Totale Unsichtbarkeit: Die Wahrheit über das Tor-Netzwerk

7 Wunder des Cyberraums — Eintrag #3

Jeder Klick, den Sie online machen, hinterlässt eine Spur. Ihr ISP protokolliert ihn. Werbenetzwerke zeichnen ihn auf. Überwachungsprogramme der Regierung katalogisieren ihn. Das Tor-Netzwerk, formell bekannt als The Onion Router, wurde entwickelt, um diese Spur unsichtbar zu machen. Was als geheimes Forschungsprojekt der U.S. Navy Mitte der 1990er Jahre begann, hat sich zum weltweit meistgenutzten anonymen Kommunikationsnetzwerk entwickelt, mit fast 2 Millionen täglichen Nutzern, die ihren Datenverkehr durch ein Labyrinth von ehrenamtlich betriebenen Servern leiten, um aus der digitalen Aufzeichnung zu verschwinden. Aber Tor hat einen Ruf, der so unheimlich wie missverstanden ist. Ist es eine Lebensader für Dissidenten, Journalisten und Whistleblower – oder ein krimineller Untergrund? Die Antwort hat, wie das Netzwerk selbst, Schichten.

Hier ist eine Tatsache, die die Annahmen der meisten Menschen durcheinanderbringt: Das leistungsstärkste Datenschutz-Tool im Internet wurde von der Regierung der Vereinigten Staaten erfunden, um ihre eigenen Geheimdienstoperationen zu schützen.

Im Jahr 1995 standen drei Forscher am U.S. Naval Research Laboratory – der Mathematiker Paul Syverson und die Informatiker Michael Reed und David Goldschlag – vor einem grundlegenden Problem. Geheimdienstmitarbeiter, die online kommunizierten, hinterließen Spuren. Selbst verschlüsselter Datenverkehr konnte durch Traffic-Analyse zu seiner Quelle zurückverfolgt werden: Beobachtet man, wer sich wann mit wem verbindet und wie viele Daten fließen, kann man ein Spionagenetzwerk kartieren, ohne auch nur ein einziges Byte zu lesen.

Ihre Lösung bestand darin, Kommunikationen über eine Kette von Zwischencomputern zu leiten, wobei jeder nur die Identität seiner Nachbarn kannte – niemals den vollständigen Pfad. Sie nannten diese Technik Zwiebel-Routing, weil Daten in konzentrischen Verschlüsselungsebenen wie die Schale einer Zwiebel verpackt wurden. Der eigene historische Bericht des Tor Projects bestätigt, dass die ersten Prototypen Ende der 1990er Jahre eingesetzt wurden, ursprünglich auf Sun Solaris-Maschinen.

Das Projekt wurde 2002 öffentlich zugänglich, als die MIT-Absolventen Roger Dingledine und Nick Mathewson sich Syverson anschlossen, um das zu entwickeln, was sie offiziell Tor (The Onion Routing) nannten. Im Jahr 2004 veröffentlichte das Naval Research Laboratory den Code unter einer freien Lizenz. 2006 gründeten Dingledine, Mathewson und fünf weitere Personen offiziell das Tor Project als gemeinnützige 501(c)(3)-Organisation mit Sitz in Massachusetts.

Die frühen Geldgeber des Projekts waren eine ungewöhnliche Mischung: Das US-Außenministerium, die Electronic Frontier Foundation, Human Rights Watch, Google und die University of Cambridge trugen alle dazu bei. Wie Dingledine selbst auf einer frühen Datenschutzkonferenz erklärte: Der Titel seines Vortrags war "Was haben die EFF und das Verteidigungsministerium gemeinsam?" – und die Antwort war, dass beide Tor finanzierten. Diese Koalition, so argumentierte er, sei der Punkt. Ein Anonymitätsnetzwerk schützt Einzelpersonen nur, wenn seine Nutzerbasis so vielfältig ist, dass niemand erraten kann, warum eine bestimmte Person es nutzt.

Wie Zwiebel-Routing tatsächlich funktioniert

Die Metapher ist gerade deshalb effektiv, weil sie präzise ist. Wenn Sie eine Nachricht über Tor senden, wird diese Nachricht in drei unabhängige Verschlüsselungsschichten gehüllt – eine für jeden Relaisknoten, den Ihre Daten passieren werden. Stellen Sie es sich so vor, als würden Sie einen Brief in drei Umschläge stecken, wobei jeder nur an das nächste Postamt in der Kette adressiert ist. Niemand in einem einzelnen Postamt kann sowohl den Ursprung des Briefes als auch sein endgültiges Ziel sehen.

