Tor-Browser-Praxis

Was Tor Browser ist

Tor Browser ist ein Firefox-Fork mit drei wesentlichen Veränderungen:

• Eingebauter Tor-Client mit Onion-Routing für allen Verkehr.
• Anti-Fingerprinting-Härtung: alle Nutzer:innen sollen denselben Fingerprint erzeugen (uniform-Strategie, siehe fingerprinting).
• Privatsphäre-Defaults: keine Telemetrie, kein Pocket, keine Mozilla-Konten, kein Suchvorschlag an Drittanbieter.

Verfügbar für Windows, macOS, Linux, Android. Auf iOS gibt es Onion Browser als inoffizielle Variante — von Tor Project nicht offiziell empfohlen, aber gut gepflegt.

Installation: Immer von torproject.org herunterladen. Niemals von Drittanbieter-Seiten oder „verbesserten" Forks — viele davon sind manipuliert.

Signatur-Verifikation: Das Tor Project veröffentlicht GPG-Signaturen zu jedem Download. Für sehr sensible Use-Cases (Whistleblowing, Journalismus) ist Signatur-Prüfung Pflicht — die offizielle Anleitung beschreibt das. Für Standard-Privatsphäre-Anwendungen reicht der direkte Download.

Die drei Sicherheits-Stufen

Im Tor Browser über das Schloss-Icon → „Sicherheits-Einstellungen" konfigurierbar:

Die Trade-offs:

• Standard: Viele Websites funktionieren, manche JavaScript-basierte Angriffe sind möglich (über Tor-Browser-spezifische Schwachstellen — selten, aber vorhanden).
• Safer: Reduziert die Angriffsfläche erheblich. Manche modernen Sites brechen (Single-Page-Apps, manche Banking-Seiten). Für Recherche-Use-Cases der gute Mittelweg.
• Safest: Sehr restriktiv. Viele Seiten unbrauchbar — Twitter/X, YouTube, viele Login-Flows. Für Journalismus mit Quellen-Schutz, für Aktivismus in Hoch-Risiko-Lagen vertretbar.

Faustregel: Für sensible Aktivitäten → Safer. Für extreme Bedrohungs-Modelle → Safest + Tails. Für gelegentliches Privatsphäre-Surfen → Standard mit Verhaltens-Disziplin.

Fenster-Größe: der oft vergessene Anonymitäts-Punkt

Tor Browser öffnet bewusst in einer Standard-Größe (ca. 1000 × 900 Pixel auf Desktop). Wenn du das Fenster maximierst, gibst du dem Server die exakte Auflösung deines Bildschirms weiter — und das ist oft ein eindeutiger Identifikator.

Stell dir vor: 4K-Bildschirm mit 3840 × 2160. Nur ein kleiner Prozentsatz der Nutzer:innen weltweit hat exakt diese Auflösung. Auf einer Site mit 5 000 anderen Tor-Nutzer:innen bist du dann die einzige Person mit dieser Auflösung — eindeutig identifiziert.

Regeln:

• Nicht maximieren. Fenster auf der Default-Größe lassen.
• Nicht zu klein machen. Sehr kleine Fenster sind ebenfalls eindeutig.
• Letterbox-Modus ist Default — wenn du das Fenster manuell größer ziehst, fügt Tor Browser einen grauen Rand ein, der die effektive Render-Fläche in groben Stufen rastert (200×100-Pixel-Schritte). Das funktioniert nur, wenn du den grauen Rand siehst — er ist der Schutz.
• Vollbild-Modus ist tabu.

Diese Regeln klingen klein, sind aber sehr wirksam: die uniform-Strategie funktioniert nur, wenn alle Nutzer:innen sich an dieselben Default-Eigenschaften halten. Wer maximiert, verlässt die uniform-Gruppe.

Verhaltens-Regeln im Tor Browser

Eine Liste der wichtigsten Do's und Don'ts:

Do:

• Tor Browser auf der Default-Größe halten.
• Eigene Lesezeichen pflegen — für regelmäßig besuchte Onion-Services. Vermeidet, dass du Adressen aus Mails oder Chats kopierst (wo Angreifer dich umleiten könnten).
• Bei sensiblen Aktivitäten: Neuen Identifier ziehen. Im Tor-Menü „Neue Identität" — startet alle Sessions neu, wählt neue Tor-Pfade, schließt offene Tabs. Sinnvoll vor und nach kritischen Aktionen.
• Suchmaschine wechseln, wenn nötig. Default ist DuckDuckGo; Alternativen: Mojeek, Brave Search, Mullvad Leta — keine speichert nutzer-spezifische Profile.

