Einfach erklärt: Was sind Honeypots?

Bären mögen Honig, aber was mögen Hacker? Für sie gibt es digitale Leckerbissen im Internet: absichtlich platzierte Fake-Computersysteme. Von deren Schwachstellen angelockt, wird aus dem Jäger der Gejagte. Oder besser: Der Beobachtete.  Solche Fallen heißen, wie in der Bärenjagd, Honigtöpfe oder Honeypots. 

Heißt es nicht: „Von den Besten lernen“? Es geht darum, immer die neuestens Tricks und Kniffe zu sehen, mit denen ein Firmennetz oder eine Produktionsanlage angegriffen werden könnte. Selbst der so genannte Token, der vom Prinzip her wie das farbige Bändchen am Handgelenk im Cluburlaub funktioniert, lässt sich als Lockfalle simulieren. Nur die mit dem Bändchen bekommen den Drink an der Poolbar – das möchte der Angreifer auch. Er möchte als zulässiger Bestandteil eines Computersystems angesehen werden. Dafür tarnt er sich, nutzt digitales Werkzeug oder zeigt bislang unbekannte Hintertüren auf. Und er sorgt dadurch auch unbewusst dafür, dass genau solche Systeme sicherer werden. Denn seine Arbeit wird analysiert und dokumentiert. Manchmal sogar von den immer intelligenteren, lernenden Lockfallen selbst.

Diese so genannten „Honeypots“ werden absichtlich so aufgestellt, dass sie vom Internet aus gut sichtbar und leicht zu erreichen sind. Die Eindringlinge tappen hinein, weil die Honeypots leichte Beute simulieren, also Systeme mit Schwachstellen. Diese Schwachstellen können beispielsweise unsichere Passwörter sein, veraltete Software oder offene Schnittstellen für Fernzugriffe. Unternehmen wie die Telekom analysieren die über die Angriffe gewonnenen Erkenntnisse und Daten, um ihre eigenen Systeme und die ihrer Kunden sicherer zu machen. 

Je länger Codeknacker sich in dem Honeypot aufhalten, desto mehr wertvolle Informationen liefern sie. Also gilt es, sie zu „bespaßen“ und ihnen eine besonders spannende Umgebung vorzugaukeln.

Wie kann man sich das konkret vorstellen? Den Bären hat man den Honigtopf schlicht auf eine abgedeckte Grube gelegt. In der Hoffnung, dass der Bär danach greift, in die Grube plumpst und gefangen ist. Mit den IT-Eindringlingen aller Art geht man weniger martialisch um. Man könnte sich das wie ein Haus vorstellen: 

Ein Honeypot ist wie ein Gebäude, das extra so gebaut ist, dass es für Einbrecher wie ein spannendes Ziel aussieht. 

• Verlockende Türen und Fenster: Einige Fenster und Türen sehen leicht geöffnet oder unverschlossen aus. Das ist wie ein einfaches Passwort oder eine alte Software, die leicht zu knacken ist. Der Eindringling denkt, er hat leichtes Spiel.  
• Mehrere Räume: Das Haus hat viele verschiedene Zimmer, die der Einbrecher durchstöbern kann. Jedes hat ein neues Geheimnis oder eine neue Herausforderung. Also zum Beispiel verschiedene Sicherheitslücken oder Schwachstellen in einem vermeintlichen Unternehmensnetzwerk, die der Hacker nacheinander angreifen kann. Oder geheimnisvolle „Schatzkisten“ in jedem Zimmer mit vermeintlich exklusiven Informationen oder Daten.  
• Versteckte Hinweise, die der Einbrecher verfolgen kann: Diese führen ihn zu weiteren interessanten Ecken im Haus. Das könnten bei den Honeypots Logins oder Zugangsdaten sein, die der Hacker versucht zu knacken. 

Solche Tricks ziehen Cyber-Angreifer an und fordern sie ständig heraus. Sie bleiben länger im „Haus“ und hinterlassen mehr Spuren. Und je mehr es davon gibt, desto besser lässt sich ihr Vorgehen analysieren. 30.000 bis 40.000 Angriffe auf die mehr als 6.000 Honeypot-Fallen registrieren die Sicherheitsfachleute der Telekom im Schnitt pro Minute. Künstliche Intelligenz hilft ihnen dabei, daraus Muster zu erkennen, sie zu interpretieren und Schutzmechanismen auszubauen. 

Kurzum: Ein Honeypot ist ein Sicherheits-Faktor. Der dient dazu, Cyber-Angreifer anzulocken und deren Aktivitäten zu überwachen, ohne dass diese auf echte Daten oder Systeme zugreifen können. Es gibt verschiedene Arten von Honeypots, die jeweils unterschiedliche Ziele verfolgen und auf unterschiedliche Angreifer abzielen. Mehr dazu hier.