# Was ist ein Honeypot?

Ähnlich wie Bären für Honig schwärmen, läuft Hackern beim Anblick eines unzureichend gesicherten Servers das Wasser im Mund zusammen. Für beides hat sich das Sinnbild des Honigtopfs etabliert. Als Honeypot wird in der Computerterminologie ein Sicherheitsmechanismus bezeichnet, mit dem Administratoren Hacker täuschen und **Cyberattacken ins Leere laufen lassen**. Ein solcher Honigtopf simuliert Netzwerkdienste oder Anwendungsprogramme, um Angreifer anzulocken und das Produktivsystem vor Schäden zu schützen. In der Praxis bedienen sich Nutzer serverseitiger und clientseitiger Technologien, um Honeypots einzurichten.

- **Serverseitiges Honeypotting**: Die Grundidee eines serverseitigen Honeypots ist es, Angreifer in isolierte Bereiche eines IT-Systems zu locken und so von kritischen Netzwerkkomponenten fernzuhalten. Darüber hinaus bieten Honeypots die Möglichkeit, das Vorgehen von Angreifern zu tracken. Dazu simuliert ein einfacher Honeypot eine Serveranwendung, die einen oder mehrere Dienste im Netzwerk bereitstellt – beispielsweise einen Webserver. Lässt sich ein Angreifer durch das Ablenkmanöver täuschen und startet einen Einbruchsversuch, zeichnet der Honeypot sämtliche Aktivitäten auf, schlägt Alarm oder leitet Gegenmaßnahmen ein. Im besten Fall liefert ein solcher Server-Honeypot Informationen darüber, wie automatisierte oder manuelle Angriffe vonstattengehen. Administratoren gewinnen auf diese Weise Daten, die Ihnen ermöglichen, das Produktivsystem zukünftig besser gegen Angriffe abzusichern.
- **Clientseitiges Honeypotting**: Ein clientseitiger Honeypot imitiert eine Anwendungssoftware, die Serverdienste in Anspruch nimmt. Das Paradebeispiel ist die Simulation eines Browsers, der gezielt unsichere Webseiten besucht, um Daten über Sicherheitsrisiken zu sammeln. Kommt es auf einer dieser Seiten zu einem Angriff auf den Browser oder Browser-Plug-ins, wird der Vorgang protokolliert. Eine Auswertung der ermittelten Daten dient im Nachhinein der Verbesserung der simulierten Software.

Forschungseinrichtungen, Behörden und das Militär nutzen sogenannte **Research-Honeypots**, um Informationen über neue Angriffsmuster zu sammeln und diese in aufbereiteter Form der Internet-Community zur Verfügung zu stellen. In Unternehmen werden Sicherheitsmechanismen dieser Art in erster Linie zum Schutz des Firmennetzwerks eingesetzt. Dazu installieren Administratoren sogenannte **Production-Honeypots** in Netzwerkbereichen, die im Normalbetrieb nicht angesprochen werden und weder Mitarbeitern noch Kunden Dienste zur Verfügung stellen. Ziel ist es, Angreifer, die das Netzwerk nach Schwachstellen durchsuchen, durch **fingierte Sicherheitslücken** in unbedenkliche Bereiche zu locken. Jeder Zugriff auf ein solches, normalerweise ungenutztes System wird als Angriff gewertet, überwacht und analysiert. Werden mehrere Honigtöpfe zusammengeschlossen, um ein komplettes Netzwerk zu simulieren und Hackern ein besonders attraktives Angriffsziel zu bieten, spricht man von einem sogenannten **Honeynet**.

## Wie werden Honeypots implementiert?

Um einen Honeypot einzurichten, stehen Administratoren grundsätzlich zwei Möglichkeiten zur Auswahl: Entweder wird der Honeypot als physisches System realisiert oder auf Basis von Virtualisierungs-Software implementiert.

- **Physischer Honeypot**: Bei einem physischen Honeypot handelt es sich um einen eigenständigen Rechner, der mit eigener Adresse in ein Netzwerk eingebunden wird.
- **Virtueller Honeypot**: Ein virtueller Honeypot ist ein logisches System, dass durch eine Virtualisierungs-Software Ressourcen eines physischen Rechners zugeteilt bekommt.

