Angriffe auf Unternehmensnetze laufen selten laut ab. Häufig fällt ein Zugriff erst auf, wenn Daten bereits abgeflossen sind oder Systeme verschlüsselt wurden. Wie groß der Schaden wird, hängt von der Zeit dazwischen ab. An dieser Stelle setzen Honeypots an.
Ein Honeypot stellt bewusst ein System bereit, das für Angreifer attraktiv aussieht, im Tagesgeschäft aber keine Rolle spielt. Niemand aus dem regulären Betrieb hat einen Grund, darauf zuzugreifen. Jede Aktivität ist damit ein Signal, dem Sie nachgehen sollten.
Ein Honeypot ist ein Köder im eigenen Netz
Ein Honeypot ist ein Lock- oder Ködersystem in Ihrem Netz. Er wirkt wie ein verwundbarer Server, ein Arbeitsplatzrechner, eine Dateifreigabe oder ein ganzes Teilnetz, enthält aber keine echten Geschäftsdaten.
Firewall, Virenschutz oder Endpoint Detection sind dafür da, Angriffe abzuwehren. Ein Honeypot soll in erster Linie sichtbar machen, was im Netz passiert. Er zieht Angreifer an, protokolliert deren Vorgehen und meldet den Zugriff an Ihr Monitoring.
Damit das funktioniert, muss der Honeypot glaubwürdig wirken. Dazu gehören übliche Dienste und Ports, ein plausibler Systemname, passende Platzhalterdaten und ein Verhalten, das dem produktiver Systeme ähnelt. Ein offensichtlich leeres Testsystem wird schnell als Falle erkannt und umgangen.
Honeypots gibt es serverseitig und clientseitig
Je nach Ziel wird ein Honeypot unterschiedlich aufgesetzt. In der Praxis unterscheidet man zwei Grundformen.
Ein serverseitiger Honeypot simuliert einen erreichbaren Dienst, etwa einen Webserver, eine Datenbank oder eine Dateifreigabe. Greift jemand darauf zu, schlägt das System Alarm und zeichnet die Aktivität auf. Angreifer verlieren Zeit in einem Bereich, der von den produktiven Systemen getrennt ist.
Ein clientseitiger Honeypot stellt eine Anwendung nach, die aktiv Dienste aufruft, zum Beispiel einen Browser, der gezielt fragwürdige Webseiten ansteuert. So lassen sich Schadcode und Angriffswege erfassen, bevor sie Arbeitsplätze im Unternehmen erreichen.
Der Grad der Interaktion bestimmt Erkenntnis und Aufwand
Das zweite Unterscheidungsmerkmal ist der Grad der Interaktion. Er bestimmt, wie viel Sie über einen Angreifer erfahren und wie viel Aufwand der Betrieb verursacht.
Low-Interaction-Honeypots ahmen Dienste nur so weit nach, dass ein Angriffsversuch möglich ist und protokolliert wird. Sie sind schnell eingerichtet, risikoarm und liefern vor allem Informationen darüber, dass und wie versucht wird, in Ihr Netz zu gelangen.
High-Interaction-Honeypots nutzen reale Systeme mit echten Diensten. Sie liefern deutlich mehr Erkenntnisse über das Vorgehen der Angreifer, verlangen aber eine strenge Isolation und laufende Überwachung. Ohne diese Absicherung besteht das Risiko, dass ein übernommener Honeypot selbst zum Ausgangspunkt weiterer Angriffe wird.
Für die meisten mittelständischen Umgebungen halte ich den Einstieg über eine einfache Variante für den realistischeren Weg. Ein System mit hoher Interaktion lohnt sich erst, wenn Zuständigkeiten, Auswertung und Reaktion klar geregelt sind.
Ein Honeypot liefert Meldungen mit hoher Aussagekraft
Seinen Wert zieht ein Honeypot aus seinen Meldungen. Im Unternehmen bringt er vor allem diese Vorteile:
Es gibt sehr wenige Fehlalarme. Auf ein System ohne produktive Funktion greift im Normalbetrieb niemand zu. Eine Meldung ist deshalb fast immer ein belastbarer Hinweis und selten Rauschen.
Angriffe fallen früh auf. Angreifer suchen nach der ersten Kompromittierung nach lohnenden Zielen. Ein Köder im Netz fällt ihnen dabei häufig zuerst auf, oft bevor kritische Systeme betroffen sind.
Auch interne Vorgänge werden sichtbar. Firewalls schützen vor allem die Außengrenze. Ein interner Honeypot zeigt auch missbrauchte Benutzerkonten und ungewöhnliches Verhalten aus dem eigenen Netz.
