Was ein Tor Hidden Service ist
Ein Tor Hidden Service — auch Onion-Dienst genannt — ist eine Website oder Anwendung, die ausschließlich über das Tor-Netzwerk erreichbar ist, unter einer Adresse mit der Endung .onion. Anders als eine gewöhnliche Website besitzt er keine öffentliche IP-Adresse und ist nicht im DNS eingetragen. Besucher erreichen ihn über Tor, und die Verbindung zwischen Besucher und Server wird so geroutet, dass keine Seite den Standort oder die IP der anderen Seite erfährt.
Dies ist ein anderes und stärkeres Modell als das Platzieren einer normalen Website hinter Datenschutzmaßnahmen. Bei einem Onion-Dienst ist die Anonymität in das Protokoll eingebaut: Der Standort des Servers ist konstruktionsbedingt verborgen, nicht durch eine Konfiguration, die man falsch machen könnte. Es gibt keine IP-Adresse, die durchsickern kann, keinen DNS-Eintrag, den man per Vorladung herausverlangen kann, und keine Hosting-IP, die jemand scannen oder angreifen könnte. Die Adresse selbst wird aus einem kryptografischen Schlüssel abgeleitet und kann daher nicht gefälscht werden. Es ist, im wahrsten Sinne des Wortes, die stärkste verfügbare Form des anonymen Hostings.
Warum einen Hidden Service betreiben
Onion-Dienste werden von einer Vielzahl legitimer Betreiber genutzt: Nachrichtenorganisationen, die sichere Hinweisgeberleitungen betreiben, die SecureDrop-Einreichungssysteme, auf die Journalisten sich verlassen, datenschutzorientierte Projekte, die einen zensurkritischen Spiegel anbieten, Messaging- und Dateifreigabe-Tools sowie Einzelpersonen, die einfach eine Website wollen, deren Serverstandort niemand bestimmen kann. Große Organisationen — von bekannten Zeitungen bis hin zu namhaften Software-Projekten — betreiben Onion-Dienste genau deshalb, weil sie robust sind.
Die Gründe lassen sich auf drei Eigenschaften reduzieren. Standortdatenschutz: Der Server kann nicht per IP gefunden werden und ist daher nicht geolokalisierbar, nicht scanbar und nicht direkt angreifbar. Zensurresistenz: Es gibt keine IP oder Domain, die ein Netzwerk sperren könnte, sodass der Dienst dort erreichbar bleibt, wo normale Websites gefiltert werden. Ende-zu-Ende-Verschlüsselung: Das Tor-Protokoll verschlüsselt die Verbindung standardmäßig, ohne dass eine Zertifizierungsstelle beteiligt ist. Wenn irgendeine dieser Eigenschaften für Ihr Projekt relevant ist, lohnt es sich, einen Hidden Service zu betreiben — und diese Anleitung richtet einen ein.
Was Sie benötigen
Die Anforderungen sind bescheiden:
- Ein VPS. Ein Onion-Dienst ist ressourcenschonend; ein kleines Paket reicht aus. Die Wahl eines No-KYC-Offshore-VPS ist hier aus einem bestimmten Grund wichtig, der unten erläutert wird — die Anonymität des Dienstes hängt zum Teil von der Anonymität des Servers selbst ab.
- Eine frische Linux-Installation — Debian oder Ubuntu für die hier verwendeten Befehle.
- Der Tor Browser auf Ihrem eigenen Rechner, um den fertigen Dienst zu erreichen und zu testen.
Sie benötigen keinen Domainnamen — die .onion-Adresse wird für Sie generiert — und kein TLS-Zertifikat, da Tor die Verschlüsselung übernimmt.
Schritt 1 — Server und Webdienst einrichten
Stellen Sie den VPS bereit und verbinden Sie sich per SSH. Installieren Sie, was Ihren Inhalt ausliefern soll — für eine einfache Website ist ein leichtgewichtiger Webserver wie nginx, installiert mit apt install -y nginx, ideal.
Das wichtige Konfigurationsdetail: Binden Sie den Webserver ausschließlich an localhost. Der Webdienst sollte auf [redacted-ip] lauschen, nicht auf der öffentlichen IP des Servers. Tor verbindet sich lokal damit; nichts sollte ihn direkt aus dem Internet erreichen. Das Binden an localhost bedeutet, dass der Webserver selbst dann, wenn die Maschine eine öffentliche IP hat, nicht darüber erreichbar ist — nur Tor kann auf den Inhalt zugreifen. Bestätigen Sie, dass die Website lokal funktioniert, mit einem schnellen curl [redacted-ip], bevor Sie fortfahren.
