VPN im DACH-Test 2026

Das Ranking auf einen Blick

Wir bewerten nach drei Achsen, die Marketing-Vergleiche systematisch ignorieren: unabhängiges No-Logs-Audit, echte DACH-Server-Hardware und Geschäfts-AVV nach Art. 28 DSGVO.

#1

ProtonVPN

Compliance-Premium – Schweizer Sitz, Open-Source-Apps

8.6 / 10

DSGVO-konform · Schweiz ab 3,49 €/Mo (2 Jahre)

+ Plus

• Schweizer Anbieter außerhalb 14-Eyes-Allianz
• Open-Source-Apps (alle Plattformen)
• Free-Plan mit Servern in 10 Ländern verfügbar
• Mail/Drive/Pass-Ökosystem integriert

– Minus

• Etwas geringere Speed als NordVPN
• Streaming-Geo-Unblocking limitierter

Vollständiger Test → ProtonVPN testen →Werbelink

#2

NordVPN

Pragmatischer DACH-Standard – beste Audit-Speed-Kombination

8.4 / 10

AVV erforderlich · Panama · DE-Server in Berlin und Frankfurt ab 3,49 €/Mo (2 Jahre + 3 Monate, Black-Friday-Aktion)

+ Plus

• 6× No-Logs-Audit (PwC 2018/2020, Deloitte jährlich 2022–2025)
• NordLynx-Protokoll – geringer Speed-Verlust laut unabhängigen Benchmarks
• Schutz vor Betrug und Phishing schon im Basis-Plan (Werbe- und Tracker-Blocker erst ab Komplett)
• Großes Server-Netz inkl. Frankfurter Standort

– Minus

• Pricing-Transparenz schwach – Auto-Renewal zum Listenpreis
• Kein Consumer-AVV (Business via NordLayer separat)
• Kein Telefon-Support; Live-Chat laut Anbieter auf Englisch

Vollständiger Test → NordVPN testen →Werbelink

#3

Surfshark

Unlimited Devices – bestes Preis-Leistungs-Verhältnis ab 5+ Geräten

7.9 / 10

AVV erforderlich · Niederlande ab 2,19 €/Mo (2 Jahre)

+ Plus

• Unlimited Devices pro Account
• NL-Sitz (EU)
• CleanWeb (Ad/Tracker-Blocker) inklusive

– Minus

• Holding-Verflechtung mit NordVPN seit 2022

Vollständiger Test → Surfshark testen →Werbelink

#4 M

Mullvad

Privacy-Hardliner – anonymes Account-Modell, fester Monatspreis

7.7 / 10

DSGVO-konform · Schweden 5 €/Mo (fest)

+ Plus

• Anonyme Account-Erstellung (nur Konto-Nummer)
• Fester Monatspreis – keine Auto-Renewal-Falle
• Schwedischer Anbieter mit Privacy-Hardliner-Kultur
• Externe Audits seit 2018, alle Reports öffentlich

– Minus

• Server-Netz vergleichsweise klein
• Streaming-Geo-Unblocking nicht garantiert
• Kein klassisches Affiliate-Programm (anonym-first)

Vollständiger Test →

#5

ExpressVPN

Lightway-Protokoll – aber Kape-Eigentümer-Faktor

7.5 / 10

AVV erforderlich · BVI (Kape-Tochter) ab 2,49 €/Mo (Basic, 2-Jahres-Promo)

+ Plus

• Lightway-Protokoll Open-Source
• 28 externe Audits (Cure53, KPMG, PwC, Praetorian, F-Secure) · KPMG-No-Logs-Audit 09/2022, KPMG-Datenschutz-Audits 12/2023 + 06/2025
• Polished App-UX (knapp besser als NordVPN bei Streaming-Bypass)

– Minus

• Kape-Übernahme 2021 – Crossrider-Adware-Erbe als Hard-No für DACH-Privacy-Hardliner
• Renewal-Cliff flacher als bei NordVPN, aber vorhanden – Basic 6,66 €, Pro 15,00 €/Mo nach Erstvertrag
• Server-Seite ohne Serverzahl – die Standort-Liste führt 113 Länder (NordVPN: über 7.100 Server in 150 Ländern)

