Anmelden über Tor verrät der Seite, wer du bist, nicht wo

Die Ausgangsadresse ändert sich, der Kontoname nicht, und die Seite baut seit Jahren ein Profil dieses Kontos auf. Die Anmeldung über Tor entfernt ein Signal, deinen gewohnten Netzwerkstandort, und lässt den Rest des Bildes unangetastet. Das ist immer noch etwas wert, und es ist keine Anonymität gegenüber dem Dienst, bei dem du dich gerade authentifiziert hast. Der Unterschied ist leicht zu benennen und unter Druck leicht zu vergessen.

Was die Anmeldung selbst preisgibt

Eine erfolgreiche Anmeldung ist eine bewusste Erklärung, dass diese Sitzung zu diesem Konto gehört. Aus Sicht des Dienstes ist alles danach dem Konto zurechenbar, einschließlich der besuchten Seiten, der gesendeten Nachrichten und der Tageszeiten, zu denen das Konto erscheint.

Tor verändert, was das Ziel über deinen Netzwerkpfad beobachten kann: Statt deiner Adresse sieht es ein Ausgangsrelais. Es ändert nicht, was du der Seite durch die Authentifizierung gesagt hast, und es macht zwei Anmeldungen desselben Kontos nicht unabhängig voneinander.

Links innerhalb des Kontos funktionieren genauso. Eine Wiederherstellungsadresse, eine Telefonnummer, eine gespeicherte Zahlungsmethode oder ein anderswo wiederverwendeter Spitzname hängen alle an der Identität, mit der du dich angemeldet hast, unabhängig davon, welche Route die Pakete genommen haben.

Ein neuer Schaltkreis ist kein neues Konto

Der Tor Browser bietet zwei verschiedene Aktionen, die Menschen für eine halten. Ein neuer Schaltkreis für die Seite ändert den Relaispfad zu diesem Ziel und lässt den privaten Zustand des Browsers unberührt. Neue Identität ist umfassender: Sie löscht den Browserzustand, beendet Aktivitäten und beginnt von vorn, was ein anderer Vorgang mit anderen Folgen ist.

Keine der beiden Aktionen bittet die Gegenseite, etwas zu vergessen. Bereits gesetzte Cookies, ein Sitzungstoken, das die Seite hält, oder ein bei der Anmeldung erfasster Gerätefingerabdruck beschreiben nach dem Wechsel der Route weiterhin denselben Besucher.

Eine frische Ausgangsadresse wirkt also für einen Dienst, der das Konto kennt, nicht wie ein neuer Mensch. Sie wirkt wie dasselbe Konto, das von anderswo ankommt, und genau dieses Muster sind Betrugssysteme darauf ausgelegt zu bemerken. Dieses Muster ist kein Fehler der Seite. Die Seite tut die Arbeit, um die du sie durch die Anmeldung gebeten hast, und die einzigen Überraschungen entstehen aus der Erwartung des Gegenteils.

Was der Ausgang noch sieht

Das Ausgangsrelais überträgt deinen Verkehr im Klartext, sofern das Ziel nicht HTTPS verwendet, weshalb die Zertifikatsprüfungen des Browsers auf diesem Weg wichtiger sind, nicht weniger. Ein bösartiger Ausgang ist ein realistischer Gegner für unverschlüsselten Verkehr, und eine Anmeldeseite ist der schlechteste Ort, ihm zu begegnen.

HTTPS schützt den Inhalt vor dem Ausgang und tut nichts für das Konto, mit dem du dich angemeldet hast. Die beiden Schutzmaßnahmen decken unterschiedliche Beobachter ab, und keine ersetzt die andere.

Rechne mit den Kontoprüfungen

Dienste reagieren auf einen Tor-Ausgang routinemäßig mit zusätzlicher Prüfung: einem Captcha, einer E-Mail-Bestätigung oder einer vorübergehenden Sperre. Das ist eine normale Reaktion auf einen geteilten und früher missbrauchten Quellbereich, kein Beweis, dass die Sitzung kompromittiert wurde.

Die nützliche Reaktion ist, die unterstützte Prüfung einmal abzuschließen. Wiederholt Schaltkreise zu wechseln, bis eine Aufforderung verschwindet, lehrt dich nichts über das Konto und kann schlechter aussehen als die ursprüngliche Aufforderung. Es verschwendet auch das Einzige, was du geschützt hast.

Lässt sich eine Prüfung nicht abschließen, ist das eine Information über die Richtlinie des Dienstes, und die Entscheidung, die zu treffen ist, lautet, ob das Konto es wert ist, ohne den Tunnel erreicht zu werden. Beide Optionen sind legitim; die Behinderung für einen Fehler zu halten, nicht.

Entscheide, welches Ziel du tatsächlich hast

Es gibt zwei Ziele, die Menschen verwechseln: den Weg zu einer bekannten Identität zu schützen und zu verhindern, dass getrennte Aktivitäten zusammengeführt werden. Tor dient dem ersten gut. Das zweite verlangt, sich gar nicht anzumelden oder nur mit einer Identität, die für diesen Zweck geschaffen und nie mit der ersten vermischt wurde.

Benenne das Ziel, bevor du das Werkzeug wählst. Muss das Konto genutzt werden, ist die ehrliche Beschreibung des Aufbaus ein privater Weg zu einem bekannten Konto, und die Datenschutzbehauptung sollte darauf begrenzt werden, was das tatsächlich schützt.