Worum es geht
Die CISA hat am 16. September 2026 eine neue Anleitung veröffentlicht, die erklärt wie Organisationen ihre Netzwerke mit sogenannten Cyber Decoys (digitalen Ködern und Fallen) besser schützen können. Das Dokument richtet sich explizit auch an kleine und mittlere Unternehmen und liefert eine praxisnahe, schrittweise Anleitung auf Basis des MITRE Engage Frameworks und der MITRE ATT&CK Wissensdatenbank.
Der Grundgedanke: wer davon ausgeht dass Angreifer irgendwann ins Netzwerk gelangen (und das sollte man), braucht Mechanismen die diesen Zugang möglichst schnell erkennen. Cyber Decoys sind so ein Mechanismus, und im Vergleich zu vielen anderen Sicherheitsmassnahmen sind sie vergleichsweise einfach und kostengünstig umzusetzen.
Was sind Cyber Decoys
Cyber Decoys sind digitale Köder die wie legitime Systeme, Accounts oder Daten aussehen, aber ausschliesslich dazu dienen Angreifer zu erkennen, abzulenken oder Informationen über deren Vorgehensweise zu sammeln. Der entscheidende Vorteil: jede Interaktion mit einem Decoy ist per Definition verdächtig, weil kein legitimer Benutzer einen Grund hat diese Ressourcen anzufassen. Das ergibt Alarme mit extrem niedriger False-Positive-Rate, was angesichts der Alarm-Müdigkeit in vielen SOCs (Security Operations Centers) ein erheblicher Vorteil ist.
Die CISA unterscheidet in der Anleitung mehrere Typen:
Tripwires sind Decoys die bei jeder Interaktion (z.B. Zugriff, Login-Versuch, Befehlsausführung) sofort einen Alarm auslösen. Im Grunde kann jeder Decoy als Tripwire konfiguriert werden, sofern er korrekt an die Monitoring-Infrastruktur angebunden ist.
Honeytokens sind Datenelemente oder logische Objekte ohne legitimen Geschäftszweck, die zwischen echten Daten platziert werden. Dazu gehören gefälschte Dokumente auf Netzwerk-Shares, Fake-Credentials in Passwort-Speichern, Dummy-Datenbankeinträge zwischen echten Records, Decoy-E-Mail-Adressen in Verzeichnissen oder präparierte URLs ohne Geschäftsfunktion. Honeytokens haben den Vorteil dass sie wenig Komplexität erfordern und auch von Organisationen mit begrenzten Ressourcen eingesetzt werden können.
Honeypots sind vollständige Decoy-Systeme oder Services mit begrenzter aber realistischer Funktionalität und teils absichtlich eingebauten Schwachstellen. Sie sind deutlich aufwendiger in Betrieb und Wartung als Honeytokens, liefern dafür aber detailliertere Informationen über das Verhalten der Angreifer.
Breadcrumbs sind absichtlich platzierte Köder-Artefakte die Angreifer dazu verleiten sollen einer falschen Spur zu folgen, die zu weiteren Decoys oder kontrollierten Umgebungen führt.
Das MITRE Engage Framework
Die CISA stützt ihre Anleitung auf das MITRE Engage Framework, das Adversary-Engagement-Aktivitäten in drei Kategorien einteilt:
Expose zielt darauf ab Angreifer schnell und eindeutig zu erkennen. Decoys werden an Stellen platziert wo legitime Benutzer normalerweise nicht hingreifen, und jede Interaktion generiert einen hochprioritären Alarm. Das kann ein gefälschtes Admin-Konto sein (jede Nutzung signalisiert eine Kompromittierung), ein Decoy-Ordner auf dem Desktop einer Führungskraft (jeder Zugriff ist verdächtig), oder ein gefälschtes Netzwerk-Scan-Tool auf dem Rechner eines nicht-technischen Mitarbeiters (jede Ausführung deutet auf böswillige Aktivität hin).
