Tor oder VPN: Was ist für Sie sinnvoll?

Tor vs. VPN: Was Sie tatsächlich benötigen

Tor und ein VPN leiten Ihren Netzwerkverkehr über Rechner, die nicht Ihnen gehören. Sie beantworten jedoch unterschiedliche Fragen. Ein VPN (Virtual Private Network) verlagert Ihr Vertrauen von Ihrem Internetanbieter auf ein Unternehmen. Dieses sieht dann Ihre echte Adresse und jedes Ziel, das Sie aufrufen. Tor verteilt dieses Vertrauen auf drei Relays, die von unterschiedlichen Personen betrieben werden. Dadurch weiß kein einzelnes Relay gleichzeitig, wer Sie sind und wohin Sie gehen. Entscheiden Sie anhand der Partei, vor der Sie Ihre Identität oder Aktivitäten verbergen möchten.

Wenn diese Partei das Netzwerk ist, mit dem Sie verbunden sind, ist ein VPN das geeignete Werkzeug. Wenn diese Partei die Website selbst ist oder jemand, der die Herausgabe der Aufzeichnungen eines einzelnen Unternehmens erzwingen kann, ist Tor das geeignete Werkzeug. Der restliche Teil dieses Leitfadens erläutert diese beiden Aussagen im Detail.

Einer Anfrage durch beide Designs folgen

Nehmen Sie eine gewöhnliche Anfrage: Ihr Browser öffnet https://news.example.com. TLS (Transport Layer Security) schützt den Seiteninhalt in beiden Fällen, sodass niemand dazwischen den Artikel mitlesen kann. Der interessante Teil sind die Metadaten: Wer erfährt Ihre IP-Adresse, wer erfährt das Ziel, und wer kann diese beiden Informationen miteinander verknüpfen? Ein Datenschutzwerkzeug trennt diese beiden Informationen voneinander. Ein VPN überträgt sie an einen anderen Betreiber. Tor teilt sie auf.

Was die einzelnen Beteiligten bei der Nutzung eines VPN sehen

Ihr Client verschlüsselt jedes Paket und sendet es an einen Endpunkt. Ab diesem Endpunkt handelt es sich wieder um normalen Netzwerkverkehr.

• Ihr ISP (Internetdienstanbieter) sieht verschlüsselte Pakete zwischen Ihrem Anschluss und der Adresse eines VPN-Servers. Er sieht Datenvolumen und Zeitpunkte. Den Ziel-Hostnamen sieht er nicht, sofern auch DNS-Abfragen (Domain Name System) durch den Tunnel laufen.
• Der VPN-Betreiber sieht auf der einen Seite Ihre echte IP-Adresse und auf der anderen Seite jede Zieladresse, jeweils mit Zeitpunkten und Größen. Beide Seiten dieser Verbindung laufen auf derselben Maschine zusammen.
• Das Ziel sieht die Exit-Adresse des VPN sowie alle identifizierenden Informationen, die Ihr Browser sendet.

Ein VPN sorgt daher nicht für Anonymität. Es verlagert den Beobachter von Ihrem ISP zu Ihrem VPN-Anbieter. Das ist ein tatsächlicher Vorteil, wenn das lokale Netzwerk das Problem darstellt oder wenn Ihr ISP die von ihm erfassten Daten filtert oder weiterverkauft. Gegenüber der besuchten Website bringt das überhaupt keinen Vorteil, weil Ihr Datenverkehr weiterhin als ein Datenstrom von einem Unternehmen eintrifft, das genau weiß, wer Sie sind, und Ihre Zahlungsdaten gespeichert hat.

Das Versprechen „keine Logs“ ist das gesamte Produkt. Es ist zugleich der einzige Teil, den Sie von Ihrer Seite aus nicht prüfen können. Sie können prüfen, ob der Tunnel aktiv ist. Sie können prüfen, ob DNS-Daten durchsickern. Sie können nicht prüfen, was der Betreiber auf die Festplatte schreibt. Das ist der akzeptierte Tausch: ein von Ihnen ausgewähltes Unternehmen, das den vollständigen Überblick besitzt.

