USB-Sticks – praktisch, aber gefährlich
USB-Sticks sind zunächst praktische Mittel, um schnell Dokumente von einem Computer auf den anderen zu bekommen. Schnell mal die Kundendaten vom USB-Stick auf den Rechner kopiert. Die Sticks sind schon eine geniale Erfindung und sie sparen Zeit.
Warum USB-Sticks dennoch ein Risiko darstellen
Aber warum sind sie trotzdem so gefährlich? Gerade hier in der Eifel wird noch oft auf die guten alten USB-Sticks für sämtliche Anlässe zurückgegriffen: Fotos übertragen, Videos rüber spielen, Kundendaten verarbeiten. Es gibt sehr viele Anlässe und es ist vor allem eines noch immer: Einfach. Aber wo etwas einfach ist, ist es auch einfach es zu etwas schädlichem zu nutzen.
Gefundene USB-Sticks? Besser nicht einstecken!
Vielleicht habt ihr schon mal was davon gehört, dass man fremde USB-Sticks, die man auf der Straße gefunden hat, nicht einfach in den Computer stecken sollte: Warum? Naja, ihr wisst nicht, was die Fremden vorher so mit dem USB-Stick angestellt haben. Klar, die Neugier in einem jeden wird geweckt, aber was ist, wenn da ein Virus drauf ist?
Automatische Gefahren: Nicht mal Anklicken notwendig
Einige denken sich jetzt bestimmt, naja, wenn ich auf dem Stick nichts anklicke, wird da ja wohl nichts passieren. Nur leider stimmt diese Annahme gänzlich nicht. Denn auch wenn ich die Daten und Dokumente auf dem Stick nicht anklicke könnte möglicherweise je nach Rechner folgendes passieren:
- Programme auf dem USB-Stick werden automatisch ausgeführt
Manche Computer haben die blöde Angewohnheit z.B. Videos oder auch Programme, die auf einem USB-Stick gespeichert sind, automatisch auszuführen. Natürlich ist die Funktion in erster Linie praktisch, denn ist der Stick vom Kollegen aus Steffeln eingesteckt startet der gemeinsame Film fast wie von selbst. Dahinter birgt sich doch ein unverhältnismäßig hohes Risiko. Denn ein Virus, der auf einem USB-Stick liegt, wird dann beim Einstecken nämlich automatisch ausgeführt und treibt sein Unwesen auf euren Computern.
Als präventive Maßnahme ist diese Angewohnheit den Computern in jedem Fall schon mal abzugewöhnen. Als Tipp 😉
2. Viren sind versteckt in anderen Dateien
Nicht nur das automatische Ausführen von bestimmten Programmen nach dem Einstecken des USB-Sticks in den Computern ist ein riesiges Problem. Bist du Neugierig und möchtest z.B. die darauf gespeicherten Bilder oder eine interessante PDF-Datei öffnen könnte tatsächlich auch dahinter wieder ein Virus stecken. Bedeutet: Selbst das reine nachsehen könnte schon zum Problem werden. Und das ist bei einem USB-Stick, den man gefunden hat, ja eigentlich der Grund warum man ihn benutzt.
Warum USB-Sticks auch im Unternehmen ein Sicherheitsrisiko sind
Das waren nur zwei Beispiele, die passieren können, wenn man einen USB-Stick von der Straße einfach mal so in seinen Computer verfrachtet. Allerdings ist das ja zum Glück nicht der Regelfall, wozu ein USB-Stick in einer Firma verwendet wird. Aber ein guter Start, um unser Fazit näher in die Praxis zu bringen, nämlich: Keine USB-Sticks in Firmenumgebungen.
Während unser Beispiel den meisten Personen ohne weitere Nachfragen durchaus einleuchtet: Keine gefundenen USB-Sticks zu verwenden, ist die Akzeptanz gar keiner USB-Sticks in Firmen am Anfang zumeist sehr gering. Nur warum sollten Firmen eigentlich keine USB-Sticks verwenden? Immerhin kennt man den Absender meistens oder möchte nur intern Daten hin und her zwischen verschiedenen Geräten übertragen.
Die unterschätzte Gefahr: USB-Sticks gehen verloren
Aber die oben im Beispiel genannten Gefahren sind nur ein kleiner Teil jeglicher Gefahren, die von den Sticks ausgehen können. Fang wir mal ganz im Kleinen an uns anzusehen, welche Gefahren USB-Sticks beherbergen und warum Alternativen deutlich Risikoärmer aber nach einer kurzen Einarbeitung zumeist genauso einfach sind.
