Wer heute einen VPN-Anbieter wählt, kann sich nicht mehr auf Marketingversprechen verlassen. “No-Logs” steht auf fast jeder Anbieter-Website, doch nur wenige Firmen lassen diese Behauptung von externen Prüfern testen. ExpressVPN und Mullvad gehören zu den wenigen Diensten, die ihre Infrastruktur regelmäßig von unabhängigen Wirtschaftsprüfern und Sicherheitsfirmen durchleuchten lassen. Genau das macht den Vergleich zwischen beiden für österreichische Nutzer interessant, die laut EU-Digital-Decade-Bericht 2026 den Schutz ihrer Online-Privatsphäre mit 93 Prozent als digitale Top-Priorität einstufen.

Dieser Vergleich stellt die Audit-Historie, die Rechtslage, die Protokolle und die Preise beider Anbieter gegenüber und zeigt, welcher VPN-Dienst sich für welchen Anwendungsfall eignet. Grundlage sind veröffentlichte Prüfberichte von KPMG, Cure53, Praetorian und X41 D-Sec sowie aktuelle Geschwindigkeitstests aus 2025 und 2026.

Für heimische Nutzer ist die Frage keineswegs akademisch. Laut Daten der österreichischen Digitalstrategie liegt die VPN-Nutzung in heimischen Unternehmen bei 63,64 Prozent, deutlich über dem EU-Schnitt von 49,64 Prozent. Die gleiche Erhebung zeigt zudem, dass österreichische Betriebe bei Verschlüsselungstechniken mit 47,81 Prozent ebenfalls über dem EU-Durchschnitt von 39,72 Prozent liegen. Wer sich für einen Anbieter entscheidet, tut das also selten aus reiner Neugier, sondern weil E-Mails, Bankgeschäfte oder journalistische Recherchen vor Mitlesern geschützt werden sollen. Genau deshalb lohnt sich ein Blick darauf, was Prüfberichte tatsächlich aussagen und wo ihre Grenzen liegen.

Was ist ExpressVPN? Kurzprofil eines Branchenriesen

ExpressVPN sitzt auf den Britischen Jungferninseln (BVI), einer Jurisdiktion ohne verpflichtende Vorratsdatenspeicherung für Telekommunikationsanbieter. Der Dienst betreibt nach eigenen Angaben mehr als 3.000 Server in rund 100 Ländern und setzt auf sein proprietäres Protokoll Lightway, das inzwischen in Rust neu geschrieben wurde. ExpressVPN positioniert sich als Premium-Anbieter mit Apps für praktisch jede Plattform, Router-Unterstützung und einem eigenen Trust Center, in dem alle veröffentlichten Audit-Berichte einsehbar sind.

Das Kernstück der Infrastruktur heißt TrustedServer: Jeder Server bootet ausschließlich von einem schreibgeschützten Image direkt in den Arbeitsspeicher, ohne Festplatte. Bei jedem Neustart verschwinden sämtliche Daten. ExpressVPN lässt diese Architektur seit 2018 wiederholt von externen Prüfern kontrollieren, zuletzt im Rahmen der dritten KPMG-Prüfung im Jahr 2025.

Zum Funktionsumfang gehören ein Kill-Switch namens Network Lock, Split-Tunneling für einzelne Apps, Browsererweiterungen für Chrome und Firefox sowie ein integrierter Bedrohungsmanager, der Tracker und schädliche Domains blockiert. ExpressVPN gehört zum Portfolio von Kape Technologies, einem Unternehmen, das mehrere VPN-Marken unter einem Dach vereint. Für Nutzer bedeutet das größere Konzernstrukturen im Hintergrund, aber auch mehr Ressourcen für regelmäßige, kostspielige Audits, wie sie kleinere Anbieter sich oft nicht leisten können.

Was ist Mullvad? Der schwedische Datenschutz-Spezialist

Mullvad verfolgt einen anderen Ansatz. Das schwedische Unternehmen verlangt keine E-Mail-Adresse, sondern generiert bei der Registrierung eine zufällige Kontonummer. Zahlungen sind auch bar per Post oder in Kryptowährung möglich. Das Servernetzwerk fällt mit rund 700 Servern in 49 Ländern deutlich kleiner aus als bei ExpressVPN, dafür konzentriert sich Mullvad auf ein einziges, modernes Protokoll: WireGuard. Am 15. Jänner 2026 hat der Anbieter OpenVPN vollständig eingestellt, sowohl client- als auch serverseitig.

Mullvad kostet pauschal 5 Euro im Monat, unabhängig davon, ob man einen Monat oder zehn Jahre im Voraus bezahlt. Diese Preisstruktur unterscheidet sich deutlich von den gestaffelten Rabattmodellen, wie sie auch im VPN-Vergleich für Österreich beschrieben werden. Wer mehr über die schwedische Alternative im direkten Vergleich mit ProtonVPN erfahren möchte, findet dort zusätzliche Hintergründe zur Preisphilosophie des Anbieters.

Die Mullvad-App bringt einen integrierten Werbe- und Tracker-Blocker mit, der DNS-Anfragen filtert, bevor sie den Tunnel verlassen. Zusätzlich bietet der Anbieter mit dem Mullvad Browser eine eigene, auf Firefox basierende Variante, die auf Fingerprinting-Schutz ausgelegt ist. Das gesamte VPN-Client-Ökosystem ist quelloffen und auf GitHub einsehbar, was zusätzliche Community-Prüfungen jenseits der bezahlten Audits ermöglicht. Diese Offenheit passt zur Grundhaltung des Unternehmens: so wenig Vertrauensvorschuss wie möglich verlangen, so viel wie möglich technisch nachprüfbar machen.

Methodik: Wie dieser Vergleich entstanden ist

Für diesen Artikel wurden ausschließlich öffentlich zugängliche Quellen ausgewertet: die offiziellen Audit-Berichte und Trust Center von ExpressVPN und Mullvad, Berichterstattung von CNET und Tom’s Guide über die jeweils aktuellsten Prüfungen, ein 2026 veröffentlichter Protokollvergleichstest sowie die offiziellen Preisseiten beider Anbieter. Auf Angaben aus dem Gedächtnis oder ungeprüfte Foren-Posts wurde bewusst verzichtet. Wo Quellen widersprüchliche Zahlen lieferten, etwa bei Geschwindigkeitswerten, wurde die konservativere Angabe übernommen und die jeweilige Quelle im Text verlinkt.

