# URnetwork vs Mullvad

Mullvad ist das erprobteste Rechenzentrums-VPN; URnetwork teilt den Pfad
auf, sodass der Exit nie erfährt, wer du bist, und der Operator die
versiegelte Sitzung nicht lesen kann.

**Wähl Mullvad**, wenn dir eine lange Audit-Bilanz, stabile
Rechenzentrums-Server und Barzahlung wichtig sind. **Wähl URnetwork**, wenn
du Privatanschluss-Exits, Stadtauswahl und einen aufgeteilten Pfad willst.
Beide unterstützen anonyme Konten und Post-Quanten-Verschlüsselung. Mullvad
ist stärker erprobt. URnetwork teilt die Sicht zwischen seinem Operator und
einem von Mitgliedern betriebenen Provider auf.

[Mullvad](https://mullvad.net) wird von Amagicom AB in Göteborg, Schweden,
betrieben. Privacy-Forscher messen andere VPNs an ihm. Es hält seit seinem
ganzen Bestehen pauschal 5 € pro Monat, ohne Rabatte und ohne Gratis-Tarif.

URnetwork nutzt von Mitgliedern betriebene Exits. Der Provider erhält deine
Quell-IP auf dem Relay-Pfad nicht. Die nativen Apps versiegeln den
Datenverkehr zum Provider standardmäßig.
[So funktioniert URnetwork](/docs/overview) erklärt das vollständige Design.
Das [Bedrohungsmodell](/docs/threat-model) führt die vollständige Akte
dessen, was gespeichert und durchgesetzt wird.

## Sechs Unterschiede, die die Wahl beeinflussen

| | Mullvad | URnetwork |
|---|---|---|
| Vertrauensmodell | Ein Unternehmen, konstruiert, um minimale Daten zu halten | Zwei Relay-Parteien; der Exit sieht nie deine IP, und der Operator kann die versiegelte Sitzung nicht lesen |
| Exit-Adresse | Rechenzentrums-Bereiche, öffentlich gelistet, von Streaming- und Händler-Websites vielfach blockiert | Privatanschluss-Adressen; gewöhnlicher Datenverkehr für die Websites, die du besuchst |
| Abdeckung und Zielwahl | ~580 Server, 50 Länder, 91 Städte (öffentliche Live-Liste, Mitte 2026); du wählst einen Server | Mitgliedsgeräte in über 90 Ländern; Länder durchstöbern, Städte per Suche |
| Externe Verifikation | Veröffentlichte Audit-Berichte seit 2018; eine Durchsuchung 2023 fand nichts | Offener Client- und Server-Code; noch kein unabhängiges Audit des Protokolls oder Server-Codes |
| Konsistenz | Rechenzentrums-Flotte ohne Festplatten; vorhersehbar | Mitglieds-Uploads; die Geschwindigkeit bewegt sich mit dem Provider |
| Zahlung ohne Spur | Bargeld per Post, Monero, Gutscheine | Konto in einem Tipp ohne E-Mail; On-Chain-USDC |

Vorbehalte unterhalb der Tabelle:

- Post-Quanten-Verschlüsselung ist Gleichstand, auf beiden Seiten
  standardmäßig an. Mullvads quantenresistente Tunnel sind auf dem Desktop
  Standard und auf Mobilgeräten eine Einstellung. URnetworks
  X25519MLKEM768-Sitzung vom Client zum Provider ist in den nativen Apps
  Standard und überspringt jeden Provider, zu dem nicht versiegelt werden
  kann, statt herabzustufen. Die Browser-Erweiterung hat keine versiegelte
  Sitzung; dort loggt der Datenpfad des Operators nichts, festgenagelt durch
  einen Test im offenen Code.
- DAITA, Mullvads Tarnverkehr-Verteidigung gegen Verkehrsanalyse, hat kein
  Gegenstück bei URnetwork. Sie ist auf etwa einem Fünftel von Mullvads
  Servern nativ und wird vom Rest per automatischem Multihop erreicht.
- Beide decken Android, iOS, macOS, Windows und Linux ab, jeweils mit
  explizitem Kill Switch. URnetwork ergänzt eine Browser-Erweiterung im
  Gespann mit seiner Web-App.
- Mullvad kostet 5 €/Monat, pauschal. URnetwork Pro kostet 5 $/Monat oder
  40 $/Jahr, mit einem kostenlosen täglichen Datenkontingent. Aktuelle
  Zahlen: [ur.io/products](https://ur.io/products).

