Unternehmerische Verantwortung
Frage 1: Wie lautet der öffentlich bekannte und vollständige rechtliche Name des VPN-Dienstes sowie etwaiger Mutter- oder Holdinggesellschaften?
NymVPN wird von Nym Technologies SA betrieben, einem Schweizer Unternehmen mit Sitz in Neuchâtel, Schweiz. Das Unternehmen befindet sich im Privatbesitz seiner Mitbegründer Harry Halpin und Alexis Roussel und hat keine Mutter- oder Holdinggesellschaft. Die anderen Mitbegründer sind Minderheitsgesellschafter des Unternehmens.
Weder Nym Technologies SA noch Harry Halpin oder Alexis Roussel besitzen Anteile oder wirtschaftliche Beteiligungen an anderen VPN-Unternehmen. Harry Halpin war zuvor Vorstandsvorsitzender des LEAP Encryption Access Project (ein zentrales VPN für Menschenrechtsaktivisten), eine Position, die er inzwischen aufgegeben hat.
NymVPN wird ausschließlich von Nym Technologies SA betrieben, ohne Beteiligung anderer Unternehmen oder Partner.
Frage 2: Hat das Unternehmen oder haben andere Unternehmen, die am Betrieb oder am Eigentum des Dienstes beteiligt sind, Anteile an VPN-Bewertungswebsites?
Nein.
Frage 3: Wie sieht das Geschäftsmodell des Dienstes aus (d. h., wie verdient das VPN Geld)?
NymVPN erzielt seine Einnahmen ausschließlich durch VPN-Abonnements, die sowohl dVPN- als auch Mixnet-Zugang umfassen. Wir verkaufen keine Nutzerdaten und verwenden Kundendaten (sofern vorhanden) ausschließlich zum Betrieb des VPN-Dienstes.
Wir erwägen, Enterprise-Versionen unseres Mixnets für potenzielle Partner zu entwickeln. Nym Technologies SA hat geringe Einnahmen aus der Integration des Mixnets in andere Projekte erzielt, darunter:
- ein Zuschuss aus dem ZCash Community Grants Program zur Integration des Mixnets in ZCash-Wallets;
- F&E-Fördermittel aus dem Programm „Next Generation Internet“ der Europäischen Kommission, um bessere Mixnet-Paketformate und anonyme Anmeldedaten zu ermöglichen.
Verfahren zur Datenerfassung
Frage 4: Speichert der Dienst Daten oder Metadaten, die während einer VPN-Sitzung (vom Verbindungsaufbau bis zur Trennung) generiert wurden, auch nach Beendigung der Sitzung? Wenn ja, welche Daten?
- Benutzergerät: Während der Alpha-Phase und zu Debugging-Zwecken werden möglicherweise einige Verbindungsdaten in den App-Protokollen aufgezeichnet und auf dem Gerät des Benutzers gespeichert. Diese Protokolle werden regelmäßig gelöscht. Da die NymVPN-Apps immer stabiler werden, strebt Nym an, diese Protokolle weniger ausführlich zu gestalten. Benutzer können die Daten über das Menü „Einstellungen > Protokolle“ in ihrer NymVPN-App einsehen (Hinweis: Diese Protokolle werden lokal auf dem Gerät des Benutzers gespeichert und nicht an Nym oder Dritte weitergegeben).
- Nym Technologies SA: Nutzer haben die Möglichkeit, anonymisierte Absturzberichte (über Sentry) freiwillig weiterzugeben, um zur Verbesserung von NymVPN beizutragen. Diese Berichte sind so gestaltet, dass sie keine Informationen enthalten, die Rückschlüsse auf einzelne Nutzer zulassen. Nym Technologies SA hat grundsätzlich keinen Zugriff auf weitere Daten über die Online-Aktivitäten des Nutzers.
- Knotenbetreiber: NymVPN ist ein dezentrales VPN, dessen Server von unabhängigen Betreibern betrieben werden. Konzeptionell haben Betreiber von Eingangs-Gateways möglicherweise Zugriff auf die IP-Adresse eines Nutzers (jedoch nicht auf dessen Online-Aktivitäten), während Betreiber von Ausgangs-Gateways die Online-Aktivitäten einsehen können (diese jedoch nicht mit der IP-Adresse eines Nutzers verknüpfen können). Gemäß unseren Allgemeinen Geschäftsbedingungen für Node-Betreiber und Validatoren verpflichten sich die Betreiber, „keine Nym-Node-Informationen oder sonstige Informationen oder Daten im Zusammenhang mit den Aktivitäten der Endnutzer von NymVPN oder den VPN-Diensten zu erheben, zu überwachen, aufzuzeichnen, zu protokollieren, zu speichern, aufzubewahren oder an Dritte weiterzugeben“.
Weitere Informationen finden Sie in unserer Datenschutzerklärung für Apps.
Frage 5: Speichert Ihr Unternehmen Daten über das Surfverhalten und/oder die Netzwerkaktivitäten der Nutzer, einschließlich DNS-Abfragen und Aufzeichnungen über besuchte Domainnamen und Websites, oder gibt es diese an Dritte weiter?
Siehe Frage 4.
