Tor unter Beobachtung

NoData.ForSale · Artikel · Tor · Anonymität · Überwachung

Recherche und Einordnung · Stand: 31. August 2026

Kurzfassung: Ja, an dem Verdacht ist ein belegbarer Kern. Aus den Snowden-Unterlagen geht hervor, dass die NSA eigene Tor-Knoten betrieb oder Zugriff auf einzelne Knoten hatte. 2014 kompromittierte ein von der US-Regierung finanziertes Forschungsinstitut das Tor-Netz mit eigens betriebenen Relays; die gewonnenen Daten gelangten per Vorladung zum FBI. Deutsche Behörden haben nach starken journalistischen Belegen Tor-Knoten über längere Zeit überwachen lassen und mindestens einen Nutzer durch eine gezielte Timing-Analyse enttarnt. Auf die direkte parlamentarische Frage, ob BND, BfV, MAD, ZITiS oder BKA eigene Relays betreiben, verweigerte die Bundesregierung jede Auskunft aus Gründen des Staatswohls.

Nicht belegt ist dagegen, dass FBI, CIA, NSA, BKA oder Europol heute gemeinsam einen entscheidenden Teil aller Einstiegs- und Ausgangsknoten kontrollieren, Tor generell entschlüsseln können oder jeden beliebigen Nutzer auf Knopfdruck identifizieren. Tor ist nicht „geknackt“. Aber es ist auch kein Tarnumhang gegen einen gezielten, gut finanzierten Gegner, der dich über längere Zeit an mehreren Stellen beobachten kann.

Das Wichtigste zuerst: Welche Behauptung ist wie gut belegt?

Wie Tor dich schützt – und wo dieser Schutz endet

Bei einem normalen Aufruf leitet Tor deine Verbindung typischerweise über drei Knoten:

Du → Einstiegsknoten (Guard) → mittlerer Knoten → Ausgangsknoten (Exit) → Webseite

Die entscheidende Idee lautet: Kein einzelner Knoten soll gleichzeitig wissen, wer du bist und wohin du gehst.

Ein einzelner bösartiger Exit enttarnt dich daher nicht automatisch. Er kann dein Ziel sehen, unverschlüsselten Verkehr lesen oder manipulieren, kennt aber gewöhnlich nicht deine IP. Ein einzelner bösartiger Guard kennt deine IP, aber nicht dein endgültiges Ziel.

Gefährlich wird es, wenn ein Angreifer beide Seiten sieht:

• deinen Verkehr beim Eintritt in Tor und den passenden Verkehr beim Austritt,
• deinen Anschluss und den Guard eines Onion-Dienstes,
• oder einen eigenen Knoten auf der einen Seite und eine Überwachungsmöglichkeit bei Provider, Rechenzentrum, Internetknoten oder Zielserver auf der anderen.

Dann lassen sich Zeitpunkt, Dauer, Richtung und Datenmenge vergleichen. Der Inhalt muss dafür nicht entschlüsselt werden. Wie bei zwei Wasserrohren kann man erkennen, dass am einen Ende nahezu dasselbe Muster hineinläuft, das am anderen Ende wieder herauskommt.

Das Tor Project sagt dazu selbst sehr offen: Tor schützt gut gegen Verkehrsanalyse zur Suche nach einem unbekannten Ziel, aber nicht zuverlässig gegen Verkehrsbestätigung, wenn ein Gegner bereits eine Vermutung hat und die richtigen Stellen beobachten kann. Die Mathematik hinter solchen Korrelationen ist wirksam. Tor ist ein schnelles Netz für interaktives Surfen; es kann Datenpakete nicht minuten- oder stundenlang mischen und verzögern wie ein Hochlatenz-Mixnetz.

Onion-Seiten sind ein anderer Fall

Bei einer .onion-Seite verlässt der Verkehr das Tor-Netz nicht. Es gibt daher keinen Exit-Knoten. Client und Onion-Dienst bauen getrennte Wege zu einem Rendezvous-Punkt auf; gewöhnlich entstehen insgesamt sechs Tor-Hops.

