obfs4, Snowflake oder WebTunnel: Welche Tor-Bridge im Jahr 2026?
Wenn eine Zensurbehörde die allgemein bekannten Tor-Eingangsknoten blockiert, lautet die praktische Antwort eine Bridge: ein Relay, das aus dem öffentlichen Tor-Verzeichnis herausgehalten wird, kombiniert mit einem Pluggable Transport, der verändert, wie die Verbindung auf der Leitung aussieht. Drei Transportarten tragen 2026 die Hauptlast: obfs4, Snowflake und WebTunnel. Alle lösen dasselbe Problem — sie lassen eine Tor-Verbindung wie erlaubter Verkehr aussehen —, doch sie unterscheiden sich deutlich darin, wie man sie erhält, wie sie sich verbergen und wie schnell sie sind. Die falsche Wahl bedeutet selten sofortiges Scheitern; meist bedeutet sie, dass eine Bridge, die gestern funktionierte, nächste Woche den Dienst einstellt.
Was Bridges gemeinsam haben
Das Tor-Browser-Handbuch beschreibt Bridges als Relays, die nicht im öffentlichen Tor-Verzeichnis geführt werden, sodass eine Zensurbehörde sie nicht so erfassen kann wie gewöhnliche Relays; die Tarnung übernimmt der Pluggable Transport vor dem Relay. Alle drei gängigen Typen folgen diesem Muster, und alle drei lassen sich in den Verbindungseinstellungen des Tor Browsers auswählen oder anfordern, wie das Handbuch in seinem Abschnitt zur Zensurumgehung neben den integrierten Optionen beschreibt. Die andere gemeinsame Eigenschaft ist weniger tröstlich: Eine Bridge ist eine IP-Adresse wie jede andere, und wenn eine Zensurbehörde sie erfährt, kann sie wie jede andere blockiert werden. Verfügbarkeit ist keine Immunität. Deshalb ist die Verteilung ein eigenes Stück Ingenieursarbeit — rdsys, Tors Neuschreibung von BridgeDB, entscheidet, welche Bridge-Zeilen welche Nutzer erreichen.obfs4, der bewährte Standard
obfs4 verpackt Tor-Verkehr in zufällig wirkende Bytes ohne stabile Signatur und blickt auf die längste Dienstgeschichte der drei zurück. Die Community-Dokumentation von Tor bringt den Kompromiss in einer Zeile auf den Punkt, als sie die Transporte vergleicht: obfs4 ist schnell und erprobt, aber schwer zu verteilen. Die Zufälligkeit hält protokollbasiertem Fingerprinting stand, doch die Adresse der Bridge bleibt für Scans exponiert, und je länger eine Zeile im Umlauf ist, desto größer die Chance, dass eine Zensurbehörde sie bereits katalogisiert hat. Deshalb lautet die Klage über obfs4 selten auf den Durchsatz; die Klage lautet, dass stark genutzte, langlebige Bridges den Betrieb einstellen. Eine Schritt-für-Schritt-Erklärung, wie obfs4 seine Verbindungen aufbaut, finden Sie in unserem früheren Artikel.Snowflake, zusammengesetzt aus Freiwilligen
Snowflake geht einen anderen Weg zum Überleben. Der Eingangspunkt ist ein von Freiwilligen betriebener Proxy, und der Verkehr wird als WebRTC verkleidet, die Protokollfamilie hinter Video- und Sprachanrufen im Browser. Die Website des Projekts beschreibt, wie der Verkehr über Proxies von Freiwilligen in unzensierten Ländern geleitet wird — eine Tarnung, die es einer Zensurbehörde teuer macht einzugreifen, denn Blockieren hieße, die Verkehrsmuster alltäglicher Videotelefonie zu blockieren. Die Einrichtung ist die einfachste der drei Varianten: Snowflake ist im Tor Browser als auswählbarer Transport enthalten, und das Projekt wirbt Kapazität über ein Browser-Add-on ein. Der Preis ist die Leistung. Freiwillige Proxies unterscheiden sich in Bandbreite und kommen und gehen; die Community-Dokumentation von Tor stuft Snowflake als die langsamere Option des gängigen Trios ein. Rechnen Sie mit höherer und weniger vorhersagbarer Latenz als bei einer dedizierten Bridge; die Qualität einer Sitzung hängt davon ab, welcher Freiwillige sie gerade trägt.WebTunnel, Tor im HTTPS-Kostüm
WebTunnel ist der jüngste der drei; die Referenzimplementierung auf Tors GitLab datiert auf August 2022. Er basiert auf HTTPT, einem Tunneling-Protokoll auf HTTP-Basis, und die Community-Dokumentation beschreibt die Absicht direkt: Er tarnt Tor-Verkehr als HTTPS-Webbrowsing. Gegen Deep Packet Inspection stellt das eine Zensurbehörde vor die härteste mögliche Entscheidung, denn das Filtern von WebTunnel hieße, gewöhnliches HTTPS zu beschädigen — das eine Protokoll, das die meisten Netzwerke nicht beschädigen können. Die Kosten liegen bei den Betreibern: Der Betrieb einer WebTunnel-Bridge braucht einen Linux-Server mit Root-Zugriff, einen Domainnamen, DNS-Einträge, ein gültiges TLS-Zertifikat und einen Reverse Proxy wie NGINX, Caddy oder Apache; Docker ist eine Alternative. Dieselbe Dokumentation warnt, dass Bridges hinter einer Domain Geld kosten und zum Single Point of Failure werden können. Für Nutzerinnen und Nutzer spielt das keine Rolle — eine WebTunnel-Bridge kommt als Zeile an, die man in das Bridge-Feld einfügt.Erwartungen setzen
- obfs4: am schnellsten und am längsten erprobt. Neue Zeilen über den Anforderungsfluss des Tor Browsers holen und damit rechnen, dass beliebte mit der Zeit blockiert werden.
- Snowflake: einfachste Einrichtung und eine Tarnung, die auf dem Verkehr von Videoanrufen reitet — zum Preis langsameren, schwankenderen Durchsatzes.
- WebTunnel: die stärkste Antwort auf Protokoll-Fingerprinting, abhängig von Betreibern, die Domains und Zertifikate pflegen wollen.