--- id: CP-235 slug: honeypot-honeytoken-canarytokens-koeder lang: de title: "Honeypots und Honeytokens: Köder, die Eindringlinge verraten" description: "Attrappen-Server, gefälschtes Dokument, falscher Zugangsschlüssel: was Sicherheitsköder sind und was Beschäftigte tun sollen, wenn sie auf einen stoßen." canonical_url: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ markdown_url: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Honeypots und Honeytokens: Köder, die Eindringlinge verraten“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-078 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ fr: https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/ en: https://startbrain.io/cyberpedia/en/articles/honeypot-honeytoken-canarytokens-traps/ es: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ sources: - "n": 1 title: honeypot - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/honeypot accessed: "2026-11-03" - "n": 2 title: Building a Security Operations Centre (SOC) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/building-a-security-operations-centre published: "2022-05-23" accessed: "2026-11-03" - "n": 3 title: "Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1552/001/ accessed: "2026-11-03" - "n": 4 title: File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1083/ accessed: "2026-11-03" - "n": 5 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 6 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 7 title: CHAPITRE II - Principes publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 accessed: "2026-11-03" - "n": 8 title: Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1042/ accessed: "2026-11-03" --- # Honeypots und Honeytokens: Köder, die Eindringlinge verraten Ein Honeypot ist ein Köder. Das NIST-Glossar definiert ihn als ein System (zum Beispiel einen Webserver) oder eine Systemressource (zum Beispiel eine Datei auf einem Server), das für Hacker und Eindringlinge attraktiv sein soll, „like honey is attractive to bears“ [1]. In diesem Beitrag steht „Honeytoken“ für denselben Gedanken im Kleinen: ein Datenstück ohne echten Nutzen, etwa eine falsche Anmeldekennung oder ein falscher Zugangsschlüssel, an einer Stelle abgelegt, wo ein Eindringling es findet. Die hier zitierten Quellen definieren diesen Begriff nicht. Für Beschäftigte bleiben diese Fallen meist unsichtbar. Sie dienen der Sicherheit des Unternehmens, das sie einrichtet und überwacht. Dieser Beitrag erklärt das Prinzip, was von jedem erwartet wird, wenn ein Köder im eigenen Arbeitsumfeld auftaucht, und welche Mängel solche Vorkehrungen nutzlos oder gefährlich machen. ## In 30 Sekunden - Wo es vorkommt: auf Systemen, in Dateien oder bei Konten, die das Sicherheitsteam absichtlich platziert hat, ohne dass sich Beschäftigte darum kümmern müssen. - Was der Angreifer will: Passwörter, Schlüssel oder Zugangstokens finden. Der Köder bietet genau das, führt aber ins Leere. - Der Reflex: Einen Köder nicht anfassen, nie selbst einen einrichten und der Sicherheit jede Warnmeldung und jede verdächtige Datei melden. - Falls es schon passiert ist: Die Sicherheit sofort informieren und angeben, was geöffnet wurde und wann. ## Direkte Fragen ### Wozu dient ein Köder? Er dient dazu, einen Einbruch zu erkennen. Das britische NCSC weist darauf hin, dass das oberste Ziel der Cybersicherheit darin besteht, Angriffe zu verhindern [2]. Das ist nicht immer möglich [2]. Die Aufgabe eines Security Operations Centre (SOC) ist es, den Schaden zu begrenzen, indem es Angriffe erkennt und bearbeitet, die an den vorbeugenden Kontrollen vorbeikommen [2]. Ein Köder ist ein Mittel der Erkennung unter mehreren: Er ergänzt die Schutzmaßnahmen, die blockieren, und ersetzt sie nicht. ### Warum geht ein Eindringling darauf ein? Weil er genau das sucht, was der Köder nachahmt. MITRE beschreibt Angreifer, die lokale Dateisysteme und Netzwerkfreigaben nach Dateien mit schlecht geschützten Zugangsdaten durchsuchen [3]. Das können Dateien sein, die Nutzer angelegt haben, um ihre Passwörter zu notieren, Konfigurationsdateien mit Passwörtern oder Quellcode mit eingebauten Passwörtern [3]. Dieselben Angreifer können Dateien und Ordner auflisten, um über ihr weiteres Vorgehen zu entscheiden [4]. Eine falsche Passwortdatei am richtigen Ort sieht aus wie ein Fund. ### Kann ein Beschäftigter versehentlich einen Köder auslösen? Das ist möglich, und der Beitrag kann nicht sagen, wie oft: Die hier zitierten Quellen dokumentieren das nicht. Die Regel ist daher einfach. Eine Datei, ein Konto oder eine Freigabe, die mit Ihrer Arbeit nichts zu tun hat, öffnen Sie nicht aus Neugier. Wenn Sie sie geöffnet haben, sagen Sie es der Sicherheit, statt es zu verschweigen. ### Soll ein Beschäftigter zu Hause oder auf dem eigenen Arbeitsplatzrechner einen