Das ist für die Behördenfrage wichtig: Die deutsche Ricochet-/Boystown-Enttarnung kann nicht mit „kontrollierten Exit-Nodes“ erklärt werden. Exits spielten dabei keine Rolle. Im Mittelpunkt standen vielmehr das Auffinden des Guards beziehungsweise des Eintrittswegs eines Onion-Dienstes, lang laufende Verbindungen, Netflow-Daten und anschließend die Zuordnung beim Internetanbieter.

Was die NSA- und GCHQ-Unterlagen tatsächlich beweisen

Die 2013 veröffentlichten Snowden-Dokumente sind der stärkste öffentliche Beleg dafür, dass ein Nachrichtendienst eigene Tor-Infrastruktur betreibt oder betrieb.

Die NSA beschäftigte sich in der Präsentation „Tor Stinks“ mit mehreren Ansätzen:

• Beobachtung großer Teile des Internet-Backbones,
• Sammlung und Erkennung von Tor-Verkehr,
• Betrieb geheimer eigener Tor-Knoten,
• Beeinflussung oder Umleitung von Datenverkehr,
• und gezielte Angriffe auf verwundbare Browser von Tor-Nutzern.

Das oft unterschlagene Detail steht ebenfalls in den Dokumenten: Die NSA bewertete den Erfolg einer damals untersuchten Kombination aus Kabelüberwachung und eigenen Knoten als vernachlässigbar, weil sie auf zu wenige Tor-Knoten zugreifen konnte. In der internen Präsentation heißt es sinngemäß, man könne niemals alle Tor-Nutzer jederzeit enttarnen; mit manueller Analyse sei lediglich ein sehr kleiner Teil erreichbar.

Erfolgreicher war EGOTISTICALGIRAFFE. Dabei wurde nicht die Onion-Verschlüsselung gebrochen. Die NSA identifizierte interessante Tor-Nutzer über ihre globale Beobachtungsposition und lenkte ausgewählte Browser mithilfe ihrer QUANTUM-/FoxAcid-Infrastruktur auf einen Exploit. Eine Lücke in einer veralteten Firefox-Version konnte anschließend den Rechner kompromittieren.

Das ergibt ein nüchternes Bild:

1. Ja, die NSA hatte Tor-Knoten und sammelte Verkehr.
2. Nein, daraus entstand nach den veröffentlichten Unterlagen keine universelle Enttarnungsmaschine.
3. Der praktischere Weg war der Angriff auf das Endgerät. Wenn dein Browser übernommen wird, hilft die beste Route nichts mehr.

Für GCHQ zeigen die Unterlagen ebenfalls ein starkes Interesse an Tor, die Nutzung gemeinsamer Überwachungsressourcen und Überlegungen zur technischen Beeinflussung. Einen öffentlichen Beleg dafür, dass GCHQ einen entscheidenden Anteil der Guards und Exits kontrollierte, liefern sie nicht.

FBI: Relays, Schadcode und beschlagnahmte Onion-Dienste

Beim FBI müssen drei sehr unterschiedliche Vorgehensweisen getrennt werden.

1. Der CMU-/SEI-Angriff von 2014

Zwischen Januar und Juli 2014 tauchten rund 115 schnelle, zusammengehörige Nicht-Exit-Relays im Tor-Netz auf. Sie stellten zeitweise rund 6,4 Prozent der Guard-Kapazität. Die Relays manipulierten Protokollinformationen, um Tor-Verbindungen wiederzuerkennen. Dadurch konnten Nutzer und Betreiber von Onion-Diensten angegriffen werden.

Später wurde öffentlich, dass das Software Engineering Institute der Carnegie Mellon University die Relays betrieb. Das Forschungsprojekt war vom US-Verteidigungsministerium finanziert. Ein US-Gericht hielt fest, dass die IP-Adresse eines Beschuldigten vom SEI ermittelt worden war und die Strafverfolger die Daten durch eine Vorladung erhielten.