Vollständiger Test → ExpressVPN testen →

Empfehlung pro Use-Case

Solo-Selbstständig:e mit Café-WLAN-Bedarf → NordVPN

Die Kombination aus Frankfurter Server, Betrugs- und Phishing-Schutz und Audit-Profil trägt diese Empfehlung, nicht der Preis: Der Basis-Plan startet im 2-Jahres-Abo (Black-Friday-Aktion, Stand 04.11.2026) bei 3,49 €/Mo und liegt damit beim Einstiegspreis gleichauf mit ProtonVPN, über Surfshark und ExpressVPN. Zum Always-On-Dauerbetrieb haben wir keine eigenen Messungen erhoben – die Speed-Werte in unserer NordVPN-Review stammen aus veröffentlichten Benchmarks. Telefon-Support gibt es nicht – „NordVPN bietet keinen telefonischen Support an“ –, der Live-Chat ist rund um die Uhr erreichbar, startet aber mit einem KI-Chatbot und reicht erst bei ungelöster Anfrage an einen Menschen weiter. Zur Sprache schreibt NordVPN auf seiner Kundenservice-Seite selbst: „Der Live-Chat ist auf Englisch verfügbar.“ Das Hilfe-Center liegt auch auf Deutsch vor; in welcher Sprache der E-Mail-Support antwortet, dokumentiert der Anbieter nicht (nordvpn.com/de/customer-service und support.nordvpn.com/hc/de, beide geprüft 2026-09-25).

Anwaltskanzlei / Gesundheits-Selbstständige → ProtonVPN

Schweizer Anbieter außerhalb der 14-Eyes-Allianz, Open-Source-Apps, zugehöriger Mail-Service mit E2E-Verschlüsselung. Für Branchen mit besonderer Schweigepflicht die rechtssicherste Wahl.

Familie mit 5+ Geräten → Surfshark

Unlimited Devices pro Account. NL-Sitz (EU). Bei 5 oder mehr Geräten ist Surfshark fast immer günstiger als NordVPN.

Journalist:in / Aktivist:in / Whistleblower-Setup → Mullvad

Anonyme Account-Erstellung (Konto-Nummer statt E-Mail), keine Marketing-Werbung, fester Monatspreis ohne Auto-Renewal-Falle. Schwedische Hardliner-Privacy-Kultur.

DACH-Agentur mit Office-Router-Setup → NordLayer (NordVPN Business)

FritzBox-Anbindung möglich, zentrale User-Verwaltung. Ab 8 USD/User/Monat im Jahresabo (10 USD monatlich), mindestens 5 Lizenzen – teurer als Consumer, aber DSGVO-formal sauber.

Streaming-Maximizer mit BBC iPlayer / US-Hulu-Bedarf → ExpressVPN (mit Vorbehalt)

ExpressVPN hat historisch einen leichten Vorsprung beim Bypass spezieller Streaming-Plattformen (BBC iPlayer, US-Hulu). Wichtige Caveat: Kape-Technologies-Übernahme 2021 ist für viele DACH-Privacy-Bewusste ein Hard-No (Crossrider-Adware-Erbe). Wer Streaming priorisiert und die Kape-Story bewusst akzeptiert: ExpressVPN ist eine legitime Wahl. Wer nicht: NordVPN reicht für DACH-Standard-Streaming (ARD/ZDF/ORF/SRF) komplett.

Direktvergleich mit konkreten 3-Jahres-TCO-Berechnungen pro Tier: NordVPN vs ExpressVPN – der direkte DACH-Vergleich.

Tests & Vergleiche

Bewertungs-Kriterien und Methodik

Worauf wir bei VPN-Anbietern achten:

• Unabhängiges No-Logs-Audit: Hat eine Big-4-Kanzlei (Deloitte, PwC, KPMG, EY) oder Cure53 die Logging-Policy geprüft? Marketing-Versprechen allein sind wertlos.
• Server-Standort transparent: Echte Hardware (kein virtuelles Routing), idealerweise mit RAM-Only-Servern. DACH-Standorte für niedrige Latenz. Die reine Anzahl der Server ist eine Marketing-Zahl; entscheidend ist die Server-Standort-Verteilung in DACH und die Hardware-Qualität (RAM-Only vs. Disk).
• AVV für Geschäftskunden: Lässt sich ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO unterschreiben? Pflicht bei jedem geschäftlichen Einsatz.
• Speed-Erhalt im Alltag: Wieviel Bandbreite bleibt bei aktivem Tunnel? Wir werten veröffentlichte Benchmarks und Community-Berichte aus – eigene Speed-Messreihen erheben wir nicht. Im VPN-Marketing dominieren synthetische Speedtest-Vergleiche; im echten Alltag sind Latenz und Stabilität bei realen Workloads (Cloud-Sync, Video-Calls) wichtiger als der Spitzen-Durchsatz.
• Kill-Switch & DNS-Leak-Schutz: Trennt der Client zuverlässig die Verbindung, wenn der Tunnel abbricht? Sonst sind alle Daten in Klartext am ISP.
• Multi-Hop / Double-VPN: Verkettung von zwei Servern erschwert Korrelation – relevant für Journalist:innen und sensible Branchen.
• Bring-Your-Own-Router-Unterstützung: Kann der VPN auf der FritzBox / OPNsense laufen? Wichtig für Agentur-Netzwerke und Homeoffice-Setups.

