Unabhängige Audits von ExpressVPN verstehen

Im nachfolgenden Artikel erfahren Sie, wie die Sicherheit von ExpressVPN unabhängig von externen Unternehmen geprüft wird. Wir verraten, was diese Prüfungen enthalten und wie Sie die Berichte selbst lesen können.

Wie ExpressVPN unabhängig geprüft wird

ExpressVPN lässt seit 2018 unabhängige Prüfungen durchführen. Sie werden im Zuge der Weiterentwicklung seiner Produkte regelmäßig fortgesetzt. Externe Sicherheitsfirmen führen diese Audits durch. Sie haben Zugang zum Quellcode, zur internen Infrastruktur sowie zu den für die jeweilige Prüfung relevanten Unterlagen. Ihre Aufgabe ist die Überprüfung, ob die Systeme und die Software von ExpressVPN wie beschrieben funktionieren. Sie sollen etwaige Schwachstellen oder Probleme aufdecken.

Jedes Audit-Unternehmen führt seine Arbeit unabhängig durch und folgt dabei seiner eigenen Methodik sowie seinen eigenen Standards. ExpressVPN hat keinen Einfluss auf die Ergebnisse oder Schlussfolgerungen der Prüfer.

Finden die Firmen Probleme, werden sie im veröffentlichten Bericht erwähnt. Die Prüfer können zudem Nachprüfungen durchführen. Damit stellen sie fest, ob die Probleme behoben wurden. Das Aufdecken von Problemen im Rahmen eines Sicherheits-Audits ist ein normaler Bestandteil des Prozesses: Genau dafür sind die unabhängigen Tests da.

Jedes Audit spiegelt den Zustand der Systeme von ExpressVPN zum Zeitpunkt der Prüfung wider. Daher werden die Audits regelmäßig und nicht nur einmalig in Auftrag gegeben.

Hilfe benötigt? Kontaktieren Sie das Support-Team von ExpressVPN, um sofort Hilfe zu erhalten.

Zurück zum Anfang

Was die Audits von ExpressVPN abdecken

Audits werden in verschiedenen Bereichen der Produkte und der Infrastruktur von ExpressVPN durchgeführt. Zu den überprüften Bereichen gehören:

• Das Lightway-Protokoll: Das hauseigene VPN-Protokoll von ExpressVPN wurde als Open-Source veröffentlicht. Es regelt, wie Geräte eine Verbindung zu VPN-Servern herstellen.
• TrustedServer: ExpressVPNs Server-Technologie, die komplett im RAM läuft. Sobald ein Server neu gestartet wird, werden alle Daten gelöscht.
• Desktop und mobile VPN-Apps: Die ExpressVPN-Anwendungen für Windows, macOS, Linux, iOS und Android.
• Browser-Erweiterungen: Die ExpressVPN-Erweiterung für Chrome und Firefox sowie die ExpressKeys-Erweiterung für Passwortmanager.
• Zusätzliche Services: ExpressAI ist die datenschutzorientierte KI-Plattform von ExpressVPN. ExpressMailGuard ist unser sicherer E-Mail-Weiterleitungs-Service. Identity Defender ist unsere Suite von Identitätsschutz-Services (nur in den USA). Derzeit läuft zudem ein Audit für ExpressKeys (Passwortmanager).
• Aircove-Router: ExpressVPNs Router-Hardware, womit das VPN auf Netzwerkebene läuft und nicht nur auf individuellen Geräten.
• Das Engagement bezüglich No-Logs-Richtlinie und Datenschutz: Der Prozess klärt, bb die technische Infrastruktur und die internen Prozesse von ExpressVPN mit den Angaben in der Datenschutzerklärung übereinstimmen. Sie erfahren hier mehr über die No-Logs-Richtlinie von ExpressVPN.
• Das System zur Überprüfung der Builds: Der Prozess stellt sicher, dass die an die Nutzer ausgelieferte Software mit dem Quellcode übereinstimmt. Es schützt während der Ausgabe vor Manipulation.

Hilfe benötigt? Kontaktieren Sie das Support-Team von ExpressVPN, um sofort Hilfe zu erhalten.

