Darknet.

Das Darknet (Dark Web) ist der Teil des Internets, der auf Overlay-Netzwerken liegt, vor allem Tors Onion Services und I2Ps Eepsites, und mit einem normalen Browser und Standard-DNS nicht erreichbar ist. Das schichtenweise verschluesselte Routing anonymisiert Besucher und Betreiber, weshalb es legitim von Journalisten, Dissidenten und Whistleblowern, zugleich aber von kriminellen Marktplaetzen, Ransomware-Leak-Seiten, Brokern fuer gestohlene Daten und Missbrauchsmaterial genutzt wird. Threat-Intelligence-Teams monitoren es, um Leaks von Zugangsdaten, Exploit-Verkaeufe und Angreifer-Infrastruktur fruehzeitig zu entdecken. Schutzmassnahmen umfassen kontinuierliches Darknet-Monitoring, Credential-Leak-Detection, koordinierte Takedowns und das gezielte Blocken bekannter Tor-Exitknoten an besonders sensitiven Perimetern.

Wie Anonymitaet funktioniert – und wie sie scheitert

Ein Tor-Onion-Service wird ueber eine .onion-Adresse erreicht, die aus dem oeffentlichen Schluessel des Servers abgeleitet ist; Client und Server treffen sich an einem Introduction Point, ohne dass eine Seite die IP der anderen erfaehrt. Der Verkehr wird in drei Verschluesselungsschichten gehuellt und ueber freiwillige Relays geleitet, sodass kein einzelner Hop zugleich Ursprung und Ziel sieht. Das ist tatsaechlich sehr stark – doch die Menschen und die Software dahinter sind es nicht. Strafverfolgungsbehoerden brechen selten die Kryptografie; stattdessen nutzen sie Fehler in der Operational Security, Server-Fehlkonfigurationen, das Verfolgen von Kryptowaehrungen und Infiltration aus.

Die Bilanz der Takedowns zeigt das Muster. Operation Bayonet (Juli 2017) beschlagnahmte AlphaBay – damals der groesste Darknet-Markt mit ueber 200.000 Nutzern – und verhaftete Gruender Alexandre Cazes, waehrend die niederlaendische Polizei den rivalisierenden Markt Hansa wochenlang heimlich als Honeypot betrieb, um fliehende Nutzer zu deanonymisieren. Operation Cookie Monster (April 2023) zerschlug Genesis Market, der "Bots" verkaufte, die gestohlene Cookies, Zugangsdaten und Browser-Fingerprints fuer Account-Uebernahmen buendelten. Operation Cronos (Februar 2024) stoerte die Ransomware-Gang LockBit und beschlagnahmte in acht Laendern 34 Server, Quellcode und Entschluesselungsschluessel.

Fuer Verteidiger lautet die praktische Erkenntnis: Exposure-Monitoring betreiben – Leak-Seiten und Credential-Dumps auf Daten der eigenen Organisation ueberwachen, MFA und Passkeys erzwingen, damit gestohlene Passwoerter weniger nuetzen, und beobachtete Angreifer-Infrastruktur in Blocklisten einspeisen.

flowchart LR
  U[Nutzer<br/>Tor Browser] --> G[Guard-Relay]
  G --> M[Middle-Relay]
  M --> R[Rendezvous-Punkt]
  R --> H[Hidden Service<br/>.onion-Leak-Seite / Markt]
  H -.->|OPSEC-Fehler<br/>Server-Fehlkonfig<br/>Krypto-Tracing| LE[Strafverfolgung<br/>Takedown]