VPN-audits uitgelegd: wat een no-logsaudit wel en niet bewijst

Bijna elke VPN noemt zich "geaudit". Dat woord dekt een groot bereik: van een Big Four-rapport over het logbeleid tot een pentest van één app. Hier lees je wat een audit precies toetst, wat per aanbieder bekend is, en waar het bewijs ophoudt.

Door de redactie van VPNwijzer · Laatst bijgewerkt: oktober 2026

Drie soorten audits onder één woord

Een no-logs assurance engagement is wat de meeste mensen bedoelen: een accountantskantoor of beveiligingsbureau praat met medewerkers, bekijkt serverconfiguraties en uitrolprocessen, en oordeelt of de infrastructuur doet wat het logbeleid belooft. Een serveraudit kijkt naar de technische inrichting zelf, bijvoorbeeld of servers op RAM draaien. Een app-audit of pentest zoekt kwetsbaarheden in de software en zegt niets over wat er op de servers wordt bewaard. Alle drie worden in marketing "onafhankelijk geaudit" genoemd. Alleen de eerste beantwoordt de vraag waar de meeste mensen mee zitten: bewaart de aanbieder mijn gegevens?

Wat ons opviel bij het nalezen van de aankondigingen: de aanbieder bepaalt zelf de vraagstelling. NordVPN en Surfshark laten Deloitte toetsen tegen hun eigen no-logsbeleid, ExpressVPN laat KPMG de TrustedServer-architectuur beoordelen, CyberGhost en PIA laten Deloitte kijken naar serverbeheer, incidentafhandeling en het token-systeem voor dedicated IP's. Het zijn verschillende vragen. Een rij vinkjes "audit: ja" maakt ze onterecht gelijk, ook in onze eigen vergelijker, waar het audit-filter alleen zegt dat er een externe toetsing bestaat.

Wie auditeerde wat: de stand per aanbieder

Onderstaande gegevens komen van de aanbieders zelf en van de rapporten of aankondigingen; de peildatum is 5 oktober 2026. Wij hebben de rapporten niet allemaal zelf kunnen inzien, juist omdat een deel alleen voor klanten toegankelijk is.

Wat een audit wel bewijst

Een goed uitgevoerde assurance engagement bewijst dat een onafhankelijke partij op een bepaald moment geen aanwijzing vond dat de onderzochte systemen gebruikersactiviteit vastleggen, en dat de beschreven werkwijze klopte met de praktijk. Dat is meer dan een belofte op de eigen website, zeker wanneer een kantoor als Deloitte of KPMG zijn naam eraan verbindt. Herhaling telt ook: Proton laat de toetsing al vijf jaar op rij doen, en bij PIA en CyberGhost is het de derde ronde. Een aanbieder die dat jaar na jaar blijft doen, neemt het risico dat er ooit iets uitkomt.

Wat een audit niet bewijst

Ten eerste is het een momentopname. De NordVPN-toetsing keek vijf weken naar de situatie in november en december 2025, en ExpressVPN beschrijft zijn rapport als stand per 28 februari 2025. Wat er daarna in de configuratie veranderde, valt erbuiten. Dat het ExpressVPN-rapport volgens de aanbieder een Type 1 is, wijst op een beoordeling van de opzet op een peildatum, niet van de werking over een langere periode; dat onderscheid kennen we uit de standaard, maar we hebben het rapport zelf niet gelezen.

Ten tweede dekt de scope niet alles. Een audit van de servers zegt niets over de apps, en een app-pentest zegt niets over servers. Ook de betaalgegevens, het supportsysteem en de analytics in de app vallen vaak buiten de vraagstelling. Ten derde wordt het no-logsbeleid getoetst op de aanbieder, niet op de rest van de keten: een datacenter of een hostingpartner kan zelf meekijken zolang de VPN-aanbieder daar niets van weet. Ten vierde kun je bij een rapport dat alleen voor klanten toegankelijk is niet zelf controleren wat de scope was; je leest dan de samenvatting van de aanbieder, aangevuld met wat vakmedia erover schrijven.

Ten vijfde bewijst een audit geen eerlijke jurisdictie. Een Amerikaanse of Britse aanbieder kan met een no-logsaudit nog steeds gedwongen worden iets te gaan registreren; een audit laat vooral zien wat er nu bestaat. Daarom wegen wij een rechtszaak of huiszoeking waarbij bleek dat er niets te vorderen was zwaarder dan een rapport, zoals we beschrijven in de methodologie.

Zo lees je een auditaankondiging in vijf vragen

Wie heeft het gedaan, en is dat een kantoor met een naam te verliezen? Wanneer, en hoe oud is de peildatum? Wat was de vraag: het logbeleid, de servers, de apps? Kun je het rapport zelf lezen, of alleen een samenvatting? En is het een herhaling, of een eerste keer? Een rapport dat openbaar is, door een bekend kantoor is gemaakt, het logbeleid toetst en elk jaar terugkomt, weegt zwaarder dan een persbericht waarin "geaudit" staat zonder meer. Wat een logbeleid in de praktijk betekent voor wat een aanbieder ziet, lees je in wat ziet je provider; of dat in jouw situatie genoeg is, hangt af van wat je met een VPN wilt beschermen, zoals uitgelegd in wat is een VPN.

Onze conclusie

Behandel een audit als een goed teken, niet als garantie. Dat een aanbieder in de tabel staat, betekent dat een onafhankelijke partij de belofte op een moment heeft nagelopen. Het onderscheidt aanbieders met een openbaar, jaarlijks herhaald rapport van aanbieders met een eenmalige samenvatting, en dat verschil wegen wij mee in de reviews. Het vervangt niet de vraag of je de eigenaar en de jurisdictie vertrouwt.

Bronnen

Wij nemen geen claims van aanbieders over zonder ze na te lopen. De pagina's zijn bekeken op 5 oktober 2026; de volledige rapporten hebben wij niet allemaal zelf gelezen, en wat alleen via aanbieder of vakmedia bekend is, staat hierboven zo aangegeven.

• NordVPN: NordVPN, zesde no-logs assurance engagement (Deloitte Lithuania).
• Surfshark: Surfshark, Deloitte no-logs audit 2025.
• ExpressVPN: ExpressVPN, KPMG 2025 no-logs audit.
• Proton VPN: Proton VPN, no-logs audit (Securitum).
• CyberGhost: CyberGhost, third no-logs audit. PIA: PIA, third Deloitte audit.
• IPVanish: CyberInsider, IPVanish confirms no-logs policy in new independent audit.
• PureVPN: PureVPN, KPMG validates no-log claims.
• Mullvad: Mullvad, blog over audits.