Honeypot

Ein Honeypot ist ein Computer oder Dienst, der nur als Köder existiert. Er sieht aus wie ein lohnendes Ziel: eine schlecht gesicherte Datenbank, ein vergessener Server, ein Konto mit dem Passwort « admin123 ». In Wirklichkeit liegen dort keine echten Daten. Niemand aus der Firma hat einen Grund, dieses System zu benutzen. Genau darin liegt der Trick: Jeder Zugriff ist automatisch verdächtig. Der Name kommt vom Honigtopf, der Bären anlockt — nur dass hier statt Honig gefälschte Beute im Topf liegt.

Was ein Köder verrät, was ein Alarm nicht kann

Normale Sicherheitssysteme haben ein Grundproblem: Sie müssen echten von falschem Verkehr unterscheiden. Auf einem großen Firmennetz laufen täglich Millionen von Zugriffen. Die allermeisten sind harmlos. Ein Warnsystem schlägt deshalb ständig Fehlalarm, und irgendwann schaut niemand mehr hin. Fachleute nennen das Alarmmüdigkeit, und sie ist eine der häufigsten Ursachen für übersehene Einbrüche.

Ein Honeypot dreht dieses Problem um. Weil dort kein legitimer Verkehr stattfindet, gibt es praktisch keine Fehlalarme. Wer sich einloggt, hat entweder aus Versehen einen Tippfehler gemacht oder etwas Verbotenes vor. Ein einziger Treffer ist damit ein starkes Signal, kein Rauschen.

Dazu kommt der Erkenntnisgewinn. Verteidiger sehen zu, welche Werkzeuge ein Angreifer benutzt, welche Befehle er tippt und wohin er gestohlene Daten schicken will. Sicherheitsfirmen betreiben ganze Netze aus Honeypots, um neue Schadprogramme einzusammeln, bevor diese echte Opfer treffen.

Vom offenen Login bis zum nachgebauten Netzwerk

Technisch reicht die Spannweite von sehr einfach bis sehr aufwendig. Ein einfacher Honeypot tut nur so, als gäbe es einen Dienst. Er nimmt eine Verbindung an, protokolliert Benutzername und Passwort und bricht dann ab. Das ist billig und ungefährlich, überzeugt einen aufmerksamen Angreifer aber nur wenige Sekunden lang.

Aufwendige Varianten sind komplette Betriebssysteme in einer abgeschotteten Umgebung. Der Angreifer kann sich dort wirklich bewegen, Dateien anlegen und Programme starten. Alles wird mitgeschnitten. Solche Systeme müssen streng vom echten Netz getrennt sein. Sonst wird der Köder zum Einstiegstor, und der Verteidiger hat sich selbst eine Lücke gebaut.

Eine schlanke Variante sind einzelne Lockdaten statt ganzer Systeme: ein Dokument namens « Gehälter 2025 », das eine Meldung auslöst, sobald es geöffnet wird. Oder Zugangsdaten, die nirgends gültig sind — wer sie ausprobiert, hat sie gestohlen. Man spricht hier von Honeytokens. Ein verbreiteter Irrtum ist übrigens, ein Honeypot würde Angriffe abwehren. Das tut er nicht. Er erkennt und dokumentiert sie, verteidigen müssen andere Systeme.

Von Bankservern bis zu Fallen für KI-Crawler

In Unternehmen gehören Honeypots zum Standardwerkzeug größerer Sicherheitsabteilungen, etwa bei Banken oder Cloud-Anbietern. Auch im Alltag begegnet dir das Prinzip, meist ohne dass du es merkst. Viele Webformulare enthalten ein unsichtbares Eingabefeld. Menschen sehen es nicht und lassen es leer. Automatische Programme füllen alles aus und verraten sich dadurch. So filtern Seiten Werbemüll heraus, ohne dass du ein Bilderrätsel lösen musst.

Neuerdings taucht der Begriff auch im Streit um Trainingsdaten für KI auf. Betreiber von Webseiten legen Seiten an, die nur automatische Sammelprogramme finden können. Wer sie abruft, hat die Regeln der Seite ignoriert. Manche solcher Fallen füllen sich selbst mit endlos generiertem Unsinn, um den Sammler zu beschäftigen und sein Ergebnis zu verderben.

In Nachrichten liest man den Begriff außerdem oft im Zusammenhang mit Kryptowährungen. Dort bezeichnet ein Honeypot einen manipulierten Vertrag, bei dem man Geld einzahlen, aber nie wieder abheben kann. Das ist schlicht Betrug und hat mit der Sicherheitstechnik nur den Ködergedanken gemeinsam. Beim Lesen lohnt es sich also, kurz auf den Zusammenhang zu achten.