Wichtig für die Einordnung: Ein Audit-Bericht ist immer eine Momentaufnahme. Er bestätigt, dass zum Prüfzeitpunkt keine Abweichung von der versprochenen No-Logs-Politik gefunden wurde, garantiert aber nicht, dass sich daran nichts mehr ändert. Deshalb zählt neben der reinen Anzahl der Audits auch, wie regelmäßig ein Anbieter neue Prüfungen in Auftrag gibt und wie transparent er mit gefundenen Schwachstellen umgeht. Aus diesem Grund verzichtet dieser Vergleich bewusst auf ein einfaches Punktesystem und stellt stattdessen die konkreten Prüfergebnisse Abschnitt für Abschnitt nebeneinander.

Spezifikationen im Überblick: ExpressVPN gegen Mullvad

Die folgende Tabelle fasst die wichtigsten technischen Eckdaten beider Anbieter zusammen, basierend auf offiziellen Angaben und aktuellen Tests aus 2025 und 2026.

MerkmalExpressVPNMullvad
JurisdiktionBritische JungferninselnSchweden
Serveranzahlca. 3.000+ca. 700+
Länderabdeckungca. 100 Länder49 Länder
ProtokolleLightway, OpenVPN, IKEv2WireGuard (exklusiv seit Jänner 2026)
ServerarchitekturTrustedServer, RAM-onlyDiskless-Server, minimale Logs laut Audits
RegistrierungE-Mail-Adresse erforderlichZufällige Kontonummer, keine E-Mail nötig
ZahlungsmethodenKarte, PayPal, KryptowährungKarte, PayPal, Bargeld per Post, Kryptowährung
Simultanverbindungenbis zu 8 Geräte5 Geräte
Letztes vollständiges Infrastruktur-Audit2025 (KPMG)2024 (Cure53)
Gesamtzahl externer Audits18 seit 201810+ seit 2018
PlattformenWindows, macOS, Linux, iOS, Android, RouterWindows, macOS, Linux, iOS, Android, Router
Preis (Einstieg)ab ca. 2,84 €/Monat bei 24-Monats-Laufzeit5 €/Monat, jede Laufzeit

Auffällig ist, dass sich beide Anbieter bei fast allen Kernmerkmalen unterscheiden, ohne dass ein Wert eindeutig “besser” ist. Mehr Server bedeuten mehr Auswahl, aber auch eine größere Fläche, die konsistent sicher konfiguriert und geprüft werden muss. Weniger Server lassen sich leichter kontrollieren, schränken aber die Standortwahl ein. Diese Abwägung zieht sich durch praktisch jeden Abschnitt dieses Vergleichs.

Unabhängige Sicherheitsaudits: Wer wurde wann geprüft?

Beide Anbieter werben mit Audits, doch die Prüfungen unterscheiden sich in Umfang und Rhythmus deutlich. ExpressVPN setzt auf große, etablierte Wirtschaftsprüfungsgesellschaften mit breitem Prüfumfang. Die dritte KPMG-Prüfung von Juni bis Oktober 2025 bewertete die No-Logs-Richtlinie, die TrustedServer-Konfiguration und das interne Kontrollsystem. KPMG bestätigte laut CNET-Berichterstattung, dass keine Verbindungsprotokolle, DNS-Anfragen oder Verkehrsziele gespeichert werden, die Nutzer identifizieren könnten. Es war laut ExpressVPN bereits das 18. externe Audit seit 2018, darunter Prüfungen durch KPMG, Cure53 und Deloitte.

Zusätzlich ließ ExpressVPN sein neu in Rust geschriebenes Lightway-Protokoll 2024 und 2025 von zwei unabhängigen Firmen prüfen. Laut dem offiziellen Audit-Bericht fand Praetorian nur zwei Probleme mit niedrigem Risiko, Cure53 identifizierte fünf Punkte, davon vier mit geringem Ausnutzungspotenzial. Kritische Schwachstellen blieben in beiden Prüfungen aus. Die Entscheidung, das Protokoll komplett in Rust neu zu schreiben, war selbst bereits eine Sicherheitsmaßnahme: Rust verhindert durch sein Speichermodell ganze Klassen von Fehlern, etwa Pufferüberläufe, die in klassischem C- oder C++-Code häufig zu kritischen Schwachstellen führen.

Mullvad verfolgt eine andere Strategie: statt weniger großer Rundum-Audits lässt der Anbieter einzelne Komponenten von spezialisierten Boutique-Firmen prüfen. Im Jänner 2026 veröffentlichte Mullvad ein Audit seiner Konto- und Zahlungsdienste mit fünf sicherheitsrelevanten Befunden, zwei niedriger und drei mittlerer Schwere. Alle wurden laut Anbieter behoben oder entschärft. Im März 2026 folgte ein Audit der neuen WireGuard-Implementierung, das laut CNET keine signifikanten Schwachstellen fand.

Das letzte vollständige Infrastruktur-Audit von Mullvad durch Cure53 stammt vom 27. Juni 2024. Dabei testeten die Prüfer einen laufenden OpenVPN-Server, einen WireGuard-Server sowie den Ansible-Deployment-Code. Cure53 fand ein Problem mit niedriger und eines mit mittlerer Schwere, konnte aber keine Möglichkeit finden, die Anonymität des Datenverkehrs zu kompromittieren oder die No-Logs-Zusage zu widerlegen. Eine Übersicht aller VPN-Anbieter mit öffentlichen Audits listet beide Firmen unter den am häufigsten geprüften Diensten des Marktes.

