Audits van VPN-diensten: wie controleert of een aanbieder niets bewaart
Een VPN-audit is een controle door een extern bedrijf van wat een VPN-aanbieder belooft, meestal zijn no-logs-beleid of de beveiliging van zijn servers. De grote aanbieders laten dat geregeld doen: ExpressVPN door KPMG, Mullvad onder meer door Cure53, NordVPN en Surfshark door Deloitte, Proton VPN door Securitum. Zo’n audit is een momentopname, betaald door de aanbieder, met een vooraf afgesproken opdracht. Deze gids legt uit wat er gecontroleerd wordt en hoe je een auditrapport leest.
Of: waarom een keuring iets anders is dan een garantie
Een no-logs-belofte is een zin op een website. Een audit is de poging om die zin na te kijken: een extern bedrijf krijgt toegang tot servers, configuratiebestanden en medewerkers, en schrijft op wat het vond. Wie de privacybelofte van een VPN wil toetsen, begint daar. Mullvad publiceerde bijvoorbeeld in juni 2024 de resultaten van de vierde audit van zijn infrastructuur door Cure53, met de gevonden problemen en hun oplossing erbij.
Het korte antwoord op de vraag wie controleert: auditbedrijven die de aanbieder zelf kiest en betaalt. Dat maakt een audit niet waardeloos, wel begrensd. Hij toont wat een buitenstaander op een bepaald moment zag, binnen een opdracht die vooraf is afgesproken. Een rapport is een keuringsattest van de auto op de dag van de keuring, geen belofte over de rit naar huis.
No-logs-audit van een VPN: wie wat controleerde
| Aanbieder | Auditbedrijf | Wat en wanneer | Volledig rapport |
|---|---|---|---|
| ExpressVPN | KPMG | no-logs-beleid en serversysteem, toestand op 28 februari 2025; eerder ook in 2022 en 2023 | na aanvaarding van de voorwaarden van KPMG |
| Mullvad | Cure53 | VPN-infrastructuur, 3 tot 14 juni 2024: één OpenVPN- en één WireGuard-server | openbaar |
| NordVPN | Deloitte, eerder PwC | no-logs-beleid; laatste rapport van 12 december 2025, volgens NordVPN het zesde | voor klanten met een account |
| Proton VPN | Securitum | no-logs-beleid, elk jaar sinds 2022, laatst in 2026 | openbaar |
| Surfshark | Deloitte | no-logs-beleid, in 2023 en in 2025 | niet nagegaan |
Gegevens zoals de aanbieders ze op hun eigen sites beschrijven, nagekeken op 12 november 2026. De volgorde is alfabetisch.
Wat een auditor echt doet
Bij Proton VPN beschrijft het verslag over de audits wat Securitum elk jaar ter plaatse doet: configuratiebestanden van VPN-servers nakijken, werkprocedures beoordelen en medewerkers interviewen. De vragen zijn concreet. Worden activiteit, DNS-vragen of tijdstippen van sessies gelogd? Geldt het beleid voor alle servers, regio’s en abonnementen? Is er een alarm als iemand logging aanzet, en zijn daar twee personen voor nodig? Voor 2026 vond Securitum op de onderzochte infrastructuur geen aanwijzingen dat het surfgedrag van gebruikers gelogd werd, en geen blijvende gegevens waarmee Proton een gebruiker aan activiteit kon koppelen.
Let op het woord „onderzochte”. Bij Mullvad keek Cure53 in 2024 naar twee servers in een testomgeving, die volgens Mullvad identiek is ingesteld als de echte omgeving, maar zonder klantenverkeer. Cure53 vond twee problemen van gemiddelde en lage ernst, die Mullvad oploste. Dat is nuttige informatie, precies omdat het rapport zegt waar het over gaat.
Een momentopname, en wat dat betekent
ExpressVPN noemt zijn rapport van KPMG een ISAE 3000-rapport van „type 1”. Zo’n rapport beoordeelt of maatregelen op één datum bestaan en goed opgezet zijn, niet of ze een hele periode lang werkten. NordVPN beschrijft zijn controle door Deloitte als een opdracht volgens dezelfde ISAE 3000-standaard. Dat is gangbaar, en eerlijk vermeld. Het betekent wel dat een audit van februari niets zegt over een configuratiewijziging in augustus. Daarom wegen herhaalde audits zwaarder dan één: Proton VPN zit aan vijf jaar op rij, NordVPN volgens eigen zeggen aan zes controles sinds 2018.
Vijf dingen in een rapport
- De datum of de periode. Eén dag, of enkele maanden?
- De opdracht. Welke servers, welke systemen, en wat viel erbuiten, zoals de boekhouding of de apps?
- De methode. Interviews en configuratiebestanden, of ook een eigen onderzoek op draaiende servers?
- De bevindingen en de opvolging. Wat werd gevonden, en wat heeft de aanbieder daarmee gedaan?
- De toegang. Kun je het volledige rapport lezen, of alleen een samenvatting van de aanbieder?
Een IT-partner die voor een kmo met twaalf medewerkers een VPN-dienst voorstelt, kan dat rapport gewoon bij de offerte vragen. Een zelfstandige fiscalist die klantendossiers via hotelwifi opent, heeft geen tijd voor dertig bladzijden; hij leest de samenvatting en het hoofdstuk over de opdracht. Wie het rapport niet kan inzien, weet in elk geval dat hij op het woord van de aanbieder vertrouwt.
Wat de belofte zelf zegt
Een audit controleert een beleid, en dat beleid moet je eerst begrijpen. Het verschil tussen activiteits- en verbindingslogs staat bij wat no-logs precies dekt.
De groep achter het merk
Een audit gaat over één merk, op één moment. Wie het merk bezit en of dat kan veranderen, lees je bij eigenaars en overnames van VPN-merken.
Het land van de gecontroleerde
Een auditor kijkt wat er bewaard wordt, niet wat een wet morgen kan opleggen. Voor een aanbieder in Genève staat dat bij het Zwitserse recht voor VPN-diensten.