Tor auf dem Raspberry Pi – Anonymität als Heimnetz-Dienst

Passende Hardware im Überblick

Boards – ein Dauerläufer mit Reserve:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für Gateway und Relay (Link)*
Raspberry Pi 5 mit 16GB RAM – wenn weitere Dienste mitlaufen (Link)*
Raspberry Pi 5 mit 4GB RAM – für Tor allein völlig ausreichend (Link)*
Raspberry Pi 4 Starter-Set – der sparsame Zweitrechner (Link)*
Raspberry Pi Zero 2 W – genug für einen reinen Onion-Dienst (Link)*

Speicher und Strom für den Dauerbetrieb:
SanDisk Extreme A2 128GB – solide Karte für den Einstieg (Link)*
Geekworm X1001 M.2-HAT – macht den Pi 5 SSD-tauglich (Link)*
Intenso M.2 NVMe SSD 500GB – günstig und ausreichend (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Wahl (Link)*
Offizielles 27-W-Netzteil – Pflicht beim Pi 5 (Link)*
Geekworm X1200 USV – überbrückt kurze Stromausfälle (Link)*

Netzwerk und Gehäuse:
Waveshare PoE-HAT – Strom und Netzwerk über ein Kabel (Link)*
Passives Alu-Gehäuse – lüfterlos und lautlos (Link)*
db-tronic Komplett-Set für den Pi 5 – alles in einer Packung (Link)*

Kurz gesagt: Was bringt Tor auf dem Raspberry Pi?

Tor auf dem Raspberry Pi in der Kurzfassung:

• Installation in einer Zeile: sudo apt install tor – danach läuft ein SOCKS-Proxy auf 127.0.0.1:9050, über den sich jedes Programm ins Tor-Netz schicken lässt.
• Das Zwiebelprinzip: Jede Verbindung nimmt drei zufällig gewählte Zwischenstationen. Keine davon kennt Absender und Ziel gleichzeitig – genau daraus entsteht der Schutz.
• Als Gateway: Der Pi kann ein eigenes WLAN aufspannen und den gesamten Verkehr durch Tor leiten. Sinnvoll für ein einzelnes Recherchegerät, unbrauchbar für Streaming und Online-Banking.
• Als Relay: Eine obfs4-Bridge oder ein Middle-Relay ist auf dem Pi gut machbar. Ein Exit-Node gehört dagegen nicht in einen Privatanschluss – die Begründung steht weiter unten.
• Onion-Dienst: Der eigene Server wird ohne Portfreigabe, ohne feste IP und ohne Domain erreichbar. Das ist der stärkste Praxisnutzen für Bastler.
• Grenzen: Tor ist langsam, viele Webseiten sperren Tor-Adressen, und wer sich irgendwo mit seinem Konto anmeldet, gibt die Anonymität freiwillig wieder auf.

Was Tor ist – das Zwiebelprinzip hinter dem Netzwerk

Tor steht für „The Onion Router" und ist ein weltweites Netz aus mehreren tausend Servern, die Freiwillige und Organisationen betreiben. Statt direkt zur Zielseite zu gehen, nimmt der Datenverkehr einen Umweg über dieses Netz. Die Software ist quelloffen und läuft auf dem Raspberry Pi genauso wie auf jedem anderen Linux-Rechner.

Der Kern ist eine Kette aus drei Stationen. Der Eingangsknoten (Guard) sieht die eigene IP-Adresse, weiß aber nicht, wohin die Reise geht. Der Mittelknoten sieht weder Absender noch Ziel, er reicht nur weiter. Der Ausgangsknoten (Exit) stellt die Verbindung zur Webseite her und sieht das Ziel – aber nicht, von wem die Anfrage kam. Erst wenn jemand alle drei Stationen gleichzeitig kontrolliert, fällt dieser Schutz zusammen.

Der Name kommt von der Verschlüsselung: Die Daten stecken in mehreren Schichten wie in einer Zwiebel. Jede Station entfernt genau die Schicht, die für sie bestimmt ist, und sieht darunter nur, an wen sie das Paket als Nächstes reichen soll. Der Inhalt bleibt ihr verborgen; auf dem Rückweg gilt das Prinzip umgekehrt. Etwa im Zehn-Minuten-Takt baut die Software zudem einen neuen Kanal auf.

Eines gehört zur ehrlichen Beschreibung dazu: Der Ausgangsknoten sieht den Verkehr in der Form, in der er das Tor-Netz verlässt. Wer unverschlüsselt surft, legt seine Inhalte dort offen. Deshalb ist HTTPS auch mit Tor nicht verhandelbar.

