Cyberpediavon Brain
DEENFR

Honeypots und Honeytokens: Köder, die Eindringlinge verraten

Attrappen-Server, gefälschtes Dokument, falscher Zugangsschlüssel: was Sicherheitsköder sind und was Beschäftigte tun sollen, wenn sie auf einen stoßen.

In 30 Sekunden

Wo es vorkommt
Auf Systemen, in Dateien oder bei Konten, die das Sicherheitsteam absichtlich platziert hat, ohne dass sich Beschäftigte darum kümmern müssen.
Was der Angreifer will
Passwörter, Schlüssel oder Zugangstokens finden. Der Köder bietet genau das, führt aber ins Leere.
Der Reflex
Einen Köder nicht anfassen, nie selbst einen einrichten und der Sicherheit jede Warnmeldung und jede verdächtige Datei melden.
Falls es schon passiert ist
Die Sicherheit sofort informieren und angeben, was geöffnet wurde und wann.

Worum es geht

Ein Honeypot ist ein Köder. Das NIST-Glossar definiert ihn als ein System (zum Beispiel einen Webserver) oder eine Systemressource (zum Beispiel eine Datei auf einem Server), das für Hacker und Eindringlinge attraktiv sein soll, „like honey is attractive to bears“1. In diesem Beitrag steht „Honeytoken“ für denselben Gedanken im Kleinen: ein Datenstück ohne echten Nutzen, etwa eine falsche Anmeldekennung oder ein falscher Zugangsschlüssel, an einer Stelle abgelegt, wo ein Eindringling es findet. Die hier zitierten Quellen definieren diesen Begriff nicht.

Für Beschäftigte bleiben diese Fallen meist unsichtbar. Sie dienen der Sicherheit des Unternehmens, das sie einrichtet und überwacht. Dieser Beitrag erklärt das Prinzip, was von jedem erwartet wird, wenn ein Köder im eigenen Arbeitsumfeld auftaucht, und welche Mängel solche Vorkehrungen nutzlos oder gefährlich machen.

Direkte Fragen

Wozu dient ein Köder?

Er dient dazu, einen Einbruch zu erkennen. Das britische NCSC weist darauf hin, dass das oberste Ziel der Cybersicherheit darin besteht, Angriffe zu verhindern2. Das ist nicht immer möglich2. Die Aufgabe eines Security Operations Centre (SOC) ist es, den Schaden zu begrenzen, indem es Angriffe erkennt und bearbeitet, die an den vorbeugenden Kontrollen vorbeikommen2. Ein Köder ist ein Mittel der Erkennung unter mehreren: Er ergänzt die Schutzmaßnahmen, die blockieren, und ersetzt sie nicht.

Warum geht ein Eindringling darauf ein?

Weil er genau das sucht, was der Köder nachahmt. MITRE beschreibt Angreifer, die lokale Dateisysteme und Netzwerkfreigaben nach Dateien mit schlecht geschützten Zugangsdaten durchsuchen3. Das können Dateien sein, die Nutzer angelegt haben, um ihre Passwörter zu notieren, Konfigurationsdateien mit Passwörtern oder Quellcode mit eingebauten Passwörtern3. Dieselben Angreifer können Dateien und Ordner auflisten, um über ihr weiteres Vorgehen zu entscheiden4. Eine falsche Passwortdatei am richtigen Ort sieht aus wie ein Fund.

Kann ein Beschäftigter versehentlich einen Köder auslösen?

Das ist möglich, und der Beitrag kann nicht sagen, wie oft: Die hier zitierten Quellen dokumentieren das nicht. Die Regel ist daher einfach. Eine Datei, ein Konto oder eine Freigabe, die mit Ihrer Arbeit nichts zu tun hat, öffnen Sie nicht aus Neugier. Wenn Sie sie geöffnet haben, sagen Sie es der Sicherheit, statt es zu verschweigen.

Soll ein Beschäftigter zu Hause oder auf dem eigenen Arbeitsplatzrechner einen Köder einrichten?

Nein. Ein schlecht platzierter Köder kann ein Problem schaffen, statt eines zu lösen. Über den Standort, die Isolierung und die Überwachung entscheidet das Sicherheitsteam.

1Wie es funktioniert1 min

Es gibt drei große Familien von Ködern, die der Beitrag anhand der Beispiele im NIST-Glossar1 und auf den MITRE-Seiten35 unterscheidet.