Das Tor Project warf dem FBI später vor, die Forschenden für den Angriff bezahlt zu haben. FBI und CMU widersprachen zumindest der öffentlich genannten Summe von einer Million US-Dollar beziehungsweise bestritten eine solche Zahlung. Sicher belegt ist daher nicht der genaue Geldfluss, sondern:

• Das Institut betrieb die angreifenden Relays.
• Es manipulierte realen Tor-Verkehr.
• Die Forschung war vom US-Verteidigungsministerium finanziert.
• Das FBI erhielt die dabei gewonnenen IP-Daten und verwendete sie in Ermittlungen.

Das ist kein Beweis für „FBI-eigene Exits“. Es ist aber ein klarer Fall, in dem ein mit der US-Regierung verbundenes Institut das Tor-Netz mit eigenen Relays angriff und die Ergebnisse bei der Bundespolizei landeten.

2. Freedom Hosting und Browser-Exploits

2013 übernahm das FBI Infrastruktur des Hosting-Anbieters Freedom Hosting. Ausgelieferter Schadcode nutzte eine Firefox-Lücke, um echte IP-Adressen von Besuchern zu ermitteln. Auch hier wurde nicht die Tor-Route rückwärts verfolgt. Der Browser des Ziels wurde dazu gebracht, Informationen außerhalb des geschützten Tor-Kontexts zu senden.

3. Operation Pacifier / Playpen

2015 beschlagnahmte das FBI den Onion-Dienst Playpen, betrieb ihn für kurze Zeit selbst weiter und setzte mit richterlicher Genehmigung eine „Network Investigative Technique“ ein. Laut US-Justizministerium sandte der Code nach der Anmeldung die echte IP-Adresse und einige Rechnerdaten an einen Regierungsserver.

Das war eine weitreichende und juristisch umstrittene Maßnahme. Technisch zeigt sie jedoch erneut: Die Behörde umging Tor am Endpunkt. Sie musste weder Guards noch Exits beherrschen und auch nicht die Tor-Verschlüsselung brechen.

Deutschland: Überwachte Knoten und eine erfolgreiche Timing-Analyse

Im September 2024 veröffentlichten Panorama und STRG_F Ergebnisse aus Ermittlungsunterlagen zum Boystown-Verfahren. Demnach überwachten deutsche Strafverfolger Tor-Knoten teilweise über Monate oder Jahre. In einem einzigen Verfahren seien vier Maßnahmen erfolgreich gewesen.

Der mutmaßliche Ablauf:

1. Das Ziel verwendete eine alte, inzwischen eingestellte Version des Messengers Ricochet und betrieb beziehungsweise nutzte damit einen Onion-Dienst.
2. Ermittler identifizierten wiederholt Tor-Knoten, über die sich der Dienst mit dem Netz verband.
3. Zeitpunkte und Datenmuster wurden statistisch abgeglichen.
4. Ein Gericht verpflichtete Telefónica, unter den O2-Anschlüssen denjenigen zu bestimmen, der sich zu einem identifizierten Guard verband.
5. Dadurch wurde der Anschluss des Verdächtigen zugeordnet.

Das Tor Project konnte die geheimen Unterlagen nicht selbst prüfen. Nach seiner technischen Bewertung war wahrscheinlich eine Guard-Discovery-Attacke gegen eine alte Ricochet-Version möglich, der die später eingeführten Vanguards-Schutzmechanismen fehlten. Lang laufende und von außen erkennbare Online-/Offline-Muster erleichterten die Netflow-Korrelation.

Die journalistische Recherche ist stark: Mehrere Dokumente lagen vor, der Chaos Computer Club durfte sie prüfen, und verschiedene Personen bestätigten breit angelegte Überwachungsmaßnahmen. Trotzdem bleiben Grenzen:

• BKA und Generalstaatsanwaltschaft wollten die Methode weder bestätigen noch dementieren.
• Die komplette technische Kette wurde nicht veröffentlicht.
• Es ist nicht belegt, dass das BKA die überwachten Relays selbst betrieb. Die Formulierungen deuten eher auf Überwachung von Servern in Rechenzentren und anschließende Provider-Auskunft als auf eine eigene sichtbare BKA-Relay-Flotte.
• Der Fall betraf einen gezielten Angriff auf einen alten Onion-Messenger zwischen 2019 und 2021 – nicht den Nachweis einer beliebigen Enttarnung normaler Tor-Browser-Sitzungen.

