Gefälschte Zugangsdaten, simulierte Datenbankserver und präparierte Dokumente können helfen, Cyberangriffe innerhalb von Unternehmensnetzwerken frühzeitig zu erkennen. Advanced Deception ergänzt klassische Sicherheitsmaßnahmen um gezielt platzierte Täuschungsobjekte, die verdächtige Aktivitäten sichtbar machen sollen. Der Ansatz gewinnt insbesondere dort an Bedeutung, wo Angreifer bereits Zugang zu internen Systemen erlangt haben und sich mit regulären Benutzerkonten oder administrativen Werkzeugen unauffällig bewegen. Neben der verbesserten Angriffserkennung rückt zunehmend auch die Wirtschaftlichkeit solcher Lösungen in den Fokus.

Herkömmliche Sicherheitsarchitekturen setzen auf die Kombination präventiver Schutzmaßnahmen mit der kontinuierlichen Überwachung von Endgeräten, Netzwerken und Benutzeraktivitäten. Dabei müssen Security Operations Center (SOC) verdächtige Vorgänge aus großen Mengen regulärer Systemereignisse herausfiltern. Besonders schwierig ist dies, wenn Angreifer gestohlene Zugangsdaten oder bereits vorhandene Administrationswerkzeuge verwenden. Solche sogenannten Living-off-the-Land-Techniken können die Unterscheidung zwischen legitimen und schädlichen Aktivitäten erheblich erschweren.

Advanced Deception setzt an dieser Erkennungslücke an. Anstelle ausschließlich passiv gesammelter Ereignisdaten werden zusätzliche Ressourcen geschaffen, deren eigentlicher Zweck darin besteht, nicht autorisierte Zugriffe aufzudecken. Die Technologie nutzt damit gezielt das Verhalten von Angreifern, die nach einem erfolgreichen Eindringen weitere Systeme erkunden, Berechtigungen ausweiten oder Zugang zu geschäftskritischen Informationen suchen.

Täuschungsobjekte erweitern die Angriffserkennung

Im Mittelpunkt stehen sogenannte Decoys und Honeytokens. Während Decoys beispielsweise Server, Anwendungen oder Netzwerkdienste nachbilden, können Honeytokens aus präparierten Zugangsdaten, Dateien oder anderen digitalen Informationen bestehen. Sie werden so platziert, dass sie für potenzielle Angreifer interessant erscheinen, im regulären Geschäftsbetrieb jedoch möglichst nicht verwendet werden.

Versucht ein Angreifer, mit einem hinterlegten Scheinkonto auf ein vermeintliches Administrationssystem zuzugreifen, kann bereits dieser Vorgang einen Sicherheitsalarm auslösen. Gleiches gilt für Zugriffe auf simulierte Datenbanken oder die Verwendung eigens präparierter Informationen. Da diese Ressourcen keinen regulären betrieblichen Zweck erfüllen, können entsprechende Ereignisse einen vergleichsweise deutlichen Hinweis auf unerwünschte Aktivitäten liefern.

Die Bedeutung des Ansatzes unterstreicht eine im September 2026 veröffentlichte Handlungsempfehlung der US-Cybersicherheitsbehörde CISA. In ihrem Leitfaden Using Cyber Decoys to Strengthen Detection and Response beschreibt die Behörde, wie digitale Täuschungsobjekte zur Erkennung von Angreifern, zur Analyse ihrer Vorgehensweisen und zur Verkürzung der Erkennungszeit beitragen können. Dabei empfiehlt CISA, solche Maßnahmen in bestehende Zero-Trust-Architekturen zu integrieren und ihre Planung an den Frameworks MITRE ATT&CK und MITRE Engage auszurichten.

Advanced Deception ersetzt damit weder klassische Schutzmaßnahmen noch die Auswertung sicherheitsrelevanter Ereignisse. Die Technologie schafft vielmehr zusätzliche Erkennungspunkte innerhalb der IT-Infrastruktur, an denen verdächtige Interaktionen gezielt registriert und untersucht werden können.

