USB-Sticks sind klein, günstig und überall verfügbar. Genau deshalb werden USB-Sticks als Sicherheitsrisiko oft unterschätzt: Sie können Schadsoftware einschleusen, vertrauliche Daten unbemerkt aus dem Haus tragen und gehen leicht verloren. Dieser Beitrag erklärt die wichtigsten Gefahren und zeigt, wie Sie den Umgang mit USB-Sticks im Unternehmen sinnvoll regeln.

Die drei Hauptgefahren

Schadsoftware

Über USB-Sticks gelangt Schadsoftware auch in Netzwerke, die gut gegen das Internet abgeschottet sind. Das bekannteste Beispiel ist der Stuxnet-Wurm, der um 2010 über Wechseldatenträger in Industrieanlagen gelangte. Im Alltag ist es meist banaler: Ein Stick wird an einem privaten oder fremden Rechner infiziert und anschließend im Büro eingesteckt. Präparierte Dokumente, Verknüpfungen oder Programme auf dem Stick starten den Schadcode, sobald jemand sie öffnet.

Datenverlust und Datenabfluss

Ein verlorener Stick mit Kundenlisten, Personalakten oder Angeboten ist schnell ein meldepflichtiger Datenschutzvorfall. Gehen unverschlüsselte personenbezogene Daten verloren, müssen Sie das in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht melden. Ebenso einfach lassen sich Daten absichtlich kopieren, etwa vor dem Wechsel zu einem Mitbewerber.

Manipulierte Hardware

Nicht jedes Gerät, das wie ein USB-Stick aussieht, ist auch einer. Sogenannte BadUSB-Geräte geben sich gegenüber dem Rechner als Tastatur aus und tippen in Sekundenschnelle Befehle ein. Solche Werkzeuge sind frei erhältlich. Auch präparierte Ladekabel gibt es. Ein Virenscanner erkennt diese Angriffe oft nicht, weil keine Datei im Spiel ist.

Der gefundene Stick auf dem Parkplatz

Ein klassischer Trick des Social Engineering: Angreifer legen präparierte Sticks dort ab, wo Mitarbeitende sie finden, etwa auf dem Parkplatz oder im Empfangsbereich. Eine Beschriftung wie „Gehälter 2026“ weckt die Neugier. Die Regel ist einfach: Gefundene oder unbekannte USB-Geräte werden niemals an einen Firmenrechner angeschlossen, sondern an die IT übergeben.

Technische Schutzmaßnahmen

Verbote allein funktionieren selten. Wirksamer ist eine Kombination aus Technik und klaren Regeln:

• USB-Gerätekontrolle: Über Gruppenrichtlinien oder die Endpoint-Schutzsoftware lässt sich festlegen, welche Geräteklassen erlaubt sind. Üblich ist, Speichergeräte zu sperren oder nur freigegebene Modelle zuzulassen, während Maus und Tastatur weiter funktionieren.
• Nur lesen erlauben: Wo Daten von externen Sticks eingelesen werden müssen, verhindert ein Schreibschutz, dass Firmendaten abfließen.
• Verschlüsselung erzwingen: Firmeneigene Sticks werden mit BitLocker To Go oder hardwareverschlüsselten Modellen geschützt. Unverschlüsseltes Schreiben lässt sich per Richtlinie unterbinden.
• Automatische Prüfung: Aktuelle Antivirus-Software scannt Wechseldatenträger beim Anschließen.
• Keine Administratorrechte: Benutzer ohne lokale Administratorrechte können Schadsoftware nicht so leicht tief im System verankern.
• Protokollierung: Aufzeichnen, welche Geräte angeschlossen wurden, hilft bei der Aufklärung eines Vorfalls. Beachten Sie dabei Datenschutz und gegebenenfalls die Mitbestimmung.