Affect zielt darauf ab die Kosten und die Schwierigkeit eines Angriffs zu erhöhen, indem Angreifer auf Decoy-Systeme und Fake-Daten umgeleitet werden. Die Angreifer verschwenden Zeit mit der Analyse wertloser Daten, und die Verteidiger gewinnen Zeit für die Reaktion.
Elicit ist die anspruchsvollste Kategorie und beinhaltet das kontrollierte Beobachten von Angreifern in realistischen aber isolierten Umgebungen, um deren Taktiken, Techniken und Prozeduren (TTPs) im Detail zu studieren. Für diese Kategorie braucht es allerdings erfahrenes Personal und eine reife Sicherheitsorganisation; die CISA empfiehlt zunächst Expose-Fähigkeiten aufzubauen bevor man sich an Elicit wagt.
Der 10-Schritte-Prozess
Das Dokument beschreibt einen strukturierten Prozess in drei Phasen (Prepare, Operate, Understand) mit insgesamt 10 Schritten, und illustriert diesen anhand eines konkreten Szenarios: ein mittelgrosses Technologieunternehmen das sein geistiges Eigentum vor gezielten Angriffen schützen will.
In der Prepare-Phase (Schritte 1-6) wird zunächst das Wissen über die eigenen Angreifer und die eigene Organisation zusammengetragen: welche Threat-Akteure sind relevant, welche TTPs setzen sie typischerweise ein, und wo liegen die Lücken in der bestehenden Verteidigung. Auf dieser Basis werden die operativen Ziele definiert, die gewünschten Reaktionen der Angreifer festgelegt (z.B. dass sie sich zu Decoy-Assets hingezogen fühlen) und die Erfolgskriterien bestimmt.
In der Operate-Phase (Schritt 7) werden die Decoys während eines geplanten Wartungsfensters ausgerollt und getestet. Die CISA betont hier einen wichtigen Punkt: die Dokumentation der Decoy-Standorte sollte ausserhalb der Produktionsumgebung aufbewahrt werden, damit sie bei einer Kompromittierung des Netzwerks nicht ebenfalls exponiert wird.
In der Understand-Phase (Schritte 8-10) werden die gesammelten Daten in verwertbare Erkenntnisse umgewandelt, die wiederum in die Verbesserung der Decoy-Operationen, der Detection-Logik und der Incident-Response-Prozesse einfliessen.
Honeytokens vs. Honeypots
Die CISA stellt Honeytokens als den pragmatischeren Einstiegspunkt dar, was für die meisten KMU die relevantere Option sein dürfte. Der Vergleich in der Anleitung ist aufschlussreich:
Honeypots operieren auf System- und Netzwerkebene, erfordern mittlere bis hohe Komplexität und setzen eine reife Sicherheitsorganisation voraus. Honeytokens dagegen operieren auf Daten- und Asset-Ebene, sind einfach zu implementieren und eignen sich auch für Organisationen die gerade erst mit Adversary Engagement beginnen.
Die CISA beschreibt ein konkretes Beispiel: ein Projektmanager hat einen persönlichen Netzwerk-Share mit monatlichen Management-Briefings für ein sensitives Projekt. Das Security Team platziert dort Decoy-Dateien mit Namen wie “Project_Metrics.xlsx” und “Budget_Data.docx”, informiert den Projektmanager dass es sich um Köder handelt, und instrumentiert die Dateien so dass jeder Zugriff einen Alarm auslöst. Da nur der Projektmanager Zugang zum Share hat und er weiss dass er die Dateien nicht öffnen soll, ist jede Interaktion ein starker Indikator für unauthorisierte Aktivität.
