privacy policy relatively structuredprovider claim
Marketing claims contradicting the provider's own terms
Markets as World's #1 VPN with intro $2.99/mo on multi-year Basic; servers in 113 countries on server-locations pageprovider claim
Strong open-source + audit marketing; streaming claims on features pageprovider claim

All sourced criteria (150)

 ExpressVPNProton VPN
Legal company name
Express Technologies Ltd.provider claim
Proton AGconfirmed
Trademark holder, if different
Kape Technologies family (joined Kape)provider claim
Proton AG (Proton ecosystem)provider claim
Year founded
2009provider claim
2017provider claim
Headquarters (country)
VGprovider claim
CHconfirmed
Other relevant jurisdictions
Britische Jungferninseln (Vertragspartner und Gerichtsstand laut Nutzungsbedingungen), Vereinigtes Königreich (Mutterkonzern Kape Technologies mit Sitz in London)provider claim
Schweiz (Proton AG, Genf); als Vertreter in der EU benennt die Datenschutzerklärung die Proton Europe sarl, rue de Grünewald 94, L-1912 Luxemburg.provider claim
Intelligence alliance of the home country
noneconfirmed
noneprovider claim
Parent group / holding
Kape Technologiesconfirmed
Proton Foundation, Genf, Hauptaktionärin der Proton AG seit Juni 2024confirmed
Beneficial owners publicly known
fully knownconfirmed
partly knownprovider claim
Ownership structure
private equityconfirmed
non-profitconfirmed
Leadership team publicly named
noprovider claim
yesconfirmed
Verifiable postal address for legal service
noprovider claim
yesconfirmed
Sister VPN brands in the group
Private Internet Access, CyberGhost VPNconfirmed
none (Proton Mail/Drive/Pass ecosystem; not separate VPN sister brands)provider claim
Group owns VPN review and comparison sites
Der Konzern übernahm im März 2021 Webselenese, den Betreiber der VPN-Vergleichsseiten vpnMentor und Wizcase, Kaufpreis 149,1 Millionen US-Dollar. Webselenese wird auf der Konzernseite als Marke geführt.confirmed
none disclosedprovider claim
Runs an affiliate programme
yesprovider claim
yesprovider claim
Typical commission rate?
30 Prozent auf die meisten neuen Monatsabos (Mail, VPN, Drive, Pass, Lumo), 100 Prozent auf neue Drive-Monatsabos, 40 Prozent auf neue Drive-Jahres- und Zweijahresabos, 30 Prozent auf Verlängerungen.provider claim
YouTube and influencer sponsoring
occasionalprovider claim
occasionalprovider claim
Acquisition history / former name
2018 Umbenennung des Adware-Entwicklers Crossrider in Kape Technologies. 13.09.2021 Übernahme von ExpressVPN durch Kape für 936 Millionen US-Dollar. 26.04.2023 Übernahmeangebot von Unikmind Holdings für unbedingt erklärt, Streichung von der Londoner AIM zum 31.05.2023 angekündigt.confirmed
No VPN-brand acquisition history described on fetched Proton VPN home/features/wiki pages (Proton AG product)provider claim
Operating status
activeconfirmed
activeconfirmed
Core statement of the logging policy
Laut Datenschutzerklärung werden keine Aktivitätslogs (Browserverlauf, Zielserver, Inhalte, DNS-Anfragen) und keine Verbindungslogs (IP-Adresse, ausgehende VPN-IP, Verbindungszeitpunkt, Sitzungsdauer) gespeichert. Erhoben werden der Tag eines erfolgreichen Verbindungsaufbaus ohne Uhrzeit, der gewählte Standort und die Summe des je Konto übertragenen Datenvolumens.provider claim
Laut Datenschutzerklärung protokolliert Proton VPN weder den Datenverkehr noch den Inhalt von Kommunikation und speichert keine VPN-Sitzungsdaten.provider claim
