Sicherer Umgang mit USB-Sticks und USB-Geräten

Hintergrund: Die USB-Schnittstelle wurde unter dem Gesichtspunkt eines möglichst universellen Einsatzes, nicht aber der IT-Sicherheit entwickelt. Daher gibt es heute eine Vielzahl von Geräten mit einer USB-Schnittstelle. Das Spektrum reicht von der Maus über die Tastatur bis hin zu mobilen Speichermedien. Insbesondere der USB-Stick ist durch seine leichte Handhabung besonders gut geeignet, Dateien von einem Rechner zum nächsten zu übertragen. Hierin liegt aber auch die Gefahr. Es gibt bei USB-Geräten generell zwei mögliche

Angriffspunkte

1. Durch das Hochladen von Dateien etwa auf einen USB-Stick, die sich dann bei Verwendung des Sticks auf die Endgeräte (z.B. PCs) übertragen und dort ausgeführt werden, kann auch Schadsoftware übertragen werden. Diese kann oft durch aktuelle Virenscanner erkannt werden.
2. Durch Veränderung der Firmware des USB-Geräts:. USB-Geräte enthalten einen kleinen Rechner, in dem ein Programm (Firmware) abläuft, das die Funktionalität des USB-Geräts (z.B. Tastatur, USB-Stick, externes Speichermedium) gewährleistet. Die Gefahr besteht darin, dass diese Firmware relativ leicht umprogrammiert werden kann, so dass sie sich auf weitere USB-Geräte überträgt, wodurch sie sich wie eine Krankheit verbreitet, ohne dass dieses bemerkt wird. Auf diese Weise kann sich dann mit der Firmware auch Schadsoftware verbreiten, die allerdings nicht durch Virenscanner erkannt werden kann. So konnte etwa gezeigt werden, dass sich ein USB-Stick auf einmal wie eine Tastatur verhält, die Kommandos an den Rechner schickt.

Wie geht man jetzt damit um?

1. Da die Firmware des USB-Geräts bereits im Herstellerland kompromittiert sein kann, gibt es keine 100%ige Sicherheit. Andererseits ist es nur mit hohem Aufwand vermeidbar, dennoch USB-Geräte zu nutzen.
2. Jede Nutzung eines USB-Geräts an einem anderen Rechner oder Endgerät (PC, Drucker, Kopierer etc.) erhöht das Risiko, dass Schadprogramme auf das USB-Gerät gelangen. Daher sollte vermieden werden, USB-Geräte an wechselnden Endgeräten zu betreiben.
3. Unter Beachtung des ersten Punktes ist eine Nutzung eines USB-Geräts etwa zur Datensicherung eines Rechners eine verhältnismäßig vertretbare Nutzung, sofern das USB-Gerät (USB-Stick) originalverpackt gekauft wurde und nur an diesem Rechner verwendet wird.
4. Gefundene oder irgendwie zur Verfügung gestellte USB-Sticks (oder andere USB-Geräte) sollten nicht genutzt werden, da man keine Kontrolle über die Inhalte hat. Auch ein Scannen dieses USB-Gerätes kann keine endgültige Sicherheit bieten (s.o.). Bewusst liegengelassene USB-Sticks stellen zuweilen ganz bewusste Angriffe dar.
5. Die besonders kleinen und handlichen USB-Sticks bringen zudem noch die Gefahr des Verlusts mit sich, weswegen sensible Daten, wenn sie denn unbedingt damit transportiert werden müssen, nach Möglichkeit verschlüsselt werden sollten.

Unter Beachtung dieser einfachen Regeln kann das Risiko, dass die Verwendung von USB-Geräten mit sich bringt, nicht ausgeschlossen aber deutlich verringert werden. In sensiblen Bereichen haben wir daher auch bei einigen Rechnern die USB-Schnittstelle deaktiviert.

Wenn Sie mehr über IT-Sicherheit erfahren wollen, besuchen Sie gerne unsere Online-IT-Sicherheitsschulung unter https://bits.fh-frankfurt.de/.