Hotspot Shield / Mullvad VPN im Vergleich
Gleiche Kriterien, gleiche Regeln. Sie sehen die Abweichungen.
Kein Sieger auf dieser Seite. vpn-matrix.com vergibt weder Punkte noch Empfehlungen.
Unterschiede (114)
Kriterien, bei denen die Werte auseinanderlaufen.
| Hotspot Shield | Mullvad VPN | |
|---|---|---|
| Juristischer Firmenname | Anchorfree, LLC / Pango GmbH (product under Point Wild / formerly Pango Group)Anbieterangabe | Mullvad VPN ABbelegt |
| Markeninhaber, falls abweichend | Point Wild (HotSpot Shield brand)Anbieterangabe | Mullvad VPN ABAnbieterangabe |
| Gründungsjahr | 2008belegt | 2009Anbieterangabe |
| Hauptsitz (Land) | USAnbieterangabe | SEbelegt |
| Weitere relevante Jurisdiktionen | United States (Redwood City, California); Pango/Point Wild operatorbelegt | SwedenAnbieterangabe |
| Geheimdienst-Allianz des Sitzlandes | Five Eyesbelegt | 14 Eyesbelegt |
| Mutterkonzern / Holding | Point Wildbelegt | Amagicom ABAnbieterangabe |
| Wirtschaftlich Berechtigte öffentlich bekannt | teilweise bekanntAnbieterangabe | vollständig bekanntAnbieterangabe |
| Eigentumsform | BeteiligungskapitalAnbieterangabe | in GründerhandAnbieterangabe |
| Schwester-VPN-Marken im Konzern | Betternet, Ultra VPN / UltraAV, VPN360, Touch VPN (per Point Wild / Pango portfolio disclosures)Anbieterangabe | noneAnbieterangabe |
| Konzern besitzt VPN-Test- und Vergleichsseiten | Comparitech (listed among Point Wild brands)Anbieterangabe | noneAnbieterangabe |
| Betreibt Affiliate-Programm | jaAnbieterangabe | neinAnbieterangabe |
| Übliche Provisionshöhe | ? | none (no classic affiliate commission program; reseller partnerships exist)Anbieterangabe |
| YouTube- und Influencer-Sponsoring | vereinzeltAnbieterangabe | keinesAnbieterangabe |
| Dokumentierte irreführende Werbeaussagen | 'Military-grade' encryption wording appears on download/marketing pages; Hydra marketed as '#1 for speed'Anbieterangabe | ? |
| Übernahme-Historie / früherer Name | AnchorFree → Pango; Aura/Pango era; Dec 2024 Pango Group merged with Total Security and rebranded Point WildAnbieterangabe | none disclosed on homeAnbieterangabe |
| Kernaussage der Logging-Policy | Does not store VPN browsing activity tied to a user; logs session duration, bandwidth, anonymized domains, device hashes; source IP encrypted then deleted at session endbelegt | Kontonummer und Ablaufdatum sind die einzigen dauerhaft gespeicherten Kontodaten. Keine Speicherung von Verkehrsdaten, DNS-Anfragen, IP-Adressen, Verbindungszeitpunkten und Bandbreite je Konto.Anbieterangabe |
| Verbindungs-Logs | pro Sitzungbelegt | keineAnbieterangabe |
| Speicherung der echten IP-Adresse | nur fluechtigbelegt | nicht gespeichertAnbieterangabe |
| Genauigkeit gespeicherter Zeitstempel | sekundengenauAnbieterangabe | keineAnbieterangabe |
| Erfassung des Datenvolumens | pro Kontobelegt | nur SummenAnbieterangabe |
| Durchsetzung des Geraetelimits | Premium links up to 10 devices per accountAnbieterangabe | Zählung der gleichzeitigen Verbindungen laut Anbieter ausschließlich im Arbeitsspeicher, ohne dauerhafte Speicherung auf Datenträger.Anbieterangabe |
| Minimal noetige Kontodaten | Device hashes for free products without account; paid/account flows collect additional account data per general policyAnbieterangabe | Kontonummer und Ablaufdatum. Kein Benutzername, kein Passwort, keine E-Mail-Adresse.Anbieterangabe |
| Telemetrie in den Apps | nicht abschaltbarAnbieterangabe | keineAnbieterangabe |
| Tracker und SDKs in der Android-App | Free versions: Google advertising ID (AAID) to Google for personalized adsAnbieterangabe | No third-party analytics SDKs described; first-party app telemetry sends app/OS version counters onlybelegt |
| Tracker in der iOS-App | Free versions: IDFA to Google for personalized adsAnbieterangabe | No third-party analytics SDKs described in no-logging policy; first-party version telemetry discussed primarily with Android examplesAnbieterangabe |
| Tracker und Cookies auf der Website | Cookies for analytics, personalization, and targeted advertising (site cookie banner)Anbieterangabe | Laut Cookie-Richtlinie fünf Cookies: authToken, language, csrftoken sowie __stripe_sid und __stripe_mid des Zahlungsdienstleisters Stripe. Keine Analyse- oder Werbecookies genannt.Anbieterangabe |
