Die Falle im Netzwerk: Warum Advanced Deception die Cyberabwehr verändern kann

Ein Angreifer hat sich Zugang zum Unternehmensnetzwerk verschafft. Vielleicht über eine Phishing-Mail, vielleicht über kompromittierte Zugangsdaten. Er beginnt, sich umzusehen. Welche Server sind erreichbar? Wo liegen sensible Daten? Welche Benutzerkonten versprechen höhere Berechtigungen?

Dann entdeckt er Zugangsdaten für ein Administrationssystem. Er versucht, sich anzumelden. Der Angreifer glaubt, einen Weg gefunden zu haben.

Aber die Zugangsdaten sind gefälscht. Sie wurden genau dort platziert, wo jemand mit seinen Absichten danach suchen würde. Er hat sich durch seine eigene Neugierde verraten.

Was, wenn der Angreifer seinen eigenen Funden nicht mehr trauen kann?

Hier liegt der eigentliche Vorteil von Advanced Deception. Denn Angreifer müssen sich nach einem erfolgreichen Eindringen zunächst orientieren. Sie suchen nach Berechtigungen, erkunden Netzwerkverbindungen und prüfen, welche Systeme interessante Informationen enthalten.

Normalerweise haben sie dabei die Nase vorn: Sie entscheiden, wohin sie sich bewegen. Die Verteidiger versuchen lediglich, die Bewegungen aus Netzwerkverkehr, Logdaten und Verhaltensmustern herauszulesen.

(Advanced) Deception verändert diese Ausgangslage:

Ein vermeintlicher Datenbankserver kann eine Attrappe sein. Hinter einem interessanten Projektdokument steckt möglicherweise ein Honeytoken. Und der nächste Administrator-Zugang existiert nur, um einen verdächtigen Zugriffsversuch auszulösen.

Der entscheidende Unterschied: Die Verteidiger beobachten nicht mehr nur, welche Ressourcen ein Angreifer entdeckt. Sie können selbst mitgestalten, was gefunden werden darf und was nicht.

Dass dieser Ansatz inzwischen ernst genommen wird, zeigt die US-Cybersicherheitsbehörde CISA. In einer Veröffentlichung vom September 2026 beschreibt sie, wie gezielte Cyber Decoys Angreifer aufdecken, ihre Aktivitäten beeinflussen und Erkenntnisse über deren Vorgehensweise liefern können.

Was das konkret bedeutet, zeigt ein Blick in die Praxis.

Eine falsche Spur kann mehr erzählen als ein echter Angriffspunkt

Bei einem Logistikdienstleister ging das Security-Team davon aus, dass Angreifer vor allem die zentrale Kundendatenbank ins Visier nehmen würden. Die eigens platzierten Köder zeigten jedoch etwas anderes: Die verdächtigen Aktivitäten deuteten auf ein Interesse an unvollständigen Transaktionsdaten hin.

Noch interessanter wurde es, als die Deception-Technologie verdächtige Netzwerk-Scans registrierte. Die Spur führte zu einem Entwickler-Rechner, der über VPN mit dem Unternehmensnetzwerk verbunden war. Das Security-Team konnte den betroffenen Rechner identifizieren und isolieren.

Der Fall zeigt, worin der praktische Wert solcher Köder liegt: Sie helfen, die tatsächlichen Angriffsbewegungen sichtbar zu machen, statt sich allein auf vermutete Bedrohungen zu verlassen. So können wir gezielter untersuchen, welche Systeme gefährdet sind und wo sie eingreifen müssen.

Das bringt neben einem Sicherheitsgewinn auch eine wirtschaftliche Dimension ins Spiel. Denn gezielte Erkennung kann unter bestimmten Bedingungen deutlich weniger Aufwand verursachen als eine flächendeckende Ausweitung der Überwachung.

Was kostet es eigentlich, einen Angreifer sichtbar zu machen?

Ein internationales Pharmaunternehmen wollte verdächtige Aktivitäten innerhalb seines Netzwerks besser erkennen. Das Problem: Dafür hätte es seine bestehenden Monitoring-Systeme erheblich erweitern müssen und es wären täglich mehr als 100 Gigabyte zusätzliche Logdaten angefallen. Die benötigte SIEM-Kapazität hätte sich dadurch um den Faktor 2 bis 2,5 erhöht.

Das Unternehmen entschied sich für einen anderen Weg und ergänzte seine Sicherheitsarchitektur um gezielt platzierte Decoys. Mit bemerkenswertem Ergebnis: Nach Angaben des Anbieters erreichte das Unternehmen die angestrebte zusätzliche Erkennungsabdeckung zu rund einem Fünftel der Kosten des ursprünglich geplanten SIEM-Ausbaus. Ein sechsstelliger jährlicher Mehraufwand konnte demnach vermieden werden.

Das Beispiel zeigt, dass bessere Angriffserkennung nicht zwangsläufig mehr Überwachung bedeuten muss. Statt immer größere Datenmengen zu sammeln und auf verdächtige Muster zu untersuchen, könnten wir gezielt Köder platzieren, die bei einer unerwünschten Interaktion Alarm schlagen. Nicht in jedem Szenario, aber möglicherweise genau dort, wo klassische Überwachung besonders teuer wird.

Die Unsicherheit wechselt die Seite

Bleiben wir auf dem Boden: Advanced Deception wird nicht jeden Angriff aufhalten. Ein Angreifer muss dem Köder überhaupt erst begegnen. Und auch eine glaubwürdige Attrappe ersetzt keine funktionierende Incident Response.

Trotzdem liegt darin ein bemerkenswerter Perspektivwechsel. Bislang müssen Verteidiger damit leben, dass sie über die nächsten Schritte eines Angreifers oft nur Vermutungen anstellen können. Mit Deception lässt sich zumindest ein Teil dieser Unsicherheit an den Hacker zurückgeben.

„Mit Advanced Deception verändern wir eine gewohnte Selbstverständlichkeit für Angreifer: Sie können nicht mehr darauf vertrauen, dass alles, was sie im Netzwerk entdecken, echt ist“, erklärt Florian Kraus, General Manager der DAGMA GmbH. „Gleichzeitig gewinnen Sicherheitsteams zusätzliche Hinweise auf Aktivitäten, die sonst womöglich unentdeckt bleiben würden. Mit LABYRINTH machen wir diesen Ansatz für Unternehmen und unsere Security-Partner praktisch nutzbar. Besonders spannend ist, dass wir damit nicht nur über bessere Detection sprechen, sondern auch darüber, wie wirtschaftlich sich diese erreichen lässt.“

Kann also ausgerechnet die Neugierde zum größten Risiko des Angreifers werden?Schließlich lebt jeder erfolgreiche Angriff davon, dass jemand die nächsten Türen öffnet, weitere Systeme erkundet und nach immer wertvolleren Informationen sucht.

Wer Angreifer ausschließlich beobachtet, überlässt ihnen die Wahl des nächsten Schritts. Wer ihnen gezielt Köder präsentiert, kann zumindest einen Teil dieser Entscheidung beeinflussen.

(Dieser Artikel wurde mit KI modifiziert. Inhalte wurden auf Richtigkeit geprüft.)