Don't:

• Niemals mit echten Personen-Daten einloggen. Wenn du in dein Klar-Mail-Konto, deinen Klar-Twitter, deine Bank einloggst, bist du nicht mehr anonym — egal wie viele Tor-Hops davor liegen.
• Niemals Tor mit deinem normalen Browser-Profil verknüpfen. Lesezeichen, Bookmarks, Cookies bleiben in Tor Browser — exportiere nichts in deinen normalen Firefox.
• Niemals Plugins installieren. Tor Browser hat keine Plugin-Unterstützung; jeder Versuch, sie nachzurüsten, bricht das Fingerprint-Modell. Auch keine Browser-Extensions.
• Niemals BitTorrent über Tor. Das Protokoll umgeht den Tor-Tunnel und verrät deine IP. Tor Project sagt das explizit.
• Niemals Dokumente aus dem Tor Browser direkt öffnen. Heruntergeladene PDFs, Office-Dokumente können externe Ressourcen nachladen (z. B. eingebettete URLs) und damit deine echte IP verraten. Empfehlung: Dokumente in offline geöffnet (z. B. in Tails ohne Netzwerk, oder in einer Sandbox-VM).
• Niemals deine Maus auf einem nicht-Tor-Tab zu Tor-Tab und zurück bewegen, in Erwartung Anonymität zu erhalten. Verhaltens-Muster aus dem normalen Browser leiten Identitäten nach Tor weiter.

---

Tor und Cookies: die Session-Logik

Tor Browser hat eine Standard-Session pro Browser-Run. Wenn du zwei Tabs auf zwei Sites öffnest, sehen beide deinen identischen Tor-Browser. Cookies werden innerhalb der Session geteilt.

Das ist anders als „Anonymität pro Tab" — dafür gibt es „New Identity":

• Datei → Neue Identität. Alle Tabs werden geschlossen, alle Cookies gelöscht, alle Tor-Pfade neu gewählt. Nach dem Klick ist dein Browser quasi „frisch gestartet" mit neuer Identität.
• „New Circuit for this Site" — ändert nur den Tor-Pfad für die aktuelle Site, behält aber Cookies. Sinnvoll, wenn ein Exit-Node Probleme macht (CAPTCHA-Spam).

Empfehlung: vor und nach jeder sensiblen Aktivität „New Identity". Bei Recherche-Sitzungen: pro Thema/Quelle einmal frisch starten, damit Sessions nicht über das Thema hinaus verbunden bleiben.

Onion-Adressen pflegen

Manche der wichtigsten Onion-Adressen — speichern und nutzen für die jeweiligen Bedürfnisse:

(Hinweis: Onion-Adressen ändern sich gelegentlich. Aktuelle Adressen am besten über die offiziellen Sites der Anbieter — viele zeigen einen „Tor"-Hinweis mit aktueller Onion-Adresse, oder über securedrop.org/directory.)

Warum Onion-Adressen? Drei Vorteile gegenüber „normale Site über Tor":

• Verkehr verlässt das Tor-Netz nicht — kein Exit-Node-Risiko.
• Authentizität durch die Adresse selbst — wenn die Adresse stimmt, ist der Server echt (Adresse = Public Key).
• Site weiß nicht, wo du bist — keine IP-Bestimmung möglich.

Häufige Fehler in der Tor-Anfangs-Praxis

Wenn du Tor neu nutzt, sind das die Fallen, in die viele tappen:

• In Tor Browser dem normalen Workflow folgen. Mails öffnen, in Mainstream-Konten einloggen, Lieblings-Sites besuchen — bricht die Trennung sofort.
• Tor Browser auf demselben Gerät wie alles andere. Akzeptabel für moderate Bedrohungen, aber: Malware auf dem System (Stealer, Keylogger) sieht den Tor-Verkehr. Für ernsthafte Anonymität ist Tails das richtige Werkzeug.
• Tor + VPN gleichzeitig. Diskussions-Punkt — verbreitete Meinung: nicht nötig, oft kontraproduktiv. Tor schützt schon vor dem ISP; eine zusätzliche VPN-Schicht macht den Verkehr eindeutiger (und der VPN-Anbieter sieht jetzt deinen Tor-Verkehr). Ausnahmen gibt es; im Zweifel keine Tor-over-VPN-Konstrukte.
• Onion-Adressen aus Mail-Links kopieren. Phishing-Risiko — eine Buchstabe-anders.onion kann eine Phishing-Variante einer echten Onion-Adresse sein. Lesezeichen pflegen.
• Erfahrungs-Erzählungen in Tor-eigenen Konten. Wenn du in deinem Aktivismus-Onion-Forum „heute war ich beim Friseur in München" schreibst, ist die Anonymität durchbrochen.
• Tor Browser ohne Updates. Updates kommen über das interne Update-Mechanismus — nicht ignorieren. Sicherheits-Patches werden manchmal mit 0day-Schwachstellen veröffentlicht; Verzögerung ist gefährlich.