Activity and traffic logs
noneprovider claim
noneconfirmed
Connection logs
noneprovider claim
aggregated onlyconfirmed
Storage of the real IP address
not storedprovider claim
not storedconfirmed
Storage of the assigned VPN IP
not storedprovider claim
not storedprovider claim
Precision of stored timestamps
coarse (date only)provider claim
noneconfirmed
Recording of transferred data volume
per accountprovider claim
not recordedprovider claim
Enforcement of the device limit
10–14 simultaneous connections depending on plan tierprovider claim
Laut Auditbericht wird die aktive Sitzung in einem flüchtigen Speicher auf dem Server gehalten; ein getrennter Abrechnungsdienst in der Schweiz setzt Sitzungsgrenzen etwa für Gratiskonten durch, ohne nutzeridentifizierende Daten zu protokollieren.confirmed
Minimum account data required
Name, E-Mail-Adresse und Zahlungsdaten bei Anlage eines Kontos laut Datenschutzerklärung.provider claim
Für den Gratistarif eine externe, nicht von Proton stammende E-Mail-Adresse als Benutzername und ein Passwort; Zahlungsdaten sind dafür nicht nötig.provider claim
Telemetry in the apps
opt inprovider claim
on by defaultconfirmed
Trackers and SDKs in the Android app
AppsFlyer (attribution; advertising IDs with consent); additional analytics platforms referenced for marketingconfirmed
None named for VPN apps in Proton privacy policy; website uses self-developed local analytics; third parties may process image deliveryprovider claim
Trackers in the iOS app
AppsFlyer (attribution; IDFA with consent); Sentry and platform crash reporters discussed for appsconfirmed
None named for VPN apps in Proton privacy policy; website uses self-developed local analytics; third parties may process image deliveryprovider claim
Trackers and cookies on the website
Privacy policy discloses marketing/analytics cookies on websiteprovider claim
Laut Datenschutzerklärung nutzt Proton eine lokal installierte, selbst entwickelte Analysesoftware und speichert dafür keine IP-Adressen.provider claim
Data shared with third parties
Die Richtlinie nennt Dienstleister für Zahlungsabwicklung und Betrieb der Dienste sowie Marketingpartner für die Zuordnung von Werbekontakten. Die Empfänger werden nicht einzeln aufgezählt.provider claim
Laut Datenschutzerklärung Auftragsverarbeiter für Support und Zahlungsabwicklung, genannt werden unter anderem Zendesk, Stripe, PayPal, Chargebee und Atlassian.provider claim
Retention periods stated in the policy
Keine allgemeine Frist genannt, die Richtlinie spricht von einem begrenzten Zeitraum nach geltendem Datenschutzrecht. Für transaktionsbezogene Kommunikation nennt sie zehn Jahre.provider claim
Nutzungsstatistiken werden nach Anbieterangabe nach 30 Tagen gelöscht. Für IP-Protokolle nennt die Datenschutzerklärung keine feste Frist, sondern eine vorübergehende Speicherung zur Missbrauchsabwehr und eine dauerhafte Speicherung bei Verstößen gegen die Nutzungsbedingungen.provider claim
EU representative named under GDPR
yesprovider claim
yesprovider claim
Independent no-logs audit
yesconfirmed
yesconfirmed
No-logs audit details
KPMG LLP, Prüfung nach ISAE (UK) 3000 Type 1 zum Stichtag 28.02.2025. Geprüft wurden die TrustedServer-Architektur und die Logging-Aussagen der Datenschutzerklärung anhand von Dokumentenprüfung, Systembeobachtung und Interviews. Type 1 bewertet die Ausgestaltung der Kontrollen zu einem Stichtag, nicht ihre Wirksamkeit über einen Zeitraum, und umfasste keine vollständige Sicherheitsanalyse.confirmed