Prüfen Sie das Leck, das den Tunnel unbemerkt unwirksam macht:

resolvectl status
curl -s https://ifconfig.me; echo

Die von ifconfig.me ausgegebene Adresse sollte die VPN-Exit-Adresse sein. Die für das Interface mit der Standardroute aufgeführten DNS-Server sollten der Resolver des Tunnels sein. Wenn dort unter 192.168.1.1 weiterhin Ihr lokaler Router aufgeführt ist, verlassen Ihre Namensabfragen die lokale Verbindung im Klartext, weil die Route zu diesem Router direkt im lokalen Netz liegt und spezifischer ist als die Standardroute des Tunnels. Ihr Datenverkehr ist privat, aber Ihre Liste der besuchten Websites ist es nicht. DNS-Abfragen, die einen WireGuard-Tunnel verlassen führt durch die erforderliche Korrektur.

Was die einzelnen Beteiligten bei der Verwendung von Tor sehen

Tor erstellt eine Verbindung aus drei Relays, die aus einer signierten Liste, dem Consensus, ausgewählt werden. Diese Liste wird von einer kleinen Gruppe von Directory Authorities veröffentlicht. Ihr Client verpackt die Daten in Schichten, eine pro Relay. Jedes Relay entfernt eine Schicht, erfährt nur den nächsten Hop und leitet den Rest weiter. Wegen dieser Schichten verfügt niemand in der Verbindung über beide Informationen.

• Ihr ISP sieht verschlüsselten Datenverkehr zu einem Guard-Relay. Die Relay-Adressen sind öffentlich. Daher kann Ihr ISP erkennen, dass Sie Tor verwenden. Er kann jedoch nicht erkennen, welches Ziel Sie erreichen.
• Das Guard-Relay sieht Ihre echte IP-Adresse. Es kann das Ziel nicht sehen, weil der Teil der Nachricht, der die Website angibt, für die nachfolgenden Relays weiterhin verschlüsselt ist.
• Das mittlere Relay sieht auf der einen Seite ein Guard-Relay und auf der anderen Seite ein Exit-Relay. Es sieht weder Sie noch das Ziel. Es verhindert, dass das Guard-Relay und das Exit-Relay direkt miteinander kommunizieren.
• Das Exit-Relay sieht das Ziel und den Datenverkehr, der das Netzwerk verlässt. Es sieht die Adresse des mittleren Relays, nicht Ihre. Bei HTTPS erfährt es den Hostnamen und die Verbindungsmetadaten, nicht den Seiteninhalt.
• Das Ziel sieht die Adresse des Exit-Relays. Diese Adresse steht auf öffentlichen Exit-Listen. Außerdem sieht es alle Informationen, die Ihr Browser übermittelt.

Um Sie mit der Website zu verknüpfen, müssen Guard-Relay und Exit-Relay gleichzeitig zusammenarbeiten. Das ist das Design in einem Satz. Deshalb verwendet Ihr Client dasselbe Guard-Relay mehrere Monate lang, statt bei jedem Start ein neues auszuwählen: Ein ständiger Wechsel des Einstiegs würde einem bösartigen Relay wiederholt die Möglichkeit geben, zu Ihrem Guard-Relay zu werden.

Circuits sind nicht dauerhaft. Neue Verbindungen wechseln ungefähr alle zehn Minuten zu einem neuen Circuit. Ein bereits geöffneter Stream bleibt dagegen auf dem Circuit, auf dem er gestartet wurde. Ein langer Download und ein Tab, den Sie fünfzehn Minuten später öffnen, verlassen das Netzwerk normalerweise über unterschiedliche Exit-Relays.

Installieren Sie es und überprüfen Sie den Pfad:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Das Log sollte Bootstrapped 100% (done): Done erreichen. curl sollte {"IsTor":true,"IP":"..."} mit einer Ihnen unbekannten Adresse ausgeben. Das ist Ihr aktuelles Exit-Relay. Wenn IsTor false ist, lief die Anfrage nicht über den Proxy. Das von Ubuntu bereitgestellte Tor kann gegenüber der aktuellen Version zurückliegen. Das Tor Project veröffentlicht ein eigenes apt-Repository, wenn Sie dem Upstream folgen müssen.

In diesem Befehl steckt eine Falle. --socks5 veranlasst curl, den Hostnamen selbst aufzulösen und die resultierende Adresse anschließend über den Proxy zu senden. Dadurch erfährt Ihr normaler Resolver jeden Namen, den Sie aufrufen. --socks5-hostname sendet den Namen an Tor und lässt ihn vom Exit-Relay auflösen. Derselbe Tunnel, aber ein vollständig anderes Leck. Tor Browser und torsocks machen das korrekt. Bei manuell konfigurierten Programmen ist das häufig nicht der Fall.

