Wie hoste ich einen Onion Service auf meinem eigenen Server?

Was ist ein Onion-Service und warum sollte man einen betreiben?

Ein Onion-Service ist ein Dienst, der nur über Tor unter einer Adresse erreichbar ist, die auf .onion endet. Die Übersicht des Tor Project, gelesen am 1. November 2026, listet, was er Ihnen bietet:

• Standortverbergung: Die IP-Adresse des Dienstes wird nicht offengelegt; im Protokoll wird sie nicht einmal verwendet.
• Ende-zu-Ende-Authentifizierung: Die 56-stellige v3-Adresse ist der öffentliche Schlüssel des Dienstes, sodass ihn niemand vortäuschen kann.
• Ende-zu-Ende-Verschlüsselung: Der Traffic wird vom Client zum Dienst verschlüsselt, sozusagen kostenlos HTTPS.
• NAT-Punching: Der Dienst baut nur ausgehende Verbindungen auf und braucht daher keine offenen eingehenden Ports.

Der letzte Punkt bedeutet, dass Sie einen Onion-Service ganz ohne öffentlich lauschenden Port betreiben können. Sie brauchen weiterhin eine Maschine, die Sie kontrollieren, um ihn darauf laufen zu lassen, mit Root und Uptime – genau das bietet ein gemieteter Liegeplatz.

Was gehört in die torrc für einen Onion-Service?

Zwei Zeilen sind das Minimum. Verwenden Sie einen Unix-Socket, damit der Dienst nicht über das lokale Netzwerk erreichbar ist, wie das Tor Project empfiehlt.

# Keys and hostname live here; keep this directory private
HiddenServiceDir /var/lib/tor/my-website/

# Forward the onion's port 80 to the local web server
# A Unix socket avoids exposing the service on the LAN
HiddenServicePort 80 unix:/var/run/tor/my-website.sock

# Then: systemctl restart tor
# Read /var/lib/tor/my-website/hostname for your .onion address

Wie halte ich einen Onion-Service sicher?

Die Hinweise des Tor Project zur operationalen Sicherheit nennen die wichtigsten Punkte:

• Betreiben Sie den Dienst auf einem Tor-Client, nicht auf einem Relay. Uptime und Eigenschaften eines Relays sind öffentlich, was Informationen über den Dienst preisgibt.
• Verbergen Sie Server-Fingerabdrücke. Verhindern Sie, dass der Webserver seine Software, Version oder irgendetwas über das Betriebssystem oder den Standort verrät.
• Halten Sie ihn am Laufen. Wenn die Maschine offline geht, geht auch der Dienst offline, und ein unregelmäßig laufender Dienst verrät einem Beobachter Muster.
• Nutzen Sie die Client-Autorisierung, um zu begrenzen, wer einen privaten Dienst erreichen kann, und OnionScan, um zu prüfen, dass die Seite nicht ihre echte IP preisgibt.
• Vanguards schützt vor fortgeschrittenen Angriffen auf die Circuits des Dienstes.

Für einen stark ausgelasteten Dienst ergänzen die DoS-Richtlinien eine Ratenbegrenzung an den Introduction-Points, ein Proof-of-Work-Rätsel, Stream-Limits und Onionbalance für hohe Verfügbarkeit. Eine ganze Maschine mit Root ermöglicht Ihnen, all das umzusetzen; ein Platz führt keine Logs, sodass es nichts gibt, was Ravenquay über Ihre Besucher herausgeben könnte: Wir führen keinerlei Logs: keine Verbindungsdaten, keine Verkehrsdaten und keine IP-Adressen von Besuchern oder Kunden, weder auf der Webseite, im Dashboard noch auf den Servern

Warum einen Onion-Service auf einer gemieteten Offshore-Maschine betreiben?

Weil ein Onion-Service Uptime, Root und einen Hoster will, der sich aus Ihrem Traffic heraushält. Ein Liegeplatz bei Ravenquay ist eine ganze physische Maschine: Auf der Maschine wird nichts geteilt: Prozessor, Arbeitsspeicher und Festplatten dienen ausschließlich Ihren Workloads. Sie wählen das Land, in dem Ihr Server steht, Reykjavik (Island), Zürich (Schweiz), Bukarest (Rumänien) und Amsterdam (Niederlande): jeder Liegeplatz in jedem Anlaufhafen, zu einem Preis, und das Unternehmen unterliegt panamaischem Recht.

Ravenquay hat am 30 October 2026 34 Dedicated-Server-Hoster geprüft: 21 nannten keine Tor-Richtlinie für ihre Server. Ein Onion-Service ist ein Tor-Client, kein Relay – fragen Sie einen solchen Hoster also, bevor Sie einen betreiben.

Ein Onion-Service ist rechtmäßige Privatsphäre-Infrastruktur, kein Schutzschild für Missbrauch. Die Regeln von Ravenquay gelten weiterhin für alles, was der Dienst tut: lesen Sie was auf einem Ravenquay-Server laufen darf. Siehe auch was datenschutzorientiertes Hosting enthalten sollte und die vollständige Preisübersicht von Ravenquay.