Die parlamentarische Frage nach deutschen Behörden-Relays

Bereits 2021 fragte die Bundestagsabgeordnete Anke Domscheit-Berg die Bundesregierung ausdrücklich, ob BND, BfV, MAD, ZITiS oder BKA ähnliche Aktivitäten wie der verdächtige Relay-Akteur KAX17 durchführen, etwa indem sie eigene Relays betreiben.

Die Antwort ist bemerkenswert:

• Zu KAX17 habe die Bundesregierung keine Erkenntnisse.
• ZITiS habe keine operativen Befugnisse.
• Für Polizei, Strafverfolgung und Nachrichtendienste werde die Frage nicht beantwortet.
• Selbst eine als Verschlusssache eingestufte Antwort an die Geheimschutzstelle des Bundestags komme wegen der „erheblichen Brisanz“ der technischen Fähigkeiten nicht in Betracht.

Was lässt sich daraus ableiten? Nicht, dass deutsche Dienste damit den Relay-Betrieb eingestanden hätten. Die Regierung verweigert auch Auskünfte zu Fähigkeiten, die sie nur schützen möchte oder deren Bestätigung Rückschlüsse zulassen würde. Aber ein klares Dementi hätte die Methode nicht offengelegt. Dass selbst dieses ausblieb und die Begründung ausdrücklich auf technische Überwachungsfähigkeiten zielte, macht die Annahme eigener oder kontrollierter Tor-Infrastruktur plausibel. Mehr als ein Indiz ist es öffentlich dennoch nicht.

Schon 2014 bestätigte die Bundesregierung außerdem, dass das BKA über Europol Daten erhalten hatte, die ursprünglich vom FBI im Tor-Netz erhoben worden waren. Der Zollfahndungsdienst erhielt in einem weiteren Verfahren FBI-Informationen zu Geschäften über Tor. Internationale Datenteilung ist somit belegt, auch wenn die damalige technische Erhebungsmethode teilweise unbekannt blieb.

KAX17: Das große Fragezeichen im Tor-Netz

Der unabhängige Relay-Forscher nusenu dokumentierte einen unbekannten Akteur, den er KAX17 nannte. Dieser soll seit mindestens 2017 große Mengen an Relays betrieben haben – überwiegend Guards und mittlere Knoten, in geringerem Umfang auch Exits. In der Spitze wurden mehr als 900 gleichzeitig laufende Relays zugeordnet, verteilt über mehr als 50 autonome Netze.

Nach seinen Berechnungen erreichte KAX17 zeitweise:

• bis zu 16 Prozent Wahrscheinlichkeit als erster Hop,
• bis zu 35 Prozent als mittlerer Hop,
• und einen kleineren, aber vorhandenen Anteil an Exits.

Das Tor Project bestätigte die ungewöhnliche Gruppe, entfernte Hunderte Relays und räumte später offen ein, KAX17 möglicherweise über Jahre nicht ausreichend erkannt zu haben. Es betonte zugleich: Man weiß weder, wer dahinterstand, noch was der Betreiber tatsächlich tat.

Die ungewöhnlich große Präsenz bei Guards und mittleren Knoten spricht gegen gewöhnlichen Exit-Betrug, bei dem etwa unverschlüsselter Verkehr oder Bitcoin-Adressen manipuliert werden. Sie passt technisch zu einem Akteur, der Sichtbarkeit im Netz für Korrelation oder Onion-Service-Angriffe gewinnen möchte. Ein staatlicher Hintergrund wäre angesichts Aufwand und Verteilung denkbar.

Aber: Es gibt keinen Beweis, dass KAX17 zur NSA, zum BND, BKA, FBI oder irgendeiner anderen Behörde gehörte. Wer KAX17 einer bestimmten Regierung zuschreibt, verlässt die belegte Ebene.

