Darknet erklärt: Wie Tor funktioniert – und warum ich es heute kaum nutze

Eine Doku und eine ziemlich praktische Frage

Katharina schaute eine Dokumentation des öffentlich-rechtlichen Rundfunks über das Darknet. Bei mir blieb eine andere Frage hängen als das übliche Bild vom geheimnisvollen Untergrund: Gibt es dort heute eigentlich noch etwas, das ich wirklich brauche?

Ich habe Tor Browser ausprobiert, mich mit Onion-Diensten und Routing beschäftigt und mit OnionShare experimentiert. Wallets, Blockchain und lokales Mining gehörten ebenfalls zu meinen technischen Ausflügen. Silk Road und die Geschichte der Marktplätze sind mir bekannt. Dafür brauche ich weder eine Kapuze noch eine grüne Schrift auf schwarzem Hintergrund. Ein Terminal habe ich ohnehin.

Die Architektur interessiert mich bis heute. Der konkrete Alltagsnutzen ist für mich deutlich kleiner geworden. Das ist eine persönliche Beobachtung aus meinem Linux- und Heimserver-Alltag, keine Bewertung der Bedürfnisse von Journalisten, Quellen oder Menschen unter Überwachung.

Surface Web, Deep Web, Darknet: drei verschiedene Begriffe

Das Surface Web ist der öffentlich erreichbare, von Suchmaschinen auffindbare Teil des Webs. Nicht jede öffentliche Seite wird tatsächlich indexiert. Zum Deep Web zählt Inhalt, der in normalen Suchindizes nicht auftaucht: dein Postfach, ein angemeldetes Kundenportal oder eine interne Datenbank. Die meisten von uns sind dort täglich unterwegs, ohne einen geheimen Club zu betreten.

Ein Darknet bezeichnet ein Netzwerk mit besonderen Zugangsbedingungen, etwa spezieller Software oder gezielt zugelassenen Teilnehmern. Bei vielen solchen Netzen geht es um Privatsphäre und Anonymität. Die darüber erreichbaren Webangebote werden oft als Dark Web bezeichnet. Die Begriffe werden im Alltag vermischt; technisch lohnt sich die Trennung.

Tor, ursprünglich „The Onion Router“, ist ein konkretes System. Das Tor-Netzwerk besteht aus Relays. Die Tor-Software baut Verbindungen durch dieses Netz auf. Tor Browser kombiniert das mit einem für Privatsphäre angepassten Browser. Onion-Dienste sind Dienste mit einer .onion-Adresse innerhalb dieses Systems. Tor ist weder jedes Darknet noch ausschließlich ein Browser für Onion-Seiten.

Du kannst mit Tor Browser eine gewöhnliche HTTPS-Website besuchen. Dann geht die Verbindung über einen Exit ins normale Internet. Bei einem Onion-Dienst bleiben die Verbindungswege im Tor-Netz. Das sind zwei unterschiedliche Fälle, und genau die zeigt die Grafik weiter unten.

Vom ARPANET zu Overlays und Turtle F2F

Das ARPANET verband 1969 seine ersten Rechner und war ein wichtiges frühes paketvermitteltes Netz. Die Internetgeschichte der Internet Society beschreibt den Weg von diesen Forschungsnetzen zum Verbund unabhängiger Netze mit TCP/IP; 1983 erfolgte die ARPANET-Umstellung auf TCP/IP. ARPANET war kein Anonymitätsnetz. Vernetzung und das Teilen von Rechenressourcen standen im Mittelpunkt.

Ein Overlay legt eine zusätzliche logische Netzstruktur auf bestehende Verbindungen. Seine Teilnehmer verwenden weiterhin die darunterliegende Infrastruktur, wählen aber eigene Wege und Regeln. Eine normale Client-Server-Verbindung führt zum Zielserver. Tor schaltet Relays dazwischen und verteilt Wissen über die Verbindung. Ein Friend-to-Friend-Modell organisiert unmittelbare Nachbarschaften dagegen über vorher bestehende Beziehungen.

