Methodik - Wie wir VPNs verifizieren & bewerten

Souveränität & Jurisdiktion

Ohne dokumentierte Jurisdiktion und Eigentümerstruktur gibt es 0 - Souveränität wird nicht unterstellt.

• +6 Kein US-Bezug (CLOUD-Act-frei): kein US-Konzern, keine US-Mehrheitseigentümer
• +3 Geringe US-Exposition (US-Tochter oder US-Subprozessor denkbar)
• 0 Erhebliche US-Exposition (US-Konzern oder US-Mehrheitseigentümer) - der CLOUD Act greift
• +1.5 Anbieter mit Sitz in Deutschland, Österreich oder der Schweiz
• +1 Serverstandort in der EU wählbar
• +1 Datenresidenz explizit wählbar
• +1 Eigentumsform Stiftung, Genossenschaft oder gemeinnützig
• +0.5 Subprozessoren öffentlich gelistet

Verschlüsselung & Datenzugriff

Ohne Ende-zu-Ende-Verschlüsselung bleibt die Dimension niedrig - der Anbieter kann mitlesen.

• +6 Ende-zu-Ende-Verschlüsselung ab Werk (Zero-Knowledge)
• +3 Verschlüsselung optional zuschaltbar (kostet extra oder nur einzelne Ordner)
• +1.5 Metadaten (Dateinamen, Struktur) ebenfalls verschlüsselt
• +1.5 Kein automatisches Scannen der Inhalte dokumentiert
• +1.5 Kein Training von KI-Modellen auf Kundendaten
• +1 Zwei unabhängige Audits liegen vor
• +0.5 Das jüngste Audit ist höchstens drei Jahre alt

Eigentümer & Historie

Vorfall-Abzüge stapeln bis zum Boden 0; die Gesamtabzüge sind gedeckelt, damit ein schlechtes Kapitel nicht die ganze Bilanz löscht.

• +1 Eigentümerstruktur öffentlich dokumentiert (bestätigt)
• +0.5 Fakten gegen Primärquellen geprüft (nicht nur berichtet)
• +0.5 Unabhängiger Betrieb: kein Konglomerat mit mehreren Marken
• +1 Gemeinnützige oder genossenschaftliche Trägerschaft
• -0.5 Teil eines Konglomerats mit mehreren Marken
• -0.5 Anbieter ist jünger als drei Jahre (geringere Überlebenswahrscheinlichkeit)
• -1 pro Vorfall Dokumentierte Vorfälle (hoch -1,5, mittel -1), in Summe gedeckelt bei -2,5
• -0.5 pro rote Flagge Jede rote Flagge (-0,5), in Summe gedeckelt bei -1,5

Ausstieg & Lock-in

Lock-in ist die stille Falle: wer nicht ohne Verluste wechseln kann, ist nicht frei.

• +2 Vollexport mit Metadaten dokumentiert
• +2 Offene Schnittstellen (WebDAV/S3/SFTP/IMAP/rclone)
• +1.5 Server-Software ist Open Source (selbst hostbar)
• +1 Monatlich kündbar / keine langfristige Bindung
• -1 Lifetime-Angebot - volle Bindung an die Lebensdauer des Anbieters
• -2 Dokumentierte Ausstiegshürde (proprietäres Format, kein Export)

Sicherheit

Grundlage 3: TLS/Transportverschlüsselung setzen wir bei jedem seriösen Anbieter voraus. Bewertet wird, was darüber hinausgeht.

• +2 Zwei-Faktor-Anmeldung mit FIDO2/Passkeys
• +1 Zwei-Faktor-Anmeldung (TOTP/App) unterstützt
• +1.5 ISO-27001-Zertifizierung mit passendem Geltungsbereich
• +1 BSI C5-Testat
• +1 Versionierung oder Snapshots gegen Ransomware/Fehler
• +0.5 Versionierungsdauer mindestens 30 Tage
• -1 pro Sicherheitsvorfall Jede dokumentierte Sicherheitslücke oder Datenpanne

Ehrliche Kosten

• +6 Selbst betreibbar ohne laufende Kosten (Software, Open Source)
• +2 Kostenlos nutzbarer Tarif vorhanden
• +3 Preis pro Terabyte und Jahr höchstens 60 €
• +1.5 Preis pro Terabyte und Jahr höchstens 120 €
• +2 Günstigster Monatstarif höchstens 5 €
• +1 Günstigster Monatstarif höchstens 10 €
• +3 Verlängerungspreis gleich Einführungspreis (flache Preisgestaltung)
• +1.5 Verlängerung höchstens doppelt so teuer wie der Einstieg
• 0 Verlängerung mehr als doppelt so teuer (Preisfalle)
• +1 Rückgabefenster mindestens 30 Tage
• -1 Unbegrenzt-Werbung mit dokumentierten Drosseln

Alltag & Clients

• +2 Native Clients für mindestens sechs Plattformen
• +1.5 Native Clients für vier bis fünf Plattformen
• +1 Native Clients für zwei bis drei Plattformen
• +1 Nativer Linux-Client (nicht nur WebDAV)
• +1 Teilen mit Passwort, Ablauf und ohne Konto möglich
• -0.5 Dokumentierte Limits bei Dateigröße oder Upload