2026 er blevet året, hvor VPN-branchen for alvor stiller sig selv til skue. Inden for få måneder har tre udbydere, der normalt ikke topper overskrifterne på samme måde som NordVPN eller Proton VPN, offentliggjort uafhængige revisioner af deres infrastruktur og logpolitik. Surfshark bestod en fuld infrastrukturaudit fra det polske sikkerhedsfirma SecuRing i januar. IVPN har booket sin ottende årlige Cure53-audit til juli. Og X-VPN, som er langt mindre kendt i Norden, offentliggjorde i juni en no-logs-revision udført under den internationale revisionsstandard ISAE 3000. Tilsammen tegner det et billede af en branche, der har vænnet sig til, at “stol på os” ikke længere er nok.
For danske og nordiske brugere betyder det noget helt konkret. VPN bruges i stigende grad ikke kun til at omgå geoblokering på streamingtjenester, men som et reelt værn mod overvågning, datahandel og usikre offentlige netværk. Ifølge analysebureauet GWI benytter omkring 30 procent af verdens internetbrugere en VPN, hvilket svarer til cirka 1,6 milliarder mennesker globalt. Når så mange stoler på et produkt, der i sagens natur kræver, at man overlader al sin trafik til en tredjepart, bliver spørgsmålet om verificerbar tillid afgørende. Denne artikel gennemgår de tre nyeste audits, sætter dem i historisk kontekst, og vurderer hvad de betyder for markedet og for danske forbrugere, der skal vælge en VPN-tjeneste i anden halvdel af 2026.
Surfsharks infrastrukturaudit: hvad SecuRing fandt
Surfshark offentliggjorde den 23. januar 2026, at virksomhedens netværksinfrastruktur var blevet gennemgået af det uafhængige cybersikkerhedsfirma SecuRing. Formålet var ifølge Surfshark selv at få bekræftet, at infrastrukturen er beskyttet mod uautoriseret adgang og driftsforstyrrelser, og at den er modstandsdygtig over for reelle angrebsscenarier. Det er ikke en no-logs-audit i traditionel forstand, men en teknisk penetrationstest af selve serverparken og de systemer, der holder VPN-tjenesten kørende.
Resultatet var, at SecuRing ikke fandt nogen kritiske sårbarheder og ingen højrisiko-problemer, der kunne påvirke brugernes sikkerhed. Surfshark beskrev det selv sådan: “No critical vulnerabilities were found; no high-risk issues impacting user security were identified; the tested vulnerabilities do not lead to serious security threats; our infrastructure demonstrated strong protection against real-world attack scenarios” (Surfshark, januar 2026). Den eneste bemærkning fra revisorerne var en mindre fejlkonfiguration i SSL/TLS-opsætningen, som blev rettet umiddelbart efter, den blev opdaget.
Det er ikke Surfsharks første audit. Ifølge oversigten fra VPN Atlas har selskabet tidligere fået gennemført no-logs-revisioner i både 2023 og 2025, og januar-auditten fra SecuRing er dermed den tredje uafhængige undersøgelse på tre år. En Surfshark-repræsentant har tidligere formuleret det ligeud: “For Surfshark, you don’t have to take our word for it: our servers have just passed an independent infrastructure audit” (Surfshark). Selskabet, der ejes af samme moderselskab som NordVPN (Nord Security-koncernen, men drives uafhængigt), har dermed bygget en audit-kadence, der minder om branchens største spillere.
IVPNs ottende Cure53-audit: den skeptiske udbyder
Hvor Surfshark og de fleste store udbydere begejstret annoncerer hver eneste audit som en markedsføringssejr, indtager IVPN en anden position. Den 19. juni 2026 meddelte selskabet, at det havde booket sin ottende årlige sikkerhedsaudit med det tyske firma Cure53, som skulle gennemføres over to uger i juli. IVPN har gennemført en Cure53-audit hvert år siden 2018, hvilket gør selskabet til en af de mest konsekvente aktører i branchen målt på antal gennemførte revisioner.
