Tor Browser installieren und prüfen: Windows, Mac und Linux

Ergänzende Ressource zur Lektion „TOR Browser installieren und prüfen (Windows, macOS, Linux)“ – Kurs Online-Anonymität

Wer Tor Browser installieren will, sollte auf den Download genauso achten wie auf die Installation. Eine Kopie aus der falschen Quelle kann genauso aussehen und trotzdem gegen dich arbeiten. Diese Ressource zeigt dir, woher der echte Browser kommt, was die Prüfung seiner Signatur beweist und wie du ihn unter Windows, macOS oder Linux installierst, prüfst und startest, in deinem eigenen Tempo.

A. Warum das wichtig ist

In diesem Kurs bedeutet Privatsphäre, zu entscheiden, was andere über dich wissen. Anonymität bedeutet, handeln zu können, ohne dass das, was du tust, mit dir als Person verknüpft wird. Tor Browser ist eines der wichtigsten Werkzeuge für das Zweite: Er ist darauf ausgelegt, deine Besuche schwerer mit dir in Verbindung zu bringen. Wie das funktioniert, erklärt die vorige Ressource dieses Abschnitts; hier geht es um eine frühere, leisere Frage: Ist der Browser, dem du gleich vertraust, der echte?

Diese Frage wiegt hier schwerer als bei vielen anderen Programmen. Eine veränderte Kopie eines Anonymisierungswerkzeugs kann aussehen und sich anfühlen wie das Original und dabei das Gegenteil tun: still genau die Verbindungen herstellen, die du lockern wolltest. Am Fenster oder am Symbol erkennst du das nicht, wohl aber an der Herkunft der Datei und an ihrer Signatur.

Stress muss das alles nicht machen. Der offizielle Weg ist kurz, die Menschen hinter dem Browser haben ihn dokumentiert, und du lernst ihn nur einmal. Die Regeln für die Nutzung von Werkzeugen wie Tor Browser unterscheiden sich von Land zu Land; bist du unsicher, was dort gilt, wo du lebst, prüfe das vor der Installation.

Was die Quellen sagen

Das Tor-Projekt, die gemeinnützige Organisation, die Tor Browser entwickelt, schreibt auf seiner deutschen Hilfeseite „Herunterladen“: „Am sichersten ist es, den Tor-Browser von der offiziellen Webseite herunterzuladen.“ Die Verbindung zur Seite ist dabei laut Tor-Projekt mit HTTPS gesichert. Im November 2026 führt die Schaltfläche „Tor-Browser herunterladen“ auf der deutschen Startseite des Projekts zu download.torproject.org/de. Für Netze, in denen die Seite gesperrt ist, nennt dieselbe Hilfeseite offizielle Mirrors (Spiegelseiten) bei der EFF und bei La Cebolla sowie einen automatischen Dienst namens GetTor.

Ebenso deutlich ist das Tor-Projekt bei Kopien, die anderswo verkauft werden. Tor Browser ist laut seiner Hilfeseite zu den Kosten Open-Source-Software und kostenlos, und: „Jegliche Browser, die vorgeben, Tor zu sein, und eine Zahlung verlangen, sind Fälschungen.“ Der Rat des Projekts lautet, von der offiziellen Downloadseite zu laden und danach die Signatur zu prüfen.

Das Risiko ist nicht theoretisch. 2019 beschrieb die Electronic Frontier Foundation (EFF), eine US-amerikanische Organisation für digitale Rechte, eine von Forschenden des Sicherheitsunternehmens ESET entdeckte trojanisierte Version von Tor Browser, also eine Fälschung mit verstecktem Schadcode. Verbreitet wurde sie über falsche Warnungen, der Browser sei veraltet, die auf Seiten mit ähnlich klingenden Adressen führten. Die Fälschung sendete einen eigenen User-Agent, die kurze Selbstbeschreibung, die ein Browser jeder besuchten Website übermittelt; laut EFF konnten die Angreifer so einen sehr spezifischen Fingerabdruck ihrer Opfer erstellen und verfolgen.