## Privacy-Bilanz

Im April 2023 erschienen Beamte des National Operations Department der
schwedischen Polizei mit einem Durchsuchungsbeschluss für Kundendaten in
Mullvads Büro in Göteborg. Sie gingen mit nichts, weil die gesuchten Daten
nicht existierten. Es war der erste Beschluss in den mehr als 14 Jahren des
Unternehmens. Er bleibt der beste gegnerische, unangekündigte Test einer
No-Logs-Zusage, den die Branche hat.

Die Audit-Bilanz ist die tiefste veröffentlichte der Branche: Berichte seit
2018 von Assured, Cure53, Atredis, X41, NCC Group und Leviathan. Allein 2026
brachte drei externe Prüfungen. X41 auditierte im Januar das Zahlungs- und
Konto-Backend. Assured auditierte im März Mullvads hauseigene
WireGuard-Implementierung. Leviathan fuhr im Juni seine standardisierte
MASA-Prüfung der Android-App. Alle Mullvad-Apps sind Open Source, und die
Android-App hat seit 2025 reproduzierbare Builds. Desktop-Builds sind noch
nicht reproduzierbar, und die Server-Seite ist nicht veröffentlicht.

URnetworks Android-App hält eine Prüfung aus demselben Labor unter demselben
Programm: Leviathan, MASA-Assurance-Level AL2, abgeschlossen Mai 2025,
bestanden. Es ist dieselbe standardisierte Checkliste. Sie wiegt für beide
Produkte gleich viel und entscheidet nichts über die Server der beiden
Betreiber. URnetwork ist die offenere Codebasis; Mullvad die stärker
verifizierte.

Zwei weitere datierte Ereignisse gehören in die Akte.

- Mai 2026: Ein Beitrag Dritter zeigte, dass die Exit-IP-Zuweisung Websites
  erlaubte, ein Gerät über Mullvad-Serverwechsel hinweg zu verknüpfen, ohne
  es zu identifizieren. Mullvad veröffentlichte binnen fünf Tagen und
  kündigte ein neues Zuweisungsschema an, das die Korrelation entfernt.
- Juli 2026: Mullvad veröffentlichte eine Stellungnahme zu einer
  persönlichen Spende eines Miteigentümers von rund 5 Millionen SEK an eine
  schwedische politische Partei. Es nannte die Spende privat und erklärte,
  das Unternehmen „billigt sie nicht, noch verurteilt es sie“. Keine
  Nutzerdaten oder technischen Garantien waren berührt. Es gehört auf diese
  Liste, weil im Ein-Unternehmen-Modell die Eigentümerschaft Teil dessen
  ist, worauf du vertraust.

Audits sind branchenweit bezahlt, eingegrenzt und Stichtagsaufnahmen. Die
Durchsuchung ist der stärkere Beleg, weil sie gegnerisch und unangekündigt
war — und Mullvad hat sie bestanden.

![Wie man eine Privacy-Zusage verifiziert — Stichtags-Audits vs. Gerichts- und Durchsuchungsbelege vs. offene fortlaufende Verifikation](/docs-assets/infographic-verification.svg)

*Mullvads Durchsuchung von 2023 ist das stärkste Beispiel für die mittlere
Art von Beleg. URnetworks ist die dritte Art: offener Code, den jeder an
jedem Tag prüfen kann, noch ohne unabhängige Untersuchung des Protokolls
oder des Server-Codes des Operators.*

## Rechenzentrums-Konsistenz, Privatanschluss-Varianz

Mullvads Flotte ist der Offenlegungs-Maßstab der Branche. Eine öffentliche
Live-Seite und API listen für jeden Server Stadt, Hosting-Unternehmen,
Online-Status und ein Eigentum-oder-gemietet-Flag. Rund ein Fünftel der
Server ist im Eigenbesitz; der Rest ist von Hostern gemietet, die Mullvad
benennt. Jeder Server läuft seit 2023 ohne Festplatte auf Mullvads
System-Transparency-Stack. Die Flotte ist WireGuard-only; OpenVPN wurde im
Januar 2026 nach vierzehn Monaten Vorlauf entfernt. Es gibt keine virtuellen
Standorte, und IPinfos Studie vom Dezember 2025 (aktualisiert April 2026)
bestätigte das von außen. Mozilla VPN läuft auf Mullvads Netz, und Tailscale
verkauft Mullvad-Exit-Nodes.

