Darknet: Was es wirklich ist und wie deine Daten dort landen

Wer „Darknet“ hört, denkt an Waffen, Drogen und Auftragsmörder. Die Bilder dazu kommen meist aus Filmen und Schlagzeilen über spektakuläre Razzien. Wer dagegen nachmisst, findet etwas Nüchterneres: Das Darknet ist ein vergleichsweise kleiner Teil des Internets, an einem durchschnittlichen Tag im Oktober 2026 zählte das Tor-Projekt rund 650.000 aktive Onion-Adressen. Ein Teil davon gehört Zeitungen und Rundfunkanstalten, ein anderer Teil Händlern, bei denen gestohlene Zugangsdaten eine Ware unter vielen sind.

Für die meisten von uns ist die zweite Gruppe die wichtigere. Du wirst das Darknet vermutlich nie betreten, deine Mailadresse und ein altes Passwort waren aber womöglich schon dort. Dieser Text erklärt, was das Darknet technisch ist, wie groß es tatsächlich ist, wer es nutzt und wie Daten dorthin gelangen. Und er ordnet ehrlich ein, was die Darknet-Scans von Antivirenfirmen und Banken leisten.

Was ist das Darknet?

Das Darknet besteht aus Webseiten, die nur über ein Anonymisierungsnetz erreichbar sind. Das mit Abstand größte ist Tor. Seiten in diesem Netz heißen Onion-Dienste, ihre Adressen enden auf .onion und bestehen aus einer langen, scheinbar zufälligen Zeichenkette. Ein normaler Browser kann damit nichts anfangen, Google indexiert sie nicht.

Der Trick dahinter: Bei einer gewöhnlichen Webseite weiß das Netz, wo der Server steht. Bei einem Onion-Dienst treffen sich Besucher und Server über mehrere Zwischenstationen, und keine Seite erfährt die echte Adresse der anderen. Die Anonymität gilt also in beide Richtungen. Das unterscheidet das Darknet vom normalen Surfen mit Tor, bei dem nur du verborgen bist und die Zielseite ganz offen im Netz steht. Wie die Kette aus Knoten genau funktioniert und wo ihr Schutz endet, steht in unserem Artikel über den Tor Browser.

Das BSI fasst es knapp zusammen: Darknet-Seiten sind „nicht durch die üblichen Suchmaschinen oder Browser auffindbar“, und man muss in der Regel die genaue Adresse kennen. Gleichzeitig warnt die Behörde, dass eine Zurückverfolgung trotz Tor „nicht ausgeschlossen werden“ kann. Völlig unsichtbar ist dort also niemand.

Clear Web, Deep Web, Darknet: der Unterschied

Die drei Begriffe werden ständig durcheinandergeworfen. Dabei ist die Einteilung simpel. Das Clear Web ist alles, was eine Suchmaschine findet: Nachrichten, Shops, Wikipedia, dieser Artikel. Das Deep Web ist der riesige Rest, den Suchmaschinen nicht erfassen, weil er hinter Logins, Bezahlschranken oder in Datenbanken liegt. Dein Postfach gehört dazu, ebenso dein Onlinebanking und die Krankenakte in der Praxissoftware. Das BSI schätzt diesen Bereich auf etwa 90 Prozent des Webs.

Das Darknet ist ein kleines Teilstück dieses Deep Web, mit einem entscheidenden Unterschied: Man braucht eigene Software, und die Anonymität ist der Zweck. Wer also sagt, „das Deep Web“ sei gefährlich, meint fast immer das Darknet. Sein eigenes Gmail-Postfach öffnet jeder täglich im Deep Web, ohne es zu merken.

Wie groß ist das Darknet wirklich?

Hier hilft ein Blick in die Statistik, die das Tor-Projekt selbst veröffentlicht. Die Zahlen sind hochgerechnet, weil kein Knoten alles sieht, sie geben aber eine verlässliche Größenordnung. Abgerufen haben wir sie am 20. Oktober 2026.

Zwei Dinge fallen auf. Die Zahl der Onion-Adressen schwankt stark, von gut einer Million im Frühjahr auf rund 650.000 im Herbst. Eine Adresse ist schnell erzeugt, viele existieren nur kurz, für einen Test, einen Chat oder eine einzelne Datei. Hinter 650.000 Adressen stehen also deutlich weniger echte Webseiten.

Und: Nur ein kleiner Teil des Tor-Verkehrs fließt überhaupt zu Onion-Diensten, nach den Zahlen oben nur wenige Prozent. Die allermeisten Menschen nutzen Tor, um ganz gewöhnliche Webseiten aufzurufen, ohne dass ihr Internetanbieter oder die Seite sieht, wer sie sind. Tor-Nutzer und Darknet-Besucher sind deshalb zwei sehr verschiedene Gruppen.

