Ein Mitarbeiter findet auf dem Parkplatz einen USB-Stick und öffnet darauf eine Datei mit dem Namen „Gehaltsliste“, ein anderer kopiert vor seinem letzten Arbeitstag die Kundendatei auf einen privaten Stick, ein dritter verliert auf der Messe einen unverschlüsselten Stick mit Angeboten. Alle drei Fälle haben dieselbe Ursache: Wechseldatenträger sind im Unternehmen nicht geregelt, und niemand kann USB-Sticks sperren oder gezielt freigeben. Dieser Beitrag zeigt, wie Sie das mit vertretbarem Aufwand ändern, ohne die Arbeit in Produktion oder Labor lahmzulegen.
Drei Risiken, die man auseinanderhalten sollte
Schadsoftware kommt herein
USB-Sticks umgehen E-Mail-Filter und Web-Schutz. Was auf dem Stick ist, landet direkt auf dem Rechner. Neben verseuchten Dateien gibt es präparierte Geräte, die sich als Tastatur ausgeben und in Sekunden Befehle eintippen. Solche Geräte sehen aus wie ein normaler Stick oder ein Ladekabel. Ein aktueller Virenschutz erkennt bekannte Schadsoftware auf Dateien, aber nicht jede Tastatur, die „tippt“.
Daten gehen hinaus
Ein Stick mit 256 GB fasst den kompletten Dateiserver vieler kleiner Firmen. Ob Absicht oder Bequemlichkeit: Wenn jeder Rechner auf jeden Stick schreiben darf, gibt es keine Kontrolle, welche Daten das Haus verlassen. Für personenbezogene Daten ist das auch datenschutzrechtlich relevant.
Datenträger gehen verloren
Sticks sind klein, billig und werden selten vermisst. Ein verlorener unverschlüsselter Stick mit personenbezogenen Daten kann eine Datenpanne sein, die Sie bewerten und gegebenenfalls melden müssen. Mehr dazu im Beitrag zur Meldung von Datenschutzvorfällen. Bei konkreten Fragen zur Meldepflicht sollten Sie Ihren Datenschutzbeauftragten einbeziehen.
Richtlinie für Wechseldatenträger: Regeln, die im Alltag funktionieren
Eine Richtlinie zu Wechseldatenträgern sollte kurz sein und Antworten auf die Fragen geben, die Mitarbeiter tatsächlich haben:
- Welche Datenträger sind erlaubt? Am besten nur vom Unternehmen ausgegebene, verschlüsselte Sticks. Private Sticks sind tabu.
- Wofür? Benennen Sie typische erlaubte Zwecke, etwa Präsentationen beim Kunden oder Datenaustausch mit Maschinen. Alles andere läuft über die freigegebenen Ablagen.
- Fremde Sticks: Gefundene oder geschenkte Datenträger werden nicht eingesteckt, sondern bei der IT abgegeben. Das gilt auch für Werbegeschenke von Messen.
- Verlust: Ein verlorener Stick wird sofort gemeldet, ohne Schuldzuweisung. Je früher die IT davon weiß, desto besser lässt sich der Schaden bewerten.
- Externe: Besucher, Dienstleister und Prüfer stecken ihre Datenträger nicht an Firmenrechner. Dateien werden über einen definierten Weg übergeben.
Die Regeln wirken nur, wenn sie auch technisch unterstützt werden. Eine Vorgabe, die man mit einem Klick umgehen kann, wird im Stress umgangen.
USB-Stick sperren unter Windows: Gruppenrichtlinie, Intune, Defender
USB sperren per Gruppenrichtlinie und Intune
Windows bringt die nötigen Werkzeuge mit. In der Gruppenrichtlinie finden Sie unter „Administrative Vorlagen > System > Wechselmedienzugriff“ Einstellungen, mit denen Sie Lese- und Schreibzugriff auf Wechseldatenträger getrennt sperren können. Ergänzend lassen sich über die Geräteinstallationseinschränkungen bestimmte Geräteklassen oder einzelne Geräte-IDs zulassen oder blockieren. Beides geht in Umgebungen mit Active Directory per Gruppenrichtlinie, in Cloud-verwalteten Umgebungen über Microsoft Intune mit den entsprechenden Konfigurationsprofilen.