| Datenweitergabe an Dritte | Free VPN versions: Google for personalized ads (AAID/IDFA); paid versions do not send to ad partners. Domain names logged anonymized/aggregated.Anbieterangabe | Zahlungsdienstleister (unter anderem Stripe, PayPal, Swish) und Auftragsverarbeiter für Dienstleistungen. Laut Datenschutzerklärung keine Übermittlung außerhalb von EU und EWR.Anbieterangabe |
| Aufbewahrungsfristen laut Policy | Source IP collected for VPN session then deleted at session end; domains aggregated ~monthly; device hashes retained for analyticsAnbieterangabe | Zahlungs- und Transaktions-IDs 20 Tage. Buchhaltungsunterlagen nach schwedischem Buchführungsgesetz sieben Jahre. Support-E-Mails 70 Tage. Nginx-Zugriffsprotokolle des Webservers bis zu fünf Minuten.Anbieterangabe |
| Details zum No-Log-Audit | Aon technical assessment for Pango Group, report dated 2023-08-25; free and paid tiers; client+server; concluded policy assertions fairly representedbelegt | Assured Security Consultants, Serverprüfung 25.04. bis 13.05.2022, Bericht vom 21.06.2022: 0 kritische, 0 hohe, 11 mittlere, 9 niedrige Befunde. Fazit: die Konfiguration zeigte keine Anzeichen direkter Kundeninformationen.belegt |
| Prüfbericht öffentlich | nur Zusammenfassungbelegt | vollständigbelegt |
| Audits der Apps und Clients | none published on fetched pagesAnbieterangabe | App-Audits im Repository dokumentiert: Assured und Cure53 (2018), Cure53 (2020), Atredis (2022), X41 D-Sec (2024), NCC Group Android (2025), Leviathan Security Android (2026). Dazu X41 D-Sec für Konto- und Zahlungsdienste (Bericht vom 20.01.2026).belegt |
| Infrastruktur- und Server-Audits | none published on fetched pagesAnbieterangabe | Cure53 prüfte vom 03. bis 14.06.2024 WireGuard- und OpenVPN-Relays im Whitebox-Verfahren und fand fünf Punkte, davon einen mittleren und einen niedrigen Befund. Zuvor Assured (2022) und Radically Open Security (2023).belegt |
| Prüfrhythmus | unregelmäßigAnbieterangabe | ? |
| Gerichtlich oder behördlich auf die Probe gestellt | none documented on fetched official pagesAnbieterangabe | Am 18.04.2023 durchsuchten Beamte der schwedischen Polizeieinheit NOA das Büro in Göteborg. Der Durchsuchungsbeschluss war am 17.02.2023 auf ein deutsches Rechtshilfeersuchen hin ergangen. Nach Anbieterangabe verließen die Beamten den Standort ohne Beschlagnahme und ohne Kundendaten.Anbieterangabe |
| Sicherheitsvorfälle und Datenlecks | 2017 CDT complaint to FTC alleging undisclosed data sharing/traffic redirection on Hotspot Shield Free (per Wikipedia)belegt | ? |
| Bug-Bounty-Programm | none published on fetched Hotspot Shield/Pango pagesAnbieterangabe | Kein Bug-Bounty-Programm mit Geldprämien. Meldungen per E-Mail, auf Wunsch PGP-verschlüsselt; der Anbieter sagt zu, gegen meldende Sicherheitsforschende nicht rechtlich vorzugehen.Anbieterangabe |
| Umgang mit gemeldeten Schwachstellen | none disclosed on fetched pagesAnbieterangabe | Veröffentlichte Offenlegungsrichtlinie: Vorfälle mit Bezug zu Kundendaten werden nach Behebung öffentlich beschrieben, Vorfälle ohne Kundendatenbezug nur intern behandelt.Anbieterangabe |
| Clients quelloffen | keineAnbieterangabe | allebelegt |
| Serverseite quelloffen | neinAnbieterangabe | teilweiseAnbieterangabe |
| Reproduzierbare Builds | neinAnbieterangabe | jaAnbieterangabe |
| In F-Droid verfügbar | neinAnbieterangabe | jaAnbieterangabe |
| Nennungen durch unabhängige Stellen | Cited Speedtest/Ookla fastest VPN; TechRadar, CNET, ZDNet, PCWorld quotes on marketing pagesAnbieterangabe | Privacy Guides führt Mullvad neben Proton VPN und IVPN als einen von drei empfohlenen VPN-Anbietern und nennt dabei Audits, Monero- und Barzahlung sowie die Offenlegung von eigenen und gemieteten Servern.belegt |
| WireGuard | neinAnbieterangabe | jaAnbieterangabe |
| OpenVPN ueber UDP | jabelegt | neinbelegt |
| OpenVPN ueber TCP | jaAnbieterangabe | neinbelegt |
| IKEv2/IPsec | jabelegt | neinAnbieterangabe |
| Eigenes Protokoll | Hydra (developed internally by Pango)belegt | noneAnbieterangabe |
| Noch angebotene Altprotokolle | Proprietary Hydra primary; OpenVPN/WireGuard not advertised as primary on fetched product pagesAnbieterangabe | OpenVPN removed (removal announced; WireGuard-only network in relays API)Anbieterangabe |