Tor überträgt ausschließlich TCP-Streams. UDP kann es nicht übertragen. Daher läuft ping 1.1.1.1 nicht darüber, und ein UDP-basiertes VPN-Protokoll kann nicht darin ausgeführt werden. Ein Programm, das seine Proxy-Einstellung ignoriert, verwendet einfach Ihre normale Route mit Ihrer normalen Adresse. Es gibt keine Warnung. Deshalb wird systemweites Tor mit einem transparenten Proxy auf einem separaten Rechner umgesetzt und nicht mit einer Umgebungsvariablen.

Wohin das Vertrauen tatsächlich geht

Ein VPN konzentriert das Vertrauen. Ein Unternehmen besitzt Ihre Identität, Ihre Abrechnungsdaten und Ihr vollständiges Verkehrsmuster. Ihr Schutz besteht aus dem Versprechen, keine Logs zu speichern. Solange dieses Versprechen gilt, ist das Design übersichtlich, schnell und leicht nachzuvollziehen. Wird dieses Versprechen durch eine Vorladung, einen Sicherheitsvorfall oder eine Lüge gebrochen, versagt das Design vollständig und für Ihren gesamten Datenverkehr auf einmal.

Tor verteilt das Vertrauen. Drei Parteien, die einander größtenteils nicht kennen, besitzen jeweils einen Teil der Informationen. Ein einzelner Teil ist nur wenig wert. Niemand muss ehrlich sein, damit das Design funktioniert. Die Parteien müssen lediglich unabhängig voneinander sein. Dafür bezahlen Sie mit Geschwindigkeit, mit TCP als einzigem Protokoll und mit einem Netzwerk, in dem einige Relays mit Sicherheit von Personen betrieben werden, die Ihren Datenverkehr überwachen möchten. Tor begegnet einem feindseligen Relay damit, dass ein einzelnes Relay niemals ausreicht.

Wenn ein VPN das richtige Werkzeug ist

• Sie vertrauen dem lokalen Netzwerk nicht: im Hotel, am Flughafen, in einem Konferenzraum oder beim Router des Vermieters. Der Betreiber sieht einen verschlüsselten Tunnel und nichts darüber hinaus.
• Sie möchten Ihre eigenen Rechner erreichen oder über eine feste Adresse kommunizieren, die Sie kontrollieren.
• Sie benötigen Geschwindigkeit und UDP: für Videotelefonie, Spiele, große Übertragungen oder Backups.
• Sie möchten eine stabile Adresse, bei der Websites keine zusätzlichen Prüfungen durchführen. Tor-Exit-Knoten sind im gesamten Web blockiert oder lösen CAPTCHA-Prüfungen aus.

Diese Punkte sprechen dafür, ein eigenes VPN auf einem VPS zu betreiben, statt ein Abonnement zu kaufen. Ein WireGuard-Server, den Sie selbst einrichten, stellt einen Tunnel bereit, dessen Protokollierungsrichtlinie in einer Konfigurationsdatei liegt, die Sie selbst verwalten. Wenn Sie denselben Tunnel mit zusätzlicher geräteübergreifender Schlüsselverwaltung nutzen möchten, finden Sie im Vergleich zwischen einfachem WireGuard und Tailscale die relevanten Unterschiede. Jede dieser Lösungen erfüllt die in dieser Liste genannten Aufgaben sehr gut. Keine davon erfüllt die Aufgabe in der nächsten Liste.

Wenn Tor das richtige Werkzeug ist

• Zu Ihren Angreifern gehören die Zielwebsite oder Personen, die von einem einzelnen Unternehmen die Herausgabe von Aufzeichnungen verlangen können.
• Sie lesen oder veröffentlichen etwas, das Ihnen schaden würde, wenn es zu Ihrem Anschluss zurückverfolgt werden könnte.
• Sie möchten einen Onion Service: Der Datenverkehr verlässt das Netzwerk nie, ein Exit-Relay ist nicht beteiligt und die Adresse des Servers bleibt verborgen.
• Sie können mit langsamen Seiten, CAPTCHAs und gelegentlichen 403 Forbidden leben.

Verwenden Sie Tor Browser und nicht Ihren alltäglichen Browser, der auf Port 9050 zeigt. Der Browser ist die Hälfte des Schutzes. Im übernächsten Abschnitt wird erklärt, warum.

