URnetwork vs TunnelBear

TunnelBear ist das einfachste Verbraucher-VPN und das erste, das ein externes Sicherheitsaudit veröffentlicht hat; URnetwork teilt den Pfad auf, sodass der Exit nie erfährt, wer du bist, und der Operator die versiegelte Sitzung nicht lesen kann.

Wähl TunnelBear, wenn du das denkbar einfachste VPN willst, die längste ununterbrochene Reihe jährlicher externer Audits der Kategorie und stetige Rechenzentrums-Geschwindigkeiten. Wähl URnetwork, wenn du einen aufgeteilten Pfad willst, ein E-Mail-freies Konto und Privatanschluss-Exits, die auf eine Stadt gezielt sind. Beide haben Gratis-Tarife. TunnelBear ist das freundlichere Produkt. URnetwork teilt die Sicht zwischen seinem Operator und einem von Mitgliedern betriebenen Provider auf.

TunnelBear ist ein in Toronto gebautes VPN, seit 2018 im Besitz von McAfee, das einen WireGuard-/OpenVPN-/IKEv2-Dienst in Bären und einfache Sprache wickelt. 2016 wurde es das erste Verbraucher-VPN, das ein Sicherheitsaudit einer dritten Partei veröffentlichte, und Cure53 auditiert es seit 2017 jedes Jahr, nach eigener Zählung neun Jahre in Folge. Ein Gratis-Tarif gibt 2 GB pro Monat, und die GhostBear-Verschleierung hilft in Netzen, die VPNs blockieren.

URnetwork nutzt von Mitgliedern betriebene Exits. Der Provider erhält deine Quell-IP auf dem Relay-Pfad nicht. Die nativen Apps versiegeln den Datenverkehr zum Provider standardmäßig. So funktioniert URnetwork erklärt das vollständige Design. Das Bedrohungsmodell führt die vollständige Akte dessen, was gespeichert und durchgesetzt wird.

Sechs Unterschiede, die die Wahl beeinflussen

Vorbehalte unterhalb der Tabelle:

• Gratis-Tarife: TunnelBears gibt 2 GB im Monat, und seit dem 26. Januar 2026 wählen Gratis-Nutzer ihr Land nicht mehr selbst; die Änderung wurde vorab angekündigt, mit Kostengründen. URnetworks kostenloses Kontingent frischt sich täglich auf und behält die Standortwahl. Bezahlt: TunnelBear Unlimited ab 3,33 $/Monat mit Stand Mitte 2026; URnetwork Pro 5 $/Monat oder 40 $/Jahr, aktuelle Zahlen auf ur.io/products.
• Post-Quanten-Verschlüsselung läuft in URnetworks Richtung: Die X25519MLKEM768-Sitzung vom Client zum Provider ist in den nativen Apps Standard und überspringt jeden Provider, zu dem nicht versiegelt werden kann, statt herabzustufen. Die Browser-Erweiterung hat keine versiegelte Sitzung; dort loggt der Datenpfad des Operators nichts, festgenagelt durch einen Test im offenen Code. TunnelBear erhebt keine Post-Quanten-Zusage.
• Beide adressieren blockierte Netze: TunnelBear mit der GhostBear-Verschleierung, URnetwork mit Extendern, Eintritts-Hops auf unabhängigen Adressen und glaubwürdigen Ports.
• TunnelBear veröffentlicht keine Aufschlüsselung physisch gegen virtuell für seine 47 Länder, und keine externe Studie hat sie gemessen. Die Behauptung ist nach Maßstab der Kategorie bescheiden; die Lücke ist die fehlende Offenlegung, keine Aufblähung.
• Beide liefern einen Kill Switch (TunnelBears heißt VigilantBear); URnetworks ist ein expliziter Schalter auf jeder Plattform, und seine Browser-Erweiterung geht im Gespann mit der Web-App auf ur.io.

Die Audit-Bilanz, genau

TunnelBears Auszeichnung ist echt: Es begründete die Audit-Gewohnheit im Verbraucher-VPN, und Cure53 prüft es seit 2017 jährlich, die längste solche Reihe der Kategorie. Die Bilanz braucht allerdings ihre Daten. Vollständige öffentliche Berichte existieren für die Audits von 2020 bis 2023 auf cure53.de. Das Audit 2024 wurde im November 2025 als Blog-Zusammenfassung angekündigt, ohne angehängten Bericht, und beschreibt zehn Befunde mittleren oder höheren Schweregrads, die alle behoben sein sollen; es gibt kein Dokument zum Nachprüfen. Zum Audit 2025 gibt es überhaupt keine Veröffentlichung, und TunnelBears eigene Audit-Seite führte mit Stand Mitte 2026 weiterhin den Bericht von 2023 an. Die Audits scheinen weiterzugehen; das Veröffentlichen hat aufgehört.