Anfangen beim kleinsten Beispiel: Stell dir vor, du speicherst eine wichtige Excel-Liste mit den Geschäftszahlen (die super geheim sind) auf einem USB-Stick, um diese Zahlen morgen der Geschäftsführung oder deinen Mitarbeitern zu präsentieren. Aber es kommt, wie es kommen muss, am nächsten Morgen suchst und suchst du nach dem Stick aber findest ihn nicht. Du musst ihn wohl verloren haben. Für Mr. Hacker ein absoluter Glücksfund. Er sieht bei einem Spaziergang das dir der Stick wohl kurz vor deiner Haustüre aus der Tasche gefallen ist, sowas aber auch.
Hacker nutzen verlorene USB-Sticks gnadenlos aus
Umgehend macht sich Mr. Hacker an die Arbeit. Er hat spezielle Umgebungen geschaffen, um den Stick risikofrei bei sich zu verwenden und findet: Deine Geschäftszahlen. Doof nur, dass sie super geheim waren und in keiner Weise gesichert, verschlüsselt oder passwortgeschützt sind. Du wolltest sie nur kurz übertragen.
Das Risiko des Verlustes darf nicht unterschätzt werden, obwohl es technisch meist möglich ist die Verschlüsselung oder das spezielle Sichern eines USB-Sticks so, dass nicht einfach irgendwer die Daten auslesen könnte zu realisieren, wird das in der Praxis aufgrund der Umständlichkeit ganz oft vernachlässigt. Klar, denn wie wir später noch feststellen werden, sind Alternativen zum USB-Stick meist ab Werk mit solchen Funktionen ausgestattet und USB-Sticks zu sichern wäre mehr Aufwand als die Alternative einfach zu verwenden – zumindest in den meisten Fällen.
Manipulation von USB-Sticks – ein oft übersehenes Risiko
Aber auch eine ganz andere Möglichkeit haben wir noch nicht betrachtet: Er könnte den Stick ja unbemerkt wieder zurücklegen, und zwar mit schadhafter Ausstattung. Bedeutet auf der einen Seite würdest du nicht mal merken das der Stick geklaut wurde und denken du hättest ihn einfach nur verlegt und dann wiedergefunden und auf der anderen Seite hätte der Mr. Hacker nun das gleiche anstellen können wie unser Beispiel mit dem gefunden Stick auf der Straße oben. Doof gelaufen.
USB-Sticks als unterschätzte Schwachstelle im Geschäftsalltag
Das ist nur ein Beispiel aus dem normalen Geschäftsalltag, wie USB-Sticks ganz schnell zur einfachen Schwachstelle werden können. Ein zweites Haben wir ganz fix erzählt, indem wir die Gefahr betrachten die besteht das jedem deiner Mitarbeiter dies theoretisch mal passiert sein könnte, eventuell sogar, ohne dass du davon überhaupt Kenntnis hast.
Überleg mal, was passieren könnte, wenn ein Mitarbeiter über den dreh etwas nicht merkt, den USB-Stick einsteckt und sich über mehrere Jahre unbemerkt ein Trojaner (etwas das euch ausspioniert) in eurer IT-Infrastruktur niederlässt. Der Schaden wäre nicht auszudenken und die Wahrscheinlichkeit das die Datensicherungen funktionieren ist danach auch nicht mehr die Beste. Ist es diese Gefahr wirklich wert?
Von Kunden mitgebrachte USB-Sticks – ein Risiko für dein Unternehmen
Auch ganz beliebt sind Sticks von Kunden, da die Daten ja im bestenfalls auch wirklich schnell auf die Rechner deiner Firma zur weiteren Bearbeitung kommen sollen. Nur hier sehen wir gleich mehrere Schwierigkeiten, die erste ist schon: Du weißt überhaupt gar nicht was vorher mit dem Stick passiert ist oder gemacht wurde? Die zweite Frage direkt hinterher: Dein Kunde weiß das eventuell auch nicht so genau, weil z.B. ein anderer Mitarbeiter oder eine andere Firma vorher den Stick hatte. So ist es auch in unserer Praxis bei einem unserer Kunden frisch nach der Übernahme der Betreuung zu einem Vorfall gekommen, wo unsere Sicherheitssysteme angeschlagen haben. Was wurde gefunden: Ein Virus auf einem Stick, den unser Kunde von einem seiner Kunden bekommen hatte. Sicher nicht böswillig untergeschoben, aber da hätte wer weiß was passieren können. Nur weil ein paar Bilder den Rechner wechseln sollten. Das ist grob fahrlässig.