Die Werkzeuge zum Prüfen einer Signatur sind frei und kostenlos. Für Windows verweist das Tor-Projekt auf Gpg4win, laut eigener Projektseite die offizielle GnuPG-Distribution für Windows. Auf der deutschen Fassung dieser Seite heißt es: „Gpg4win wurde beauftragt vom Bundesamt für Sicherheit in der Informationstechnik (BSI).“ Dieselbe Seite nennt Gpg4win freie Software und hält fest, dass alle Dialoge vollständig auf Deutsch verfügbar sind.

B. Die wichtigsten Begriffe

Sechs Gedanken, die erklären, was du in jeder Phase tust und warum.

Die offizielle Quelle und nur sie

Den echten Tor Browser für Computer gibt es auf der Downloadseite des Tor-Projekts, die im November 2026 Versionen für Windows, macOS und GNU/Linux anbietet. Ist diese Seite in deinem Netz gesperrt, nennt das Tor-Projekt die offiziellen Mirrors und GetTor, das auf eine E-Mail oder eine Telegram-Nachricht mit Download-Links antwortet. Anzeigen in Suchmaschinen, Filesharing-Seiten, „schnellere“ oder „Pro“-Ausgaben und Links in Nachrichten stehen nicht auf dieser Liste.

Warum das für dich wichtig ist: Die Quelle entscheidet über alles Weitere. Eine echte Datei von einer offiziellen Adresse lässt sich danach prüfen; eine Datei von einer unbekannten Seite beginnt mit einer Frage, die du vielleicht nicht beantworten kannst.

Die digitale Signatur und die .asc-Datei

Neben jedem Download bietet das Tor-Projekt eine kleine Signaturdatei mit demselben Namen und der Endung .asc an; auf der Downloadseite heißt der Link dazu „Sig“. Die Prüfanleitung sagt: „Diese .asc-Dateien sind OpenPGP-Signaturen.“ OpenPGP ist ein offener Standard zum Signieren und Verschlüsseln, und die Signatur ist eine Art mathematisches Siegel, das das Entwicklungsteam mit seinem privaten Schlüssel anbringt. Laut Tor-Projekt stellt eine digitale Signatur sicher, dass ein Paket von seinen Entwicklerinnen und Entwicklern erstellt und danach nicht verändert wurde.

Warum das für dich wichtig ist: Ändert sich nach dem Signieren auch nur ein Byte des Installationsprogramms, etwa durch eine gefälschte Seite oder einen beschädigten Download, schlägt die Prüfung fehl. Das kannst du selbst feststellen, statt es einfach zu glauben.

Der Signaturschlüssel und sein Fingerabdruck

Um das Siegel zu prüfen, braucht dein Computer den öffentlichen Schlüssel des Entwicklungsteams. Der Fingerabdruck eines Schlüssels (englisch Fingerprint) ist eine lange Folge aus Buchstaben und Ziffern, die genau einen Schlüssel kennzeichnet. Im November 2026 nennt die Prüfanleitung des Tor-Projekts für den Signaturschlüssel „Tor Browser Developers“ den Fingerabdruck EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Vergleiche ihn mit der offiziellen Seite selbst, nicht mit einer Kopie, auch nicht mit dieser.

Warum das für dich wichtig ist: Die Prüfung beweist, dass eine Datei mit einem bestimmten Schlüssel signiert und seitdem nicht verändert wurde. Sie ist nur so verlässlich wie der Schlüssel, mit dem du prüfst: Deshalb sollte er vom Tor-Projekt kommen und nicht von derselben Stelle wie ein zweifelhafter Download.

Was die Prüfung nicht leistet

Eine gültige Signatur sagt dir, dass deine Kopie die ist, die das Entwicklungsteam veröffentlicht hat. Sie macht dich nicht anonym, und sie sagt nichts darüber, ob dein Computer selbst in gutem Zustand ist. Auch darüber, was du tust, sobald der Browser offen ist, sagt sie nichts: Die nächsten Ressourcen dieses Abschnitts behandeln die Gewohnheiten und Prüfungen, die dann zählen.

