Was ist ein Honeypot und wie wirkt er sich auf E-Mail-Absender aus?

In dem Moment, in dem Vesper Lynd in Casino Royale auf der Leinwand erscheint, wissen Sie genau, wie das Ganze ausgehen wird. Obwohl er ein Weltklasse-Spion ist, wird James Bond der mysteriösen Vesper verfallen, die all ihre weiblichen Reize einsetzen wird, um Informationen aus ihm herauszubekommen. Vesper ist der Honeypot in ihrer Operation: das verlockende Ziel, das unseren Protagonisten in die Falle lockt.

Honeypots sind jedoch nicht nur für Spione gedacht. In diesem Artikel befassen wir uns damit, wie sich Honeypots auf Sie als E-Mail-Absender auswirken, welche verschiedenen Arten von Honeypots es gibt und welche Risiken bestehen, erwischt zu werden.

Im Bereich der Cybersicherheit ist ein Honeypot eine clevere Anti-Spamfalle, die Spammer dazu bringt, sich zu erkennen zu geben, indem sie verlockende Ziele bietet. Diese Fallen variieren je nach Art der böswilligen Akteure, die gefasst werden sollen.

Honeypots können auf Bots abzielen, die versuchen, gefälschte E-Mail-Adressen in ein E-Mail-Erfassungsformular einzuschleusen, auf Hacker, die E-Mail-Adressen von einer Webseite abgreifen möchten, oder auf Harvester, die personenbezogene Daten wie Bankkontodaten sammeln. Sie können entweder menschliche Akteure oder bösartige Programme erfassen, die im Auftrag menschlicher Akteure handeln.

Lassen Sie uns das genauer betrachten und uns den Honeypot-Einsatz ansehen, der erforderlich ist, um einen Harvester oder Bot zu fangen, der Websites nach E-Mail-Adressen durchsucht.

Die menschlichen Akteure hinter diesen bösartigen Programmen können die gesammelten E-Mails mit einem Malware-Angriff attackieren oder die E-Mail-Adressen an ahnungslose E-Mail-Marketing-Teams verkaufen. In diesem Fall ist der Honeypot eine eigens dafür vorgesehene inaktive E-Mail-Adresse, die noch nie verwendet wurde und für die noch nie E-Mail-Kampagnen abonniert wurden.

Diese Honeypot-E-Mail-Adressen sind in den Code einer Webseite eingebettet. Mittels CSS lässt sich diese E-Mail-Adresse vor menschlichen Blicken verbergen, während sie für Harvester und Bots, die die Webseite programmatisch crawlen, sichtbar bleibt. Die Honeypot-E-Mail wird so präpariert, dass sie leichter abzugreifen ist als eine legitime E-Mail-Adresse. Dadurch wird der Honeypot durch eingebaute Sicherheitslücken noch attraktiver. Anschließend wird diese E-Mail-Adresse überwacht, um Personen, die Nachrichten an sie senden, in die Falle zu locken.

Sie denken sich jetzt wahrscheinlich: „Okay, aber das betrifft mich nicht. Ich bin ein legitimer E-Mail-Absender.“ Vielmehr fragen Sie sich vielleicht, wie Sie Honeypot-Systeme auf der Website oder Web-App Ihres Unternehmens implementieren können, um zu verhindern, dass Harvester, Bots und Spammer gefälschte E-Mails über Ihre E-Mail-Erfassungsformulare einschleusen oder die E-Mail-Adressen Ihrer Abonnentschaft abgreifen.

Tatsächlich besteht die Möglichkeit, dass Sie gefährdet sind, wenn Sie riskante Strategien zur E-Mail-Erfassung anwenden. Lassen Sie uns über die Gefahren sprechen, denen ein legitimer E-Mail-Absender durch Honeypot-Einsätze in den folgenden Szenarien ausgesetzt sein könnte:

• Sie haben eine Mailingliste gekauft.
• Sie haben Listen mit einem anderen Unternehmen ausgetauscht.
• Sie crawlen Websites, um E-Mail-Adressen abzugreifen und so Ihre Mailingliste aufzubauen.
• Eine legitime abonnierende Person oder ein Bot hat eine gefälschte E-Mail-Adresse in Ihr E-Mail-Erfassungsformular eingegeben. Dies kann entweder böswillig oder unbeabsichtigt geschehen.

Wir werden im Folgenden näher auf jedes dieser Risiken eingehen.

Wir haben erwähnt, dass Hacker, die E-Mail-Adressen von Webseiten abgreifen, diese E-Mails an E-Mail-Marketing-Teams verkaufen könnten. Es ist eine schlechte Praxis, neue Abonnements durch den Kauf von Mailinglisten zu gewinnen. Wenn Sie eine Mailingliste kaufen, erwerben Sie lediglich eine Liste von Personen, die ihre Einwilligung zum Erhalt von E-Mails Ihres Unternehmens nicht erteilt haben.