Ein Detail lohnt sich zu erklären: KPMG spricht in seinem Bericht von “reasonable assurance”, also einer angemessenen, aber nicht absoluten Sicherheit. Das ist der übliche Standard bei Wirtschaftsprüfungsattesten und unterscheidet sich von einem klassischen Penetrationstest, bei dem Prüfer aktiv versuchen, Systeme zu kompromittieren. Cure53-Berichte wiederum ähneln eher technischen Penetrationstests mit konkreten, im Code nachvollziehbaren Befunden. Für Leser bedeutet das: Ein KPMG-Attest sagt vor allem etwas über Prozesse und Konfiguration aus, während ein Cure53-Bericht direkter zeigt, ob konkrete Schwachstellen im Code oder in der Serverkonfiguration existieren. Beide Prüfarten ergänzen sich, ersetzen sich aber nicht gegenseitig.

DatumAnbieterPrüffirmaPrüfumfangErgebnis
27.06.2024MullvadCure53OpenVPN-/WireGuard-Server, Deployment-Code1x niedrig, 1x mittel, keine Anonymitätsverletzung
2024–2025ExpressVPNPraetorianLightway-Protokoll (Rust)2x niedriges Risiko
2024–2025ExpressVPNCure53Lightway-Protokoll (Rust)5 Befunde, keine kritischen
Juni–Okt. 2025ExpressVPNKPMGNo-Logs-Richtlinie, TrustedServerBestätigt, keine identifizierenden Logs
Jänner 2026MullvadX41 D-SecKonto- und Zahlungsdienste2x niedrig, 3x mittel, behoben
März 2026Mullvadunabhängige PrüffirmaWireGuard-ImplementierungKeine signifikanten Schwachstellen

Jurisdiktion und Rechtslage: Britische Jungferninseln gegen Schweden

Der Firmensitz beeinflusst, welchen Gesetzen ein VPN-Anbieter unterliegt und wie er auf behördliche Anfragen reagieren muss. ExpressVPN sitzt auf den Britischen Jungferninseln, einem Überseegebiet ohne Mitgliedschaft in den Geheimdienstallianzen Five Eyes, Nine Eyes oder Fourteen Eyes und ohne Gesetz zur verpflichtenden Vorratsdatenspeicherung für VPN-Betreiber. Für Nutzer aus Österreich bedeutet das: Behördliche Anfragen aus der EU müssten über internationale Rechtshilfeabkommen laufen, was zusätzliche Hürden schafft.

Mullvad hingegen operiert unter schwedischem Recht, also innerhalb der EU und der Fourteen-Eyes-Kooperation. Das klingt zunächst nachteilig, doch Mullvad argumentiert, dass die Rechtslage bei einer konsequenten No-Logs-Architektur zweitrangig wird: Wenn technisch keine Daten gespeichert werden, kann auch keine Behörde etwas herausgeben. Diese Behauptung wurde nach Angaben mehrerer Fachmedien in der Praxis getestet, als schwedische Behörden versuchten, Kundendaten aus Mullvads Büros zu beschlagnahmen. Weil die diskless-Infrastruktur keine identifizierenden Daten vorhält, blieb die Aktion nach übereinstimmenden Berichten von Sicherheitsjournalisten ergebnislos.

Für Unternehmen, die unter das österreichische NIS2-Umsetzungsgesetz fallen, kann die Frage der Jurisdiktion zusätzlich relevant werden, wenn Auditnachweise für Compliance-Zwecke verlangt werden. Wer generell zwischen klassischem VPN und einem Zero-Trust-Ansatz abwägt, sollte diesen Punkt in die Bewertung einbeziehen, da beide Modelle unterschiedliche Anforderungen an Nachweispflichten stellen.

Innerhalb der EU gilt zusätzlich die DSGVO, die Mullvad als Auftragsverarbeiter direkt bindet, während ExpressVPN als Unternehmen außerhalb der EU eigene vertragliche Datenschutzzusagen macht, um DSGVO-Anfragen europäischer Kunden gerecht zu werden. Für Privatnutzer ohne besondere Bedrohungslage macht dieser Unterschied in der Praxis wenig aus, solange die technische No-Logs-Architektur hält, was sie verspricht. Für Nutzer mit erhöhtem Schutzbedarf, etwa Personen, die vor staatlicher Überwachung eines bestimmten Landes fliehen, kann die Wahl der Jurisdiktion dagegen ausschlaggebend sein.

Ein häufiges Missverständnis lohnt sich aufzuklären: Die Zugehörigkeit Schwedens zur Fourteen-Eyes-Kooperation bedeutet nicht automatisch, dass schwedische Behörden routinemäßig Daten mit Partnerländern teilen. Sie beschreibt lediglich einen rechtlichen Rahmen für Geheimdienstkooperation, der im Ernstfall greifen könnte. Genau deshalb ist die technische No-Logs-Umsetzung wichtiger als die reine Jurisdiktionszugehörigkeit: Ein Anbieter in einem datenschutzfreundlichen Land, der aber tatsächlich Daten speichert, bietet weniger Schutz als ein Anbieter in einer Kooperationszone, der technisch nachweislich keine Daten vorhält.

Protokolle im Vergleich: Lightway gegen WireGuard

ExpressVPN entwickelte Lightway von Grund auf selbst und portierte den Code später komplett nach Rust, eine Programmiersprache, die viele Speicherfehler bereits beim Kompilieren verhindert. Das Unternehmen bietet zusätzlich OpenVPN und IKEv2 für ältere Geräte oder spezielle Netzwerkumgebungen an. Lightway Turbo, eine für Windows optimierte Variante, erreichte in Tests des Anbieters Werte deutlich über 1.600 Mbit/s bei einer 1-Gbit/s-Basisleitung.

Mullvad hat sich für den entgegengesetzten Weg entschieden: radikale Vereinfachung. Seit dem 15. Jänner 2026 unterstützt der Dienst ausschließlich WireGuard, ein schlankes Open-Source-Protokoll mit rund 4.000 Zeilen Code, das sich leichter auditieren lässt als komplexere Alternativen. Wer noch Router oder Geräte mit reiner OpenVPN-Unterstützung nutzt, muss seine Konfiguration anpassen. Eine Einführung in die Einrichtung eines eigenen VPN-Servers mit diesem Protokoll bietet der WireGuard-Einrichtungsleitfaden von shattered.io.