Die gefährlichsten Manipulationen von USB-Sticks
Um ein genaueres Bild zu bekommen, was mit USB-Sticks tatsächlich alles böses möglich ist, wo auch die ehrlichsten Menschen nichts merken, wenn sie deinem Unternehmen im Umkreis Steffeln, Daun, Gerolstein, Trier, Wallersheim einen USB-Stick geben, weil die Gefahr schon an anderer Stelle drauf war zeigen wir dir nun ein paar der möglichen Manipulationen eines USB Sticks auf, die deiner Firma später erheblich Schaden können.
1. USB-Stick mit manipuliertem Dateisystem
Dein Computer hat die Angewohnheit automatisch angeschlossene Geräte zu erkennen und auszulesen, zumindest im begrenzten Maße. Praktisch für dich bei fast allen Dingen, z.B. wenn du deinen Kopfhörer anschließt. Nur leider kann das, wie immer, gerade bei USB-Sticks zu deinem Verhängnis werden.
Denn wird das sogenannte Dateisystem, welches einfach als Ordnungsstruktur beschreibt wie die Daten genau auf dem Stick gespeichert, organisiert und wiedergefunden werden manipuliert, dann kann das unerwartete Folgen für dein Unternehmen in der Eifel haben. Denn dein Computer versucht automatisch zu erkennen, welches Dateisystem auf deinem USB-Stick vertreten ist, bei einem manipulierten kann das zu ziemlich unerwartetem Verhalten führen. Von einfachen Abstürzen des Computers, bis hin zu schwerwiegenden Fehlern die dadurch verursacht werden können. Praktisch ist es durch unentdeckte Sicherheitslücken über diesen Weg möglich Schadcode, und damit wieder was Gutes für Angreifer auf deinem Computer auszuführen. In einem älteren Beispiel, dessen Fehler mittlerweile behoben ist konnte erfolgreich jedes Windows der damaligen Version mit einem manipulierten USB-Stick zum Absturz gebracht werden. Auch wenn der Computer gesperrt war oder gar nicht benutzt wurde. Denn auch wenn die automatische Wiedergabe von Medien auf dem USB-Stick auf deinem Computer deaktiviert ist, versucht dein Computer immer automatisch bestimmte Informationen auszulesen. Und wenn dein Computer automatisch etwas Fremdes ausliest, egal in welcher beschränkten Form, dann bietet das immer eine mögliche Angriffsfläche für Hacker, die vermeidbar ist.
2. BadUSB Angriffe
Bei einem sogenannten BadUSB-Angriff versucht ein Angreifer mit dem USB-Stick, den du gerade in deinen Computer eingesteckt hast vorzugeben, er sein ein anderes Gerät und dadurch Schaden zu verursachen. Beispielsweise versucht er vorzugeben, er sein eine zusätzliche Tastatur oder ein weiteres Internetkabel (fachlich Netzwerkadapter) in deinem Computer. Nehmen wir uns zur Erklärung wie das bei einem USB-Stick in der Firma schädlich werden kann zwei Annahmen vor, einmal das ein USB-Stick vorgibt eine Tastatur zu sein und einmal das er vorgibt ein anderes Internetkabel zu sein.
Erstmal hört sich das für die meisten Kunden gar nicht so fatal an, wie es tatsächlich ist. Denn was kann eine weitere Tastatur (die nicht wirklich existiert) für einen Schaden auslösen. Täuscht ein USB-Stick eine weitere Tastatur vor, ist es meist sein Ziel das vorher oder aus der Ferne aufgespielte sogenannte Skripte (kleine Programme, die auf dem Computer einiges durch Befehle verändern können) durch diese zweite vorgetäuschte Tastatur auszuführen und so den Computer erfolgreich zu infizieren. Natürlich ist das ganze so gebaut, das die Eingaben, die schadhafte Befehle / Skripte ausführen von der vorgetäuschten Tastatur legitim aussehen und nicht erkannt werden. Die Eingaben geschehen ist dieser Angriffsform meist schnell und werden bestmöglich als „normal“ getarnt.
Es gibt auch Varianten am Markt, die es schaffen entweder durch automatisch ausgeführte Software oder aber durch auf der tiefsten Ebene manipulierte USB-Sticks einen weiteren „Netzwerkadapter“ hinzuzufügen und so Datenverkehr gezielt umleiten und manipulieren zu können. So wird z.B. Phishing durch manipulierte Bank-Anmeldeseiten deutlich vereinfacht. Oder sogenannte Man in the Middle Angriffe realisiert, bei denen sich ein Angreifer zwischen dich und das eigentliche Ziel einschaltet und so mitlesen kann.