Der letzte lesbare Bericht (Oktober–November 2023) schneidet in beide Richtungen: 13 Befunde, zwei als Hoch bewertet und keiner als Kritisch, wobei Cure53 „eine deutliche Verbesserung der Sicherheit mit jeder weiteren Testrunde“ attestiert und zugleich anmerkt, dass „einige in früheren Audits gefundene Mängel entweder falsch behoben oder schlicht ignoriert wurden“. Der Geltungsbereich zählt so viel wie der Takt. Das sind Penetrationstests und Quellcode-Audits von Apps und Infrastruktur, keine Inspektion dessen, was TunnelBears Server aufzeichnen; eine No-Logs-Attestierung existiert für TunnelBear nicht. Und eine Marketing-Zeile gehört verworfen: Die Homepage behauptet weiterhin, sie sei „das einzige VPN der Branche, das jährliche, unabhängige Sicherheitsaudits durchführt“, was falsch ist; Nord, ExpressVPN, Surfshark, IVPN, Mullvad und Windscribe veröffentlichen alle unabhängige Audits.

URnetwork sitzt in der anderen Spalte: Kein unabhängiges Audit deckt sein Protokoll oder den Server-Code des Operators ab (zwei Prüfungen aus 2025 decken andere Flächen ab; siehe Grenzen), und sein Client- und Server-Code ist offen — die Zusagen zu Speicherung und Routing lassen sich also fortlaufend verifizieren statt jährlich.

Ein Unternehmen, eine Richtlinie

TunnelBears Server terminiert deinen Tunnel, ein Unternehmen kann also im selben Moment dein Konto, deine echte IP und jedes Ziel sehen, mit dem du dich verbindest. Was diese Sicht zügelt, ist Richtlinie, und TunnelBears gehört zu den besser verfassten der Kategorie: Sie benennt, was sie nicht erhebt (Verbindungs-IPs, DNS-Anfragen, jede Aufzeichnung der Websites und Apps, die du nutzt), statt sich hinter „keine Logs“ zu verstecken. Dieselbe Richtlinie listet, was sie sehr wohl aufbewahrt: ein per E-Mail identifiziertes Konto, den Bezahlstatus, App- und OS-Versionen, monatliche Nutzungssummen, Geolokalisierung auf Kontinent-, Länder- und Stadtebene, Absturz- und Gerätedaten sowie die letzten vier Ziffern einer Karte, mit einem Analytics-Auftragsverarbeiter unter ihren Dienstleistern und Löschung 30 Tage nach der Kündigung.

Die Eigentümerschaft rahmt die Rechtsordnung. McAfee besitzt TunnelBear seit 2018, was es unter US-Recht stellt, und McAfee erscheint nirgends auf TunnelBears Homepage oder in seiner Datenschutzrichtlinie; der Auftrag für das Audit 2023 wurde von McAfee ULC vergeben. Nichts deutet darauf hin, dass die Übernahme geändert hätte, was TunnelBear erhebt; die faire Kritik ist die leise Offenlegung. Die Betriebs-Akte ist sauber: kein Einbruch, kein Leck, keine Server-Beschlagnahme, kein Gerichtsverfahren aktenkundig. Die eine bemerkenswerte Schwachstelle, CVE-2018-10381 (2018), war eine Schwachstelle für lokale Privilegienausweitung im Wartungsdienst unter Windows, mit 9,8 bewertet und behoben; sie auszunutzen verlangte Code, der bereits auf der Maschine lief.

Auf URnetworks Relay-Pfad treffen sich die beiden Hälften nie: Der Provider, der deinen Datenverkehr trägt, erhält deine Quell-IP nicht, und der Operator leitet eine versiegelte Sitzung weiter, die er nicht lesen kann — keine einzelne Partei hält also zugleich deine Identität und deine Aktivität. Was der Operator speichert, ist in offenem Server-Code eingeschränkt, mit der vollständigen Akte im Bedrohungsmodell.