Aus Audit-Perspektive hat die WireGuard-Fokussierung einen Vorteil: Weniger Code bedeutet eine kleinere Angriffsfläche und schnellere, günstigere Prüfungen. Lightway ist zwar ebenfalls schlank konzipiert, bleibt aber ein proprietäres Protokoll, dessen Sicherheit stärker vom Vertrauen in ExpressVPNs eigene Audit-Berichte abhängt als bei einem offenen Standard wie WireGuard.

Kryptografisch setzen beide Protokolle auf moderne, als sicher geltende Verfahren. WireGuard nutzt ChaCha20 für die Verschlüsselung und Curve25519 für den Schlüsselaustausch, ein Verfahren, das sich seit Jahren in Linux-Kernel und zahllosen Sicherheitsaudits bewährt hat. Lightway baut auf der Kryptobibliothek wolfSSL auf und unterstützt ebenfalls moderne Cipher-Suiten. Der entscheidende Unterschied liegt weniger in der Kryptografie selbst als in der Codebasis drumherum: Je weniger Code ein Protokoll insgesamt umfasst, desto weniger potenzielle Fehlerquellen gibt es, und desto gründlicher lässt sich jede einzelne Zeile prüfen.

RAM-only-Server: TrustedServer gegen Mullvads Diskless-Ansatz

TrustedServer ist die Markenbezeichnung für ExpressVPNs Serverarchitektur. Jeder Server läuft ausschließlich im Arbeitsspeicher und bootet bei jedem Neustart neu von einem zentral verwalteten, schreibgeschützten Image. Persistente Festplatten fehlen komplett, wodurch theoretisch keine Protokolldaten über einen Neustart hinaus erhalten bleiben können. Der KPMG-Bericht von 2025 prüfte gezielt, ob die tatsächliche Serverkonfiguration mit diesem Versprechen übereinstimmt, und bestätigte dies.

Mullvad verfolgt ein ähnliches Prinzip, vermarktet es aber weniger als eigene Marke. Die Cure53-Audits von 2018, 2020, 2022 und 2024 untersuchten wiederholt, ob auf den geprüften Servern Mechanismen existieren, die Nutzerverkehr protokollieren oder personenbezogene Daten preisgeben könnten. In keiner der vier Prüfungen fanden die Auditoren einen solchen Mechanismus. Der Unterschied liegt also weniger in der technischen Umsetzung als in der Kommunikation: ExpressVPN hat aus seiner Architektur ein eigenständiges, mehrfach auditiertes Markenversprechen gemacht, während Mullvad die diskless-Praxis eher unaufgeregt als Teil seiner generellen No-Logs-Haltung behandelt.

Warum ist RAM-only überhaupt relevant? Bei einer klassischen Festplatte bleiben Daten auch nach dem Löschen oft forensisch rekonstruierbar, solange der Speicherplatz nicht überschrieben wurde. Ein Arbeitsspeicher verliert seinen Inhalt dagegen innerhalb von Sekunden nach dem Stromausfall oder Neustart. Sollte also ein Server beschlagnahmt werden, wie es Mullvad laut Berichten in Schweden bereits erlebt hat, gibt es im Idealfall schlicht keine persistenten Nutzerdaten, die ausgelesen werden könnten. Diese Architektur ersetzt kein Vertrauen, macht das Vertrauen aber technisch überprüfbar, was der zentrale Grund ist, warum beide Anbieter regelmäßig genau diesen Punkt von Prüfern bestätigen lassen.

Zusatzfunktionen: Was über die reine VPN-Verbindung hinausgeht

Neben Tunnel und Verschlüsselung entscheiden oft Zusatzfunktionen, wie gut sich ein VPN im Alltag anfühlt. ExpressVPN bietet Split-Tunneling für Windows, macOS und Android sowie für Router, wodurch einzelne Apps am Tunnel vorbeigeleitet werden können. Der eingebaute Threat Manager blockiert auf DNS-Ebene bekannte Tracker-, Werbe- und Malware-Domains, ist aber aktuell nur für Mac, iOS und Linux verfügbar, nicht für Android und Windows. Für Geräte ohne native VPN-Unterstützung, etwa ältere Spielekonsolen oder bestimmte Smart-TVs, bietet ExpressVPN mit MediaStreamer einen Smart-DNS-Dienst als Behelfslösung.

Mullvad geht bei den Zusatzfunktionen einen technisch ambitionierteren Weg. Mit DAITA (Defense against AI-guided Traffic Analysis), eingeführt 2024, mischt der Dienst Tarnverkehr in die eigene Verbindung und normiert Paketgrößen, um KI-gestützte Verkehrsanalysen zu erschweren. Zusätzlich bietet Mullvad auf allen unterstützten Plattformen quantenresistente Tunnel an, die zusätzlich zur klassischen WireGuard-Verschlüsselung ein Verfahren nutzen, das auch gegen zukünftige Quantencomputer bestehen soll. Über die Multihop-Funktion lässt sich der Datenverkehr zusätzlich durch zwei Serverstandorte in unterschiedlichen Jurisdiktionen leiten, was die Nachverfolgbarkeit weiter erschwert, allerdings auf Kosten von Geschwindigkeit und Latenz.

Geschwindigkeit im Test: Benchmarks aus mehreren Quellen

Geschwindigkeitstests hängen stark von Standort, Tageszeit und Internetanbieter ab, weshalb sich der Blick auf mehrere unabhängige Quellen lohnt. Ein 2026 durchgeführter, protokollfokussierter Vergleichstest maß für ExpressVPN mit Lightway (Standard) rund 808 Mbit/s bei einer 1-Gbit/s-Basisleitung. Ein weiterer 2025 veröffentlichter Test über mehrere Standorte kam für ExpressVPN auf 835 Mbit/s in New York, 790 Mbit/s in London, 770 Mbit/s in Frankfurt und 660 Mbit/s in Singapur, was die Tester als konstante 75 bis 85 Prozent der Basisgeschwindigkeit selbst über lange Distanzen einordneten.

