Honigtöpfe sollen auf Bären eine magische Anziehungskraft haben. Heißt es jedenfalls in Dutzenden von Kinderliedern und -geschichten, etwa denen von Winnie Puuh. Wenn man also einen Bären beobachten wollte, müsste man eigentlich nur einen Honigtopf aufstellen und - so man in einer Bärengegend wohnt - einige Zeit warten.

Ein ähnliches Prinzip wendet seit einiger Zeit eine Gruppe von rund 30 IT-Sicherheitsexperten an, die den Arbeitsmethoden böswilliger Hacker auf die Schliche kommen will. Im "Honeynet", das die Hacker-Jäger, die hauptberuflich unter anderem für Cisco und Sun arbeiten, installiert haben, warten mehrere Rechner mit verschiedenen Sicherheitsfeatures nur darauf, von Angreifern aus dem Netz attackiert zu werden.

Doch ohne ihr Wissen werden die Einbrecher belauscht. "Uns geht es darum, Leuten erklären zu können, in welcher Weise die verschiedenen Systeme angegriffen werden können", sagt Lance Spitzner vom "Honeynet Project". Das Problem der Hacker-Jäger ist normalerweise, dass sich eine Firma, die Opfer eines Angriffs geworden ist, so gut wie nie auf die Finger sehen lassen will. Sicherheitslücken bleiben so undokumentiert, Angreifer können sie bei weiteren Opfern immer wieder ausnutzen. Das Honeynet will Abhilfe schaffen.

Hacker als Versuchskaninchen

Eine Schwierigkeit ist allerdings, dass böswillige Angreifer, so genannte Black-Hat-Hacker, nicht merken dürfen, dass sie nur als Versuchskaninchen dienen und sich in einer Art virtuellem Glaskasten befinden. Deswegen sind die momentan fünf Honeynet-Rechner mit verschiedenen Konfigurationen und Sicherheitsstufen miteinander verbunden. Solaris- und Linux-Rechner werden nach Auskunft der Initiatoren genauso eingesetzt wie Windows NT-Maschinen.

Die Erschaffer des Honeynets legen Wert darauf, dass sie nur Standardkomponenten verwenden und keine zusätzlichen Sicherheitslöcher simulieren. Außerdem werden die Rechner des Honeynets nicht im Netz beworben, lediglich die IP-Adressen sind öffentlich bekannt.

Vorgestellt wurde das Honeynet Project am Wochenende auf dem IT-Sicherheitskongress "Black-Hat-Briefings" in Las Vegas. David Dittrich, Mitinitiator des Projektes erklärte, dass durchschnittlich dreimal im Monat ein erfolgreicher Einbruch in einen der Honeynet-Rechner registriert wird. Im extremsten Fall wurde ein Honigtopf bereits nach 15 Minuten am Netz erfolgreich gehackt. Die durchschnittliche Lebenserwartung einer Standardinstallation eines Red-Hat-Linux-6.2-Servers liegt nach Angaben des Honeynet Projects bei etwa 72 Stunden, danach haben Hacker das System höchstwahrscheinlich bemerkt, gescannt und sind erfolgreich eingebrochen.

Die Honigtöpfe sollen Zuwachs bekommen

• Das Honeynet Projekt 

Momentan befinden sich die fünf Honeynet-Server offline, da die Mitglieder des Projektes die bisher gewonnenen Daten aufarbeiten und veröffentlichen wollten. Dabei fließe auch die Beurteilung der Hacker durch einen Verhaltenspsychologen mit ein. Geht es nach Dittrich, dann sollen die Honeynet-Rechner so schnell wie möglich wieder ans Netz gehen und bald Zuwachs bekommen. Für eine bessere Untersuchung sei es nötig, an zahlreichen Universitäten "Honigtopf-Rechner" aufzustellen, um mehr Hacker anzuziehen.

Unklar ist indessen, ob Hacker, die dem Honeynet auf dem Leim gehen, mit juristischen Konsequenzen zu rechnen haben. Zwar betonen die Initiatoren auf ihrer Webseite, dass dies keinesfalls angedacht ist, doch gleichzeitig schränken sie ein, dass schon in einigen Fällen Daten an die zuständigen US-Behörden weitergegeben worden seien.