Wenn ein Stick mit Firmendaten verloren geht

Trotz aller Vorsicht kommt es vor, dass ein Stick liegen bleibt oder gestohlen wird. Dann zählt ein klarer Ablauf:

1. Der Verlust wird sofort intern gemeldet, an die IT und an die verantwortliche Stelle für den Datenschutz.
2. Es wird geklärt, welche Daten auf dem Stick waren und ob er verschlüsselt war.
3. Waren unverschlüsselte personenbezogene Daten darauf, wird geprüft, ob eine Meldung an die Datenschutzaufsicht und gegebenenfalls eine Benachrichtigung der Betroffenen nötig ist.
4. Befanden sich Zugangsdaten auf dem Stick, werden diese umgehend geändert.

Ein verschlüsselter Stick macht aus einem möglichen Datenschutzvorfall in der Regel einen bloßen Sachverlust. Das ist das stärkste Argument dafür, Verschlüsselung nicht der Entscheidung einzelner Mitarbeitender zu überlassen. Denken Sie dabei auch an externe Festplatten, Speicherkarten und Smartphones, die per USB als Speicher eingebunden werden können.

Bessere Alternativen für den Datenaustausch

Oft werden USB-Sticks genutzt, weil es keine bequeme Alternative gibt. Bieten Sie eine an:

• einen Firmen-Cloudspeicher mit Freigabelinks, Ablaufdatum und Passwortschutz, etwa über Managed Cloud-Drive,
• Netzlaufwerke oder Microsoft 365 für den internen Austausch,
• einen VPN-Zugang statt Daten auf dem Stick mit nach Hause zu nehmen.

Wenn Kunden oder Behörden Daten weiterhin auf Sticks liefern, richten Sie dafür einen festen Ablauf ein, zum Beispiel die Prüfung an einem separaten Rechner.

Was das für Ihr Unternehmen bedeutet

• Legen Sie in einer Richtlinie fest, ob und welche USB-Speicher erlaubt sind.
• Stellen Sie freigegebene, verschlüsselte Sticks bereit, wenn sie wirklich gebraucht werden.
• Sperren Sie unbekannte Speichergeräte technisch, statt nur auf Disziplin zu setzen.
• Bieten Sie eine einfache, sichere Alternative für den Dateiaustausch an.
• Schulen Sie Ihr Team: Gefundene Sticks gehen ungeöffnet an die IT.
• Klären Sie, was zu tun ist, wenn ein Stick mit Firmendaten verloren geht.

Häufige Fragen

Startet Schadsoftware automatisch, wenn ich einen Stick einstecke?

Die automatische Ausführung von Programmen auf USB-Sticks ist in aktuellen Windows-Versionen standardmäßig deaktiviert. Gefährlich wird es meist, wenn jemand eine Datei auf dem Stick öffnet. BadUSB-Geräte umgehen diesen Schutz jedoch, weil sie sich als Tastatur ausgeben.

Reicht es, einen Stick vor dem Öffnen mit dem Virenscanner zu prüfen?

Das ist sinnvoll, schützt aber nicht vollständig. Neue Schadsoftware wird nicht immer erkannt, und manipulierte Hardware lässt sich so gar nicht entdecken. Technische Gerätekontrolle ist der zuverlässigere Weg.

Wie verschlüssele ich einen USB-Stick?

Unter Windows Pro und Enterprise geht das mit BitLocker To Go über das Kontextmenü des Laufwerks. Alternativ gibt es Sticks mit Hardwareverschlüsselung und PIN-Feld. Im Unternehmen sollte die Wiederherstellung zentral geregelt sein, falls das Passwort vergessen wird.

Unterstützung aus der Region

Interate-IT aus Gensingen hilft Unternehmen in Rheinhessen und an der Nahe, Wechseldatenträger sicher zu regeln: mit passenden Richtlinien, technischer Gerätekontrolle über Managed Workplace und sicheren Alternativen für den Datenaustausch. Melden Sie sich bei uns.