Honeytoken — Honeytoken (Köder-Artefakt)

Ein Honeytoken ist ein bewusst platzierter digitaler Köder — etwa eine gefälschte Zugangsdatei, ein Lockvogel-Datensatz oder ein präparierter Link —, der keinerlei legitimen Zweck hat und allein dazu dient, Alarm zu schlagen, sobald ihn jemand berührt. Jede Nutzung ist per Definition verdächtig. Honeytokens sind die kleinste, eleganteste Form der Täuschungstechnik.

Historie & Fakten. Während ein Honeypot ein ganzes Köder-System ist, ist ein Honeytoken ein einzelnes Köder-Objekt: ein vermeintliches Passwort in einer Datei, ein gefälschter Datenbankeintrag, ein Dokument mit eingebettetem Rückrufsignal, ein API-Schlüssel, der nie echt war. Bekannt geworden ist das Prinzip unter anderem durch die frei nutzbaren „Canarytokens“ von Thinkst. Der Reiz liegt in der Asymmetrie: Der Aufwand ist minimal, der Aussagewert maximal — denn ein legitimer Nutzer hat keinen Grund, das Objekt anzufassen. Ausblick & Empfehlung. Honeytokens sind hervorragend geeignet, um Angreifer zu entlarven, die sich bereits Zugang verschafft haben und nach Beute suchen — etwa nach Zugangsdaten in Dateien. Gut gestreut über Dateiablagen, Code-Repositories und Datenbanken liefern sie früh ein hochwertiges, fehlalarmarmes Signal. Sie ergänzen Honeypots (siehe T-Pot, Cowrie, OpenCanary) und passen in jede Erkennungsstrategie, weil sie nicht auf Signaturen, sondern auf unzulässigen Zugriff reagieren.

Auch interessant