Der Drei-Knoten-Schaltkreis

Jede Tor-Verbindung durchläuft genau drei Relaisknoten, die jeweils eine bestimmte Rolle spielen:

1. Guard Node (Eingangsrelais): Die erste Station. Dieses Relais kennt Ihre echte IP-Adresse – aber es kann Ihr Ziel nicht sehen. Es entfernt die äußerste Verschlüsselungsschicht und leitet die Daten weiter, wobei es nur die Identität des nächsten Knotens kennt.
2. Mittlerer Knoten: Die Anonymisierungsschicht. Dieses Relais weiß weder, woher die Daten ursprünglich kamen, noch wohin sie letztendlich gehen. Es schält einfach eine weitere Verschlüsselungsschicht ab und übergibt an den Ausgangsknoten.
3. Exit Node (Ausgangsrelais): Das letzte Relais. Dieser Knoten entschlüsselt die letzte Schicht und liefert Ihre Anfrage an den Zielserver. Die Website sieht die IP-Adresse des Ausgangsknotens – nicht Ihre. Allerdings kann das Ausgangsrelais selbst unverschlüsselten Datenverkehr sehen, wenn Sie kein HTTPS verwenden, was eine kritische Einschränkung ist, die weiter unten erörtert wird.

Der Tor-Client auf Ihrem Gerät erledigt dies alles automatisch. Bevor Ihre Daten Ihr Gerät verlassen, wurden sie bereits mit den öffentlichen Schlüsseln aller drei Relais nacheinander verschlüsselt. Wie das ITP Networks Lab der NYU erklärt, hält nur Ihr Gerät alle drei Entschlüsselungsschlüssel gleichzeitig – einzelne Relaisbetreiber niemals. Das Ergebnis ist, dass kein einziger Punkt im Netzwerk gleichzeitig Ihre Identität und Ihre Aktivität beobachten kann.

Onion Services: Das versteckte Web innerhalb von Tor

Die Standardnutzung von Tor leitet den Datenverkehr über den Drei-Knoten-Schaltkreis zu regulären Websites – Google, der BBC, Reddit. Aber Tor unterstützt auch ein zweites Modell: Onion Services (früher Hidden Services genannt). Dies sind Server, die ausschließlich innerhalb des Tor-Netzwerks existieren und nur über spezielle .onion-Adressen zugänglich sind. Ihre IP-Adressen werden niemals offengelegt, nicht einmal dem Tor-Netzwerk selbst.

Wenn ein Onion Service eingerichtet wird, registriert er seinen öffentlichen kryptografischen Schlüssel bei einer Reihe von „Einführungspunkten“ innerhalb des Netzwerks. Ein Client, der sich verbinden möchte, schlägt einen „Rendezvous-Punkt“ vor – ein Relais, an dem sich beide Parteien treffen wollen – und der gesamte Austausch findet statt, ohne dass Client oder Server jemals ihren wahren Standort preisgeben. So betreiben The New York Times, The Washington Post und The Guardian ihre SecureDrop-Systeme für Whistleblower-Einreichungen und deshalb funktionieren sie.

Wer nutzt Tor wirklich im Jahr 2026?

Die Kluft zwischen dem Ruf von Tor und seiner tatsächlichen Nutzerbasis ist riesig. Die populäre Vorstellung platziert Tor im Zentrum von Drogenmärkten und Hackerforen. Die Daten erzählen eine andere Geschichte.

Roger Dingledine, Mitbegründer des Tor Project, hat diese Fehlvorstellung auf Sicherheitskonferenzen direkt angesprochen. Auf der DEF CON erklärte er klipp und klar, dass nur etwa 3% der Tor-Nutzer überhaupt Hidden Services nutzen – und davon greift ein erheblicher Teil auf völlig legitime Plattformen zu. Das meistbesuchte Ziel im Tor-Netzwerk war jahrelang kein Drogenmarkt. Es war Facebook, das monatlich von über einer Million Menschen in Ländern wie dem Iran und China genutzt wurde, wo das soziale Netzwerk blockiert ist.