Wer das Darknet nutzt

Das BSI nennt beide Seiten. Einerseits ist das Darknet „tatsächlich ein Handelsplatz für Straftaten und illegale Güter aller Art“. Andererseits gibt die verschlüsselte Struktur „für Journalisten, Verfolgte oder politisch Oppositionelle“ die Möglichkeit, Zensur zu umgehen, und Whistleblowern einen Weg, Material an die Öffentlichkeit zu bringen.

Die legitime Seite ist greifbarer, als viele denken. Die BBC stellt ihr internationales Nachrichtenangebot seit Oktober 2019 als Onion-Dienst bereit, ausdrücklich für Menschen in Ländern, in denen BBC News blockiert wird; genannt wurden China, Iran und Vietnam. Die Deutsche Welle hat einen eigenen Tor-Zugang mit Unterstützung des Tor-Projekts eingerichtet. Wer dw.com im Tor Browser aufruft, wird automatisch auf die Onion-Adresse umgeleitet. Diese Funktion heißt Onion-Location, und sie ist der saubere Weg zu solchen Angeboten: Die richtige Adresse kommt von der offiziellen Seite selbst und nicht aus einer Liste im Netz.

Noch wichtiger sind anonyme Postfächer für Hinweisgeber. SecureDrop, ein quelloffenes System, das ursprünglich der verstorbene Aaron Swartz programmiert hat und das heute die Freedom of the Press Foundation betreut, läuft bei Redaktionen wie der Washington Post, dem Guardian und dem Spiegel. Der Server steht bei der Redaktion selbst, IP-Adressen werden nicht protokolliert. Der Zugang führt über Tor.

Diese Angebote sind unspektakulär. Sie tauchen in keiner Schlagzeile auf, weil dort nichts passiert außer Lesen und Hochladen.

Was dort gehandelt wird

Die andere Seite kennt man vor allem aus Pressemitteilungen von Ermittlern, meist dann, wenn ein Marktplatz gerade abgeschaltet wurde. In Deutschland ist dafür häufig die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) in Frankfurt zusammen mit dem BKA zuständig. Ein paar Fälle aus deren Mitteilungen zeigen die Größenordnung.

Drogen machen den größten Teil aus. Für Normalnutzer interessanter ist eine Zeile, die sich durch alle Mitteilungen zieht: ausgespähte Daten. Europol hat seinen Lagebericht zur Internetkriminalität 2025 genau diesem Thema gewidmet, Titel: „Steal, deal and repeat“. Daten seien zur zentralen Ware geworden, heißt es dort, und die Plattformen, auf denen sie gehandelt werden, liefen „überwiegend im Darknet“.

Gehandelt werden laut Europol unter anderem:

• Zugangsdaten zu Mail-, Social-Media- und Shoppingkonten,
• ungefilterte Beute von Infostealern, also Schadprogrammen, die gespeicherte Passwörter, Cookies und Browserverläufe von infizierten Rechnern abgreifen,
• Kreditkartendaten, oft in großen Paketen,
• Zugänge zu Firmennetzen, die an Erpresserbanden weiterverkauft werden.

Das BKA nennt diese Schattenwirtschaft im Bundeslagebild Cybercrime 2025 die „Basis nahezu aller cyberkriminellen Handlungen“. Und Abschaltungen ändern daran weniger, als die Pressemitteilungen nahelegen. Europol beschreibt, dass Datenhändler bewusst auf mehreren Plattformen gleichzeitig aktiv sind, damit sie nach einer Razzia nicht von vorn anfangen müssen. Die eigentlichen Verhandlungen laufen zunehmend über verschlüsselte Messenger-Kanäle, die Foren dienen nur noch als Schaufenster.

Wie deine Daten ins Darknet gelangen

Niemand muss im Darknet unterwegs sein, um dort zu landen. Die Daten kommen fast immer von außen hinein, auf drei Wegen.

Datenlecks bei Firmen. Ein Onlineshop, ein Forum oder ein Dienstleister wird gehackt, die Kundendatenbank wird kopiert und später verkauft oder verschenkt. Wie das abläuft und wie du prüfst, ob deine Adresse betroffen ist, steht im Artikel Datenleck prüfen.

Erpressung mit Veröffentlichung. Ransomware-Gruppen kopieren vor dem Verschlüsseln Daten und drohen, sie zu veröffentlichen. Das BKA beschreibt den Fall der Deutschen Welthungerhilfe im Jahr 2025: Die Gruppe Rhysida stellte Auszüge der kopierten Daten ins Darknet und verlangte 1,8 Mio. Euro. Betroffen sind in solchen Fällen oft Spender, Kunden oder Mitarbeiter, die selbst nie etwas falsch gemacht haben.

