Tor, Deep Web und Dark Web
Wie Tor und das Onion-Routing funktionieren und warum Beschäftigte Tor nicht ohne Zustimmung der IT-Abteilung auf einem Dienstgerät installieren.
In 30 Sekunden
- Wo es vorkommt
- Bösartige Gruppen nutzen Tor für ihren Datenverkehr1.
- Was der Angreifer will
- Die Herkunft seines Datenverkehrs verbergen, damit das Unternehmen ihn nicht zurückverfolgen kann2.
- Der Reflex
- Tor nicht ohne Zustimmung der IT-Abteilung auf einem Dienstgerät installieren und keinen „Tor-Browser“ aus einer Quelle herunterladen, die die IT-Abteilung nicht bestätigt hat.
- Falls es schon passiert ist
- Die IT-Abteilung sofort informieren und nichts eigenmächtig löschen.
Worum es geht
Tor ist eine Software und zugleich ein Netzwerk, mit dem sich anonymer im Internet surfen lässt. Der Name fällt häufig zusammen mit „Deep Web“ und „Dark Web“, zwei Begriffen, die leicht verwechselt werden. Diese Seite erklärt, wie Tor funktioniert und was es für ein Unternehmen bedeutet.
Die hier zusammengetragenen Quellen stammen aus der Wissensbasis MITRE ATT&CK, die Techniken von Angreifern beschreibt. Sie sagen vor allem, wie Tor missbraucht wird, und wenig über die gewöhnliche Nutzung. Die Seite beschränkt sich auf das, was die Quellen belegen.
Direkte Fragen
Was ist Tor?
MITRE ATT&CK beschreibt Tor als Softwarepaket und Netzwerk, die im Internet eine erhöhte Anonymität bieten. Es baut ein Netzwerk aus verketteten Relais auf (einen „Multi-hop Proxy“) und nutzt eine mehrschichtige Verschlüsselung, um sowohl die Nachricht als auch die Routing-Informationen zu schützen1. Es gibt Tor für Linux, Windows und macOS1.
Was bedeutet „Onion-Routing“?
Die Nachrichten sind mit mehreren Schichten verschlüsselt. An jeder Station des Relais-Netzwerks wird die oberste Schicht entschlüsselt und der Inhalt an den nächsten Knoten weitergegeben, bis zum Ziel1. Das Bild dahinter ist eine Zwiebel, von der jedes Relais eine Schale abzieht.
Über wie viele Relais läuft der Datenverkehr?
Die Quelle sagt, dass der Datenverkehr an mehrere Knoten weitergegeben wird, bevor er das Tor-Netzwerk verlässt und zu seinem Ziel weiterläuft1. Eine Zahl nennt sie nicht. Die oft zitierte Zahl von drei Relais steht in keiner der hier zitierten Quellen.
Ist das Dark Web illegal?
Keine der hier zitierten Quellen behandelt den rechtlichen Status des Dark Web oder von Tor. Die Seite entscheidet diesen Punkt daher nicht. Die Quellen belegen eine andere Tatsache: Bösartige Gruppen nutzen Tor1.
Was ist der Unterschied zwischen Deep Web und Dark Web?
Die hier zitierten Quellen definieren keinen dieser beiden Begriffe. Sie beschreiben nur Tor, ein anonymisierendes Netzwerk. Für die Unterscheidung zwischen nicht indexierten Inhalten und Diensten, die über ein anonymisierendes Netzwerk erreichbar sind, bleibt die IT-Abteilung des Unternehmens die Ansprechstelle.
1Wie es funktioniert1 min
Tor kombiniert zwei Mechanismen. Der erste ist der mehrfache Sprung: Der Datenverkehr läuft über mehrere Knoten, bevor er sein Ziel erreicht1. Der zweite ist die Verschlüsselung: Tor verpackt den Datenverkehr in mehrere Verschlüsselungsschichten und verwendet standardmäßig TLS1.
Für ein Sicherheitsteam wirkt sich das so aus: Normalerweise kann ein Verteidiger den letzten Proxy erkennen, den der Datenverkehr durchlaufen hat, bevor er in sein Netzwerk gelangt. Die vorherigen Proxys kann er erkennen oder auch nicht2. Werden mehrere Proxys hintereinander geschaltet, muss der Verteidiger den Datenverkehr von Relais zu Relais zurückverfolgen, um die Quelle zu finden2. MITRE nennt das öffentlich zugängliche Tor-Netzwerk als Beispiel für ein Onion-Routing-Netzwerk2.
Zur Kommunikation von Schadsoftware mit ihren Steuerungsservern (Command and Control) merkt MITRE an, dass eine Implementierung trotz eines sicheren Algorithmus anfällig für Reverse Engineering sein kann, wenn geheime Schlüssel in den Schadsoftware-Proben oder ihren Konfigurationsdateien fest eingebaut sind oder dort erzeugt werden3.