Mullvads WireGuard-Implementierung schneidet in denselben Vergleichstests solide, aber nicht ganz so hoch aus. Ein aktueller Mullvad-gegen-ExpressVPN-Test verzeichnete für Mullvad Downloadraten im Bereich von 50 bis 60 Mbit/s auf einer bestimmten Testleitung, deutlich unter den Lightway-Werten von ExpressVPN, wobei die absolute Differenz stark von der jeweils verwendeten Basisleitung und Serverauswahl abhängt. Bei längeren Distanzen, etwa zu Servern in Brasilien oder Südafrika, sinken Mullvads Werte laut denselben Tests weiter ab, was mit dem kleineren Servernetzwerk zusammenhängt.

Für den Alltag zählt weniger die theoretische Spitzengeschwindigkeit als die Erfahrung bei Videocalls, Cloud-Backups oder Online-Gaming. Bei einer österreichischen Standardleitung mit 100 bis 250 Mbit/s Download spielt der Unterschied zwischen 800 und 60 Mbit/s in vielen Alltagsszenarien kaum eine Rolle, weil beide Werte weit über dem tatsächlichen Bedarf liegen. Relevant wird die Differenz erst bei sehr schnellen Glasfaseranschlüssen jenseits von 500 Mbit/s oder bei latenzsensiblen Anwendungen wie Cloud-Gaming, wo ExpressVPNs Lightway-Protokoll in den zitierten Tests konsistent die Nase vorn hat.

TestquelleExpressVPNMullvad
Protokollvergleichstest 2026 (Lightway Standard, 1-Gbit/s-Basis)ca. 808 Mbit/snicht in dieser Quelle gemessen
Lightway Turbo (Windows, 1-Gbit/s-Basis)über 1.600 Mbit/s–
Mehrstandort-Test 2025 (New York)835 Mbit/snicht in dieser Quelle gemessen
Mehrstandort-Test 2025 (Frankfurt)770 Mbit/snicht in dieser Quelle gemessen
Direktvergleichstest 2026 (Testleitung, Kurzstrecke)deutlich über Mullvad-Wertenca. 50–60 Mbit/s

Servernetzwerk und Länderabdeckung

Beim schieren Umfang liegt ExpressVPN klar vorn: über 3.000 Server in rund 100 Ländern gegenüber Mullvads rund 700 Servern in 49 Ländern. Für Streaming-Nutzer, die gezielt Server in seltenen Regionen brauchen, oder für Vielreisende, die in möglichst vielen Ländern einen lokalen Ausgangspunkt wollen, macht dieser Unterschied einen praktischen Alltagsunterschied.

Für österreichische Nutzer ist zusätzlich relevant, ob ein Server im eigenen Land oder in einem Nachbarland liegt, etwa um Bankdienste oder ORF-Streaming ohne Geoblocking-Umwege zu nutzen. Beide Anbieter betreiben Serverstandorte in Österreich und in den umliegenden Ländern wie Deutschland, der Schweiz und Italien, sodass sich niedrige Latenzen im DACH-Raum bei beiden Diensten erreichen lassen. Der Unterschied macht sich stärker bemerkbar, sobald Server außerhalb Europas gefragt sind, etwa für Recherchen zu asiatischen oder südamerikanischen Websites, wo ExpressVPNs breiteres Netzwerk mehr Auswahl bietet.

Mullvad setzt bewusst auf ein kleineres, dafür einheitlich verwaltetes Netzwerk. Der Anbieter argumentiert, dass weniger Standorte eine konsistentere Sicherheitskonfiguration und einfachere Audits ermöglichen. Wer primär Wert auf ein gut geprüftes Kernnetzwerk statt auf maximale geografische Auswahl legt, findet in dieser Philosophie einen nachvollziehbaren Kompromiss. Nutzer, die zusätzlich einen datenschutzfreundlichen Browser mit dem passenden VPN kombinieren möchten, finden im Beitrag zu Mullvad Browser gegen LibreWolf weiterführende Details zum breiteren Mullvad-Ökosystem.

Ein weiterer Unterschied betrifft die Serverart: Viele VPN-Anbieter setzen mittlerweile auf virtuelle Serverstandorte, bei denen eine IP-Adresse zwar ein bestimmtes Land vorgibt, der physische Server aber anderswo steht. Beide hier verglichenen Anbieter kommunizieren transparent, wenn ein Standort virtuell betrieben wird, was in der Branche keineswegs selbstverständlich ist. Für Nutzer, denen der tatsächliche physische Standort eines Servers wichtig ist, etwa aus rechtlichen Erwägungen, lohnt sich ein Blick in die jeweils aktuelle Serverliste der Anbieter vor der Buchung.

Preise und Abo-Modelle im Vergleich

Mullvad bleibt bei seinem einfachen Modell: 5 Euro im Monat, ganz gleich ob man einen Monat oder zehn Jahre im Voraus bezahlt. Laut offizieller Preisseite gewährt der Anbieter lediglich einen Rabatt von 10 Prozent bei Zahlung in unterstützten Kryptowährungen, aber keine zeitlich befristeten Rabattaktionen oder Lifetime-Angebote.

ExpressVPN staffelt seine Preise stärker nach Vertragslaufzeit. Laut Recherchen von Fachmedien aus Jänner 2026 liegt der monatlich kündbare Tarif bei rund 13,67 Euro, ein sechsmonatiges Abo bei rund 8,32 Euro pro Monat, und wer sich für 24 Monate inklusive vier Gratismonaten bindet, zahlt effektiv ab etwa 2,84 Euro monatlich. Die genauen Eurobeträge schwanken, weil ExpressVPN seine Preise offiziell in US-Dollar ausweist und der Umrechnungskurs variiert, wie auf der offiziellen Preisseite ersichtlich ist.