| Standard-Cipher fuer Nutzdaten | AES-256belegt | ChaCha20 mit Poly1305-Authentifizierung (AEAD nach RFC 7539)Anbieterangabe |
| Schwaechste akzeptierte Cipher | AES-256Anbieterangabe | ? |
| Schluesselaustausch und Authentifizierung | Catapult Hydra proprietary protocolAnbieterangabe | Noise_IK-Handshake mit Curve25519-ECDH, BLAKE2s als Hash und HKDF zur SchlüsselableitungAnbieterangabe |
| Perfect Forward Secrecy | ? | jabelegt |
| Post-Quantum-Schluesselaustausch | nicht vorhandenAnbieterangabe | standardmaessig aktivAnbieterangabe |
| Schutz vor DNS-Lecks | ? | jaAnbieterangabe |
| Umgang mit IPv6 | unklarAnbieterangabe | durch den Tunnelbelegt |
| WebRTC-Schutz oder Dokumentation | neinAnbieterangabe | jaAnbieterangabe |
| Verschleierungsverfahren | Hydra proprietary protocol marketed for speed/security; censorship circumvention history (Arab Spring) per WikipediaAnbieterangabe | Vier Verfahren in der App: Lightweight WireGuard Obfuscation (LWO), WireGuard über QUIC (UDP 443), WireGuard über Shadowsocks und UDP-over-TCP (Ports 80, 443, 5001).Anbieterangabe |
| Verbindungssperre (Kill Switch) | nicht vorhandenAnbieterangabe | systemweitAnbieterangabe |
| Dauerhafte Sperre (Lockdown) | neinAnbieterangabe | jaAnbieterangabe |
| Split Tunneling | not offered on Hotspot Shield select-plan/feature lists fetchedAnbieterangabe | Anwendungsbasiert auf Windows, Linux, macOS und Android. Auf iOS laut Feature-Matrix nicht vorhanden.Anbieterangabe |
| Mehrfach-Hop (Multihop) | nicht vorhandenAnbieterangabe | frei kombinierbarAnbieterangabe |
| SOCKS5-Proxy | neinAnbieterangabe | jaAnbieterangabe |
| Werbe- und Trackerfilter im DNS | feste ListeAnbieterangabe | einstellbarAnbieterangabe |
| Eigene DNS-Server erlaubt | neinAnbieterangabe | jaAnbieterangabe |
| Zugriff auf das lokale Netz | neinAnbieterangabe | jaAnbieterangabe |
| Regeln fuer automatisches Verbinden | neinAnbieterangabe | jaAnbieterangabe |
| Abwehr von Verkehrsanalyse | Proprietary Catapult Hydra protocol; historical circumvention useAnbieterangabe | DAITA (Defense Against AI-guided Traffic Analysis) mit konstanten Paketgrößen, zufälligem Hintergrundverkehr und Musterverzerrung, aufgebaut auf dem quelloffenen Maybenot-Framework. Laut Feature-Matrix auf allen fünf Plattformen verfügbar.Anbieterangabe |
| IPv6 im Tunnel | neinAnbieterangabe | jaAnbieterangabe |
| Anzahl Server | 1.800 ServerAnbieterangabe | 576 Serverbelegt |
| Anzahl Laender | 80 LaenderAnbieterangabe | 50 Laenderbelegt |
| Anzahl Staedte | 35 StaedteAnbieterangabe | 91 Staedtebelegt |
| Virtuelle Standorte | nicht gekennzeichnetAnbieterangabe | keine virtuellenAnbieterangabe |
| RAM-only Server (diskless) | neinAnbieterangabe | gesamtes Netzbelegt |
| Eigentum an der Hardware | gemietetAnbieterangabe | gemischtbelegt |
| 10-Gbit-Anbindung | neinAnbieterangabe | ein Teilbelegt |
| Bekannte Upstream-Hoster | Third-party infrastructure providers (unnamed); Pango states it would leave any provider requiring activity loggingAnbieterangabe | 14 Betreiber laut Relay-Liste: 31173, Blix, Creanova, DataPacket, HostRoyale, M247, PrivateLayer, Tzulo, Veloxserv, Zenlayer, hostuniversal, iRegister, techfutures, xtom.belegt |
| Linux-App mit Oberflaeche | nicht verfuegbarAnbieterangabe | eigene AppAnbieterangabe |
| Linux-Kommandozeile | nicht verfuegbarAnbieterangabe | eigene AppAnbieterangabe |
| Android-TV-App | eigene AppAnbieterangabe | nicht verfuegbarAnbieterangabe |
| Fire-TV-App | eigene AppAnbieterangabe | nicht verfuegbarAnbieterangabe |
| Browser-Erweiterung | nicht verfuegbarAnbieterangabe | eigene ErweiterungAnbieterangabe |
| Art der Browser-Erweiterung | keine ErweiterungAnbieterangabe | Steuerung der AppAnbieterangabe |
| Router-Unterstuetzung | Router mentioned as connectable device under Premium (up to 10 devices)Anbieterangabe | Dokumentierte Anleitungen für OpenWrt und pfSense, jeweils mit WireGuard.Anbieterangabe |
| Kommandozeile dokumentiert | neinAnbieterangabe | jabelegt |
| Gleichzeitige Geraete | 10Anbieterangabe | 5Anbieterangabe |
| Nutzung ohne Konto | neinAnbieterangabe | jaAnbieterangabe |
| Angaben bei der Registrierung | beliebige AdresseAnbieterangabe | keine Angabe noetigAnbieterangabe |
| Kontomodell | E-Mail als LoginAnbieterangabe | reine KontonummerAnbieterangabe |
| Barzahlung per Post | neinAnbieterangabe | jaAnbieterangabe |
