Tor over VPN: Warum das VPN zuerst kommt und wer trotzdem was sieht

Tor over VPN ist die Abfolge „zuerst VPN, dann Tor“: Ihr Gerät verbindet sich mit einem VPN-Server, und erst danach baut Tor seine Kette über diesen Server. Ihr Internetanbieter sieht einen gewöhnlichen verschlüsselten Tunnel zu einer VPN-Adresse, während der Tor-Eingangsknoten die IP-Adresse des VPN-Servers statt Ihrer eigenen sieht. Ab diesem Eingangspunkt funktioniert alles wie bei normalem Tor. Die Bezeichnungen der Anbieter variieren: NordVPN nennt es Onion over VPN, Proton VPN bietet spezielle Tor-over-VPN-Server an, andere sagen schlicht „VPN dann Tor“.

Was zuerst kommt: das VPN, dann Tor

Die Kette sieht so aus: Gerät → VPN-Server → Guard-(Eingangs-)Knoten → Mittelknoten → Exit-Knoten → Website. Dreht man sie um, ergibt sich VPN over Tor, bei dem Tor zuerst läuft und der VPN-Server am Ende sitzt. Dieses seltene Setup erlaubt den Zugriff auf Websites, die Tor-Exit-Knoten blockieren, weil die Website die VPN-Adresse sieht und keinen Tor-Exit. Der Haken: Der Anbieter muss Verbindungen akzeptieren, die über Tor hereinkommen – wenige tun das – und Ihr Internetanbieter kann sehen, dass Sie Tor überhaupt nutzen.

Was die VPN-Schicht hinzufügt

Zwei Dinge, beide am Anfang der Kette. Erstens kann niemand, der Ihre Leitung beobachtet – vom Office-Administrator bis zum Breitbandanbieter – erkennen, dass Sie Tor nutzen; der Tunnel verbirgt die Verbindung zum Guard-Knoten. Zweitens protokolliert ein neugieriger oder bösartiger Eingangsknoten eine Rechenzentrum-Adresse statt Ihrer eigenen. In Netzen, in denen Tor per IP-Adresse gefiltert wird, stellt das VPN zudem erst den Weg zu den Knoten her.

Was sichtbar bleibt: der Anbieter und der Exit-Knoten

Der Anbieter weiß nun, was zuvor Ihr Internetanbieter wusste: Ihre tatsächliche IP-Adresse und die Tatsache, dass der von ihm transportierte Traffic zu Tor gehört. Wenn Tor Browser über die VPN-Verbindung läuft, kann der Anbieter die Zieladressen nicht sehen, aber ein Anbieter mit Logs kann Zeitstempel mit Ihrem bezahlten Konto verknüpfen – eine No-Logs-Richtlinie ist hier also wichtiger als sonst.

Am anderen Ende ändert sich nichts. Der Exit-Knoten sieht weiterhin Klartext-HTTP-Inhalte und die Ziel-Domain, Websites erkennen weiterhin eine Tor-Exit-IP und können sie blockieren, und die Anmeldung in einem persönlichen Konto deanonymisiert die Sitzung ohnehin. Browser-Fingerprinting außerhalb des Tor Browser bleibt unberührt, und Tor transportiert nur TCP, wobei das VPN eine zusätzliche Etappe auf einem ohnehin langsamen Weg hinzufügt. Die Position des Tor Projects lautet, dass eine Kombination aus VPN und Tor bei falscher Konfiguration die Anonymität schwächen kann und dass erfahrene Nutzer diejenigen sein sollten, die es ausprobieren.

Onion over VPN auf Knopfdruck versus Tor Browser über ein VPN

Ein integrierter Onion-over-VPN-Modus bedeutet, dass der Server des Anbieters Ihren Traffic direkt in Tor einspeist, sodass jeder Browser – Chrome eingeschlossen – Onion-Dienste öffnen kann. Bequem, aber zwei Schutzmechanismen entfallen. Der Browser behält seinen gewöhnlichen Fingerprint, da die Anti-Fingerprinting-Voreinstellungen des Tor Browser nie zum Tragen kommen. Und der Anbieter verarbeitet Ihren Traffic, bevor die Onion-Schichten hinzukommen, was das Vertrauen erhöht, das Sie ihm entgegenbringen müssen.

