Mullvad VPN Test 2026: der Privacy-Hardliner aus Göteborg

So entstand diese Analyse

Methodik:

• Audit-Verifikation: Mullvads Audit-Archiv unter mullvad.net/en/blog/tag/audits chronologisch durchgegangen (Stand 08.08.2026) – jeder Eintrag mit Datum, Prüffirma und Prüfgegenstand abgeglichen.
• Open-Source-Code: Mullvad-Apps-Repository auf GitHub stichprobenartig auf Telemetrie-Code geprüft.
• Anonymitäts-Verfahren: Konto-Nummer-Generierungs-Logik + Bargeld-/Monero-Zahlungspfade dokumentiert.
• Community-Berichte: r/VPN, r/PrivacyGuides, ProtonVPN-vs-Mullvad-Diskussionen ausgewertet.
• Vergleichsmaßstab: NordVPN + ProtonVPN parallel als Referenz für Anbieter-Typologie.

Pricing: radikal einfach

Das ist der ganze Plan. Keine Family-Plans, keine Business-Plans, keine Add-ons. Mullvad's Pricing-Philosophie ist explizit anti-Marketing – alle zahlen das gleiche, keiner wird mit Mehrjahres-Verträgen geködert.

Auf einen Blick

Was Mullvad einzigartig macht

1. Anonymes Konto-Modell ohne E-Mail

Du klickst "Konto erstellen", bekommst eine 16-stellige Zahl, schreibst sie auf – fertig. Keine E-Mail-Verifikation, kein Passwort, keine Telefonnummer. Falls du dein Konto verlierst (Zettel weg, Browser-Backup verloren): die Daten sind verloren, aber die Anonymität bleibt absolut.

Für Whistleblower-Setups, investigativen Journalismus oder Aktivist:innen in autoritären Ländern ist das die einzige VPN-Account-Architektur, die keinen direkten Identitäts-Link zum Nutzer hat. Bei NordVPN/ProtonVPN/Surfshark brauchst du eine E-Mail-Adresse + Bezahl-Methode → korrelierbare Identität.

2. Bargeld-Zahlung per Post

Mullvad akzeptiert Banknoten per Post – du steckst 60 € (12 Monate) und einen zufällig erzeugten Zahlungs-Token in einen Umschlag und schickst ihn nach Göteborg. Maximaler Anonymitäts-Pfad: keine Bank-Spur, keine Karten-Spur. In Kombination mit der anonymen Konto-Nummer entsteht ein VPN-Account ohne jeglichen Identitäts-Anker.

3. Kein Auto-Renewal, keine Lock-in-Tricks

5 €/Monat fest – keine "Mehrjahres-Rabatte mit kräftigem Aufschlag nach Vertragsende"-Tricks wie bei NordVPN/Surfshark. Du lädst Guthaben auf – ein Monat kostet 5 € –, und die Zeit läuft ab Zahlungseingang; neue Abos mit automatischer Abbuchung nimmt Mullvad seit Juni 2022 nicht mehr an. Über 27 Monate zahlst du 135 €. Bei NordVPN Basis kostet die Erstlaufzeit in der Black-Friday-Aktion 94,23 € (2-Jahres-Abo, 24 + 3 Monate zu 3,49 €/Mo, Stand 04.11.2026) – danach verlängert sich das Abo zu 139,08 € pro Jahr, das sind 11,59 €/Monat. Mullvad bleibt konstant 60 € pro Jahr.

4. Durchgehende externe Audits + Open-Source-Apps

Mullvad lässt seit 2018 praktisch jährlich extern prüfen und stellt jeden Report öffentlich ins Blog-Archiv. Cure53 (Berliner IT-Security-Boutique) prüfte die Apps 2018 und 2020 sowie die Infrastruktur im Dezember 2020 und im Juni 2024; das Gros der übrigen Audits läuft über Assured AB aus Göteborg (VPN-Server, DNS, Konto- und Zahlungsdienste, Leta-Suche, Web-App, GotaTun). Dazu kommen Radically Open Security (Infrastruktur 08/2023), X41 D-Sec (30-Personentage-Pentest der App, 12/2024) und die MASA-Zertifizierung der Android-App durch NCC Group (03/2025) und Leviathan Security Group (06/2026). Apps sind auf GitHub auditierbar, geschrieben in Rust, Swift und Kotlin (memory-safety by design). Was fehlt, ist ein separat ausgewiesenes No-Logs-Engagement.

5. Anti-Marketing-Kultur als Trust-Signal

Mullvad's Website hat keine Affiliate-Provisionen (deshalb auch nicht auf dieser Toolspick-Seite mit Affiliate-CTA gelistet – anonym-first-Modell ist kein klassischer Funnel). Kein Marketing-Tracking auf der eigenen Website (kein GA, kein Plausible). Kein E-Mail-Newsletter. Diese Anti-Marketing-Disziplin ist selbst ein Trust-Signal für die Privacy-Community.