Onion Routing entstand Mitte der 1990er am US Naval Research Laboratory. Das Tor Project datiert die erste öffentliche Tor-Bereitstellung auf 2002; das Tor-Designpapier von 2004 dokumentiert den Ansatz und seine Grenzen. Die offizielle Tor-Geschichte erklärt diesen eigenen Entwicklungsweg.

Turtle F2F ist eine andere, interessante Forschungsrichtung. In „Turtle: Safe and Private Data Sharing“ (USENIX, 2005) beschreiben die Autoren ein Peer-to-Peer-System, das auf bereits bestehenden Vertrauensbeziehungen aufbaut. Daten laufen über Freunde und deren Nachbarn, statt dass jeder beliebige Teilnehmer direkt angesprochen wird. Das ist ein historisches Forschungsbeispiel, kein heutiger Ersatz für Tor Browser. Tor entstand nicht aus Turtle.

Wie funktioniert Tor bei einer normalen Website?

Der Tor-Client verwendet signierte Informationen über das Netzwerk, wählt geeignete Relays und baut einen Circuit schrittweise auf. Für normales Web-Browsing zeigt das vereinfachte Modell drei Relays: Guard, Middle, Exit. Dabei werden Schlüssel mit den einzelnen Relays ausgehandelt. Ein Circuit ist ein logischer Weg, keine neue physische Leitung.

Der Client verpackt Daten in mehrere Verschlüsselungsschichten. Beim Hinweg entfernt jedes Relay seine Schicht und reicht weiter. Das Guard-Relay kennt die ankommende IP-Adresse und den nächsten Hop. Das Middle-Relay kennt seine Nachbarn. Der Exit stellt die Verbindung zur öffentlichen Website her und kennt das Ziel. Kein einzelnes Relay bekommt durch dieses normale Protokoll allein zugleich die ursprüngliche Client-IP und das gesamte Zielwissen.

Guards werden bewusst länger verwendet. Immer wieder einen völlig neuen Einstieg zu wählen, würde mit der Zeit die Chance erhöhen, an einen von einem Angreifer kontrollierten Einstieg zu geraten. Details stehen in den Tor-Erklärungen zu Entry Guards und den Regeln zur Pfadauswahl.

Tor ersetzt HTTPS nicht. Die Tor-Verschlüsselung des normalen Web-Circuits endet am Exit. HTTPS schützt den Inhalt zusätzlich zwischen Browser und Website. Ein Exit kann das Verbindungsziel und Metadaten sehen, aber korrekt geschützte HTTPS-Inhalte nicht einfach mitlesen. Unverschlüsseltes HTTP kann er dagegen lesen und manipulieren. Die Website selbst sieht den Inhalt ihrer Sitzung und die Exit-IP. Ein Login kann ihr trotzdem deinen Namen verraten. Tor und HTTPS erfüllen verschiedene Aufgaben.

Onion-Dienste: Einführung, Rendezvous und kein Exit

Ein Onion-Dienst veröffentlicht einen signierten Descriptor mit Angaben für die Kontaktaufnahme über Introduction Points. Der Client ruft ihn über Tor ab und prüft ihn im Kontext der Onion-Adresse. Diese ist mit der kryptografischen Dienstidentität verknüpft, keine gewöhnliche DNS-Auflösung einer öffentlichen Server-IP.

Der Client richtet einen Circuit zu einem selbst gewählten Rendezvous-Relay ein. Über einen separaten Circuit zu einem Introduction Point lässt er dem Dienst die Rendezvous-Informationen zukommen. Der Dienst verbindet sich ebenfalls über Tor zum Treffpunkt. Ein Handshake ermöglicht die Ende-zu-Ende-geschützte Sitzung.

Das Rendezvous-Relay verbindet die beiden Circuits und reicht verschlüsselte Daten weiter. Es ist kein Exit und öffnet keine direkte öffentliche Verbindung zum versteckten Webserver. Die Grafik zeigt den Datenweg nach dem Aufbau; Descriptors und Introduction Points gehören zur vorherigen Kontaktvermittlung. Die Übersicht des Tor Projects und die Rendezvous-Spezifikation beschreiben die Schritte genauer.