Eine pragmatische Grundeinstellung für viele Mittelständler sieht so aus:
- Lesen von Wechseldatenträgern erlaubt, Schreiben nur auf verschlüsselte Datenträger.
- Für bestimmte Gruppen, etwa Buchhaltung oder Personal, Schreiben ganz gesperrt.
- Ausnahmen für einzelne Rechner oder Personen über eigene Gruppen, nicht über lokale Einstellungen.
Gerätesteuerung mit Microsoft Defender
Wer Microsoft Defender for Endpoint (Plan 1 oder 2) oder Microsoft Defender for Business einsetzt, kann die dort enthaltene Gerätesteuerung nutzen. Sie erlaubt feinere Regeln: Zugriff nach Hersteller- und Produkt-ID oder Seriennummer, getrennt nach Lesen, Schreiben und Ausführen, abhängig von Benutzergruppe. Zusätzlich lassen sich Zugriffe protokollieren, sodass Sie zunächst im reinen Überwachungsmodus sehen, welche Sticks im Haus überhaupt genutzt werden. Verwaltet wird das ebenfalls über Intune oder Gruppenrichtlinien.
Der Überwachungsmodus ist ein guter Start: Zwei bis vier Wochen mitschreiben, dann wissen Sie, welche Abteilungen welche Datenträger wirklich brauchen, und vermeiden böse Überraschungen beim Sperren.
Verschlüsselung mit BitLocker To Go
BitLocker To Go verschlüsselt USB-Sticks und externe Festplatten mit Windows-Bordmitteln. Per Richtlinie können Sie festlegen, dass Windows auf nicht mit BitLocker geschützte Wechseldatenträger nicht schreiben darf. Wer dann etwas speichern will, muss den Stick zuerst verschlüsseln. Achten Sie darauf, dass Wiederherstellungsschlüssel zentral gespeichert werden, damit ein vergessenes Kennwort nicht zum Datenverlust führt. Legen Sie außerdem fest, wer Sticks verschlüsselt ausgibt und wer bei einem gesperrten Stick helfen darf.
Eine Alternative sind hardwareverschlüsselte Sticks mit PIN-Feld. Sie funktionieren unabhängig vom Betriebssystem, was bei Maschinen und Messgeräten hilfreich sein kann, sind aber deutlich teurer.
Ausnahmen für Maschinen und Messgeräte
In Produktion, Labor und Werkstatt sind USB-Sticks oft unverzichtbar: CNC-Programme werden per Stick an die Maschine übertragen, Messgeräte exportieren Protokolle, ältere Anlagen haben gar keinen Netzwerkanschluss. Ein pauschales Verbot scheitert hier am ersten Tag.
Bewährt haben sich folgende Ansätze:
- Eigene Maschinensticks: Ein fester Satz gekennzeichneter Sticks, die nur zwischen einem definierten Arbeitsplatz und der Maschine wandern. In der Gerätesteuerung werden genau diese Sticks über ihre Seriennummer freigegeben.
- Fester Übergaberechner: Ein Rechner, auf dem Dateien vom Stick geprüft und dann über das Netz weitergegeben werden. So kommt der Maschinenstick nie an einen normalen Büroarbeitsplatz.
- Prüfung vor dem Einsatz: Sticks von Servicetechnikern des Maschinenherstellers werden vorher an einem Prüfrechner gescannt.
Dokumentieren Sie jede Ausnahme mit Zweck, Gerät und Verantwortlichem. Das hilft bei Audits und verhindert, dass Ausnahmen still mitwachsen.
Alternativen zum Stick
Viele Stick-Nutzungen verschwinden, wenn es einen bequemen anderen Weg gibt:
- Freigaben in OneDrive oder SharePoint für den Austausch mit Kunden und Partnern, mit Ablaufdatum und Kennwort.
- Teams-Dateien für die interne Zusammenarbeit statt Kopien auf Sticks.
- Präsentationen aus der Cloud oder vom eigenen Notebook statt vom Stick am Kundenrechner.
- Netzlaufwerke oder Übergabeordner für Maschinen, die einen Netzwerkanschluss haben.