![Beworbene Standorte vs. gemessene Realität — Anteil der beworbenen Standorte, die pro Anbieter als virtuell oder nicht messbar gemessen wurden (IPinfo, Dezember 2025)](/docs-assets/infographic-virtual-locations.svg)

*Mullvad, IVPN und Windscribe wurden mit 0 % virtuell gemessen. URnetwork
erscheint als Mechanismus statt als Prozentzahl, weil ein Provider die
Präsenz ist.*

Dieselbe Flotte ist Mullvads häufigstes Alltagsversagen. Ihre Bereiche sind
öffentlich bekannt, viele Streaming- und Händler-Websites blockieren sie
also pauschal. URnetworks Exits sind Privatanschluss-Adressen, und ihr
Datenverkehr ist für die empfangenden Websites gewöhnlich.

Abdeckung wird auf beiden Seiten unterschiedlich geprüft. Mullvads Liste
lässt sich Server für Server verifizieren und wurde von außen vermessen.
URnetworks Antwort ist strukturell: Ein Standort existiert nur, solange dort
das Gerät eines Mitglieds online ist — Präsenz lässt sich also nicht
fabrizieren wie ein registrierter IP-Bereich. Live-Zahlen stehen ohne Login
unter api.bringyour.com/stats/last-90. IPinfos Studie hat auf URnetwork noch
niemand ausgeführt.

Konsistenz läuft in Mullvads Richtung. Seine Server verhalten sich jeden Tag
gleich. URnetworks Geschwindigkeit bewegt sich mit dem Upload jedes
Mitglieds; URnetwork beziffert seine durchschnittliche
Streaming-Geschwindigkeit mit 40 Mbps+.

## Zahlungen und Identität

Mullvad vergibt Nummernkonten ohne E-Mail und ohne Namen. Es nimmt Bargeld
per Post, Monero, Bitcoin, Gutscheine und Karten. Die eigene Richtlinie
dokumentiert, was Karten- und PayPal-Zahlungen hinterlassen: PayPal-Name,
E-Mail und Land; Kartentyp, Land und die letzten vier Ziffern; eine
Verknüpfung von Transaktion zu Konto, gelöscht nach etwa 20 Tagen;
Buchhaltung, nach schwedischem Recht sieben Jahre aufbewahrt. Diese Spur
existiert bei jedem VPN, das Karten nimmt, URnetwork eingeschlossen. Bargeld
und Monero hinterlassen keine solche Spur.

URnetworks Sofort-Konto (Instant Account) wird in einem Tipp ohne E-Mail
erstellt. Eine Wiederherstellungs-Seedphrase, einmal ausgegeben und nur als
Hashes gespeichert, stellt das Konto nach einer Neuinstallation wieder her.
Die Phrase ist ein URnetwork-Zugangsnachweis. URnetwork fragt nie nach der
Seedphrase oder dem privaten Schlüssel einer Krypto-Wallet. Die Anmeldung
per Solana- oder Bittensor-Wallet-Signatur ist eine Alternative, und Pro
lässt sich in On-Chain-USDC bezahlen. USDC ist pseudonym; seine Anonymität
hängt von der Geschichte deiner Wallet ab.

Je eine Differenz läuft in jede Richtung. Nur Mullvad nimmt Bargeld im
Umschlag, das auf keinem Register erscheint. Nur URnetwork eröffnet ein
Konto, ohne dass überhaupt etwas getippt wird, und ergänzt Wallet-native
Identität.

