Totale Unsichtbarkeit: Die Wahrheit über das Tor-Netzwerk

7 Wunder des Cyberspace Eintrag #3

Jeder Klick, den Sie online machen, hinterlässt eine Spur. Ihr ISP protokolliert ihn. Werbenetzwerke zeichnen ihn auf. Überwachungsprogramme der Regierung katalogisieren ihn. Das Tor-Netzwerk – formell bekannt als The Onion Router – wurde entwickelt, um diese Spur unsichtbar zu machen. Was als klassifiziertes Forschungsprojekt der US-Marine Mitte der 1990er Jahre begann, hat sich zum weltweit meistgenutzten anonymen Kommunikationsnetzwerk entwickelt, mit fast 2 Millionen täglichen Benutzern, die ihren Datenverkehr durch ein Labyrinth von ehrenamtlich betriebenen Servern leiten, um aus der digitalen Aufzeichnung zu verschwinden. Aber Tor hat einen so finsteren wie missverstandenen Ruf. Ist es ein Rettungsanker für Dissidenten, Journalisten und Whistleblower – oder ein krimineller Untergrund? Die Antwort, wie das Netzwerk selbst, hat Schichten.

Geboren in einem Marine-Labor: Die überraschenden Ursprünge von Tor

Hier ist eine Tatsache, die die Annahmen der meisten Menschen durcheinanderbringt: Das mächtigste Datenschutztool im Internet wurde von der Regierung der Vereinigten Staaten erfunden, um ihre eigenen Geheimdienstoperationen zu schützen.

Im Jahr 1995 standen drei Forscher am U.S. Naval Research Laboratory – der Mathematiker Paul Syverson und die Computerwissenschaftler Michael Reed und David Goldschlag – vor einem grundlegenden Problem. Geheimagenten, die online kommunizierten, hinterließen Spuren. Selbst verschlüsselter Datenverkehr konnte durch Traffic-Analyse zum Ursprung zurückverfolgt werden: Beobachten Sie, wer mit wem wann verbunden ist und wie viele Daten fließen, und Sie können ein Spionagenetzwerk kartieren, ohne ein einziges Byte zu lesen.

Ihre Lösung bestand darin, die Kommunikation über eine Kette von Vermittlungscomputern zu leiten, wobei jeder nur die Identität seiner Nachbarn kannte – niemals den gesamten Pfad. Sie nannten diese Technik Zwiebel-Routing, weil Daten in konzentrischen Verschlüsselungsschichten wie die Schale einer Zwiebel verpackt würden. Der eigene historische Bericht des Tor-Projekts bestätigt, dass die ersten Prototypen Ende der 1990er Jahre eingesetzt wurden, zunächst auf Sun Solaris-Maschinen.

Das Projekt wurde 2002 öffentlich zugänglich, als die MIT-Absolventen Roger Dingledine und Nick Mathewson sich Syverson anschlossen, um das zu entwickeln, was sie formell Tor – The Onion Routing – nannten. 2004 veröffentlichte das Naval Research Laboratory den Code unter einer freien Lizenz. 2006 gründeten Dingledine, Mathewson und fünf weitere Personen offiziell The Tor Project als 501(c)(3)-Non-Profit-Organisation mit Sitz in Massachusetts.

Die frühen Geldgeber des Projekts waren eine ungewöhnliche Mischung: Das US-Außenministerium, die Electronic Frontier Foundation, Human Rights Watch, Google und die University of Cambridge trugen alle dazu bei. Wie Dingledine selbst auf einer frühen Datenschutzkonferenz erklärte: Der Titel seines Vortrags war "Was haben die EFF und das Verteidigungsministerium gemeinsam?" – und die Antwort war, dass beide Tor finanzierten. Diese Koalition, so argumentierte er, sei der springende Punkt. Ein Anonymitätsnetzwerk schützt Einzelpersonen nur, wenn seine Nutzerbasis so vielfältig ist, dass niemand erraten kann, warum eine bestimmte Person es verwendet.

