Was ist ein Tor-Exit-Node, und sollte ich ihn sperren?

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 4 Min. Lesezeit

Du hast eine Adresse aus deinen Logs abgefragt, und die Antwort lautet: Tor-Exit-Node. Das klingt alarmierend. Meist heißt es nur, dass du herausgefunden hast, wo die Spur endet.

Wie Tor eine Adresse verbirgt

Der Tor Browser schickt jede Verbindung durch drei Relays, die Freiwillige auf der ganzen Welt betreiben. Das erste weiß, wer der Nutzer ist, aber nicht, wohin es geht. Das letzte, der Exit, kennt das Ziel, aber nicht den Absender. Deine Website spricht mit dem Exit, also steht seine Adresse in deinem Log.

Daraus folgen zwei Dinge, und sie sind wichtiger als alles andere in diesem Ratgeber:

Eine Exit-Adresse ist keine Person. Hunderte Menschen ohne jede Verbindung zueinander können denselben Exit in einer Stunde nutzen. Ihn zu sperren sperrt sie alle; „die Person dahinter“ von deiner Seite aus zu identifizieren ist konstruktionsbedingt unmöglich.
Dieselbe Person kann über viele Exits kommen. Tor wählt regelmäßig neue Verbindungswege, eine Exit-Adresse zu sperren stoppt also eine Verbindung, und die nächste kommt von woanders.

Nicht jedes Relay ist ein Exit, und nicht alle Exits lassen denselben Verkehr durch: Jeder Betreiber legt eine Exit-Policy fest, und viele Relays erlauben überhaupt keinen Ausgang. Deshalb zählt für deine Logs nur die Exit-Liste.

So erkennst du, dass eine Adresse ein Tor-Exit ist

Das Tor-Projekt veröffentlicht die aktuellen Exit-Adressen als einfache Liste, eine pro Zeile, unter check.torproject.org/torbulkexitlist. iplover lädt sie alle drei Stunden und vergleicht Adressen damit auf unserem Server. Für ein vergangenes Datum sagt der Dienst ExoneraTor des Tor-Projekts, ob eine Adresse an einem bestimmten Tag ein Tor-Relay war; das ist die richtige Frage für eine alte Logzeile.

Ein Praxisbeispiel: ein Passwortrater über Tor

Vier Zeilen aus dem Access-Log eines WordPress, im Abstand von acht Sekunden:

185.220.101.1 - - [05/Nov/2026:09:31:07 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:09 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:12 +0000] "POST /xmlrpc.php HTTP/1.1" 200 4272 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:15 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"

Die IP-Abfrage von iplover lieferte für 185.220.101.1 am 9. November 2026 Folgendes:

Urteil	Tor-Exit-Node Das ist ein Tor-Exit-Node.
Warum	In der Exit-Liste des Tor-Projekts gefunden. „Verkehr von dieser Adresse stammt von Menschen, die über das Tor-Netz verbergen, von wo sie sich verbinden. Es ist nicht die Adresse der Person dahinter.“
Rückwärts-DNS	`berlin01.tor-exit.artikel10.org`, vorwärts bestätigt
Netz	Artikel10 e.V., RIPE NCC (AS60729), Deutschland
Abuse-Kontakt	`abuse@artikel10.org`

Lies den Rückwärtsnamen: Der Betreiber nennt die Maschine offen einen Tor-Exit. Große Exits werden oft von gemeinnützigen Vereinen wie diesem betrieben, die sagen, wer sie sind, und Abuse-Mails beantworten, auch wenn sie dir nicht sagen können, welcher Nutzer eine Anfrage geschickt hat.

Zu den vier Anfragen: Es sind Passwortversuche, und alle sind gescheitert (ein fehlgeschlagener WordPress-Login liefert die Anmeldeseite erneut mit Status 200; ein erfolgreicher leitet mit 302 weiter). Diesen Exit zu sperren würde diese vier stoppen. Die nächste Runde käme von einem anderen Exit oder einem Cloud-Server. Die sinnvolle Lösung ist dieselbe wie bei jedem Passwortraten: starke Passwörter, Zwei-Faktor-Authentifizierung und Ratenbegrenzung auf der Login-Seite.

Solltest du Tor sperren?

Der Rat des Tor-Projekts an Seitenbetreiber verdient es, wiederholt zu werden: Manche der Tor-Nutzer, die deinen Dienst gerade erreichen, können völlig legitim sein. Journalistinnen, Menschen in Ländern mit Internetzensur, Leute, die Tracking vermeiden wollen, und Sicherheitsforschende nutzen es. Ob es sich lohnt, sie zu verlieren, hängt von deiner Seite ab:

Deine Situation	Sinnvolle Wahl	Warum
Blog, Nachrichten, Dokumentation, öffentliche Informationen	Nicht sperren	Lesen ist harmlos, und diese Leser haben oft gute Gründe für Tor.
Passwortraten auf deiner Login-Seite	Für alle drosseln und 2FA einführen	Rater wechseln Exits und Netze; die Lösung muss am Login selbst ansetzen.
Betrug bei Registrierungen oder Zahlungen	Für Tor Hürden einbauen: zusätzliche Prüfung, manuelle Kontrolle, eine Challenge	Echte Nutzer bleiben möglich, und Missbrauch wird teurer.
Spam in Kommentaren oder Formularen	Challenge oder Moderation statt Sperre	Spam kommt von überall; Tor ist selten der Großteil davon.
Admin-Bereiche, interne Tools	Nur bekannte Adressen oder ein VPN zulassen	Die sollten für das ganze Internet zu sein, nicht nur für Tor.
Eine rechtliche oder vertragliche Pflicht, das Land des Nutzers zu kennen	Tor sperren oder einschränken, und das auf der Seite sagen	Mit Tor ist der Standort konstruktionsbedingt nicht feststellbar.

Wenn du Tor einschränkst, ist die Exit-Liste die einzig verlässliche Quelle, und sie ändert sich ständig. Nutze sie also automatisch, statt Adressen in eine Konfigurationsdatei zu kopieren. Manche CDNs erledigen das für dich: Cloudflare zum Beispiel kennzeichnet Tor-Besucher mit dem besonderen Ländercode T1, sodass du sie anders behandeln kannst, statt sie pauschal zu sperren.

Was ein Tor-Exit nicht verrät

Ein Tor-Exit sagt dir, dass sich der Besucher für Privatsphäre entschieden hat. Er sagt dir nicht, wer er ist, wo er ist oder ob er Böses vorhat, und nichts auf deiner Seite kann das herausfinden. Beurteile die Anfrage, nicht das Netz: Vier Passwortversuche sind von jeder Adresse ein Problem, ein normaler Seitenaufruf ist keins, auch nicht über Tor.

Quellen

Offizielle Dokumente, mit denen wir die Fakten in diesem Ratgeber geprüft haben.