Für gewöhnliche anonymisierte Onion-Dienste zeigt die Tor-Übersicht insgesamt sechs Relays: drei vom Client gewählt, darunter der Rendezvous-Punkt, und drei vom Dienst gewählt. Sonderkonfigurationen existieren; die Grafik bildet das übliche Lernmodell ab. Die kryptografische Adresse bestätigt den Dienstschlüssel, nicht die Ehrlichkeit des Betreibers. Eine Phishing-Seite kann eine eigene, technisch gültige Onion-Adresse haben.

Wofür Tor tatsächlich nützlich ist

Ein besonders brauchbarer Einsatz ist die Trennung einer Recherche von der eigenen Anschluss-IP: sensible Gesundheitsfragen, politische Themen oder Informationen, die im eigenen Netzwerk blockiert sind. Dazu kommen Kommunikation mit Quellen, unabhängiger Informationszugang und das Verbergen bestimmter Kommunikationsbeziehungen vor lokalen Beobachtern. Welche Schutzwirkung gebraucht wird, hängt vom Gegner und seinen Möglichkeiten ab.

Bei vertraulicher Recherche kann schon die Tatsache eines Kontakts sensibel sein. Verschlüsselte Inhalte allein verbergen diese Metadaten nicht. Tor verteilt das Wissen über den Weg und kann deshalb mehr leisten als eine gewöhnliche verschlüsselte Direktverbindung. Es beseitigt aber nicht jede Form von Metadatenanalyse.

OnionShare nutzt Onion-Dienste für Aufgaben wie das Teilen von Dateien. Das war für mich ein guter Weg, die Architektur praktisch kennenzulernen. Es setzt keinen öffentlichen Upload bei einem klassischen Cloud-Anbieter voraus; Empfänger, Dateien und Endgeräte bleiben trotzdem Teil der Vertrauensfrage. Das Tor Project erläutert OnionShare als Werkzeug im Ökosystem.

Und ja: Lernen ist ein legitimer Zweck. Einen Circuit zu verstehen oder einen lokalen Dienst erreichbar zu machen, ist interessante Netzwerktechnik. In meinem Alltag ist das meist Neugier. Für andere kann die gleiche Technik wesentlich stärkere persönliche Konsequenzen haben.

Pressefreiheit und Whistleblower: ein geschützter Weg zur Redaktion

Eine Redaktion betreibt einen vertraulichen Eingang, damit Menschen Hinweise geben können, ohne schon beim ersten Kontakt ihre Identität offenzulegen. SecureDrop wird von der Freedom of the Press Foundation betreut und nutzt Onion-Dienste für diesen Zweck. Die New York Times ist im offiziellen SecureDrop-Verzeichnis aufgeführt. Auch andere Nachrichtenorganisationen sind dort zu finden.

Eine Onion-Website zum Lesen und ein System zur vertraulichen Dokumentenabgabe erfüllen unterschiedliche Aufgaben. Die erste stellt Inhalte bereit. SecureDrop ist ein auf Quellenkontakt ausgelegtes System mit einem eigenen Arbeitsablauf für die Redaktion. Dass beides Tor verwendet, macht es nicht austauschbar.

Die SecureDrop-Hinweise vor einer Einsendung erklären, warum Routing allein nicht genügt. Arbeitsgeräte und überwachte Netze, verräterische Dokumentenmetadaten, der Inhalt eines Hinweises oder Wissen über den Kreis möglicher Quellen können entscheidend sein. Eine Redaktion kann die Identität auch aus dem Material selbst erfahren. Tor garantiert keine sichere Offenlegung unter allen Umständen.

Anonymität ist hier keine verdächtige Eigenschaft. Sie kann eine Voraussetzung dafür sein, Missstände überhaupt öffentlich zu machen. Wer an einem solchen Kontakt interessiert ist, sollte die aktuelle Anleitung der konkreten Redaktion und die offiziellen SecureDrop-Hinweise lesen. Dieser Artikel erklärt die Technik und ersetzt deren Sicherheitsablauf nicht.

Nicht jeder hat ein offenes und verlässliches Internet

Mein eigener Internetzugang lässt sich nicht auf alle anderen übertragen. Zugang kann durch staatliche Sperren, DNS-Eingriffe, Überwachung, Ausfälle, schlechte Infrastruktur, Kosten oder Einschränkungen internationaler Dienste begrenzt sein. Ein nicht erreichbares Angebot verrät für sich genommen noch nicht die Ursache.