Det interessante ved IVPN er, at selskabet offentligt har argumenteret for, at klassiske “no-logs-audits” har en indbygget svaghed: de bekræfter kun, at systemerne var korrekt konfigureret på det tidspunkt, revisionen blev udført, og siger intet om dagen efter. Selskabet har derfor i stedet prioriteret tekniske sikkerhedsrevisioner, der leder efter konkrete sårbarheder i kode og infrastruktur, frem for engangsbekræftelser af en logpolitik. Det er en pointe, som flere sikkerhedsanalytikere har peget på som en svaghed ved hele audit-modellen: en revision er et øjebliksbillede, ikke en garanti for fremtiden.
Denne skelnen mellem to typer audits er central at forstå, hvis man som forbruger vil vurdere, hvad en given “audit-badge” på en VPN-udbyders hjemmeside egentlig dækker over. Ifølge VPN Insiders audit-tracker findes der to hovedtyper: en no-logs-attestering, hvor firmaer som Deloitte, KPMG eller Securitum bekræfter, at systemerne er indstillet til ikke at gemme logs (typisk under revisionsstandarden ISAE 3000), og en sikkerheds- eller infrastrukturtest, hvor firmaer som Cure53 eller SecuRing leder efter tekniske sårbarheder. De to siger noget forskelligt, og en udbyder, der kun har den ene type, har ikke nødvendigvis dækket det hele.
X-VPN og ISAE 3000: en revision fra en mindre kendt spiller
Den tredje audit i rækken kommer fra X-VPN, en udbyder med rødder i Singapore, der er langt mindre udbredt i Danmark end de etablerede navne, men som har hundredvis af millioner downloads globalt, primært på mobil. X-VPN afsluttede sin revision den 28. februar 2026 og offentliggjorde resultaterne den 6. juni 2026. Revisionen blev udført under standarden ISAE 3000 (Revised) af et af de såkaldte “Big Four”-revisionsfirmaer.
Formålet var at teste, om påstandene i X-VPNs privatlivspolitik holder stik i praksis: gemmer, sporer eller indsamler selskabet data, der kan identificere brugere eller afsløre deres onlineaktivitet. Revisionen dækkede både VPN-servere, kernedatabaser og kildekode i drift, samt om der reelt kun indsamles den minimale mængde brugerdata, der er nødvendig for at levere tjenesten. Konklusionen, som citeret af fagmediet CIO, lød: “Based on the procedures performed and the evidence obtained, the audit result supports that X-VPN does not track, collect, or store data that could identify users or link them to their online activities when using X-VPN” (CIO, 2026).
For danske forbrugere er X-VPN interessant af en anden grund end selve auditresultatet: det illustrerer, at revisions-trenden nu breder sig ud over den håndfuld udbydere, danskere typisk kender fra reklamer og prissammenligninger. Når selv mellemstore og mindre kendte VPN-apps begynder at hente eksterne revisorer ind, tyder det på, at en uafhængig audit er ved at blive en forudsætning for at blive taget alvorligt i markedet, snarere end et konkurrencefortrin forbeholdt de største spillere.
Sådan ser audit-landskabet ud i 2026
Sætter man de tre nye audits ind i den bredere sammenhæng, tegner der sig et mønster af en branche, hvor de fleste større navne nu har mindst én ekstern revision bag sig. Ifølge en oversigt fra VPN Atlas har NordVPN gennemført seks uafhængige revisioner, senest ved Deloitte i december 2025. ExpressVPN har fået reviderede rapporter fra både KPMG, PwC og Cure53. Proton VPN har nu fire Securitum-revisioner bag sig, senest i august 2025, mens Mullvad har fire Cure53-revisioner. Tabellen nedenfor samler de vigtigste 2026-audits, der er omtalt i denne artikel, sammen med udvalgte etablerede referencer for sammenligning.
