Die Cybersecurity and Infrastructure Security Agency hat eine neue Idee für die Verteidigung von Kraftwerken, Wasserwerken und anderen kritischen Infrastrukturen: Nicht mehr versuchen, jeden Angreifer draußen zu halten, sondern diejenigen, die eindringen, mit einer Diät aus gefälschten Daten zu füttern. Die neu veröffentlichte Leitlinie von CISA empfiehlt Betreibern kritischer Infrastrukturen, Cyber-Köder und Honeytokens einzusetzen – kostengünstige digitale Fallen, die Eindringlinge frühzeitig erkennen und verlangsamen sollen, bevor sie echte Systeme erreichen. Das ist eine bemerkenswerte Tonverschiebung bei einer Behörde, die sich jahrelang fast ausschließlich auf Patches, Perimeterverteidigung und Zugriffskontrolle konzentriert hat.

Was die CISA-Leitlinie tatsächlich empfiehlt

Im Kern beschreibt die Leitlinie zwei verwandte Werkzeuge. Honeytokens sind gefälschte Dateien, Zugangsdaten, Datenbankeinträge oder Secrets, die innerhalb eines Netzwerks platziert werden und keinen legitimen geschäftlichen Zweck erfüllen. Ihre einzige Aufgabe ist es, dort zu liegen und wertvoll auszusehen. Wenn jemand auf eines zugreift oder versucht, es zu verwenden, ist das sofort ein Warnsignal, denn kein autorisierter Mitarbeiter und kein System sollte jemals damit in Berührung kommen. Honeypots gehen noch weiter und richten ganze Ködersysteme ein, die wie echte Server, Workstations oder industrielle Steuerungsanlagen aussehen, um Angreifer von der tatsächlichen Umgebung wegzulocken und Verteidigern Zeit zu geben, ihre Taktiken zu beobachten.

CISA stellt diese als zugängliche Optionen für Organisationen jeder cybersecurity-Reifegradstufe dar, nicht nur für Behörden mit großen Sicherheitsbudgets. Das ist wichtig für Betreiber kritischer Infrastrukturen, von denen viele schlanke IT- und Sicherheitsteams betreiben und sich keine unternehmensweiten Bedrohungserkennungsplattformen leisten können. Ein Honeytoken kann dagegen so einfach sein wie ein gefälschter Zugangsdatensatz, der in einer Dateifreigabe abgelegt wird. Der Einsatz kostet wenig, kann aber in dem Moment, in dem jemand damit interagiert, einen hochzuverlässigen Alarm auslösen.

Wie Köder neben VPNs und Netzwerksegmentierung funktionieren

Täuschungstechnologie soll nicht die Werkzeuge ersetzen, auf die sich Organisationen bereits verlassen, wie VPNs, Firewalls und Netzwerksegmentierung. Sie soll die Lücke füllen, die diese Werkzeuge hinterlassen. VPNs und Zugriffskontrollen sollen unbefugte Nutzer von vornherein draußen halten. Doch Angreifer finden zunehmend Wege um diese Verteidigungen herum, indem sie kompromittierte Zugangsdaten oder Schwachstellen in der Fernzugriffsinfrastruktur selbst ausnutzen. CISA's eigener Hinweis zu Gunra-Ransomware, die auf VPNs abzielt ist ein klares Beispiel: Bedrohungsakteure sondieren aktiv Schwachstellen im Fernzugriff, um Fuß zu fassen, was bedeutet, dass Perimeterverteidigung allein nicht mehr ausreicht.

Honeytokens und Köder basieren auf der Annahme, dass entschlossene Angreifer irgendwann den Perimeter durchbrechen werden, sei es durch gestohlene VPN-Zugangsdaten, eine Phishing-E-Mail oder eine nicht gepatchte Schwachstelle. Einmal drinnen, wirken Köder wie Stolperdrähte. Wenn ein Eindringling sich durch ein segmentiertes Netzwerk bewegt und nach wertvollen Daten oder Systemen sucht, kann ein an der falschen Stelle platzierter Honeytoken ihn fast sofort erwischen, oft bevor er nennenswerten Schaden angerichtet hat. Es ist ein mehrschichtiger Ansatz: VPNs und Segmentierung verlangsamen Angreifer und begrenzen ihre Reichweite, während Köder es für sie deutlich schwieriger machen, sich unentdeckt zu bewegen, sobald sie drinnen sind.

