URnetwork vs ExpressVPN

ExpressVPN ist das Premium-Flaggschiff der Massenmarkt-VPNs; URnetwork teilt den Pfad auf, sodass der Exit nie erfährt, wer du bist, und der Operator die versiegelte Sitzung nicht lesen kann.

Wähl ExpressVPN, wenn dir das größte Prüfprogramm der Branche wichtig ist, eine Rechenzentrums-Flotte ohne Festplatten und ausgereifte Apps auf allem vom Telefon bis zum eigenen Router. Wähl URnetwork, wenn du Privatanschluss-Exits, Stadtauswahl und einen aufgeteilten Pfad willst. Beide schalten Post-Quanten-Verschlüsselung standardmäßig ein. ExpressVPN ist das stärker geprüfte Produkt. URnetwork teilt die Sicht zwischen seinem Operator und einem von Mitgliedern betriebenen Provider auf.

ExpressVPN sitzt auf den Britischen Jungferninseln und gehört seit 2021 Kape Technologies, dem auch Private Internet Access und CyberGhost gehören. Es hat technisch oft den ersten Schritt gemacht: RAM-only-Server 2019 und Post-Quanten-Schlüsselaustausch, standardmäßig an, auf seinem quelloffen gemachten Lightway-Protokoll seit Anfang 2025. Mit Stand Mitte 2026 bewirbt es 214 Standorte in 113 Ländern.

URnetwork nutzt von Mitgliedern betriebene Exits. Der Provider erhält deine Quell-IP auf dem Relay-Pfad nicht. Die nativen Apps versiegeln den Datenverkehr zum Provider standardmäßig. So funktioniert URnetwork erklärt das vollständige Design. Das Bedrohungsmodell führt die vollständige Akte dessen, was gespeichert und durchgesetzt wird.

Sechs Unterschiede, die die Wahl beeinflussen

Vorbehalte unterhalb der Tabelle:

• Post-Quanten-Verschlüsselung ist Gleichstand, auf beiden Seiten standardmäßig an. ExpressVPN fährt ML-KEM auf Lightway, dem Protokoll, das seine Apps standardmäßig wählen; Sitzungen über OpenVPN oder IKEv2 tragen keinen Post-Quanten-Schutz. URnetworks X25519MLKEM768-Sitzung vom Client zum Provider ist in den nativen Apps Standard und überspringt jeden Provider, zu dem nicht versiegelt werden kann, statt herabzustufen. Die Browser-Erweiterung hat keine versiegelte Sitzung; dort loggt der Datenpfad des Operators nichts, festgenagelt durch einen Test im offenen Code.
• Beide liefern Kill Switches; ExpressVPNs heißt Network Lock, und URnetworks ist ein expliziter Schalter auf jeder Plattform, wobei der der Erweiterung standardmäßig an ist.
• Ein ExpressVPN-Konto verlangt eine E-Mail-Adresse; Bitcoin wird mit Stand Anfang 2026 über einen Zahlungsdienstleister akzeptiert. URnetworks Sofort-Konto (Instant Account) braucht einen Tipp und keine E-Mail, und Pro lässt sich in On-Chain-USDC bezahlen.
• ExpressVPN gehört zu den teuersten der Großen: langfristige Aktionsraten von rund 3,50–7,50 $/Monat mit Stand Anfang 2026, bei der Verlängerung typischerweise höher, ohne Gratis-Tarif und mit 30 Tagen Geld-zurück-Garantie. URnetwork Pro kostet 5 $/Monat oder 40 $/Jahr, mit einem kostenlosen täglichen Kontingent. Aktuelle Zahlen: ur.io/products.

Die Prüfbilanz, aufgeschlüsselt

Kein Wettbewerber hat ein größeres oder durchgehenderes Programm mit dritten Parteien. ExpressVPN listete von 2018 bis Mitte 2026 rund 28 Prüfaufträge. Lies die Zusammensetzung statt der Zahl. Vier attestieren die Privacy-Zusagen: PwC im Juni 2019, dann KPMG 2022, 2023 und im Februar 2025, wobei die letzte ausdrücklich zum Stichtag 28. Februar 2025 „keine Ausnahmen“ fand. Der Rest sind eingegrenzte Penetrationstests einzelner Komponenten: Apps pro Plattform, Browser-Erweiterungen, das Lightway-Protokoll, TrustedServer, der Aircove-Router und zuletzt Nicht-VPN-Produkte wie ein Passwortmanager. Jeder einzelne Auftrag ist echt. Die Gesamtzahl ist das Marketing.

Zwei datierte Ereignisse stehen neben den Berichten. Im Dezember 2017 beschlagnahmten türkische Behörden bei den Ermittlungen zum Mordfall Karlow einen ExpressVPN-Server und fanden Berichten zufolge nichts Verwertbares. Das ist die eine gegnerische Prüfung seiner No-Logs-Haltung und ein stärkerer Beleg als jedes in Auftrag gegebene Audit. Und von Mai 2022 bis Februar 2024 leckte die Windows-App DNS-Anfragen, sobald Split-Tunneling an war, und legte besuchte Domains gegenüber externen DNS-Servern offen. Ein Tester von CNET brachte es ans Licht, kein Audit, obwohl in diesem Fenster rund fünfzehn Prüfaufträge liefen; Split-Tunneling wurde vollständig deaktiviert, während die Funktion neu gebaut wurde. RAM-only-Server sagen nichts über Bugs auf der Client-Seite.

