In vielen Umgebungen, die ich betreue, gehört Microsoft Defender for Identity längst zur Grundausstattung, doch kaum jemand holt wirklich alles aus dem Produkt heraus. Honeytoken-Konten sind ein gutes Beispiel dafür. Richtig eingerichtet, ergeben sie ein günstiges und erstaunlich wirksames Frühwarnsystem gegen Angreifer, die sich lateral durchs Netzwerk bewegen. Während viele Organisationen viel Zeit in aufwendige Überwachung investieren, bleibt dieses einfache Werkzeug oft liegen. Dabei genügt es häufig, ein unbenutztes, für Angreifer aber verlockendes Active-Directory-Konto anzulegen und in Defender for Identity als Honeytoken zu markieren – ab dann schlägt jeder Zugriffsversuch sofort Alarm.

Ein Honeytoken in Defender for Identity ist in wenigen Minuten eingerichtet

Das Prinzip könnte kaum einfacher sein. Sie legen ein neues AD-Benutzerkonto an, das echt aussieht, im Tagesgeschäft aber keine Aufgabe hat. Der Name sollte für einen Angreifer nach einem privilegierten oder früher wichtigen Benutzer klingen, etwa „svc-backup-admin“ oder „old_it_ops“. Das Konto bekommt ein sicheres Passwort, keine Gruppenmitgliedschaften und darf sich nirgends anmelden. Nach der Replikation markieren Sie es im Defender-Portal unter System → Einstellungen → Identitäten → Entitäts-Tags → Honeytoken. Von da an erzeugt jeder Authentifizierungsversuch sofort eine Warnung in Defender for Identity, ganz gleich, ob er gelingt oder scheitert.

Mein Tipp aus der Praxis: Ich stelle das Honeytoken-Konto gern auf „Passwort läuft nie ab“ und sperre die interaktive Anmeldung (z. B. mit Deny log on locally per GPO). So kann es niemand versehentlich benutzen.

In kaum fünf Minuten ist das erledigt, und trotzdem ist der Effekt beachtlich. Wer nach einem Credential Dumping oder mit automatisierten Tools ausprobiert, ob sich dieses Konto verwenden lässt, löst unmittelbar einen Alarm aus. Weil im Alltag niemand das Konto nutzt, gibt es praktisch keine False Positives.

Lateral Movement Paths zeigen die Angriffswege zu sensiblen Konten

Ebenfalls oft übersehen werden die Lateral Movement Paths. Sie finden sich im Defender-Portal in der Identitätsansicht sensibler Benutzer und zeigen, auf welchen Wegen ein Angreifer von kompromittierten Konten oder Systemen aus an die wirklich wichtigen Konten herankommen könnte.

Ich sehe darin weniger eine Grafik als eine konkrete Arbeitsliste, mit der sich privilegierte Konten und lokale Administratoren ausdünnen lassen. Gerade in historisch gewachsenen AD-Umgebungen haben sich lokale Administratorrechte über die Jahre auf etliche Workstations und Server verteilt. Wer hier aufräumt, schließt Angriffswege und senkt gleichzeitig die Zahl möglicher Honeytoken-Auslöser.

flowchart TD
  Angreifer["Angreifer"] --> Workstation["Workstation kompromittiert"]
  Workstation --> Konto["Honeytoken Konto"]
  Konto --> Defender["Defender for Identity Alarm"]

Abbildung: Von einem kompromittierten Gerät führt der Weg über das Honeytoken-Konto direkt zu einem Alarm in Defender for Identity.

Wie die Lateral Movement Paths im Defender-Portal funktionieren und wie man sie nutzt, beschreibt die offizielle Dokumentation von Microsoft ausführlich.

Das Sensitiv-Tag gibt dem SOC wichtigen Kontext

Außer dem Honeytoken-Tag lohnt sich das Tag „Sensitiv“ für wirklich kritische Konten, also Domain Admins, Dienstkonten mit hohen Berechtigungen oder Konten für Backups und Automatisierung. Markieren Sie solche Konten im Defender-Portal zusätzlich als sensibel. Das SOC erhält dadurch Kontext zu den Alerts, und Aktivitäten dieser Konten fallen sofort auf. In Projekten stelle ich immer wieder fest, dass die Tags nur halbherzig gepflegt werden, obwohl sie für den Überblick und die Priorisierung von Vorfällen enorm wertvoll sind.

Wer gezielt taggt, kann außerdem Angriffswege besser analysieren und dokumentieren. Bei Audits und internen Reviews zahlt sich das deutlich aus.

Ein Honeytoken-Alarm liefert oft den ersten echten Hinweis auf einen Angriff

Schon ein einziges Honeytoken-Konto bringt erstaunlich viel. Mehrfach habe ich erlebt, dass Angreifer oder interne Red Teams genau an diesem Köder hängen geblieben sind, und oft war das der erste handfeste Hinweis auf einen Einbruchsversuch. Im Defender-Portal lässt sich der Alarm unmittelbar nachvollziehen, samt aller zugehörigen Identitätsbewegungen und beteiligten Geräte. Voraussetzung ist ein ausgerolltes Defender for Identity (meist als Teil von Microsoft 365 E5 oder über eine Defender-for-Identity-Lizenz) mit Sensoren auf allen Domain-Controllern.

Im SOC oder im IT-Sicherheitsteam genügt es, die Alerts im Defender-Portal im Blick zu behalten. Wer genauer hinsehen will, findet auf der Identitätsseite ausführliche Informationen zum markierten Konto und zu seinen Aktivitäten. Weiterhelfen kann auch die Microsoft-Dokumentation zu Honeytoken-Konten und Entitäts-Tags.

Honeytoken-Konten bringen viel Wirkung bei wenig Aufwand, ersetzen aber keine AD-Hygiene

Ein Honeytoken-Konto in Defender for Identity ersetzt weder die grundlegende Pflege des Active Directory noch den Schutz privilegierter Konten. Als Frühwarnsystem ist es aber ausgesprochen wertvoll. Besonders angenehm finde ich, dass weder ein eigenes Budget noch eine aufwendige Integration nötig ist. Jeder mit Admin-Rechten im AD und Zugriff auf das Defender-Portal setzt das in kurzer Zeit um, sofern die Sensoren laufen und die Lizenzen vorhanden sind.

Noch mehr erreichen Sie, wenn Sie Honeytoken-Konten mit einer konsequenten Bereinigung der lokalen Administratoren (siehe auch meinen Beitrag zur PIM-Strategie für Admin-Rechte) und dem Sensitiv-Tag für kritische Konten verbinden. Daraus entsteht eine realistische, alltagstaugliche Verteidigungsschicht, die Angreifer sichtbar macht, bevor größerer Schaden entsteht, und das mit erstaunlich wenig Aufwand.