Planung mit ATT&CK und Engage
Der vielleicht wertvollste Teil des Dokuments ist die detaillierte Beschreibung wie ATT&CK und Engage zusammen für die Planung von Decoy-Operationen genutzt werden können. Die CISA illustriert dies anhand eines Wasserversorgungs-Unternehmens und beschreibt einen systematischen Prozess:
Zuerst werden die eigenen Schwachstellen auf ATT&CK-Techniken gemappt (z.B. “unsere E-Mail-Systeme sind anfällig für Phishing T1566”). Dann werden die bestehenden Verteidigungsfähigkeiten ebenfalls auf ATT&CK gemappt. Anschliessend werden die bekannten Fähigkeiten der relevanten Angreifer auf ATT&CK gemappt. Durch das Übereinanderlegen dieser drei Karten entstehen sogenannte “Heatmaps” die zeigen wo die grössten Lücken liegen: Techniken für die das Unternehmen verwundbar ist, die von bekannten Angreifern eingesetzt werden, aber für die keine oder unzureichende Erkennung existiert.
Diese Lücken bestimmen wo Decoys platziert werden sollten. In dem Beispiel identifiziert das Wasserversorgungs-Unternehmen Lücken bei der Erkennung von Phishing-Aktivitäten (über Benutzermeldungen hinaus), bei Living-off-the-Land-Techniken mit PowerShell und bei der Exfiltration über Cloud-Backups. Darauf basierend werden dann konkrete Decoys designt: Fake-Accounts für die Erkennung von Valid Accounts T1078, Decoy-TCP-Ports für die Erkennung von Network Service Discovery T1046, Beaconing-Elemente in Login-Portalen für die Erkennung von Phishing T1566, und Sensitive Command Tokens auf Workstations für die Erkennung von PowerShell-basierter Befehlsausführung T1059.
Threat Emulation
Die CISA betont dass Decoy-Operationen kontinuierlich getestet und verfeinert werden müssen, und empfiehlt dafür Threat Emulation, Red Teaming oder Purple Teaming mit den relevanten ATT&CK-Techniken. Im Beispielszenario beauftragt das Unternehmen ein externes Red Team mit der Emulation einer Ransomware-Kampagne. Während der Reconnaissance-Phase löst die Ausführung eines platzierten Netzwerk-Scan-Tools einen Decoy-Alarm aus, und weitere Alarme folgen als das Red Team versucht auf einen Decoy-Service zuzugreifen und sich mit einem Fake-AD-Account zu authentifizieren.
Dieser iterative Ansatz, bei dem die Ergebnisse jeder Übung in die Verbesserung der Decoy-Platzierung, der Detection-Logik und der Response-Prozeduren einfliessen, ist entscheidend für die langfristige Wirksamkeit.
Relevanz für Schweizer Unternehmen
Was diese CISA-Anleitung auch für Schweizer Organisationen interessant macht: Cyber Decoys adressieren ein Problem das gerade KMU betrifft, nämlich die Erkennung von Angreifern die sich mit gültigen Zugangsdaten und nativen Werkzeugen (“Living off the Land”) durch das Netzwerk bewegen. Diese Techniken erzeugen in herkömmlichen Sicherheitssystemen kaum Alarme, weil die einzelnen Aktionen (Login, Dateizugriff, PowerShell-Ausführung) für sich genommen legitim erscheinen.
Die Implementierung muss dabei nicht aufwendig sein. Ein Unternehmen kann mit einfachen Honeytokens beginnen: ein paar gefälschte Dokumente auf kritischen Shares, ein Dummy-Admin-Account im Active Directory, ein paar Decoy-Credentials in einem Passwort-Manager. Wenn diese Köder korrekt an das bestehende Monitoring (SIEM, EDR) angebunden sind, liefern sie hochwertige Alarme bei minimalem Aufwand..
Der vollständige CISA-Leitfaden ist frei verfügbar und enthält deutlich mehr Detail als hier zusammengefasst werden kann: Using Cyber Decoys to Strengthen Detection and Response (CISA, September 2026)
Möchten Sie Cyber Decoys in Ihrem Netzwerk implementieren? Kontaktieren Sie uns für eine Beratung zur optimalen Platzierung und Konfiguration.