| Monero | neinAnbieterangabe | jaAnbieterangabe |
| Bitcoin | neinAnbieterangabe | jaAnbieterangabe |
| Gutscheinkarten aus dem Einzelhandel | neinAnbieterangabe | jaAnbieterangabe |
| PayPal | neinAnbieterangabe | jaAnbieterangabe |
| SEPA-Zahlung | neinAnbieterangabe | jaAnbieterangabe |
| Monatstarif | 11,99 €Anbieterangabe | 5,00 €Anbieterangabe |
| Effektivpreis der laengsten Laufzeit | 7,99 €Anbieterangabe | 5,00 €Anbieterangabe |
| Preissprung bei der Verlaengerung | moderater AufschlagAnbieterangabe | gleicher PreisAnbieterangabe |
| Einheitspreis ohne Dauerrabatt | neinAnbieterangabe | jaAnbieterangabe |
| Gratis-Angebot und seine Grenzen | Free VPN products (Hotspot Shield free) supported by third-party in-app ads (Unity, ironSource, Digital Turbine, InMobi)belegt | noneAnbieterangabe |
| Geld-zurueck-Frist | 45 TageAnbieterangabe | 14 TageAnbieterangabe |
| Streaming-Entsperrung offiziell beworben | jaAnbieterangabe | neinAnbieterangabe |
| Berichtete Netflix-Kataloge | Marketing claims Netflix, YouTube, Prime, Disney+ worldwide; no audited region list on fetched pagesAnbieterangabe | ? |
| Weitere Streaming-Dienste | Netflix, YouTube, Prime, Disney+Anbieterangabe | ? |
| Bandbreitenbegrenzung | begrenztAnbieterangabe | keine BegrenzungAnbieterangabe |
| Datenvolumen-Limit | Basic free: 500 MB/day; Premium: unlimitedAnbieterangabe | noneAnbieterangabe |
| Belege zu Geschwindigkeitsmessungen | Claims up to 2.2x faster than competitionAnbieterangabe | ? |
| Umgang mit SMTP und Port 25 | ? | TCP port 25 blocked (spam); ports 465/587 not singled out as blockedAnbieterangabe |
| Offizieller Support in Laendern mit Netzsperren | Historically used for censorship circumvention (Arab Spring); Hydra marketed for accessAnbieterangabe | Eigene Anleitung für Netze mit Filterung mit vier Verschleierungsverfahren. Zu China schreibt der Anbieter, dass alle Mullvad-Server in Asien blockiert seien, und empfiehlt Server in den USA.Anbieterangabe |
| Einstufung der Dokumentation | brauchbarAnbieterangabe | umfassend und aktuellAnbieterangabe |
| Tracker-Last der Website | Essential + analytics/personalization/targeted advertising cookies disclosed on siteAnbieterangabe | Necessary cookies only (authToken, language, csrftoken) plus Stripe payment cookies when payingbelegt |
| URL des Warrant Canary | none foundAnbieterangabe | No dedicated warrant-canary page found this session (blog tag 404)Anbieterangabe |
| Umfang und Lesbarkeit der Rechtstexte | Long formal ToS with commercial/cancellation sections; not specially simplifiedAnbieterangabe | Clear plain-language ToS with explicit port blocks, price, and refund pointerAnbieterangabe |
| Werbeaussagen im Widerspruch zu den eigenen Bedingungen | Markets 'world's fastest VPN' via Speedtest; 2017 CDT/FTC complaint about free-tier data sharing (Wikipedia)belegt | Flat €5/mo since launch messaging on pricing page; 581 servers / 50 countries / 91 cities / 14 providers on servers pagebelegt |
Alle belegten Kriterien (154)
| Hotspot Shield | Mullvad VPN | |
|---|---|---|
| Juristischer Firmenname | Anchorfree, LLC / Pango GmbH (product under Point Wild / formerly Pango Group)Anbieterangabe | Mullvad VPN ABbelegt |
| Markeninhaber, falls abweichend | Point Wild (HotSpot Shield brand)Anbieterangabe | Mullvad VPN ABAnbieterangabe |
| Gründungsjahr | 2008belegt | 2009Anbieterangabe |
| Hauptsitz (Land) | USAnbieterangabe | SEbelegt |
| Weitere relevante Jurisdiktionen | United States (Redwood City, California); Pango/Point Wild operatorbelegt | SwedenAnbieterangabe |
| Geheimdienst-Allianz des Sitzlandes | Five Eyesbelegt | 14 Eyesbelegt |
| Mutterkonzern / Holding | Point Wildbelegt | Amagicom ABAnbieterangabe |
| Wirtschaftlich Berechtigte öffentlich bekannt | teilweise bekanntAnbieterangabe | vollständig bekanntAnbieterangabe |
| Eigentumsform | BeteiligungskapitalAnbieterangabe | in GründerhandAnbieterangabe |
| Führungsteam öffentlich mit echten Namen | jaAnbieterangabe | jaAnbieterangabe |
| Ladungsfähige Anschrift verifizierbar | jabelegt | jabelegt |
| Schwester-VPN-Marken im Konzern | Betternet, Ultra VPN / UltraAV, VPN360, Touch VPN (per Point Wild / Pango portfolio disclosures)Anbieterangabe | noneAnbieterangabe |
