De beste bewezen no-logs VPN’s

NordVPN is een zeer populaire en betrouwbare VPN-dienst die beperkte gegevens verzamelt, gevestigd in het privacyvriendelijke rechtsgebied Panama.

Toch staat NordVPN niet in onze lijst met aanbevelingen omdat verbindingstijdstempels tot 15 minuten na afloop van een sessie worden bewaard, voordat ze definitief worden verwijderd.

De bewering dat er helemaal geen logboeken worden bijgehouden, moet nog worden bewezen in de praktijk, bijvoorbeeld in een rechtszaak. Bovendien heeft NordVPN aanzienlijk minder audits ondergaan dan ExpressVPN.

In het verleden heeft NordVPN aangegeven te zullen meewerken aan verzoeken van wetshandhavingsinstanties om gegevens te verstrekken.

De dedicated IP-adresfunctie van NordVPN roept ook vragen op: in tegenstelling tot CyberGhost gebruikt het nog geen privacyvriendelijk tokensysteem, waardoor activiteiten direct aan je NordVPN-account gekoppeld kunnen worden.

Surfshark is een andere privacygerichte VPN die net niet in onze lijst met aanbevelingen is opgenomen.

Het heeft een soortgelijk probleem als NordVPN: tijdelijk worden gebruikers-ID, verbindingsstempels en de gebruikte servers opgeslagen. Deze gegevens worden 15 minuten na het beëindigen van je VPN-sessie automatisch gewist. Het is dus geen groot probleem, maar nog steeds verre van ideaal.

Daarnaast moet je bij het eerste gebruik van de VPN-app zelf de kill switch inschakelen in de instellingen. Dit is een onnodige extra stap. Het zou beter zijn als de kill switch standaard actief is.

Mullvad verdient ook een eervolle vermelding. Het is een betrouwbare VPN met een echt zero-logboekbeleid, bevestigd tijdens een serverinbeslagname in 2023.

Tijdens die inval kon Mullvad geen gebruikersgegevens aan de Zweedse autoriteiten overhandigen, omdat er simpelweg geen identificerende logboeken worden bijgehouden.

De VPN staat echter niet in onze lijst van aanbevolen diensten, omdat de software op enkele punten teleurstelt: de servers zijn niet zo snel, de dekking van landen is beperkt, en de compatibiliteit met apparaten laat te wensen over.

Daarnaast heeft Mullvad geen externe audits van zijn privacybeleid laten uitvoeren en geen transparantierapporten gepubliceerd.

TorGuard is ook een goede en echte no-logs VPN. Net als onze topaanbevelingen is hun zero-logboekbeleid bewezen in een rechtszaak over auteursrecht, waarin ze geen identificeerbare logboeken konden overleggen.

De dienst maakt bovendien gebruik van schijfloze servers die automatisch alle gegevens wissen zodra ze worden uitgeschakeld.

Toch voert TorGuard enkele belangrijke privacy-initiatieven niet door, zoals transparantierapporten en onafhankelijke controles van het logboekbeleid.

Daarnaast is de VPN minder gebruiksvriendelijk, vooral op desktop, en het relatief kleine servernetwerk kan niet tippen aan diensten zoals PIA en ExpressVPN.

Op papier is IVPN een VPN-dienst die privacy hoog in het vaandel heeft staan, en momenteel is er geen reden om daaraan te twijfelen.

Helaas gebruikt de VPN-dienst geen schijfloze servers en is hun zero-logboekbeleid nog niet in de praktijk getest, waardoor we niet volledig zeker kunnen zijn dat het beleid strikt wordt nageleefd.

IVPN heeft ook een relatief klein servernetwerk, met servers in slechts 40 landen, en levert duidelijk mindere streamingprestaties wereldwijd dan beter beoordeelde VPN’s.

Daarnaast slaat IVPN automatisch apparaatinformatie op mobiele apparaten op voor crash-logs.

Een VPN kan anonieme gebruiks- of serverbelastinggegevens verzamelen om misbruik van het product tegen te gaan en de snelheid van de dienst op peil te houden.

Daarnaast kan een VPN bepaalde informatie nodig hebben om een account aan te maken of een abonnementsbetaling te verwerken als je geen anonieme betaalmethode gebruikt.

Ten slotte verzamelen de meeste VPN’s wat apparaatinformatie om het toegestane aantal apparaten per abonnement te controleren. In zulke gevallen is het verzamelen van gegevens aanvaardbaar, zolang de gegevens niet te herleiden zijn tot een individuele gebruiker.

In 2013 stopte Lavabit, een dienst voor versleutelde e-mail, met zijn dienst om te voorkomen dat het “medeplichtig zou worden aan misdaden tegen het Amerikaanse volk”. Ook Silent Mail beëindigde zijn dienstverlening, nog vóór het een bevelschrift of dagvaarding van de Amerikaanse overheid kon ontvangen.