Interessantes

Tor Browser auf Android: gleich gut, mit Mobile-Eigenheiten

Der offizielle Tor Browser für Android (über F-Droid und Google Play) ist funktional ähnlich zum Desktop. Mobile-Spezifika: Fenster-Größe ist Bildschirm-spezifisch — weniger uniform als Desktop. Manche Sites sind auf Mobile schwerer zu bedienen mit Safer/Safest-Level. Für sensible Mobile-Aktivität: Desktop und Tails bevorzugen.

„Show Tor Circuit": nützliche Funktion

Im Schloss-Menü neben der Adressleiste zeigt Tor Browser den aktuellen drei-Knoten-Pfad für die aktuelle Site. Du siehst Entry-, Middle-, Exit-Land. Wenn der Pfad seltsam aussieht (z. B. Exit-Land, das dir nicht passt — manche Streaming-Dienste reagieren darauf): „New Circuit for this Site".

Captchas im Tor Browser sind normal

Cloudflare und ähnliche CAPTCHA-Provider sehen Tor-Exit-IPs oft als verdächtig und zeigen mehr Challenges. Frustrierend, aber strukturell — es ist keine Fehlfunktion. Manche Sites (Wikipedia, ProtonMail, NYT) haben dedizierte Onion-Services und vermeiden so CAPTCHAs.

Tor Browser hat keinen Inkognito-Modus

Tor Browser ist sozusagen ein dauerhafter Inkognito-Modus — Cookies und History werden bei Schließen ohnehin gelöscht. Ein separater „privater Tab" ist daher unnötig und nicht vorhanden.

HTTPS Everywhere ist nicht mehr nötig

Bis ca. 2022 enthielt Tor Browser eine HTTPS-Everywhere-Extension. Seitdem ist HTTPS-Only nativer Browser-Default — die Extension ist überflüssig und wurde aus dem Bundle entfernt. Wer noch alte Tor-Browser-Versionen nutzt: aktualisieren.

Mullvad Browser als Alternative ohne Tor

Wer das Anti-Fingerprinting-Niveau von Tor Browser möchte, aber Tor nicht braucht (oder die CAPTCHAs satt ist): Mullvad Browser ist ein Tor-Browser-Klon ohne Tor-Tunneling. Empfohlen für „Privatsphäre + Komfort".

Tails als nächster Schritt

Wer regelmäßig sensible Aktivität betreibt, sollte den nächsten Schritt erwägen: Tails als Live-USB-Betriebssystem, das alle Verbindungen über Tor zwingt und keine Spuren auf der Festplatte hinterlässt. Siehe Tails und Whonix.

Weiterführende Ressourcen

Externe Quellen

• Tor Project – Download Tor Browser
• Tor Browser Manual
• Tor Browser – Sicherheits-Einstellungen
• Tor Project – How to verify signature
• SecureDrop Directory
• Snowflake Browser Extension
• Mullvad Browser
• EFF Surveillance Self-Defense – Tor

Verwandte Artikel

• Anonymität vs. Privatsphäre
• VPN-Grundlagen und Anbieter
• Tor-Grundlagen
• Tails und Whonix
• Anonymitäts-Grenzen
• Fingerprinting

---

Hinweis zu Inhalten: Die Informationen in diesem Artikel dienen der Aufklärung und Bildung über sichere Nutzung des Tor Browsers und legitime Anonymitäts-Werkzeuge. Tor ist in Deutschland legal und wird von Journalist:innen, Aktivist:innen, Forschenden und Privatpersonen mit berechtigten Schutz-Interessen genutzt. Diese Doku ist nicht als Anleitung für rechtswidrige Handlungen gedacht. Wer die hier beschriebenen Werkzeuge zu strafbaren Zwecken nutzt, ist dafür rechtlich verantwortlich.