Securitum, zwei Prüfer vor Ort im Proton-Büro Zürich vom 18. bis 20.08.2025, sechs Personentage, Berichtsversion 1.0 vom 19.09.2025. Der Bericht bezeichnet die Prüfung als begleitete Sichtung zufällig ausgewählter Produktivserver, nicht als unbeaufsichtigte forensische Untersuchung.confirmed
Audit report published
full reportconfirmed
full reportconfirmed
App and client audits
Cure53 veröffentlichte Berichte zur Browser-Erweiterung (10.-11.2018 und 09.-10.2022), zu ExpressVPN Keys (09.-10.2022), zum iOS-Client (08.-09.2022), zum Android-Client (08.2022), zum macOS-Client (06.-07.2022) und zu den Linux-Clients (07.-08.2022).confirmed
Der Anbieter verlinkt einen öffentlichen Sicherheitsbericht zu Proton VPN neben Berichten zu Mail, Calendar, Drive und Pass. Privacy Guides nennt Ruben Santamarta als Prüfer der Proton-VPN-Apps und Browser-Erweiterungen.provider claim
Infrastructure and server audits
Cure53 prüfte TrustedServer im Zeitraum 04.-05.2022 sowie die Router-Firmware Aircove 06.-07.2022 und 11.2024. Der Anbieter nennt zusätzlich eine Prüfung von TrustedServer durch PwC.confirmed
Securitum inspizierte 2025 die Produktiv-VPN-Infrastruktur vor Ort. Ausdrücklich ausgenommen waren die CI/CD-Pipeline, ein formales Quellcode-Review, Binäranalysen der Client- und Serversoftware sowie Nebensysteme wie Buchhaltung und Kontoverwaltung.confirmed
Audit frequency
annualconfirmed
annualconfirmed
Tested in court or by authorities
Im Januar 2017 beschlagnahmten türkische Behörden im Ermittlungsverfahren zur Ermordung des russischen Botschafters Andrej Karlow einen von ExpressVPN genutzten Server. Nach dem Bericht konnten die Ermittler daraus keine Nutzerdaten gewinnen, der Anbieter erklärte, keine Verbindungs- oder Aktivitätslogs zu besitzen. ExpressVPN stellte danach den Betrieb physischer Server in der Türkei ein und liefert türkische IP-Adressen über Server in den Niederlanden.confirmed
Nach eigenem Transparenzbericht erhielt Proton VPN seit dem Start 2017 insgesamt 458 rechtsverbindliche Anordnungen Schweizer Behörden und konnte in keinem Fall Daten liefern; Stand der Seite ist der 14.07.2026.provider claim
Transparency report
regularprovider claim
regularprovider claim
Warrant canary
noneprovider claim
noneprovider claim
Bug bounty programme
Öffentliches Programm über die Plattform YesWeHack, alternativ Meldung per E-Mail. Geltungsbereich sind Desktop- und Mobil-Apps, Router und Router-Firmware (Aircove), Browser-Erweiterungen, Backend-Systeme und die VPN-Server mit TrustedServer-Technik. Für den ersten Nachweis eines unberechtigten Serverzugriffs, einer Codeausführung, eines IP-Lecks oder einer Einsicht in unverschlüsselten Verkehr auf TrustedServer ist ein einmaliger Bonus von 100.000 US-Dollar ausgelobt.provider claim
Meldungen per E-Mail an security@proton.me. Prämien bis 100.000 US-Dollar, kritische Fälle 25.000 bis 50.000, hohe 2.500 bis 25.000, mittlere 1.000 bis 2.500 US-Dollar. Der Geltungsbereich umfasst Web-, Desktop- und Mobil-Apps sowie Server.provider claim
Handling of reported vulnerabilities
Eigenes Vulnerability Disclosure Program mit zugesagtem Safe Harbor für Sicherheitsforschung im Rahmen der Richtlinie. Meldungen können anonym und ohne Prämie eingereicht werden.provider claim
?