Wie Zwiebel-Routing tatsächlich funktioniert

Die Metapher ist gerade deshalb wirkungsvoll, weil sie zutreffend ist. Wenn Sie eine Nachricht durch Tor senden, wird diese Nachricht in drei unabhängige Schichten von Verschlüsselung verpackt – eine für jeden Relay-Knoten, den Ihre Daten passieren werden. Stellen Sie es sich so vor, als ob Sie einen Brief in drei Umschläge versiegeln würden, wobei jeder Umschlag nur an die nächste Poststation in der Kette adressiert ist. Niemand bei einer einzigen Poststation kann sowohl sehen, wo der Brief seinen Ursprung hatte, als auch, wohin er letztendlich geht.

Der Drei-Knoten-Schaltkreis

Jede Tor-Verbindung läuft über genau drei Relay-Knoten, wobei jeder eine bestimmte Rolle erfüllt:

1. Guard Node (Eingangs-Relay): Die erste Station. Dieses Relay kennt Ihre echte IP-Adresse – aber es kann Ihr Ziel nicht sehen. Es entfernt die äußerste Verschlüsselungsschicht und leitet die Daten weiter, wobei es nur die Identität des nächsten Knotens kennt.
2. Middle Node (Mittlerer Knoten): Die Anonymisierungsschicht. Dieses Relay weiß weder, woher die Daten ursprünglich kamen, noch wohin sie letztendlich gehen. Es schält einfach eine weitere Verschlüsselungsschicht ab und übergibt an den Exit-Knoten.
3. Exit Node (Ausgangs-Relay): Das letzte Relay. Dieser Knoten entschlüsselt die letzte Schicht und liefert Ihre Anfrage an den Zielserver. Die Website sieht die IP-Adresse des Exit-Knotens – nicht Ihre. Der Exit-Knoten selbst kann jedoch unverschlüsselten Datenverkehr sehen, wenn Sie kein HTTPS verwenden, was eine kritische Einschränkung ist, die unten besprochen wird.

Der Tor-Client auf Ihrem Gerät erledigt dies alles automatisch. Bevor Ihre Daten Ihr Gerät verlassen, wurden sie bereits mit den öffentlichen Schlüsseln aller drei Relays nacheinander verschlüsselt. Wie das ITP Networks Lab der NYU erklärt, besitzt nur Ihr Gerät alle drei Entschlüsselungsschlüssel gleichzeitig – einzelne Relay-Betreiber niemals. Das Ergebnis ist, dass kein einziger Punkt im Netzwerk gleichzeitig Ihre Identität und Ihre Aktivität beobachten kann.

Onion Services: Das versteckte Web innerhalb von Tor

Die Standardnutzung von Tor leitet den Datenverkehr zu normalen Websites – Google, BBC, Reddit – über den Drei-Knoten-Schaltkreis. Aber Tor unterstützt auch ein zweites Modell: Onion Services (früher Hidden Services genannt). Dies sind Server, die ausschließlich innerhalb des Tor-Netzwerks existieren und nur über spezielle .onion-Adressen zugänglich sind. Ihre IP-Adressen werden niemals offengelegt, nicht einmal dem Tor-Netzwerk selbst.

Wenn ein Onion Service eingerichtet wird, registriert er seinen öffentlichen kryptografischen Schlüssel bei einer Reihe von „Einführungspunkten“ innerhalb des Netzwerks. Ein Client, der sich verbinden möchte, schlägt einen „Rendezvous-Punkt“ vor – ein Relay, an dem beide Parteien sich treffen – und der gesamte Austausch findet statt, ohne dass der Client oder der Server jemals ihren wahren Standort dem anderen offenbaren. So betreiben The New York Times, The Washington Post und The Guardian ihre SecureDrop Whistleblower-Einreichungssysteme – und warum sie funktionieren.

Wer nutzt Tor wirklich im Jahr 2026?

Die Kluft zwischen Tors Ruf und seiner tatsächlichen Nutzerbasis ist gewaltig. Die populäre Vorstellung verortet Tor im Zentrum von Drogenmärkten und Hackerforen. Die Daten erzählen eine andere Geschichte.

Roger Dingledine, der Mitbegründer des Tor-Projekts, hat diese Fehlwahrnehmung auf Sicherheitskonferenzen direkt angesprochen. Auf der DEF CON erklärte er unmissverständlich, dass nur etwa 3 % der Tor-Nutzer überhaupt mit versteckten Diensten in Verbindung treten – und von diesen greift ein erheblicher Teil auf völlig legitime Plattformen zu. Das meistbesuchte Ziel im Tor-Netzwerk war jahrelang kein Drogenmarkt. Es war Facebook, das monatlich von über einer Million Menschen in Ländern wie Iran und China genutzt wurde, wo das soziale Netzwerk blockiert ist.