Was verifiziert wird:

• Pricing-Realität: öffentliche Pricing-Pages für Auto-Renewal-Aufschlag-Verifikation
• Server-Standort-Claims: öffentliche Server-Inventar-Pages, Subprozessor-Listen, RAM-Only-Infrastruktur-Dokumentation
• DSGVO-Aufstellung: AVV-Texte gegen Art. 28 DSGVO-Pflicht-Elemente geprüft, EU-Region-Setup-Pfade dokumentiert
• Sentiment-Querschnitt: G2-, Trustpilot-, Capterra-, Reddit-r/VPN-Threads ausgewertet (DACH-Filter wo möglich)

Was wir nicht messen – und warum

• "Military-Grade Encryption". AES-256 ist Standard bei allen seriösen VPNs. Marketing-Begriffe wie "Military-Grade" sagen nichts aus.
• Streaming-Geo-Unblocking als Hauptkriterium. VPN-Anbieter, die Streaming als Hauptverkaufsargument nutzen, optimieren oft auf Kosten der Sicherheit (z. B. mit Disk-basierten Servern für höhere Last).

Quellen-Footer: NordVPN Trust Center · ExpressVPN Lightway Open-Source · ProtonVPN Engineering Blog · Mullvad No-Logging

DSGVO-Compliance-Vergleich aller fünf Tools

Für DACH-B2B-Setups ist nicht „No-Logs-Versprechen“ das Kernkriterium, sondern die juristische Vertrags-Aufstellung. EU-Sitz + AVV-Verfügbarkeit + Subprozessor-Liste entscheiden über Audit-Bestehen, nicht über Marketing-Sprüche.

Wichtig: „14-Eyes-Mitgliedschaft“ allein disqualifiziert Mullvad formal-juristisch nicht – Schweden hat strenge eigene Privacy-Gesetze. Aber DACH-Compliance-Audits prüfen oft nach diesem Kriterium.

No-Logs-Audit-Status: wer hat was, wann, von wem?

„No-Logs-Audit“ ist ein Marketing-Begriff geworden. Was zählt, sind drei Fragen: Wer hat geprüft? (Big-Four-Wirtschaftsprüfer = strenger) Wann? (älter als 18 Monate = veraltet) Was wurde geprüft? (nur Server-Konfiguration oder auch Quellcode + Pen-Test).

Praxis-Beleg ProtonVPN: Laut Proton-Transparenzbericht hat Proton VPN alle rechtsverbindlichen Anordnungen Schweizer Behörden abgelehnt, weil die dafür nötigen Logs nicht existieren.

Business-VPN für DACH-Mittelstand: NIS-2 + Cyber-Versicherer-Realität

Consumer-VPN (NordVPN, Surfshark, ExpressVPN Consumer-Pläne) und Business-VPN (NordLayer, Perimeter 81, OpenVPN Cloud) sind 2026 strukturell unterschiedliche Produkte mit unterschiedlichen Compliance-Anforderungen. Für klassische DACH-Selbstständige oder Solo-Setups reicht ein Consumer-Plan – sobald du aber ein Unternehmen mit Mitarbeitenden + Remote-Work-Setup führst, ist die Wahl regulatorisch komplexer.

NIS-2-Implikationen für VPN-Setups

NIS-2 (EU-Cybersicherheits-Richtlinie) verlangt für betroffene KMU: dokumentierte Network-Access-Kontrolle, Identity-Management mit MFA-Pflicht für Remote-Zugriff, nachvollziehbare Audit-Logs aller Admin-VPN-Verbindungen. Consumer-VPN-Pläne (NordVPN Basis, Surfshark One) bieten keine dieser Features auf Audit-tauglichem Niveau – sie sind für Privacy, nicht für Compliance gebaut. Wer NIS-2-relevant ist: NordLayer (Business-Schwester von NordVPN), Perimeter 81, oder selbst betriebene Setups mit WireGuard (oder Tailscale mit Headscale) + dokumentierter Operations-Runbook.

