Ein Honeypot ist ein IT-System oder ein einzelner Dienst, der absichtlich verwundbar oder attraktiv wirkt, um Angreifende anzulocken und ihr Vorgehen beobachten zu können.
Statt sich nur gegen Angriffe zu verteidigen, stellt ein Honeypot gezielt einen Köder bereit: ein System, das wie ein echtes, schlecht gesichertes Ziel aussieht, in Wirklichkeit aber nur zur Beobachtung dient. Greift jemand den Honeypot an, lässt sich genau mitverfolgen, welche Methoden, Werkzeuge und Schwachstellen dabei ausgenutzt werden – ohne dass echte Daten oder produktive Systeme in Gefahr sind.
Ein Honeypot läuft isoliert vom restlichen Netzwerk und simuliert typische Dienste, etwa einen Datenbank- oder Dateiserver mit scheinbar schwachen Zugangsdaten. Jede Interaktion mit dem Honeypot gilt als verdächtig, da reguläre Nutzerinnen und Nutzer keinen Grund haben, dieses System überhaupt anzusprechen; entsprechend lässt sich jeder Zugriff protokollieren und auswerten. Je nach Ausbaustufe reichen Honeypots von einfachen Attrappen einzelner Dienste bis zu vollständig nachgebildeten Netzwerken, sogenannten Honeynets, die ganze Angriffsabläufe sichtbar machen.
Eine Behörde richtet in ihrem Netzwerk einen scheinbaren Server mit veralteter Software und einem leicht zu erratenden Administrator-Passwort ein. Versucht jemand, sich dort anzumelden, löst das sofort einen Alarm aus und liefert Hinweise auf die eingesetzte Angriffstechnik, lange bevor echte Systeme überhaupt ins Visier geraten.
Honeypots werden eingesetzt, um Angriffe frühzeitig zu erkennen, Angreifende von echten Systemen abzulenken, neue Angriffsmuster und Schadsoftware zu analysieren und Sicherheitsteams wertvolle Vorlaufzeit für Gegenmaßnahmen zu verschaffen.
Ein Honeypot ersetzt keine Firewall oder sonstige Schutzmaßnahme; er erkennt und beobachtet Angriffe, verhindert sie aber nicht aktiv. Häufig wird außerdem übersehen, dass ein unzureichend isolierter Honeypot selbst zum Sicherheitsrisiko werden kann, wenn Angreifende ihn als Sprungbrett in das übrige Netzwerk missbrauchen.
Nicht zu verwechseln mit Firewall: Eine Firewall blockiert unerwünschten Datenverkehr aktiv nach festen Regeln, ein Honeypot lockt Angreifende hingegen bewusst an, um sie zu beobachten. Ebenfalls abzugrenzen ist Penetrationstest: Ein Penetrationstest prüft Systeme gezielt und zeitlich begrenzt im Auftrag der Betreiberin, während ein Honeypot dauerhaft im Hintergrund auf tatsächliche, unangekündigte Angriffe wartet.