Rechnet man beide Modelle auf ein Jahr hoch, zeigt sich der eigentliche Unterschied deutlicher. Mullvads Jahrespreis bleibt konstant bei 60 Euro, unabhängig von Rabattaktionen oder Werbeangeboten. ExpressVPN kommt bei einer 24-monatigen Bindung auf einen Jahrespreis von rund 34 Euro, bei monatlicher Kündigung dagegen auf über 160 Euro jährlich. Wer die Rabattstufen von ExpressVPN konsequent mitnimmt, zahlt also über die Zeit deutlich weniger als bei Mullvad, verliert dabei aber die Flexibilität einer jederzeit kündbaren Flatrate.

Abo-ModellExpressVPNMullvad
Monatlich kündbarca. 13,67 €/Monat5 €/Monat
6-Monats-Aboca. 8,32 €/Monat5 €/Monat
24-Monats-Abo (mit Bonusmonaten)ab ca. 2,84 €/Monat5 €/Monat (kein Rabatt für lange Laufzeiten)
Zahlung in Kryptowährungmöglich, kein zusätzlicher Rabatt10 % Rabatt
Geld-zurück-Garantie30 Tage laut Anbieterangabe30 Tage laut Anbieterangabe

Für Vielnutzer, die sich langfristig binden wollen, kann ExpressVPN trotz höherem Einstiegspreis am Ende günstiger ausfallen als Mullvads Flatrate. Wer dagegen Flexibilität ohne Bindung sucht oder grundsätzlich keine langfristigen Abos mag, profitiert von Mullvads unveränderlichem Modell ohne versteckte Preissprünge nach Ablauf einer Rabattperiode.

Ein Praxishinweis zu mehrjährigen VPN-Abos generell: Wer sich für zwei Jahre im Voraus bindet, trägt das Risiko, dass sich an der Produktqualität, den Audit-Ergebnissen oder der Firmenstruktur in dieser Zeit etwas ändert, ohne einfach kündigen zu können. Mullvads Flatrate-Modell nimmt diese Entscheidung ab, kostet dafür aber bei sehr langer Nutzung tendenziell mehr als ein rabattiertes Mehrjahresabo bei ExpressVPN. Wer unsicher ist, kann mit einem kurzen Testzeitraum bei beiden Anbietern beginnen, bevor eine längere Bindung eingegangen wird.

Praxisbeispiele: Wie sich die Audits in der Praxis bewährt haben

Zahlen aus Prüfberichten wirken oft abstrakt, solange sie nicht in eine zeitliche Reihenfolge gebracht werden. Die folgende Chronik zeigt, wie dicht sich Audits und reale Belastungsproben bei beiden Anbietern allein in den vergangenen zwei Jahren aneinanderreihen.

  • Juni bis Oktober 2025: KPMG prüft zum dritten Mal ExpressVPNs No-Logs-Politik und TrustedServer-Konfiguration und bestätigt, dass keine identifizierenden Verbindungsdaten gespeichert werden.
  • 2024 bis 2025: Cure53 und Praetorian testen unabhängig voneinander das neu in Rust geschriebene Lightway-Protokoll von ExpressVPN, beide finden nur Probleme mit niedrigem Risiko.
  • 27. Juni 2024: Cure53 prüft Mullvads Live-Infrastruktur, findet zwei kleinere Probleme, aber keinen Weg, die Anonymität der Nutzer zu kompromittieren.
  • Jänner 2026: Mullvad veröffentlicht einen Audit seiner Konto- und Zahlungsdienste mit fünf Befunden, die anschließend behoben werden.
  • 15. Jänner 2026: Mullvad stellt OpenVPN vollständig ein und reduziert seine Angriffsfläche auf ein einziges, offenes Protokoll.
  • März 2026: Ein unabhängiges Audit von Mullvads neuer WireGuard-Implementierung findet keine signifikanten Schwachstellen.
  • Dokumentierter Vorfall: Schwedische Behörden versuchen laut mehreren Sicherheitsmedien, Kundendaten aus Mullvads Büroräumen zu beschlagnahmen, finden aufgrund der diskless-Architektur jedoch keine verwertbaren Daten.
  • 2018 bis 2024: Vier vollständige Cure53-Infrastrukturaudits bei Mullvad im Zwei-Jahres-Rhythmus, mit durchgehend niedrigen oder mittleren Befunden und ohne Nachweis einer Protokollierung.

Diese Beispiele zeigen ein Muster: Audits allein beweisen nichts, wenn ihnen keine echten Praxistests folgen. Beide Anbieter haben in den vergangenen zwei Jahren sowohl geplante Prüfungen als auch, im Fall von Mullvad, einen realen Zugriffsversuch überstanden, ohne dass Nutzerdaten offengelegt wurden. Für Nutzer ist das ein deutlich aussagekräftigeres Signal als ein einzelnes Testat auf der Anbieter-Website, weil hier mehrere unabhängige Ereignisse über einen längeren Zeitraum in dieselbe Richtung zeigen.

Bemerkenswert ist außerdem, wie beide Unternehmen mit gefundenen Schwachstellen umgehen. Weder ExpressVPN noch Mullvad haben versucht, die jeweiligen Befunde ihrer Prüfer zu verschweigen oder kleinzureden. Stattdessen wurden die Berichte, inklusive der gefundenen niedrig- und mittelschweren Probleme, öffentlich verlinkt und die Behebung dokumentiert. Diese Transparenzkultur unterscheidet beide Anbieter von zahlreichen kleineren VPN-Diensten, die entweder gar keine Audits durchführen lassen oder nur Marketing-Zusammenfassungen ohne technische Details veröffentlichen.

Für wen eignet sich welcher Anbieter?

Die technischen Daten und Audit-Historien sind nur die halbe Miete. Am Ende entscheidet der konkrete Anwendungsfall, welcher Dienst besser passt. Die folgende Tabelle ordnet typische Nutzergruppen den jeweils passenderen Anbieter zu und begründet die Empfehlung kurz.