Warum das für dich wichtig ist: Wer die Grenze einer Prüfung kennt, wiegt sich nicht in falscher Sicherheit. Sie beantwortet eine Frage sehr gut, und nur diese eine.

Das Werkzeug, das prüft

Signaturen prüfst du mit GnuPG (GNU Privacy Guard), freier Software, die über die Befehlszeile arbeitet, also über ein Textfenster, in das du Anweisungen eintippst. Laut Tor-Projekt installierst du es unter Windows mit Gpg4win und unter macOS mit den GPGTools, deren Paket heute GPG Suite heißt. Unter Linux ist meist nichts zu tun, „da die meisten Linux-Distributionen es vorinstalliert haben“.

Warum das für dich wichtig ist: Du installierst das Prüfwerkzeug einmal und kannst es für jede neue Version wieder nutzen, ebenso für andere Software, die Signaturen auf dieselbe Weise veröffentlicht.

Erster Start und das Fenster „Mit Tor verbinden“

Wenn du Tor Browser zum ersten Mal startest, siehst du laut Tor-Projekt das Fenster „Mit Tor verbinden“. „Verbinden“ funktioniert in den meisten Fällen ohne weitere Konfiguration; „Verbindung konfigurieren“ ist für Verbindungen gedacht, die zensiert werden oder über einen Proxy laufen, und der Schalter „Immer automatisch verbinden“ nutzt beim nächsten Start die gespeicherten Verbindungseinstellungen. Ist Tor dort gesperrt, wo du bist, kann der Verbindungsassistent anhand deines Standorts eine Brücke (englisch Bridge) auswählen, einen alternativen Zugang zum Netz. Die Namen stehen so auf den deutschen Hilfeseiten; im Programm können sie leicht abweichen.

Warum das für dich wichtig ist: Den Verbindungsbildschirm zu sehen und dich bewusst zu verbinden, gehört zu einer korrekten Installation. Siehst du ihn nicht, ist etwas anders als beim offiziellen Ablauf, und das lohnt einen zweiten Blick.

C. Ein konkretes Beispiel: Max und seine zwei Computer

Max ist 22, studiert in München und verbringt einen guten Teil seiner Abende mit Spielen. Sein Desktop-Rechner läuft mit Windows, sein Laptop fürs Studium mit Linux. Nach dem Kursabschnitt über Überwachung und Zensur wollte er einen Browser, mit dem er über manche Themen lesen kann, ohne dass diese Besuche neben seinen Spielkonten und Uni-Anmeldungen liegen.

Seine erste Suche zeigte ihm eine Anzeige für einen „schnelleren“ Tor Browser „mit zusätzlichen Datenschutzfunktionen“. Ein Bekannter aus einem Gaming-Forum teilte einen direkten Download-Link zu einer anderen Kopie. Max hätte fast beides angeklickt. Dann fiel ihm ein, dass es gerade darum ging, Verbindungen zu ihm zu verringern, und dass eine Kopie, die er nicht prüfen kann, ein seltsamer Anfang wäre.

Was sich änderte, als Max den offiziellen Weg nahm

Er nahm sich einen Abend Zeit, kochte sich einen Tee und setzte sich keine Frist:

• Er tippte die Adresse des Tor-Projekts selbst ein und lud das Windows-Installationsprogramm zusammen mit der passenden .asc-Signaturdatei herunter.
• Unter Windows installierte er Gpg4win, holte den Schlüssel des Entwicklungsteams so, wie es die offizielle Seite beschreibt, und verglich dessen Fingerabdruck mit dem auf der Seite, bevor er das Installationsprogramm prüfte.
• Auf seinem Linux-Laptop war GnuPG schon vorhanden. Der erste Versuch scheiterte mit der Meldung „No such file or directory“ (Datei oder Verzeichnis nicht gefunden): Er hatte den Beispiel-Dateinamen aus der Anleitung kopiert statt den Namen seines eigenen Downloads. Genau diesen Fehler erwähnt die Hilfeseite des Tor-Projekts.
• Als beide Prüfungen eine gültige Signatur des Schlüssels „Tor Browser Developers“ zeigten, installierte er den Browser auf beiden Geräten, sah das Fenster „Mit Tor verbinden“ und klickte auf „Verbinden“.

