Ein Dienstleister schlägt uns einen Honeypot vor — was ist das und macht das für ein kleines Unternehmen Sinn?

Was der Dienstleister anbietet, ist ziemlich sicher ein Low-Interaction-Honeypot. Also ein simples Skript, das einen echten Server vorgaukelt, auf dem aber nur Fake-Dienste laufen. Um laterale Bewegungen im internen Netz mitzubekommen, ist das ein super Frühwarnradar – aber eben kein Schutzschild, sondern nur eine Alarmglocke.

Typische IT-Dienstleister-Masche. Habe erst neulich erlebt, wie Firmen mit ungepatchten Systemen und 1234-Passwörtern ein Honeypot aufgeschwatzt werden sollte. Das ist, als hätte man kein Schloss an der Haustür, legt aber im Garten ein Fake-Portemonnaie aus, um Einbrecher zu beobachten. Macht erst mal 2FA und ordentliche Backups klar.

Wir machen Logistik in Mailand, etwa 30 Rechner im Netz. Wir hatten ein fast identisches Angebot über rund 1.000 € auf dem Tisch und haben dankend abgelehnt. Unser Admin hat stattdessen selbst einen Open-Source-Köderordner und ein Fake-Share angelegt. Läuft seit zwei Jahren für lau. Angesprungen ist das Teil bisher nur einmal, als ein Praktikant versehentlich einen IP-Scan gestartet hat.

Honeypots haben genau einen unschlagbaren Vorteil: keine False Positives. Eine normale Firewall nervt am Tag mit hunderten unwichtigen Logs. Wenn aber jemand den Honeypot anfasst, ist das entweder ein echter Angreifer oder ein Mitarbeiter, der rumschnüffelt. Trotzdem: 150 € im Monat fürs bloße Monitoring sind für ein KMU schlicht zu viel Geld.

Sagt dem italienischen Dienstleister Folgendes: „Wir wollen keinen externen Honeypot, setzt uns einfach eine simple virtuelle Falle ins interne Netz und packt das statt monatlicher Wartung in unsere jährliche Gesamtwartung mit rein.“ Statt da jeden Monat 150 € zu verpulvern steckt das Geld lieber in eine cloudbasierte Backup-Lösung.

aber wenn man diese Falle aufstellt: Vergessen die Hacer dann unseren echten ERP-Server während sie darauf eindreschen? funktioniert das also wie eine Art Blitzableiter, der den Angriff abfängt und den Rest der Firma physisch schützt?

Nein, ein Blitzableiter ist das nicht. Es hält den Angreifer bloß ein paar Minuten auf. Der eigentliche Sinn ist, euch Zeit zu verschaffen; sobald die Falle zuschnappt, kriegt euer Sysadmin eine Benachrichtigung aufs Handy und hat die Chance, die Bedrohung im Netz zu isolieren. Wenn niemand da ist, der eingreift, bringt die Falle alleine überhaupt keinen Schutz.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Wenn ich dich richtig verstehe, meinst du Folgendes: Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Korrigiert mich, falls ich falsch liege.

Das habe ich auch erlebt. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Viel Erfolg.

Absolut. Wenn ich noch etwas hinzufügen darf: Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Ich hoffe, das hilft dir weiter.

da stimme ich zu dann also wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.

aus Erfahrung weiß ich das.

Vielen Dank, das hat mir sehr geholfen. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich würde sagen, lass uns nichts überstürzen. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Korrigiert mich, falls ich falsch liege.

Bei uns ist es genauso.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. naja die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

An deiner Stelle würde ich so vorgehen.

Ein Thema, das gerade aktuell ist.

Gut, dass du diesen Thread eröffnet hast. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. Das war's, entschuldige wenn ich zu lang war.