Mehr zur Organisation gemeinsamer Ablagen finden Sie im Beitrag Zusammenarbeit und Dateiablage. Für private Geräte, die mit Firmendaten in Berührung kommen, gelten zusätzlich die BYOD-Regeln.
Checkliste: Erste Schritte
- Im Überwachungsmodus erfassen, welche Datenträger an welchen Rechnern genutzt werden.
- Eine kurze Richtlinie zu Wechseldatenträgern schreiben und mit den Abteilungen abstimmen.
- Verschlüsselte Firmensticks ausgeben und private Sticks aus dem Verkehr ziehen.
- Per Gruppenrichtlinie oder Intune das Schreiben auf unverschlüsselte Datenträger sperren.
- Wiederherstellungsschlüssel für BitLocker To Go zentral sichern.
- Ausnahmen für Maschinen und Messgeräte über Seriennummern freigeben und dokumentieren.
- Bequeme Alternativen wie Freigabelinks und Übergabeordner bereitstellen.
- Mitarbeiter kurz schulen, insbesondere zu gefundenen Sticks und Verlustmeldung.
Wie DAVINCI unterstützt
Wir analysieren, wie Wechseldatenträger in Ihrem Unternehmen genutzt werden, richten Gerätesteuerung und Verschlüsselung über Intune oder Gruppenrichtlinien ein und finden mit Ihnen praxistaugliche Lösungen für Maschinen und Messgeräte. Mehr zu unseren Leistungen finden Sie unter IT-Sicherheit und Microsoft 365. Für ein erstes Gespräch nutzen Sie unsere Kontaktseite.
Häufige Fragen
Reicht es, USB-Anschlüsse komplett zu sperren?
Technisch geht das, praktisch scheitert es meist an Mäusen, Tastaturen, Headsets und Dockingstationen, die ebenfalls USB nutzen. Sinnvoller ist es, gezielt Speichergeräte zu steuern und Eingabegeräte normal zuzulassen.
Brauche ich dafür zusätzliche Software?
Für Grundregeln nicht unbedingt: Gruppenrichtlinien und BitLocker gehören zu Windows Pro und Enterprise. Intune ist nicht in jedem Microsoft-365-Plan enthalten, und die feinere Gerätesteuerung von Defender setzt eine passende Defender-Lizenz voraus. Welche Variante für Sie reicht, hängt von Ihrem Lizenzstand ab.
Kann man einen einzelnen USB-Stick mit Passwort sperren?
Ja. Mit BitLocker To Go verschlüsseln Sie den gesamten Stick und vergeben ein Kennwort; ohne Kennwort oder Wiederherstellungsschlüssel bleibt der Inhalt unlesbar. Hardwareverschlüsselte Sticks mit PIN-Feld erreichen dasselbe unabhängig vom Betriebssystem. Im Unternehmen sollte das nicht dem Einzelnen überlassen bleiben, sondern per Richtlinie für alle Firmensticks gelten.
Lässt sich nur ein Ordner auf dem USB-Stick schützen?
Mit Windows-Bordmitteln wird immer der ganze Datenträger verschlüsselt. Für einzelne Ordner bräuchte es Zusatzwerkzeuge, die sich im Unternehmen schwer einheitlich verwalten lassen. Praktischer ist es, den Stick komplett zu verschlüsseln und vertrauliche Daten gar nicht erst darauf zu kopieren, sondern über Freigabelinks zu teilen.
Was passiert, wenn jemand das BitLocker-Kennwort vergisst?
Dann hilft der Wiederherstellungsschlüssel, den die IT beim Verschlüsseln zentral abgelegt hat, etwa im Active Directory oder in Intune. Ohne diesen Schlüssel sind die Daten auf dem Stick verloren. Genau deshalb gehört die zentrale Ablage der Schlüssel zur Richtlinie, nicht zur Kür.
Was tun mit einem gefundenen USB-Stick?
Nicht einstecken, auch nicht „nur zum Nachsehen“. Geben Sie ihn bei der IT ab. Wenn der Inhalt geprüft werden muss, geschieht das an einem isolierten Rechner ohne Verbindung zum Firmennetz.
Verwandte Themen: Wer hier weiterdenkt, liest bei Browser-Erweiterungen, Zugang und Identität und Hotel-WLAN weiter.