In beiden Fällen ist der Honeypot **isoliert**. Einem Angreifer darf es nicht möglich sein, vom Ablenksystem auf das Produktivsystem zuzugreifen.

## Klassifizierung von Honeypots

Ziel des Honeypots ist es, unentdeckt zu bleiben. Je länger sich ein Angreifer täuschen lässt, desto mehr Informationen kann das System über dessen Strategie und Methoden sammeln. Eines der wichtigsten Kriterien zur Klassifizierung von Honeypots ist daher der **Grad der Interaktivität** mit dem Angreifer. Man unterscheidet in diesem Zusammenhang sowohl serverseitig als auch clientseitig zwischen Low-Interaction-Honeypots und High-Interaction-Honeypots.

- **Low-Interaction-Honeypots**: Honeypots mit einem geringen Grad an Interaktivität basieren im Wesentlichen auf der Nachahmung realer Systeme oder Anwendungen. Dabei werden Dienste und Funktionen in der Regel nur soweit simuliert, dass ein Angriff möglich ist.
- **High-Interaction-Honeypots**: Bei Honeypots mit einem hohen Grad der Interaktivität handelt es sich in der Regel um reale Systeme, die Server-Dienste anbieten und daher gut überwacht und abgesichert werden müssen. Wird ein High-Interaction-Honeypot nicht ausreichend vom Produktivstem abgeschirmt, besteht die Gefahr, dass ein Angreifer diesen übernimmt, das zu schützende System infiltriert oder von diesem ausgehend Angriffe auf andere Server im Netz einleitet.

### Serverseitige Low-Interaction-Honeypots

Bei der einfachsten Form des Server-Honeypots handelt es sich lediglich um eine einzelne Anwendung, die Netzwerkdienste inklusive des Verbindungsaufbaus emuliert, sprich nachbildet. Da einem Angreifer bei dieser Art des Honeypottings nur **begrenzte Möglichkeiten der Interaktion** geboten werden, ist der Informationsgewinn durch einen Low-Interaction-Server-Honeypot vergleichsweise gering. Server-Honeypots mit geringer Interaktivität werden von Hackern in der Regel schnell entlarvt. Zum Einsatz kommen Sicherheitsmechanismen dieser Art daher vor allem, um automatisierte Angriffe auf Basis von Schadsoftware zu entdecken und zu protokollieren. Eine bekannte Open-Source-Lösung, mit der sich serverseitige Low-Interaction-Honeypots einrichten lassen, ist [Honeyd](http://www.citi.umich.edu/u/provos/honeyd/ "Zur offiziellen Website des Honeyd-Projekts").

- **Honeyd**: Die unter GPL veröffentlichte Software Honeyd ermöglicht Administratoren, verschiedene virtuelle Hosts in einem Computernetzwerk zu erstellen. Diese Rechner lassen sich so konfigurieren, dass sie diverse Servertypen abbilden, sodass ein gesamtes System inklusive der [TCP/IP-Protokollstapel](https://www.ionos.de/digitalguide/server/knowhow/tcpip-vorgestellt/) simuliert werden kann. Dennoch wird die Software zu den Low-Interaction-Honeypots gezählt, da Honeyd nicht alle System-Parameter simuliert, somit wenig Interaktion bietet und von Hackern schnell durchschaut werden kann. Die Software zeigt seit 2008 keine sichtbare Weiterentwicklung.

### Clientseitige Low-Interaction-Honeypots

Bei clientseitigen Low-Interaction-Honeypots (auch Honeyclients genannt) handelt es sich um Programme, mit denen sich verschiedene **Browser emulieren** lassen. Anwender haben so die Möglichkeit, Webseiten zu besuchen und Angriffe auf die simulierten Webbrowser aufzuzeichnen. Bekannte **Open-Source-Honeyclients** mit geringer Interaktivität sind HoneyC, [Monkey-Spider](https://monkeyspider.sourceforge.net/ "Mehr zu Monkey-Spider auf Sourceforge.net") und [PhoneyC](https://code.google.com/p/phoneyc/ "Mehr zu PhoneyC auf code.google.com").