| Udbyder | Revisionsfirma | Type af audit | Dato (2025-2026) | Resultat |
|---|---|---|---|---|
| Surfshark | SecuRing | Infrastruktur/penetrationstest | 23. januar 2026 | Ingen kritiske eller høj-risiko fund, ét mindre SSL/TLS-punkt rettet |
| IVPN | Cure53 | Teknisk sikkerhedsaudit (8. år i træk) | Booket 19. juni 2026, udført juli | Resultater ikke offentliggjort ved redaktionens slutning |
| X-VPN | Big Four-revisor (ISAE 3000) | No-logs-attestering | Afsluttet 28. februar, offentliggjort 6. juni 2026 | Ingen identificerbar bruger- eller aktivitetsdata fundet |
| NordVPN | Deloitte (m.fl.) | No-logs-attestering | December 2025 (6. gang) | Bekræftet no-logs-politik |
| Proton VPN | Securitum | No-logs-attestering | August 2025 (4. gang) | Bekræftet no-logs-politik |
| Mullvad | Cure53 | Teknisk sikkerhedsaudit | Løbende, 4 audits i alt | Bekræftet sikkerhedsniveau |
Det centrale, tabellen viser, er, at der findes to forskellige “sprog” i branchens auditkommunikation. No-logs-attesteringer (Deloitte, Securitum, Big Four-revisorer) siger noget om, hvorvidt en udbyder rent faktisk lever op til sin egen privatlivspolitik. Tekniske sikkerhedsaudits (Cure53, SecuRing) siger noget om, hvorvidt infrastrukturen kan modstå et angreb. En VPN-tjeneste, der reklamerer med “uafhængigt revideret”, har ikke nødvendigvis begge dele dækket, og det er værd at tjekke, hvilken type revision der reelt ligger bag markedsføringen.
Historisk kontekst: fra tillidserklæringer til verificerbare beviser
VPN-branchens forhold til uafhængige revisioner er forholdsvis ungt. Frem til omkring 2018-2019 var “no-logs” typisk en påstand i en privatlivspolitik, som brugerne måtte tage på tro. Det ændrede sig, efter flere højprofilerede sager viste, at påstande og praksis ikke altid stemte overens. En VPN-udbyder blev i 2017 tvunget til at udlevere brugerdata til amerikanske myndigheder på trods af en no-logs-politik, hvilket skabte varig mistillid til selvattesterede løfter i branchen. Den slags hændelser er baggrunden for, at IVPN allerede i 2018 begyndte den årlige Cure53-praksis, som selskabet nu er nået til ottende udgave af.
Siden da har industrien gradvist bevæget sig fra enkeltstående revisioner til det, man kan kalde en audit-kadence: gentagne, planlagte revisioner, der viser en vedvarende praksis frem for et engangsstempel. NordVPNs seks revisioner og Proton VPNs fire er eksempler på dette skifte. Det er også baggrunden for, at EU’s nye ETSI-baserede sikkerhedsstandard for VPN-tjenester, som trådte i kraft tidligere i 2026, stiller krav om løbende dokumentation frem for enkeltstående certificeringer. Standarden kræver blandt andet, at udbydere kan reagere på sikkerhedshændelser inden for 24 timer, hvilket lægger yderligere pres på selskaber, der hidtil kun har kunnet henvise til en enkelt gammel revision.
Hvorfor det betyder noget for danske brugere lige nu
Danmark har historisk haft en sund skepsis over for uigennemsigtige digitale tjenester, og VPN er ingen undtagelse. Med det stigende antal databrud, cookie-håndhævelser fra Datatilsynet og en generel debat om digital suverænitet er spørgsmålet om, hvem der reelt kan se ens internettrafik, blevet mere aktuelt end nogensinde. En VPN, der ikke kan dokumentere sin logpolitik med en ekstern revision, beder i praksis brugeren om at stole blindt på en virksomhed, hvis forretningsmodel afhænger af at kunne håndtere store mængder følsomme trafikdata korrekt.