Starten Sie zuerst die VPN-App und danach den Tor Browser, bleiben Tors eigene Kettenauswahl und die Schutzfunktionen des Browsers intakt: Das VPN transportiert ausschließlich bereits verschlüsselten Tor-Traffic. Für sensible Aufgaben ist das der richtige Weg, während der Ein-Klick-Modus dem gelegentlichen Onion-Browsing vorbehalten bleibt. In beiden Fällen sollte der Kill Switch aktiviert sein: Ohne ihn geht bei einem abgebrochenen Tunnel Tor-Traffic direkt an Ihren Internetanbieter.

Wann obfs4-Bridges ein VPN schlagen

Wenn das Problem eine Tor-Sperre ist und nicht ein neugieriger Internetanbieter, löst eine Bridge es oft ohne bezahltes Abo. obfs4 ist ein pluggable transport im Tor Browser, der Tor-Traffic als zufällige Bytes tarnt, sodass einfache Blocklisten, die bekannte Knoten filtern, nicht mehr greifen. Es kostet nichts, hinterlässt keine Zahlungsspur, und kein Unternehmen hält am Ende Ihre tatsächliche IP-Adresse. Die Nachteile: Bridges werden mit der Zeit entdeckt und blockiert, sie laufen langsamer als gewöhnliche Knoten, und eine Datenverkehrsanalyse kann die Tor-Nutzung weiterhin erkennen. Details dazu finden Sie unter wie obfs4 funktioniert.

Anbieter mit Tor-Routing

Von den 371 Diensten im Hauptranking von VPNRadarLab geben 10 an, Tor over VPN anzubieten, 40 geben an, es nicht anzubieten, und 327 machen keine Angabe, was auf eine nicht ausgewiesene statt einer fehlenden Funktion hindeutet. Zu den Diensten, die Tor-Routing in den Daten ausweisen, gehören Proton VPN, NordVPN, Cryptostorm und MonVPN; der Tor-over-VPN-Vergleich behandelt diejenigen, die es anbieten.

FAQ

Ist Tor over VPN sicher?

Wenn der Anbieter keine Logs führt und der Kill Switch aktiviert ist, ja. Ein falsch konfiguriertes Duo kann die Anonymität verringern, so die Warnung des Tor Projects.

Verlangsamt es die Verbindung?

Tor selbst verursacht den Großteil der Latenz durch seine drei Knoten; das VPN legt eine zusätzliche Etappe obendrauf.

Ist es legal?

Wo sowohl Tor als auch VPNs legal sind, ist auch die Kombination legal; Rechtsräume, die eines von beiden einschränken, wenden dieselben Regeln auf die Kombination an.

Benötige ich Tor, wenn ich bereits ein VPN nutze?

Für den alltäglichen Datenschutz meist nein. Tor ist sinnvoll, wenn der VPN-Anbieter nicht sehen soll, welche Websites Sie öffnen, oder wenn Sie Onion-Dienste benötigen.

Kurzantwort

Die Reihenfolge lautet VPN vor Tor. Ihr Internetanbieter sieht nicht mehr, dass Sie Tor nutzen, der Guard-Knoten sieht nicht mehr Ihre IP-Adresse, der Anbieter erhält beides, und der Exit-Knoten behält seinen Blick auf den unverschlüsselten Traffic. Für sensible Aufgaben ist der Tor Browser über dem VPN besser als der Ein-Klick-Modus Onion over VPN, und eine obfs4-Bridge ist das Werkzeug, wenn es nur darum geht, Tor wieder zum Laufen zu bringen.