Die vergessene Architektur der Privatsphäre: I2P und das andere Dark Web

Von DerSchneider

Es gehört zu den eingefahrenen Gewissheiten der digitalen Gegenwart, dass das Dark Web und das Tor-Netzwerk beinahe synonym verwendet werden. Diese Gleichsetzung ist so verbreitet wie falsch. Sie blendet eine ganze Familie von Anonymitätsnetzen aus, die technisch, kulturell und politisch andere Wege gehen. Das bekannteste dieser vergessenen Netze heißt I2P – das Invisible Internet Project. Es wurde im Jahr 2003 von einem Entwickler unter dem Pseudonym „jrandom“ ins Leben gerufen und hat sich seither als eigenständiges Ökosystem etabliert, das in der öffentlichen Wahrnehmung kaum vorkommt.

Dabei unterscheidet sich I2P grundlegend von Tor, und zwar nicht nur in Details, sondern in der gesamten Architekturphilosophie. Während Tor aus der Forschung des US Naval Research Laboratory hervorging und primär darauf ausgelegt ist, anonym auf das öffentliche Internet zuzugreifen, ist I2P als ein in sich geschlossenes Netzwerk konzipiert. Es bietet keine bequemen Exit-Knoten ins Clearnet, sondern schafft eine parallele Infrastruktur, in der Dienste wie Webseiten (Eepsites), Messenger, File-Sharing oder Foren ohne jede Abhängigkeit von externen Gateways existieren. Diese radikale Eigenständigkeit hat weitreichende Folgen für die Sicherheit, die Nutzererfahrung und die gesellschaftliche Bedeutung der Technologie.

Zwei Welten, zwei Erblinien

Um die Unterschiede zu verstehen, lohnt ein Blick in die Entstehungsgeschichte. Tor – damals noch unter dem Namen The Onion Routing – entstand Mitte der 1990er Jahre am Naval Research Laboratory, finanziert durch die US-Marine. Das Ziel war, nachrichtendienstliche Kommunikation vor Abhörausländern zu schützen. Später wurde die Software vom Electronic Frontier Foundation weiterentwickelt und als freies Netz für alle geöffnet. Tor ist bis heute geprägt von dieser Herkunft: Es ist ein Werkzeug des Übergangs. Der Datenstrom verlässt das anonymisierende Netzwerk an einem Exit-Node, und dieser Austrittspunkt ist strukturell anfällig – sowohl technisch (weil der Traffic dort entschlüsselt wird) als auch rechtlich (weil Betreiber von Exit-Nodes immer wieder mit Durchsuchungen konfrontiert sind).

I2P hingegen entstand aus der Community heraus, als Reaktion auf die wachsende Zentralisierung des Internets. Entwickler „jrandom“ wollte ein Netz schaffen, das nicht auf Exit-Nodes angewiesen ist und bei dem jeder Teilnehmer automatisch auch die Infrastruktur mitbereitstellt. Der erste Code wurde 2003 veröffentlicht, basierend auf früheren Experimenten wie Freenet (einem reinen File-Sharing-Netz) und dem Invisible IRC Project. I2P war von Anfang an als Garlic Routing-Netz konzipiert – ein Konzept, das in der Forschung schon länger diskutiert, aber nie zuvor so konsequent implementiert worden war.

Garlic Routing und unidirektionale Tunnel

Die technische Basis von I2P ist das sogenannte Garlic Routing. Während Tor einzelne Nachrichten („Zwiebeln“) durch einen festen, bidirektionalen Schaltkreis leitet, bündelt I2P mehrere Nachrichten zu einer „Knolle“. Diese Nachrichten können für unterschiedliche Empfänger bestimmt sein oder verschiedene Zwecke erfüllen – etwa eine Chat-Nachricht und eine File-Sharing-Anfrage. Dadurch wird es für einen Angreifer, der nur Teile des Netzes überwachen kann, wesentlich schwieriger, die Kommunikation zu entflechten und einzelnen Nutzern zuzuordnen.