Det globale VPN-marked vokser fortsat kraftigt. Analysehuset Mordor Intelligence vurderer det globale marked til 70,46 milliarder dollar i 2026, med forventning om vækst til 142,06 milliarder dollar i 2031. Andre analysehuse opererer med lavere tal afhængigt af, om de medregner virksomheds-VPN eller kun forbrugerprodukter, men retningen er entydig: efterspørgslen stiger, og med den stiger presset på udbyderne for at kunne dokumentere deres sikkerhedspåstande med mere end ord. For en dansk forbruger, der skal vælge mellem et halvt dusin konkurrerende tjenester med næsten identiske prisskilte, bliver antallet og typen af uafhængige revisioner derfor et af de få reelt sammenlignelige differentieringspunkter tilbage.
Konkurrentsammenligning: hvem har flest revisioner?
Når man sammenligner udbydere på tværs af audit-historik, tegner der sig et klart hierarki. NordVPN topper med syv revisioner i alt fordelt på Deloitte, Cure53 og PwC, ifølge sammenligningen fra VPN Picker. Proton VPN følger med fire Securitum-revisioner plus en SOC 2-certificering. Mullvad har fire Cure53-audits, mens Surfshark efter januar-revisionen nu står med tre samlede revisioner på tværs af no-logs og infrastruktur. ExpressVPN har to store revisioner (KPMG og Cure53), og IPVanish har foreløbig kun én, udført af Leviathan Security.
Det interessante er, at antallet af revisioner ikke nødvendigvis korrelerer med prisen. Surfshark er stadig en af de billigere tjenester på det danske marked, men har nu en audit-kadence, der nærmer sig de mest etablerede navne. Det udfordrer den gamle antagelse om, at grundig ekstern revision kun er noget, de dyreste udbydere har råd til. Samtidig viser IVPNs tilgang, at der findes en modsatrettet strategi: færre, men dybere og mere tekniske revisioner, frem for hyppige no-logs-attesteringer, der ifølge kritikere primært fungerer som markedsføring.
| Udbyder | Samlet antal audits | Primære revisorer | Jurisdiktion |
|---|---|---|---|
| NordVPN | 7 | Deloitte, Cure53, PwC | Panama |
| Surfshark | 3 | SecuRing, Deloitte | Holland |
| Proton VPN | 4 + SOC 2 | Securitum | Schweiz |
| Mullvad | 4 | Cure53 | Sverige |
| ExpressVPN | 2 | KPMG, Cure53 | Britiske Jomfruøer |
| IVPN | 8 (2018-2026) | Cure53 | Gibraltar |
| IPVanish | 1 | Leviathan Security | USA |
Mullvads placering i Sverige er værd at bemærke for et dansk publikum: som svensk selskab er det underlagt EU-lovgivning, hvilket adskiller det fra udbydere registreret i jurisdiktioner uden for EU/EØS, som mange danske brugere ellers foretrækker netop for at undgå EU-baseret datalovgivning. Det er en afvejning, der ikke har noget entydigt rigtigt svar, men som bør indgå i valget af udbyder sammen med audit-historikken.
Grænserne ved en audit: hvad de ikke fortæller dig
Det er vigtigt at forstå, hvad en revision faktisk beviser, og hvad den ikke gør. En no-logs-attestering under ISAE 3000 er et øjebliksbillede: revisorerne gennemgår systemerne på et givet tidspunkt og bekræfter, at de er konfigureret, som udbyderen hævder. Den siger intet om, hvad der sker dagen efter, eller om en udbyder ændrer sine systemer efter revisionen. Det er netop den kritik, IVPN har rejst offentligt som begrundelse for at prioritere tekniske sikkerhedsaudits over gentagne no-logs-attesteringer.
