Ein Honeypot ist ein absichtlich platziertes Ködersystem, -konto oder -dokument ohne produktiven Zweck; jeder Zugriff darauf ist verdächtig und liefert einen Alarm mit sehr wenigen Fehlalarmen.
Ein Honeypot ist ein Köder: ein System, ein Konto, eine Datei oder ein Netzwerkdienst, der ausschließlich dazu existiert, von einem Angreifer gefunden und benutzt zu werden. Weil kein legitimer Prozess und kein Mitarbeitender einen Grund hat, darauf zuzugreifen, ist jede Interaktion ein starkes Signal. Honeypots gehören zur Familie der Deception-Technologien, die Angreifer in die Irre führen, Zeit kosten und dabei verraten.
Der große Vorteil gegenüber klassischen Erkennungsregeln liegt im Verhältnis von Treffern zu Fehlalarmen. Eine Regel auf ungewöhnliche Anmeldungen produziert Rauschen; ein Alarm auf die Nutzung eines Köderkontos ist nahezu immer ein echter Vorfall oder ein Red Team.
Varianten und Funktionsweise
- Honeypot-Systeme: Ein scheinbar verwundbarer Server, Dateiserver oder eine Datenbank im internen Netz. Jede Verbindung, jeder Anmeldeversuch wird protokolliert und gemeldet.
- Honeytokens: Köder-Zugangsdaten in Skripten oder Passwortspeichern, ein unbenutztes Dienstkonto im Active Directory, ein API-Schlüssel in einem Repository. Wird der Token verwendet, löst er Alarm aus.
- Canary-Dokumente: Dateien mit attraktiven Namen („Gehaltsliste", „Passwörter"), die beim Öffnen eine Benachrichtigung senden.
- Netzwerk-Köder: Nicht belegte IP-Adressen, die auf Verbindungsversuche reagieren, und damit Scans im Netz sichtbar machen.
- Externe Honeypots: Im Internet erreichbare Systeme zur Beobachtung automatisierter Angriffe; für die interne Erkennung weniger relevant.
Interaktionsarme Köder (Low Interaction) simulieren nur Dienste und sind einfach zu betreiben; interaktionsreiche Köder (High Interaction) sind echte Systeme und liefern mehr Einblick in das Vorgehen, erfordern aber Isolation und Pflege.
Bedeutung für Unternehmen
Honeypots setzen genau in der Phase an, in der Angreifer am schwersten zu fassen sind: beim Lateral Movement mit gültigen Konten und Bordmitteln. Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der Erkennungen malware-frei; hier versagt der signaturbasierte Schutz, der Köder nicht. Für mittelständische Unternehmen mit kleinem SOC ist ein Satz gut platzierter Honeytokens zudem eine der günstigsten Erkennungsmaßnahmen überhaupt.
Was wir in Einsätzen sehen: Honeypots sind selten im Einsatz, und wo sie existieren, sind sie häufig erkennbar, etwa ein einzelner Server ohne jede Aktivität im Netzverkehr oder ein Konto, das nie angemeldet war und trotzdem im Passwortspeicher liegt. Ein erfahrenes Red Team prüft die Plausibilität eines Fundes, bevor es ihn verwendet. Gut gemachte Köder, die in echte Prozesse eingebettet sind, erwischen aber auch uns, und das ist für den Kunden das beste Ergebnis eines Einsatzes.
Praxis: Umsetzung und Test
- Köder dort platzieren, wo Angreifer suchen: In Freigaben mit Skripten, in der Dokumentation der IT, in Gruppenrichtlinien, in Passwortspeichern. Das Red Team sucht genau dort nach Zugangsdaten.
- Glaubwürdig gestalten: Namenskonvention, Erstellungsdatum und gelegentliche simulierte Aktivität müssen zur Umgebung passen.
- Alarm direkt ins SOC: Ein Honeypot-Alarm gehört in die höchste Prioritätsstufe mit sofortiger Bearbeitung, da er fast nie falsch ist.
- Wissen begrenzen: Je weniger Personen die Köder kennen, desto aussagekräftiger ist ein Treffer, auch gegenüber einer Insider-Bedrohung.
- Mit dem Red Team validieren: Im Assumed Breach zeigt sich, ob wir die Köder finden, ob wir sie als solche erkennen und ob der Alarm beim Blue Team ankommt. Die Ergebnisse fließen in das Detection Engineering ein.