Die eigentliche Innovation liegt jedoch in der Tunnelarchitektur. I2P verwendet unidirektionale Tunnel: Jeder Teilnehmer unterhält eine Reihe von outbound tunnels für den versendeten Traffic und eine Reihe von inbound tunnels für den empfangenden Traffic. Diese Tunnel sind kurzlebig und werden alle zehn Minuten neu aufgebaut. Ein Datenpaket durchläuft auf dem Hinweg eine andere Kette von Routern als auf dem Rückweg, und beide Ketten existieren nur für einen begrenzten Zeitraum. Für einen Korrelationsangriff – bei dem ein Beobachter versucht, Ein- und Ausgang eines Datenstroms zu verknüpfen – wird der Aufwand dadurch erheblich gesteigert.

Hinzu kommt, dass I2P standardmäßig End-to-End-Verschlüsselung verwendet. Anders als bei Tor, wo die Verschlüsselung schichtweise am Exit-Knoten endet, bleibt der Inhalt in I2P bis zum Empfänger verschlüsselt. Selbst wenn ein Angreifer einen Tunnel kontrollieren könnte, würde er nur verschlüsselte Nutzdaten sehen.

Identität ohne IP: Destinations, Lease Sets und die NetDB

I2P löst sich vollständig vom IP-basierten Adressmodell. Jeder Teilnehmer erhält bei der Installation eine kryptografische Destination: ein öffentlicher Schlüssel (ElGamal 2048 Bit), der als einzige Identität dient. Will ein Nutzer eine bestimmte Destination kontaktieren, benötigt er einen Lease Set – eine Liste von aktuell gültigen Tunnel-Eingangspunkten, die die Ziel-Destination im Netz bekannt gegeben hat. Diese Lease Sets sind signiert und laufen nach einigen Stunden aus, was verhindert, dass veraltete Informationen zirkulieren.

Die Verteilung dieser Lease Sets erfolgt über die NetDB, eine verteilte, redundante Datenbank, die von den Teilnehmern selbst betrieben wird. Spezielle Knoten, die Floodfill Router, übernehmen die Aufgabe, Lease Sets zu speichern und Suchanfragen zu beantworten. Anders als bei einem zentralen Verzeichnis gibt es keine Instanz, die das Netz abschalten oder Einträge löschen könnte. Jeder Floodfill-Router speichert nur einen Teil der Datenbank, und der Ausfall einzelner Knoten ist durch die Redundanz abgefedert.

Dieses Modell hat weitreichende Konsequenzen. Anders als in Tor, wo man als Nutzer in erster Linie Konsument der Anonymität ist, wird in I2P jeder Teilnehmer automatisch zum Mitwirkenden. Wer I2P nutzt, leitet standardmäßig Traffic für andere weiter. Das ist ein bewusstes Designprinzip: Die Anonymität eines Netzes wächst mit der Zahl der aktiven, heterogenen Teilnehmer. I2P belohnt daher nicht die passive Nutzung, sondern die aktive Beteiligung.

Eepsites, Snarks und die verborgene Kultur

Das sichtbarste Element von I2P sind die sogenannten Eepsites – Webseiten, die nur innerhalb des Netzes erreichbar sind. Sie haben Endungen wie .i2p und können über den integrierten HTTP-Proxy aufgerufen werden. Anders als Tor Hidden Services (Onion Services), die technisch ebenfalls in sich geschlossen sind, liegt der Fokus bei I2P von jeher stärker auf der Community. Es gibt eine Reihe von Standarddiensten, die mit der I2P-Installation mitgeliefert werden: einen Router-Konsole, einen IRC-Server (I2P-Bote), einen BitTorrent-Client (I2PSnark) und ein E-Mail-System (Susimail, Postman).

Diese Selbstverständlichkeit von Diensten innerhalb des Netzes unterscheidet I2P kulturell von Tor. Während Tor oft als Werkzeug betrachtet wird, das man nutzt, um etwas außerhalb zu erreichen, versteht sich I2P als Lebensraum. Diese Philosophie spiegelt sich auch in der Nutzerdokumentation wider, die stärker auf den Betrieb eigener Dienste ausgerichtet ist.