Warum ein gemieteter VPS für die Anonymität schlechter ist als ein kommerzielles VPN

Das ist der Punkt, den viele falsch einschätzen. Ein gemieteter VPS ist ein Vertrag, der auf Ihren Namen läuft. Die E-Mail-Adresse bei der Anmeldung, die Zahlungskarte, die Rechnungen und die Support-Tickets liegen zusammen mit dieser IP-Adresse in der Datenbank eines Unternehmens. Niemand muss etwas kompromittieren, um die Adresse mit Ihnen zu verknüpfen. Diese Zuordnung ist bereits dokumentiert, wird aus gewöhnlichen Gründen der Buchhaltung aufbewahrt und ist für jeden verfügbar, der dem Anbieter eine rechtlich wirksame Anfrage stellen kann.

Das zweite Problem ist die gemeinsame Nutzung. Die Exit-Adresse eines kommerziellen VPN wird gleichzeitig von vielen Kunden verwendet. Daher verweist diese Adresse allein nicht auf eine einzelne Person. Die Adresse Ihres VPS gehört dagegen nur Ihnen. Jede von dort ausgehende Anfrage stammt heute und nächsten Monat von Ihnen. Da sich die Adresse nicht ändert, kann ein Zielsystem über Monate hinweg ein Profil erstellen, ganz ohne Cookies.

Das macht ein selbst gehostetes VPN nicht grundsätzlich ungeeignet. Es verschlüsselt Ihren Netzwerkverkehr in einem Netzwerk, das Sie nicht kontrollieren, und ermöglicht den Zugriff auf Ihre eigenen Dienste von überall. Es ist jedoch kein Anonymitätswerkzeug. Es als solches zu verwenden, ist der Fehler. Eine sachliche Übersicht darüber, was Ihr Anbieter auf dem Rechner selbst sehen kann und was nicht, finden Sie unter wie sicher VPS-Hosting wirklich ist.

Was weder Tor noch ein VPN beheben

• Browser-Fingerprinting. User-Agent, Bildschirmgröße, Zeitzone, installierte Schriftarten, Sprache und Canvas-Rendering ergeben zusammen einen Wert, der häufig eindeutig ist und Sie über jede von Ihnen verwendete IP-Adresse hinweg wiedererkennt. Der Tor Browser wirkt dem entgegen, indem er seine Benutzer identisch erscheinen lässt und das Fenster in festen Schritten skaliert. Ihr normaler Browser hinter einem SOCKS-Proxy behält seinen Fingerprint und seine Cookies.
• Anmelden. Sobald Sie sich bei einem Konto anmelden, das Ihren Namen kennt, spielt die Netzwerkschicht keine Rolle mehr. Eine Anmeldung von zu Hause und eine Anmeldung über Tor bei demselben Konto verknüpfen beide Sitzungen.
• Alles, was der Endpunkt ohnehin protokolliert: was Sie eingegeben, gekauft oder gesucht haben.
• Ende-zu-Ende-Korrelation. Wer gleichzeitig Ihre Leitung und den Exit überwacht, kann Zeitpunkte und Paketvolumen abgleichen und beide Enden einander zuordnen. Tor erklärt ausdrücklich, dass es nicht gegen einen Angreifer schützt, der beide Seiten sehen kann.

Können Sie Tor und ein VPN gemeinsam verwenden?

Tor über VPN bedeutet, dass zuerst das VPN die Verbindung herstellt und Tor innerhalb dieser Verbindung ausgeführt wird. Ihr ISP sieht dann nur das VPN, und das Guard-Relay sieht statt Ihrer Adresse die Adresse des VPNs. Damit schalten Sie jedoch ein Unternehmen, das Ihren Namen und Ihre Kartendaten kennt, vor ein System, das genau dies vermeiden soll. Das ist in einer Situation sinnvoll: wenn die Nutzung von Tor über Ihren Anschluss gefährlich ist und Sie keine bessere Möglichkeit haben.

VPN über Tor bedeutet, dass der Datenverkehr das Tor-Netzwerk verlässt und anschließend in ein VPN-Konto gelangt. Das ist schwieriger einzurichten und in der Regel schlechter. Mit diesem Konto ist Ihr Zahlungsdatensatz verknüpft. Damit ordnen Sie Datenverkehr, der kurz zuvor anonym war, einer stabilen Identität zu.