Infostealer auf dem eigenen Gerät. Ein gefälschter Download, ein Crack, eine manipulierte Browsererweiterung, und schon liest ein Programm alle im Browser gespeicherten Passwörter aus. Wie groß das werden kann, zeigt ein Fall aus dem Bundeslagebild: Als Ermittler im Rahmen der Operation Endgame die Infrastruktur des Stealers Rhadamanthys abschalteten, stellten sie Daten von über 650.000 Opfern sicher.

Europol beschreibt noch etwas, das man kennen sollte: Dieselben Daten werden mehrfach verkauft und nach Gebrauch weiterverkauft. Ein Leak von vor fünf Jahren kann also heute bei einem neuen Käufer liegen, der damit gezielte Phishing-Mails schreibt. Gleichzeitig übertreiben viele Händler, preisen alte Daten als frisch an oder verkaufen Fälschungen, um ihren Ruf aufzubauen.

Darknet-Scans: was sie finden und was nicht

Antivirenhersteller wie Norton, Microsoft mit seinem Defender und eine ganze Reihe weiterer Anbieter verkaufen inzwischen ein „Dark Web Monitoring“. Das Versprechen klingt gut: Der Dienst durchsucht die finstersten Ecken des Netzes und schlägt Alarm, sobald deine Daten auftauchen.

Was technisch passiert, ist bodenständiger. Die Anbieter sammeln Datensätze aus bekannten Leaks, aus Foren und Händlerangeboten, legen sie in eine eigene Datenbank und gleichen deine Angaben dagegen ab. Microsoft beschreibt in seiner Hilfe, dass Defender Mailadressen, Telefonnummern, Ausweis- und Kartennummern überwachen kann und bei einem Treffer meldet, welche Daten in welchem Leak aufgetaucht sind. Das ist nützlich, aber mehr als ein Abgleich mit bekannten Sammlungen ist es nicht.

Daraus folgen ein paar ehrliche Grenzen:

Der deutlichste Hinweis kam von Google selbst. Der Konzern hat seinen kostenlosen Dark Web Report eingestellt: Neue Scans endeten im Januar 2026, am 16. Februar 2026 wurde das Werkzeug abgeschaltet und die Daten gelöscht. Die Begründung laut TechCrunch: Nutzer hätten zurückgemeldet, der Bericht biete „keine hilfreichen nächsten Schritte“. Das trifft den Kern. Zu wissen, dass die eigene Adresse in drei alten Leaks steckt, ist wenig wert, wenn man danach nichts anders macht.

Für den Hausgebrauch reichen die kostenlosen Prüfer, die wir im Artikel Datenleck prüfen vorstellen. Bezahlte Pakete lohnen sich eher, wenn sie etwas mitbringen, das du sonst nicht hättest, etwa eine Überwachung mehrerer Familienmitglieder oder Hilfe bei echtem Identitätsmissbrauch. Der Scan allein ist kein Schutz.

Deine Daten tauchen auf: was jetzt?

Ein Treffer ist kein Grund zur Panik, aber einer zum Handeln. Die Reihenfolge ist wichtiger als die Geschwindigkeit:

1. Passwort ändern, und zwar überall, wo du dasselbe oder ein ähnliches benutzt hast. Wiederverwendete Passwörter sind das eigentliche Risiko, weil Angreifer geleakte Kombinationen automatisch bei anderen Diensten ausprobieren.
2. Zwei-Faktor-Anmeldung oder Passkeys für Mail, Bank und die wichtigsten Konten einschalten. Ein gestohlenes Passwort allein reicht dann nicht mehr. Wie Passkeys funktionieren, steht im Artikel über Passkeys.
3. Bei Bank- oder Kartendaten sofort die Bank anrufen und die Karte sperren lassen.
4. Wachsam bleiben bei Nachrichten, die deinen echten Namen, deine Adresse oder eine echte Bestellung nennen. Genau dafür kaufen Betrüger diese Daten.

Wenn du unsicher bist, ob ein Konto schon übernommen wurde, hilft die Prüfliste im Artikel Wurde ich gehackt?.

Ist das Darknet illegal?

Nein. Das BSI formuliert es eindeutig: „Das Bewegen im Darknet alleine ist nicht illegal, es stellt jedoch ein Sicherheitsrisiko dar.“ Strafbar wird es, wenn jemand illegale Inhalte abruft oder herunterlädt oder verbotene Waren kauft oder verkauft, genau wie außerhalb des Internets. Den Tor Browser zu installieren ist in Deutschland ebenfalls legal.

Das Sicherheitsrisiko ist dabei real. Laut BSI ist die Gefahr, sich Schadsoftware einzufangen, im Darknet höher als im normalen Netz, und wer auf dubiose Angebote hereinfällt, macht sich womöglich strafbar oder gerät an kriminelle Gruppen.

