Tor verständlich erklärt: Wie Onion-Routing funktioniert und wo es endet

Kurz gesagt: Tor schickt deine Verbindung über mehrere Server von Freiwilligen, die jeweils nur ihren direkten Nachbarn kennen. Dadurch sieht die Website nicht, wer du bist, und dein Internetanbieter nicht, wohin du surfst. Das schützt Journalistinnen, Menschen in Zensurstaaten und alle, die nicht getrackt werden wollen. Tor ist aber kein Tarnumhang: Wer sich mit seinem echten Konto anmeldet, Dateien außerhalb von Tor öffnet oder unverschlüsselte Seiten nutzt, verrät sich selbst. Und in Deutschland ist Tor legal; strafbar ist, was du damit tust.

Dieser Beitrag gehört zu unserer Reihe über Cybercrime und IT-Sicherheit. Er erklärt die Technik so, dass du die folgenden Teile einordnen kannst — und bewusst nicht, wo man im sogenannten Darknet einkauft.

Wie Onion-Routing funktioniert #

Normalerweise geht deine Anfrage vom Rechner über den Internetanbieter direkt zur Website. Beide Seiten kennen sich: Die Website sieht deine IP-Adresse (die Nummer, unter der dein Anschluss im Internet erreichbar ist), dein Anbieter sieht das Ziel.

Tor schiebt üblicherweise drei Stationen dazwischen, sogenannte Relays oder Knoten: einen Eingangsknoten (Guard), einen mittleren Knoten und einen Ausgangsknoten (Exit). Der Tor Browser verpackt deine Daten vorher in mehrere Verschlüsselungsschichten — wie die Schalen einer Zwiebel, daher der Name Onion-Routing. Jeder Knoten entfernt genau eine Schale. Laut Tor Project kennt dabei jeder Knoten nur, von welchem Knoten er Daten bekommt und an welchen er sie weitergibt; der Tor-Client handelt für jede Station eigene Schlüssel ausBelegt. Kein einzelner Knoten sieht also gleichzeitig, wer du bist und was du aufrufst.

Neben normalen Websites gibt es Onion-Dienste mit Adressen, die auf .onion enden. Sie sind nur über Tor erreichbar, und die Verbindung verlässt das Tor-Netz gar nicht erst — es gibt also keinen Ausgangsknoten. Das nutzen zum Beispiel Nachrichtenseiten und Briefkästen für anonyme Hinweise, aber eben auch kriminelle Plattformen.

Nach Angaben des Tor Project nutzen im Schnitt von Januar bis September 2026 zu jedem Zeitpunkt mehr als vier Millionen Menschen das NetzHerstellerangabe.

Was Tor schützt #

• Deine IP-Adresse gegenüber der Website. Die Seite sieht nur die Adresse des Ausgangsknotens.
• Dein Surfziel gegenüber deinem Netz. Wer deinen Anschluss beobachtet — Internetanbieter, WLAN im Café, Arbeitgeber — sieht, dass du Tor nutzt, aber nicht, welche Seiten du aufrufst. Selbst die Tor-Nutzung lässt sich mit sogenannten Bridges (unveröffentlichten Eingangsknoten) verschleiern.
• Gegen Tracking über Browser-Merkmale. Websites erkennen Besucher oft am „Fingerabdruck“ des Browsers: Fenstergröße, Schriften, Sprache, Betriebssystem. Der Tor Browser rundet deshalb die Fenstergröße auf feste Stufen, meldet für alle Windows-Rechner dasselbe System und begrenzt Schriften und Sprachen — mit dem Ziel, Nutzer in möglichst wenige, große Gruppen zu sortieren, nicht jeden identisch zu machenBelegt.

Was Tor nicht schützt #

Der Ausgangsknoten sieht unverschlüsselten Verkehr #

Die Zwiebelschalen schützen nur innerhalb des Tor-Netzes. Am Ausgangsknoten verlässt deine Anfrage das Netz so, wie die Website sie erwartet. Ist die Seite nur per http:// erreichbar, kann der Betreiber dieses Knotens mitlesen und sogar Inhalte verändern. Das ist kein theoretisches Risiko: 2020 entdeckte das Tor Project eine Gruppe bösartiger Ausgangsknoten mit zeitweise rund 23 Prozent der gesamten Exit-Kapazität, die gezielt die Umleitung auf verschlüsseltes HTTPS bei Krypto-Börsen unterdrückten, um Daten abzufangenBelegt. Achte deshalb immer auf https:// und das Schloss in der Adresszeile.

HTTPS hängt am Vertrauen in Zertifizierungsstellen #

Auch HTTPS ist nur so sicher wie die Zertifikate, die es absichern. Diese digitalen Ausweise stellen Zertifizierungsstellen (Certificate Authorities, kurz CA) aus. Genau hier liegt der aktuelle Anlass: Am 23. Oktober 2026 veröffentlichte das Tails-Projekt ein Notfall-Update, das alle Zertifikate der Zertifizierungsstelle eMudhra sperrt, deren Zwischenzertifikate kompromittiert wurden; ein Angreifer — etwa ein Ausgangsknoten, dessen Provider oder eine Regierung — hätte sich damit trotz HTTPS als echte Website ausgeben könnenBelegt. Onion-Seiten sind laut Tails nicht betroffen, und eine Ausnutzung durch Ausgangsknoten war dem Projekt bis dahin nicht bekannt. Die Lehre: Updates für den Tor Browser sind kein Komfort, sondern Teil des Schutzes.

