Ein Honeypot ist ein absichtlich verwundbar wirkendes System, das Angreifer anlocken soll. Statt echte Daten zu gefährden, beobachtet der Honeypot, wie Angreifer vorgehen — und hält sie von produktiven Systemen fern.
Wie ein Honeypot funktioniert
Der Honeypot sieht aus wie ein normaler Server oder Dienst, enthält aber keine echten Daten. Sobald jemand versucht, ihn anzugreifen, wird das Verhalten protokolliert: verwendete Werkzeuge, versuchte Schwachstellen, Herkunft. Diese Informationen helfen, Malware-Muster zu erkennen und die eigene Verteidigung zu verbessern.
Einsatzbereiche
- Frühwarnung: Honeypots erkennen Angriffsversuche oft vor den echten Systemen.
- Ablenkung: Angreifer verschwenden Zeit im Ködersystem statt im Produktivnetz.
- Forschung: Sicherheitsteams analysieren neue Angriffstechniken und IDS/IPS-Regeln lassen sich daraus ableiten.
Arten von Honeypots
- Low-Interaction: Simulieren nur wenige Dienste (z.B. offener SSH-Port) — geringer Aufwand, wenig Risiko.
- High-Interaction: Echte, überwachte Systeme, die Angreifern viel Spielraum lassen — hoher Erkenntnisgewinn, mehr Betreuungsaufwand.
- Honeytokens: Gefälschte Zugangsdaten oder Dateien, deren Benutzung sofort Alarm auslöst.
Ein Honeypot ersetzt keine Firewall oder andere Verteidigung — er ergänzt sie als Beobachtungs- und Ablenkungsinstrument. Im Rahmen eines Zero-Trust-Modells liefert er wertvolle Signale über unautorisierte Zugriffsversuche.