Den Forenlink meldete er nicht, und über die Anzeige ärgerte er sich auch nicht. Er ließ beides links liegen und notierte sich, dass das nächste Update über den Browser selbst kommen würde. Beide Installationen zusammen dauerten kürzer, als er erwartet hatte.

D. Jetzt bist du dran: Tor Browser installieren und prüfen (40 Minuten)

Fünf Schritte auf einem Computer. Die Zeiten sind für das erste Mal großzügig bemessen; eine zweite Installation auf einem anderen System geht viel schneller. Hat sich an der offiziellen Anleitung etwas geändert, seit diese Ressource geschrieben wurde, folge der offiziellen Anleitung.

Schritt 1 – Finde die offizielle Seite und den Schlüssel (5 Minuten)

• Tippe die Adresse des Tor-Projekts selbst ein oder folge dem Download-Link in Abschnitt E, statt eine Suchanzeige oder einen Link aus einer Nachricht zu nutzen.
• Öffne in einem zweiten Tab die Hilfeseite „Überprüfe die Signatur des Tor-Browsers“ und lass sie offen: Du folgst ihr in Schritt 4.
• Notiere die letzten acht Zeichen des dort genannten Fingerabdrucks, damit du ihn später wiedererkennst.

Schritt 2 – Lade den Browser und seine Signatur herunter (5 Minuten)

• Wähle auf der Downloadseite „Tor Browser für den Desktop“ dein System: Windows (eine .exe-Datei), macOS (eine .dmg-Datei) oder Linux (ein .tar.xz-Archiv).
• Lade auch die passende Signaturdatei herunter, die neben jedem Download mit „Sig“ beschriftet ist. Lege beide Dateien in denselben Ordner.
• Lädt die Seite des Tor-Projekts in deinem Netz nicht, nutze die offiziellen Mirrors oder GetTor von der Hilfeseite „Herunterladen“, keine zufällig gefundene Kopie.

Schritt 3 – Bereite das Prüfwerkzeug vor (10 Minuten)

• Windows: Lade Gpg4win über den Link in der Prüfanleitung des Tor-Projekts herunter und starte das Installationsprogramm.
• macOS: Installiere GPG Suite von den GPGTools, ebenfalls über den Link in dieser Anleitung.
• Linux: Öffne ein Terminal und prüfe, ob GnuPG vorhanden ist; bei den meisten Distributionen ist es das schon.

Schritt 4 – Prüfe die Signatur (10 Minuten)

• Folge der offiziellen Seite Schritt für Schritt: Sie zeigt, wie du den Schlüssel der Tor-Entwickler vom Tor-Projekt holst, in einer Schlüsselbund-Datei (englisch Keyring) speicherst und deinen Download mit seiner .asc-Datei prüfst. Übernimm die Befehle, ersetze aber die Beispiel-Dateinamen durch die Namen deiner eigenen Dateien.
• Bevor du dem Ergebnis traust, prüfe, ob der Fingerabdruck des Schlüssels mit dem auf der offiziellen Seite übereinstimmt.
• Achte auf eine Zeile mit „Good signature from“ (gültige Signatur von) und dem Signaturschlüssel „Tor Browser Developers“. Gibt schon das Holen des Schlüssels einen Fehler aus, sagt die Seite: „du kannst nicht weitermachen, bis du herausgefunden hast, warum das nicht funktioniert hat“. Meldet die Prüfung keine gültige Signatur, installiere nicht, sondern lade die Datei erneut von der offiziellen Seite.

Schritt 5 – Installiere, starte und achte auf Updates (10 Minuten)

• Windows (10 oder 11): Doppelklicke auf die .exe-Datei und schließe den Installationsassistenten ab. macOS (ab 10.15): Doppelklicke auf die .dmg-Datei und folge den Schritten auf dem Bildschirm. Linux: Entpacke das Archiv, öffne den Ordner von Tor Browser und klicke auf die Datei start-tor-browser.desktop.
• Lies beim ersten Start das Fenster „Mit Tor verbinden“ und klicke dann auf „Verbinden“ oder, wenn dein Netz es verlangt, auf „Verbindung konfigurieren“.
• Öffne das Hauptmenü (≡) und achte auf ein Zeichen für ein wartendes Update, laut Tor-Projekt einen grünen Kreis mit einem Pfeil nach oben. Erscheint er, findest du im Menü den Eintrag „Update verfügbar – jetzt neu starten“.