Open source clients
someconfirmed
allconfirmed
Open source server side
noprovider claim
noconfirmed
Reproducible builds
noprovider claim
noprovider claim
Available on F-Droid
noprovider claim
yesconfirmed
Listings by independent bodies
Public audits by PwC, Cure53, KPMG linked from features/trust messagingprovider claim
Privacy Guides führt Proton VPN in seiner VPN-Übersicht (Abruf 03.08.2026) und nennt dort als Kriterien unter anderem WireGuard-Unterstützung, anonyme Zahlungswege und veröffentlichte Audits.confirmed
WireGuard
yesprovider claim
yesprovider claim
OpenVPN over UDP
yesprovider claim
yesprovider claim
OpenVPN over TCP
yesprovider claim
yesprovider claim
IKEv2/IPsec
yesprovider claim
yesprovider claim
Proprietary protocol
Lightway. Der Quellcode ist veröffentlicht (Lightway Core in C unter GPL-2.0, laut Repository nicht mehr aktiv entwickelt, sowie die aktive Neuimplementierung Lightway in Rust unter AGPL-3.0). Cure53 prüfte die Rust-Implementierung und die WolfSSL-RS-Anbindung im Oktober und November 2024 und meldete fünf Feststellungen, davon eine als Sicherheitslücke eingestufte Denial-of-Service-Schwachstelle der Stufe High.confirmed
Stealth, eine Eigenentwicklung auf WireGuard-Basis, die den Tunnel als obfuskierten TLS-Verkehr über TCP führt.provider claim
Legacy protocols still offered
PPTP und SSTP werden laut Anbieter in den ExpressVPN-Apps nicht mehr unterstützt.provider claim
none highlighted on features (WireGuard-focused modern stack)provider claim
Default data cipher
AES-256 nach Anbieterangabe, der Betriebsmodus wird nicht dokumentiert.provider claim
AES-256 bei OpenVPN und IKEv2, ChaCha20 bei WireGuardprovider claim
Weakest accepted cipher
AES-256 (no weaker cipher advertised)provider claim
?
Key exchange and authentication
Lightway protocol handshake (plus OpenVPN/IKEv2 options historically)provider claim
Diffie-Hellman-Schlüsselaustausch für die Sitzungsschlüssel; WireGuard nutzt laut Auditbericht zertifikatsbasierte Authentifizierung.provider claim
Perfect forward secrecy
yesprovider claim
yesprovider claim
Post-quantum key exchange
on by defaultprovider claim
?
Own DNS resolvers
yesprovider claim
yesconfirmed
DNS leak protection
yesprovider claim
yesprovider claim
IPv6 handling
unclearprovider claim
?
WebRTC protection or guidance
yesprovider claim
yesprovider claim
Obfuscation methods
Laut Anbieter automatische Verschleierung auf jedem Server, die ohne Zutun greift, wenn ein Netz VPN-Verkehr blockiert. Das Verfahren wird nicht dokumentiert.provider claim
Stealth führt den WireGuard-Tunnel obfuskiert als TLS über TCP. Ergänzend leitet Alternative Routing die App-Verbindung über Drittnetze wie AWS, wenn die Proton-Server blockiert sind.provider claim
Usability behind the Great Firewall
per user reportsprovider claim
unclearprovider claim
Kill switch
system-wideprovider claim
system-wideprovider claim
Permanent lockdown
yesprovider claim
yesprovider claim
Split tunneling
Windows und macOS nach Anwendung und nach Website, Linux nach Anwendung, IP-Adresse oder Subnetz, Android ab 7.0 nach Anwendung. Unter iOS nur Ausschluss einzelner IPv4-Adressen, keine Auswahl nach Anwendung.provider claim
Windows und Android nach Anwendung und IP-Adresse, Linux-GUI und Android TV nach Anwendung, macOS nach Anwendung und dort als experimentell gekennzeichnet (ohne WebKit-Apps einschliesslich Safari), Browser-Erweiterung nach Domain. Ausschluss- und Einschlussmodus je nach Plattform.provider claim
Multihop
not availableprovider claim
freely combinableprovider claim
Tor integration (Onion over VPN)
noprovider claim
yesprovider claim
Port forwarding
not availableprovider claim
limitedprovider claim
SOCKS5 proxy
noprovider claim
noprovider claim
HTTP proxy
noprovider claim
noprovider claim
Smart DNS
yesprovider claim
noprovider claim
Ad and tracker filtering in DNS
configurableprovider claim
configurableprovider claim
Malware and phishing filter
yesprovider claim
yesprovider claim
Custom DNS servers allowed
noprovider claim
yesprovider claim
Local network access toggle
yesprovider claim
noprovider claim
Auto connect rules
yesprovider claim
yesprovider claim
Private device network (mesh)
noprovider claim
noprovider claim
GPS location override (Android)
noprovider claim
noprovider claim
Traffic analysis defence
Automatic obfuscation on every server; Lightway protocolprovider claim
Secure Core multi-hop routing in privacy-friendly countriesprovider claim
IPv6 inside the tunnel
noprovider claim
?