Gefälschte USB-Kabel & Geräte – Bedrohung über den Stick hinaus
BadUSB ist so unglaublich gefährlich, weil die durch tief in der Technik der USB-Sticks manipulierte Firmware, dem Computer nur das zu sehen gibt, was er sehen soll und sich als das Gerät ausgibt was vertrauenswürdig ist und damit viele Sicherheitsmechanismen umgehen kann. Teilweise sind manipulierte Varianten auch über USB-Sticks hinaus verfügbar, z.B. USB-Kabel oder auch Mäuse etc. die in dem eigentlichen Kabel und USB-Anschluss noch weitere Chips und tiefere Manipulationen eingebaut haben. So kann eine Tastatur deren Kabel manipuliert wurde mal eben einwandfrei alle deine Eingabe und damit höchstwahrscheinlich auch Kennwörter an die Angreifer senden. Genau das zeigt dann abschließend sehr genau, man sollte nur USB-Geräte einstecken, die man wirklich kennt, die wirklich vertrauenswürdig sind und deren Werdegang man kennt. Auf USB-Sticks ist in Firmen wirklich dringend zu verzichten.
USB-Sticks als Virenschleuder – unbewusste Infektionen in Unternehmen
Es kann immer sein das Malware oder schädliche Programme an einem infizierten Computer diese sämtlichem Manipulationsarten unbemerkt ausreizt, um dadurch die nächsten Computer, die den Stick erhalten zu infizieren, ohne dass auch nur einer irgendetwas Böses für dein Unternehmen wollte. Es genügt, wenn ein Computer infiziert ist und du von diesem einen USB-Stick bekommst, unabhängig davon, ob die Quelle vertrauenswürdig ist oder nicht. Dein Kunde z.B. kann gar nicht mitbekommen haben, dass seine IT gehackt wurde und gibt dir einen USB-Stick mit Dokumenten weiter, womit anschließend du und deine IT infiziert wird.
USB-Sticks vermeiden – sichere Alternativen für dein Unternehmen
Spätestens jetzt sollte klar sein, es gibt bessere Wege die Ziele, die man typischerweise mit einem USB-Stick erreichen möchte, zu erreichen, als mit einem USB-Stick. Doch welche Alternativen bieten sich am stressfreisten an und sind gleichzeitig am sichersten gegenüber USB-Sticks?
Am einfachsten geht das mit einer Cloud-Lösung. Statt die Dateien und Dokumente einfach mit einem USB-Stick zu übertragen, könnt ihr auf eine firmeneigene Cloud setzen und mit dieser später auch Dateien eurer Kunden oder von externen relativ sicher anfordern.
In den meisten Fällen sind grundlegende oder sogar erweiterte Schutzfunktionen bereits enthalten, aber ihr reduziert durch die nicht automatische Ausführung bzw. das nicht automatische Auslesen des Sticks die mögliche Angriffsfläche für die Hacker weiter.
Warum Cloud-Lösungen die bessere Wahl sind
Statt Dateien und Dokumente über unsichere USB-Sticks zu transportieren, sollten Unternehmen auf eine zentrale, professionell verwaltete Cloud setzen. Eine gut gesicherte Cloud bietet nicht nur einen ortsunabhängigen Zugriff, sondern minimiert auch Sicherheitsrisiken wie BadUSB-Angriffe oder Malware-Infektionen durch manipulierte Datenträger. Zudem lassen sich Benutzerrechte, Zugriffskontrollen und Sicherheitsmechanismen gezielt steuern, was mit USB-Sticks nicht möglich ist. All das sind gute Argumente, weile die Schwächen des USB-Sticks gleichzeitig die Vorteile einer Cloud sind und einige Angriffe so gezielt wie auf USB-Sticks bei einer Cloud gar nicht funktionieren.
Ein Beispiel hierzu ist, dass eine mit Virus ausgestattete Datei, die entweder von einem Bekannten unwissentlich oder aber von einem eurer Kunden ebenfalls unwissentlich für euch per USB-Stick bereitgestellt wurde. Bei einem USB-Stick besteht durch die direkte Kommunikation mit eurem Computer ein deutlich höheres Risiko ebenfalls mit Viren belastet zu werden als bei einer professionellen Cloud, die meistens einen grundlegenden Virenschutz integriert hat. Wird hier die mit Virus ausgestattete Datei hochgeladen besteht erstmal eine hohe Chance, dass die verseuchte Datei bereits in diesem Schritt (dem Hochladen) aus dem Verkehr gezogen wird. Erst danach würde sie – wie bei einem USB-Stick auch auf eurem Computer landen, um dort möglicherweise Schaden anrichten zu können. Aber durch das Prüfen direkt bevor etwas auf euren Computern landet habt ihr einfach nochmal eine Sicherheitsschicht mehr, die bei USB-Sticks so schwer zu realisieren ist.