En teknisk sikkerhedsaudit som Cure53s eller SecuRings har en anden begrænsning: den finder de sårbarheder, testholdet leder efter inden for den afsatte tidsramme, typisk en til to uger. Den garanterer ikke, at der ikke findes andre, uopdagede svagheder. Ingen af de to typer revisioner erstatter løbende overvågning, bug bounty-programmer eller en gennemsigtig historik for, hvordan udbyderen har håndteret tidligere sikkerhedshændelser. Forbrugere bør derfor se en audit som et nødvendigt, men ikke tilstrækkeligt bevis for tillid, og kombinere den med at kigge på selskabets øvrige track record, herunder om der findes eksempler på tidligere datalækager eller uoverensstemmelser mellem markedsføring og praksis.
Markedseffekt: hvad betyder audit-bølgen for priser og konkurrence
Når stadig flere udbydere investerer i eksterne revisioner, som typisk koster udbyderne betydelige summer i honorarer til revisionsfirmaer som Deloitte og Cure53, er der grund til at forvente, at det på sigt lægger et vist pres opad på abonnementspriserne, selvom ingen af de involverede selskaber har offentliggjort de konkrete omkostninger ved revisionerne. Samtidig er det blevet en konkurrenceparameter i sig selv: jo flere udbydere der får revideret deres infrastruktur, desto sværere bliver det for udbydere uden nogen audit at fastholde et prispunkt, der matcher markedet, uden at miste kunder til bedre dokumenterede alternativer.
Det skaber samtidig en form for tillidsspiral, hvor de største udbydere, der har råd til hyppige revisioner, cementerer deres position, mens mindre og nyere selskaber må vælge mellem at investere tungt i revision tidligt eller acceptere en konkurrencemæssig ulempe. X-VPNs beslutning om at hente en Big Four-revisor ind, selvom selskabet er langt mindre kendt i Vesteuropa end de etablerede navne, kan ses som et forsøg på at springe den udvikling i forkøbet.
Fem forudsigelser for resten af 2026 og 2027
Baseret på den nuværende udvikling i branchen er der en række tendenser, som med rimelig sandsynlighed vil fortsætte gennem resten af 2026 og ind i 2027.
- Flere kombinerede audits. Udbydere vil i stigende grad søge både en no-logs-attestering og en teknisk sikkerhedsaudit samme år, fremfor kun én af delene, for at kunne matche konkurrenter som NordVPN og Proton VPN på begge parametre.
- Årlig kadence bliver normen. Enkeltstående revisioner vil blive set som utilstrækkelige af stadig flere forbrugere og anmeldersider. Den type løbende praksis, IVPN har praktiseret siden 2018, ventes at brede sig til flere mellemstore udbydere.
- EU’s ETSI-standard lægger pres på udbydere uden for Europa. Udbydere, der vil sælge til det europæiske marked, vil formentlig i stigende grad tilpasse sig kravene om hurtig hændelsesrapportering, selv når hovedkontoret ligger uden for EU.
- Mindre og mellemstore udbydere følger efter. Efter X-VPNs revision må det forventes, at flere mindre kendte VPN-apps, særligt dem der er populære på mobil, vil søge tilsvarende attesteringer for at undgå at blive udkonkurreret på tillid.
- Skepsis over for revisionernes rækkevidde vokser. I takt med at flere udbydere reklamerer med audits, vil flere sikkerhedsjournalister og forbrugerorganisationer, i tråd med IVPNs egen kritik, begynde at stille skarpere spørgsmål til, hvad de enkelte revisioner reelt dækker, og presse branchen mod mere transparente, tilbagevendende revisioner frem for engangsstempler.
Sådan vurderer du selv en VPN-udbyders audit-påstande
For danske forbrugere, der står over for at vælge eller genoverveje en VPN-tjeneste, er der nogle konkrete spørgsmål, det er værd at stille, før man stoler på et “uafhængigt revideret”-badge på en hjemmeside. Er det en no-logs-attestering eller en teknisk sikkerhedsaudit, eller begge dele? Hvornår blev den seneste revision gennemført, og er det inden for det seneste år? Hvilket firma stod for revisionen, og har det en anerkendt track record inden for VPN-branchen specifikt? Og endelig: har udbyderen en historik med gentagne, planlagte revisioner, eller er der tale om en enkeltstående begivenhed, der aldrig er blevet gentaget?