Der Fall beweist etwas anderes, das fast ebenso wichtig ist: Ein unbekannter, ressourcenstarker Betreiber konnte über lange Zeit eine erhebliche Zahl von Relays in verschiedenen Positionen platzieren. Genau das Szenario, über das bei „Behördenknoten“ spekuliert wird, ist technisch und organisatorisch also möglich – nur die Identität des konkreten Akteurs bleibt offen.

CIA und Europol: Was häufig verwechselt wird

CIA

Die CIA betreibt seit 2019 eine offizielle Onion-Seite, über die ihre Inhalte erreichbar sind und Menschen Kontakt aufnehmen können. Das ist öffentlich bestätigt. Daraus folgt:

• Die CIA verwendet Tor für eigene Zwecke.
• Sie hält Tor offenbar selbst für nützlich, um Quellen oder Besucher zu schützen.
• Daraus folgt nicht, dass sie Entry- oder Exit-Knoten betreibt.

Ebenso wenig beweist die Entstehungsgeschichte eine Hintertür. Onion Routing wurde am US Naval Research Laboratory entwickelt; Tor erhielt über Jahre Fördermittel verschiedener US-Stellen. Die Geschichte ist öffentlich, der Code ist offen und das Netz wird dezentral von Tausenden unabhängigen Relays getragen. Staatliche Herkunft und Finanzierung sind ein berechtigter Anlass für kritische Prüfung, aber kein technischer Nachweis geheimer Kontrolle.

Europol und europäische Behörden

Europol koordinierte unter anderem 2014 Operation Onymous, bei der zahlreiche Onion-Angebote beschlagnahmt und Personen festgenommen wurden. Wie die Server lokalisiert wurden, wurde nicht vollständig offengelegt. Diskutiert wurden Relay-Angriffe, Serverfehler, klassische Ermittlungsarbeit, Zahlungsanalysen und Informationen aus dem CMU-Angriff. Eine eindeutige öffentliche technische Erklärung existiert bis heute nicht.

Europols Rolle ist häufig koordinierend: Daten, Beschlüsse, Beschlagnahmen und Ermittlungsbeiträge verschiedener nationaler Behörden werden zusammengeführt. Ein Erfolg „von Europol“ beweist deshalb nicht, dass Europol selbst Tor-Relays betrieb.

Für europäische und deutsche Behörden ist eine andere Fähigkeit mindestens ebenso relevant: Sie können mit gerichtlichen Anordnungen Rechenzentren, Hoster, Internetanbieter und Internetknoten zur Datenerhebung verpflichten. Für eine Timing-Analyse müssen sie nicht zwingend Eigentümer der Relays sein. Es reicht, an den entscheidenden Leitungen beobachten zu können und bereits ein eng begrenztes Ziel zu haben.

Der Heise-Podcast „Passwort“: Was er zur Einordnung beiträgt

Die Folge „Löcher in der Zwiebel? Ein Blick auf das Tor-Netzwerk“ vom 13. November 2024 ordnet genau diese Grundfrage ein: Tor steht unter Druck durch verschiedene Angreifer einschließlich Ermittlungsbehörden; technisch versierte und ausreichend finanzierte Gegner können gezielt an Schwachstellen ansetzen und einzelne Nutzer enttarnen.

Die öffentlich zugänglichen Shownotes liefern allerdings nur einen zusätzlichen Link zu Organisationen, die Tor-Relays betreiben. Sie enthalten keinen neuen Primärbeleg für behördliche Relay-Flotten. Als verständliche technische Einordnung ist die Folge trotzdem wertvoll.

In der Folge „Tor-Angriffe, Security-Fails und viel Feedback“ vom 27. November 2024 wird zudem eine damalige Angriffswelle aufgegriffen. Der zugehörige Vorfall bestand aus gefälschten Absender-IP-Adressen: Angreifer ließen Portscans scheinbar von Tor-Relays ausgehen, damit Hoster Beschwerden erhielten und Knoten sperrten. Das Tor Project erklärte, der Vorfall habe keine Auswirkungen auf die Nutzer gehabt. Er zeigt, warum „Tor wurde angegriffen“ nicht automatisch „Tor-Nutzer wurden enttarnt“ bedeutet.