6. DAITA: Defense Against AI-guided Traffic Analysis

DAITA ist Mullvads Antwort auf eine relativ neue Bedrohungsklasse: Machine-Learning-basierte Traffic-Analyse, mit der ein Beobachter trotz Verschlüsselung anhand von Paket-Größen, Zeitstempeln und Verbindungs- Mustern wahrscheinliche Rückschlüsse auf besuchte Inhalte ziehen kann. Mullvad beschreibt DAITA als zusätzliche Schicht zum normalen WireGuard-Tunnel: Mullvad fügt absichtliches "Filler-Traffic" und Konstant-Paket-Größen-Padding hinzu, sodass die statistischen Muster, auf die ML-Modelle für Website-Fingerprinting trainiert sind, unzuverlässig werden. Praktisch schalten Sie DAITA in den Einstellungen der Mullvad-App ein; weil nicht jeder Server DAITA unterstützt, leitet die App den Verkehr dann laut App-Anleitung automatisch per Multihop über einen DAITA-fähigen Server. Der Preis dafür ist ein höherer Datenverbrauch – Mullvad warnt selbst vor dem Einsatz bei begrenztem Mobilfunk-Volumen.

Wer braucht DAITA realistisch? Drei Profile: Journalisten unter autoritären Regimen, Quellen-schutz-Berufe (Whistleblower-Lawyers, Investigativ-Reporter) und besonders paranoide Tech-Profile, die nicht nur vor kommerziellem Tracking schützen, sondern vor systematischer ISP- oder Geheimdienst-Korrelation. Für die meisten Nutzer:innen reicht die Standard-WireGuard-Verbindung ohne DAITA; wer das Mehr an Schutz braucht, bekommt bei Mullvad eine öffentlich dokumentierte Anti-Traffic-Analyse-Schicht. Ob andere Anbieter Vergleichbares haben, haben wir für diesen Abschnitt nicht geprüft. Pragmatischer Hinweis: DAITA verbraucht zusätzliches Datenvolumen durch den Filler-Traffic – bei mobilen Tarifen mit hartem Daten-Cap sollten Sie das im Hinterkopf behalten und DAITA nur in den Sessions aktivieren, in denen die zusätzliche Anonymitäts-Schicht den Daten-Overhead wert ist.

Wo es schwierig wird

1. Schweden ist Teil der 14-Eyes-Allianz

Für Hardliner-Privacy-Setups ist der schwedische Sitz ein Schwachpunkt gegenüber ProtonVPN (Schweiz, außerhalb 14-Eyes). Schwedische Behörden können theoretisch durch das schwedische FRA-Gesetz (Försvarets Radioanstalt) bestimmte Internet-Daten erfassen. Mullvad's Antwort: RAM-Only-Server + No-Logs-Policy + Open-Source-Audits – aber die rechtliche Schicht bleibt.

2. Streaming-Geo-Unblocking funktioniert oft nicht

Bewusste Anti-Streaming-Philosophie: Mullvad optimiert nicht aktiv gegen Netflix/Disney+-Geo-Blocking. Streaming-IPs werden nicht rotiert, keine dedizierten Streaming-Server. Wer "Netflix UK aus Deutschland" sehen will: NordVPN/ExpressVPN sind ergonomischer.

3. Kleines Server-Netz

566 Server vs NordVPN über 7.100 an 225 Standorten oder Surfshark 4.500+. Für Standard-DACH-Nutzung ausreichend (Stockholm/Frankfurt/Wien/Zürich), aber bei IP-Block-Problemen weniger Rotation-Headroom. Auch: weniger spezialisierte Server (kein dedizierter P2P-Server-Pool wie bei NordVPN).

4. Kein klassisches Affiliate-Programm

Mullvad's anti-Marketing-Modell hat einen Nachteil für Review-Sites wie ToolsPick.de: kein Affiliate-Programm bedeutet keine Provision. Wir empfehlen Mullvad trotzdem für die richtige Persona – aber transparent: Anbieter ohne Affiliate-Programm sind in unserem Markt-Radar oft underrepresented (siehe auch Methodik-Seite).

5. Recovery bei Konto-Verlust unmöglich

Konto-Nummer vergessen + nicht aufgeschrieben = Konto + bezahlte Tage sind verloren. Es gibt keinen "Passwort vergessen"-Workflow per E-Mail – das ist Feature, nicht Bug. Pflicht: Konto-Nummer in Passwort-Manager UND offline (Papier) sichern.

Für wen lohnt sich Mullvad?

