Doogree
Offensive · Täuschung

Honeytokens: 100 % sichere Einbruchserkennung

06.07.2026 · ~5 Min. Lesezeit
HoneytokensTäuschungCanaryEinbruchserkennung

Jede signatur- oder verhaltensbasierte Verteidigung — IDS, EDR, Antivirus — leidet an demselben Übel: Fehlalarmen. Sie rät, ob eine Aktivität bösartig ist, und liegt manchmal falsch. Ein Honeytoken kehrt die Gleichung um: Es ist eine digitale Falle — eine Datei, ein Schlüssel, ein Passwort oder eine Adresse — die kein legitimer Prozess jemals berührt. Deshalb ist jeder Zugriff darauf ein bestätigter Einbruch, mit null Fehlalarmen.

Was ein Honeytoken tatsächlich ist

Ein Honeytoken ist ein gefälschter Köder, den der Betreiber überall dort platziert, wo es sensibel ist: eine Köder-URL, ein DNS-Eintrag, ein fiktiver Cloud-Schlüssel, ein „vertrauliches" Dokument oder ein Zugangsdatenpaar für eine Datenbank, die nicht existiert. Die Idee ist so alt wie die Spionage selbst — ein falscher Name auf einer Verteilerliste, um herauszufinden, wer sie verkauft hat. In der Cyberwelt wird daraus das sauberste Einbruchssignal, das es gibt: Wenn jemand das Honeytoken gelesen, geöffnet oder verwendet hat — hatte er dort nichts zu suchen. Punkt.

Null Fehlalarme — kein Marketing-Slogan. Ein EDR hat keine Möglichkeit, mit Sicherheit zu wissen, ob ein bestimmter Prozess bösartig ist. Ein Honeytoken hat dieses Problem nicht: Nichts Legitimes befindet sich dort. Der Kontakt selbst ist der Beweis. Das ist der Unterschied zwischen „vielleicht wurden wir kompromittiert" und „wir wurden kompromittiert — hier ist die IP".

Wie es funktioniert — zu 100 % agentenlos

1. Ausstellen. Über das Dashboard erzeugt der Betreiber ein Honeytoken nach Typ und Bezeichnung (zum Beispiel „SSH-Schlüssel · Backup-Server"). Das Ergebnis ist nur eine Zeichenkette. 2. Platzieren. Man fügt die Zeichenkette überall dort ein, wo es verlockend ist — eine Datei passwords.xlsx auf einem Dateiserver, ein Köderschlüssel im Code, ein interner DNS-Eintrag. Auf keinem Gerät muss etwas installiert werden. 3. Auslösen. In dem Moment, in dem ein Angreifer das Honeytoken berührt, trifft der Zugriff auf einen öffentlichen Worker — ein Cloud-Beacon —, der das Ereignis protokolliert: Quell-IP, Geo, Zeitstempel. 4. Anreichern. Das Beacon gleicht die IP mit dem Threat-Intelligence-Feed (C2) ab, der die Plattform bereits bedient. 5. Verbergen. Der Worker gibt ein harmloses 1×1-GIF zurück — der Angreifer sieht nichts Verdächtiges und macht weiter, als wäre nichts geschehen. Wir wissen es bereits.

Was in dem Moment passiert, in dem es ausgelöst wird

Warum es für ein kleines Unternehmen besonders kritisch ist: Die meisten KMU haben kein SOC, das auf Alarmen sitzt. Ein Honeytoken ist das zuverlässigste, günstigste und eindeutigste Signal für die Frage „Wurden wir kompromittiert?" — vollkommen still, bis es auslöst, und dann vollkommen sicher. Es ist besonders brillant, um Insider-Bedrohungen und laterale Bewegung zu fangen: Platzieren Sie ein gefälschtes Datenbank-Zugangsdatenpaar, einen Köder-SSH-Schlüssel oder eine passwords.xlsx — und wer versucht, sie zu verwenden, verrät sich sofort.

Wo es in das Framework passt

In den Begriffen von MITRE und NIST ist dies Täuschung in der Funktion Detect. Während UEBA und EDR lernen, „was normal ist", und Abweichungen erraten, rät das Honeytoken gar nichts — es stellt eine Falle und wartet. Die beiden Ansätze ergänzen einander: Das Verhalten grenzt das Sichtfeld ein, und das Honeytoken liefert den sauberen Beweis. Zusammen, auf einer einzigen Plattform, sind sie der Unterschied zwischen der Hoffnung, einen Eindringling zu fangen — und dem Wissen in dem Moment, in dem einer hereinkommt.

← Zurück zum Blog · So funktioniert es →