← Lernpfad Kapitel 6 von 7

Tor und Netzwerk-Privatsphäre

# # # # # #

Du kannst deine UTXOs perfekt labeln, KYC und Non-KYC strikt trennen und CoinJoin nutzen — und trotzdem deine Privatsphäre verlieren. Der Grund: Deine IP-Adresse. Die Netzwerk-Ebene ist der blinde Fleck vieler Bitcoin-Nutzer.

Warum deine IP-Adresse wichtig ist

Jedes Gerät, das sich mit dem Internet verbindet, hat eine IP-Adresse. Diese Adresse ist in vielen Fällen direkt mit deinem Haushalt verknüpft — dein Internet-Provider weiß, wer du bist. Und jeder Server, mit dem du dich verbindest, sieht deine IP.

Im Bitcoin-Kontext gibt es drei Situationen, in denen deine IP zum Problem wird:

1. Wallet verbindet sich mit fremdem Server

Wenn deine Wallet sich mit einem öffentlichen Electrum-Server oder einem Block-Explorer-Backend verbindet, erfährt dieser Server:

Damit hat der Serverbetreiber ein vollständiges Bild: Diese IP (= diese Person) besitzt diese Bitcoin-Adressen. Das ist schlimmer als Chain-Analyse, denn es erfordert keine Heuristiken — es ist eine direkte Verknüpfung.

2. Transaktion wird gebroadcastet

Wenn du eine Transaktion erstellst, muss sie ins Bitcoin-Netzwerk gesendet (gebroadcastet) werden. Deine Node (oder die Node, mit der deine Wallet verbunden ist) sendet die Transaktion an ihre Peers. Der erste Peer, der die Transaktion sieht, kennt deine IP.

Netzwerk-Beobachter, die viele Nodes betreiben, können durch Timing-Analyse feststellen, von welcher IP eine Transaktion ursprünglich stammt. Sie sehen, welcher Node die Transaktion als Erster propagiert hat.

3. Block-Explorer-Nutzung

Wenn du auf mempool.space oder einem anderen Block-Explorer eine Adresse nachschlägst, weiß der Betreiber: Diese IP interessiert sich für diese Adresse. Wenn du wiederholt dieselben Adressen prüfst, entsteht ein Muster.

→ Merke

Auf der Blockchain bist du pseudonym. Auf der Netzwerk-Ebene bist du deine IP-Adresse — und die ist in den meisten Fällen direkt mit deiner Identität verknüpft.

Gegenmaßnahme 1: Eigene Node

Der wichtigste einzelne Schritt: Betreibe deine eigene Bitcoin-Node. Wenn deine Wallet sich mit deiner eigenen Node verbindet, verlässt keine Adressanfrage dein lokales Netzwerk. Kein fremder Server erfährt, welche Adressen dir gehören.

Eine eigene Node bedeutet:

Bitcoin Core als Node

Bitcoin Core ist die Referenzimplementierung. Konfiguration für Tor in der bitcoin.conf:

# Tor-Proxy für ausgehende Verbindungen
proxy=127.0.0.1:9050

# Nur über Tor verbinden (keine Clearnet-Verbindungen)
onlynet=onion

# Eingehende Verbindungen über Tor-Hidden-Service
listen=1
bind=127.0.0.1

# DNS über Tor auflösen
dnsseed=0
dns=0

Mit dieser Konfiguration verbindet sich deine Node ausschließlich über Tor mit dem Bitcoin-Netzwerk. Keine direkte Internet-Verbindung, keine IP-Leaks.

Sparrow Wallet mit eigener Node

Sparrow Wallet kann sich direkt mit deiner Bitcoin Core Node verbinden — entweder lokal oder über Tor. In den Einstellungen:

  1. Server → „Private Electrum Server“ oder „Bitcoin Core“
  2. URL deiner Node eintragen (lokal: 127.0.0.1, remote: deine .onion-Adresse)
  3. Tor-Proxy aktivieren, falls die Node über Tor erreichbar ist

Damit fragt Sparrow ausschließlich deine eigene Node — kein öffentlicher Server sieht deine Adressen.

✍ Aufgabe

Wenn du bereits eine Bitcoin-Node betreibst: Prüfe, ob deine Wallet tatsächlich mit deiner Node verbunden ist. In Sparrow siehst du das am Server-Status unten rechts. Wenn dort ein öffentlicher Server steht, ändere das jetzt.

Gegenmaßnahme 2: Tor

Tor (The Onion Router) leitet deinen Netzwerkverkehr über drei zufällig gewählte Relays, sodass kein einzelner Teilnehmer sowohl Sender als auch Empfänger kennt. Für Bitcoin ist Tor besonders wertvoll:

Wie Tor funktioniert

Du → Guard Node → Middle Node → Exit Node → Ziel
       (kennt          (kennt         (kennt
       deine IP,       weder IP      das Ziel,
       nicht das        noch           nicht
       Ziel)           Ziel)         deine IP)

Jeder Node sieht nur seinen direkten Nachbarn. Kein einzelner Node kann deine IP mit deinem Ziel verknüpfen.