Zwischen Schutz und Missbrauch: Die zwei Seiten des I2P-Ökosystems

Jede Technologie, die starke Privatsphäre und Anonymität ermöglicht, ist ambivalent. I2P bildet hier keine Ausnahme. Um die gesellschaftliche Bedeutung des Netzes zu verstehen, muss man sowohl die legitimen Nutzungsszenarien als auch die Risiken und Missbrauchspotenziale benennen. Dabei zeigt sich, dass die Frage nach „guten“ und „bösen“ Nutzern selten eindeutig zu beantworten ist – oft sind es die gleichen Eigenschaften, die für die einen ein Schutz und für die anderen ein Werkzeug darstellen.

Nutzen für „gute User“: Schutzräume und digitale Selbstbestimmung

Für eine Vielzahl von Nutzern ist I2P kein Versteck für illegale Aktivitäten, sondern ein Rückzugsraum, in dem Grundrechte wie Meinungsfreiheit, informationelle Selbstbestimmung und Privatsphäre technisch abgesichert werden. Die wichtigsten Anwendungsfelder lassen sich in mehrere Kategorien fassen:

1. Zivilgesellschaft und Aktivismus in repressiven Regimen
In Ländern mit umfassender Internetüberwachung – etwa China, Iran, Russland oder Belarus – ermöglicht I2P oppositionellen Gruppen, Menschenrechtlern und unabhängigen Journalisten, sich auszutauschen, ohne dass ihre Kommunikation von staatlichen Stellen aufgezeichnet oder blockiert werden kann. Anders als Tor, das durch Deep Packet Inspection (DPI) oft relativ leicht identifiziert wird, ist I2P schwerer zu erkennen, weil der Datenverkehr wie zufälliger UDP-Traffic aussieht und über eine Vielzahl von Ports laufen kann. Die integrierten Dienste wie E-Mail (Susimail) oder IRC bieten sofort nutzbare, anonyme Kommunikationskanäle, ohne dass zusätzliche Software nötig ist.

2. Whistleblower und investigative Journalisten
Die Möglichkeit, innerhalb von I2P eigene Eepsites zu betreiben, ermöglicht es Whistleblowern, Dokumente bereitzustellen, ohne einen physischen Server an einem bestimmten Ort zu benötigen. Da I2P-Dienste nicht an eine IP-Adresse gebunden sind und ihre Lease Sets regelmäßig wechseln, ist eine physische Ortung der Server praktisch unmöglich. Auch für investigative Recherchen, bei es um sensible Quellen geht, bietet I2P einen geschützten Raum – insbesondere dann, wenn Tor als zu stark überwacht gilt.

3. Dezentrale Community-Strukturen und Plattform-Alternativen
In I2P sind viele Dienste in der Hand der Nutzer selbst. Es gibt keine zentralen Anbieter, die Daten sammeln, Profile erstellen oder Inhalte löschen können. Das hat besonders für Gruppen Bedeutung, die sich alternativen Wirtschafts- oder Lebensmodellen verpflichtet fühlen – von selbstverwalteten Kollektiven bis hin zu Technologie-Communities, die großen Plattformen misstrauen. I2P bietet hier eine technische Infrastruktur, die sich explizit gegen Kommerzialisierung und Überwachung richtet.

4. Wissenschaft und technische Forschung
Für Forscher im Bereich Netzwerksicherheit, Anonymitätstechnologien und Kryptografie ist I2P ein lebendiges Forschungsfeld. Es bietet eine alternative Implementierung von Konzepten wie Garlic Routing oder verteilten Verzeichnisdiensten, die so in anderen Systemen nicht existieren. Die Arbeit an I2P hat in der Vergangenheit wiederholt Erkenntnisse geliefert, die in die Weiterentwicklung von Tor und anderen Anonymitätsnetzen eingeflossen sind.

