Vom HushVPS-Team · Aktualisiert 2026 · 8 Min. Lesezeit
Sie haben einen anonymen Server gekauft, mit Monero bezahlt und die ID-Prüfung übersprungen. Dann verbinden Sie sich per SSH von Ihrer Heim-IP über das offene Internet mit ihm – und überreichen Ihrem ISP, dem Transitnetzwerk und allen, die die Kiste beobachten, stillschweigend eine saubere Linie, die von Ihrem Gesicht zur Maschine führt. Wenn Sie einen Server über Tor verwalten möchten, ist das Ziel einfach: Lassen Sie niemals ein Clearnet-Paket Ihren echten Standort mit der von Ihnen verwalteten Kiste verbinden. Dieser Leitfaden behandelt die praktischen Möglichkeiten, einen VPS vollständig über das Tor-Netzwerk zu erreichen und zu betreiben, sowie die Lecks, die dies stillschweigend zunichtemachen.
Tor bietet Ihnen zwei nützliche Grundbausteine für die Verwaltung. Sie können Ihre ausgehende SSH-Verbindung als Client durch Tor leiten, sodass Ihre echte IP den Server nie berührt. Oder Sie veröffentlichen den SSH-Daemon selbst als Onion-Service, sodass die Kiste keinen exponierten Verwaltungsport im Clearnet hat. Die meisten sorgfältigen Betreiber nutzen am Ende beides zusammen. Wir werden vom einfachsten Setup zum stärksten aufbauen.
Die anonyme Bereitstellung deckt nur die Eingangstür ab. Wenn Sie sich ohne KYC anmelden und mit einem ohne KYC abgerechneten VPS in Monero bezahlen, hat der Anbieter keinen Namen oder keine Karte, die mit Ihrem Konto verbunden ist – aber in dem Moment, in dem Sie sich von Ihrer Heimverbindung aus anmelden, schaffen Sie eine neue, fortlaufende Papierspur. Ihr ISP sieht wiederholte Verbindungen zu einer bestimmten Rechenzentrums-IP. Die eigenen Auth-Logs des Servers zeichnen die Quelladresse jeder Sitzung auf. Korrelieren Sie die beiden, und die Anonymität, für die Sie bezahlt haben, verflüchtigt sich.
Die Weiterleitung des Verwaltungsverkehrs über Tor schließt diese Lücke. Ihr ISP sieht nur, dass Sie Tor verwendet haben; er kann nicht sehen, welchen Server Sie erreicht haben. Der VPS sieht einen Tor-Exit (oder einen Rendezvous-Punkt bei Onion-SSH), niemals Ihre Adresse. Die Identität, die Sie beim Anmeldeformular weggelassen haben, bleibt Sitzung für Sitzung von der Leitung fern.
Tor schützt den Netzwerkpfad. Es bereinigt nicht die Maschine, das Konto oder Ihre operativen Gewohnheiten. Bevor Sie beginnen, sollten Sie sich klar darüber sein, wogegen Sie sich tatsächlich verteidigen: einen passiven Beobachter in Ihrem lokalen Netzwerk, die Fähigkeit des Anbieters, Ihre Verwaltungs-IP mit der Box zu korrelieren, und Protokollaufzeichnungen, die die Sitzung überdauern. Tor adressiert alle drei. Es schützt Sie nicht, wenn Sie Ihren echten Hostnamen in eine Konfiguration einfügen, einen SSH-Schlüssel wiederverwenden, der bereits anderswo mit Ihrem Namen verknüpft ist, oder ein undichtes Tool ausführen, das DNS außerhalb des Tunnels auflöst. Halten Sie das Modell ehrlich, und Sie werden unten die richtigen Kompromisse eingehen.