Bitcoin über Tor

Bitcoin Core hat native Tor-Unterstützung. Wenn Tor auf deinem System läuft (als Daemon oder über den Tor Browser), kann Bitcoin Core:

Tor für Wallets

Auch ohne eigene Node kannst du Tor nutzen:

⚡ Probiere es aus

Installiere Tor auf deinem System (auf NixOS: services.tor.enable = true; in deiner Konfiguration, auf Debian/Ubuntu: sudo apt install tor). Prüfe mit systemctl status tor, ob der Service läuft. Der SOCKS5-Proxy ist dann unter 127.0.0.1:9050 erreichbar.

VPN vs. Tor: Eine ehrliche Bewertung

Die Frage kommt immer: „Reicht nicht ein VPN?“ Die kurze Antwort: Ein VPN ist besser als nichts, aber kein Ersatz für Tor.

VPN

AspektBewertung
IP-Schutz gegenüber dem ZielserverJa — der Server sieht die VPN-IP
Schutz gegenüber dem VPN-AnbieterNein — der VPN-Anbieter sieht alles
VertrauensmodellDu vertraust einem einzelnen Unternehmen
GeschwindigkeitSchnell (ein Hop)
KostenKostenpflichtig (5-12 EUR/Monat)
Logging-PolicyBehauptet „No Logs“ — nicht überprüfbar

Tor

AspektBewertung
IP-Schutz gegenüber dem ZielserverJa — der Server sieht die Exit-Node-IP
Schutz gegenüber einzelnen NodesJa — kein einzelner Node kennt Sender + Ziel
VertrauensmodellKein Vertrauen in Einzelne nötig (3 Hops)
GeschwindigkeitLangsamer (drei Hops, Latenz)
KostenKostenlos
Logging-PolicyDesignbedingt nicht möglich (bei korrekter Nutzung)

Die Kernfrage

Bei einem VPN verschiebst du das Vertrauen: Statt deinem Internet-Provider vertraust du dem VPN-Anbieter. Wenn der VPN-Anbieter Logs führt (oder gezwungen wird, sie zu führen), bist du genauso exponiert.

Bei Tor gibt es keinen einzelnen Vertrauenspunkt. Selbst wenn ein Relay kompromittiert ist, kennt es nur einen Teil der Verbindung. Du bräuchtest gleichzeitig den Guard Node und den Exit Node in feindlicher Hand — und selbst dann ist die Zuordnung schwierig.

→ Merke

Für Bitcoin: Tor > VPN. Bitcoin-Transaktionen sind nicht zeitkritisch — die höhere Latenz von Tor ist kein Problem. Und das Vertrauensmodell von Tor ist fundamental besser als das eines VPN.

Mempool-Broadcasting und IP

Wenn du eine Transaktion broadcastest, sieht der erste Peer deine IP (oder deine Tor-Exit-IP). Ein Netzwerk-Beobachter, der viele Nodes betreibt, kann durch Timing feststellen, welcher Node die Transaktion als Erster ins Netzwerk gestellt hat.

Gegenmaßnahmen

I2P: Eine Alternative

I2P (Invisible Internet Project) ist ein alternatives Anonymisierungsnetzwerk. Anders als Tor, das primär für den Zugriff auf das normale Internet konzipiert ist, ist I2P als geschlossenes Netzwerk designt — Dienste innerhalb von I2P sind für I2P-Nutzer erreichbar, ohne das Netzwerk zu verlassen.

Bitcoin Core unterstützt I2P nativ seit Version 22.0:

# I2P-SAM-Proxy
i2psam=127.0.0.1:7656

Tor vs. I2P für Bitcoin

Praxis-Checklist

In der Reihenfolge der Wichtigkeit:

  1. Eigene Node betreiben — der wichtigste Schritt
  2. Wallet mit eigener Node verbinden — nicht mit öffentlichen Servern
  3. Tor für die Node aktivieren — alle Peer-Verbindungen über Tor
  4. Block-Explorer über Tor nutzen — oder besser: eigenen Explorer (mempool.space ist self-hostbar)
  5. I2P als zusätzliches Netzwerk — optional, aber empfehlenswert
✍ Aufgabe

Überprüfe jetzt, wie deine aktuelle Wallet sich mit dem Netzwerk verbindet. Frage dich: Welcher Server sieht meine Adressen? Kenne ich den Betreiber? Würde ich ihm meine Kontoauszüge zeigen? Wenn die Antwort auf die letzte Frage „Nein“ ist — ändere dein Setup.

Weiterführend

Diskussion via Nostr

Kommentare werden über das dezentrale Nostr-Netzwerk geladen. Du brauchst eine Nostr-Identität und eine Browser-Extension wie nos2x oder Alby.