Obfuscation without configuration
noprovider claim
noprovider claim
Number of servers?
20,522 Serverprovider claim
Number of countries
113 Laenderprovider claim
148 Laenderprovider claim
Number of cities
214 Staedteprovider claim
?
Virtual locations
labelledprovider claim
no virtual locationsprovider claim
RAM-only servers (diskless)
entire networkprovider claim
noprovider claim
Hardware ownership
mixedprovider claim
owned hardwareconfirmed
Own AS (autonomous system)?
yesconfirmed
10 Gbps ports
some serversprovider claim
some serversprovider claim
P2P and file sharing
entire networkprovider claim
dedicated locationsprovider claim
Public server list
yesprovider claim
yesprovider claim
Public status page
noprovider claim
yesprovider claim
Known upstream hosting providers
Not individually listed on server-locations page; markets servers in 113 countriesprovider claim
Secure Core / self-operated hardened servers emphasizedprovider claim
Windows app
native appprovider claim
native appprovider claim
macOS app
native appprovider claim
native appprovider claim
Linux app with GUI
native appprovider claim
native appconfirmed
Linux command line
native appprovider claim
native appconfirmed
Android app
native appprovider claim
native appconfirmed
iOS app
native appprovider claim
native appprovider claim
Android TV app
native appprovider claim
native appprovider claim
Apple TV app
native appprovider claim
native appprovider claim
Fire TV app
native appprovider claim
native appprovider claim
Browser extension
own extensionprovider claim
own extensionprovider claim
Type of browser extension
standalone browser proxyprovider claim
standalone browser proxyprovider claim
Router support
Kein eigenes Router-Programm und keine eigene Router-Firmware mehr, der Anbieter nennt einen app-first-Ansatz und verweist auf routereigene VPN-Funktionen sowie auf DD-WRT oder OpenWrt. Der eigene Router Aircove wird weiterhin geführt.provider claim
OpenVPN-Konfigurationen für AsusWRT, AsusWRT-Merlin, DD-WRT, FreshTomato, GL.iNet Flint, OpenWRT und pfSense; WireGuard für AsusWRT, MikroTik, OpenWRT, OPNsense und pfSense; ausserdem Vilfo-Router.provider claim
Native build for Apple Silicon
yesprovider claim
yesprovider claim
Command line documented
yesprovider claim
yesprovider claim
Simultaneous devices
Bis zu 14 Geräte gleichzeitig, abhängig vom gebuchten Tarif.provider claim
10 gleichzeitige Verbindungen in den Bezahltarifen, 1 im Gratistarif; ein Router zählt als eine Verbindung.provider claim
Usable without an account
noprovider claim
noprovider claim
Data required at signup
any email addressprovider claim
any email addressprovider claim
Account model
email as loginprovider claim
email as loginprovider claim
Cash by mail
noprovider claim
yesprovider claim
Monero
noprovider claim
noprovider claim
Bitcoin
yesprovider claim
yesprovider claim
Lightning
noprovider claim
noprovider claim
Retail gift cards
noprovider claim
noprovider claim
PayPal
yesprovider claim
yesprovider claim
Credit and debit card
yesprovider claim
yesprovider claim
SEPA payment
noprovider claim
?