Den eigenen Abonnentenstamm mit gekauften Mailinglisten aufzubauen, mag wie die „einfache“ Option erscheinen, aber dies zeigt sich in Ihren E-Mail-Marketing-Metriken mit niedrigeren Engagement-Raten, niedrigeren Öffnungsraten und einer höheren Spam-Beschwerderate. All diese Faktoren wirken sich auf Ihre IP-Adresse und Domain-Reputation aus, was wiederum Ihre Posteingangsplatzierung beeinflusst. Wenn Sie eine schlechte IP- und Domain-Reputation haben, entscheiden sich Internet Service Provider (ISPs) möglicherweise dafür, Ihre Nachricht nicht in den Posteingang legitimer Empfangender zuzustellen.

Insgesamt ist der Kauf von Mailinglisten eine schlechte Idee. Ein weiteres Risiko bei der Verwendung einer gekauften Mailingliste besteht darin, dass sie Honeypot-E-Mail-Adressen enthalten kann. Anstatt einen Spammer zu fangen, erwischt Sie der Fallensteller (oft eine Blockliste wie Spamhaus). Viele Honeypot-Fallen werden von den Blocklisten selbst aufgestellt, und wenn Sie in eine tappen, setzen diese Sie auf ihre Blockliste, und es ist sehr schwer, dort wieder herunterzukommen.

Das ist einfach: Das Abgreifen von E-Mail-Adressen von Websites ist genau das Verhalten, das eine Honeypot-E-Mail-Adresse erfassen soll.

Wenn Ihr Unternehmen dies tut – auch wenn es für legitime E-Mail-Marketing-Programme ist –, sind Sie im Grunde nicht besser als ein Spammer. Die Inhaber der E-Mail-Adressen haben keine Einwilligung zur Kontaktaufnahme erteilt, genau wie bei einer gekauften Liste, und sie werden Ihre E-Mails wahrscheinlich als Spam markieren. Wie bereits oben erwähnt, kann dies dazu führen, dass Sie auf der Blockliste eines ISPs landen und Ihre E-Mail-Marketing-Bemühungen beeinträchtigt werden.

Okay, das hier ist ein wenig knifflig. Das grundlegende Szenario sieht wie folgt aus:

1. Sie haben ein Formular zur Erfassung von E-Mail-Adressen auf Ihrer Website.
2. Eine Person (wie ein legitimer Absender oder ein Spam-Bot) gibt eine E-Mail-Adresse ein.
3. Die eingegebene E-Mail-Adresse ist nicht echt. Dies kann an einem Nutzerfehler oder an böswilliger Absicht liegen.

Das obige Szenario beinhaltet viele Variablen. Zum Beispiel kann es ein Bot sein, der eine gefälschte E-Mail-Adresse einschleust, ein legitimer Abonnent, der böswillig eine gefälschte E-Mail eingibt, oder ein legitimer Abonnent, der sich bei seiner E-Mail-Adresse vertippt. Das Endergebnis ist dasselbe: Eine ungültige E-Mail wurde zu Ihrer Mailingliste hinzugefügt.

Im besten Fall wird Ihre legitime E-Mail-Nachricht an diese gefälschte E-Mail-Adresse einfach Hard Bounces und kann nicht zugestellt werden. Dies wirkt sich auf Ihre Zustellbarkeit aus, ist aber nicht besonders schädlich, wenn es nur selten vorkommt.

Im schlimmsten Fall ist diese gefälschte E-Mail-Adresse ein Honeypot und Sie haben sich selbst auf die Blockliste gesetzt. Wie oben veranschaulicht, schadet es Ihren E-Mail-Marketing-Programmen, wenn Sie auf der Blockliste landen.

Um dies zu vermeiden, empfehlen wir Folgendes:

• Implementieren Sie E-Mail-Verifizierung , um sicherzustellen, dass die von Ihrem Formular erfassten E-Mail-Adressen legitim sind, bevor Sie eine Massen-E-Mail versenden.
• Implementieren Sie reCAPTCHA und Double-Opt-ins, um zu validieren, dass ein Abonnent auch wirklich abonnieren wollte.
• Stellen Sie sicher, dass Sie die geltenden Datenschutzgesetze einhalten, wenn Sie E-Mails erfassen.
• Auf gute Listenpflege achten und bereinigen Sie Ihre Datenbanken regelmäßig.

Auf diese Weise können Sie möglicherweise vermeiden, auf einer Blockliste zu landen.

Ja und nein. Honeypots sind eine Form der Spamfalle, aber Fallensteller müssen keine Postfächer für eine E-Mail-Adresse erstellen, um sie als Honeypot zu verwenden. Die E-Mail-Adresse muss nicht existieren: Der Spammer kann versuchen, an eine funktionslose E-Mail-Adresse zu senden, und wenn der Fallensteller seine Protokolle überprüft, wird er sehen, dass ein E-Mail-Versuch unternommen wurde. Fallensteller können diese E-Mails auf ihren Webseiten verbergen, und jeder Bot, der ihre Website crawlt, um E-Mail-Adressen zu sammeln, wird sie mit der Zeit finden. Honeypots können auch Spamfallen sein, wenn sie alte E-Mail-Adressen nutzen, die schon lange inaktiv sind. Diese „recycelten“ Adressen, die aufgegeben oder geschlossen wurden, werden von ISPs zurückgesetzt und genau auf Aktivitäten überwacht.