Das tatsächliche Tor-Benutzerprofil im Jahr 2026 sieht ungefähr so aus:

• Journalisten und Quellen: Organisationen wie The New York Times, The Guardian und Der Spiegel betreiben SecureDrop-Portale über .onion-Adressen, um Whistleblower zu schützen.
• Aktivisten und Dissidenten: Die Tor-Nutzung stieg im Iran nach den Protesten von 2022 und 2026 stark an. Bürger in Russland, China und Belarus nutzen es, um auf zensierte Nachrichten zuzugreifen und sich zu organisieren.
• Cybersicherheitsexperten: Forscher nutzen Tor, um Bedrohungsanalysen durchzuführen, ohne Ziele zu alarmieren.
• Datenschutzbewusste Alltagsnutzer: Menschen, die einfach nicht möchten, dass ihr ISP, Arbeitgeber oder Werbenetzwerke ihr Surfverhalten verfolgen. Keine illegale Absicht erforderlich.
• Strafverfolgungsbehörden: Geheimdienste nutzen Tor, um Ziele zu überwachen, ohne Regierungs-IP-Adressen preiszugeben – dasselbe Anonymisierungswerkzeug, das auch von denen verwendet wird, die sie verfolgen.

Nach meiner Erfahrung bei der Durchführung von Bedrohungsanalysen ist Tor weniger ein Tor zu kriminellen Aktivitäten als vielmehr eine strukturierte Unannehmlichkeit – eine, die die überwiegende Mehrheit der Nutzer im Austausch für echte Privatsphäre akzeptiert. Ich habe miterlebt, wie Kollegen VPNs aufgegeben haben, nachdem sie festgestellt hatten, dass viele den Datenverkehr unabhängig von ihren Richtlinien protokollieren. Bei Tor bedeutet das verteilte Vertrauensmodell, dass kein einzelner Betreiber ein vollständiges Bild erstellen kann. Wenn ich Aktivitäten durch das Netzwerk zu akademischen Zwecken verfolgt habe, erinnern der Schaltungswechsel, die Latenz und der Verschlüsselungs-Overhead ständig daran, dass dieses System mit Paranoia als Designziel konstruiert wurde – und genau das ist für die Menschen, die es am dringendsten benötigen, der springende Punkt.

Das Dark Web: Was es ist und was es nicht ist

Die Terminologie ist hier wichtig. Drei Begriffe werden ständig verwechselt – und jeder bedeutet etwas Eigenes.

Das Tor-Netzwerk hostet laut Tor Metrics-Daten, die vom SQ Magazine zitiert werden, über 65.000 einzigartige .onion-Adressen. Davon enthalten Studien zufolge etwa 55 % legale Inhalte. Das lässt immer noch einen beträchtlichen Prozentsatz übrig – Drogenmärkte, Börsen für gestohlene Anmeldeinformationen, extremistische Foren –, die Tor seinen schlechten Ruf verleihen. Die illegalen Aktivitäten sind real. Die Behauptung, dass sie das Netzwerk definieren, stimmt nicht.

Was oft unerwähnt bleibt, ist, wie effektiv die Strafverfolgungsbehörden die Dark-Web-Märkte durchdrungen haben. Die Operation Onymous im Jahr 2014, die Zerschlagung von AlphaBay und Hansa im Jahr 2017 und zahlreiche nachfolgende Operationen belegen, dass Tor keine Straffreiheit garantiert – insbesondere wenn Nutzer Fehler bei ihrer operativen Sicherheit machen. Tor schützt Ihre IP-Adresse. Es kann Sie nicht davor schützen, sich von einer Tor-Sitzung aus in Ihre persönliche E-Mail einzuloggen oder an einem physischen Briefkasten erwischt zu werden.

"Anonymität ist keine Verschlüsselung. Die Verwendung von Verschlüsselung ist gut, aber jemand, der Ihren Datenverkehr beobachtet, kann erfahren, mit wem Sie sprechen, wann Sie mit ihnen sprechen, wie viel – und das sind alle interessanten Details."

Wo Tor versagt: Echte Einschränkungen und Risiken

Tor ist mächtig. Es ist nicht unbesiegbar. Das Verständnis seiner Fehlerursachen ist genauso wichtig wie das Verständnis seines Designs – besonders wenn Sie sich auf echten Schutz verlassen.