AnwendungsfallEmpfehlungBegründung
Journalisten und Whistleblower mit QuellenschutzMullvadKeine E-Mail-Pflicht, Bar- und Kryptozahlung, minimale Kontodaten
Streaming in mehreren LändernExpressVPNGrößeres Servernetz, mehr Standorte für Geoblocking-Umgehung
Vielreisende in Ländern mit ZensurExpressVPNMehr Serverstandorte, etablierte Obfuskationsfunktionen
Preisbewusste Nutzer mit langer BindungMullvadFlatrate ohne Preissprung nach Rabattperiode
Torrent- und P2P-NutzerMullvadWireGuard-Fokus, schlanke, gut geprüfte Codebasis
Unternehmen mit Compliance-Dokumentation (z. B. NIS2)ExpressVPNUmfangreiche, namhafte Prüfberichte für Nachweiszwecke
Haushalte mit vielen EndgerätenExpressVPNBis zu 8 Simultanverbindungen statt 5

Wichtig ist, dass sich diese Zuordnungen nicht gegenseitig ausschließen. Ein Journalist, der gelegentlich auch Streaming-Dienste im Ausland nutzen möchte, kann beide Konten parallel betreiben, viele Nutzer wechseln situativ zwischen Diensten. Da beide Anbieter eine Geld-zurück-Garantie von 30 Tagen bieten, lässt sich der eigene Anwendungsfall in der Praxis vergleichsweise risikoarm testen, bevor eine langfristige Entscheidung fällt. Gerade für kleine und mittlere Unternehmen in Österreich, die erstmals unter NIS2 fallen, kann ein Parallelbetrieb sogar sinnvoll sein: ein Business-Konto mit dokumentierten Audit-Nachweisen für die Compliance-Abteilung, ein zweites, günstigeres Konto für einzelne Mitarbeiter ohne besondere Nachweispflicht.

Umstieg: So wechseln Sie zwischen ExpressVPN und Mullvad

Ein Anbieterwechsel lässt sich in wenigen Schritten sauber durchführen, ohne dass in der Zwischenzeit ungeschützte Verbindungen entstehen.

  1. Aktuelles Abo und Kündigungsfrist prüfen, um doppelte Kosten zu vermeiden.
  2. Bei Mullvad ein Konto anlegen: Der Dienst generiert automatisch eine zufällige Kontonummer, eine E-Mail-Adresse ist nicht nötig.
  3. Zahlungsmethode wählen. Für maximale Anonymität eignen sich Bargeld per Post oder unterstützte Kryptowährungen.
  4. Die passende App installieren oder, für manuelle Einrichtung, eine WireGuard-Konfigurationsdatei über das Mullvad-Kontoportal herunterladen.
  5. Kill-Switch und DNS-Leak-Schutz in den App-Einstellungen aktivieren, bevor die alte Verbindung getrennt wird.
  6. Mit einem IP- und DNS-Leak-Test prüfen, ob die neue Verbindung tatsächlich sauber geroutet wird.
  7. ExpressVPN-Apps auf allen Geräten deinstallieren und, falls gewünscht, das Abo unter Berücksichtigung der 30-tägigen Geld-zurück-Garantie kündigen.

Für den umgekehrten Weg, von Mullvad zu ExpressVPN, gilt derselbe Ablauf spiegelverkehrt. Eine manuelle WireGuard-Konfiguration für einen Selbsthost-Vergleich sieht typischerweise so aus:

[Interface]
PrivateKey = <IhrPrivaterSchluessel>
Address = 10.x.x.x/32
DNS = 193.138.218.74

[Peer]
PublicKey = <ServerOeffentlicherSchluessel>
Endpoint = at.mullvad.net:51820
AllowedIPs = 0.0.0.0/0, ::/0

Diese Konfigurationsdatei lässt sich direkt in die WireGuard-App importieren. Wer stattdessen einen eigenen WireGuard-Server betreiben möchte, findet die nötigen Schritte im bereits erwähnten Einrichtungsleitfaden.

Vor dem eigentlichen Wechsel lohnt sich ein kurzer Check der eigenen Geräte- und Router-Konfiguration. Wer ExpressVPN direkt auf einem Router eingerichtet hat, muss dort die Zugangsdaten austauschen, nicht nur in der Smartphone-App. Gespeicherte Zahlungsdaten sollten in beiden Diensten separat verwaltet werden, da die Konten unabhängig voneinander laufen. Wer parallel zur VPN-Software auch Browsererweiterungen von ExpressVPN installiert hat, sollte diese vor der Deinstallation der Haupt-App einzeln entfernen, damit keine verwaisten Berechtigungen im Browser zurückbleiben.

Vor- und Nachteile im direkten Vergleich

Nach der ausführlichen Einzelbetrachtung lohnt sich eine kompakte Gegenüberstellung der wichtigsten Stärken und Schwächen, bevor im nächsten Abschnitt das Gesamturteil folgt.

ExpressVPN: Vorteile und Nachteile

  • Vorteil: Größtes Servernetzwerk der beiden Anbieter mit rund 100 Ländern
  • Vorteil: 18 externe Audits seit 2018, durchgeführt von namhaften Prüffirmen wie KPMG und Deloitte
  • Vorteil: Lightway-Protokoll mit hohen gemessenen Geschwindigkeiten
  • Nachteil: Höherer Einstiegspreis bei monatlicher Kündigung
  • Nachteil: E-Mail-Adresse bei der Registrierung erforderlich

Mullvad: Vorteile und Nachteile

  • Vorteil: Keine E-Mail-Pflicht, anonyme Kontonummer statt Kundendaten
  • Vorteil: Einfache, transparente Flatrate ohne Preissprünge
  • Vorteil: Schlanke, ausschließlich WireGuard-basierte Infrastruktur mit kleiner Angriffsfläche
  • Nachteil: Kleineres Servernetzwerk mit weniger Länderauswahl
  • Nachteil: Nur 5 statt 8 Simultanverbindungen

Das Urteil: Welcher VPN-Anbieter gewinnt den Audit-Vergleich?

Beide Anbieter bestehen ihre jeweiligen Prüfungen. Der Unterschied liegt im Prüfansatz: ExpressVPN setzt auf breite, wiederkehrende Rundum-Audits durch große Namen wie KPMG und Deloitte und liefert damit Dokumentation, die sich gut für Unternehmenskunden mit Nachweispflichten eignet. Mullvad setzt auf viele kleinere, spezialisierte Audits einzelner Komponenten und auf eine radikal vereinfachte, offene Protokollbasis, die sich leichter unabhängig nachvollziehen lässt.