| Konzern besitzt VPN-Test- und Vergleichsseiten | Comparitech (listed among Point Wild brands)Anbieterangabe | noneAnbieterangabe |
| Betreibt Affiliate-Programm | jaAnbieterangabe | neinAnbieterangabe |
| Übliche Provisionshöhe | ? | none (no classic affiliate commission program; reseller partnerships exist)Anbieterangabe |
| YouTube- und Influencer-Sponsoring | vereinzeltAnbieterangabe | keinesAnbieterangabe |
| Dokumentierte irreführende Werbeaussagen | 'Military-grade' encryption wording appears on download/marketing pages; Hydra marketed as '#1 for speed'Anbieterangabe | ? |
| Übernahme-Historie / früherer Name | AnchorFree → Pango; Aura/Pango era; Dec 2024 Pango Group merged with Total Security and rebranded Point WildAnbieterangabe | none disclosed on homeAnbieterangabe |
| Betriebsstatus | aktivbelegt | aktivbelegt |
| Kernaussage der Logging-Policy | Does not store VPN browsing activity tied to a user; logs session duration, bandwidth, anonymized domains, device hashes; source IP encrypted then deleted at session endbelegt | Kontonummer und Ablaufdatum sind die einzigen dauerhaft gespeicherten Kontodaten. Keine Speicherung von Verkehrsdaten, DNS-Anfragen, IP-Adressen, Verbindungszeitpunkten und Bandbreite je Konto.Anbieterangabe |
| Aktivitaets- und Traffic-Logs | keineAnbieterangabe | keinebelegt |
| Verbindungs-Logs | pro Sitzungbelegt | keineAnbieterangabe |
| Speicherung der echten IP-Adresse | nur fluechtigbelegt | nicht gespeichertAnbieterangabe |
| Speicherung der zugewiesenen VPN-IP | nicht gespeichertAnbieterangabe | nicht gespeichertAnbieterangabe |
| Genauigkeit gespeicherter Zeitstempel | sekundengenauAnbieterangabe | keineAnbieterangabe |
| Erfassung des Datenvolumens | pro Kontobelegt | nur SummenAnbieterangabe |
| Durchsetzung des Geraetelimits | Premium links up to 10 devices per accountAnbieterangabe | Zählung der gleichzeitigen Verbindungen laut Anbieter ausschließlich im Arbeitsspeicher, ohne dauerhafte Speicherung auf Datenträger.Anbieterangabe |
| Minimal noetige Kontodaten | Device hashes for free products without account; paid/account flows collect additional account data per general policyAnbieterangabe | Kontonummer und Ablaufdatum. Kein Benutzername, kein Passwort, keine E-Mail-Adresse.Anbieterangabe |
| Telemetrie in den Apps | nicht abschaltbarAnbieterangabe | keineAnbieterangabe |
| Tracker und SDKs in der Android-App | Free versions: Google advertising ID (AAID) to Google for personalized adsAnbieterangabe | No third-party analytics SDKs described; first-party app telemetry sends app/OS version counters onlybelegt |
| Tracker in der iOS-App | Free versions: IDFA to Google for personalized adsAnbieterangabe | No third-party analytics SDKs described in no-logging policy; first-party version telemetry discussed primarily with Android examplesAnbieterangabe |
| Tracker und Cookies auf der Website | Cookies for analytics, personalization, and targeted advertising (site cookie banner)Anbieterangabe | Laut Cookie-Richtlinie fünf Cookies: authToken, language, csrftoken sowie __stripe_sid und __stripe_mid des Zahlungsdienstleisters Stripe. Keine Analyse- oder Werbecookies genannt.Anbieterangabe |
| Datenweitergabe an Dritte | Free VPN versions: Google for personalized ads (AAID/IDFA); paid versions do not send to ad partners. Domain names logged anonymized/aggregated.Anbieterangabe | Zahlungsdienstleister (unter anderem Stripe, PayPal, Swish) und Auftragsverarbeiter für Dienstleistungen. Laut Datenschutzerklärung keine Übermittlung außerhalb von EU und EWR.Anbieterangabe |
| Aufbewahrungsfristen laut Policy | Source IP collected for VPN session then deleted at session end; domains aggregated ~monthly; device hashes retained for analyticsAnbieterangabe | Zahlungs- und Transaktions-IDs 20 Tage. Buchhaltungsunterlagen nach schwedischem Buchführungsgesetz sieben Jahre. Support-E-Mails 70 Tage. Nginx-Zugriffsprotokolle des Webservers bis zu fünf Minuten.Anbieterangabe |
| EU-Vertreter nach DSGVO benannt | jaAnbieterangabe | jaAnbieterangabe |
| Unabhängiges No-Log-Audit | jabelegt | jabelegt |
| Details zum No-Log-Audit | Aon technical assessment for Pango Group, report dated 2023-08-25; free and paid tiers; client+server; concluded policy assertions fairly representedbelegt | Assured Security Consultants, Serverprüfung 25.04. bis 13.05.2022, Bericht vom 21.06.2022: 0 kritische, 0 hohe, 11 mittlere, 9 niedrige Befunde. Fazit: die Konfiguration zeigte keine Anzeichen direkter Kundeninformationen.belegt |