Wie Behörden Tor-Nutzer in der Praxis wirklich finden

Die spektakuläre Erzählung lautet: Eine Behörde kontrolliert Einstieg und Ausgang und verfolgt dich live durch die Zwiebel. Das ist technisch möglich und in Teilformen dokumentiert. In realen Verfahren ist das Vorgehen jedoch meist ein Puzzle aus mehreren Bausteinen:

1. Serverübernahme oder Beschlagnahme
   Die Behörde kontrolliert den Onion-Dienst und kann Besucher gezielt behandeln.

2. Browser- oder Anwendungs-Exploit
   Schadcode bringt dein Endgerät dazu, die echte IP oder andere Kennungen außerhalb von Tor zu senden.

3. Timing- und Volumenkorrelation
   Metadaten an zwei Beobachtungspunkten werden über längere Zeit verglichen.

4. Bösartige oder kontrollierte Relays
   Eigene Guards, HSDir-, Middle- oder Exit-Knoten erhöhen die Chance, an einer relevanten Stelle zu sitzen.

5. Provider- und Rechenzentrumsüberwachung
   Fremde Relays können per gesetzlicher Anordnung überwacht werden. Eigene Knoten sind dafür nicht zwingend nötig.

6. Kryptowährungsanalyse
   Öffentliche Blockchains, Börsenkonten, Auszahlungswege und wiederverwendete Adressen verbinden Pseudonyme mit Personen.

7. Klassische Ermittlungsarbeit
   Informanten, verdeckte Ermittler, Postsendungen, Serverfehler, Hausdurchsuchungen und internationale Rechtshilfe bleiben wirksam.

8. Deine eigenen Fehler
   Anmeldung mit einem bekannten Konto, wiederverwendete Namen, Schreibzeiten, Metadaten in Dateien, dieselben Inhalte außerhalb von Tor oder eine Lieferung an die eigene Adresse können jede Netzwerkanonymität zunichtemachen.

Oft muss eine Behörde Tor nicht mathematisch besiegen. Sie muss nur die eine Stelle finden, an der der Mensch, die Anwendung oder der Server weniger konsequent ist als das Netzwerk.

NoData // Souveränitätscheck

Was Tor sehr gut kann

• Es trennt deine IP wirksam von der Zielseite.
• Es erschwert die flächendeckende Profilbildung durch Websites, Werbenetze und lokale Beobachter erheblich.
• Es umgeht Zensur und ermöglicht geschützte Kommunikation mit Medien, Beratungsstellen oder Menschenrechtsorganisationen.
• Es zwingt mächtige Gegner, gezielter, teurer und riskanter vorzugehen. Die Snowden-Unterlagen zeigen gerade, dass selbst die NSA nicht einfach jeden Tor-Nutzer beliebig enttarnen konnte.

Was Tor nicht verspricht

• Schutz gegen einen Gegner, der beide Enden deiner Verbindung zuverlässig beobachtet.
• Schutz vor einem übernommenen Browser oder Betriebssystem.
• Schutz vor freiwilliger Preisgabe deiner Identität.
• Schutz vor Langzeitkorrelation bei dauerhaft laufenden, charakteristischen Verbindungen.
• Schutz vor allen bösartigen Relays, unbekannten Sicherheitslücken oder Fehlern externer Anwendungen.