Praxisbeispiel: Verdächtige Netzwerkaktivitäten frühzeitig erkannt

Welche Erkenntnisse sich daraus gewinnen lassen, zeigt eine vom Technologieanbieter LABYRINTH veröffentlichte Fallstudie aus dem Logistiksektor. Bei einem Dienstleister für Frachtabrechnung und Lieferkettentransparenz wurden Täuschungssysteme innerhalb verschiedener Netzwerksegmente eingerichtet. Dazu gehörten simulierte Webdienste, Testumgebungen sowie Bereiche, die von Verwaltungs- und Entwicklungsarbeitsplätzen genutzt wurden.

Nach Angaben des Anbieters ergab die Auswertung der registrierten Aktivitäten, dass sich verdächtige Zugriffsversuche stärker auf eine Datenbank mit noch nicht abgeschlossenen Transaktionen konzentrierten als auf die zunächst als besonders gefährdet eingeschätzten Kundeninformationen. Das Sicherheitsteam konnte daraufhin die betreffenden Anwendungen gezielter untersuchen.

Darüber hinaus registrierten die Systeme Netzwerk-Scans, Zugriffsversuche und Hinweise auf mögliche Privilegienausweitungen, die von einem über VPN verbundenen Entwicklerrechner ausgingen. Der betroffene Arbeitsplatz wurde anschließend isoliert und einer forensischen Untersuchung unterzogen.

Das Beispiel verdeutlicht einen wesentlichen Vorteil des Verfahrens: Täuschungsobjekte können zusätzliche Erkenntnisse über tatsächlich beobachtete Aktivitäten liefern und dadurch die Priorisierung weiterer Sicherheitsmaßnahmen unterstützen. Ob hinter einer registrierten Interaktion tatsächlich ein Angreifer steht, muss allerdings im jeweiligen Kontext untersucht werden. Die Fallstudie stammt vom Hersteller selbst; eine unabhängige technische Überprüfung der beschriebenen Ergebnisse liegt nicht vor.

Wirtschaftlichkeit: Gezielte Erkennung statt zusätzlicher Datenmengen

Neben dem sicherheitstechnischen Nutzen gewinnt die wirtschaftliche Bewertung von Advanced Deception an Bedeutung. Eine umfassendere Überwachung von Unternehmensnetzwerken kann erhebliche Investitionen in Datenerfassung, Speicherkapazitäten, Analyseplattformen und Personal erforderlich machen. Insbesondere beim Ausbau von Security Information and Event Management (SIEM) entstehen zusätzliche Kosten, wenn größere Datenmengen kontinuierlich verarbeitet und ausgewertet werden müssen.

Eine weitere Fallstudie von LABYRINTH beschreibt den Einsatz der Technologie bei einem international tätigen Unternehmen aus der Pharma- und Life-Science-Branche mit mehr als 3.000 Beschäftigten. Das Unternehmen wollte seine Erkennungsmöglichkeiten für interne Netzwerkaufklärung und Angriffe auf Active-Directory-Umgebungen erweitern. Ein entsprechender Ausbau der bestehenden SIEM-Infrastruktur hätte nach der zugrunde liegenden Planung mehr als 100 Gigabyte zusätzliche Ereignisdaten täglich verursacht und eine Erhöhung der SIEM-Kapazität auf das Zwei- bis Zweieinhalbfache erfordert.

Stattdessen wurde eine zusätzliche Deception-Ebene eingeführt, die verdächtige Interaktionen mit Täuschungsobjekten sowie ausgewählte sicherheitsrelevante Ereignisse erfasste. Nach Herstellerangaben ließ sich der angestrebte zusätzliche Erkennungsumfang damit zu etwa einem Fünftel der kalkulierten Kosten des alternativen SIEM-Ausbaus erreichen. Ein sechsstelliger jährlicher Mehraufwand sei auf diese Weise vermieden worden.

Die Zahlen verdeutlichen das mögliche wirtschaftliche Potenzial, sind jedoch nicht allgemein übertragbar. Sie beruhen auf einem vom Anbieter dokumentierten Vergleich zweier konkreter Implementierungsvarianten. Ob Advanced Deception tatsächlich kostengünstiger ist, hängt unter anderem von der vorhandenen Sicherheitsarchitektur, der Netzwerktopologie, den Lizenz- und Betriebskosten sowie dem erforderlichen Betreuungsaufwand ab. Zudem sind eine gezielte Erkennung durch Täuschungsobjekte und eine umfassende SIEM-Überwachung nicht in allen Funktionen gleichwertig.

