Spiegel.de schrieb:

Mit einiger Wahrscheinlichkeit ein staatlicher Akteur

Eine andere Möglichkeit wäre, dass »KAX17« versucht, sogenannte Onion-Services zu de-anonymisieren. Die früher als Hidden Services bezeichneten Seiten machen das aus, was umgangssprachlich Darknet genannt wird (auch wenn es verschiedene Netze gibt, die man so nennen könnte). Es sind Adressen mit der Endung .onion, die nur mit dem Tor-Browser aufgerufen werden können und deren Hosting-Standort nicht erkennbar ist. Als Onion-Services betrieben werden oft etwa Drogen-Handelsplattformen und Foren, in denen Fotos und Videos von Kindesmissbrauch geteilt werden.
Beide denkbaren Motive ergeben zusammen mit dem dauerhaften, kostenintensiven Einsatz so vieler Relays sowie der nicht näher bezeichneten Sonderfähigkeit eine klare Tendenz bei der Beschreibung von »KAX17«: Mit einiger Wahrscheinlichkeit handelt es sich um einen staatlichen oder staatlich unterstützten Akteur. Ein Regime, das versucht, Dissidenten zu identifizieren, käme ebenso infrage wie eine Ermittlungsbehörde, die eine kriminelle Plattform hochnehmen will.
»Nusenu« schreibt von »Nichtamateuren« und schließt auch aus, dass es sich um ein Forschungsprojekt handeln könnte, wie es sie zum Tor-Netzwerk häufiger gibt. Zu lang, zu aufwendig, zu mysteriös sei die Operation.

Enttarnung nicht ausgeschlossen

Darüber, wer wirklich hinter »KAX17« steckt, darüber will »nusenu« nicht spekulieren. Ebenso halten es die Entwickler des Tor-Projekts, die nach der Entdeckung von »nusenu« nach eigenen Angaben 600 Relays aus dem Netzwerk entfernt haben.
Jens Kubieziel, Vorstand des Vereins Zwiebelfreunde, der eigene Tor-Server betreibt, kann allenfalls erkennen, »dass jemand mit größerem Aufwand etwas versucht«: »Aber was genau die Intention ist, ist nicht recht klar«. Die Gefahr, dass Tor-Nutzer enttarnt werden konnten, hält er für gering, aber nicht ausgeschlossen. Weil »KAX17« alle drei Arten von Relays betrieben habe, »waren die theoretisch in der Lage, einzelne Circuits [die komplette Verbindung vom Eingangs- zum Ausgangsrelay – Anm. der Red.] zu de-anonymisieren«, sagt Kubieziel. »Die Wahrscheinlichkeit würde ich dennoch als gering einschätzen, da Tor die Circuits alle paar Minuten neu bildet. Der Tor-Browser macht sogar für jeden Tab einen neuen Circuit. Da ist die Chance noch mal geringer.«
Wie gefährdet Tor-Nutzerinnen und -Nutzer insgesamt sind, hängt allerdings nicht nur von diesen Wahrscheinlichkeiten ab, sondern auch von den Absichten von KAX17.