Trotz allem, was wir oben gesagt haben, sind Honeypots nicht nur schlecht. Honeypots sind gut darin, bösartige Akteure zu fangen, um Cyberangriffe zu verhindern. Und wenn sich Ihr Unternehmen wie ein Cyberangreifer verhält, könnten auch Sie in einem Honeypot landen.

Deshalb sind Honeypots eine gute Sache:

• Sie fassen bösartige Akteure, indem sie attraktive Ziele schaffen, die mit Schwachstellen gespickt sind.
• Sie ermöglichen die Erkennung von Bedrohungen im Vorfeld potenzieller Angriffe. Indem sie Hacker und Bots dazu bringen, sich auf ein gefälschtes Ziel zu stürzen, können Fallensteller sehen, welche Arten von Angriffen Cyberangreifer einsetzen könnten.
• Sie sind großartige Systeme zur Erkennung von Eindringlingen.
• Sie ermöglichen ein besseres Verständnis von Cyberangreifern. Honeypots ermöglichen es Fallenstellern, zu „studieren“, was ein Cyberkrimineller tun würde, wenn er ihre Webseite wirklich angreifen würde.

Wie oben erwähnt, könnte ein legitimer Absender wie Sie in einem Honeypot landen. Die Best Practice ist, sich nicht wie ein bösartiger Akteur zu verhalten, damit Sie nicht in diese Fallen tappen.

Es gibt zwei Hauptkategorien von Honeypots: Produktions-Honeypots und Forschungs-Honeypots. Produktions-Honeypots sammeln cybersicherheitsrelevante Informationen innerhalb des Produktionsnetzwerks eines Unternehmens oder einer Organisation. Auf der anderen Seite sammelt ein Forschungs-Honeypot Informationen über die Methoden und Taktiken eines Hackers. Diese werden in der Regel von Regierungen und Forschungsorganisationen verwendet.

Schauen wir uns einige dieser Honeypot-Varianten an:

• Pure Honeypots: Dies sind vollwertige Computersysteme, die das Produktionssystem nachahmen. Die Daten in Pure Honeypots „sehen“ vertraulich aus, enthalten aber tatsächlich Schwachstellen, um Hacker anzuziehen, sowie Sensoren, um Cyberangreifer zu überwachen, sobald sie eingedrungen sind.
• High-Interaction Honeypots: Dies sind komplexe Honeypots, die darauf ausgelegt sind, die Zeit eines Cyberangreifers zu verschwenden, um dem Sicherheitsteam genügend Zeit zu geben, den Angreifer zu beobachten und weitere Schwachstellen im System zu untersuchen.
• Mid-Interaction Honeypots: Dies sind weniger komplexe Systeme, die einige Elemente der Anwendungsschicht imitieren. Sie verfügen jedoch nicht über ein Betriebssystem (OS). Das Ziel eines Mid-Interaction Honeypots ist es, einen Angreifer zu verwirren oder hinzuhalten, damit das Infosec-Team Zeit hat, eine Reaktion zu bewerten und zu koordinieren.
• Low-Interaction Honeypots: Dies sind die am wenigsten komplexen Honeypots, die rudimentäre Informationen über die Art der Cybersicherheitsbedrohung und deren Herkunft sammeln. Sie verwenden das Transmission Control Protocol (TCP), das Internet Protocol (IP) und Netzwerkdienste.
• Spam-Honeypots: Diese stehen im Mittelpunkt dieses Artikels. Spam-Honeypots ziehen Spammer an, indem sie Schwachstellen im Zusammenhang mit E-Mails schaffen. Sie locken diese Spammer in die Falle, bevor sie tatsächlichen Schaden anrichten können.
• Malware-Honeypots: Diese Honeypots verwenden Angriffsvektoren, die nachweislich Malware anlocken.
• Client-Honeypots: Diese Honeypots ziehen bösartige Server an, die Angreifer beim Hacken von Clients verwenden. Sie geben sich als Clients aus, um zu beobachten, wie ein Angreifer während des Angriffs Änderungen an einem Server vornimmt.
• Datenbank-Honeypots: Diese Honeypots verwenden Köder-Datenbanken, um Angriffe wie SQL-Injections anzuziehen.

Der beste Weg, um nicht in eine Honeypot-Falle zu tappen, besteht darin, sicherzustellen, dass Ihre Praktiken zur Erfassung von E-Mail-Adressen konform und legitim sind. Erstellen Sie ein benutzerdefiniertes Anmeldeformular mit Mailgun. Oder sehen Sie sich unser Webinar an, das einige Best Practices für den Aufbau und die Pflege Ihrer E-Mail-Listen.

Autor: Nick Lafferty Nick Lafferty was a Team Lead for our Growth team at Sinch Mailgun. An avid blogger himself, he focused on sharing strategies and initiatives to help businesses grow their reach and make the most of their email program.