Angreifer setzen Proxys außerdem ein, um direkte Verbindungen zu ihrer Infrastruktur zu vermeiden, um ihre Command-and-Control-Kommunikation zu steuern oder um Kommunikationswege zu nutzen, die bereits als vertrauenswürdig gelten, damit sie keinen Verdacht erregen4.
2Was Sie tun1 min
- Installieren Sie Tor oder andere Anonymisierungssoftware nicht ohne Zustimmung der IT-Abteilung auf einem Dienstgerät.
- Wenn eine Information nur auf diesem Weg erreichbar zu sein scheint, fragen Sie die IT-Abteilung, statt selbst zu suchen.
- Wenn Ihnen eine Nachricht anbietet, Unternehmensdaten auf einer solchen Seite zu kaufen, einzusehen oder zu überprüfen, klicken Sie nicht und melden Sie es der IT-Abteilung.
- Wenn Sie eine solche Software bereits installiert haben, sagen Sie es der IT-Abteilung, auch wenn nichts Auffälliges zu bemerken ist.
3Die Fallstricke1 min
Der erste Fallstrick ist der Glaube an absolute Anonymität. Verschlüsselung und Relais erschweren die Arbeit eines Verteidigers: MITRE spricht von Schwierigkeiten bei der Identifizierung der Quelle, nicht von Unmöglichkeit2.
Tor dient auch Angreifern. MITRE erwähnt Onion-Netzwerke, die verschlüsselten Command-and-Control-Verkehr über eine Gruppe kompromittierter Rechner transportieren2. Der Datenverkehr eines Angreifers kann außerdem im gewöhnlichen Webverkehr untergehen: HTTP/S und WebSocket sind in Unternehmensumgebungen sehr verbreitet, und ein Angreifer kann sie missbrauchen, um normalen Datenverkehr nachzuahmen5.
Das Netzwerk beherbergt Seiten krimineller Gruppen. Water Galura betreibt eine auf Tor gehostete Leak-Seite für die Ransomware Qilin und deren Affiliates1. Die Gruppe ShinyHunters nutzte Tor für ihre eigene Leak-Seite1. Den Namen eines Unternehmens auf einer solchen Seite zu sehen, beweist für sich allein keinen Angriff: Die Prüfung obliegt der IT-Abteilung.
Die Quellen behandeln weder gefälschte Tor-Browser noch manipulierte Downloads noch Angebote gestohlener Daten. Die in diesen Punkten empfohlene Vorsicht beruht auf der Vorgabe der IT-Abteilung, nicht auf einer hier belegten Tatsache. Ein Fall zeigt jedoch das Risiko einer ohne Kontrolle installierten Software: Die Schadsoftware Dok lädt Tor über Homebrew herunter und installiert es2.
4Reale Fälle1 min
2025 Poland Wiper Attacks
Bei den Wiper-Angriffen von 2025 in Polen nutzten die Angreifer Tor-Knoten für ihre Command-and-Control-Kommunikation12. In der Kampagne CostaRicto verwalteten die Angreifer ihre Steuerungsserver über Tor1.
Scattered Spider und die Datenentwendung bei Salesforce
Laut MITRE nutzte die Gruppe Scattered Spider Tor, um mit den angegriffenen Organisationen zu kommunizieren1. In der Kampagne Salesforce Data Exfiltration verwendeten die Angreifer Tor-IP-Adressen für Telefonanrufe und das Sammeln von Daten1.
Operation Wocao
Während der Operation Wocao setzten die Angreifer Tor-Ausgangsknoten ein, um Befehle auszuführen1.
Merkblatt
- Kennung
- CP-234
- Flügel
- 3. Protokolle und Abwehr
- Brain-Kompetenz
- Sicher surfen (browse_safely)
- Brain-Reflex
- cr-077
- Schema
- G3 · Anatomischer Schnitt
- Sprachen
- de, en, fr
- Quellen
- 5 Quellen geprüft am 3. November 2026
Quellen5 Quellen
- MITRE ATT&CK, „Tor“. https://attack.mitre.org/software/S0183/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Proxy: Multi-hop Proxy“. https://attack.mitre.org/techniques/T1090/003/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Encrypted Channel“. https://attack.mitre.org/techniques/T1573/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Proxy“. https://attack.mitre.org/techniques/T1090/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Application Layer Protocol: Web Protocols“. https://attack.mitre.org/techniques/T1071/001/ (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Tor, Deep Web und Dark Web“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp234_de_2026,
author = {Brain},
title = {Tor, Deep Web und Dark Web},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/},
note = {CC BY 4.0}
}