Was du daraus praktisch ableiten solltest

• Nutze ausschließlich den offiziellen, aktuellen Tor Browser und installiere Updates sofort.
• Installiere keine zusätzlichen Erweiterungen und verändere die Browserkonfiguration nicht leichtfertig. Eine ungewöhnliche Konfiguration kann dich aus der Masse hervorheben.
• Nutze HTTPS beziehungsweise möglichst die offizielle Onion-Adresse eines Dienstes. Ein Exit kann unverschlüsseltes HTTP lesen und manipulieren.
• Verwende für hohe Risiken die Sicherheitsstufe „Safer“ oder „Safest“ und akzeptiere, dass manche Seiten dann schlechter funktionieren.
• Trenne Identitäten konsequent. Melde dich nicht bei persönlichen Konten an, wenn dein Ziel Anonymität ist.
• Öffne heruntergeladene Dokumente nicht unbedacht außerhalb einer geschützten Umgebung. Aktive Inhalte und externe Ressourcen können direkte Verbindungen herstellen; Dateimetadaten können dich verraten.
• Nutze Tor nicht für BitTorrent. Viele Torrent-Programme umgehen den Proxy oder geben zusätzliche Adressen preis.
• Bridges können verbergen, dass du Tor nutzt, und helfen gegen Sperren. Sie beseitigen aber keine globale Timing-Korrelation.
• Ein VPN vor Tor verschiebt das Vertrauen von deinem Internetanbieter zum VPN-Anbieter. Es macht dich nicht automatisch anonymer und kann bei falscher Einrichtung zusätzliche Spuren schaffen.
• Wenn eine Identifizierung dein Leben, deine Freiheit oder eine Quelle gefährden könnte, reicht „Tor Browser starten“ als Sicherheitskonzept nicht. Dann brauchst du ein konkretes Bedrohungsmodell, getrennte Geräte und Identitäten, ein gehärtetes System wie Tails oder Whonix, sichere physische Abläufe und fachkundige Beratung. Auch diese Maßnahmen verhindern keine allmächtige Ende-zu-Ende-Beobachtung.

Das schonungslose Fazit

Ja, Behörden interessieren sich nicht nur theoretisch für Tor. Sie greifen Nutzer an, überwachen Infrastruktur, beschlagnahmen Onion-Dienste, teilen gewonnene Daten international und haben zumindest historisch eigene oder kontrollierte Knoten eingesetzt. Für die NSA ist der Zugang zu einzelnen Tor-Knoten durch Snowden-Unterlagen belegt. Im FBI-Umfeld ist ein realer Relay-Angriff mit späterer Datenübernahme dokumentiert. Deutsche Strafverfolger haben nach sehr starken Belegen eine gezielte Timing-Analyse erfolgreich bis zum Anschluss eines Verdächtigen geführt. Ob deutsche Dienste selbst Relays betreiben, bleibt geheim; die Bundesregierung verweigerte genau darauf jede Antwort.

Genauso klar ist aber die andere Hälfte: Die Behauptung, Tor sei vollständig von Drei-Buchstaben-Behörden unterwandert und deshalb wertlos, wird von den öffentlichen Belegen nicht getragen. Eine bekannte staatliche Relay-Flotte, die zuverlässig beide Enden eines großen Teils aller Verbindungen kontrolliert, ist nicht nachgewiesen. Für die CIA und Europol existieren dafür gar keine belastbaren öffentlichen Belege. Selbst die NSA-Unterlagen beschrieben damals nur geringe Erfolge durch eigene Knoten und setzten stattdessen auf gezielte Browserangriffe.

Tor verhindert keine Ermittlungen und garantiert keine Unsichtbarkeit. Es verändert die Kosten. Aus gewöhnlichem Mitlesen wird eine aufwendige, zielgerichtete Operation mit mehreren Datenquellen, technischer Ausnutzung oder einem Fehler des Ziels. Gegen Werbetracker, neugierige Websites, lokale Überwachung und breite Datensammlung ist das ein gewaltiger Gewinn. Gegen einen Staat, der dich bereits namentlich sucht, Zugang zu Providern und Rechenzentren besitzt und Zeit sowie Exploits investieren kann, ist es nur eine Schicht deiner Sicherheit.

Die ehrlichste Formulierung lautet deshalb:

Tor macht dich nicht unauffindbar. Tor sorgt dafür, dass man dich nicht billig, beiläufig und massenhaft verfolgen kann. Wer dich gezielt sucht und beide Seiten deiner Kommunikation beobachten oder dein Gerät angreifen kann, hat weiterhin eine Chance.

Think in layers. Trust no single layer. // Denke in Schichten. Vertraue keiner einzelnen Schicht.