Wie kann ich die Signatur von Tor Browser überprüfen?

Die digitale Signatur ist ein Prozess, der sicherstellt, dass ein bestimmtes packet von seinen Entwicklern generiert wurde und nicht manipuliert wurde. Im Folgenden erklären wir, warum es wichtig ist, und wie du überprüfen kannst, ob der Tor Browser, den du herunterlädst, derjenige ist, den wir erstellt haben, und dass er nicht von einem Angreifer verändert wurde.

Neben jeder Datei auf unserer Download Seite findest du eine weitere Datei mit dem selben Namen, wie die Originaldatei, der Beschriftung "Signatur" und der Dateinamensendung ".asc". Diese .asc-Dateien sind OpenPGP-Signaturen. Sie ermöglichen es dir zu überprüfen, ob die Datei, die du heruntergeladen hast, genau diejenige ist, die du erhalten solltest. Du solltest die Datei herunterladen können, indem du einen Rechtsklick auf die Datei machst und dann "Datei speichern unter" auswählst. Je nach Webbrowser kann dieser Schritt auch anders aussehen.

Zum Beispiel wird tor-browser-windows-x86_64-portable-13.0.1.exe von tor-browser-windows-x86_64-portable-13.0.1.exe.asc begleitet. Dies sind Beispiel-Datei-Namen und stimmen nicht genau mit den Datei-Namen überein, die du herunterlädst.

Wir zeigen nun, wie du auf verschiedenen Betriebssystemen die digitale Signatur der heruntergeladenen Datei überprüfen kannst. Bitte beachte, dass eine Signatur mit dem Datum versehen ist, an dem das Packet signiert wurde. Daher wird bei jedem Hochladen einer neuen Datei eine neue Signatur mit einem anderen Datum erzeugt. Solange du die Signatur überprüft hast, solltest du dir keine Sorgen machen, dass das gemeldete Datum sich ändern kann.

Installiert GnuPG

Zuerst musst du GnuPG installiert haben, bevor du Signaturen überprüfen kannst.

Für Windows-Nutzer:

Wenn du Windows benutzt, dann lade bitte Gpg4win herunter und installiere es.

Um die Signatur zu überprüfen, musst du ein paar Befehle in die Windows-Befehlszeile, cmd.exe, eingeben.

Für macOS Benutzer:

Wenn du macOS benutzt, kannst du die GPGTools installieren.

Um die Signatur zu überprüfen, musst du einige Befehle in das Terminal (siehe "Anwendungen") eingeben.

Für GNU+Linux-Nutzer:

Wenn du Linux verwendest, dann hast du GnuPG wahrscheinlich bereits auf deinem System, da die meisten Linux-Distributionen es vorinstalliert haben.

Um die Signatur zu überprüfen, musst du ein paar Befehle in das Terminal eingeben. Wie du dein Terminal öffnest, unterscheidet sich von Distribution zu Distribution.

Holt den Schlüssel der Tor Entwickler

Das Tor Browser-Team signiert die Versionen von Tor Browser. Füge Signaturschlüssel der Tor Entwickler hinzu (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org

Dies sollte ungefähr wie folgt aussehen:

gpg: Schlüssel 4E2C6E8793298290: öffentlicher Schlüssel "Tor Entwickler (Signaturschlüssel) <torbrowser@torproject.org>" hinzugefügt
gpg: insgesamt verarbeitet: 1
gpg: hinzugefügt: 1
pub   rsa4096 2014-12-15 [C] [läuft aus: 2025-07-21]
      EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
uid [ unbekannt ] Tor Browser Entwickler (Signaturschlüssel) <torbrowser@torproject.org>
sub   rsa4096 2018-05-26 [S] [läuft aus: 2020-12-19]

Wenn du eine Fehler-Nachricht erhältst, ist etwas schief gelaufen und du kannst nicht weitermachen, bis du herausgefunden hast, warum das nicht funktioniert hat. Möglicherweise kannst du den Schlüssel stattdessen mit dem Abschnitt Workaround (Verwendung eines öffentlichen Schlüssels) importieren.

Nachdem du den Schlüssel importiert hast, kannst du ihn in einer Datei speichern (hier per fingerprint identifizieren):

gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Dieser Befehl sorgt dafür, dass der Schlüssel in einer Datei unter dem Pfad ./tor.keyring, also in dem aktuellen Verzeichnis, gespeichert wird. Wenn ./tor.keyring nach dem Ausführen dieses Befehls nicht existiert, ist etwas schief gelaufen, und du kannst nicht weitermachen, bis du herausgefunden hast, warum das nicht funktioniert hat.

Überprüft die Signatur

Um die Signatur des heruntergeladenen Paketes zu überprüfen, musst du die entsprechende ".asc" Signaturdatei und die Installationsdatei herunterladen und mit einem Befehl, der GnuPG verwendet, die Datei überprüfen.

Die untenstehenden Beispiele gehen davon aus, dass du die Dateien im "Downloads"-Ordner gespeichert hast. Beachte, dass diese Befehle Beispiel-Datei-Namen verwenden und dass deine Datei-Namen anders lauten: Du musst die Beispieldateinamen durch die exakten Namen der von dir heruntergeladenen Dateien ersetzen.

Für GNU+Linux Nutzer (ändere x86_64 zu i686, wenn du das 32-Bit Paket hast):

gpgv --keyring .\tor.keyring Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe.asc Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe

Für macOS Benutzer:

gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-macos-13.0.1.dmg.asc ~/Downloads/tor-browser-macos-13.0.1.dmg

Für GNU+Linux Nutzer (ändere x86_64 zu i686, wenn du das 32-Bit Paket hast):

gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz.asc ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz

Das Ergebnis des Befehls sollte enthalten:

gpgv: Gute Signatur von "Tor Entwickler (Signaturschlüssel) <torbrowser@torproject.org>"

Wenn du Fehler-Meldungen bekommst, die 'No such file or directory' enthalten, ist entweder bei einem der vorherigen Schritte etwas schief gelaufen, oder du hast vergessen, dass diese Befehle Beispiel-Datei-Namen verwenden und deiner deshalb etwas anders lauten muss.

Aktualisieren des PGP-Schlüssels

Führe den folgenden Befehl aus, um den Signierschlüssel der Tor Browser Developers in deinem lokalen Schlüsselbund vom Keyserver zu aktualisieren. Dies wird auch die neuen Unterschlüssel abrufen.

gpg --refresh-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Umgehung (einen öffentlichen Schlüssel benutzen)

Wenn du Fehlern begegnest, die du nicht beheben kannst, hab keine Scheu diesen öffentlichen Schlüssel zu downloaden und anstelle dessen zu benutzen. Alternativ kannst du vielleicht den folgenden Befehl verwenden:

curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -

Der Entwicklerschlüssel des Tor Browser ist auch auf keys.openpgp.org verfügbar und kann heruntergeladen werden von https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Wenn du MacOS oder GNU/Linux verwendest, kannst du den Schlüssel auch mit folgendem Befehl abrufen:

gpg --keyserver keys.openpgp.org --search-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Du kannst außerdem mehr über GnuPG erfahren (englisch).