Für den Unterricht: Wie man Eindringlinge im Netz erkennt, als Foliensatz für die Klassen 4 bis 8, mit Netz-Spiel, Wächter und Sperr-Entscheidungen. Die Köder-Schatzkiste →
Ein Honeypot ist ein Köder. Ein Gerät im Netz, das sich als lohnendes Ziel ausgibt, etwa als Netzwerkspeicher mit Anmeldeseite oder als Server mit Fernzugang, aber nichts Echtes enthält. Kein normales Gerät hat dort etwas zu suchen. Deshalb ist jeder Zugriff ein starkes Signal: Irgendetwas im Netz schaut sich um. Ein gekapertes Smart-Home-Gerät, ein infizierter Laptop, ein Gast mit unguten Absichten.
In meinem Heimnetz läuft so ein Köder schon eine Weile. Die erste Version war ein Experiment: ein paar Lockdienste, Meldungen per Messenger. Sie hat zuverlässig geschwiegen. Und genau das hat mich irgendwann stutzig gemacht. Ein Köder, der nie anschlägt, beweist nicht, dass alles ruhig ist. Vielleicht findet ihn nur niemand. Also habe ich Version 2 gebaut.
Stille = nichts los ∧ Lebenszeichen ✓
Was einen guten Köder ausmacht
- Die richtigen Türen. Angreifer und Schadsoftware probieren die bekannten Eingänge: Dateiübertragung, Fernwartung, Datenbanken, Anmeldeseiten von Netzwerkspeichern. Genau dort müssen die Köder stehen, nicht an exotischen Stellen.
- Den ersten Schritt sehen. Bevor jemand angreift, tastet er das Netz ab. Diesen Rundgang zu bemerken, ist wertvoller als jeder spätere Alarm.
- Verständliche Meldungen. Ein Alarm muss in einem Satz sagen, was passiert ist: welches Gerät, welche Tür, was das bedeutet. Rohdaten liest nachts um drei niemand. Ausprobierte Passwörter erscheinen nur gekürzt, Wiederholungen werden zusammengefasst.
- Mehr als ein Weg. Nachricht aufs Handy, Eintrag im Logbuch von Home Assistant und eine eigene Seite „Sicherheit“ im Dashboard.
- Ein Lebenszeichen. Der Köder meldet sich regelmäßig, auch wenn nichts passiert: Laufen alle Lockdienste? Gibt es Updates? Bleibt die Meldung aus, gibt es Alarm. Erst damit bedeutet Stille wirklich, dass nichts los ist.
- Fest verankerte Software. Die Programme sind per Prüfsumme festgeschrieben. Austauschen kann sie niemand unbemerkt, auch kein automatisches Update.
So greift alles ineinander
// Vom ersten Zugriff bis zur Sperre
Parallel meldet sich der Honeypot regelmäßig mit einem Lebenszeichen. Bleibt es aus, gibt es einen eigenen Alarm.
Sperren, aber mit Bremsen
Ein Alarm allein hilft nachts wenig. Deshalb kann das System Geräte über den Netzwerk-Controller aussperren. Eine Automatik, die blind sperrt, wäre aber selbst ein Risiko. Wer weiß, wie sie funktioniert, könnte sie gegen das eigene Netz einsetzen.
| Ereignis | Reaktion | Warum so |
|---|---|---|
| Anmeldeversuch an einer Köder-Tür | sofort automatisch gesperrt | braucht eine echte Verbindung, der Absender lässt sich nicht fälschen |
| Abtasten des Netzes, Seitenaufrufe | Nachricht mit Knopf „Sperren“ | der Absender lässt sich fälschen, also entscheidet ein Mensch |
| Gerät auf der Schutzliste | nur Alarm | Router, Netzwerktechnik und Server werden nie ausgesperrt |
| Freigabe | nur von Hand | eine Sperre soll nicht still ablaufen |
Die Schutzliste verhindert Eigentore. Ein Angreifer könnte ein Abtasten mit der Absenderadresse des Routers vortäuschen. Eine naive Automatik würde dann das eigene Netz lahmlegen. Darum sind die wichtigsten Geräte fest ausgenommen, und nur dort wird automatisch gesperrt, wo der Absender nicht gefälscht werden kann.
Bevor die Automatik scharf geschaltet wurde, habe ich sie an einem harmlosen Gerät getestet: den Drucker gesperrt, im Controller nachgeschaut, per Knopf wieder freigegeben. Erst dann ging es los. Auch die Rechte sind knapp gehalten: Home Assistant darf sperren und freigeben, aber nicht das Netzwerk umkonfigurieren.
Warum meine Fernwartung nicht im Internet hängt
Zum Projekt gehörte auch ein Blick auf die Fernwartung, mit der ich anderen Rechnern helfe. Die klassische Lösung wäre eine Portfreigabe am Router mit einer dynamischen Adresse. Dann stünde der Fernwartungsdienst aber offen im Internet, und genau solche Dienste werden gezielt gesucht.
| Weg | Sicherheit | Aufwand |
|---|---|---|
| Portfreigabe mit dynamischer Adresse | von überall erreichbar, auch für Angreifer | jeder Client kommt ohne Zusatzsoftware aus |
| Privates VPN-Netz (bei mir Tailscale) | von außen ist kein Port offen, jede Verbindung ist verschlüsselt und authentifiziert | jeder Client braucht die VPN-Software |
Für feste Rechner, die ich regelmäßig betreue, ist das private Netz die klar bessere Wahl. Was nicht im Internet steht, kann dort auch niemand finden. Den Wartungstag habe ich gleich für eine Inventur genutzt: Updates eingespielt, automatische Sicherheitsupdates eingeschaltet, alles abgeschaltet, was nicht mehr gebraucht wird.
Grenzen
- Kabelgeräte im selben Netz sind nicht völlig abgeschottet. Ihr Verkehr zu Nachbargeräten läuft über den Switch, nicht über die Firewall. Im Ernstfall wird der Switch-Port abgeschaltet.
- Ein Honeypot ersetzt keine Grundhygiene. Updates, wenige offene Dienste und getrennte Netze bleiben die Basis. Der Köder sagt nur früh Bescheid, wenn irgendwo etwas durchgerutscht ist.
Was ich mitnehme
- Ein Sicherheitssystem muss sich selbst überwachen. Ohne Lebenszeichen ist ein stiller Köder wertlos.
- Automatik braucht Bremsen: automatisch nur, wo der Absender echt ist, und nie gegen die eigenen Geräte.
- Erst lesen, dann ändern: Bestandsaufnahme, Sicherung, Test an einem harmlosen Gerät.
- Was nicht im Internet steht, muss dort auch nicht verteidigt werden.
Eine Kette ist nur so stark wie ihr schwächstes Glied. Ein Honeypot ist das Glied, das Alarm schlägt, bevor ein anderes reißt.