Tor auf dem Raspberry Pi installieren – Schritt für Schritt

1. System vorbereiten: 64-Bit Raspberry Pi OS in einer aktuellen Fassung, sauber aktualisiert. Für Dauerbetrieb gehört das System auf eine SSD, nicht auf eine Speicherkarte.
2. Paket installieren: sudo apt update && sudo apt install tor – mehr braucht der Client nicht.
3. Dienst prüfen: sudo systemctl status tor@default. Im Protokoll (journalctl -eu tor@default) muss die Zeile Bootstrapped 100% (done) auftauchen.
4. Verbindung testen: curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip – die Antwort muss "IsTor":true enthalten.
5. Konfiguration anpassen: Alle Einstellungen stehen in /etc/tor/torrc. Nach jeder Änderung sudo systemctl restart tor ausführen.
6. Version im Blick behalten: Das Paket der Distribution hinkt der Entwicklung oft hinterher. Wer ein Relay betreibt, bindet besser das offizielle Paketarchiv des Tor Project ein, das auch arm64-Pakete führt.
7. Erwartung geraderücken: Einen offiziellen Tor Browser für ARM-Linux gibt es nicht. Wer den Proxy nur im normalen Firefox einträgt, verschleiert zwar die IP-Adresse, bleibt über den Browser-Fingerabdruck aber wiedererkennbar. Der Pi spielt seine Stärken bei Gateway, Relay und Onion-Dienst aus.

Den Raspberry Pi als Tor-Gateway im Heimnetz betreiben

Die Idee ist einfach: Der Pi hängt am Netzwerkkabel und spannt zusätzlich ein eigenes WLAN auf. Alles, was sich dort anmeldet, läuft ohne weitere Einstellungen durch Tor – auch Geräte, auf denen sich keine Software installieren lässt. Der Fachbegriff dafür lautet transparenter Proxy.

In der torrc sind dafür vier Zeilen nötig:

TransPort 0.0.0.0:9040
DNSPort 0.0.0.0:5353
AutomapHostsOnResolve 1
AutomapHostsSuffixes .onion,.exit

Dazu kommen Firewall-Regeln, die den TCP-Verkehr aus dem Gastnetz auf Port 9040 und alle DNS-Anfragen auf Port 5353 umbiegen. Alles, was diese Regeln nicht erfassen, muss verworfen werden. Der häufigste Fehler ist ein vergessener DNS-Pfad: Fragt ein Gerät seinen Namensserver direkt, verrät es dem Provider jede besuchte Domain, obwohl der Datenverkehr selbst sauber durch Tor läuft.

Die nüchterne Einordnung gehört dazu. Ein Tor-Gateway eignet sich für ein abgetrenntes Recherchegerät, nicht als Dauerlösung für den ganzen Haushalt: Suchmaschinen werfen ständig Bilderrätsel, Banken sperren die Anmeldung, Videodienste verweigern den Dienst, und Updates kriechen. Wer nur Werbung loswerden will, ist mit Pi-hole besser bedient. Wer von unterwegs sicher ins eigene Netz möchte, nimmt WireGuard.

Tor-Relay betreiben – Bandbreite und Verantwortung

Das Netz lebt davon, dass Freiwillige Server bereitstellen. Die Anforderungen des Tor Project: mindestens 10 Mbit/s, empfohlen sind 16 Mbit/s in beide Richtungen, dazu mindestens 100 GByte ausgehender und ebenso viel eingehender Datenverkehr im Monat – ideal sind 2 TByte oder ein Anschluss ohne Volumengrenze. An Arbeitsspeicher genügen 512 MByte unterhalb von 40 Mbit/s und 1 GByte darüber, für Exit-Relays werden 1,5 GByte empfohlen; auf der Platte belegt Tor weniger als 200 MByte. Der Pi ist also nie das Nadelöhr – die Internetleitung ist es.

Ein Middle-Relay braucht in der torrc nur wenige Zeilen und im Router eine Portfreigabe auf den gewählten ORPort:

ORPort 443
Nickname MeinRelay
ContactInfo mail@example.org
ExitRelay 0
RelayBandwidthRate 2 MBytes
RelayBandwidthBurst 4 MBytes
AccountingMax 500 GBytes
AccountingStart month 1 00:00

Ein Hinweis, der viele Vorhaben früh beendet: An einem DS-Lite-Anschluss ohne echte IPv4-Adresse ist kein eingehender Verbindungsaufbau möglich. Ein klassisches Relay fällt damit praktisch aus, ein reines IPv6-Relay wird nur von einem Bruchteil der Nutzer erreicht.

