Tor Browser 16.0.1 ist ein Sicherheitsupdate: Firefox 153.7.0esr und ein Android-Fix am selben Tag
Tor Browser 16.0.1 ist da, und das Projekt nennt es, was es ist: ein wichtiges Sicherheitsupdate für Firefox. Der Build erschien am 10. November 2026, knapp zwei Wochen nachdem 16.0 der erste stabile Tor Browser auf der Firefox-ESR-153-Linie wurde, und hebt die Browser-Engine auf Firefox und GeckoView 153.7.0esr. Der mitgelieferte tor-Client ist jetzt 0.4.9.16, NoScript 13.6.38.1984 – so steht es in der Release-Ankündigung.
Was sich in 16.0.1 geändert hat
Auf dem Desktop wechseln die Builds für Windows, macOS und Linux auf Firefox 153.7.0esr; unter Android kommt dieselbe Version als GeckoView 153.7.0esr. Der Rebase läuft unter tor-browser#45439. Daneben hebt das Release zlib auf 1.4 und ändert zwei Dinge im Android-Buildsystem: einen neuen apksigner aus build-tools_r37_linux.zip und die Ergänzung von --preserve-alignment true in den apksigner-Signaturaufrufen. Beides ist für Nutzer nicht sichtbar, ist aber wichtig dafür, wie die Android-Pakete erzeugt und signiert werden. Der inhaltliche Punkt ist ein Backport. Das Changelog nennt unter tor-browser#45442 einen Backport von Sicherheitsfixes aus Firefox 160 – Fixes, die Mozilla in einer späteren Firefox-Version ausgeliefert hat, wurden also in den 153-ESR-Zweig zurückgeholt, auf dem Tor Browser aufbaut. Tor Browser folgt nicht dem schnellen Release-Kanal von Firefox, deshalb ist das der normale Weg, einen Sicherheitsfix vor dem nächsten ESR-Zyklus zu den Nutzern zu bringen.Warum ein Point-Release trotzdem zählt
Tor Browser erbt seine Engine von Firefox ESR, und ESR-Zweige erhalten Sicherheitsfixes in langsamerem Takt als der Hauptkanal. Damit sind Point-Releases wie 16.0.1 der Moment, in dem diese Fixes tatsächlich bei Tor-Nutzern ankommen. Wer noch auf 16.0 ist, fährt darunter Firefox 153.6.0esr – einen ESR-Sicherheitsschritt zurück. Der Abstand ist in Versionsnummern klein und in der Art nicht klein: Die zurückgeholten Fixes sind die, die Mozilla als wichtig genug für alle eingestuft hat.Dieses Release enthält wichtige Sicherheitsupdates für Firefox.Dieser Satz ist die ganze Begründung, zügig zu aktualisieren. Es gibt kein neues Feature abzuwägen, keine Oberflächenänderung, an die man sich gewöhnen müsste, und keine Konfiguration zu überprüfen. Das Update ist ein Wartungsrelease im strengen Sinn, und der einzige Grund, es aufzuschieben, wäre ein konkretes Kompatibilitätsproblem – das Changelog beschreibt keines.
Ein Android-only-Fix am selben Tag
Tor Browser 16.0.2 erschien am selben Tag, dem 10. November, und ist nur für Android. Die Release Notes beschreiben einen plattformspezifischen Bruch, verursacht durch ein zlib-Update, und der Changelog-Eintrag benennt den Mechanismus direkt: Das tor in Android 16.0.1 hat die dynamische zlib aufgegriffen (tor-browser-build#41919). Mit anderen Worten: Die tor-Binary im Android-Paket löste zlib zur Laufzeit auf, statt eine mitgelieferte Kopie zu nutzen, und eine zlib-Änderung in der Build-Umgebung ließ sie auf etwas zeigen, gegen das sie nicht gebaut war. Das Changelog von 16.0.1 nennt ebenfalls einen zlib-Sprung auf 1.4, was zu dem Hinweis in 16.0.2 passt. Die Lehre betrifft das Packaging, nicht Tor selbst. Desktop-Bundles liefern ein eigenständiges tor mit festgelegten Abhängigkeiten; unter Android kann dieselbe Komponente dynamisch gegen eine Bibliothek gelinkt werden, die der Build oder die Plattform bereitstellt – und dann wird ein eigentlich unabhängiger Versionssprung zum Laufzeitfehler. Es ist die Art von Fehler, die nur auf einer Plattform auftritt, weshalb der Fix auf Android begrenzt und innerhalb von Stunden ausgeliefert wurde, statt in das nächste geplante Release zu wandern.So prüfen Sie, ob Sie den richtigen Build haben
Die Download-Seite und das Distributionsverzeichnis führen beide 16.0.1, und die Verzeichnisliste zeigt Builds für Windows (i686 und x86_64), macOS, Linux (x86_64 und aarch64) und Android (aarch64, armv7 und x86_64), dazu inkrementelle Update-Pakete von 15.0.25, 15.0.26 und 16.0. Das Quellarchiv heißt src-firefox-tor-browser-153.7.0esr-16.0-1-build2.tar.xz – die ESR-Basis steht also schon im Dateinamen.- Prüfen Sie die Version im about-Dialog des Browsers; sie sollte auf dem Desktop 16.0.1 und unter Android 16.0.2 lauten.
- Vergleichen Sie Ihren Download mit sha256sums-signed-build.txt im Verzeichnis 16.0.1 und prüfen Sie die zugehörige .asc-Signatur.
- Wenn Sie den eingebauten Updater nutzen, vergewissern Sie sich, dass das inkrementelle MAR angewendet wurde und keine Neuinstallation nötig war.
- Unter Android nehmen Sie 16.0.2 statt 16.0.1, da der frühere Build das zlib-Problem trägt.