Historische OONI-Messungen im Iran und in kubanischen ParkNets dokumentieren konkrete Zensurbeobachtungen mit jeweils begrenzter zeitlicher und räumlicher Abdeckung. Für Nordkorea beschreibt eine UN-Stellungnahme von 2019 den streng kontrollierten Informationszugang und die Trennung von Intranet und globalem Internet. Das sind unterschiedliche Ausgangslagen, keine austauschbaren Länderbeispiele und keine Echtzeitdiagnose für Oktober 2026.

In meinem Iran DNS Behavior Observer geht es um beobachtetes DNS-Verhalten. Unvollständige Interpretationen oder Platzhalter müssen als solche gelesen werden. Eine DNS-Auffälligkeit ist noch kein Beweis für staatliche Manipulation. North Korea Connectivity betrachtet eine begrenzte Messbasis; Probe-Zahlen belegen weder erfolgreiche Erreichbarkeit noch Internetzugang für die Bevölkerung.

Der Cuba Internet Weather Observer zeigt ausgewählte Netzindikatoren. Latenzen an verfügbaren Messpunkten beschreiben weder die landesweite Verbindungsqualität noch automatisch Regierungseingriffe. Alle drei Seiten sind verwandte technische Beobachtungen. Sie messen nicht direkt die Verfügbarkeit von Tor.

Tor kann manche Sperren umgehen, wenn ein nutzbarer Weg zum Netzwerk vorhanden ist. Bridges und austauschbare Transportverfahren helfen bei blockierten direkten Verbindungen. Aber Tor baut weder ein fehlendes Mobilfunknetz noch eine ausgefallene Seekabelverbindung. Ohne irgendeinen funktionierenden Netzpfad kommt auch ein Overlay nicht weiter. Ob die Nutzung vor Ort möglich und sicher ist, lässt sich nicht aus einer Karte oder der Nähe zu einer Grenze ableiten.

Wie anonym ist Tor wirklich?

Privatsphäre heißt, persönliche Informationen zu begrenzen. Anonymität betrifft die Zuordnung einer Handlung zu einer Person. Pseudonymität bedeutet, unter einem Ersatznamen aufzutreten. Vertraulichkeit schützt Inhalte vor Unbefugten. Netzwerkverschlüsselung ist ein Mittel dafür. Operational Security umfasst die praktischen Entscheidungen, die diese Ziele im konkreten Umfeld erhalten.

Bei korrekter Nutzung verbirgt Tor die ursprüngliche Anschluss-IP gegenüber einer gewöhnlichen Zielwebsite. Das hilft gegen diese bestimmte Identifizierung. Es sagt noch nichts darüber aus, ob der Rechner sauber ist, ob ein Konto deinen Klarnamen trägt oder ob der Text verrät, wer du bist. Eine Bedrohungsanalyse beginnt deshalb mit der Frage: Wer könnte welche Informationen beobachten oder kontrollieren?

Endgeräte und Dateien: Schadsoftware kann vor der Verschlüsselung lesen. Ein Browserfehler kann Schutzmaßnahmen umgehen. Extern geöffnete Dokumente können über andere Programme Verbindungen auslösen. Tor Browser schützt nicht automatisch jede Anwendung des Betriebssystems. Zusätzliche Erweiterungen, unsichere Software und unbedachte Skriptfreigaben können Risiken verändern; die offiziellen Browser-Sicherheitshinweise sind die bessere Grundlage als ein altes Internet-Rezept.

Konten und Verhalten: Wer sich mit einem persönlich identifizierenden Konto anmeldet, zeigt diesem Dienst seine Identität trotz Tor. Wiederverwendete Namen, Schreibstil, Aktivitätszeiten und selbst erzählte Details können Pseudonyme miteinander verbinden. Das ist keine geheimnisvolle Schwäche der Verschlüsselung. Die Information wurde auf einer anderen Ebene geliefert.