Disse spørgsmål er særligt relevante i lyset af den skepsis, IVPN selv har rejst om værdien af isolerede no-logs-revisioner. En udbyder, der kan pege på flere års kontinuerlig revisionshistorik, som NordVPN, Proton VPN, Mullvad og nu i stigende grad Surfshark, giver et mere robust billede af sikkerhedspraksis end en udbyder med én enkelt revision fra flere år tilbage.
Ofte stillede spørgsmål om VPN-sikkerhedsaudits
Hvad er forskellen på en no-logs-audit og en sikkerhedsaudit?
En no-logs-audit, ofte udført under revisionsstandarden ISAE 3000 af firmaer som Deloitte, Securitum eller andre store revisionshuse, bekræfter, at en udbyders systemer er konfigureret til ikke at gemme identificerbare brugerdata. En sikkerhedsaudit, typisk udført af specialiserede firmaer som Cure53 eller SecuRing, tester i stedet infrastrukturen for tekniske sårbarheder, der kunne udnyttes af en angriber.
Hvorfor bestod Surfshark sin audit uden kritiske fund?
SecuRings januar 2026-revision fandt ingen kritiske eller høj-risiko sårbarheder i Surfsharks netværksinfrastruktur. Det eneste bemærkede forhold var en mindre fejlkonfiguration i SSL/TLS-opsætningen, som Surfshark efter eget udsagn rettede umiddelbart efter, den blev identificeret.
Er IVPN mindre sikker, fordi selskabet ikke laver traditionelle no-logs-audits?
Ikke nødvendigvis. IVPN har valgt at prioritere tekniske sikkerhedsrevisioner fra Cure53 hvert år siden 2018, fremfor gentagne no-logs-attesteringer, ud fra en holdning om, at tekniske audits afdækker konkrete sårbarheder bedre end en engangsbekræftelse af logpolitikken.
Kan man stole på en revision fra et mindre kendt selskab som X-VPN?
X-VPNs revision blev udført af et af de fire store internationale revisionsfirmaer under den anerkendte standard ISAE 3000, hvilket giver samme metodiske tyngde som revisioner af store, kendte udbydere. Selskabets relative ukendthed i Danmark siger ikke i sig selv noget om revisionens kvalitet, men brugere bør stadig selv researche selskabets jurisdiktion og historik.
Hvor ofte bør en VPN-udbyder gennemføre en uafhængig audit?
Der findes ingen lovbestemt kadence, men branchens mest tillidsvækkede udbydere, som NordVPN, Proton VPN og IVPN, gennemfører revisioner mindst årligt. En enkelt, flere år gammel revision bør ses som et svagere tillidssignal end en løbende, tilbagevendende praksis.
Påvirker EU’s nye VPN-sikkerhedsstandard, hvordan udbydere reviderer sig selv?
Ja. Den ETSI-baserede standard, der trådte i kraft i 2026, stiller krav om hurtigere hændelsesrapportering og mere kontinuerlig dokumentation, hvilket lægger pres på udbydere om at bevæge sig væk fra enkeltstående certificeringer mod en løbende revisionspraksis.
Betyder flere audits, at VPN-priserne stiger?
Det er sandsynligt, at de stigende omkostninger til gentagne, professionelle revisioner over tid lægger et vist pres opad på abonnementspriser, selvom ingen af de omtalte udbydere har offentliggjort konkrete tal for, hvad deres revisioner koster.
Hvor stort er det globale VPN-marked i 2026?
Ifølge analysehuset Mordor Intelligence vurderes det globale VPN-marked til 70,46 milliarder dollar i 2026, med en forventet vækst til 142,06 milliarder dollar i 2031. Andre analysehuse opererer med afvigende tal afhængigt af, hvilke produktsegmenter der medregnes.
