Tor-Relays: Guard, Middle und Exit erklärt

Ein Tor-Relay ist ein Server, der Datenverkehr im Tor-Netzwerk weiterleitet. Jede Tor-Verbindung läuft über drei davon: ein Guard-Relay als Eingang, ein Middle-Relay in der Mitte und ein Exit-Relay als Ausgang ins normale Internet. Daneben gibt es Bridges, also nicht öffentlich gelistete Eingänge.

Die Relay-Typen im Überblick#

Im Oktober 2026 zählte Tor Metrics rund 8.900 Relays und rund 2.450 Bridges.

Guard-Relays: der Eingang#

Das Guard-Relay ist das einzige Relay, mit dem sich dein Tor-Programm direkt verbindet. Es kennt deshalb deine IP-Adresse, sieht aber nur verschlüsselte Daten, die es an das nächste Relay weitergibt.

Ein Relay bekommt das Kennzeichen „Guard“ erst, wenn es sich als stabil und schnell erwiesen hat – das Tor Project nennt als Richtwert mindestens 2 MByte/s Bandbreite in beide Richtungen.

Warum Tor beim selben Guard bleibt: Dein Tor-Programm wählt nicht bei jeder Verbindung einen neuen Eingang, sondern bevorzugt über lange Zeit dieselben wenigen Guards. Würde es ständig wechseln, nutzte es mit der Zeit fast zwangsläufig irgendwann ein Relay, das ein Angreifer betreibt. Mit festen Guards ist das Risiko entweder von Anfang an da oder gar nicht – und nicht bei jedem Wechsel neu.

Middle-Relays: das Mittelstück#

Das mittlere Relay verbindet Guard und Exit. Es kennt weder deine IP-Adresse noch dein Ziel. Seine Aufgabe ist, Guard und Exit voneinander zu trennen, damit kein einzelnes Relay beide Enden kennt.

Middle-Relays sind für Betreiber besonders unkompliziert: Es gibt kaum Beschwerden, der Wartungsaufwand ist gering, und die Bandbreite lässt sich begrenzen. Relays, die die Anforderungen an Guards noch nicht erfüllen, arbeiten als Middle-Relays.

Exit-Relays: der Ausgang#

Das Exit-Relay entfernt die letzte Verschlüsselungsschicht und schickt deine Anfrage ins normale Internet. Die besuchte Website sieht die IP-Adresse des Exit-Relays.

Daraus ergeben sich zwei Besonderheiten:

1. Was das Exit sehen kann: Das Exit kennt die Zieladresse. Ist die Verbindung zur Website nicht per HTTPS verschlüsselt, kann es auch den Inhalt sehen oder verändern. Deshalb ist HTTPS über Tor besonders wichtig. Bei Onion-Seiten gibt es kein Exit.
2. Exit-Richtlinie: Jeder Exit-Betreiber legt fest, welche Verbindungen sein Relay erlaubt, zum Beispiel nur Webseiten (Ports 80 und 443). Tor wählt nur Exits, die die gewünschte Verbindung erlauben.

Risiko für Betreiber: Weil Missbrauch über Tor aus Sicht der Website von der IP-Adresse des Exits kommt, landen Beschwerden – etwa über Urheberrechtsverletzungen oder Angriffe – beim Exit-Betreiber und seinem Hoster. Das Tor Project rät deshalb davon ab, ein Exit-Relay vom eigenen Anschluss zu Hause zu betreiben. Besser geeignet sind Vereine, Universitäten oder spezialisierte Organisationen. Die Rechtslage in Deutschland erklärt Ein Tor-Relay betreiben: die Rechtslage.

Bridges: der versteckte Eingang#

Bridges übernehmen die Rolle des Guards, stehen aber nicht in der öffentlichen Liste. So lassen sie sich schwerer sperren. Sie brauchen wenig Bandbreite – empfohlen ist mindestens 1 Mbit/s – und verursachen kaum Beschwerden. Mehr dazu: Tor-Bridges: obfs4, Snowflake und meek.

Kennzeichen und Regeln#

Die Verzeichnisserver vergeben an jedes Relay Kennzeichen (Flags), die bestimmen, wofür es genutzt werden darf:

Bei der Pfadauswahl gilt zudem: Keine zwei Relays desselben Betreibers (derselben „Familie“) und keine zwei aus demselben IPv4-Netzbereich (/16) im selben Pfad.

Bösartige Relays#

Jeder kann ein Relay betreiben – auch Angreifer. Das Netzwerk ist deshalb so gebaut, dass ein einzelnes bösartiges Relay wenig ausrichten kann. Gefährlich wird es, wenn ein Angreifer sehr viele Relays kontrolliert. Ein bekanntes Beispiel: Von Ende Januar bis Anfang Juli 2014 betrieb ein Angreifer rund 115 präparierte Relays, die etwa 6,4 Prozent der Guard-Kapazität stellten. Sie schleusten ein Markierungssignal in den Datenverkehr ein, um Betreiber und Besucher von Onion-Diensten zu enttarnen. Das Tor Project entfernte die Relays am 4. Juli 2014, schloss die Lücke per Update und stellte Tor-Clients später von drei auf einen Guard um, um solche Risiken zu verringern.

Das Tor Project und Freiwillige überwachen das Netzwerk laufend, kennzeichnen auffällige Exits als „BadExit“ und entfernen bösartige Relays. Wie solche Angriffe funktionieren, erklärt Wie Deanonymisierung funktioniert.