Der schnellste Weg, einen einzelnen Befehl durch Tor zu tunneln, ist torsocks, ein Wrapper, der die Netzwerkaufrufe eines Programms durch den lokalen Tor-SOCKS-Proxy (normalerweise 127.0.0.1:9050) zwingt. Installieren Sie den Tor-Client auf Ihrer Workstation, stellen Sie sicher, dass der Daemon läuft, und stellen Sie dann Ihren SSH-Befehl voran:
torsocks ssh [email protected]Das entscheidende Detail ist DNS. Ein naives ssh hostname löst den Namen zuerst auf Ihrem Rechner über Ihren normalen Resolver auf – ein klassischer Leak, der Ihrem ISP genau verrät, welchen Anbieter Sie gleich erreichen wollen, bevor Tor die Verbindung überhaupt sieht. torsocks fängt getaddrinfo ab und leitet die Auflösung ebenfalls durch Tor, sodass der Lookup Ihren lokalen Resolver nie erreicht. Die Verbindung zu einer rohen IP vermeidet die Namensauflösung vollständig und ist die sicherste Gewohnheit. Überprüfen Sie in jedem Fall: Wenn Sie eine DNS-Abfrage für den Hostnamen Ihres Servers in Ihrem eigenen Netzwerk sehen, erfüllt der Tunnel seine Aufgabe nicht.
Für alles, was Sie mehr als einmal tun, bauen Sie Tor in ~/.ssh/config ein, damit Sie den Wrapper nicht vergessen können. Bei Verwendung von netcat mit einem SOCKS-Proxy sieht ein pro-Host-Block so aus:
Host ghost
HostName 203.0.113.10
User admin
ProxyCommand nc -x 127.0.0.1:9050 -X 5 %h %p
IdentitiesOnly yes
IdentityFile ~/.ssh/ghost_ed25519Jetzt wählt ssh ghost immer über Tors SOCKS5-Port, und %h/%p werden an den Proxy übergeben – die Namensauflösung findet also am Exit statt, nicht auf Ihrer Box. Setzen Sie IdentitiesOnly yes, damit Ihr Client nicht jeden Schlüssel in Ihrem Agenten an den Server weitergibt (was sowohl ein Fingerabdruck als auch ein kleiner Leak ist). Geben Sie jeder anonymen Box einen eigenen dedizierten Schlüssel, der nirgendwo sonst mit Ihrer echten Identität verbunden ist, und deaktivieren Sie serverseitig die Passwortauthentifizierung, damit ein erratenes Passwort wertlos ist.
Eine Besonderheit, die Sie kennen sollten: Tor fügt Latenz hinzu, und jeder neue Schaltkreis ist ein frischer, zufälliger Exit, sodass interaktives Tippen träge wirken kann und langlebige Sitzungen gelegentlich abbrechen, wenn sich ein Schaltkreis dreht. Wenn Sie Ihre Arbeit auf dem Server in tmux oder screen ausführen, kostet Sie ein abgebrochener Schaltkreis eine Wiederverbindung, nicht Ihre Sitzung.
Die stärkste Haltung entfernt den Clearnet-Verwaltungsport vollständig. Anstatt Port 22 dem Internet auszusetzen und per Firewall zu schützen, betreiben Sie einen Tor-Onion-Service auf dem VPS, der an 127.0.0.1:22 weiterleitet. Der SSH-Daemon bindet dann nur an localhost; nichts antwortet auf der öffentlichen IP. Sie erreichen ihn über eine .onion-Adresse, über Tor, Ende zu Ende.
