Mullvad: der VPN, der der Polizei nichts übergab — weil es nichts zu übergeben gab.

Funktionsweise

Mullvad ist ein schwedischer Pauschalpreis-VPN, betrieben von Amagicom AB aus Göteborg, im Geschäft seit 2009. Es gibt keine Tarifstufen und kein Upselling. Fünf Euro im Monat kaufen ein einziges Produkt: eine geroutete Verbindung zu rund vierzig Standorten über Mullvads eigenen WireGuard- oder OpenVPN-Stack, mit einer Infrastruktur, die ausschließlich im RAM läuft. Es gibt kein klassisches Konto. Bei der Anmeldung erzeugt das System eine 16-stellige Kontonummer, und allein diese Nummer authentifiziert den Nutzer gegenüber dem Dienst. Aufladen lässt sich mit so ziemlich jedem Zahlungsweg: Kreditkarte, Banküberweisung, Bitcoin, Bitcoin Cash, Monero, Swish oder einem Umschlag mit Bargeld an ein Postfach in Göteborg. Die Mullvad-Apps für Linux, macOS, Windows, Android und iOS sind quelloffen auf GitHub, ebenso wie der Mullvad Browser, den das Haus gemeinsam mit dem Tor-Projekt pflegt.

KYC und Privatsphäre

Die Anmeldung verlangt nichts. Kein E-Mail-Feld, kein Telefonfeld, kein Namensfeld; die einzige ausgegebene Berechtigung ist die Kontonummer selbst, die man sicher notieren sollte. Die ausgewiesene No-Log-Politik deckt IP-Adressen, Datenverkehr, DNS-Anfragen und Verbindungszeitstempel ab, und sie ist öffentlich auf die Probe gestellt worden. Im April 2023 vollstreckte die schwedische Reichspolizei einen Durchsuchungsbeschluss am Standort Göteborg im Auftrag deutscher Ermittler; nachdem das Team belegt hatte, dass die geforderten Datensätze schlicht nicht existieren, sprachen sich die Beamten mit der Staatsanwaltschaft ab und zogen ab, ohne etwas mitzunehmen. Ein .onion-Spiegel des Konto-Portals steht für alle bereit, die das Clearnet meiden möchten.

Stärken und Grenzen

Die Audit-Historie ist das stärkste Argument für den Dienst. Cure53 hat Apps und Infrastruktur seit 2018 mehrfach durchleuchtet, zuletzt in einem vierten Infrastruktur-Audit, das im Juni 2024 abgeschlossen wurde, und Assured Security Consultants führte 2025 einen separaten Penetrationstest der Web-Anwendung durch. Das Preismodell ist eine eigene Form von Datenschutzhygiene: keine Jahresbindungen, gegen die man hochverkauft, keine Empfehlungsboni, keine Churn-Metriken, die auf einer Identifikation des Kunden beruhen. Die Decke ist allerdings real. Es bleibt ein zentraler kommerzieller VPN, dessen Server Mullvad selbst betreibt — kein Mixnet, kein Peer-Relais; man muss der schwedischen Jurisdiktion und der Haltung des Betreibers vertrauen — gut belegtes Vertrauen, aber Vertrauen. Die Geschwindigkeit reicht solide fürs Surfen und Torrenting; das Netz ist kleiner als bei den größten kommerziellen Anbietern und weniger auf latenzsensibles Streaming optimiert.

Fazit

Mullvad ist der seltene VPN, der die langweiligen Dinge siebzehn Jahre in Folge richtig macht: anonyme Konten, Barzahlung, wiederkehrende Drittaudits, offener Quellcode und eine reale Razzia, die genau nichts ergab. Er ist für Nutzer gebaut, die Privatsphäre als Standardinfrastruktur behandeln, nicht als Komfortfunktion zum Freischalten.