Eine geprüfte Installation ist mehr wert als drei schnelle: Jetzt weißt du, wie der echte Weg aussieht.

Schon im Kurs Online-Sicherheit behandelt

Apps sicher herunterladen: Entscheiden, bevor Sie installieren
Dort geht es um die allgemeine Gewohnheit, vor jeder Installation zu prüfen, woher eine Software kommt und wozu ein Installationsprogramm zustimmt; diese Ressource ergänzt, wie du mit einer Signatur nachweist, dass ein bestimmtes Anonymisierungswerkzeug das echte ist.

E. Videos, Artikel und weitere Quellen

Zuerst die Anleitungen des Tor-Projekts auf Deutsch, dann ein Hintergrundbericht auf Englisch und die deutsche Seite des Prüfwerkzeugs.

Offizielle Seiten des Tor-Projekts

The Tor Project — Tor Browser für den Desktop
Die offizielle Downloadseite für Windows, macOS und Linux, mit einer Signaturdatei neben jedem Download.
https://download.torproject.org/de/tor-browser-for-desktop/

The Tor Project — Herunterladen
Warum die offizielle Website die sicherste Quelle ist und welche offiziellen Mirrors und welchen Dienst GetTor du nutzen kannst, wenn sie gesperrt ist.
https://support.torproject.org/de/tor-browser/getting-started/downloading/

The Tor Project — Überprüfe die Signatur des Tor-Browsers
Die Prüfung Schritt für Schritt für Windows, macOS und Linux, mit dem Fingerabdruck des Signaturschlüssels und dem erwarteten Ergebnis.
https://support.torproject.org/de/tor-browser/getting-started/verifying-tor-browser/

The Tor Project — Installation
Die Installationsschritte und Systemvoraussetzungen für jedes Desktop-System, dazu die Angaben zu Android und iOS.
https://support.torproject.org/de/tor-browser/getting-started/installing/

The Tor Project — Erster Start
Was das Fenster „Mit Tor verbinden“ anbietet und was du tun kannst, wenn Tor dort gesperrt ist, wo du bist.
https://support.torproject.org/de/tor-browser/getting-started/first-launch/

The Tor Project — Aktualisieren
Wie Tor Browser dir ein bereitstehendes Update anzeigt und warum Aktualität für die Anonymität zählt.
https://support.torproject.org/de/tor-browser/getting-started/updating/

Hintergrund und Werkzeuge

Electronic Frontier Foundation — Phony HTTPS Everywhere Extension Used in Fake Tor Browser (auf Englisch)
Ein Bericht von 2019 über einen gefälschten Tor Browser, verbreitet über falsche Update-Warnungen und Seiten mit ähnlichen Adressen.
https://www.eff.org/deeplinks/2019/10/phony-https-everywhere-extension-used-fake-tor-browser

Gpg4win — Über Gpg4win
Was das kostenlose Windows-Paket zum Prüfen von Signaturen enthält und dass es vom BSI beauftragt wurde.
https://www.gpg4win.de/about-de.html

Links im November 2026 geprüft. Ändert sich eine Adresse, hilft oft die Suche nach dem Titel auf der Website der Stelle.

F. Das Framework Cyber Welfare: Kompetenzen, Bewusstsein, Sicheres Verhalten

Diese Ressource gehört zur Säule Kompetenzen auf der Stufe FL3 Selbstständig: ein Anonymisierungswerkzeug aus der richtigen Quelle beziehen und selbst bestätigen, dass es echt ist. Dazu kommen digitales Bewusstsein und sicheres Verhalten.