Schritt 2 — Tor installieren und den Onion-Dienst konfigurieren
Installieren Sie Tor selbst mit apt install -y tor. Bearbeiten Sie dann Tors Konfigurationsdatei /etc/tor/torrc, um den Hidden Service zu definieren. Zwei Zeilen genügen: eine HiddenServiceDir-Direktive, die auf ein Verzeichnis zeigt, in dem Tor die Schlüssel des Dienstes ablegt, und eine HiddenServicePort-Direktive, die den virtuellen Port 80 auf Ihren lokalen Webserver mappt — zum Beispiel HiddenServicePort 80 [redacted-ip].
Starten Sie Tor neu mit systemctl restart tor. Beim ersten Start generiert Tor das kryptografische Schlüsselpaar des Dienstes in dem von Ihnen angegebenen Verzeichnis und leitet die .onion-Adresse daraus ab. Dieses Verzeichnis enthält nun die Identität Ihres Dienstes — sichern Sie es und stellen Sie sicher, dass es nur für den Tor-Benutzer lesbar ist. Wer diese Schlüssel besitzt, kann Ihren Dienst imitieren; verlieren Sie sie, ist die Adresse für immer verloren.
Schritt 3 — Die .onion-Adresse abrufen und testen
Tor schreibt die Adresse in eine Datei namens hostname innerhalb des HiddenServiceDir. Lesen Sie sie mit cat aus, und Sie sehen eine 56 Zeichen lange Adresse mit der Endung .onion — das ist die öffentliche Adresse Ihres Dienstes.
Öffnen Sie den Tor Browser auf Ihrem eigenen Rechner, fügen Sie die Adresse ein und laden Sie sie. Ihr nur auf localhost erreichbarer Webdienst sollte erscheinen, vollständig über Tor ausgeliefert. Die erste Verbindung kann einige Sekunden dauern, während Tor den Circuit aufbaut. Das war es — der Dienst ist live, für jeden mit Tor erreichbar, und sein Serverstandort ist vor jedem Besucher verborgen.
Schritt 4 — Absichern, damit er anonym bleibt
Ein funktionierender Onion-Dienst ist nicht automatisch ein anonymer. Das Protokoll verbirgt den Serverstandort vor Besuchern — aber mehrere Fehler können das zunichtemachen. Die Disziplin, die ihn anonym hält:
- Alles an localhost binden. Überprüfen Sie erneut, dass der Webserver sowie jede Datenbank oder jedes Backend nur auf
[redacted-ip]lauschen. Ein Dienst, der versehentlich auf der öffentlichen IP exponiert ist, kann mit der Onion-Website in Verbindung gebracht werden und sie deanonymisieren. - Identifizierende Inhalte entfernen. Server-Banner, Standard-Fehlerseiten, Analyse-Skripte und Metadaten in Dateien können alle den echten Server preisgeben oder ihn mit anderen Websites in Verbindung bringen. Prüfen Sie, was der Dienst tatsächlich sendet.
- Anonym administrieren. Greifen Sie für die Administration ebenfalls über Tor auf den Server zu — SSH-en Sie nie direkt von Ihrer heimischen IP darauf. Der Onion-Dienst verbirgt den Server; machen Sie das nicht mit Ihrer eigenen Verbindung rückgängig.
- Den Server selbst anonym halten. Deshalb ist der No-KYC-Offshore-VPS wichtig: Falls der Dienst trotz Ihrer Vorsichtsmaßnahmen mit seinem Hoster korreliert wird, sollte der Anbieter einer sein, der keine Identität für das Konto gespeichert hat und keine Logs führt. Der Hidden Service und der anonyme Server verstärken sich gegenseitig.
- Alles deaktivieren, was nach Hause telefoniert. Software, die ausgehende Verbindungen herstellt — Update-Pingbacks, externe Schriftarten, Drittanbieter-APIs — kann den Server preisgeben. Halten Sie den Dienst in sich geschlossen.
Hidden Service, Clearnet oder beides
Sie müssen sich nicht ausschließlich entscheiden. Es gibt drei sinnvolle Konfigurationen. Eine nur als Hidden Service betriebene Website ist die privateste — kein Clearnet-Fußabdruck, ideal für eine Hinweisgeberlinie oder einen Dienst, der nicht lokalisierbar sein darf. Eine Clearnet-Website mit einem Onion-Spiegel bedient ein gewöhnliches Publikum normal, bietet aber gleichzeitig einen zensurresistenten, privaten Weg für diejenigen, die ihn wollen — so machen es große Nachrichtenorganisationen. Und eine reine Clearnet-Website, beschrieben in unserer Anleitung zum anonymen Hosting einer Website, ist einfacher, wenn Standortdatenschutz auf Protokollebene nicht erforderlich ist.
Für maximale Anonymität ist ein reiner Hidden Service auf einem No-KYC-Offshore-VPS die Antwort: Der Server hat keine angefügte Identität, der Dienst hat keine IP, die man finden könnte, und das Ganze ist für jeden mit Tor erreichbar und für niemanden lokalisierbar. Mit der oben beschriebenen Disziplin eingerichtet, ist es echtes anonymes Hosting — nicht als Marketingaussage, sondern als Eigenschaft des Protokolls.