USB-Sticks und Wechseldatenträger: Risiken und Richtlinien

Klein, praktisch und gefährlich

Ein USB-Stick passt in jede Hosentasche, kostet wenige Euro und kann 256 Gigabyte oder mehr Daten speichern. Genau diese Eigenschaften machen ihn zu einem der hartnäckigsten Sicherheitsrisiken in Unternehmen. Denn dieselben Eigenschaften, die USB-Sticks so praktisch machen, machen sie auch zu idealen Werkzeugen für Datenverlust, Malware-Einschleusung und gezielte Angriffe.

Das Thema USB-Sicherheit hat dabei nichts von seiner Relevanz verloren, obwohl Cloud-Speicher und Collaboration-Tools viele Einsatzbereiche von USB-Sticks abgelöst haben. Im Gegenteil: Gerade weil USB-Sticks in vielen Unternehmen keine offizielle Rolle mehr spielen, gibt es oft keine aktuelle Richtlinie und keine technische Kontrolle. Die USB-Ports an Laptops und Workstations sind offen, und niemand überwacht, was dort angeschlossen wird.

Die drei Risikoklassen

Risikoklasse 1: Malware-Einschleusung

USB-Sticks sind ein bewährter Vektor für Schadsoftware. Die Infektionswege sind vielfältig:

Autorun-Malware: Klassisch, aber immer noch verbreitet. Der USB-Stick enthält eine Schadsoftware, die beim Anschließen automatisch oder durch den Nutzer ausgeführt wird. Moderne Betriebssysteme haben Autorun für USB-Geräte standardmäßig deaktiviert, aber viele Nutzer klicken trotzdem auf Dateien, die sie auf einem USB-Stick finden.

Präparierte Dokumente: Der USB-Stick enthält vermeintlich harmlose Office-Dokumente oder PDFs mit eingebetteten Makros oder Exploits. Ein Mitarbeiter findet den Stick auf dem Parkplatz (ein klassisches Social-Engineering-Szenario, das erstaunlich oft funktioniert), steckt ihn an und öffnet die Datei "Gehaltstabelle_2026.xlsx". Die Makros laden Schadsoftware nach.

Firmware-Manipulation: Der USB-Stick wurde auf Firmware-Ebene manipuliert und gibt sich dem Betriebssystem gegenüber als Tastatur aus (BadUSB). Er tippt automatisch Befehle ein, die Schadsoftware herunterladen oder Systeme kompromittieren. Da das Betriebssystem ein HID-Gerät (Human Interface Device) erkennt und nicht einen Speicher, greifen klassische Antivirus-Lösungen nicht.

Supply-Chain-Angriffe: USB-Geräte werden bereits beim Hersteller oder im Vertriebsweg kompromittiert. Fälle, in denen Werbegeschenk-USB-Sticks ab Werk Malware enthielten, sind dokumentiert.

Risikoklasse 2: Unkontrollierter Datenabfluss

Ein Mitarbeiter kann innerhalb von Minuten Gigabytes an Daten auf einen USB-Stick kopieren und das Gebäude verlassen. Ohne technische Kontrollen gibt es keine Möglichkeit, das zu erkennen oder zu verhindern:

• Kundendatenbanken, Vertragsdokumente, Finanzdaten
• Quellcode, technische Dokumentation, Konstruktionspläne
• Personaldaten, Gehaltsinformationen
• Geschäftsgeheimnisse, Strategiepapiere

Dieser Datenabfluss kann absichtlich erfolgen (ein unzufriedener Mitarbeiter, der Daten zum neuen Arbeitgeber mitnimmt) oder unabsichtlich (ein Mitarbeiter kopiert Daten auf einen USB-Stick, um zu Hause weiterzuarbeiten, und verliert den Stick im Zug).

Beide Szenarien sind problematisch: Das eine ist ein Sicherheitsvorfall, das andere ein Datenschutzvorfall. Und wenn personenbezogene Daten betroffen sind, kann eine Meldepflicht nach DSGVO bestehen.