Monthly price?
€9.99provider claim
Effective price on the longest term
€2.99provider claim
€2.99provider claim
Price change at renewal
very large increaseprovider claim
very large increaseprovider claim
Flat pricing without permanent discounts
noprovider claim
noprovider claim
Free tier and its limits
noneprovider claim
Dauerhaft kostenlos, ohne Datenlimit, 1 gleichzeitige Verbindung. Server in 10 Ländern, die zufällig zugewiesen werden (Niederlande, Japan, Rumänien, Polen, Norwegen, Schweiz, Singapur, Mexiko, Kanada, USA). NetShield, Secure Core, Tor-Server, P2P, Portweiterleitung und die Streaming-Freigabe sind den Bezahltarifen vorbehalten.provider claim
Money-back window
30 Tageprovider claim
30 Tageprovider claim
Cancellation path
cancel in accountprovider claim
cancel in accountprovider claim
P2P policy in the terms of service
entire networkprovider claim
dedicated locationsprovider claim
Streaming unblocking officially advertised
yesprovider claim
yesprovider claim
Netflix regions reported?
Nach Anbieterangabe die lokalen Netflix-Kataloge der USA, Grossbritanniens, Indiens, Italiens, Australiens, Deutschlands, Kanadas, Japans, der Schweiz und Frankreichs.provider claim
Other streaming services
Markets HD/4K streaming on 10G/40G servers; Netflix not region-audited on fetched pagesprovider claim
Der Anbieter listet über 100 Dienste, darunter Disney+, Amazon Prime Video, BBC iPlayer, Hulu und Crunchyroll.provider claim
Bandwidth cap
no limitprovider claim
no limitprovider claim
Data cap
Kein monatliches Datenlimit und keine eigene Bandbreitenbegrenzung nach Anbieterangabe.provider claim
Kein Datenlimit, auch nicht im Gratistarif.provider claim
Official support in restrictive countries
Automatic obfuscation marketed for restrictive networksprovider claim
Für China dokumentiert der Anbieter Stealth-Protokoll und Alternative Routing sowie den Rat, die App vor der Einreise einzurichten, schreibt aber, kein VPN-Dienst könne dort volle Zuverlässigkeit garantieren.provider claim
24/7 live chat
yesprovider claim
noprovider claim
Email or ticket support
yesprovider claim
yesprovider claim
Telephone support
noprovider claim
noprovider claim
German-language support
yesprovider claim
yesprovider claim
Documentation assessment
thorough and currentprovider claim
thorough and currentprovider claim
Self-hosted chat widget
noprovider claim
noprovider claim
Self-service account deletion
yesprovider claim
yesprovider claim
SSL Labs grade of the website
A+confirmed
A+confirmed
Tracker load of the website
Privacy policy covers website cookies/trackersprovider claim
Privacy policy governs site cookies/trackers; Proton emphasizes privacy-first analytics postureprovider claim
URL of the warrant canary
none foundprovider claim
Keine eigene Warrant-Canary-Seite. Der Anbieter führt stattdessen einen Transparenzbericht unter https://protonvpn.com/blog/transparency-report.provider claim
Length and readability of the legal documents
Standard corporate legal pagesprovider claim
Standard vendor legal pages; privacy policy relatively structuredprovider claim
Marketing claims contradicting the provider's own terms
Markets as World's #1 VPN with intro $2.99/mo on multi-year Basic; servers in 113 countries on server-locations pageprovider claim
Strong open-source + audit marketing; streaming claims on features pageprovider claim