Wenn Sie Tor nur vor Ihrem ISP verbergen möchten, ist ein Bridge die unterstützte Lösung: ein Einstiegspunkt, der nicht im öffentlichen Konsens enthalten ist, kombiniert mit einem Pluggable Transport wie obfs4 oder Snowflake, der eine Klassifizierung des Datenverkehrs erschwert. Tor Browser wird mit beiden ausgeliefert, und kein drittes Unternehmen benötigt Ihren Namen.

FAQ

Ist Tor nur ein kostenloses VPN?

Nein. Ein VPN leitet Ihren Datenverkehr über einen Server eines einzelnen Unternehmens. Dieses Unternehmen sieht Ihre tatsächliche Adresse und jedes Ziel. Damit ersetzen Sie Ihren ISP durch einen Anbieter Ihrer Wahl. Tor leitet den Datenverkehr über drei Relays verschiedener Betreiber. Das Guard-Relay sieht, dass Sie Tor verwenden, aber nicht die aufgerufene Website. Das Exit-Relay sieht die Website, aber nicht Ihre Identität. Tor unterstützt außerdem nur TCP, ist deutlich langsamer und wird von vielen Websites blockiert oder mit zusätzlichen Prüfungen versehen. Tor ist daher kein direkter Ersatz für die alltäglichen Einsatzbereiche eines VPN.

Kann mein ISP erkennen, dass ich Tor verwende?

Standardmäßig ja. Die Adressen der Relays werden im öffentlichen Konsens veröffentlicht. Ihr Anbieter kann daher sehen, dass Sie eine Verbindung zu einem bekannten Guard-Relay herstellen. Er kann nicht sehen, welche Websites Sie aufrufen. Um die Nutzung selbst zu verbergen, bietet Tor Browser Bridges mit einem austauschbaren Transport wie obfs4 oder Snowflake an. Diese stellen die Verbindung über einen Einstiegspunkt her, der nicht auf der öffentlichen Liste steht. Ein VPN vor Tor verbirgt die Nutzung ebenfalls vor Ihrem ISP. Diese Information kennt dann jedoch der VPN-Betreiber.

Macht mich ein VPN auf meinem eigenen VPS anonym?

Nein. Der Server ist auf Ihren Namen und mit Ihrer Karte gemietet. Die Abrechnungsdaten des Anbieters verknüpfen diese Adresse daher bereits mit Ihnen. Eine Anfrage an den Anbieter reicht aus, um diese Daten einzusehen. Die Adresse wird außerdem nur von Ihnen verwendet. Alles, was sie verlässt, gehört somit einer einzigen Person und bleibt verknüpfbar, solange Sie den Server betreiben. Ein selbst gehostetes VPN schützt Ihre Privatsphäre im lokalen Netzwerk gut. Gegenüber Personen oder Stellen, die Ihren Anbieter zur Auskunft auffordern können, bietet es jedoch nur einen schwachen Anonymitätsschutz.

Warum blockieren mich Websites oder zeigen CAPTCHAs an, wenn ich Tor verwende?

Die Adressen der Exit-Relays sind öffentlich und werden von sehr vielen Personen gemeinsam verwendet. Missbrauch durch einen dieser Benutzer wird daher der Adresse zugerechnet, die Sie gerade verwenden. Content Delivery Networks bewerten diese Adressen oft schlecht und antworten mit einer Prüfung, einem 403 Forbidden oder einem Registrierungsformular, das sich nicht absenden lässt. Nichts auf Ihrer Seite kann das verhindern. Ein neuer Circuit verwendet ein anderes Exit-Relay, dessen Reputation manchmal besser ist.

Werden meine DNS-Abfragen weiterhin offengelegt, wenn ich ein VPN verwende?

Das ist möglich und kommt häufig vor. Wenn ein Full Tunnel eingerichtet ist, aber für die Tunnel-Schnittstelle kein Resolver konfiguriert wurde, verwendet Ihr Client weiterhin den Resolver, den er aus dem lokalen Netzwerk gelernt hat. Die Route zu diesem Resolver befindet sich direkt im lokalen Netzwerk und hat daher Vorrang vor der Standardroute des Tunnels. Ihre Abfragen werden dann im Klartext übertragen, während alles andere verschlüsselt ist. Führen Sie resolvectl status aus. Prüfen Sie, ob der für die Verbindung mit der Standardroute aufgeführte DNS-Server der Resolver des Tunnels und nicht Ihr lokaler Router ist.