Beobachtung und Korrelation: Bei einer direkten Verbindung zu einem bekannten Tor-Guard kann dein Provider gewöhnlich Tor-Nutzung erkennen. Bridges können diese Erkennbarkeit verändern, ohne eine universelle Unsichtbarkeit zu garantieren. Ein Angreifer mit geeigneter Beobachtung an beiden Seiten kann Zeit- und Datenmuster korrelieren. Die Tor-Dokumentation nennt solche Grenzen ausdrücklich. Daraus folgt weder perfekte Sicherheit noch die Behauptung, jeder Nutzer könne jederzeit mühelos identifiziert werden.

Tor reduziert bestimmte Risiken. Es beseitigt nicht jede Möglichkeit, jemanden zu identifizieren. Ein kleiner Betriebsfehler kann ein gut konstruiertes Netzkonzept aushebeln. Für meine technische Spielwiese ist das eine wichtige Erkenntnis. Für eine gefährdete Quelle gehört sie in eine ernsthafte, situationsbezogene Sicherheitsplanung.

Bitcoin: pseudonyme Adressen, öffentlich sichtbare Spuren

Bei Kryptowährungen blieb mir besonders dieser Gedanke hängen: Ein Ersatzname auf einer Zahlung entfernt nicht plötzlich alle Spuren. Spätestens wenn Geld ausgegeben oder getauscht werden soll, kommen oft weitere Informationen hinzu.

Bei Bitcoin sind Transaktionen öffentlich nachvollziehbar. Adressen sind pseudonyme Kennungen, keine Ausweise. Wiederverwendung und Transaktionsgraphen können Zusammenhänge erkennen lassen; externe Daten können Adressen mit Personen verknüpfen. Eine Adresse ist trotzdem nicht automatisch eine kryptografisch bestätigte bürgerliche Identität. Bitcoin.org beschreibt diese Privatsphäregrenzen.

Identitätsprüfungen bei regulierten Börsen und Angaben bei Zahlungsempfängern können zusätzliche Zuordnungen ermöglichen; Anforderungen hängen vom Anbieter und Rechtsraum ab. Nicht jede Graphanalyse beweist dieselbe Sicherheit. Der relevante Punkt bleibt: Bitcoin ist nicht vollständig anonym. Tor kann den Netzwerkweg einer geeigneten Anwendung schützen, ohne die öffentliche Transaktionshistorie der Blockchain zu löschen.

Ein guter Ruf ist mehr als ein Name: die Heiler-Analogie

Mein langjähriger Heiler in WoW Classic hat einen Namen, den andere Spieler kennen. Gute Gruppen laden den Charakter ein, weil sie zuverlässige Heilung mit ihm verbinden. Der Ruf entstand durch wiederholtes Verhalten. Der Personalausweis lag beim Raid nicht neben dem Manatrank.

Würde ein Account verkauft oder übernommen, stünde zunächst derselbe Name über dem Charakter. Nur die Person dahinter wäre eine andere. Der Tank merkt den Unterschied möglicherweise früher als das Namensschild.

Bei stabilen Online-Pseudonymen ist das ähnlich: überprüfbare Arbeit und verlässliches Verhalten können Reputation schaffen. Das beweist nicht automatisch die heutige Kontrolle. Signierte Nachrichten und Schlüsselkontinuität helfen dabei, ersetzen aber weder sichere Schlüssel noch gutes Urteil. Marktplätze wie Silk Road zeigen historisch ebenfalls Ruf- und Treuhandmodelle; Betrug, falsche Angaben, Exit Scams und rechtliche Risiken bleiben Teil dieser Geschichte. Ein Bewertungssystem macht ein Angebot weder legal noch vertrauenswürdig.

Wallets, Raspberry Pi und ein Antminer als Lernprojekt

Ich habe Wallet-Software gebaut, eine eigene experimentelle Kryptowährung erstellt, sie mit einem Antminer geschürft und lokale Mining-Infrastruktur samt Website betrieben. Der Coin hatte keinen nennenswerten Geldwert. Der Wert lag darin, zu verstehen, wie die Komponenten zusammenarbeiten. Das war ein ziemlich geräuschvoller Weg, etwas zu lernen.