Du selbst bist die größte Schwachstelle #

Die meisten Enttarnungen brauchen keinen Angriff auf Tor, nur einen Bedienfehler. Das Tor Project warnt ausdrücklich: Wer sich irgendwo anmeldet, verrät zwar nicht seinen Ort, aber seine Identität; heruntergeladene Dokumente, die du mit externen Programmen öffnest, können Daten an Tor vorbei nachladen; und BitTorrent über Tor sei unter keinen Umständen sicherBelegt. Zusätzliche Browser-Erweiterungen sind ebenfalls tabu, denn jede Änderung macht deinen Fingerabdruck seltener.

Zeitanalysen bei sehr starken Gegnern #

Tor ist auf geringe Verzögerung gebaut, damit Surfen erträglich bleibt. Das hat einen Preis: Wer sehr viele Knoten beobachtet, kann zeitlich passende Datenpakete am Anfang und am Ende einer Verbindung einander zuordnen. Das Tor Project erklärt selbst, warum Verschlüsselung allein gegen solche Verkehrsanalysen nicht hilft: Quelle, Ziel, Größe und Zeitpunkt der Pakete bleiben sichtbarBelegt. Tor verteilt die Verbindung deshalb auf mehrere Stationen — wer aber Anfang und Ende zugleich beobachten kann, hat trotzdem einen Ansatzpunkt. Nach Berichten über Akten aus dem Boystown-Verfahren nutzten deutsche Ermittler eine solche Zeitanalyse, um den Eingangsknoten eines Verdächtigen einzugrenzen — einen Beweis für seine Schuld liefert so etwas allein nichtBelegt. Das Tor Project ordnete den Fall 2024 so ein: Betroffen war eine veraltete Version des Chatprogramms Ricochet ohne neuere Schutzmechanismen; Nutzer des Tor Browsers könnten weiterhin sicher und anonym surfenHerstellerangabe. Wie solche Ermittlungen ablaufen, ist Thema des nächsten Teils.

Wer Tor legitim nutzt #

Tor ist nicht als Verbrecherwerkzeug entstanden und wird überwiegend auch nicht so genutzt. Das BSI nennt Journalisten, Verfolgte und politisch Oppositionelle als Gruppen, für die die verschlüsselte Struktur wertvoll ist, außerdem die Umgehung von Zensur und den Zugriff auf regional gesperrte InhalteBelegt. Dazu kommen Menschen, die schlicht nicht wollen, dass Werbenetzwerke ihr Surfverhalten mitschneiden, und Unternehmen oder Behörden, die verdeckt recherchieren.

Dieselbe Behörde warnt aber auch: Trotz Tor kann eine Rückverfolgung nicht ausgeschlossen werden, und das Risiko, sich Schadsoftware einzufangen, ist im Darknet höher als im normalen NetzBelegt.

Rechtslage in Deutschland #

Hier gilt eine einfache Trennung — ohne dass dieser Abschnitt eine Rechtsberatung ersetzt:

• Tor nutzen ist erlaubt. Laut BSI ist das bloße Bewegen im Darknet nicht illegal; strafbar werden erst das Konsumieren oder Herunterladen illegaler Inhalte sowie das Kaufen oder Anbieten illegaler Waren und DiensteBelegt.
• Plattformen für Straftaten zu betreiben, ist eigens strafbar. § 127 StGB stellt das Betreiben einer Handelsplattform unter Strafe, deren Zweck darauf ausgerichtet ist, bestimmte rechtswidrige Taten zu ermöglichen oder zu fördern — im Grundfall mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, bei gewerbs- oder bandenmäßigem Handeln mit bis zu zehn JahrenBelegt.
• Ausgangsknoten zu betreiben, ist legal, aber exponiert. Weil Websites die IP-Adresse des Exit-Knotens sehen, landen Beschwerden und manchmal Anfragen von Behörden beim Betreiber.

Tor und dein Homelab #

Wer einen Homeserver betreibt, kann dem Netz etwas zurückgeben — mit Augenmaß. Das Tor Project rät ausdrücklich davon ab, einen Ausgangsknoten von zuhause zu betreiben; für Privatanschlüsse empfiehlt es stattdessen Bridges, die schon ab etwa 1 Mbit/s helfen und kaum Beschwerden auslösenBelegt. Eine Bridge hilft vor allem Menschen in Ländern, die Tor blockieren. Prüfe vorher die Bedingungen deines Internetanbieters und betreibe so etwas getrennt von deinen übrigen Diensten, etwa in einer eigenen VM.

Umgekehrt gilt: Für den Fernzugriff auf deine eigenen Dienste ist Tor das falsche Werkzeug. Ein VPN wie WireGuard oder Tailscale ist schneller und einfacher abzusichern — der Vergleich Tailscale vs. WireGuard hilft bei der Wahl. Und wer vor allem nicht will, dass der Internetanbieter alle DNS-Anfragen mitliest, ist mit einem eigenen Resolver wie Pi-hole mit Unbound oft schon gut bedient.

Was heißt das für dich? #

• Nur den offiziellen Tor Browser nutzen und ihn aktuell halten — das Notfall-Update im Oktober 2026 zeigt, warum.
• Keine Erweiterungen installieren und Fenstergröße, Sprache und Einstellungen nicht verbiegen. Jede Abweichung macht dich wiedererkennbar.
• Immer auf HTTPS achten, besonders bei Logins und Zahlungen.
• Nicht mit dem echten Konto anmelden, wenn du anonym bleiben willst. Tor versteckt deinen Ort, nicht deinen Namen.
• Heruntergeladene Dateien nicht außerhalb von Tor öffnen und keine Tauschbörsen über Tor nutzen.
• Realistische Erwartungen haben: Tor schützt sehr gut gegen Tracking und Zensur, aber nicht zuverlässig gegen einen gut ausgestatteten Gegner, der gezielt nach dir sucht.

Morgen: Warum Betreiber von Darknet-Märkten trotz Tor gefasst werden.