Fügen Sie auf dem Server einen Onion-Service zu Ihrer torrc hinzu, der auf den lokalen SSH-Port zeigt:
HiddenServiceDir /var/lib/tor/ssh/
HiddenServicePort 22 127.0.0.1:22Starten Sie Tor neu, lesen Sie die generierte hostname-Datei für Ihre v3 .onion und verbinden Sie sich von einem Client, der über Tor leitet:
torsocks ssh [email protected]Das hat zwei große Vorteile. Erstens gibt es keinen exponierten SSH-Port, den das Internet scannen, brute-forcen oder fingerabdrücken kann – automatisierte Angriffe auf Port 22 haben schlicht nichts zu treffen. Zweitens ist der Standort der Box vor dem Client verborgen und der Standort des Clients vor der Box; das Rendezvous findet innerhalb von Tor statt. Folgen Sie der aktuellen, maßgeblichen Anleitung aus der Onion-Service-Dokumentation des Tor-Projekts und nicht einem alten Blog, da sich die genauen torrc-Direktiven und Schlüsselformate zwischen den Versionen ändern. Für ein Admin-Panel, ein privates Dashboard oder ein Git-Remote gilt dasselbe Muster – veröffentlichen Sie den Localhost-Port als Onion und erreichen Sie ihn über Tor. Unser Walkthrough zum Betreiben eines Tor-Hidden-Service auf einem anonymen VPS geht auf dieser Seite tiefer.
Eine einfache Onion-Adresse ist unerratbar, aber nicht wirklich privat – jeder, der das .onion erfährt, kann die Anmeldeaufforderung erreichen. Tor unterstützt Client-Autorisierung, bei der der Onion nicht einmal einen Handshake abschließt, es sei denn, der verbindende Client präsentiert einen vorab geteilten Schlüssel. Fügen Sie den öffentlichen Schlüssel Ihres Clients zum authorized_clients-Verzeichnis des Dienstes hinzu, und der Onion wird für alle anderen unsichtbar: kein Schlüssel, keine Verbindung, keine Aufforderung. Für einen Verwaltungsendpunkt, den nur Sie jemals berühren, verwandelt dies „Sicherheit durch eine unerratbare Adresse“ in ein tatsächliches kryptografisches Tor.
Der häufigste Weg, wie Menschen leaken, während sie glauben, anonym zu sein, ist DNS. Wenn irgendein Teil Ihres Workflows den Servernamen außerhalb von Tor auflöst, haben Sie Ihr Ziel angekündigt. Bevorzugen Sie die Verbindung per IP oder .onion; wenn Sie einen Hostnamen verwenden müssen, stellen Sie sicher, dass die Auflösung proxied wird (torsocks, ein ProxyCommand oder eine App-Level-SOCKS-Einstellung mit aktiviertem Remote-DNS). Der EFF-Erklärer darüber, was Tor verbirgt und was nicht ist ein guter Realitätscheck, wo der Schutz endet.
Ein paar weitere Fallen, die es zu benennen lohnt:
Anonymität ist keine einmalige Einrichtung; sie ist eine Disziplin, die Sie Sitzung für Sitzung aufrechterhalten. Die Kette hält nur, wenn jedes Glied hält: anonyme Anmeldung ohne KYC, Zahlung in Monero, sodass es kein Karten-Ledger gibt, ein dedizierter SSH-Schlüssel, der nicht mit Ihrem Namen verbunden ist, DNS, das den Tunnel nie verlässt, und Verwaltung ausschließlich über Tor oder einen authentifizierten Onion-Service. Brechen Sie ein einziges Glied und die anderen können Sie nicht retten. Halten Sie alle und es gibt einfach keinen Punkt in der Pipeline, an dem sich Ihre echte Identität und Ihr Server treffen.
Voller Root, ohne KYC, Monero-Abrechnung, standardmäßig keine Logs. Bringen Sie Ihren eigenen Schlüssel mit, veröffentlichen Sie einen Onion, und verwalten Sie ihn, ohne dass Ihre Identität jemals die Leitung berührt.
HushVPS ist offshore-legal und datenminimierend, keine gesetzlose Zone. Die Verwaltung Ihrer eigenen Maschine über Tor ist eine normale Datenschutzpraxis; unsere Acceptable Use Policy verbietet weiterhin CSAM, Malware und Botnet-Infrastruktur, Spam und DDoS.