  • Der Attrappen-Server oder das Attrappen-System: Das ist der Honeypot im Sinne des NIST, ein System, das für den Eindringling attraktiv ist1.
  • Das gefälschte Dokument oder die gefälschte Datei: eine auf einem Server abgelegte Ressource, die das NIST ebenfalls unter die Definition des Honeypots fasst1.
  • Das falsche Token oder der falsche Zugangsschlüssel: Ein Anwendungstoken dient dazu, im Namen eines Nutzers oder eines Dienstes berechtigte Anfragen zu stellen, und ist in Cloud- und Container-Anwendungen verbreitet5. Ein Angreifer, der solche Tokens stiehlt, kann auf Daten zugreifen und mit den Rechten der betroffenen Konten handeln5. Ein Köder-Token würde nach der Überlegung dieses Beitrags dieselbe Begehrlichkeit wecken.

Das Alarmprinzip beruht auf der Nutzung: Der Köder hat im Arbeitsalltag keine Funktion, daher verdient jeder Kontakt mit ihm eine Prüfung. Die hier zitierten Quellen beschreiben nicht, wie handelsübliche Werkzeuge technisch arbeiten, und dieser Beitrag tut es auch nicht.

Dieselbe Überlegung gilt für Konten. MITRE hält fest, dass Cloud-Konten, die eine Organisation für ihre Nutzer, ihre Dienste oder die Administration anlegt, Angriffsziele sind6. Ein Angreifer kann sie per Brute Force oder per Phishing ins Visier nehmen6. Ein falsches Konto könnte hier nach der Überlegung dieses Beitrags als Köder dienen.

2Was Sie tun1 min
  • Sie fassen nichts an, was Sie nichts angeht. Eine Datei namens „Passwörter“ in einem gemeinsamen Ordner, den Sie nie nutzen, ist kein Glücksfall.
  • Sie kopieren, testen oder teilen keine Kennung, keinen Schlüssel und kein Token, das Sie zufällig finden.
  • Sie melden der Sicherheit jede unerwartete Warnmeldung und jede verdächtige Datei oder jedes verdächtige Konto, mit Name, Ort und Uhrzeit.
  • Sie richten selbst keinen Köder ein, weder auf einem Rechner noch in einem Cloud-Bereich.
  • Sie legen Ihre eigenen Passwörter nicht in einer Datei ab: MITRE nennt gerade solche Dateien unter denen, die Angreifer suchen3.
3Die Fallstricke2 min

Der Köder, der zu leicht zu erkennen ist

Ein plumpes gefälschtes Dokument mit einem allzu offensichtlichen Namen täuscht niemanden. Die hier zitierten Quellen sagen nicht, wie ein glaubwürdiger Köder gelingt: Der Punkt wird hier nur erwähnt, ohne technische Anleitung.

Der ignorierte Alarm

Erkennen nützt nichts, wenn niemand reagiert. Das NCSC beschreibt das SOC als eine Einheit, die erkennt und reagiert2. Sein Leitfaden behandelt sowohl die Erkennung als auch die Reaktion auf Vorfälle2.

Der schlecht isolierte Köder

Die hier zitierten Quellen behandeln nicht, wie ein Köder vom übrigen Netz getrennt wird. MITRE empfiehlt dagegen allgemein, die Angriffsfläche zu verkleinern, indem unnötige Software, Funktionen und Dienste entfernt werden8, was auch für einen vergessenen Köder gilt.

Personenbezogene Daten, die ohne Rahmen erhoben werden

Wenn ein Köder aufzeichnet, was eine Person tut, können die Regeln zu personenbezogenen Daten gelten. Die DSGVO verlangt in Artikel 5, dass sie rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden7. Sie müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden7. Sie müssen außerdem auf das Notwendige beschränkt sein7. Sie verlangt zudem eine angemessene Sicherheit der Verarbeitung7. Eine Überwachung ohne klaren Zweck und ohne Information der Betroffenen weicht von diesen Grundsätzen ab.

Das Cloud-Konto als Angriffsziel

Ein Cloud-Konto, das mit internen Systemen synchronisiert ist, kann den Weg ins Unternehmen selbst öffnen: MITRE stellt klar, dass föderierte oder synchronisierte Konten Handlungen sowohl auf internen Systemen als auch in der Cloud ermöglichen können6. Der Beitrag folgert daraus, dass ein falsches Konto dieser Art wie ein sensibles Konto abgeschottet werden sollte.

Merkblatt

Kennung
CP-235
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Sicher surfen (browse_safely)
Brain-Reflex
cr-078
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. NIST, „honeypot - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/honeypot (abgerufen am 3. November 2026)
  2. NCSC (Royaume-Uni), „Building a Security Operations Centre (SOC)“, 23. Mai 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1552/001/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1083/ (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1528/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/004/ (abgerufen am 3. November 2026)
  7. CNIL, „CHAPITRE II - Principes“. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1042/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Honeypots und Honeytokens: Köder, die Eindringlinge verraten“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/

BibTeX 
@misc{brain_cp235_de_2026,
  author = {Brain},
  title = {Honeypots und Honeytokens: Köder, die Eindringlinge verraten},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0