## Wo Mullvad gewinnt

- Zahlung ganz ohne Spur. Bargeld per Post und Monero erscheinen auf keinem
  Register. URnetworks USDC lebt auf einer öffentlichen Chain.
- Beweis unter Druck. Die Durchsuchung 2023 fand nichts. URnetworks
  Speicher-Design ist offener Code, aber kein Gericht und keine Durchsuchung
  hat es getestet.
- Externe Verifikation. Veröffentlichte Audit-Berichte seit 2018, drei
  Prüfungen allein 2026 und reproduzierbare Android-Builds. URnetwork hat
  kein Audit seines Protokolls oder Server-Codes.
- Flotten-Offenlegung. Eine Live-Serverliste nennt für jeden Server Stadt,
  Hosting-Unternehmen und Eigentum, ohne virtuelle Standorte.
- Verteidigung gegen Verkehrsanalyse. DAITA hat kein Gegenstück bei
  URnetwork.

## Wo URnetwork gewinnt

- Die Aufteilung. Der Exit erfährt nie, wer du bist, und der Operator kann
  die versiegelte Sitzung nicht lesen. Keine einzelne Partei hält Identität
  und Ziele zusammen.
- Die Exit-Adresse. Privatanschluss-IPs funktionieren, wo Mullvads bekannte
  Bereiche rundweg blockiert sind.
- Reichweite und Zielwahl. Exits in mehr als 90 Ländern gegenüber 50,
  durchsuchbar bis auf eine Stadt.
- Anonymität in einem Tipp. Ein Sofort-Konto ohne E-Mail, auf einem neuen
  Gerät wiederhergestellt über seine Wiederherstellungsphrase.
- Preis. 40 $/Jahr gegen 60 €/Jahr, plus ein Gratis-Tarif mit täglichem
  Datenkontingent.
- Quellcode über den ganzen Stack. Der Server-Code ist öffentlich, nicht nur
  die Apps.
- Die Angebotsseite. Mitglieder können ihre Verbindung teilen, als
  Teilnehmer am [UR Protocol](https://ur.xyz). Mullvad hat keine
  vergleichbare Rolle.

## Grenzen und Belege

URnetworks wichtigste Grenzen:

- Kein unabhängiges Audit deckt das Protokoll, die Connect-Engine oder den
  Server-Code des Operators ab. Zwei externe Prüfungen aus 2025 decken
  andere Flächen ab: ein Penetrationstest der Web-Anwendung und API
  (April–Mai 2025) und die Leviathan-MASA-AL2-Prüfung der Android-App, die
  bestanden wurde. Leviathan schreibt, seine Prüfung „sollte nicht als
  ganzheitliche Sicherheitsbewertung oder umfassender Penetrationstest
  gelesen werden“. Keine der beiden untersuchte Logging, Aufbewahrung oder
  den Datenpfad.
- Die Aufteilung setzt voraus, dass der Operator und die Provider in deinem
  Fenster unabhängig sind. Nichts im System attestiert diese Unabhängigkeit,
  und keine außenstehende Partei hat die Flotte vermessen. Siehe das
  [Bedrohungsmodell](/docs/threat-model), §6.1.
- Der WireGuard-kompatible Fallback-Endpunkt vergibt eine stabile
  Tunnel-Adresse — mehrere Provider könnten denselben Client also über
  Sitzungen hinweg wiedererkennen. Der native Tunnel ist der empfohlene
  Pfad.
- Abdeckungszahlen sind selbst veröffentlicht. Mullvads
  Null-virtuelle-Standorte-Ergebnis wurde von außen gemessen; URnetworks
  nicht.

Mullvads Grenze ist strukturell. Sein Server terminiert deinen Tunnel, eine
Position kann also deine echte IP und deine Ziele zusammen sehen. Sein
eigenes Multihop verkettet zwei Mullvad-Server, was Deckung gegen einen
Netzwerkbeobachter ist, nicht gegen Mullvad. Alles Übrige im Design arbeitet
daran, diese Position leer zu halten, und die Durchsuchung ist der Beleg,
dass das gelungen ist.

URnetwork auszuprobieren kostet nichts: Das Sofort-Konto braucht einen Tipp
und keine E-Mail — du kannst es also gegen deine eigenen Websites testen,
bevor du für eines der beiden Produkte zahlst. Weitere Fragen beantwortet
die [FAQ](/docs/faq).