Kompetenzen

• Die offizielle Downloadseite finden und, wenn sie gesperrt ist, die offiziellen Alternativen.
• Die Signatur einer Datei mit GnuPG auf dem eigenen System gegen den Schlüssel des Entwicklungsteams prüfen.
• Tor Browser unter Windows, macOS oder Linux einrichten und das Fenster „Mit Tor verbinden“ lesen.

Bewusstsein

• Verstehen, dass eine veränderte Kopie eines Anonymisierungswerkzeugs genau die Verbindungen herstellen kann, die es zu lockern verspricht.
• Wissen, was eine gültige Signatur beweist und was nicht.
• Kostenpflichtige, „schnellere“ oder „Pro“-Ausgaben eines kostenlosen Werkzeugs als Warnzeichen erkennen.

Sicheres Verhalten

• Sicherheits- und Anonymisierungswerkzeuge nur direkt beim Entwicklungsteam oder über offizielle Mirrors laden.
• Anhalten, statt trotzdem zu installieren, wenn eine Prüfung fehlschlägt.
• Den Browser sich zügig selbst aktualisieren lassen, statt anderswo nach neuen Versionen zu suchen.

G. Fragen zum Nachdenken

• Woher kamen die letzten Programme, die du installiert hast, wirklich, und hättest du eines davon prüfen können?
• Wenn dir jemand aus deinem Freundeskreis einen Download-Link für ein Datenschutzwerkzeug schickt: Wie würdest du antworten, ohne dass er oder sie sich bloßgestellt fühlt?
• Welche andere Software, auf die du dich verlässt, veröffentlicht eine Signatur oder eine Prüfsumme, die du dir noch nicht angesehen hast?

H. Was du jetzt tun kannst

Die Empfehlungen (R) und Sicherheitsmaßnahmen (MS) der Cyber-Welfare-Datenbank, die hier direkt passen.

1. Hol dir den echten Browser

• R25 – Die Echtheit einer App prüfen, bevor Sie sie installieren: von der Quelle aus, nicht vom ersten Treffer: Bei Tor Browser heißt das: die offizielle Downloadseite oder ihre offiziellen Mirrors und eine Signatur, die sich mit dem Schlüssel des Entwicklungsteams als gültig erweist.
• Lass kostenpflichtige Ausgaben, Anzeigen und weitergeleitete Download-Links links liegen. Für Android nennt das Tor-Projekt den Play Store, F-Droid, die eigene Website und GetTor; für iOS gibt es laut Tor-Projekt keinen Tor Browser.

Minimaler Aufwand: Öffne vor deiner nächsten Installation die Prüfanleitung des Tor-Projekts und lies sie einmal von Anfang bis Ende.

2. Halte ihn auf Dauer echt

• R6 – Software aktuell halten: der Schutz, der arbeitet, während Sie an etwas anderes denken: Das Tor-Projekt warnt, wer einen veralteten Tor Browser nutze, setze sich „dem Risiko schwerwiegender Sicherheitslücken und einer Entanonymisierung“ aus, also der Gefahr, dass deine Aktivitäten wieder mit dir verknüpft werden. Nimm das Update über das Hauptmenü (≡) an, sobald es erscheint.
• Behandle jede Aufforderung zum Update, die als Pop-up, Anzeige oder Nachricht außerhalb des Browsers kommt, als Grund, innezuhalten und zur offiziellen Seite zurückzukehren.

Minimaler Aufwand: Wenn Tor Browser dir das nächste Mal ein verfügbares Update anzeigt, installiere es noch am selben Tag.

Kurz gesagt

• Wer Tor Browser installieren will, beginnt bei der Downloadseite des Tor-Projekts, ihren offiziellen Mirrors oder GetTor, und nirgends sonst.
• Mit der .asc-Signatur bestätigst du, dass deine Kopie die veröffentlichte ist und nicht verändert wurde.
• Eine gültige Signatur beweist, dass die Datei echt ist; anonym macht sie dich allein nicht.
• Updates über den Browser selbst halten ihn echt und aktuell, ohne neue Suche nach einem Download.

Entdecke weitere ergänzende Ressourcen aus den Kursen des Programms „Schützen Sie Ihre digitale Privatsphäre“.