Das tatsächliche Tor-Benutzerprofil im Jahr 2026 sieht ungefähr so aus:

• Journalisten und Quellen: Organisationen wie The New York Times, The Guardian und Der Spiegel betreiben SecureDrop-Portale über .onion-Adressen, um Whistleblower zu schützen.
• Aktivisten und Dissidenten: Die Tor-Nutzung stieg im Iran nach den Protesten von 2022 und 2026 stark an. Bürger in Russland, China und Belarus nutzen es, um zensierte Nachrichten abzurufen und sich zu organisieren.
• Cybersicherheitsexperten: Forscher nutzen Tor, um Bedrohungsanalysen durchzuführen, ohne Ziele zu alarmieren.
• Datenschutzbewusste Alltagsnutzer: Menschen, die einfach nicht möchten, dass ihr ISP, Arbeitgeber oder Werbenetzwerke ihr Browsing verfolgen. Keine illegale Absicht erforderlich.
• Strafverfolgungsbehörden: Geheimdienste nutzen Tor, um Ziele zu überwachen, ohne Regierungs-IP-Adressen preiszugeben – dasselbe Anonymisierungswerkzeug, das auch von denen verwendet wird, die sie verfolgen.

Nach meiner Erfahrung bei der Durchführung von Threat-Intelligence-Recherchen ist Tor weniger ein Zugang zu kriminellen Aktivitäten als vielmehr eine strukturierte Unannehmlichkeit, die die überwiegende Mehrheit seiner Nutzer im Austausch für echte Privatsphäre in Kauf nimmt. Ich habe miterlebt, wie Kollegen VPNs aufgegeben haben, nachdem sie festgestellt hatten, dass viele den Traffic unabhängig von ihren Richtlinien protokollieren. Bei Tor bedeutet das verteilte Vertrauensmodell, dass kein einzelner Betreiber ein vollständiges Bild erstellen kann. Wenn ich für akademische Zwecke Aktivitäten durch das Netzwerk verfolgt habe, dienen die ständigen Änderungen der Schaltungen, die Latenz und der Verschlüsselungs-Overhead als ständige Erinnerung daran, dass dieses System mit Paranoia als Designziel entwickelt wurde – und genau das ist für die Menschen, die es am dringendsten benötigen, der Punkt.

Das Darknet: Was es ist und was es nicht ist

Die Terminologie ist hier wichtig. Drei Begriffe werden ständig verwechselt – und jeder bedeutet etwas Eigenes.

Das Tor-Netzwerk hostet über 65.000 einzigartige .onion-Adressen, laut von SQ Magazine zitierten Tor Metrics Daten. Davon beherbergen Studien zufolge etwa 55 % legale Inhalte. Das lässt immer noch einen signifikanten Prozentsatz übrig – Drogenmärkte, gestohlene Zugangsdatenbörsen, extremistische Foren –, die Tor seinen dunklen Ruf verleihen. Die illegale Aktivität ist real. Die Behauptung, dass sie das Netzwerk definiert, stimmt nicht.

Was oft unerwähnt bleibt, ist, wie effektiv die Strafverfolgungsbehörden Darknet-Märkte durchdrungen haben. Die Operation Onymous im Jahr 2014, die Zerschlagung von AlphaBay und Hansa im Jahr 2017 und zahlreiche nachfolgende Operationen zeigen, dass Tor keine Straflosigkeit garantiert – insbesondere, wenn Nutzer Fehler bei der operativen Sicherheit machen. Tor schützt Ihre IP-Adresse. Es kann Sie nicht davor schützen, sich von einer Tor-Sitzung aus in Ihre persönliche E-Mail einzuloggen oder an einem physischen Briefkasten erwischt zu werden.

"Anonymität ist keine Verschlüsselung. Verschlüsselung zu verwenden ist gut, aber jemand, der Ihren Traffic beobachtet, kann erfahren, mit wem Sie sprechen, wann Sie mit ihnen sprechen, wie viel – und das sind all die interessanten Details."

Wo Tor versagt: Reale Einschränkungen und Risiken

Tor ist mächtig. Es ist nicht unbesiegbar. Die Kenntnis seiner Fehlerquellen ist ebenso wichtig wie das Verständnis seines Designs – besonders wenn Sie sich für echten Schutz darauf verlassen.