Warum Betreiber kritischer Infrastrukturen das vorrangige Ziel sind

CISAs Entscheidung, diese Leitlinie direkt auf Betreiber kritischer Infrastrukturen auszurichten, spiegelt wider, wo die Einsätze am höchsten sind. Wassersysteme, Energieversorger und andere essentielle Dienste betreiben oft eine Mischung aus modernen IT-Netzwerken und älterer Betriebstechnologie, die nicht mit Blick auf Cybersicherheit entwickelt wurde. Diese Kombination macht sie zu attraktiven Zielen und mit traditionellen Werkzeugen allein schwer zu verteidigen. Der jüngste Cyberangriff auf die Wasserversorgung in Minnesota, der mehr als 30 Systeme traf, innerhalb von nur zwei Tagen, veranschaulicht, wie schnell sich koordinierte Angriffe über Infrastrukturbetreiber ausbreiten können, denen möglicherweise die Ressourcen eines großen Unternehmenssicherheitsteams fehlen. Täuschungstechnologie bietet diesen Organisationen eine Möglichkeit, über ihre Verhältnisse hinauszuschlagen und Alarme mit hoher Zuverlässigkeit zu erzeugen, ohne ständige Überwachung oder teure Erkennungsplattformen zu benötigen.

Was das für die Erkennung lateraler Bewegung nach einem Eindringen bedeutet

Eines der schwierigsten Probleme bei der Incident Response ist herauszufinden, wie weit ein Angreifer nach dem anfänglichen Eindringen bereits innerhalb eines Netzwerks vorgedrungen ist. Angreifer, die Fuß fassen, verbringen oft Tage oder Wochen damit, sich leise lateral zu bewegen, Privilegien zu eskalieren und wertvolle Systeme zu kartieren, bevor sie eine Ransomware-Nutzlast starten oder Daten exfiltrieren. Traditionelle Sicherheitswerkzeuge können Schwierigkeiten haben, diese leise Aufklärung von normaler Netzwerkaktivität zu unterscheiden.

Honeytokens verändern diese Rechnung. Da sie keinen legitimen Nutzen haben, ist jede Interaktion mit einem von ihnen ein nahezu garantierter Hinweis auf bösartige Aktivität und durchbricht das Rauschen, das normalerweise frühe Warnsignale überdeckt. Für Betreiber kritischer Infrastrukturen, die Eindringlinge abfangen wollen, bevor sie Betriebstechnologie oder Kundendaten erreichen, kann dieses frühe Signal den Unterschied zwischen einem eingedämmten Vorfall und einem vollständigen Ausfall bedeuten.

Was das für Sie bedeutet

Wenn Sie in der IT oder Sicherheit für einen Versorger, ein kommunales System oder einen anderen Infrastrukturbetreiber arbeiten, lohnt es sich, CISAs Leitlinie vollständig zu lesen und als kostengünstige Ergänzung zu Ihren bestehenden Verteidigungen zu behandeln, nicht als Ersatz dafür. VPNs, Multi-Faktor-Authentifizierung und Netzwerksegmentierung bleiben unerlässlich, um Angreifer draußen zu halten. Köder und Honeytokens sollen diejenigen erwischen, die diese Verteidigungen trotzdem überwinden. Selbst Organisationen ohne dediziertes Sicherheitspersonal können klein anfangen, indem sie eine Handvoll gefälschter Zugangsdaten oder Dateien an sensiblen Stellen platzieren und Alarme für jede Interaktion damit einrichten.

Für Alltagsnutzer und kleinere Organisationen ist die wichtigere Erkenntnis eine Erinnerung daran, dass keine einzelne Sicherheitsschicht narrensicher ist. Angreifer sondieren ständig Fernzugriffswerkzeuge, wie anhaltende Ransomware-Kampagnen zeigen, die VPN-Schwachstellen ausnutzen, was bedeutet, dass Verteidigung in der Tiefe mehr denn je zählt.

Wichtige Erkenntnisse

  • CISAs Leitlinie zu Cyber-Ködern und Honeytokens bietet Betreibern kritischer Infrastrukturen eine kostengünstige Möglichkeit, Eindringlinge frühzeitig zu erkennen.
  • Köder ergänzen VPNs, Zugriffskontrollen und Netzwerksegmentierung, statt sie zu ersetzen.
  • Honeytokens sind besonders wirksam dabei, laterale Bewegung nach einem Eindringen zu melden, da legitime Nutzer niemals mit ihnen interagieren.
  • Kleinere Infrastrukturbetreiber mit begrenzten Sicherheitsbudgets sind eine vorrangige Zielgruppe für diesen Ansatz.
  • Organisationen sollten Täuschungstechnologie mit starker Perimeterverteidigung kombinieren, da Angreifer weiterhin Fernzugriffsschwachstellen ins Visier nehmen, um erste Fußpunkte zu erlangen.