Zurück zum Anfang

Wer die Audits von ExpressVPN durchführt

ExpressVPN hat im Rahmen seines Audit-Programms mit einigen etablierten, unabhängigen Unternehmen aus den Bereichen Cybersicherheit und professionelle Dienstleistungen zusammengearbeitet. Dazu gehören:

• Cure53: Ein Cybersicherheitsunternehmen aus Deutschland, das sich auf Penetrationstests und Sicherheits-Audits spezialisiert hat.
• KPMG: Eines der weltweit größten Beratungsunternehmen, das Prüfungs- und Sicherheitsdienstleistungen nach international anerkannten Standards durchführt.
• PwC Switzerland: Die Schweizer Niederlassung eines der weltweit größten Beratungsunternehmen, das Prüfungs- und Sicherheitsdienstleistungen anbietet.
• F-Secure: Ein finnisches Cybersicherheitsunternehmen mit langjähriger Erfahrung in der Untersuchung von Sicherheitslücken und bei Sicherheitstests.
• Praetorian: Ein in den USA ansässiges Cybersicherheitsunternehmen, das sich auf offensive Sicherheit und technische Risikobewertungen spezialisiert hat.

Hilfe benötigt? Kontaktieren Sie das Support-Team von ExpressVPN, um sofort Hilfe zu erhalten.

Zurück zum Anfang

Wie man einen Bericht zu einem Audit von ExpressVPN liest

Nicht alle Prüfberichte folgen derselben Struktur. Im Prüfprogramm von ExpressVPN gibt es zwei Haupttypen. Das Format hängt davon ab, was getestet und geprüft wurde:

Penetrationstests und Audits des Quellcodes

Ein solcher Prüfungsbericht enthält normalerweise:

• Umfang: Hier wird genau festgelegt, was geprüft wurde, einschließlich spezifischer Softwareversionen oder Code-Commits. Es wird zudem ausdrücklich aufgeführt, was nicht im Prüfungsumfang enthalten war. Anhand des Prüfungsumfangs sieht man, zu welchen Aspekten sich die Prüfung äußern kann und zu welchen nicht.
• Testmethodik: Dokumentiert den Testansatz und die angewandten Techniken. Normalerweise ist das nach den Bereichen der zu prüfenden Software aufgeschlüsselt. Dazu gehören auch Bereiche, die untersucht wurden, obwohl dort keine Probleme gefunden wurden.
• Glossar zu Schweregraden: Legt das Bewertungssystem fest, das zur Einstufung der Ergebnisse verwendet wird. Jede Bewertung hat eine vordefinierte Bedeutung, die der Prüfer bei allen Ergebnissen einheitlich anwendet.
• Gefundene Schwachstellen: Enthält eine Liste mit allen festgestellten Sicherheitsproblemen mit einer eindeutigen Kennung. Zudem gibt es eine Bewertung des Schweregrads, eine technische Beschreibung, gegebenenfalls einen sogenannten Proof-of-Concept sowie einen Hinweis zur Behebung, aus dem hervorgeht, ob das Problem behoben und überprüft wurde.
• Sonstige Probleme: Behandelt Schwachstellen, die zwar keine ausnutzbaren Sicherheitslücken darstellen, einem Angreifer jedoch helfen könnten. Hier werden auch sonstige Verbesserungspotenziale aufgelistet.
• Fazit der Auditoren: Eine abschließende Erklärung, in der die Gesamtbewertung des Prüfers zusammengefasst wird. Die Schlussfolgerungen werden von der Prüfungsgesellschaft verfasst und nicht von ExpressVPN. Sie geben die unabhängige Meinung des Prüfers wider.

Prüfungsaufträge

In diesen Berichten werden weder Sicherheitslücken aufgeführt noch Schweregrade angegeben. Stattdessen prüft der Auditor die technischen Kontrollmaßnahmen und internen Prozesse von ExpressVPN. Hierfür gibt es festgelegte Kriterien. Der Prüfer gibt eine formelle Stellungnahme ab, ob die entsprechenden Kontrollmaßnahmen wie beschrieben funktionieren. Die entscheidende Frage lautet, ob der Prüfer eine positive Bewertung abgegeben hat und ob Ausnahmen festgestellt wurden.

Hilfe benötigt? Kontaktieren Sie das Support-Team von ExpressVPN, um sofort Hilfe zu erhalten.

Zurück zum Anfang

Zugang zu den Prüfberichten von ExpressVPN

Jeder Bericht, einschließlich aller festgestellten Mängel, wird in der vom Wirtschaftsprüfer vorgelegten Fassung vollständig veröffentlicht. Alle veröffentlichten Berichte finden Sie in voller Länge unter expressvpn.com/trust.

Hilfe benötigt? Kontaktieren Sie das Support-Team von ExpressVPN, um sofort Hilfe zu erhalten.

Zurück zum Anfang