DNS-Abfragen: NymVPN betreibt keinen DNS-Dienst. Daher werden DNS-Abfragen vom Standard-DNS-Anbieter oder dem vom Benutzer konfigurierten Anbieter abgewickelt.
Frage 6: Verfügen Sie über einen klaren Prozess für die Beantwortung berechtigter Datenanfragen von Strafverfolgungsbehörden und Gerichten?
NymVPN wird von Nym Technologies SA, einem Schweizer Unternehmen, betrieben und unterliegt der Schweizer Gesetzgebung. Wir arbeiten mit Rechtsberatern zusammen, um Anfragen von Strafverfolgungsbehörden zu bearbeiten.
Als dezentraler VPN-Dienst speichert NymVPN grundsätzlich keine Daten über die Online-Aktivitäten seiner Nutzer. Zwar hat NymVPN Zugriff auf die Zahlungsdaten der Nutzer, diese werden jedoch durch das auf „zk-nyms“ (Zero-Knowledge-Proofs) basierende Onboarding nicht mit deren VPN-Konten verknüpft.
Da Nym dezentralisiert ist, ist es möglich, dass Datenanfragen von Strafverfolgungsbehörden und Gerichten an dezentrale Knoten in unserem Netzwerk weitergeleitet werden.
Sicherheitsmaßnahmen
Frage 7: Was unternehmen Sie, um unbefugten Zugriff auf Kundendaten, die über das VPN übertragen werden, zu verhindern?
Prüfung: NymVPN hat es sich zur Aufgabe gemacht, seinen Nutzern erstklassige Datenschutz- und Sicherheitsvorteile zu bieten. Der Quellcode von NymVPN ist vollständig Open Source, unter der GPLv3 und der Apache Software Foundation lizenziert und steht jedem zur Überprüfung zur Verfügung. Im Juli 2024 wurden NymVPN und andere Kerntechnologien von Nym von dem renommierten Penetrationstest-Unternehmen Cure53 geprüft. Nym Technologies hat zudem mehrere weitere Sicherheitsprüfungen im Zusammenhang mit seinem Mixnet und seiner Kryptografie durchlaufen.
Bug-Bounty-/Sicherheitslücken-Offenlegungsprogramm: Ab Dezember 2024 plant NymVPN ein Programm zur Offenlegung von Sicherheitslücken, über das Sicherheitsforscher Probleme melden können; der Start ist für 2025 vorgesehen. Dieses Programm wird in Betrieb genommen, sobald die Ergebnisse des Cure53-Audits umgesetzt und veröffentlicht wurden.
Kryptografische Protokolle: Unter Anleitung führender Experten für Sicherheit, Datenschutz und Kryptografie setzt NymVPN auf modernste kryptografische Protokolle, darunter insbesondere (für den Mixnet-Modus):
- AES128 für die sichere Kommunikation zwischen Clients und Einstiegsknoten sowie für die Verschlüsselung des Sphinx-Headers;
- BLAKE3 zur Schlüsselableitung im Sphinx-Paketformat;
- Lioness zur Verschlüsselung der Sphinx-Nutzlast.
Und (für den WireGuard-basierten Modus):
- ChaCha20 für symmetrische Verschlüsselung;
- Poly1305 zur Authentifizierung;
- BLAKE2s für das Hashing.
Software-Updates: Die NymVPN-Apps für Endnutzer und die Binärdateien für Betreiber werden regelmäßig oder bei Bedarf aktualisiert, um Patches und Sicherheitsverbesserungen zu gewährleisten.
Serversteuerung und physische Sicherheit: Nym Technologies SA betreibt die VPN-Server grundsätzlich nicht selbst, sondern stützt sich stattdessen auf unabhängige Knotenbetreiber. Nym Technologies SA gewährleistet zudem den Einsatz moderner, sicher verwalteter interner Tools und setzt strenge Sicherheitsrichtlinien für Mitarbeiter durch, einschließlich der Multi-Faktor-Authentifizierung.
Frage 8: Welche weiteren Sicherheitsmaßnahmen nutzt der Dienst zum Schutz der Nutzerdaten?
Siehe Frage 7.
Kontext
Im Anschluss an Diskussionen auf der Menschenrechtskonferenz RightsCon im Jahr 2018 stellten das Center for Democracy and Technology (CDT, eine renommierte gemeinnützige Organisation, die sich für die Förderung von Bürgerrechten und bürgerlichen Freiheiten im digitalen Zeitalter einsetzt) und führende VPN-Anbieter einen erheblichen Mangel an Vertrauen und Transparenz innerhalb der VPN-Branche fest.
Als Reaktion darauf entwickelte das CDT eine Liste mit 8 standardisierten Fragen, die sich auf (1) die Unternehmensverantwortung, (2) Praktiken der Datenprotokollierung und (3) Sicherheitspraktiken, die es VPN-Anbietern ermöglichen, ihr Engagement für Vertrauenswürdigkeit und einen guten Ruf unter Beweis zu stellen.
Im Rahmen unseres Engagements für vollständige Transparenz in Bezug auf unser Produkt und unsere Geschäftstätigkeit veröffentlichen wir hier unsere Antworten auf die 8 Fragen des Fragebogens „Signals of Trustworthy VPNs“.
Zuletzt aktualisiert: 4. Dezember 2024