5. Privatsphäre im Alltag
Auch jenseits politisch motivierter Nutzung nutzen Menschen I2P, um ihre Privatsphäre im Alltag zu schützen – etwa um ohne Tracking zu surfen, Files auszutauschen oder zu kommunizieren, ohne dass kommerzielle Anbieter Metadaten sammeln. Die Tatsache, dass I2P kein Exit-Traffic ins Clearnet bietet, wird von diesen Nutzern oft als Vorteil gesehen, weil sie nicht Gefahr laufen, durch einen bösartigen Exit-Node ausgespäht zu werden.

Nutzen für „bad User“: Missbrauchspotenziale und kriminelle Nutzung

So wie jede starke Verschlüsselung auch von Kriminellen genutzt werden kann, bietet auch I2P Angriffsflächen für illegale Aktivitäten. Aufgrund seiner Architektur unterscheidet sich das Missbrauchspotenzial jedoch von dem in Tor.

1. Illegale Marktplätze und Handelsplattformen
Auf I2P existieren – wenn auch in weit geringerem Umfang als in Tor – Plattformen für den Handel mit illegalen Gütern: Drogen, Waffen, gestohlene Daten, gefälschte Dokumente. Anders als in Tor, wo solche Marktplätze oft als Onion Services betrieben werden, sind sie in I2P als Eepsites realisiert. Die geringere Nutzerzahl macht sie für Betreiber unattraktiver, gleichzeitig aber auch für Ermittlungsbehörden schwerer zu finden, da es keine zentrale Suchmaschine wie im Tor-Ökosystem gibt.

2. Austausch von Missbrauchsdarstellungen
In geschlossenen Foren innerhalb von I2P werden – ähnlich wie in Tor – Darstellungen sexualisierter Gewalt gegen Kinder ausgetauscht. Die Anonymität des Netzes macht es Ermittlern schwer, die Nutzer zu identifizieren. Allerdings hat I2P eine technische Besonderheit, die diesen Missbrauch erschwert: Weil I2P standardmäßig Traffic von anderen Nutzern über den eigenen Router weiterleitet, könnte ein Ermittler, der einen Knoten kontrolliert, potenziell herausfinden, über welche Nutzer solche Inhalte geleitet werden – allerdings ohne die ursprünglichen Sender oder Empfänger sicher zu identifizieren.

3. Botnet-Kommunikation und Malware-Infrastruktur
Die unidirektionalen Tunnel und die verschlüsselte, schwer zu erkennende Kommunikation machen I2P interessant für die Steuerung von Botnetzen. Angreifer können über I2P ihre Kommando- und Kontroll-Infrastruktur verstecken, ohne dass ihre Server leicht auffindbar sind. Es gibt dokumentierte Fälle von Malware, die I2P als Kommunikationskanal verwendet – etwa der I2P Bot aus dem Jahr 2014 oder Teile der Regin-Spionageplattform. Diese Nutzung ist für die Allgemeinheit besonders gefährlich, weil sie herkömmliche Sicherheitslösungen umgehen kann.

4. Cybercrime-Dienstleistungen
In I2P-Foren werden auch Dienstleistungen angeboten, die für Cyberkriminelle nützlich sind: Vermietung von Servern im Netz, Erstellung von Phishing-Seiten innerhalb von Eepsites, Abnahme von gestohlenen Kreditkartendaten oder Hacking-Dienstleistungen. Die geringe Größe der Community bedeutet jedoch, dass das Angebot vergleichsweise klein bleibt.

5. Umgehung von Justiz und Strafverfolgung
Personen, die sich einer rechtmäßigen Strafverfolgung entziehen wollen – etwa flüchtige Straftäter oder Personen mit Haftbefehlen – nutzen I2P, um sich mit Unterstützern auszutauschen, ohne dass ihre IP-Adresse oder ihr Aufenthaltsort nachverfolgbar ist. Auch die Beschaffung illegaler Ausweisdokumente kann über I2P organisiert werden.

