Honeytokens: 100 % sichere Einbruchserkennung
Jede signatur- oder verhaltensbasierte Verteidigung — IDS, EDR, Antivirus — leidet an demselben Übel: Fehlalarmen. Sie rät, ob eine Aktivität bösartig ist, und liegt manchmal falsch. Ein Honeytoken kehrt die Gleichung um: Es ist eine digitale Falle — eine Datei, ein Schlüssel, ein Passwort oder eine Adresse — die kein legitimer Prozess jemals berührt. Deshalb ist jeder Zugriff darauf ein bestätigter Einbruch, mit null Fehlalarmen.
Was ein Honeytoken tatsächlich ist
Ein Honeytoken ist ein gefälschter Köder, den der Betreiber überall dort platziert, wo es sensibel ist: eine Köder-URL, ein DNS-Eintrag, ein fiktiver Cloud-Schlüssel, ein „vertrauliches" Dokument oder ein Zugangsdatenpaar für eine Datenbank, die nicht existiert. Die Idee ist so alt wie die Spionage selbst — ein falscher Name auf einer Verteilerliste, um herauszufinden, wer sie verkauft hat. In der Cyberwelt wird daraus das sauberste Einbruchssignal, das es gibt: Wenn jemand das Honeytoken gelesen, geöffnet oder verwendet hat — hatte er dort nichts zu suchen. Punkt.
Wie es funktioniert — zu 100 % agentenlos
1. Ausstellen. Über das Dashboard erzeugt der Betreiber ein Honeytoken nach Typ und Bezeichnung (zum Beispiel „SSH-Schlüssel · Backup-Server"). Das Ergebnis ist nur eine Zeichenkette. 2. Platzieren. Man fügt die Zeichenkette überall dort ein, wo es verlockend ist — eine Datei passwords.xlsx auf einem Dateiserver, ein Köderschlüssel im Code, ein interner DNS-Eintrag. Auf keinem Gerät muss etwas installiert werden. 3. Auslösen. In dem Moment, in dem ein Angreifer das Honeytoken berührt, trifft der Zugriff auf einen öffentlichen Worker — ein Cloud-Beacon —, der das Ereignis protokolliert: Quell-IP, Geo, Zeitstempel. 4. Anreichern. Das Beacon gleicht die IP mit dem Threat-Intelligence-Feed (C2) ab, der die Plattform bereits bedient. 5. Verbergen. Der Worker gibt ein harmloses 1×1-GIF zurück — der Angreifer sieht nichts Verdächtiges und macht weiter, als wäre nichts geschehen. Wir wissen es bereits.
Was in dem Moment passiert, in dem es ausgelöst wird
- Der Treffer gelangt in Echtzeit in den Live-Angriffsfeed.
- Er wird in die Vorfallkorrelation des SIEM eingespeist und verbindet sich mit allen anderen Signalen zu einer einzigen Angriffsgeschichte.
- Der Betreiber erhält eine sofortige E-Mail — man muss nicht vor einem Bildschirm sitzen, um es zu wissen.
- Der Zähler dieses Honeytokens im Dashboard steigt, sodass man Trends erkennen kann („diese Datei wurde diese Woche 4-mal berührt").
Wo es in das Framework passt
In den Begriffen von MITRE und NIST ist dies Täuschung in der Funktion Detect. Während UEBA und EDR lernen, „was normal ist", und Abweichungen erraten, rät das Honeytoken gar nichts — es stellt eine Falle und wartet. Die beiden Ansätze ergänzen einander: Das Verhalten grenzt das Sichtfeld ein, und das Honeytoken liefert den sauberen Beweis. Zusammen, auf einer einzigen Plattform, sind sie der Unterschied zwischen der Hoffnung, einen Eindringling zu fangen — und dem Wissen in dem Moment, in dem einer hereinkommt.