Cyber-Versicherer

Cyber-Versicherer erfassen das Risiko per Fragebogen. Der unverbindliche Muster-Fragebogen des GDV (Stand Dezember 2019) fragt unter anderem, ob jeder Nutzer eine eigene, mit individuellem Passwort geschützte Zugangskennung hat und ob der Zugriff auf die interne IT über öffentliche oder drahtlose Netze ausschließlich verschlüsselt erfolgt. Welche Nachweise dein Versicherer verlangt, steht in seinem Antrag. Unabhängig davon gehören zu Remote-Zugriffen auf produktive Systeme MFA für die VPN-Anmeldung und ein dokumentierter Off-Boarding-Prozess, der VPN-Zugänge ausscheidender Mitarbeitender sperrt – für mehrere Mitarbeitende heißt das: Business-Plan mit dokumentierter Setup-Anleitung oder eigene Lösung.

Praktische DACH-KMU-Entscheidung 2026

• Solo / 1-3 Personen ohne Compliance-Druck: NordVPN, ProtonVPN oder Surfshark Consumer-Plan reicht – keine NIS-2-Schwelle, keine Cyber-Police-Pflicht.
• 5-30 Personen mit Remote-Work + Standard-Daten: Consumer-Plan + dokumentierte Setup-Guide für IT-Beauftragten (Backup-MFA, VPN-Auto-Start, Kill-Switch) – pragmatisch und kostengünstig.
• 30+ Personen oder regulierte Branche (Anwalt, Gesundheit, Bank): NordLayer / Perimeter 81 mit SCIM-Integration + zentraler Admin-Konsole + Audit-Logs. Aufpreis gegenüber dem Consumer-Plan, aber Compliance-Dokumentation entfällt.
• Tech-Setup mit Self-Hosting-Knowhow: WireGuard + Tailscale (Standard 8 USD/Nutzer/Monat) – laut Tailscale sind der Client-Kern und die Relay-Server Open Source, der Koordinationsserver nicht; wer auch die Steuerungsebene selbst betreiben will, nimmt das Community-Projekt Headscale.

Häufiger Compliance-Fehler 2026: ein Consumer-VPN-Plan auf mehrere Mitarbeitende verteilen (Shared-Account). Das verletzt typisch die AGB des Anbieters und ist nicht auditierbar (keine User-Trennung in Logs); der GDV-Musterfragebogen fragt ausdrücklich nach benutzerindividuellen Zugängen statt geteilter Login-Daten. Wer einen Consumer-Plan für mehrere Personen nutzt: jede Person braucht eigenen Account. Anders bei Business-Lizenzen – dort ist Multi-User in der Lizenz mit Audit-Trail und SCIM-Provisioning für nahtloses User-Lifecycle-Management bei Onboarding und Off-Boarding.

Pricing-Realität: Erstvertrag vs Renewal

Die Auto-Renewal-Falle ist im VPN-Markt strukturell verbreitet. Erstvertrags-Preise (typisch 2-Jahres-Promo) liegen oft weit unter dem Renewal-Preis – wer nicht aktiv kündigt, zahlt im Folgejahr das Mehrfache. Unter den fünf hier verglichenen Anbietern ist Mullvad die einzige Ausnahme mit festem Monatspreis.

NordVPN-Zeile am 04.11.2026 an der Tarifkarte geprüft (Black-Friday-Aktion): 3,49 €/Mo entspricht 94,23 € für die ersten 27 Monate, der Verlängerungspreis steht dort als 139,08 €/Jahr – der Monatswert 11,59 € und die Steigerung sind daraus gerechnet. Surfshark-Zeile am 04.11.2026 geprüft: 2,49 €/Mo an der Tarifkarte, Verlängerung 88,27 €/Jahr laut Verlängerungstabelle, daraus 7,36 €/Mo und die Steigerung gerechnet. ProtonVPN-Zeile am 04.11.2026, Mullvad am 28.10.2026, ExpressVPN am 28.10.2026 geprüft · Einstiegs- und Verlängerungspreise in Euro direkt von den Tarifkarten bzw. Verlängerungstabellen der Anbieter, nicht aus USD umgerechnet · Regionale Abweichungen und individuelle Auto-Renewal-Verträge bleiben möglich.

Praxis-Workaround: Bei NordVPN, Surfshark, ExpressVPN funktioniert der klassische Cancel-and-Resubscribe-Workflow – nach Vertragsende kündigen, später wieder mit Erstvertrags-Promo abschließen. Das wissen die Anbieter; viele liefern das auf direktem Customer-Support-Anfrage-Weg sogar aktiv. Ethisch akzeptabel, juristisch unproblematisch.