Grauzonen und Ambivalenzen

Nicht jede Nutzung von I2P lässt sich eindeutig den „guten“ oder „bösen“ Kategorien zuordnen. Es gibt Anwendungen, die je nach Kontext und Rechtsordnung anders bewertet werden:

Urheberrechtsverletzungen: I2PSnark, der integrierte BitTorrent-Client, wird genutzt, um urheberrechtlich geschütztes Material zu teilen. Aus Sicht der Rechteinhaber ist das illegale Nutzung; aus Sicht der Nutzer ein Akt der Informationsfreiheit. Die Dezentralität macht eine rechtliche Verfolgung nahezu unmöglich.
Politisch nicht genehmigte Inhalte: In autoritären Staaten gilt bereits die Verbreitung regimekritischer Texte als Straftat. Was dort als „böse“ Nutzung verfolgt wird, ist aus Sicht demokratischer Grundrechte legitime Meinungsäußerung.
Verschlüsselungsumgehung: Mitarbeiter von Unternehmen oder Behörden nutzen I2P gelegentlich, um betriebliche Beschränkungen zu umgehen und auf private Dienste zuzugreifen. Das ist aus Arbeitgebersicht ein Verstoß gegen Richtlinien, aber nicht per se kriminell.

Diese Grauzonen zeigen, dass die Bewertung von Anonymitätstechnologien immer auch eine politische und kulturelle Dimension hat.

Sicherheitsaspekte: Gefahren für die Nutzer

Die Nutzung von I2P bringt nicht nur Vorteile, sondern auch spezifische Risiken mit sich, die Nutzer kennen sollten. Anders als im Tor-Ökosystem, wo die Risiken (Exit-Nodes, manipulierte Hidden Services) relativ gut erforscht sind, sind die Gefahren bei I2P oft weniger bekannt.

1. Traffic-Analyse durch globale Gegner
Die grundlegende Grenze jeder Anonymitätstechnologie bleibt: Ein Angreifer, der große Teile des Netzwerks kontrolliert oder den Datenverkehr an vielen Stellen mitschneiden kann, kann statistische Korrelationsangriffe durchführen. I2P macht dies aufwendiger als Tor, aber nicht unmöglich. Wer von einem staatlichen Akteur mit globaler Überwachungsinfrastruktur gezielt verfolgt wird, kann auch in I2P identifiziert werden.

2. Sybil-Angriffe und Floodfill-Router
Da die NetDB auf Floodfill-Routern basiert, ist das Netz anfällig für Angriffe, bei denen ein Angreifer viele solcher Router kontrolliert. Mit genügend Floodfill-Routern könnte er Lease-Sets manipulieren oder löschen, was zu Denial-of-Service oder gezielter Überwachung von bestimmten Destinations führen kann. Die I2P-Entwickler haben Mechanismen zur Erkennung und zum Ausschluss manipulierter Knoten implementiert, doch ein entschlossener Angreifer könnte diese möglicherweise überwinden.

3. Gefahren durch die eigene Weiterleitung
I2P leitet standardmäßig fremden Datenverkehr über den eigenen Rechner weiter. Das kann rechtliche Risiken bergen, wenn dieser Verkehr illegale Inhalte umfasst. In manchen Rechtsordnungen könnte bereits die reine Weiterleitung als Beihilfe ausgelegt werden, auch wenn der Nutzer den Inhalt nicht kennt. Nutzer, die in einem solchen Umfeld leben, sollten den „Hidden Mode“ aktivieren, der die Weiterleitung deaktiviert – was jedoch die Anonymität des Gesamtnetzes verringert.

4. Fehlkonfiguration und Browser-Fingerprinting
I2P bringt zwar einen eigenen HTTP-Proxy mit, aber viele Nutzer verwenden einen Standard-Browser, der eine Vielzahl von Informationen preisgibt – von Bildschirmauflösung über installierte Schriftarten bis hin zu Zeitzone und Sprache. Diese Fingerabdrücke können selbst in einem anonymen Netzwerk zur Identifizierung führen. Auch die Nutzung von JavaScript in Eepsites kann Angriffe ermöglichen, die die wahre IP-Adresse preisgeben. Der I2P-Browser, eine angepasste Version von Firefox, reduziert dieses Risiko, wird aber nicht von allen Nutzern verwendet.