Risikoklasse 3: Physische Angriffe

Neben Software-basierten Angriffen gibt es physische Bedrohungen durch manipulierte USB-Geräte:

BadUSB: Ein USB-Gerät, das sich als anderes Gerät ausgibt, typischerweise als Tastatur. Es kann in Sekunden beliebige Befehle eingeben: Powershell-Skripte ausführen, Backdoors installieren, Daten exfiltrieren. BadUSB-Geräte sehen aus wie normale USB-Sticks und sind mit bloßem Auge nicht zu erkennen.

USB Killer: Ein USB-Gerät, das über die USB-Schnittstelle einen Hochspannungsimpuls an die Hardware abgibt und den Rechner physisch zerstört. Kommt in der Praxis selten vor, ist aber als Bedrohung real.

USB-basierte Keylogger: Kleine Geräte, die zwischen Tastatur und Rechner gesteckt werden und alle Tastatureingaben aufzeichnen. Sie können wochen- oder monatelang unentdeckt bleiben.

Reale Vorfälle und ihre Lehren

Der Stuxnet-Wurm

Das bekannteste Beispiel für einen USB-basierten Angriff ist Stuxnet, der 2010 iranische Nuklearanlagen sabotierte. Der Wurm wurde über USB-Sticks in ein vom Internet isoliertes Netzwerk (Air-Gap) eingeschleust. Er zeigt, dass selbst physisch isolierte Systeme über USB-Sticks kompromittiert werden können.

Der Parkplatz-Test

Mehrere Studien haben gezeigt, dass präparierte USB-Sticks, die auf Firmenparkplätzen oder in öffentlichen Bereichen "verloren" werden, in 45 bis 98 Prozent der Fälle von Findern angeschlossen und geöffnet werden. Die Neugierde überwiegt regelmäßig das Sicherheitsbewusstsein.

Datenverlust durch verlorene USB-Sticks

In Großbritannien verlor der National Health Service (NHS) mehrere USB-Sticks mit unverschlüsselten Patientendaten. Die Datenpanne führte zu erheblichen Bußgeldern und Reputationsschäden. Ähnliche Fälle gibt es in Deutschland, oft im Zusammenhang mit Personaldaten oder Kundendatenbanken.

Die USB-Richtlinie: Aufbau und Inhalt

Grundsatzentscheidung: Verbot oder kontrollierte Nutzung?

Die erste Entscheidung betrifft die grundsätzliche Haltung des Unternehmens zu USB-Speichergeräten:

Option A: Vollständiges Verbot. Kein Mitarbeiter darf USB-Speichergeräte an Unternehmensrechner anschließen. Die USB-Ports werden technisch gesperrt (mit Ausnahmen für Maus, Tastatur und andere nicht-speichernde Geräte).

Option B: Kontrollierte Nutzung. USB-Speichergeräte dürfen unter definierten Bedingungen verwendet werden: nur firmeneigene, verschlüsselte Geräte, nur für bestimmte Zwecke, mit technischer Überwachung.

Option C: Risikobasierter Ansatz. Unterschiedliche Regeln je nach Bereich und Schutzbedarf. In Bereichen mit hohem Schutzbedarf (Entwicklung, Finanzen, HR) ist die Nutzung verboten oder stark eingeschränkt. In Bereichen mit normalem Schutzbedarf ist die kontrollierte Nutzung erlaubt.

Für die meisten Unternehmen ist Option C der praktikabelste Weg. Ein vollständiges Verbot erzeugt Workarounds (Mitarbeiter nutzen private Cloud-Dienste statt USB-Sticks, was ein neues Problem schafft), und unkontrollierte Nutzung ist keine Option.

Inhalt der Richtlinie

Eine USB- und Wechseldatenträger-Richtlinie sollte folgende Punkte abdecken:

Geltungsbereich: Für wen gilt die Richtlinie? Alle Mitarbeiter, Auftragnehmer, Praktikanten? Welche Geräte sind betroffen (USB-Sticks, externe Festplatten, SD-Karten, Smartphones als Speichergerät)?