Was wir bewusst NICHT empfehlen

Drei Kategorien fliegen 2026 aus unserem Top-Pick heraus – entweder aus Sicherheitsgründen, aus Pricing-Intransparenz oder aus Holding-Verflechtung.

1. CyberGhost, Private Internet Access (Kape-Familie)

Zu Kape Technologies gehören laut Unternehmensseite ExpressVPN, CyberGhost, Private Internet Access, Intego und Webselenese. Kape hieß bis 2018 Crossrider; die Studie „Ad Injection at Scale“ (Google/UC Berkeley, 2015) führt Crossrider als größten Affiliate zweier großer Ad-Injektoren. Die strukturelle Privacy-Reorientierung seit 2017 läuft, ist aber für DACH-Privacy-Bewusste ein Hard-No-Faktor. ExpressVPN bleibt wegen Audit-Reife und Lightway-Innovation noch im Ranking; die kleineren Kape-Marken (CyberGhost, PIA) liefern den Vorsprung nicht und werden daher nicht empfohlen.

2. Hola VPN und Free-VPNs mit Werbe-Modell

Hola VPN ist als Bandbreitenverkäufer aufgeflogen (User-Geräte wurden als Exit-Nodes für andere User missbraucht).

3. „Anonymous“ VPN-Marketing-Buden ohne Audit-Profil

Eine dritte Kategorie: kleine VPN-Anbieter, die mit „Anonymous“-Versprechen aggressiv beworben werden (oft über YouTube-Sponsorings), aber keine externen Audit-Belege haben. Beispiele wechseln häufig – Faustregel: wenn die Anbieter-Webseite „No-Logs-Policy“ verspricht aber keinen extern verifizierten Audit-Report (von Deloitte, KPMG, Cure53, Securitum oder vergleichbar) verlinkt, ist das Marketing-Sprech ohne Substanz.

5 häufige Fehler bei der VPN-Auswahl, die wir laufend sehen

1. „Mehr Server = besser“

Server-Anzahl in Werbe-Material ist eine Marketing-Zahl. Wichtig: die DACH-Server-Verteilung, RAM-Only-Architektur, und Server-Hardware-Qualität. Mullvad zählt 566 Server in 50 Ländern, ProtonVPN 21.882 in 149 Ländern, Surfshark über 4.500, NordVPN über 7.100; für ExpressVPN nennt der Anbieter keine Serverzahl, die Standort-Liste führt 113 Länder. Alle sind ausreichend für DACH-Standard-Setups.

2. „Streaming-Geo-Unblocking als Hauptkriterium“

Wer Netflix, Disney+, BBC iPlayer als Hauptgrund für den VPN-Kauf nimmt: das ist ein Cat-and-Mouse-Spiel. Streaming-Plattformen sperren IPs aktiv, VPN-Anbieter rotieren IPs, Sperren kommen zurück. Heute funktioniert es, in 3 Monaten vielleicht nicht. ExpressVPN ist historisch stark bei BBC iPlayer. Aber niemand garantiert das auf Dauer.

3. „Kostenloses VPN reicht für meinen Use-Case“

Wie oben: nur ProtonVPN Free und Windscribe Free qualifizieren sich; Mullvad bietet bewusst kein kostenloses Paket an. Alle anderen kostenlosen VPNs finanzieren sich über Datenverkauf, Tracking oder Bandbreitenverkauf – das ist DSGVO-Risiko, nicht DSGVO-Schutz.

4. „Consumer-VPN reicht für mein Business“

Solo-Selbstständige mit Beratungs-Mandaten, GmbH-Geschäftsführer mit Mitarbeitenden, Anwaltskanzleien – wer Mandanten-/Kunden-Daten über das VPN sendet, braucht juristisch einen AVV nach Art. 28 DSGVO. Im Consumer-Plan ist der nicht enthalten. Lösungen: NordLayer, ProtonVPN Business, Perimeter 81. NordLayer beginnt bei 8 USD/User/Monat im Jahresabo (10 USD monatlich) und verlangt mindestens 5 Lizenzen; die Business-Tarife der Wettbewerber liegen in derselben Größenordnung.

5. „Die Auto-Renewal-Preise sind schon ok“

Sind sie nicht. Die Renewal-Steigerung ist marktüblich aber eindeutig Lock-in-Pricing. Wer aktiv kündigt + danach neu abschließt, zahlt die Erstvertragspreise. Das ist nicht „Trick“ – die Anbieter wissen das und liefern es bei direkter Kündigungs-Anfrage oft sogar aktiv mit. Unter den fünf hier verglichenen Anbietern ist Mullvad die einzige Alternative ohne Auto-Renewal-Pricing.

Häufig gestellte Fragen