| Prüfbericht öffentlich | nur Zusammenfassungbelegt | vollständigbelegt |
| Audits der Apps und Clients | none published on fetched pagesAnbieterangabe | App-Audits im Repository dokumentiert: Assured und Cure53 (2018), Cure53 (2020), Atredis (2022), X41 D-Sec (2024), NCC Group Android (2025), Leviathan Security Android (2026). Dazu X41 D-Sec für Konto- und Zahlungsdienste (Bericht vom 20.01.2026).belegt |
| Infrastruktur- und Server-Audits | none published on fetched pagesAnbieterangabe | Cure53 prüfte vom 03. bis 14.06.2024 WireGuard- und OpenVPN-Relays im Whitebox-Verfahren und fand fünf Punkte, davon einen mittleren und einen niedrigen Befund. Zuvor Assured (2022) und Radically Open Security (2023).belegt |
| Prüfrhythmus | unregelmäßigAnbieterangabe | ? |
| Gerichtlich oder behördlich auf die Probe gestellt | none documented on fetched official pagesAnbieterangabe | Am 18.04.2023 durchsuchten Beamte der schwedischen Polizeieinheit NOA das Büro in Göteborg. Der Durchsuchungsbeschluss war am 17.02.2023 auf ein deutsches Rechtshilfeersuchen hin ergangen. Nach Anbieterangabe verließen die Beamten den Standort ohne Beschlagnahme und ohne Kundendaten.Anbieterangabe |
| Transparenzbericht | unregelmäßigAnbieterangabe | unregelmäßigAnbieterangabe |
| Warrant Canary | keinerAnbieterangabe | keinerAnbieterangabe |
| Sicherheitsvorfälle und Datenlecks | 2017 CDT complaint to FTC alleging undisclosed data sharing/traffic redirection on Hotspot Shield Free (per Wikipedia)belegt | ? |
| Bug-Bounty-Programm | none published on fetched Hotspot Shield/Pango pagesAnbieterangabe | Kein Bug-Bounty-Programm mit Geldprämien. Meldungen per E-Mail, auf Wunsch PGP-verschlüsselt; der Anbieter sagt zu, gegen meldende Sicherheitsforschende nicht rechtlich vorzugehen.Anbieterangabe |
| Umgang mit gemeldeten Schwachstellen | none disclosed on fetched pagesAnbieterangabe | Veröffentlichte Offenlegungsrichtlinie: Vorfälle mit Bezug zu Kundendaten werden nach Behebung öffentlich beschrieben, Vorfälle ohne Kundendatenbezug nur intern behandelt.Anbieterangabe |
| Clients quelloffen | keineAnbieterangabe | allebelegt |
| Serverseite quelloffen | neinAnbieterangabe | teilweiseAnbieterangabe |
| Reproduzierbare Builds | neinAnbieterangabe | jaAnbieterangabe |
| In F-Droid verfügbar | neinAnbieterangabe | jaAnbieterangabe |
| Nennungen durch unabhängige Stellen | Cited Speedtest/Ookla fastest VPN; TechRadar, CNET, ZDNet, PCWorld quotes on marketing pagesAnbieterangabe | Privacy Guides führt Mullvad neben Proton VPN und IVPN als einen von drei empfohlenen VPN-Anbietern und nennt dabei Audits, Monero- und Barzahlung sowie die Offenlegung von eigenen und gemieteten Servern.belegt |
| WireGuard | neinAnbieterangabe | jaAnbieterangabe |
| OpenVPN ueber UDP | jabelegt | neinbelegt |
| OpenVPN ueber TCP | jaAnbieterangabe | neinbelegt |
| IKEv2/IPsec | jabelegt | neinAnbieterangabe |
| Eigenes Protokoll | Hydra (developed internally by Pango)belegt | noneAnbieterangabe |
| Noch angebotene Altprotokolle | Proprietary Hydra primary; OpenVPN/WireGuard not advertised as primary on fetched product pagesAnbieterangabe | OpenVPN removed (removal announced; WireGuard-only network in relays API)Anbieterangabe |
| Standard-Cipher fuer Nutzdaten | AES-256belegt | ChaCha20 mit Poly1305-Authentifizierung (AEAD nach RFC 7539)Anbieterangabe |
| Schwaechste akzeptierte Cipher | AES-256Anbieterangabe | ? |
| Schluesselaustausch und Authentifizierung | Catapult Hydra proprietary protocolAnbieterangabe | Noise_IK-Handshake mit Curve25519-ECDH, BLAKE2s als Hash und HKDF zur SchlüsselableitungAnbieterangabe |
| Perfect Forward Secrecy | ? | jabelegt |
| Post-Quantum-Schluesselaustausch | nicht vorhandenAnbieterangabe | standardmaessig aktivAnbieterangabe |
| Eigene DNS-Resolver | jaAnbieterangabe | jaAnbieterangabe |
| Schutz vor DNS-Lecks | ? | jaAnbieterangabe |
| Umgang mit IPv6 | unklarAnbieterangabe | durch den Tunnelbelegt |
| WebRTC-Schutz oder Dokumentation | neinAnbieterangabe | jaAnbieterangabe |