Grundsätzliche Regelung: Dürfen USB-Speichergeräte verwendet werden? Wenn ja, unter welchen Bedingungen? Wenn nein, welche Ausnahmen gibt es?

Firmeneigene Geräte:

• Nur freigegebene, verschlüsselte USB-Speichergeräte dürfen verwendet werden.
• Die Geräte werden von der IT ausgegeben und inventarisiert.
• Verlorene Geräte müssen sofort gemeldet werden.
• Geräte dürfen nicht an Dritte weitergegeben werden.

Private Geräte:

• Private USB-Speichergeräte dürfen nicht an Unternehmensrechner angeschlossen werden.
• Dies gilt auch für USB-Sticks, die als Werbegeschenke oder auf Messen erhalten werden.
• Ausnahmen nur nach Genehmigung durch den ISB.

Datenklassifizierung:

• Welche Datenklassen dürfen auf USB-Speichergeräten transportiert werden?
• Vertrauliche und streng vertrauliche Daten (gemäß der Klassifizierungsrichtlinie) dürfen nur auf verschlüsselten, firmeneigenen Geräten transportiert werden.
• Personenbezogene Daten unterliegen zusätzlichen Anforderungen (DSGVO).

Gefundene USB-Geräte:

• Gefundene USB-Sticks und Wechseldatenträger dürfen unter keinen Umständen an Unternehmensrechner angeschlossen werden.
• Gefundene Geräte sind bei der IT oder dem ISB abzugeben.

Verstöße und Konsequenzen:

• Verstöße gegen die Richtlinie werden dokumentiert und können arbeitsrechtliche Konsequenzen haben.

Technische Durchsetzung

Device Control Software

Eine Richtlinie ohne technische Durchsetzung ist ein zahnloser Tiger. Device-Control-Software ermöglicht die granulare Steuerung von USB-Geräten:

Geräteklassen steuern: Erlaube HID-Geräte (Maus, Tastatur), aber sperre Massenspeicher. So können Mitarbeiter weiterhin ihre peripheren Geräte nutzen, ohne dass USB-Speicher funktioniert.

Whitelist-Ansatz: Nur explizit freigegebene Geräte (identifiziert über Seriennummer) funktionieren. Alle anderen werden blockiert. Damit kontrollierst du exakt, welche USB-Speichergeräte im Unternehmen verwendet werden.

Logging und Alerting: Protokolliere jeden Versuch, ein USB-Speichergerät anzuschließen. Alarmiere den ISB bei wiederholten Versuchen oder bei Versuchen in Hochsicherheitsbereichen.

Datei-Shadowing: Erstelle eine Kopie jeder Datei, die auf ein USB-Gerät kopiert wird. Diese Funktion ist datenschutzrechtlich sensibel und erfordert eine Abstimmung mit dem Betriebsrat, kann aber bei konkretem Verdacht auf Datenabfluss eingesetzt werden.

Gruppenrichtlinien (GPO)

In Windows-Umgebungen kannst du über Gruppenrichtlinien den Zugriff auf Wechseldatenträger steuern:

• Schreibzugriff verweigern: Mitarbeiter können Daten von USB-Sticks lesen, aber nicht darauf schreiben. Das verhindert Datenabfluss, ermöglicht aber den Empfang von Daten (z. B. von Kunden).
• Lese- und Schreibzugriff verweigern: USB-Speichergeräte funktionieren gar nicht. Die strengste Variante.
• Installation neuer Geräteklassen verhindern: Verhindert, dass BadUSB-Geräte als neue Geräteklasse installiert werden.

GPOs sind kostenlos, aber weniger granular als spezialisierte Device-Control-Software. Für Unternehmen mit kleinem Budget sind sie ein guter Einstieg.

Verschlüsselung erzwingen

Für firmeneigene USB-Speichergeräte empfiehlt sich die Verschlüsselungspflicht. Es gibt zwei Ansätze:

Hardware-verschlüsselte USB-Sticks: Geräte mit eingebauter Hardware-Verschlüsselung und PIN- oder Fingerabdruck-Authentifizierung. Die Verschlüsselung ist immer aktiv und kann nicht umgangen werden. Teurer als normale USB-Sticks, aber der sicherste Ansatz.