Für Unternehmen liegt die wirtschaftliche Chance deshalb weniger im vollständigen Ersatz bestehender Überwachungssysteme als in deren gezielter Ergänzung. Insbesondere an kritischen Übergängen zwischen Netzwerksegmenten oder in besonders schutzbedürftigen Umgebungen können zusätzliche Erkennungspunkte sinnvoll sein, ohne sämtliche Datenströme umfassender protokollieren zu müssen.

Technische Grenzen und Anforderungen an den Betrieb

Die Wirksamkeit von Advanced Deception hängt wesentlich von der Qualität der Implementierung ab. Täuschungsobjekte müssen glaubwürdig in die bestehende Infrastruktur eingebunden sein und an Stellen platziert werden, die für typische Angriffsbewegungen relevant sind. Gleichzeitig dürfen sie keine unnötigen zusätzlichen Sicherheitsrisiken verursachen oder reguläre Geschäftsprozesse beeinträchtigen.

Auch Fehlalarme sind nicht ausgeschlossen. Automatisierte Netzwerkscans, administrative Prüfungen oder andere legitim ausgeführte Aktivitäten können unter bestimmten Bedingungen mit den Ködern interagieren. Eine entsprechende Alarmmeldung ist daher zunächst ein Anlass zur Untersuchung und kein abschließender Nachweis eines erfolgreichen Angriffs.

Hinzu kommt, dass erfahrene Angreifer versuchen können, Täuschungssysteme zu erkennen und gezielt zu umgehen. Ein Sicherheitsgewinn entsteht nur dort, wo die Köder tatsächlich in relevante Angriffspfade eingebunden sind. Ebenso entscheidend ist ihre Integration in bestehende SOC- und Incident-Response-Prozesse, damit auf erkannte Aktivitäten zeitnah und angemessen reagiert werden kann.

Florian Kraus, General Manager der DAGMA GmbH, sieht in der Technologie vor allem die Möglichkeit, die bisherige Informationslage zwischen Angreifern und Verteidigern zu verändern. Mit der von DAGMA vertriebenen LABYRINTH-Plattform sollen Sicherheitsteams zusätzliche Hinweise auf verdächtige Aktivitäten gewinnen und gleichzeitig den wirtschaftlichen Aufwand der Angriffserkennung begrenzen.

Ergänzung klassischer Cyberabwehr mit strategischem Potenzial

Advanced Deception erweitert die Möglichkeiten der Cyberabwehr um einen Ansatz, bei dem Sicherheitsteams nicht ausschließlich auf die nachträgliche Interpretation von Logdaten angewiesen sind. Durch gezielt platzierte Täuschungsobjekte können sie zusätzliche Hinweise auf Netzwerkaufklärung, missbräuchliche Zugriffe und mögliche laterale Bewegungen erhalten. Besonders relevant ist dies in komplexen IT-Umgebungen, in denen Angreifer legitime Werkzeuge oder kompromittierte Berechtigungen verwenden.

Der sicherheitstechnische Nutzen muss jedoch anhand konkreter Einsatzszenarien bewertet werden. Eine glaubwürdige Täuschungsumgebung, die Einbindung in bestehende Sicherheitsprozesse und eine verlässliche Reaktion auf erkannte Vorfälle bleiben grundlegende Voraussetzungen. Auch wirtschaftliche Vorteile lassen sich nicht pauschal zusagen, sondern müssen gegenüber dem tatsächlichen Implementierungs- und Betriebsaufwand nachgewiesen werden.

Advanced Deception kann damit einen zusätzlichen Beitrag zur Cyberresilienz leisten – nicht weil digitale Köder jeden Angriff verhindern, sondern weil sie Aktivitäten sichtbar machen können, die bei einer ausschließlich auf klassischen Überwachungsverfahren beruhenden Sicherheitsarchitektur möglicherweise unentdeckt blieben.

Quellen: Cybersecurity and Infrastructure Security Agency (CISA), Using Cyber Decoys to Strengthen Detection and Response, September 2026; LABYRINTH, Advanced Deception: Transforming Defensive Strategies sowie Fallstudien aus der Logistik- und Pharmaindustrie; DAGMA GmbH, Unternehmensinformationen zur LABYRINTH-Plattform, Oktober 2026. Die Angaben zu Projektergebnissen und Kostenvorteilen beruhen auf Herstellerveröffentlichungen.