Warum vom Exit-Node abzuraten ist: Der Ausgangsknoten ist die Adresse, die alle Zielserver zu sehen bekommen. Was fremde Menschen über diese Verbindung tun, landet damit zuerst beim Anschlussinhaber. Die Folgen reichen von Abuse-Meldungen des Providers über Sperrlisten und gekündigte Verträge bis zu Ermittlungsverfahren; Berichte über Hausdurchsuchungen und beschlagnahmte Technik bei Exit-Betreibern gibt es seit Jahren immer wieder. Das Haftungsprivileg für reine Zugangsvermittler – seit 2024 im Digitale-Dienste-Gesetz statt im alten Telemediengesetz geregelt – schützt am Ende vielleicht vor einer Verurteilung, nicht aber vor dem Verfahren und dem Verlust der Geräte. Das Tor Project rät selbst ausdrücklich davon ab, Exit-Relays von zu Hause zu betreiben, und empfiehlt dafür Rechenzentren mit eigenem Adressbereich, gepflegtem Abuse-Kontakt und rechtlicher Rückendeckung.

Die bessere Wahl für den Pi im Wohnzimmer ist deshalb eine obfs4-Bridge. Sie taucht in keiner öffentlichen Liste auf, hilft gezielt Menschen, denen der Zugang zum Tor-Netz blockiert wird, kommt mit weniger als 10 Mbit/s aus – und leitet keinen fremden Verkehr unter der eigenen IP ins offene Netz. Nötig sind die Pakete tor und obfs4proxy sowie ein paar Zeilen in der torrc: BridgeRelay 1, ein ORPort, dazu ServerTransportPlugin obfs4 exec /usr/bin/obfs4proxy, ServerTransportListenAddr obfs4 0.0.0.0:PORT und ExtORPort auto. Beide Ports gehören im Router freigegeben.

Onion-Dienst einrichten – der eigene Server ohne Portfreigabe

Das ist der praktisch wertvollste Teil von Tor: Ein Onion-Dienst meldet sich selbst im Tor-Netz an, statt auf eine Verbindung von außen zu warten. Portfreigabe, DynDNS-Konto und feste IP-Adresse entfallen damit auf einen Schlag.

1. Dienst lokal betreiben: Ein Webserver, Vaultwarden oder ein anderes Programm lauscht ausschließlich auf 127.0.0.1.
2. torrc ergänzen: HiddenServiceDir /var/lib/tor/meinserver/ und darunter HiddenServicePort 80 127.0.0.1:80.
3. Tor neu starten: sudo systemctl restart tor – dabei legt Tor das Verzeichnis samt Schlüsselpaar an.
4. Adresse auslesen: sudo cat /var/lib/tor/meinserver/hostname liefert die 56 Zeichen lange Adresse mit der Endung .onion.
5. Testen: Die Adresse im Tor Browser aufrufen. Der erste Verbindungsaufbau dauert spürbar länger als gewohnt.
6. Optional absichern: Mit der Client-Authorisierung von Onion v3 kommt nur noch herein, wer den passenden Schlüssel hinterlegt hat. Für private Zugänge ist das die sinnvolle Ergänzung.

Die Vorteile: kein offener Port am Router, kein Zertifikat, keine Domain – und der Aufbau funktioniert auch hinter DS-Lite oder im Mobilfunknetz. Die Verbindung ist von Ende zu Ende verschlüsselt, die IP-Adresse des Servers bleibt verborgen. Auf demselben Weg lässt sich auch SSH anbinden, ohne einen Port ins Internet zu öffnen.

Die Kehrseite: Der Dienst ist ausschließlich über Tor erreichbar, die Adresse lässt sich niemandem diktieren, und das Tempo liegt deutlich unter dem einer direkten Verbindung. Für eine öffentliche Webseite ist das nichts – für den privaten Zugriff auf die eigenen Daten eine der elegantesten Lösungen überhaupt.

Tor, VPN, WireGuard und Cloudflare Tunnel im Vergleich

Diese Werkzeuge werden gern in einen Topf geworfen, lösen aber verschiedene Aufgaben:

Kurz: Fernzugriff aufs eigene Netz gehört zu WireGuard, bequeme Gerätevernetzung zu Tailscale, eine öffentliche Seite hinter DS-Lite zum Cloudflare Tunnel. Tor ist das Mittel der Wahl, wenn niemand erfahren soll, wer da anfragt – oder wenn ein Dienst ohne Anbieter, Domain und Portfreigabe erreichbar sein soll.