TrustedServer und die Standortkarte

TrustedServer ist echte Ingenieursarbeit, und es kam zuerst. Jeder Server läuft RAM-only, wobei der gesamte Software-Stack bei jedem Boot aus einem signierten Image neu installiert wird, sodass nichts einen Neustart überdauert; PwC prüfte das Design 2019 und Cure53 testete es 2022. Ein laufender Server sieht weiterhin die Sitzungen, die er terminiert. Was das Design begrenzt, ist die Persistenz, nicht die Sichtbarkeit, und das DNS-Leck von 2022–2024 war ein Bug auf der Client-Seite, den kein Server-Design erreichen konnte.

Die Karte ist eine andere Geschichte, und ExpressVPNs eigene Supportseiten erzählen das meiste davon. Sie definieren einen virtuellen Standort, bei dem „die registrierte IP-Adresse mit dem gewählten Land übereinstimmt, während der physische Server in einem anderen Land steht“, nennen die Praxis „eine kleine Zahl“ von Standorten und listen dann rund hundert: etwa 60 Länder, darunter China, Indien, die Türkei und Vietnam, plus rund 40 US-Städte, die die Zusage aller 50 Bundesstaaten tragen, bedient aus Knoten wie Singapur, Deutschland, den Niederlanden und größeren US-Rechenzentren. Das ist knapp die Hälfte der Standortliste, vollständiger offengelegt, als es die meisten Wettbewerber schaffen. Die Messung von außen stimmt zu: IPinfos Studie vom Dezember 2025 maß 57 % der beworbenen Standorte von ExpressVPN als virtuell oder nicht messbar. 2022 entfernte es seine Indien-Server, statt CERT-Ins Logging-Vorgabe zu befolgen, und bedient Indien seither virtuell.

URnetworks Zahlen sind anders gebaut. Ein Standort wird nur gelistet, solange dort das Gerät eines Mitglieds online ist, und das Netzwerk geolokalisiert die Verbindung, die es beobachtet, statt einen Provider eine Stadt deklarieren zu lassen. Ein Provider, der über sein eigenes VPN oder einen Hosting-Bereich austritt, wird erkannt und herabgestuft, nicht ausgeschlossen. IPinfos Studie hat auf URnetwork noch niemand ausgeführt. Rechenzentrums-Bereiche sind veröffentlicht, viele Streaming- und Händler-Websites blockieren sie also pauschal; URnetworks Exits sind Privatanschluss-Adressen, und ihr Datenverkehr ist für die empfangenden Websites gewöhnlich. Konsistenz läuft in ExpressVPNs Richtung: Seine Flotte liefert in jeder Sitzung eine stetige Zahl, während URnetworks Geschwindigkeit sich mit dem Upload jedes Mitglieds bewegt. URnetwork beziffert seine durchschnittliche Streaming-Geschwindigkeit mit 40 Mbps+.

Kape, der Eigentümer

ExpressVPNs Eigentümer gehört zu seiner Akte. Kape Technologies, 2018 aus Crossrider umbenannt, nachdem seine Browser-Erweiterungs-Plattform für Missbrauch durch Werbeeinschleusung bekannt geworden war, kaufte ExpressVPN 2021 für 936 Mio. $ und wurde 2023 unter dem Mehrheitseigentümer Teddy Sagi von der Börse genommen. Ihm gehören auch Private Internet Access und CyberGhost. Im März 2021 zahlte es rund 149 Mio. $ für Webselenese, den Betreiber der VPN-Testseiten vpnMentor und WizCase; Mitte 2026 bewertete vpnMentor ExpressVPN, CyberGhost und PIA mit 9,9, 9,7 und 9,5 — über jedem Nicht-Kape-Wettbewerber auf seiner Liste. vpnMentor druckt einen Hinweis, der Kape benennt; die Schwesterseite SafetyDetectives nennt nur eine nicht näher bezeichnete Muttergesellschaft. Offengelegt und legal; es heißt auch, dass mehrere der Seiten, die ExpressVPN auf Platz eins setzen, denselben Eigentümer haben.

Zwei weitere Tatsachen zur Eigentümerschaft, datiert und neutral. Im September 2021 wurde CIO Daniel Gericke in einer US-Vereinbarung über einen Verfahrensaufschub (deferred prosecution agreement) wegen Hackings für das Project Raven der VAE benannt, ein eingeräumtes Verhalten, beigelegt bei 335.000 $; das Unternehmen sagte, es habe „die wesentlichen Fakten zu Daniels beruflicher Vorgeschichte gekannt, schon bevor wir ihn eingestellt haben“. Und die Rechtsordnung wirkt in beide Richtungen: Die Britischen Jungferninseln haben kein Vorratsdatenspeicherungsgesetz und stehen außerhalb der 5/9/14-Eyes-Vereinbarungen, was ausländische Rechtsverfahren verlangsamt, aber der Sitz begrenzt Verfahren, nicht Eigentümer.