- **HoneyC**: Der Low-Interaction-Honeyclient HoneyC ermöglicht es Anwendern, gefährliche Server im Internet zu identifizieren. Statt eines vollfunktionsfähigen Betriebssystems und einer entsprechenden Client-Software kommt bei HoneyC ein emulierter Client zum Einsatz, der Serverantworten auf schädliche Inhalte untersucht. Im Grundaufbau besteht die Software aus drei Komponenten: Die **Visitor-Engine** ist verantwortlich für die Interaktion mit dem Server und emuliert durch Module diverse Webbrowser. Die **Queue-Engine** erstellt eine Liste von Servern, die von der Visitor-Engine abgearbeitet wird. Eine Evaluation der Interaktion mit einem Webserver erfolgt durch die **Analyse-Engine**, die nach jedem Besuch prüft, ob die Sicherheitsregeln der Software verletzt wurden.
- **Monkey-Spider:** Bei Monkey-Spider handelt es sich um einen Webcrawler, der sich als clientseitiger Low-Interaction-Honeypot nutzen lässt. Dazu crawlt die Software Webseiten auf der Suche nach Schadcode, der eine Bedrohung für Webbrowser darstellen könnte.
- **PhoneyC:** PhoneyC ist ein in Python geschriebener Honeyclient, mit dem sich diverse Webbrowser imitieren lassen, um Webseiten nach schädlichen Inhalten zu durchsuchen. Die Software ist in der Lage, [Skriptsprachen](https://www.ionos.de/digitalguide/websites/web-entwicklung/was-sind-skriptsprachen/ "Was sind Skriptsprachen?") wie JavaScript oder VBScript zu verarbeiten und unterstützt De-Obfuskations-Funktionen, um verschleierten Schadcode zu entwirren. Darüber hinaus unterstützt PhoneyC diverse Methoden, um Webseiten zu analysieren – u. a. die Open-Source-Antivirus-Engine ClamAV.

### Serverseitige High-Interaction-Honeypots

Administratoren, die serverseitige Honigtöpfe mit vielen Interaktionsmöglichkeiten aufstellen möchten, setzen in der Regel auf **vollfunktionsfähige Server**, die als Ablenksysteme eingerichtet werden. Diese lassen sich entweder auf echter Hardware oder in virtuellen Umgebungen realisieren. Während sich Low-Interaction-Honeypots in erster Linie zur Identifikation und Analyse automatischer Angriffe eignen, nehmen High-Interaction-Honeypots manuell ausgeführte Angriffe ins Visier.

Vielversprechend ist serverseitiges Honeypotting, wenn Hackern ein besonders attraktives Angriffsziel mit einem hohen Grad an Interaktivität geboten wird. Der Aufwand, einen solchen Honeypot einzurichten und zu überwachen, ist jedoch deutlich größer als bei simplen Software-Lösungen, die Serverfunktionen lediglich imitieren. Kommt ein realer Server als Honeypot zum Einsatz, besteht zudem die Gefahr, dass ein Angreifer das infiltrierte System nach einem erfolgreichen Einbruch als **Ausgangspunkt für weitere Angriffe** auf andere Server im Internet nutzt. Dies kann u. U. auch rechtliche Konsequenzen nach sich ziehen, da der Betreiber eines Servers für sämtliche Aktivitäten haftet, die von diesem ausgehen.

Um Hackerattacken auf einem als Honeypot eingerichteten Server zu überwachen, kommen spezielle **Monitoring-Tools** wie das frei verfügbare [Sebek](https://honeynet.onofri.org/tools/sebek/ "Zum Sebek-Wiki auf honeynet.org") zum Einsatz. Eine High-Interaction-Honeypot-Umgebung lässt sich mit der Software [Argos](https://www.few.vu.nl/argos/?page=1 "Zur offiziellen Dokumentation des Argos-Projekts") realisieren.