Wir setzten je nach Bedarf des Kunden auf zwei bewährte Cloud-Technologien, die wir speziell für Unternehmen absichern und betreuen:
- Microsoft 365 mit unserem Rundum-Service
- Vollständig verwaltet und abgesichert von uns
- Integration mit bestehenden IT-Systemen
- Automatische Backups & Schutz vor Datenverlust
- Erweiterte Sicherheitsfunktionen, um gezielte Angriffe zu verhindern
- NextCloud mit integriertem Virenschutz
- DSGVO-konforme Lösung, Bereitstellung auf Servern in Deutschland, direkt von uns verwaltet
- Volle Kontrolle über eigene Daten
- Automatischer Malware- und Virenscan für hochgeladene Dateien
- Perfekt für Unternehmen, die maximale Sicherheit & Individualisierung benötigen
In unserer Beratung stellen wir nicht nur sicher, dass die Unternehmen wirklich das bekommen, was am besten zu ihrem Arbeitsablauf und Anforderungen passt, sondern setzten genau das auch fix und fertig um. In einem einfachen Gespräch sagt uns ein Kunde z.B. „Ja okay, wir würden dann gerne auf USB-Sticks verzichten und das stattdessen gerne anders abwickeln“ – wir informieren den Kunden ohne Fachsprache kurz über die Möglichkeiten und die benötigte Investition und zwack, alles erledigt. Ohne dass der Kunde sich um irgendwas Weiteres kümmern muss. Wir sorgen dafür das die Cloud maximal abgesichert ist, vermeiden eine komplizierte Einrichtung für den Kunden und kümmern uns um alles – kein Wartungsaufwand für euch.
Was wären eigentlich weitere USB-Sticks alternativen zur Cloud, aber warum die Cloud trotzdem die beste ist?
Weitere Möglichkeiten Dateien und Dokumente ähnlich wie über einen USB-Stick auszutauschen wäre z.B. ein NAS oder interner Fileserver, hier besteht aber der Nachteil, dass dies nur innerhalb der Organisation möglich ist und externe Kunden und Lieferanten die statt über einen USB-Stick Daten mit eurer Firma in Daun teilen möchten trotzdem in der Lösung nicht bedacht sind. Theoretisch sind auch hochgradig abgesicherte und verschlüsselte externe Festplatten in Betracht zu ziehen, allerdings ist hier das Schutzlevel wieder nicht so hoch wie bei einer Cloud, da durch den physischen Kontakt zu z.B. Kundenrechner wieder unnötige Risiken trotz der möglicherweise professionellen Absicherung entstehen.
Wie verhindere ich denn nach dem Umstieg auf eine alternative nun, dass ich oder meine Mitarbeiter versehentlich USB-Sticks verwenden oder aber der böse Gast einfach einen Stick in meinen Computer stecken kann?
Dies geht entweder über spezielle Software, die entsprechend USB-Sticks grundsätzlich beim Einstecken vom Computer isoliert, also für den Nutzer unbrauchbar macht. Oder man verwendet eine kreative weitere Möglichkeit und klebt oder verbarrikadiert die USB-Ports am Computer, die nicht von z.B. einer Tastatur verwendet werden, einfach.
Am simpelsten ist es für unsere Kunden, die uns wie oben beschrieben, einfach einen Satz sagen und sich danach um nichts mehr kümmern müssen. Dort sperren wir einfach technisch die Verwendung der USB-Ports für USB-Sticks und ein versehentliches Verwenden ist ausgeschlossen.
Fazit: Ich hoffe wir haben nun klar gemacht, warum USB-Sticks in Firmenumgebunden in der Eifel nichts zu suchen haben und gleichzeitig klargestellt, dass wir jederzeit für ein kostenfreies erstes Gespräch offen sind um alle weiteren Fragen zu diesem oder anderen aktuellen IT-Anliegen zu beantworten. Wir sind spezialisiert auf Firmen die 5 bis 30 Computer / Handys in Ihren Firmen betreiben und sind daher der perfekte Ansprechpartner, wenn man sich nicht selbst mit komplizierten IT-Details befassen möchte – wir übernehmen das für euch.