Köder einrichten? Nein. Ein schlecht platzierter Köder kann ein Problem schaffen, statt eines zu lösen. Über den Standort, die Isolierung und die Überwachung entscheidet das Sicherheitsteam. ## Wie es funktioniert Es gibt drei große Familien von Ködern, die der Beitrag anhand der Beispiele im NIST-Glossar [1] und auf den MITRE-Seiten [3][5] unterscheidet. - Der Attrappen-Server oder das Attrappen-System: Das ist der Honeypot im Sinne des NIST, ein System, das für den Eindringling attraktiv ist [1]. - Das gefälschte Dokument oder die gefälschte Datei: eine auf einem Server abgelegte Ressource, die das NIST ebenfalls unter die Definition des Honeypots fasst [1]. - Das falsche Token oder der falsche Zugangsschlüssel: Ein Anwendungstoken dient dazu, im Namen eines Nutzers oder eines Dienstes berechtigte Anfragen zu stellen, und ist in Cloud- und Container-Anwendungen verbreitet [5]. Ein Angreifer, der solche Tokens stiehlt, kann auf Daten zugreifen und mit den Rechten der betroffenen Konten handeln [5]. Ein Köder-Token würde nach der Überlegung dieses Beitrags dieselbe Begehrlichkeit wecken. Das Alarmprinzip beruht auf der Nutzung: Der Köder hat im Arbeitsalltag keine Funktion, daher verdient jeder Kontakt mit ihm eine Prüfung. Die hier zitierten Quellen beschreiben nicht, wie handelsübliche Werkzeuge technisch arbeiten, und dieser Beitrag tut es auch nicht. Dieselbe Überlegung gilt für Konten. MITRE hält fest, dass Cloud-Konten, die eine Organisation für ihre Nutzer, ihre Dienste oder die Administration anlegt, Angriffsziele sind [6]. Ein Angreifer kann sie per Brute Force oder per Phishing ins Visier nehmen [6]. Ein falsches Konto könnte hier nach der Überlegung dieses Beitrags als Köder dienen. ## Was Sie tun - Sie fassen nichts an, was Sie nichts angeht. Eine Datei namens „Passwörter“ in einem gemeinsamen Ordner, den Sie nie nutzen, ist kein Glücksfall. - Sie kopieren, testen oder teilen keine Kennung, keinen Schlüssel und kein Token, das Sie zufällig finden. - Sie melden der Sicherheit jede unerwartete Warnmeldung und jede verdächtige Datei oder jedes verdächtige Konto, mit Name, Ort und Uhrzeit. - Sie richten selbst keinen Köder ein, weder auf einem Rechner noch in einem Cloud-Bereich. - Sie legen Ihre eigenen Passwörter nicht in einer Datei ab: MITRE nennt gerade solche Dateien unter denen, die Angreifer suchen [3]. ## Die Fallstricke ### Der Köder, der zu leicht zu erkennen ist Ein plumpes gefälschtes Dokument mit einem allzu offensichtlichen Namen täuscht niemanden. Die hier zitierten Quellen sagen nicht, wie ein glaubwürdiger Köder gelingt: Der Punkt wird hier nur erwähnt, ohne technische Anleitung. ### Der ignorierte Alarm Erkennen nützt nichts, wenn niemand reagiert. Das NCSC beschreibt das SOC als eine Einheit, die erkennt und reagiert [2]. Sein Leitfaden behandelt sowohl die Erkennung als auch die Reaktion auf Vorfälle [2]. ### Der schlecht isolierte Köder Die hier zitierten Quellen behandeln nicht, wie ein Köder vom übrigen Netz getrennt wird. MITRE empfiehlt dagegen allgemein, die Angriffsfläche zu verkleinern, indem unnötige Software, Funktionen und Dienste entfernt werden [8], was auch für einen vergessenen Köder gilt. ### Personenbezogene Daten, die ohne Rahmen erhoben werden Wenn ein Köder aufzeichnet, was eine Person tut, können die Regeln zu personenbezogenen Daten gelten. Die DSGVO verlangt in Artikel 5, dass sie rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden [7]. Sie müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden [7]. Sie müssen außerdem auf das Notwendige beschränkt sein [7]. Sie verlangt zudem eine angemessene Sicherheit der Verarbeitung [7]. Eine Überwachung ohne klaren Zweck und ohne Information der Betroffenen weicht von diesen Grundsätzen ab. ### Das Cloud-Konto als Angriffsziel Ein Cloud-Konto, das mit internen Systemen synchronisiert ist, kann den Weg ins Unternehmen selbst öffnen: MITRE stellt klar, dass föderierte oder synchronisierte Konten Handlungen sowohl auf internen Systemen als auch in der Cloud ermöglichen können [6]. Der Beitrag folgert daraus, dass ein falsches Konto dieser Art wie ein sensibles Konto abgeschottet werden sollte. ## Quellen 1. NIST, „honeypot - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/honeypot (abgerufen am 3. November 2026) 2. NCSC (Royaume-Uni), „Building a Security Operations Centre (SOC)“, 23. Mai 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1552/001/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1083/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1528/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/004/ (abgerufen am 3. November 2026) 7. CNIL, „CHAPITRE II - Principes“. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1042/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.