| Verschleierungsverfahren | Hydra proprietary protocol marketed for speed/security; censorship circumvention history (Arab Spring) per WikipediaAnbieterangabe | Vier Verfahren in der App: Lightweight WireGuard Obfuscation (LWO), WireGuard über QUIC (UDP 443), WireGuard über Shadowsocks und UDP-over-TCP (Ports 80, 443, 5001).Anbieterangabe |
| Nutzbarkeit hinter der Great Firewall | laut Nutzerberichtenbelegt | laut NutzerberichtenAnbieterangabe |
| Verbindungssperre (Kill Switch) | nicht vorhandenAnbieterangabe | systemweitAnbieterangabe |
| Dauerhafte Sperre (Lockdown) | neinAnbieterangabe | jaAnbieterangabe |
| Split Tunneling | not offered on Hotspot Shield select-plan/feature lists fetchedAnbieterangabe | Anwendungsbasiert auf Windows, Linux, macOS und Android. Auf iOS laut Feature-Matrix nicht vorhanden.Anbieterangabe |
| Mehrfach-Hop (Multihop) | nicht vorhandenAnbieterangabe | frei kombinierbarAnbieterangabe |
| Tor-Anbindung (Onion over VPN) | neinAnbieterangabe | neinAnbieterangabe |
| Portweiterleitung | nicht vorhandenAnbieterangabe | nicht vorhandenAnbieterangabe |
| SOCKS5-Proxy | neinAnbieterangabe | jaAnbieterangabe |
| HTTP-Proxy | neinAnbieterangabe | neinAnbieterangabe |
| Smart DNS | neinAnbieterangabe | neinAnbieterangabe |
| Werbe- und Trackerfilter im DNS | feste ListeAnbieterangabe | einstellbarAnbieterangabe |
| Schadsoftware- und Phishing-Filter | jaAnbieterangabe | jaAnbieterangabe |
| Eigene DNS-Server erlaubt | neinAnbieterangabe | jaAnbieterangabe |
| Zugriff auf das lokale Netz | neinAnbieterangabe | jaAnbieterangabe |
| Regeln fuer automatisches Verbinden | neinAnbieterangabe | jaAnbieterangabe |
| Privates Geraetenetz (Meshnet) | neinAnbieterangabe | neinAnbieterangabe |
| GPS-Standort anpassen (Android) | neinAnbieterangabe | neinAnbieterangabe |
| Abwehr von Verkehrsanalyse | Proprietary Catapult Hydra protocol; historical circumvention useAnbieterangabe | DAITA (Defense Against AI-guided Traffic Analysis) mit konstanten Paketgrößen, zufälligem Hintergrundverkehr und Musterverzerrung, aufgebaut auf dem quelloffenen Maybenot-Framework. Laut Feature-Matrix auf allen fünf Plattformen verfügbar.Anbieterangabe |
| IPv6 im Tunnel | neinAnbieterangabe | jaAnbieterangabe |
| Verschleierung ohne Konfiguration | neinAnbieterangabe | neinAnbieterangabe |
| Anzahl Server | 1.800 ServerAnbieterangabe | 576 Serverbelegt |
| Anzahl Laender | 80 LaenderAnbieterangabe | 50 Laenderbelegt |
| Anzahl Staedte | 35 StaedteAnbieterangabe | 91 Staedtebelegt |
| Virtuelle Standorte | nicht gekennzeichnetAnbieterangabe | keine virtuellenAnbieterangabe |
| RAM-only Server (diskless) | neinAnbieterangabe | gesamtes Netzbelegt |
| Eigentum an der Hardware | gemietetAnbieterangabe | gemischtbelegt |
| Eigenes AS (Autonomes System) | neinAnbieterangabe | neinAnbieterangabe |
| 10-Gbit-Anbindung | neinAnbieterangabe | ein Teilbelegt |
| P2P und Filesharing | gesamtes NetzAnbieterangabe | gesamtes NetzAnbieterangabe |
| Serverliste oeffentlich | jaAnbieterangabe | jabelegt |
| Oeffentliche Statusseite | neinAnbieterangabe | neinAnbieterangabe |
| Bekannte Upstream-Hoster | Third-party infrastructure providers (unnamed); Pango states it would leave any provider requiring activity loggingAnbieterangabe | 14 Betreiber laut Relay-Liste: 31173, Blix, Creanova, DataPacket, HostRoyale, M247, PrivateLayer, Tzulo, Veloxserv, Zenlayer, hostuniversal, iRegister, techfutures, xtom.belegt |
| Windows-App | eigene Appbelegt | eigene AppAnbieterangabe |
| macOS-App | eigene Appbelegt | eigene AppAnbieterangabe |
| Linux-App mit Oberflaeche | nicht verfuegbarAnbieterangabe | eigene AppAnbieterangabe |
| Linux-Kommandozeile | nicht verfuegbarAnbieterangabe | eigene AppAnbieterangabe |
| Android-App | eigene Appbelegt | eigene AppAnbieterangabe |
| iOS-App | eigene Appbelegt | eigene AppAnbieterangabe |
| Android-TV-App | eigene AppAnbieterangabe | nicht verfuegbarAnbieterangabe |
| Apple-TV-App | nicht verfuegbarAnbieterangabe | nicht verfuegbarAnbieterangabe |
| Fire-TV-App | eigene AppAnbieterangabe | nicht verfuegbarAnbieterangabe |
| Browser-Erweiterung | nicht verfuegbarAnbieterangabe | eigene ErweiterungAnbieterangabe |
| Art der Browser-Erweiterung | keine ErweiterungAnbieterangabe | Steuerung der AppAnbieterangabe |
| Router-Unterstuetzung | Router mentioned as connectable device under Premium (up to 10 devices)Anbieterangabe | Dokumentierte Anleitungen für OpenWrt und pfSense, jeweils mit WireGuard.Anbieterangabe |