Für Privatnutzer, die maximale Anonymität schon beim Vertragsabschluss wollen und mit einem kleineren Servernetz leben können, bleibt Mullvad die konsequentere Wahl. Für Nutzer, die ein großes Servernetzwerk, höhere Geschwindigkeiten in Benchmarks und eine lange Audit-Historie mit bekannten Prüfmarken schätzen, liefert ExpressVPN das umfangreichere Gesamtpaket. Beide Dienste haben in den vergangenen beiden Jahren keine Hinweise auf gebrochene No-Logs-Versprechen geliefert, was sie von vielen ungeprüften Billiganbietern klar abhebt.

Wer die Zahlen aus diesem Vergleich auf einen Nenner bringen will: ExpressVPN führt bei Serverzahl (3.000+ gegenüber 700+), Ländern (100 gegenüber 49), Gesamtaudits (18 gegenüber 10+) und gemessener Geschwindigkeit. Mullvad führt beim Einstiegspreis für kurze Laufzeiten, bei der Anonymität der Registrierung und bei der Schlankheit der geprüften Codebasis. Für den österreichischen Markt, in dem laut Digital-Decade-Bericht Privatsphäre die höchste digitale Priorität genießt, sind beide Anbieter eine solide Wahl. Wer im Zweifel ist, sollte die eigene Prioritätenliste durchgehen: Steht Servervielfalt und Tempo im Vordergrund, führt kein Weg an ExpressVPN vorbei. Steht Anonymität schon beim Vertragsabschluss an erster Stelle, gewinnt Mullvad.

Ein letzter Gedanke zum Schluss: Die Audit-Landschaft bei VPN-Diensten hat sich in den vergangenen Jahren spürbar professionalisiert. Noch vor wenigen Jahren war ein einziges Cure53-Audit eine Seltenheit, mit der Anbieter monatelang warben. Heute reihen ExpressVPN und Mullvad mehrere Prüfungen pro Jahr aneinander und veröffentlichen die Ergebnisse, Schwachstellen inklusive, offen im Netz. Für Nutzer bedeutet dieser Trend, dass sich Marketingversprechen zunehmend an nachprüfbaren Fakten messen lassen müssen, was langfristig dem gesamten Markt zugutekommt.

Häufig gestellte Fragen

Ist ExpressVPN oder Mullvad sicherer?

Beide Anbieter haben in aktuellen Audits keine kritischen Schwachstellen und keine Hinweise auf Protokollierung entgegen ihren eigenen Datenschutzrichtlinien gezeigt. ExpressVPN punktet mit mehr Gesamt-Audits, Mullvad mit einer einfacheren, leichter prüfbaren Infrastruktur. Wer sich für einen der beiden entscheidet, trifft in jedem Fall eine deutlich besser abgesicherte Wahl als bei den zahlreichen kostenlosen VPN-Apps, die überhaupt keine externen Prüfungen vorweisen können.

Welcher Anbieter ist günstiger?

Bei kurzen Laufzeiten ist Mullvad mit 5 Euro pro Monat günstiger als ExpressVPNs Monatstarif von rund 13,67 Euro. Bei langen Vertragslaufzeiten mit Rabatten kann ExpressVPN mit rund 2,84 Euro pro Monat günstiger werden als Mullvads unveränderliche Flatrate.

Warum hat Mullvad OpenVPN abgeschafft?

Mullvad stellte OpenVPN am 15. Jänner 2026 vollständig ein, um sich auf ein einziges, schlankeres Protokoll zu konzentrieren. WireGuard hat deutlich weniger Code als OpenVPN, was die Angriffsfläche verkleinert und Audits vereinfacht. Nutzer mit älteren Routern, die nur OpenVPN unterstützen, müssen seither auf eine manuelle WireGuard-Konfiguration oder ein Firmware-Update ihres Routers ausweichen.

Kann ich mit ExpressVPN oder Mullvad anonym bezahlen?

Mullvad akzeptiert Bargeld per Post und mehrere Kryptowährungen und verlangt dafür nicht einmal eine E-Mail-Adresse. ExpressVPN akzeptiert ebenfalls Kryptowährungszahlungen, verlangt aber bei der Registrierung eine E-Mail-Adresse.

Was bedeutet TrustedServer bei ExpressVPN?

TrustedServer ist ExpressVPNs Serverarchitektur, bei der jeder Server ausschließlich im Arbeitsspeicher läuft und bei jedem Neustart von einem schreibgeschützten Image neu bootet. Persistente Festplatten fehlen, wodurch Protokolldaten über einen Neustart hinaus technisch nicht erhalten bleiben können. Der KPMG-Audit von 2025 bestätigte, dass diese Architektur in der Praxis wie beschrieben funktioniert.

Wie oft werden ExpressVPN und Mullvad geprüft?

ExpressVPN kommt laut eigenen Angaben auf 18 externe Audits seit 2018, zuletzt 2025 durch KPMG. Mullvad hat seit 2018 mehr als zehn Audits durchlaufen, darunter vier vollständige Infrastruktur-Audits durch Cure53 sowie mehrere Komponenten-Audits in den Jahren 2025 und 2026.

Eignet sich einer der beiden Dienste für Unternehmen in Österreich?

Beide Anbieter bieten Business-Tarife an. Für Unternehmen, die im Rahmen von NIS2 oder DSGVO Nachweise über geprüfte Infrastruktur benötigen, kann ExpressVPNs umfangreichere Dokumentation durch bekannte Prüffirmen wie KPMG hilfreich sein.

Unterstützen ExpressVPN und Mullvad WireGuard?

Mullvad setzt seit Jänner 2026 ausschließlich auf WireGuard. ExpressVPN bietet WireGuard nicht direkt an, verwendet aber mit Lightway ein eigenes Protokoll, das auf ähnlichen Designprinzipien wie geringe Codegröße und moderne Kryptografie basiert, zusätzlich zu klassischem OpenVPN und IKEv2.