Wann Mullvad NICHT die richtige Wahl ist

Mullvads bewusste Beschränkungen sind für die Zielgruppe (Privacy-Hardliner, Journalist:innen, Security-Researcher) ein Feature – für viele andere Setups sind sie ein klares K.O.-Kriterium. Fünf Szenarien, in denen wir Mullvad in der Praxis aktiv nicht empfehlen würden:

1. Streaming-Workflows

Wer regelmäßig Netflix, Disney+ oder ARD-Mediathek geo-bound nutzen will, sollte zu NordVPN oder Surfshark greifen – Mullvad investiert bewusst nicht in Streaming-Optimierung oder dedizierte Anti-Geo-Blocking-Server. Das Resultat: Streaming-Dienste blocken Mullvad-IPs zuverlässig, was bei den größeren Anbietern mit gepflegten Streaming-Pools deutlich seltener passiert. Wer ein Mal pro Quartal eine Geo-Verbindung braucht, lebt damit – wer täglich Streaming-Bingo spielt, braucht ein anderes Tool.

2. Familien-Setups mit mehreren Personen

Mullvad hat keine Familien-Tarif-Logik und kein klassisches Multi-User- Account-Modell. Für 4-Personen-Haushalte mit Apps auf 8-10 Geräten ist Surfshark (Unlimited-Device-Modell) oder NordVPN die ergonomischere Wahl – auch pricing-seitig, weil Mullvads Per-Konto-Modell bei mehreren Personen schnell teurer wird als ein klassischer Familien-Plan. Praktisch heißt das: Mullvad rechnet sich bei einer einzelnen Person mit klarem Privacy-Fokus, aber kippt sehr schnell, sobald geteilte Logins, Eltern-Setup oder gemeinsame Reise-Geräte ins Spiel kommen.

3. Speed-kritische Use-Cases (4K-Streaming, Cloud-Gaming)

Mullvad nutzt WireGuard und liefert für Standardnutzung solide Performance, spielt aber in der absoluten Throughput-Spitze nicht in derselben Liga wie NordVPN's NordLynx oder ExpressVPN's Lightway – beide Anbieter haben proprietäre Protokoll-Optimierungen und größere Server-Pools, die in unabhängigen Speed-Benchmarks konsistent vorne landen. Für reines Surfen ist der Unterschied unkritisch; für Echtzeit-Anwendungen mit hartem Latency-Budget kann er spürbar sein.

4. Business-Setups mit AVV-Pflicht

Mullvad ist als Consumer-VPN konzipiert – keine klassische Business-Tarif- Struktur mit Geschäfts-AVV, keine SSO-Integration und kein zentrales Admin-Dashboard für Team-Lizenzen. Für DACH-Unternehmen mit DSGVO-Audit- Druck und mehreren Mitarbeitenden ist ProtonVPN Business oder NordLayer die formal-saubere Wahl, weil dort Auftragsverarbeitungs-Vertrag, User-Management und Audit-Logs als Standard-Komponenten ausgeliefert werden.

5. Mainstream-Bequemlichkeit ohne Privacy-Tiefen-Bedarf

Wer „einfach nur VPN“ für gelegentliche Hotel-WLAN-Sicherheit oder Banking-Connection-Schutz braucht, ist mit Surfshark oder NordVPN besser bedient – Mullvads anonymes Konto-Modell, Bargeld-Zahlung und Privacy- First-UX sind für diese Mainstream-Anwendungsfälle Over-Engineering ohne spürbaren Mehrwert. Die Stärke wird zur Reibung, wenn das Bedrohungsmodell des Nutzers schlicht nicht zur Architektur passt.

Quick-Check-Heuristik: Wenn drei oder mehr der oben aufgeführten Szenarien auf dich zutreffen, sind ProtonVPN (Compliance- Premium), NordVPN (Performance + Familie) oder Surfshark (Pricing- freundlich für mehrere Geräte) die ehrlich passenderen Picks – Mullvad ist dann nicht „falsch“, sondern systematisch über-optimiert für Anforderungen, die dein Setup nicht stellt.

Empfehlung

Für die richtige Persona ist Mullvad 2026 ein konkurrenzloser Privacy-Hardliner-Pick. Wenn du Journalist:in, Aktivist:in oder Security-Researcher:in bist und Anonymitäts-Eigenschaften priorisiert: das anonyme Konto-Modell + Bargeld- Zahlung ist die einzige VPN-Architektur am Markt, die keinen direkten Identitäts-Link zum Nutzer hat.

Für Standard-DACH-Geschäftsnutzung ist ProtonVPN (Schweiz + Compliance-Bundle) oder NordVPN (Performance + Familie) die ergonomischere Wahl. Mullvad ist ein bewusster Nische-Pick – und das macht ihn so wertvoll.

Häufig gestellte Fragen