Glossar · einfach erklärt

Honeypot & Deception

Honeypots sind Köder für Angreifer: Systeme ohne legitimen Zweck — jeder Zugriff ist per Definition verdächtig.

Ein Honeypot ist ein Ködersystem ohne produktiven Zweck: Niemand hat einen legitimen Grund, darauf zuzugreifen — jeder Kontakt ist damit ein hochwertiges Signal. Deception-Technologie erweitert das Prinzip zur Strategie: verteilte Köder-Systeme, -Konten, -Dateien und -Zugangsdaten, die Angreifer in die Irre führen und früh verraten.

Der Charme liegt in der Alarmqualität: Während klassische Erkennung Rauschen filtern muss, sind Täuschungs-Alarme fast immer echt.

Wie funktioniert Deception in der Praxis?

Moderne Täuschung platziert Köder dort, wo Angreifer suchen: gefälschte Zugangsdaten in Passwort-Speichern, attraktive Dateiablagen, Köder-Dienste in Netzsegmenten, unbenutzte Konten mit scheinbaren Privilegien. Greift jemand darauf zu, entsteht ein präziser Alarm samt Kontext — welches System, welche Technik, welcher Zeitpunkt.

Wichtig sind Realismus und Pflege: Köder müssen glaubwürdig wirken und dürfen nicht versehentlich in produktive Abläufe geraten. Gute Deception-Konzepte definieren klar, wer die Alarme empfängt und wie darauf reagiert wird.

Wofür sich Täuschung besonders eignet

Früherkennung lateraler Bewegung im internen Netz.
Erkennung gestohlener Zugangsdaten: Köder-Credentials schlagen bei Nutzung an.
Schutz sensibler Zonen: Köder als Stolperdraht um Kronjuwelen.
Threat Intelligence: reale Angreifer-Techniken gefahrlos beobachten.

Häufige Fragen zu Honeypot & Deception

Was unterscheidet Honeypot und Deception?

Der Honeypot ist das einzelne Ködersystem; Deception ist die Strategie daraus: viele verteilte Köder — Systeme, Konten, Dateien, Zugangsdaten — orchestriert mit Alarmierung. Ziel ist nicht Ablenkung, sondern frühe, hochpräzise Erkennung.

Sind Honeypot-Alarme wirklich so zuverlässig?

Ja — das ist ihr Kernvorteil: Auf ein System ohne legitimen Zweck greift kein normaler Nutzer zu. Nahezu jeder Kontakt ist ein Scan, ein Fehlkonfigurationsfund oder ein Angreifer. Die Kunst liegt darin, versehentliche Berührungen durch Admins und Tools auszuschließen.

Ist ein Honeypot nicht selbst ein Risiko?

Schlecht isoliert ja — deshalb gehören Köder in eigene Segmente, ohne echte Daten und ohne Pfade ins Produktivnetz. Moderne Deception-Plattformen emulieren Dienste, statt verwundbare Vollsysteme zu betreiben, was das Risiko deutlich senkt.

Lohnt sich Deception für mittelständische Unternehmen?

Ja, gerade dort: Wenige gut platzierte Köder — etwa Fake-Admin-Konten und Köder-Freigaben — liefern Frühwarnung mit minimalem Betriebsaufwand und ohne Alarmflut. Voraussetzung ist nur, dass jemand die (seltenen) Alarme ernst nimmt und behandelt.

Ersetzt Deception EDR oder NDR?

Nein — sie ergänzt: EDR und NDR beobachten reale Systeme und Verkehr, Täuschung fängt Angreifer, die sich daran vorbeibewegen. Die Kombination erhöht die Chance, laterale Bewegung früh zu sehen, bevor Schaden entsteht.