- **Sebek:** Das Datenerfassungs-Tool Sebek kommt auf hochinteraktiven Honeypots zum Einsatz, um Hacker zu überwachen und Daten zu sicherheitskritischen Aktivitäten zu sammeln. Im Grundaufbau besteht die Software aus zwei Komponenten: Der Client läuft auf dem Honeypot und erfasst sämtlich Hackeraktivitäten wie Eingaben, Daten-Uploads oder Passwörter und übermittelt diese an einen Protokollserver, der auf einem unabhängigen System laufen kann.
- **Argos:** Die High-Interaction-Honeypot-Umgebung Argos basiert auf einem modifizierten QEMU-Hardware-Emulator. Die Software unterstützt diverse Gastbetriebssysteme, die in einer virtuellen Maschine ausgeführt werden und den Honeypot darstellen. Um Angriffe zu erkennen und zu protokollieren, kommt Argus ohne zusätzliche Monitoring-Software aus. Eingehender Datenverkehr, der über die Netzwerkkarte zum Honeypot gelangt, wird automatisch als „tainted“ (verunreinigt) gekennzeichnet und überwacht. Das Gleiche gilt für Daten, die aus verunreinigten Daten erzeugt werden. Durch den zusätzlichen Rechenaufwand für die Emulation des Betriebssystems und die Datenanalyse ist Argos deutlich langsamer als Produktivsysteme auf vergleichbarer Hardware.

### Clientseitige High-Interaction-Honeypots

Bei High-Interaction-Client-Honeypots handelt es sich um Software-Lösungen, die auf realen Betriebssystemen laufen und reguläre Webbrowser nutzen, um Angriffe aufzuzeichnen, die von Servern im Internet ausgehen. Bekannte Tools sind Capture-HPC und [mapWOC](https://www.mapwoc.de/about-de.html "Mehr zu Capture-HPC auf honeynet.org").

- **Capture-HPC:** Der High-Interaction-Client-Honeypot Capture-HPC nutzt eine Client-Server-Architektur, bei der ein Server die zu besuchenden Websites festlegt und diverse Clients kontrolliert. Diese rufen die vorgehaltenen Seiten auf und senden Ergebnisdaten an den Server zurück. Mögliche Clients sind diverse Webbrowser, Office-Anwendungen, PDF-Reader oder Media-Player.
- **mapWOC:** Auch die freie Software mapWOC (kurz für *massive automated passive Web Observation Center*) lädt Webseiten mit realen Browsern. Diese laufen in einer virtuellen Maschine, deren Datenverkehr mit den Clients konstant überwacht wird, um Angriffe wie Drive-by-Downloads aufzuzeichnen und zu analysieren. Als Grundkomponenten nutzt mapWOC das Hostsystem [Debian](https://www.ionos.de/digitalguide/server/knowhow/debian-die-universelle-system-software/) Squeeze, [KVM](https://www.ionos.de/digitalguide/server/knowhow/was-ist-kvm/) zur Virtualisierung und ClamAV, um Schadsoftware zu untersuchen. Das Software-Projekt wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt.