Die Auswertung läuft ohne Zeitdruck. Weil keine produktiven Daten betroffen sind, lässt sich ein Angriff in Ruhe analysieren. Die Ergebnisse fließen in die Härtung der realen Systeme ein.
Vorfälle lassen sich nachvollziehen. Protokolle, Quelladressen und genutzte Werkzeuge helfen bei der Aufarbeitung und bei der Meldung an interne oder externe Stellen.
Risiken gehören von Anfang an in die Planung
Ein Honeypot läuft nicht von allein. Das größte Risiko ist ein schlecht abgesichertes System. Übernimmt ein Angreifer den Honeypot, kann er ihn als Sprungbrett in andere Netzbereiche nutzen oder Ihr Team mit irreführenden Spuren beschäftigen.
Genauso zählt die organisatorische Seite. Ein Honeypot, dessen Alarme niemand auswertet, erzeugt Aufwand ohne Nutzen. Klären Sie vorab, wer die Meldungen erhält, wer reagiert und in welcher Zeit.
Hinzu kommen rechtliche Fragen. Protokolliert werden auch personenbezogene Daten, etwa IP-Adressen. Prüfen Sie daher Zweck, Speicherdauer und Löschung sowie die Beteiligung des Betriebsrats. Aktive Gegenmaßnahmen gegen Angreifer sind kein zulässiger Weg.
Ein Honeypot ergänzt die bestehende Sicherheitsarchitektur
Firewall, Patch-Management, Multi-Faktor-Authentifizierung, Endpoint Detection und ein geprüftes Backup bleiben die Grundlage. Der Honeypot legt eine zusätzliche Erkennungsebene darüber. Für den Einstieg hat sich dieses Vorgehen bewährt:
Ziel festlegen. Klären Sie, ob Sie Angriffe von außen sichtbar machen oder Bewegungen innerhalb des Netzes erkennen wollen. Davon hängen Platzierung und Bauart ab.
Klein anfangen. Ein Köderkonto im Verzeichnisdienst, eine unauffällige Dateifreigabe oder ein einzelner simulierter Dienst reichen für die ersten Erfahrungen aus.
Sauber isolieren. Platzieren Sie den Honeypot in einem eigenen Segment mit klar begrenzten Verbindungen in andere Netzbereiche.
Alarme anbinden. Die Meldungen sollten dort auflaufen, wo Ihr Team ohnehin hinschaut, etwa im SIEM oder neben den Hinweisen aus Microsoft Defender für Endpunkt.
Reaktion festlegen. Definieren Sie schriftlich, was bei einer Meldung passiert, wer informiert wird und wann eskaliert wird.
Regelmäßig pflegen. Prüfen Sie Systemstände, Protokolle und Glaubwürdigkeit des Köders in festen Abständen. Ein veralteter Honeypot verliert seine Wirkung.
Richtig eingebettet meldet ein Honeypot fast immer, dass jemand im Netz ist, der dort nicht hingehört. So klar ist das Signal bei kaum einem anderen Werkzeug. Wenn Sie prüfen möchten, ob und an welcher Stelle ein Honeypot in Ihre Umgebung passt, sprechen Sie uns an. Wir sehen uns Ihre bestehende Sicherheitsarchitektur an und schätzen den Aufwand realistisch ein.
Angriffe erkennen, bevor Schaden entsteht
Ein Honeypot liefert Hinweise, ausgewertet werden müssen sie trotzdem. Unser Managed SOC überwacht Ihre Systeme rund um die Uhr und meldet Auffälligkeiten mit einer Handlungsempfehlung an Ihr Team.
Häufige Fragen
Ein Honeypot ist ein System, das absichtlich angreifbar wirkt, aber keine produktive Aufgabe hat. Es zieht Angreifer an, protokolliert ihr Vorgehen und meldet jeden Zugriff. Weil niemand aus dem regulären Betrieb darauf zugreift, gilt praktisch jede Aktivität als Hinweis auf einen Angriffsversuch.
Der Betrieb im eigenen Netz ist grundsätzlich möglich. Klären Sie vorab, welche Daten protokolliert werden, wie lange Sie diese aufbewahren und ob der Betriebsrat einzubinden ist. Gegenangriffe auf Angreifer sind nicht zulässig. Holen Sie bei Unsicherheit eine rechtliche Einschätzung ein.
Ein Honeypot ist ein einzelnes Locksystem. Ein Honeynet besteht aus mehreren solcher Systeme, die zu einem eigenen Netzsegment verbunden sind. Damit lassen sich auch Bewegungen zwischen Systemen beobachten. Der Aufwand für Betrieb und Überwachung steigt entsprechend, weshalb Honeynets eher in größeren Umgebungen sinnvoll sind.