In 2018 keurde de Australische regering een anti-versleutelingswet goed, waardoor ze in stilte massale surveillance van haar burgers kon uitvoeren. Bovendien kunnen de verplichte hulpmiddelen die bedrijven moeten ontwikkelen om overheidsinstanties toegang te geven tot gebruikersgegevens een aantrekkelijk doelwit vormen voor geavanceerde hackers.

Recenter, in 2022, probeerde India een nieuwe privacywet in te voeren die VPN-providers zou verplichten om gebruikersgegevens vijf jaar lang te bewaren. Na felle tegenstand van providers — onder wie ExpressVPN en Surfshark, die hun Indiase servers verwijderden — is de wet voor onbepaalde tijd uitgesteld.

Sommige gratis VPN’s verzamelen gebruikersgegevens en verkopen die aan adverteerders in plaats van een abonnementsgeld te vragen. Dat is bijzonder oneerlijk en onethisch, zeker wanneer zo’n VPN zichzelf presenteert als een zero-log dienst of privacy-gericht product.

Daarom is het zo belangrijk om gratis VPN’s te gebruiken die als veilig zijn geverifieerd.

Het probleem gaat bovendien verder dan het verzamelen van browsegedrag of IP-adressen wanneer iemand met de VPN verbonden is. Uit onze tests blijkt dat slechts drie van de twintig populairste gratis VPN’s voor iOS de keuze van gebruikers respecteerden om adverteerders te blokkeren bij het volgen van gebruikersactiviteiten buiten de VPN-app.

Een VPN met een slechte technische infrastructuur is kwetsbaar voor aanvallen en kan ongemerkt gegevens lekken.

Een voorbeeld hiervan is de inbeslagname van twee OpenVPN-servers van Windscribe door de Oekraïense autoriteiten in juni 2021, in het kader van een lopend onderzoek. De servers bleken te draaien met een verouderde configuratie, waaronder een niet-versleutelde OpenVPN-configuratie en -sleutel.

• Uitgevoerde test: We hebben de geschiedenis van de VPN onderzocht, inclusief eventuele serverinbeslagnames, hacks, datalekken of wettelijke verzoeken om gebruikersgegevens.
• Waarom dit belangrijk is: Dit geeft een betrouwbaar beeld van hoe eerlijk de VPN is over zijn logboekbeleid en hoe goed de servers en apps beveiligd zijn.
• Optimaal resultaat: Voorbeelden waarbij de VPN geen gegevens aan derden heeft kunnen verstrekken vanwege hun zero-logboekbeleid.

• Uitgevoerde test: We hebben het privacybeleid van elke VPN bekeken om te zien welke gegevens worden opgeslagen, hoe lang ze worden bewaard en of ze worden geaggregeerd of geanonimiseerd.
• Waarom dit belangrijk is: Het privacybeleid laat zien of een VPN daadwerkelijk geen logboeken bijhoudt of stiekem gegevens verzamelt waarmee gebruikers kunnen worden geïdentificeerd.
• Optimaal resultaat: De VPN slaat geen identificerende activiteiten of verbindingslogboeken op en beschermt de privacy van gebruikers.

• Uitgevoerde test: We hebben VPN’s geanalyseerd om te kijken of ze schijfloze VPN-servers gebruiken.
• Waarom dit belangrijk is: Schijfloze servers slaan geen gegevens permanent op. Zodra ze van de stroom worden losgekoppeld, wordt alle data volledig gewist. Dit maakt het voor derden, zoals wetshandhavers, vrijwel onmogelijk om informatie te achterhalen — iets wat bij traditionele fysieke servers wél kan.
• Optimaal resultaat: Een volledig schijfloos VPN-servernetwerk.
  

• Uitgevoerde test: We hebben gekeken of de VPN onafhankelijke audits van het logboekbeleid heeft laten uitvoeren door derden, zoals Cure53 of Deloitte, en we hebben deze audits grondig geanalyseerd.
• Waarom dit belangrijk is: Externe audits bieden zekerheid dat een VPN zich daadwerkelijk aan hun logboekbeleid houdt.
• Optimaal resultaat: De VPN voert jaarlijks audits uit om aan te tonen dat zij geen activiteits- of verbindingslogs bijhouden.

• Uitgevoerde test: We hebben onderzoek gedaan naar het rechtsgebied van elke VPN en de lokale wetgeving rond gegevensprivacy.
• Waarom dit belangrijk is: Waar een VPN is gevestigd, bepaalt in hoeverre de dienst wettelijk verplicht is gegevens te bewaren, te loggen of te delen met overheidsinstanties.
• Optimaal resultaat: Een privacyvriendelijk rechtsgebied zoals de Britse Maagdeneilanden of een waterdicht zero-logboekbeleid dat onafhankelijk is gecontroleerd en bewezen in de praktijk.