| Native App fuer Apple Silicon | jaAnbieterangabe | jaAnbieterangabe |
| Kommandozeile dokumentiert | neinAnbieterangabe | jabelegt |
| Gleichzeitige Geraete | 10Anbieterangabe | 5Anbieterangabe |
| Nutzung ohne Konto | neinAnbieterangabe | jaAnbieterangabe |
| Angaben bei der Registrierung | beliebige AdresseAnbieterangabe | keine Angabe noetigAnbieterangabe |
| Kontomodell | E-Mail als LoginAnbieterangabe | reine KontonummerAnbieterangabe |
| Barzahlung per Post | neinAnbieterangabe | jaAnbieterangabe |
| Monero | neinAnbieterangabe | jaAnbieterangabe |
| Bitcoin | neinAnbieterangabe | jaAnbieterangabe |
| Lightning | neinAnbieterangabe | neinAnbieterangabe |
| Gutscheinkarten aus dem Einzelhandel | neinAnbieterangabe | jaAnbieterangabe |
| PayPal | neinAnbieterangabe | jaAnbieterangabe |
| Kredit- und Debitkarte | jaAnbieterangabe | jaAnbieterangabe |
| SEPA-Zahlung | neinAnbieterangabe | jaAnbieterangabe |
| Monatstarif | 11,99 €Anbieterangabe | 5,00 €Anbieterangabe |
| Effektivpreis der laengsten Laufzeit | 7,99 €Anbieterangabe | 5,00 €Anbieterangabe |
| Preissprung bei der Verlaengerung | moderater AufschlagAnbieterangabe | gleicher PreisAnbieterangabe |
| Einheitspreis ohne Dauerrabatt | neinAnbieterangabe | jaAnbieterangabe |
| Gratis-Angebot und seine Grenzen | Free VPN products (Hotspot Shield free) supported by third-party in-app ads (Unity, ironSource, Digital Turbine, InMobi)belegt | noneAnbieterangabe |
| Geld-zurueck-Frist | 45 TageAnbieterangabe | 14 TageAnbieterangabe |
| Weg zur Kuendigung | im Konto kuendbarbelegt | im Konto kuendbarAnbieterangabe |
| P2P-Regelung laut Nutzungsbedingungen | gesamtes NetzAnbieterangabe | gesamtes NetzAnbieterangabe |
| Streaming-Entsperrung offiziell beworben | jaAnbieterangabe | neinAnbieterangabe |
| Berichtete Netflix-Kataloge | Marketing claims Netflix, YouTube, Prime, Disney+ worldwide; no audited region list on fetched pagesAnbieterangabe | ? |
| Weitere Streaming-Dienste | Netflix, YouTube, Prime, Disney+Anbieterangabe | ? |
| Bandbreitenbegrenzung | begrenztAnbieterangabe | keine BegrenzungAnbieterangabe |
| Datenvolumen-Limit | Basic free: 500 MB/day; Premium: unlimitedAnbieterangabe | noneAnbieterangabe |
| Belege zu Geschwindigkeitsmessungen | Claims up to 2.2x faster than competitionAnbieterangabe | ? |
| Umgang mit SMTP und Port 25 | ? | TCP port 25 blocked (spam); ports 465/587 not singled out as blockedAnbieterangabe |
| Offizieller Support in Laendern mit Netzsperren | Historically used for censorship circumvention (Arab Spring); Hydra marketed for accessAnbieterangabe | Eigene Anleitung für Netze mit Filterung mit vier Verschleierungsverfahren. Zu China schreibt der Anbieter, dass alle Mullvad-Server in Asien blockiert seien, und empfiehlt Server in den USA.Anbieterangabe |
| Live-Chat rund um die Uhr | neinAnbieterangabe | neinAnbieterangabe |
| Support per E-Mail oder Ticket | jaAnbieterangabe | jaAnbieterangabe |
| Telefonischer Support | neinAnbieterangabe | neinAnbieterangabe |
| Deutschsprachiger Support | jaAnbieterangabe | jaAnbieterangabe |
| Einstufung der Dokumentation | brauchbarAnbieterangabe | umfassend und aktuellAnbieterangabe |
| Chat-Widget selbst gehostet | neinAnbieterangabe | neinAnbieterangabe |
| Konto selbst loeschbar | jaAnbieterangabe | jaAnbieterangabe |
| SSL-Labs-Note der Website | A+belegt | A+belegt |
| Tracker-Last der Website | Essential + analytics/personalization/targeted advertising cookies disclosed on siteAnbieterangabe | Necessary cookies only (authToken, language, csrftoken) plus Stripe payment cookies when payingbelegt |
| URL des Warrant Canary | none foundAnbieterangabe | No dedicated warrant-canary page found this session (blog tag 404)Anbieterangabe |
| Umfang und Lesbarkeit der Rechtstexte | Long formal ToS with commercial/cancellation sections; not specially simplifiedAnbieterangabe | Clear plain-language ToS with explicit port blocks, price, and refund pointerAnbieterangabe |
| Werbeaussagen im Widerspruch zu den eigenen Bedingungen | Markets 'world's fastest VPN' via Speedtest; 2017 CDT/FTC complaint about free-tier data sharing (Wikipedia)belegt | Flat €5/mo since launch messaging on pricing page; 581 servers / 50 countries / 91 cities / 14 providers on servers pagebelegt |