Software-basierte Verschlüsselung: Tools wie BitLocker To Go (Windows) verschlüsseln den Inhalt des USB-Sticks. Die Verschlüsselung kann per Gruppenrichtlinie erzwungen werden: Ein USB-Stick, der nicht verschlüsselt ist, wird nicht beschreibbar gemountet.

Sonderfälle und Ausnahmen

Produktion und Fertigung

In Produktionsumgebungen werden USB-Sticks oft für den Transfer von CNC-Programmen, Firmware-Updates oder Messdaten benötigt. Ein vollständiges Verbot ist hier selten praktikabel. Mögliche Lösungen:

• Dedizierte, fest installierte USB-Stations mit Malware-Scan vor dem Transfer
• Nur bestimmte, inventarisierte USB-Sticks für den Produktionsbereich
• Air-Gapped Netzwerke für Produktionssysteme, damit eine USB-Infektion nicht ins Büronetz gelangt

Präsentationen und externe Meetings

Mitarbeiter im Vertrieb oder in Beratungsrollen müssen gelegentlich Präsentationen auf fremden Rechnern zeigen. USB-Sticks sind dafür nach wie vor verbreitet. Alternativen:

• Cloud-basierte Präsentationstools (wenn Internetzugang vorhanden)
• Eigenes Notebook mitbringen und über HDMI/USB-C anschließen
• Wenn USB unvermeidbar: Hardware-verschlüsselter USB-Stick, der nach der Nutzung an einem externen Rechner von der IT gescannt wird

Externe Dienstleister und Gäste

Externe Dienstleister, die an Unternehmensrechnern arbeiten, bringen möglicherweise eigene USB-Geräte mit. Die Richtlinie muss regeln, ob und unter welchen Bedingungen das erlaubt ist. In Hochsicherheitsumgebungen ist es das nicht, in normalem Umfeld kann eine Ausnahme mit Virenscans und Protokollierung vertretbar sein.

USB-Sicherheit im ISMS

Relevante Controls aus ISO 27001

• A.7.9 (Sicherheit von Assets außerhalb der Geschäftsräume): Schutzvorkehrungen für Geräte und Medien außerhalb des Unternehmens, einschließlich verschlüsselter USB-Sticks.
• A.7.10 (Speichermedien): Verwaltung, Transport, Entsorgung und Vernichtung von Speichermedien.
• A.8.12 (Schutz vor Datenverlust): Maßnahmen gegen unautorisierten Datenabfluss, einschließlich Device Control.
• A.8.1 (Endbenutzer-Endgeräte): Sicherheitsmaßnahmen für Endgeräte, einschließlich Kontrolle von Peripheriegeräten.

Risikobewertung

USB-Risiken sollten in der Risikobewertung als eigene Szenarien erfasst werden:

• Szenario "Malware-Einschleusung über USB-Stick": Eintrittswahrscheinlichkeit mittel bis hoch, Schadenshöhe abhängig von der Malware (bis hin zu Ransomware-Totalschaden).
• Szenario "Datenverlust über USB-Stick": Eintrittswahrscheinlichkeit abhängig von technischen Kontrollen, Schadenshöhe abhängig von der Art der Daten.
• Szenario "BadUSB-Angriff": Eintrittswahrscheinlichkeit niedrig (gezielter Angriff), Schadenshöhe hoch (vollständige Systemkompromittierung).

Sichere Entsorgung

USB-Sticks und andere Wechseldatenträger müssen bei Ausmusterung sicher vernichtet werden. Ein einfaches Formatieren reicht nicht, weil die Daten mit Wiederherstellungstools rekonstruiert werden können. Sichere Methoden:

• Physische Vernichtung (Schredder für Datenträger)
• Kryptografisches Löschen (bei verschlüsselten Geräten: Schlüssel vernichten)
• Mehrfaches Überschreiben mit zertifizierter Löschsoftware

Die Vernichtung muss dokumentiert werden, insbesondere wenn personenbezogene Daten oder andere schutzbedürftige Informationen betroffen sind. Mehr zum Thema findest du im Artikel zur sicheren Entsorgung von Hardware und Dokumenten.