Wo TunnelBear gewinnt

• Das einfachste VPN, das es gibt, für jemanden, der nie einen Einstellungsbildschirm öffnen wird.
• Neun Jahre jährlicher externer Prüfung, mit vier vollständigen Berichten (2020–2023), die jeder lesen kann; kein junges Netzwerk kann diese Geschichte aufweisen.
• Eine Datenschutzrichtlinie, die benennt, was sie nicht erhebt, statt auf „keine Logs“ zu deuten.
• Stetige Rechenzentrums-Geschwindigkeiten.
• Unternehmerische Stabilität und Support auf Verbraucherniveau.

Wo URnetwork gewinnt

• Die Aufteilung. Der Exit erfährt nie, wer du bist, und der Operator kann die versiegelte Sitzung nicht lesen. Keine einzelne Partei hält Identität und Ziele zusammen; TunnelBears Server sieht beides.
• Verifikation, die nicht abläuft: offener Client- und Server-Code, gegenüber einem geschlossenen Stack und Berichten, die aufgehört haben zu erscheinen.
• Anonymität des Kontos: ein E-Mail-freies Konto in einem Tipp, gestützt auf eine Wiederherstellungs-Seedphrase (URnetworks eigener Zugangsnachweis; es fragt nie nach der Seedphrase oder dem Schlüssel einer Krypto-Wallet), Anmeldung per Wallet-Signatur und Zahlung in On-Chain-USDC. TunnelBear verlangt eine E-Mail und eine Karte.
• Privatanschluss-Exits mit Stadtsuche überall dort, wo Provider online sind; TunnelBear bietet Städte in zwei Ländern.
• Ein Gratis-Tarif, der die Standortwahl behält und sich täglich auffrischt.
• Eine Angebotsseite: Mitglieder können ihre Verbindung teilen, als Teilnehmer am UR Protocol, mit einem quelloffenen Filter, der Filesharing- und Angriffsverkehr verwirft, bevor er die Leitung eines Mitglieds verlässt.

Grenzen und Belege

URnetworks wichtigste Grenzen:

• Kein unabhängiges Audit deckt das Protokoll, die Connect-Engine oder den Server-Code des Operators ab. Zwei externe Prüfungen aus 2025 decken andere Flächen ab: ein Penetrationstest der Web-Anwendung und API (April–Mai 2025) und die Leviathan-MASA-AL2-Prüfung der Android-App, die bestanden wurde. Leviathan schreibt, seine Prüfung „sollte nicht als ganzheitliche Sicherheitsbewertung oder umfassender Penetrationstest gelesen werden“. Keine der beiden untersuchte Logging, Aufbewahrung oder den Datenpfad.
• Die Aufteilung setzt voraus, dass der Operator und die Provider in deinem Fenster unabhängig sind. Nichts im System attestiert diese Unabhängigkeit, und keine außenstehende Partei hat die Flotte vermessen. Siehe das Bedrohungsmodell, §6.1.
• Der WireGuard-kompatible Fallback-Endpunkt vergibt eine stabile Tunnel-Adresse — mehrere Provider könnten denselben Client also über Sitzungen hinweg wiedererkennen. Der native Tunnel ist der empfohlene Pfad.
• Abdeckungszahlen sind auf beiden Seiten selbst veröffentlicht, ohne Messung von außen für eine der beiden Flotten; URnetworks Mechanismus — ein Standort existiert nur, solange dort das Gerät eines Mitglieds online ist — ist der prüfbare Teil.

TunnelBears Grenze ist die Position, die jedes Ein-Unternehmen-VPN teilt: Sein Server terminiert den Tunnel dort, wo er deine Adresse und deine Ziele zusammen sehen kann, und seine Audits prüfen die Software um diese Position herum, statt zu attestieren, was in ihr aufgezeichnet wird. Seit 2023 gibt es eine zweite Grenze: Die neuesten Ergebnisse existieren nur als Zusammenfassungen des Anbieters — die veröffentlichte Bilanz, die ein Käufer lesen kann, endet also beim Bericht von 2023.

URnetwork auszuprobieren kostet nichts: Das Sofort-Konto braucht einen Tipp und keine E-Mail, und beide Gratis-Tarife lassen dich gegen deine eigenen Websites testen, bevor du für eines von beiden zahlst. Weitere Fragen beantwortet die FAQ.