Verkehrskorrelationsangriffe

Tors schwerwiegendste theoretische Schwachstelle ist der globale passive Angreifer – eine Entität, die sowohl den Ein- als auch den Ausgang des Tor-Schaltkreises gleichzeitig überwachen kann. Durch die Korrelation von Timing, Größe und Frequenz der Pakete, die das Netzwerk betreten und verlassen, kann ein solcher Angreifer statistisch einen Benutzer mit seinem Ziel verknüpfen, selbst ohne die Verschlüsselung zu brechen. Dies wird vom Tor Project selbst anerkannt. Von Edward Snowden geleakte NSA-Dokumente bestätigten, dass GCHQ Tor als „den König der hochsicheren, latenzarmen Internet-Anonymität“ bezeichnete – aber auch aktive Forschung zur korrelationsbasierten De-Anonymisierung bestätigte.

Risiken bei Exit-Knoten

Der Exit-Knoten entschlüsselt die letzte Verschlüsselungsebene, um den Datenverkehr an sein Ziel zu übermitteln. Jeder, der einen bösartigen Exit-Knoten betreibt, kann unverschlüsselten Datenverkehr lesen. Untersuchungen haben immer wieder betrügerische Exit-Knoten gefunden, die von Geheimdiensten und opportunistischen Angreifern betrieben werden. Akademische Arbeiten, die von Wikipedia zitiert werden, weisen darauf hin, dass der schwedische Forscher Dan Egerstad einst Passwörter von über 100 Botschafts-E-Mail-Konten mithilfe eines kompromittierten Exit-Knotens gesammelt hat.

Browser-Fingerprinting und menschliches Versagen

Tor schützt Ihre IP-Adresse. Es kann Sie nicht davor schützen, sich in ein Konto einzuloggen, das mit Ihrer echten Identität verknüpft ist, Browser-Plugins zu aktivieren oder den Vollbildmodus zu verwenden (was Ihre Bildschirmauflösung offenbart und zum Fingerprinting beiträgt). Die strengen Standardeinstellungen des Tor Browsers existieren aus diesen Gründen – sie zu ändern untergräbt die gesamte Architektur.

Tor vs. VPN: Ein ehrlicher Vergleich

Beide Tools verbergen Ihre IP-Adresse vor Zielwebsites. Darüber hinaus unterscheiden sich ihre Architekturen grundlegend – und die richtige Wahl hängt vollständig von Ihrem Bedrohungsmodell ab.

Der Hauptunterschied: Ein VPN konzentriert das Vertrauen auf eine einzige Entität. Tor verteilt es auf Tausende von Freiwilligen, die Sie niemals identifizieren werden. Für Anonymität mit hohen Risiken – zum Beispiel für Journalisten, die mit Quellen unter autoritären Regierungen kommunizieren – bietet Tors Architektur Schutz, den ein VPN strukturell nicht leisten kann. Für alltägliche Nutzer, die Geschwindigkeit wünschen und einfach nur möchten, dass ihr ISP das Protokollieren ihrer Browsing-Aktivitäten einstellt, ist ein seriöses No-Log-VPN oft die praktischere Wahl.

Das große Ganze

Tor ist kein Werkzeug des Bösewichts. Es ist eine Infrastruktur – wie verschlüsselte E-Mails oder HTTPS –, die von Natur aus neutral und gerade deshalb wertvoll ist, weil sie für alle gleichermaßen funktioniert. Der iranische Dissident, der investigative Journalist, die Datenwissenschaftlerin, die nicht möchte, dass Google ihre Forschung profiliert, und ja, der Kriminelle auf einem Darknet-Markt teilen alle dasselbe Netzwerk. Das ist kein Fehler. Wie Dingledine seit Jahrzehnten argumentiert, würde ein Netzwerk, das nur von Kriminellen genutzt wird, alle seine Nutzer sofort als Kriminelle identifizieren.

Was Tor technisch und philosophisch darstellt, ist die Weigerung, Überwachung als Standardzustand des Internets zu akzeptieren. Fast 30 Jahre nachdem drei Marineforscher eine einfache Frage zur Kommunikationsprivatsphäre gestellt haben, treibt diese Weigerung immer noch täglich 2 Millionen anonyme Verbindungen an. Die Zwiebel wächst weiter.