Traffic-Korrelationsangriffe

Tors schwerwiegendste theoretische Schwäche ist der globale passive Angreifer – eine Entität, die sowohl den Ein- als auch den Ausgang des Tor-Schaltkreises gleichzeitig überwachen kann. Durch die Korrelation des Timings, der Größe und der Frequenz der Pakete, die das Netzwerk betreten und verlassen, kann ein solcher Angreifer statistisch einen Benutzer mit seinem Ziel verknüpfen, selbst ohne die Verschlüsselung zu brechen. Dies wird vom Tor Project selbst anerkannt. Von Edward Snowden geleakte NSA-Dokumente bestätigten, dass GCHQ Tor als "König der hochsicheren Internet-Anonymität mit geringer Latenz" bezeichnete – aber auch aktive Forschung zur korrelationsbasierten De-Anonymisierung bestätigten.

Risiken von Exit-Nodes

Der Exit-Node entschlüsselt die letzte Verschlüsselungsebene, um den Datenverkehr an sein Ziel zu übermitteln. Jeder, der einen bösartigen Exit-Node betreibt, kann unverschlüsselten Datenverkehr lesen. Studien haben immer wieder festgestellt, dass bösartige Exit-Nodes von Geheimdiensten und opportunistischen Angreifern betrieben werden. Akademische Arbeiten, die von Wikipedia zitiert werden, belegen, dass der schwedische Forscher Dan Egerstad einst Passwörter von über 100 E-Mail-Konten von Botschaften gesammelt hat, indem er einen kompromittierten Exit-Node nutzte.

Browser-Fingerprinting und menschliches Versagen

Tor schützt Ihre IP. Es kann Sie nicht davor schützen, sich in ein mit Ihrer echten Identität verknüpftes Konto einzuloggen, Browser-Plugins zu aktivieren oder den Vollbildmodus zu verwenden (was Ihre Bildschirmauflösung preisgibt und zum Fingerprinting beiträgt). Die strengen Standardeinstellungen des Tor-Browsers existieren aus diesen Gründen – sie zu ändern, untergräbt die gesamte Architektur.

Tor vs. VPN: Ein ehrlicher Vergleich

Beide Tools verschleiern Ihre IP-Adresse vor Ziel-Websites. Darüber hinaus unterscheiden sich ihre Architekturen grundlegend – und die richtige Wahl hängt ausschließlich von Ihrem Bedrohungsmodell ab.

Der Hauptunterschied: Ein VPN konzentriert das Vertrauen in einer einzigen Entität. Tor verteilt es auf Tausende von Freiwilligen, die Sie niemals identifizieren werden. Für Anonymität mit hohen Einsätzen – beispielsweise Journalisten, die mit Quellen unter autoritären Regierungen kommunizieren – bietet Tors Architektur Schutz, den ein VPN strukturell nicht erreichen kann. Für alltägliche Nutzer, die Geschwindigkeit wünschen und einfach möchten, dass ihr ISP das Protokollieren ihres Surfverhaltens einstellt, ist ein seriöses No-Log-VPN oft die praktischere Wahl.

Das größere Bild

Tor ist kein Werkzeug des Bösewichts. Es ist Infrastruktur – wie verschlüsselte E-Mails oder HTTPS – die von Natur aus neutral und gerade deshalb wertvoll ist, weil sie für alle gleichermaßen funktioniert. Der iranische Dissident, der investigativer Journalist, die Datenwissenschaftlerin, die nicht möchte, dass Google ihre Forschung profiliert, und ja, der Kriminelle auf einem Darknet-Markt teilen alle dasselbe Netzwerk. Das ist kein Fehler. Wie Dingledine seit Jahrzehnten argumentiert, würde ein Netzwerk, das nur von Kriminellen genutzt wird, alle seine Nutzer sofort als Kriminelle identifizieren.

Was Tor technisch und philosophisch darstellt, ist eine Weigerung zu akzeptieren, dass Überwachung der Standardzustand des Internets ist. Fast 30 Jahre nachdem drei Marine-Forscher eine einfache Frage zur Kommunikationsprivatsphäre gestellt haben, treibt diese Weigerung immer noch täglich 2 Millionen anonyme Verbindungen an. Die Zwiebel wächst weiter.