## Vorteile und Nachteile von Honeypots

Ein Honeypot kommt in der Regel als Ergänzung zu anderen IT-Sicherheitskomponenten wie dem **Intrusion-Detection-System (IDS)** und **Firewalls** zum Einsatz und bietet somit eine zusätzliche Kontrollfunktion. Ein zentraler Vorteil des Honeypottings ist der Gewinn von hochrelevanten Daten. Da Honeypots im Normalbetrieb keine Funktion übernehmen, stellt jede Aktivität in diesen Kontrollsystemen einen potenziellen Angriff dar. Sämtliche Daten, die durch Honeypots aufgezeichnet werden, sind somit sicherheitsrelevant. Werden hingegen Produktivsysteme überwacht, erfordert die Datenanalyse zunächst einen Arbeitsschritt, bei dem die für den Angriff relevanten Daten aus der Gesamtdatenmenge ausgefiltert werden. Zu bedenken ist jedoch, dass **nicht jeder Honeypot verwertbare Informationen liefert**. Ist der Köder zu unattraktiv oder nur schwer erreichbar, finden möglicherweise keine Angriffe statt und die finanziellen und personellen Investitionen für die Bereitstellung des Sicherheitssystems laufen ins Leere. Den möglichen **Datengewinn durch Honeypots** erkaufen sich Unternehmen zudem durch ein zusätzliches Risiko. Da Ablenksysteme Hacker gezielt ködern, besteht die Gefahr, dass diese bei einem Einbruch in den Honeypot weitere Schäden im Netzwerk anrichten. Reduzieren lässt sich dieses Risiko durch eine größtmögliche Trennung von Honeypots und Produktivsystemen und einer permanenten Überwachung aller Aktivitäten in den Ködersystemen. Wichtig ist zudem die **Schadensbegrenzung nach außen**. Um zu verhindern, dass Honeypots als Ausgangspunkte für Hackerangriffe auf andere Systeme missbraucht werden, sollten ausgehende Verbindungen auf ein Minimum reduziert werden. Wird ein serverseitiger High-Interaction-Honeypot mit den gleichen Sicherheitssystemen wie das Produktivsystem ausgestattet, lässt sich dieser zur **Qualitätssicherheit** einsetzen. In diesem Fall erlauben die aufgezeichneten Daten einen direkten Rückschluss auf die Wirksamkeit des Sicherheitssystems. Wird ein Einbruch im Honeypot registriert, sollte überprüft werden, ob auch das Produktivsystem infiltriert wurde. Zudem müssen beide Systeme angepasst werden, um zukünftige Angriffe nach dem gleichen Muster abwehren zu können.

## Exkurs: Honeypotting im Rahmen der Strafverfolgung

Auch Strafermittler haben sich in der Vergangenheit dem Prinzip des Honeypottings bedient, um Kriminelle bei der Suche nach illegalen Inhalten zu ertappen. Zudem wird diskutiert, ob Rechteinhaber Honeypots nutzen dürfen, um gegen die Verbreitung urheberrechtlich geschützter Inhalte vorzugehen. Einem [CNet-Bericht](https://www.cnet.com/news/fbi-posts-fake-hyperlinks-to-snare-child-porn-suspects/ "Der Bericht in voller Länge auf cnet.com") zufolge soll das **FBI** im Jahr 2006 Links in Internetforen platziert haben, die suggerierten, auf kinderpornografische Inhalte zu verweisen. US-Bürger, die diese Links aufriefen, bekamen kurze Zeit später Besuch von den Strafverfolgern. Im Jahr 2007 wurde bekannt, dass das **Bundeskriminalamt** auf der eigenen Website eine Unterseite mit Informationen zur linksterroristischen Vereinigung „Millitante Gruppe“ betrieb, um zu registrieren, wer sich für das Thema interessiert. Dem [Tagesspiegel](https://www.tagesspiegel.de/politik/deutschland/bka-der-falsche-klick/1057184.html "Mehr zum Thema auf tagesspiegel.de") zufolge zeichnete die Behörde seit September 2004 die IP-Adressen sämtlicher Besucher der Website auf und beantragte bei ausgewählten IP-Adressen die Identifizierung der Internetnutzer beim jeweiligen Provider. Ein möglicher Einsatz von Honeypots wurde von der Internetgemeinde auch im Zusammenhang mit den **Ermittlungen gegen Movie-Streaming- und File-Sharing-Plattformen** wie Kinox.to diskutiert. Da einige dieser Seiten aus dem Netz genommen wurden, andere jedoch weiterhin online waren, wurde vermutet, dass Rechteinhaber oder Strafverfolger diese als Honeypots nutzen könnten. In Deutschland hätte ein solches Vorgehen jedoch keine rechtliche Grundlage. Es wäre sogar zu klären, ob das Betreiben eines Honeypots, der illegale oder urheberrechtlich geschützte Inhalte anbietet, eine rechtsstaatswidrige Tatprovokation darstellt.


This is a markdown version of: [https://www.ionos.de/digitalguide/server/sicherheit/honeypot-it-sicherheit-durch-ablenkprogramme/](https://www.ionos.de/digitalguide/server/sicherheit/honeypot-it-sicherheit-durch-ablenkprogramme/) for AI/LLM consumption.