Wo ExpressVPN gewinnt

• Tiefe der Verifikation. Rund 28 Prüfaufträge dritter Parteien, vier Privacy-Attestierungen darunter, plus die Beschlagnahme von 2017. URnetworks zwei Prüfungen aus 2025 decken seine Web-App, die API und die Android-App ab, nicht das Protokoll oder den Server.
• Konsistenz. TrustedServer-Hardware liefert in jeder Sitzung dieselbe Geschwindigkeit, während URnetworks Durchsatz sich mit den Providern in deinem Fenster bewegt.
• Reichweite der Apps. TV-Plattformen, Browser-Erweiterungen und der Aircove-Router, über ein Jahrzehnt verfeinert.
• Betriebsgeschichte. Über ein Jahrzehnt davon, gegen ein junges Netzwerk.

Wo URnetwork gewinnt

• Die Aufteilung. Der Exit erfährt nie, wer du bist, und der Operator kann die versiegelte Sitzung nicht lesen. Keine einzelne Partei hält Identität und Ziele zusammen.
• Die Exit-Adresse. Privatanschluss-IPs funktionieren, wo ExpressVPNs bekannte Bereiche rundweg blockiert sind.
• Zielwahl. Eine Stadt namentlich suchen, überall dort, wo Mitglieder online sind; ein Großteil von ExpressVPNs Karte ist laut eigener Liste virtuell.
• Anonymität in einem Tipp. Ein Sofort-Konto ohne E-Mail, auf einem neuen Gerät wiederhergestellt über seine Wiederherstellungsphrase; ExpressVPN verlangt eine E-Mail.
• Preis. 5 $/Monat oder 40 $/Jahr mit einem kostenlosen täglichen Kontingent, gegen Premium-Preise ohne eines.
• Quellcode über den ganzen Stack. Client- und Server-Code sind öffentlich; ExpressVPN veröffentlicht Lightway und hält seine Apps und Server geschlossen.
• Unabhängigkeit. Ein kleiner Betreiber ohne Konzern-Eigentümer, ohne Schwester-VPN-Marken und ohne Testseiten, über die man nachdenken müsste.
• Die Angebotsseite. Mitglieder können ihre Verbindung teilen, als Teilnehmer am UR Protocol. ExpressVPN hat keine vergleichbare Rolle.

Grenzen und Belege

URnetworks wichtigste Grenzen:

• Kein unabhängiges Audit deckt das Protokoll, die Connect-Engine oder den Server-Code des Operators ab. Zwei externe Prüfungen aus 2025 decken andere Flächen ab: ein Penetrationstest der Web-Anwendung und API (April–Mai 2025) und die Leviathan-MASA-AL2-Prüfung der Android-App, die bestanden wurde. Leviathan schreibt, seine Prüfung „sollte nicht als ganzheitliche Sicherheitsbewertung oder umfassender Penetrationstest gelesen werden“. Keine der beiden untersuchte Logging, Aufbewahrung oder den Datenpfad. Gegen das tiefste Prüfprogramm der Branche ist das die größte Lücke in diesem Vergleich.
• Die Aufteilung setzt voraus, dass der Operator und die Provider in deinem Fenster unabhängig sind. Nichts im System attestiert diese Unabhängigkeit, und keine außenstehende Partei hat die Flotte vermessen. Siehe das Bedrohungsmodell, §6.1.
• Der WireGuard-kompatible Fallback-Endpunkt vergibt eine stabile Tunnel-Adresse — mehrere Provider könnten denselben Client also über Sitzungen hinweg wiedererkennen. Der native Tunnel ist der empfohlene Pfad.
• Abdeckungszahlen sind selbst veröffentlicht. IPinfo hat ExpressVPN von außen gemessen; diese Studie hat auf URnetwork noch niemand ausgeführt.

ExpressVPNs Grenze ist strukturell. Sein Server terminiert deinen Tunnel, eine Position kann also deine echte IP und deine Ziele zusammen sehen. Seine eigene Datenschutzrichtlinie listet, was es pro Konto aufbewahrt: aktivierte Apps und Versionen, den Tag, aber nicht die Uhrzeit der Verbindung, den gewählten Standort, dein Land und deinen Internetanbieter sowie die insgesamt übertragenen Bytes. Das ist schlanker als bei den meisten Wettbewerbern, und es ist trotzdem ein Nutzungsdatensatz pro Nutzer. TrustedServer begrenzt, wie lange irgendetwas fortbesteht, nicht, was ein laufender Server beobachten kann, und das Versprechen wird von einer Tochtergesellschaft gehalten, deren Eigentümer auch zwei konkurrierende VPNs und die oben genannten Testseiten besitzt.

URnetwork auszuprobieren kostet nichts: Das Sofort-Konto braucht einen Tipp und keine E-Mail — du kannst es also gegen deine eigenen Websites testen, bevor du für eines der beiden Produkte zahlst. Weitere Fragen beantwortet die FAQ.