Zur Frage, wie man hineinkommt: technisch über den Tor Browser, der ausschließlich von torproject.org geladen werden sollte, weil gefälschte Versionen kursieren. Eine Anleitung zum Stöbern gibt es hier bewusst nicht. Für die legitimen Angebote brauchst du keine: Wer die Deutsche Welle über Tor lesen will, ruft im Tor Browser einfach dw.com auf und wird weitergeleitet. Und wer ein Whistleblower-Postfach sucht, findet die richtige Adresse auf der offiziellen Seite der jeweiligen Redaktion und nirgends sonst. Alles andere, was im Netz als Linkliste kursiert, ist ein gutes Stück der Gefahr, vor der das BSI warnt.

Was bleibt

Das Darknet ist weder das Monster aus dem Fernsehen noch ein harmloser Geheimtipp. Es ist ein kleines, schwer zu überwachendes Stück Netz, das Zensur umgeht, Hinweisgeber schützt und Händlern von gestohlenen Daten einen Marktplatz bietet. Die meisten Menschen berührt es nur auf einem Weg: über ihre eigenen Daten, die dort ohne ihr Zutun gelandet sind.

Dagegen hilft kein Scan, der nachträglich meldet, was ohnehin schon passiert ist. Es hilft, wenn ein gestohlenes Passwort nirgends sonst funktioniert, wenn das wichtigste Konto einen zweiten Faktor verlangt und wenn eine Mail mit deinem echten Namen trotzdem misstrauisch macht. Das sind langweilige Maßnahmen. Sie wirken trotzdem besser als jede Darknet-Überwachung.

Häufige Fragen

Was ist das Darknet einfach erklärt?

Das Darknet ist ein Teil des Internets, der nur über Anonymisierungsnetze wie Tor erreichbar ist. Seiten dort haben Adressen, die auf .onion enden, tauchen bei Google nicht auf und lassen sich mit einem normalen Browser nicht öffnen. Betreiber und Besucher bleiben dabei weitgehend anonym. Genutzt wird es von Nachrichtenseiten, Whistleblower-Postfächern und Menschen hinter Zensur, aber eben auch von kriminellen Händlern.

Ist das Darknet illegal?

Nein. Das BSI schreibt dazu klar: Das Bewegen im Darknet alleine ist nicht illegal. Strafbar wird es erst, wenn jemand illegale Inhalte abruft oder herunterlädt oder verbotene Waren und Dienste kauft oder anbietet. Was außerhalb des Internets verboten ist, bleibt es auch dort. Ein Sicherheitsrisiko ist es trotzdem, vor allem wegen Schadsoftware und Betrug.

Was ist der Unterschied zwischen Deep Web und Darknet?

Das Deep Web ist alles, was Suchmaschinen nicht erfassen: dein Postfach, das Onlinebanking, Firmendatenbanken, Inhalte hinter Logins. Laut BSI macht es etwa 90 Prozent des Webs aus und ist völlig normal. Das Darknet ist ein kleines Teilstück davon, das zusätzlich spezielle Software wie den Tor Browser braucht und auf Anonymität ausgelegt ist.

Wie finde ich heraus, ob meine Daten im Darknet sind?

Vollständig herausfinden lässt sich das nicht, weil niemand alle Foren, Märkte und Messenger-Kanäle einsehen kann. Praktisch prüfst du, ob deine Mailadresse in bekannten Datenlecks auftaucht, etwa mit Have I Been Pwned oder dem Identity Leak Checker des Hasso-Plattner-Instituts. Ein Treffer zeigt, dass Daten im Umlauf sind. Kein Treffer beweist nicht das Gegenteil.

Lohnt sich ein kostenpflichtiger Darknet-Scan?

Für die meisten Menschen bringt er wenig, was die kostenlosen Leak-Prüfer nicht auch liefern. Die Dienste gleichen deine Angaben mit bekannten Leak-Sammlungen ab und melden Treffer. Sie können nicht in geschlossene Kanäle schauen, und sie machen gestohlene Daten nicht wieder geheim. Google hat seinen eigenen Dark Web Report im Februar 2026 eingestellt, mit der Begründung, er habe keine hilfreichen nächsten Schritte geboten.

Was tun, wenn meine Daten im Darknet gefunden wurden?

Zuerst das betroffene Passwort überall ändern, wo du es verwendet hast, und für die wichtigsten Konten Zwei-Faktor-Anmeldung oder Passkeys einschalten. Danach mit erhöhter Vorsicht auf Mails, SMS und Anrufe reagieren, die deine echten Daten nennen, denn genau dafür werden solche Datensätze gekauft. Bei Bank- oder Kartendaten sofort die Bank anrufen.