Wie Deanonymisierung funktioniert

Deanonymisierung bedeutet, die Person hinter einer anonymen Verbindung oder Identität zu ermitteln. Bei Tor-Nutzern gelang das in den bekannten Fällen fast immer über Umwege: über Fehler im Verhalten, über Sicherheitslücken im Browser oder über übernommene Server. Ein allgemeiner Bruch des Onion-Routings ist nicht belegt. Netzwerkangriffe sind möglich, aber aufwendig.

Die Methoden im Überblick#

1. Verhaltensfehler#

Die häufigste und billigste Methode. Ein wiederverwendeter Benutzername, eine private E-Mail-Adresse oder ein Detail aus dem eigenen Leben genügt. Ross Ulbricht (Silk Road) und Alexandre Cazes (AlphaBay) wurden so gefunden. Details: OPSEC-Fehler: bekannte Fälle und ihre Lehren.

2. Browser-Exploits#

Ermittlungsbehörden haben mehrfach Schadcode eingesetzt, der über eine Lücke im Browser eine Verbindung an Tor vorbei aufbaute und so die echte IP-Adresse verriet. In den USA heißt das „Network Investigative Technique“ (NIT).

• 2012 (Operation Torpedo): Übernommene Onion-Dienste lieferten eine Flash-Anwendung aus, die eine eigene Verbindung außerhalb des Proxys öffnete. Der Tor Browser lädt seitdem keine Plugins mehr.
• 2013 (Freedom Hosting): JavaScript-Schadcode nutzte eine bereits behobene Firefox-Lücke und schickte Daten über die Besucher an einen fremden Server. Betroffen waren Nutzer mit veraltetem Tor Browser.
• 2015 (Playpen): Das FBI betrieb eine beschlagnahmte Missbrauchsplattform rund zwei Wochen weiter und erreichte mit einer NIT mehr als 8.000 Computer in 120 Ländern.
• 2016: Ein JavaScript-Exploit für eine Lücke in der SVG-Verarbeitung von Firefox ähnelte dem Angriff von 2013.

Gegenmaßnahmen: sofortige Updates, Sicherheitsstufe „Am sichersten“ (schaltet JavaScript ab) und Systeme wie Tails oder Whonix, die Verbindungen an Tor vorbei technisch unmöglich machen. Viele der gesammelten Daten wären dort nicht erreichbar gewesen.

3. Übernommene Server#

Wer einen Server beschlagnahmt und weiterbetreibt, sieht alles, was die Nutzer dort tun. Beim Marktplatz Hansa übernahm die niederländische Polizei 2017 rund einen Monat lang unbemerkt die Kontrolle. Sie sammelte Passwörter im Klartext, entschlüsselte Nachrichten, Metadaten aus hochgeladenen Fotos und – über eine präparierte Excel-Datei, die beim Öffnen einen Polizeiserver kontaktierte – IP-Adressen. Laut dem zuständigen Staatsanwalt kamen so rund 10.000 Adressen von Käufern außerhalb der Niederlande zusammen.

Lehre: Nichts, was man einem Server anvertraut, ist sicher, wenn der Server nicht mehr den ursprünglichen Betreibern gehört – Nachrichten sollten selbst verschlüsselt werden, Dateien nur offline geöffnet.

4. Eingrenzung über kleine Netze#

Je kleiner die Gruppe, in der sich jemand verbirgt, desto leichter die Suche. Bei der Bombendrohung an der Harvard-Universität 2013 stellte das FBI fest, dass sich der Täter kurz vorher aus dem Uni-WLAN mit Tor verbunden hatte. Weil nur wenige Geräte dort Tor nutzten, war der Kreis schnell eingegrenzt. Der Student gestand.

5. Verkehrskorrelation#

Wer den Datenverkehr am Eingang (zwischen Nutzer und Guard) und am Ausgang gleichzeitig beobachten kann, kann ihn über Zeitpunkte und Datenmengen zuordnen. Das ist die grundlegende Grenze von Tor, die schon das Designpapier von 2004 offen benennt: Gegen einen Angreifer, der große Teile des Netzes überwacht, schützt Tor nicht.

Ein realer Fall: Von Januar bis Juli 2014 betrieb ein Angreifer rund 115 präparierte Relays mit etwa 6,4 Prozent der Guard-Kapazität. Sie schleusten ein Markierungssignal in den Verkehr zu Onion-Diensten ein, um Betreiber und Besucher zu enttarnen (eine Kombination aus Sybil-Angriff und Verkehrsbestätigung). Das Tor Project entfernte die Relays und schloss die Lücke.

6. Website-Fingerprinting#

Ein Beobachter zwischen Nutzer und Guard sieht nur verschlüsselte Daten – aber deren Muster aus Größe und Zeitpunkt. Forschungsarbeiten versuchen, daraus abzulesen, welche Seite aufgerufen wurde. Das Tor Project hält solche Angriffe in der Praxis für deutlich weniger wirksam als in Laborstudien, vor allem wegen der vielen Fehlalarme in realem Verkehr, und arbeitet an Gegenmaßnahmen wie zusätzlichem Füllverkehr (Padding).

7. Zahlungsspuren#

Bitcoin-Zahlungen sind öffentlich. Ermittler verfolgen Geldflüsse bis zu Kryptobörsen, bei denen sich Kunden ausweisen müssen. Viele Marktplatz-Verfahren nutzten diese Spur. Mehr: Blockchain-Analyse erklärt.

Was daraus folgt#

1. Aktualität schlägt fast alles. Die bekannten Exploits trafen veraltete Browser.
2. Isolation schützt vor dem Schlimmsten. Tails und Whonix verhindern, dass Schadcode deine echte IP-Adresse erfährt.
3. Vertraue keiner Plattform. Sie kann übernommen sein.
4. Verhalten bleibt die größte Schwachstelle. Gegen Selbstverrat hilft keine Technik.