Irrtümer und Stolpersteine rund um Tor

• Tor macht nicht automatisch anonym: Wer sich über Tor bei einem Konto anmeldet, hat sich dem Dienst vorgestellt. Das Netz schützt die technische Herkunft, nicht die freiwillig preisgegebene Identität.
• DNS-Lecks sind der Klassiker: Programme fragen ihren Namensserver oft am Proxy vorbei. Bei curl gehört deshalb --socks5-hostname statt --socks5 gesetzt, im Browser die Option für DNS über den Proxy – und am Gateway jede DNS-Anfrage zwingend umgeleitet.
• Proxy im Browser ist kein Tor Browser: Auflösung, Schriftenliste und Erweiterungen ergeben einen Fingerabdruck, der über die IP-Adresse hinaus wiedererkennbar bleibt.
• Tempo realistisch einschätzen: Wenige Mbit/s und spürbare Verzögerung sind normal – Videokonferenzen, Spiele und große Downloads scheiden aus.
• Torrents gehören nicht ins Tor-Netz: Viele Clients umgehen den Proxy und senden die echte IP-Adresse mit; obendrein belasten sie das freiwillig betriebene Netz massiv.
• Veraltete Pakete vermeiden: Für Relays und Bridges zählt eine gepflegte Version – das Paketarchiv des Tor Project ist zuverlässiger als das Systemarchiv.
• Der Betrieb selbst ist erlaubt: Tor zu nutzen und ein Relay bereitzustellen ist in Deutschland nicht verboten. Verboten bleibt, was ohnehin verboten ist. Wer einen Dienst öffnet, sollte den Pi sauber absichern.

Häufige Fragen zu Tor auf dem Raspberry Pi

Ist der Betrieb von Tor in Deutschland legal?
Ja. Die Nutzung des Netzes und der Betrieb von Bridges oder Middle-Relays sind erlaubt. Heikel wird es allein beim Exit-Node, weil dessen IP-Adresse für den Verkehr fremder Menschen nach außen sichtbar wird.

Welcher Raspberry Pi reicht für Tor aus?
Für Client und Onion-Dienst genügt schon ein Zero 2 W. Für ein Relay sind Pi 4 oder Pi 5 die vernünftige Basis, weil dort Netzwerkanbindung und Arbeitsspeicher reichlich bemessen sind.

Wie schnell ist Tor auf dem Pi?
Das Board ist nicht der begrenzende Faktor, das Netz ist es. Ein Pi 5 verarbeitet mehr Datenverkehr, als ein üblicher Hausanschluss im Upload hergibt – die Bremse sind die drei Zwischenstationen.

Was kostet ein Relay an Strom und Datenvolumen?
Der Stromverbrauch bleibt im einstelligen Wattbereich. Das Datenvolumen dagegen ist nach oben offen – deshalb sollte AccountingMax gesetzt sein, und ein Anschluss ohne Volumengrenze ist Voraussetzung.

Brauche ich für einen Onion-Dienst eine Portfreigabe?
Nein, und genau das ist der Reiz. Der Pi baut die Verbindung ins Tor-Netz von innen heraus auf – das klappt auch an Anschlüssen mit DS-Lite oder im Mobilfunknetz.

Lassen sich Tor und Pi-hole auf demselben Pi betreiben?
Technisch ja, sauber getrennt ist es besser. Anfragen über Tor sieht Pi-hole nicht mehr, der Filter greift also nur für den restlichen Verkehr.

Was unterscheidet Tor von einem VPN?
Ein VPN verlagert das Vertrauen auf einen einzigen Anbieter, der Herkunft und Ziel gleichzeitig kennt. Tor verteilt es auf drei unabhängige Stationen, von denen keine beides weiß. Dafür ist ein VPN schnell und alltagstauglich, Tor nicht.

Fazit

Tor auf dem Raspberry Pi ist kein Ersatz für ein VPN und kein Turbo für die Privatsphäre, sondern ein Spezialwerkzeug mit drei sehr unterschiedlichen Einsatzformen. Unsere klare Empfehlung dazu: Fang mit dem Onion-Dienst an. Er löst ein echtes Alltagsproblem – den Zugriff auf den eigenen Server ohne offenen Port, ohne DynDNS und ohne feste IP – und er kostet nichts außer zwei Zeilen in der torrc. Wer dem Netz etwas zurückgeben will, richtet als Zweites eine obfs4-Bridge ein: wenig Last, echter Nutzen für Menschen hinter Netzsperren, keine unangenehmen Nebenwirkungen. Und der dritte Rat ist der wichtigste: Finger weg vom Exit-Node am Privatanschluss. Der ideelle Gewinn steht in keinem Verhältnis zu Abuse-Meldungen, Ermittlungsverfahren und beschlagnahmter Technik – diese Aufgabe gehört in ein Rechenzentrum, nicht ins Wohnzimmer.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)