Ein öffentliches Stück dieser Zeit ist mein Tutorial „How to install any QT-Wallet on the Raspberry Pi / Pi3B+“ vom 13. Juli 2019. Es behandelt das Installieren und Kompilieren einer Qt-Wallet auf dem Raspberry Pi und verwendet BankSocietyCoin als Beispiel. Daraus folgt nicht, dass BankSocietyCoin mein eigener Experimentalcoin war.

Die alten Befehle, Abhängigkeiten und Paketumgehungen sind ein historischer Einblick, keine aktuelle Empfehlung für den sicheren Umgang mit Geld. Ich würde einen Build von damals heute nicht ungeprüft übernehmen. Kryptowährungen und Tor sind technisch verschiedene Systeme. Verbunden hat sie für mich das Interesse an verteilten Abläufen, Privatsphäre und Netzen.

Warum ich das Darknet heute kaum nutze

Für meine heutigen Fragen komme ich meist über das normale Web schneller ans Ziel. Das Internet Archive hilft bei historischen Dokumenten und Webarchiven. WinWorld ist eine Anlaufstelle für Retro-Software. GitHub liefert Quellcode, ungewöhnliche Projekte und nachvollziehbare Entwicklung. Dazu kommen öffentliche Sicherheitsforschung, Dokumentation und Communities für Networking oder Reverse Engineering.

Die Verfügbarkeit eines alten Programms bedeutet dabei nicht automatisch, dass es frei lizenziert ist oder beliebig weiterverteilt werden darf. Ein Download-Link ist keine Lizenz. Auch normale Websites brauchen Quellenkritik.

Meine Linux-Infrastruktur, gewöhnliche verschlüsselte Verbindungen und bewusst gewählte Privatsphäre-Einstellungen decken die meisten Alltagsaufgaben ab. Wenn ich heute Tor öffne, ist es eher wegen einer konkreten technischen Frage als wegen einer besonderen Sammlung verborgener Schätze. Für jemanden, der einen blockierten Nachrichtendienst erreichen oder eine Quelle schützen muss, kann dieselbe Abwägung anders ausfallen.

Eine faszinierende Architektur mit einem konkreten Zweck

Das Darknet hat kriminelle Angebote und sehr reale Risiken. Es hat ebenso Werkzeuge für Recherche, Quellenkontakt und unabhängigen Zugang zu Informationen. Tor ist eine technisch beeindruckende Antwort auf bestimmte Probleme der Netzbeobachtung, mit klaren Grenzen.

Für mich bleibt vor allem die Architektur spannend: Wie verteilt man Wissen über eine Verbindung so, dass nicht ein einzelner Vermittler alles sieht? Ich muss dafür heute selten Onion-Seiten durchsuchen. Es reicht oft, das System zu verstehen, seine Grenzen ernst zu nehmen und für die konkrete Aufgabe das passende Werkzeug zu wählen. Katharinas Doku hat also doch wieder bei Netzwerktechnik geendet. Überraschend war daran vermutlich nur, wie schnell.

Quellen, historische Einordnung und Bildrechte

Recherchestand: 11. Oktober 2026. Die Länderberichte sind ausdrücklich historische Befunde. Eigene Erfahrungen stammen aus meiner technischen Rückschau; Diagramm und Texte wurden für diesen Artikel erstellt. Es werden keine Wikimedia-Bilder oder fremden Diagramme übernommen. Verlinkte Quellen bleiben Werke ihrer jeweiligen Autoren.

• Tor: network overview
• Tor: entry guards
• Tor and HTTPS
• Tor: correlation and remaining attacks
• Tor: onion-service protocol overview
• Tor: rendezvous protocol specification
• Tor: path-selection constraints
• Tor: project history
• Internet Society: A Brief History of the Internet
• USENIX 2005: Turtle: Safe and Private Data Sharing
• USENIX 2004: Tor: The Second-Generation Onion Router (PDF)
• Tor: bridges and pluggable transports
• Bitcoin.org: Protect your privacy
• SecureDrop: New York Times directory entry
• SecureDrop: Before you submit
• Tor: OnionShare
• Dennis Hilk: Qt wallet on Raspberry Pi (13 July 2019)
• OONI: Iran, measurement findings 2014–2017
• OONI: Cuban ParkNets (2017)
• OHCHR: DPRK end-of-mission statement (2019)
• Tor Browser: security guidance