Whonix: anonym surfen mit Tor, Installation in VirtualBox, KVM und Qubes

Whonix ist ein kostenloses Linux-Betriebssystem, das sämtlichen Internetverkehr durch das Tor-Netzwerk schickt. Es läuft in zwei virtuellen Maschinen, die Du mit VirtualBox, KVM oder Qubes OS betreibst. Die aktuelle Generation Whonix 18 basiert auf Debian 13 Trixie.

Was ist Whonix?

Whonix ist ein auf Debian basierendes Desktop-Betriebssystem, das für erweiterte Sicherheit und Privatsphäre entwickelt wurde. Du kannst mit dem Linux-Betriebssystem anonym surfen, da es sämtlichen Traffic durch Tor (The Onion Router) schickt. Eine stark rekonfigurierte Debian-Basis wird innerhalb mehrerer virtueller Maschinen ausgeführt. Das bietet einen erheblichen Schutz vor Malware und IP-Adressen-Lecks.

Die gehärtete Basis heißt Kicksecure. Laut Projekt ist Whonix das einzige aktiv entwickelte Betriebssystem, das für den Betrieb innerhalb einer VM und in Verbindung mit Tor entwickelt wurde.

Gateway und Workstation: So funktioniert Whonix

Das Whonix-Gateway führt Tor aus und arbeitet als Router. Die Whonix-Workstation ist Dein Arbeitsrechner mit Browser und Programmen. Sie hängt in einem isolierten Netz und erreicht das Internet nur über das Gateway.

Ohne das Gateway kannst Du Dich mit der Workstation nicht mit dem Internet verbinden. Am besten startest Du zunächst das Gateway und danach die Workstation. Läuft das Gateway, kann sich die Workstation damit verbinden und schickt dann sämtlichen Traffic durch das anonyme Tor-Netzwerk.

Laut Whonix sind so DNS-Lecks unmöglich, und selbst Schadsoftware mit Root-Rechten in der Workstation findet Deine echte IP-Adresse nicht heraus. Beim ersten Start verbindet sich das Gateway nicht von selbst. Der Anon Connection Wizard fragt nach, und ist Tor in Deinem Netz blockiert, richtest Du dort Bridges wie obfs4 oder Snowflake ein.

Systemvoraussetzungen

• 64-Bit-Prozessor von Intel oder AMD mit Virtualisierung (VT-x oder AMD-V)
• Mindestens 1 GByte freier Arbeitsspeicher und 10 GByte freier Plattenplatz
• Empfohlen: 8 GByte RAM und eine SSD

Für Macs mit Apple Silicon gibt es noch kein fertiges VirtualBox-Image.

Whonix in VirtualBox installieren

VirtualBox ist der einfachste Weg und funktioniert unter Windows, auf Intel-Macs und unter Linux.

1. Lade auf der VirtualBox-Seite von Whonix die stabile Version von Whonix LXQt als .ova-Datei herunter. Aktuell ist Whonix 18.2.1.9.
2. Installiere VirtualBox und wähle dort Datei → Appliance importieren.
3. Wähle die .ova-Datei aus, ändere nichts, importiere sie und stimme der Lizenz zu.
4. Starte zuerst Whonix-Gateway, dann Whonix-Workstation.

Unter Debian, Ubuntu, Fedora und deren Ablegern erledigt der Whonix Linux Installer alles in einem Rutsch, inklusive VirtualBox:

curl --tlsv1.3 --output whonix-lxqt-installer-cli --url https://www.whonix.org/dist-installer-cli
bash ./whonix-lxqt-installer-cli

Whonix unter KVM installieren

Unter Linux geht es auch mit KVM und virt-manager, laut Whonix ein Weg für Fortgeschrittene. Paketlisten und Download stehen in der KVM-Anleitung von Whonix. Das Archiv entpackst Du, bestätigst die Lizenz und importierst die beiden VMs:

tar -xSvf Whonix*.libvirt.xz
virsh -c qemu:///session define Whonix-Gateway*.xml
virsh -c qemu:///session define Whonix-Workstation*.xml
mkdir -p ~/.local/share/images
mv Whonix-Gateway*.qcow2 ~/.local/share/images/Whonix-Gateway.qcow2
mv Whonix-Workstation*.qcow2 ~/.local/share/images/Whonix-Workstation.qcow2

Die VMs laufen in der Benutzersitzung. Fehlen sie in virt-manager, fügst Du unter Datei → Verbindung hinzufügen die QEMU/KVM user session hinzu.