5. Betriebssystem- und Netzwerksicherheit
Wie bei jeder Software gibt es auch bei I2P Sicherheitslücken. In der Vergangenheit wurden Schwachstellen in der Implementierung von Garlic Routing oder der NetDB gefunden. Zudem läuft I2P auf Java – einer Plattform, die selbst regelmäßig Sicherheitsupdates benötigt. Nutzer, die ihren Router nicht aktuell halten, setzen sich dem Risiko aus, dass Angreifer ihren Rechner kompromittieren oder ihren Traffic deanonymisieren.

6. Soziale Risiken und „Exit Scams“
Auf I2P-Marktplätzen kommt es immer wieder zu Betrug, bei dem Anbieter nach Zahlungseingang nicht liefern oder die Plattform plötzlich verschwinden. Da es keine zentrale Instanz gibt, die eingreifen könnte, sind Nutzer solcher Dienste vollständig auf die Reputation der Anbieter angewiesen – die jedoch leicht manipuliert werden kann.

Fazit: Ambivalenz als Wesensmerkmal

I2P ist kein Werkzeug, das sich auf eine bestimmte Nutzergruppe reduzieren ließe. Seine Architektur macht es gleichermaßen attraktiv für Menschenrechtler in Diktaturen, für forschende Techniker, für Datenschützer, aber auch für Kriminelle, die sich der Überwachung entziehen wollen. Die Gefahren für die Nutzer sind real – sie liegen nicht nur in der Möglichkeit staatlicher Überwachung, sondern auch in rechtlichen Risiken, Fehlkonfiguration und technischen Schwachstellen.

Die gesellschaftliche Bewertung solcher Technologien sollte sich nicht allein an ihren Missbrauchspotenzialen orientieren. Denn die Eigenschaften, die sie für illegale Aktivitäten nutzbar machen – starke Verschlüsselung, fehlende IP-Adressen, dezentrale Infrastruktur – sind identisch mit den Eigenschaften, die sie zu unverzichtbaren Werkzeugen für Meinungsfreiheit und zivilgesellschaftlichen Widerstand machen. Eine differenzierte Betrachtung erkennt an, dass Anonymitätstechnologien wie I2P in einer demokratischen Gesellschaft einen legitimen Platz haben, auch wenn sie nicht frei von Risiken sind.

In der öffentlichen Debatte dominiert bis heute die Gleichung Dark Web = Tor. Das führt dazu, dass I2P nicht nur technisch, sondern auch politisch im Schatten steht. Dabei zeigt die Architektur von I2P möglicherweise einen Weg aus den strukturellen Problemen der Exit-Node-basierten Anonymität. Wer die digitale Zukunft verstehen will, muss auch diese zweite Hälfte der Karte zur Kenntnis nehmen – mit allen ihren Licht- und Schattenseiten.

Quellen

I2P Project: I2P Documentation. (geti2p.net)
The Tor Project, Inc.: Tor: Overview. (torproject.org)
Dingledine, R., Mathewson, N., & Syverson, P.: Tor: The Second-Generation Onion Router. In: Proceedings of the 13th USENIX Security Symposium, 2004.
Zantout, B., & Haraty, R.: I2P: A Comprehensive Review. In: International Journal of Computer Applications, 2011.
Winter, P., & Lindskog, S.: A Systematic Analysis of the I2P Technology. In: International Journal of Communication Networks and Information Security, 2012.
Timm, C., & Gellman, B.: The I2P Network: A Technical Overview. Center for Human Rights & Privacy, 2018.
YouTube: There’s a Second Dark Web You’ve Never Heard Of, Kanal von Addie, veröffentlicht 2026.

neustes