Rollout der USB-Richtlinie: Kommunikation und Umsetzung

Mitarbeiter mitnehmen

Eine USB-Richtlinie, die per E-Mail versendet und nie wieder erwähnt wird, bleibt wirkungslos. Die Einführung braucht einen durchdachten Rollout:

Ankündigung und Erklärung: Informiere alle Mitarbeiter mindestens zwei Wochen vor Inkrafttreten über die neue Richtlinie. Erkläre die Gründe, nicht als abstrakte Sicherheitstheorie, sondern mit konkreten Beispielen: "Ein verlorener, unverschlüsselter USB-Stick mit Kundendaten ist ein meldepflichtiger Datenschutzvorfall, der das Unternehmen einen sechsstelligen Betrag kosten kann."

Alternativen bereitstellen: Bevor du USB-Sticks einschränkst, stelle sicher, dass es funktionierende Alternativen gibt. Cloud-Speicher für den internen Dateiaustausch, sichere Filetransfer-Lösungen für externe Partner, verschlüsselte firmeneigene USB-Sticks für die Fälle, in denen USB unvermeidbar ist. Wenn du etwas wegnimmst, ohne einen Ersatz zu bieten, erzwingst du Workarounds.

Schulung: Integriere das Thema in die nächste Awareness-Schulung. In ISMS Lite kannst du Richtlinien inklusive Lesebestätigung verteilen und den Schulungsnachweis für das Audit dokumentieren. Zeige eine Live-Demo eines BadUSB-Angriffs (die Wirkung auf die Teilnehmer ist enorm) und erkläre das Parkplatz-Szenario mit gefundenen USB-Sticks. Praktische Demonstrationen bleiben deutlich besser im Gedächtnis als Vorträge über Richtlinien.

Übergangsphase: Gewähre eine Übergangsfrist von vier bis sechs Wochen, in der die technische Durchsetzung im Monitoring-Modus läuft (Protokollierung ohne Blockierung). So erkennst du, welche Mitarbeiter und Abteilungen noch USB-Geräte nutzen, und kannst gezielt Alternativen anbieten.

Regelmäßige Überprüfung

Die USB-Richtlinie ist kein einmaliges Dokument. Überprüfe sie mindestens jährlich:

• Sind die technischen Kontrollen noch wirksam? Werden sie von neuen Betriebssystem-Versionen oder Gerätetypen umgangen?
• Gibt es neue Angriffsvektoren, die berücksichtigt werden müssen?
• Funktionieren die Alternativen zu USB-Sticks? Oder sind neue Workarounds entstanden?
• Werden die Ausnahmen noch benötigt, oder können sie zurückgenommen werden?
• Wie viele Verstöße wurden registriert, und welche Muster zeigen sich?

USB-Sticks werden nicht verschwinden, auch wenn Cloud-Dienste viele ihrer Einsatzbereiche übernommen haben. Solange USB-Ports an Rechnern existieren, müssen Unternehmen den Umgang mit Wechseldatenträgern regeln, technisch durchsetzen und regelmäßig überprüfen. Eine pragmatische Richtlinie, die Sicherheit und Arbeitsfähigkeit in Einklang bringt, ist dabei deutlich wirkungsvoller als ein theoretisches Totalverbot.

Weiterführende Artikel

• Berechtigungskonzept erstellen: Zugriffsrechte strukturiert vergeben
• Endpoint Security: Endgeräte im Unternehmen absichern
• Informationssicherheitsrichtlinie schreiben: Aufbau, Inhalt und Beispiel
• Datensicherung nach dem BSI 3-2-1-Prinzip
• Shadow IT aufdecken: Wenn Mitarbeiter eigene Tools mitbringen