Qubes-Whonix: Whonix in Qubes OS

Qubes OS läuft direkt auf der Hardware und trennt alles in virtuelle Maschinen. Laut Whonix ist das die sicherste Variante, weil ein Angreifer erst den Hypervisor überwinden müsste. Whonix 18 setzt Qubes R4.3 voraus. Bei einer neuen Qubes-Installation setzt Du im Einrichtungsassistenten den Haken bei Whonix, dann entstehen sys-whonix (Gateway) und anon-whonix (Workstation). Nachträglich holst Du die Templates in dom0, so beschreibt es die Qubes-Anleitung von Whonix:

qvm-template install --enablerepo=qubes-templates-community whonix-gateway-18 whonix-workstation-18
sudo qubesctl state.sls qvm.anon-whonix

Erste Schritte: Anmeldung, Programme und Updates

Der Standard-Benutzer heißt user, ein Passwort brauchst Du bei aktuellen Images nicht. Whonix 17 nutzte noch das Passwort changeme. Häufig genutzte Anwendungen sind vorinstalliert und Du kannst sie sofort nutzen:

• Tor Browser
• KeePassXC, einer der besten Passwort-Manager, die Du bekommen kannst
• Electrum als Bitcoin-Wallet
• VLC als Multimediaplayer
• Metadata Cleaner, um Metadaten aus Dateien zu entfernen

Neue Images von Whonix 18 trennen Alltag und Verwaltung. Im Konto user ist sudo gesperrt. Für Updates und neue Programme wählst Du im Bootmenü die Sitzung sysmaint. Möchtest Du etwa LibreOffice nachinstallieren, funktioniert das dort wie folgt:

sudo apt update && sudo apt full-upgrade
sudo apt install libreoffice

Unter Qubes-Whonix installierst Du dauerhafte Software im Template whonix-workstation-18, nicht in der App-Qube anon-whonix.

Whonix, Tails oder nur der Tor Browser?

Der Tor Browser allein schützt nur, was Du im Browser tust. Andere Programme gehen weiter direkt ins Internet. Whonix leitet dagegen jede Verbindung der Workstation durch Tor.

Liest Du diesen Blog regelmäßig, kennst Du mit Sicherheit eine andere Linux-Distribution, die sämtlichen Traffic durch Tor schickt. Die Rede ist natürlich von Tails oder The Amnesic Incognito Live System, seit Version 7 ebenfalls auf Debian 13.

Tails installierst Du allerdings auf einen USB-Stick und benutzt es als Live-System, das beim Herunterfahren alles vergisst. Dabei kannst Du einen beständigen Datenspeicher anlegen, um persönliche Daten und diverse Systemkonfigurationen zu speichern, etwa WLAN-Passwörter. Auch in Tails ist Electrum vorinstalliert, deshalb eignet sich Tails wunderbar als Cold Wallet für Bitcoin.

Whonix speichert dagegen standardmäßig alles dauerhaft auf virtuellen Festplatten, ein Live-Modus ist optional. Im Test 2023 wirkte Tails für Neulinge weniger verwirrend, dafür ist es nicht so einfach, beliebige Pakete nachzuinstallieren. Brauchst Du viele Programme über Tor neben Deinem gewohnten System, passt Whonix. Willst Du an einem Rechner ohne Spuren arbeiten, passt Tails.

Grenzen: Was Whonix nicht kann

• Tor-Exit-Knoten können unverschlüsselten Verkehr mitlesen. Nutze HTTPS.
• Dein Internetanbieter sieht, dass Du Tor nutzt. Bridges verschleiern das.
• Ist Dein Host-System kompromittiert, schützt Dich auch Whonix nicht.
• Gegen einen Angreifer, der beide Enden der Verbindung beobachtet, hilft Tor nicht.
• Meldest Du Dich mit Deinem normalen Konto an, bist Du nicht mehr anonym.

Ein VPN braucht Whonix nicht. Ein VPN vor Tor ist möglich, die Anleitung dazu pflegt aber nur die Community. Ob das sinnvoll ist, klärt der Beitrag Tails mit einem VPN nutzen, das gilt für Whonix genauso. Andere Wege zeigt der Beitrag IP-Adresse verbergen.

Rückblick: Whonix 17 und der Sprung auf Whonix 18

Whonix 17 erschien im Juli 2023 auf Basis von Debian 12 Bookworm mit Xfce als Desktop. Der Tor Browser wurde auf 12.5.1 aktualisiert, die Tor-Pakete kamen aus Debian Stable statt aus dem Tor-Repository. Die initramfs-tools wurden durch dracut ersetzt. Die Qubes-Vorlagen hießen fortan whonix-gateway-17 und whonix-workstation-17 statt whonix-gw-16 und whonix-ws-16. Details nennt die offizielle Ankündigung.

Whonix 18 folgte im November 2025 auf Debian 13 Trixie und wechselte zu LXQt. Kloak, das vor der Erkennung am Tipp- und Mausverhalten schützt, wurde für Wayland neu geschrieben. Whonix 17 läuft aus. Ein Upgrade an Ort und Stelle ist möglich, einfacher ist laut Whonix aber ein frischer Download. Details nennt die Ankündigung von Whonix 18.

Aktualisiert am 12.10.2026 von Henry. Fakten geprüft.