Der Nutzen von USB-Sticks liegt auf der Hand: Sie ermöglichen einen einfachen und bequemen Austausch sowie Transport von Daten und stehen dabei auch recht preiswert zur Verfügung. Bei vielen Mitarbeitenden erfreuen sich externe Speichermedien deshalb nicht nur im privaten, sondern auch im beruflichen Alltag großer Beliebtheit. Wird ein USB-Gerät an einem Firmengerät verwendet, können dadurch allerdings auch unbekannte Elemente in das Firmennetzwerk eindringen. Dieser Faktor macht USB-Speicher zu einem beliebten Angriffswerkzeug für Cyberkriminelle.
Wie sich Kriminelle über USB-Sticks Zugang zu Ihrem Firmennetzwerk verschaffen
Beim Anschließen gibt ein USB-Gerät verschiedene Informationen weiter – darunter beispielsweise um welchen Gerätetyp es sich handelt (z.B. einen Stick, eine Tastatur oder ein Smartphone). Da der USB-Standard allerdings sehr alt ist und damals vor allem die Kompatibilität im Fokus stand, wurde die Sicherheit eher stiefmütterlich behandelt. Somit muss der Computer dem USB-Gerät glauben, dass es auch das ist, was es vorgibt zu sein.
Angreifer haben dadurch die Möglichkeit, einen USB-Stick so zu präparieren, dass sich dieser beispielsweise als Tastatur ausgibt. Auf dem Stick sind dann gewisse Tastenkombinationen oder Skripte gespeichert, die nach dem Einstecken automatisch ausgeführt werden und Schadsoftware auf dem Gerät installieren. Da eine Tastatur in der Regel nicht als bösartig eingestuft wird, hegt der Computer in diesem Fall keinen Verdacht. Schließt nun ein Mitarbeiter oder eine Mitarbeiterin einen solchen USB-Stick am PC an, dann können Angreifer zum Beispiel auf Benutzerdaten zugreifen, diese kopieren oder sich Zugang zu deren Tastatur und Bildschirm verschaffen.
USB-Laufwerke können dabei auch als Überträger für andere Arten von Malware fungieren. Dazu gehören beispielsweise die Sabotage von Produktionsanlagen oder die Installation von Schadprogrammen, die zur Spionage oder zur Verschlüsselung von Daten gegen Lösegeld verwendet werden können. Aufgrund der damit verbundenen finanziellen Schäden kann ein einziger infizierter USB-Stick so, insbesondere für kleine und mittlere Unternehmen, zu einer ernsten Existenzbedrohung werden.
USB-Sticks – eine Herausforderung für die IT-Sicherheit Ihres Unternehmens
Dass USB-Sticks eine gute Angriffsfläche für Cyberkriminelle bieten, wurde bereits 2016 im Rahmen einer Studie festgestellt. Damals verteilten Forschende der Universität von Illinois, Michigan und Google 297 USB-Sticks als Köder auf ihrem Campus. Insgesamt 98 Prozent der ausgelegten Speichergeräte wurden dabei von Passanten mitgenommen. Mindestens 45% von ihnen wurden wiederum an einen Computer angeschlossen und die von den Forschenden darauf platzierten Daten geöffnet. Lediglich 13 % der Personen, die zustimmten, die Fragen der Forschenden zu beantworten, gaben an, dass sie „besondere Vorsichtsmaßnahmen ergriffen, bevor sie den USB-Stick öffneten". Dagegen erklärten 68 % der Betroffenen, dass sie den Stick öffneten „ohne misstrauisch gegenüber dem Inhalt der Sticks zu sein". Den Ergebnissen der Studie zufolge stellen mit Malware infizierte Sticks also einen durchaus denkbaren Weg dar, um Computer mit Viren “anzustecken” und Daten abzugreifen.
US-Hackerbande nutzt USB-Sticks für Cyberattacken
Zwar ist seit der Durchführung dieser Studie schon einige Zeit vergangen, jüngste Ereignisse zeigen allerdings, dass USB-Sticks auch heute noch ein beliebtes Angriffswerkzeug für Cyberkriminelle darstellen. Vor kurzem veröffentlichte das FBI eine neue Sicherheitswarnung, da sich immer mehr US-Konzerne mit Cyberangriffen über USB-Sticks konfrontiert sahen. So verschickte eine innerhalb der USA bekannte Cybercrime-Gang in den vergangenen Monaten als Amazon-Geschenkbox oder als von einer offiziellen Behörde stammende Covid-19-Leitlinien getarnte USB-Sticks. Sobald ein Mitarbeiter/eine Mitarbeiterin das Speichermedium am Firmenrechner anschloss, wurde das darauf installierte Angriffsskript ausgeführt und das gesamte Firmennetzwerk mit einer Malware infiziert. In der Regel folgten daraufhin weiterführende IT-Angriffe und Online-Erpressungen, die bei den betroffenen Unternehmen hohe finanzielle Schäden verursachten.
Aber auch bei Unternehmen aus NRW finden sich häufig USB- Sticks im Briefkasten, die eine Neugier auf den Inhalt wecken sollen in der Hoffnung, so auf die Systeme des Unternehmens Zugriff zu erhalten. Es handelt sich also um eine real existierende Gefahr, die nicht unterschätzt werden sollte. Dazu gehören unter anderem USB-Sticks von Besuchern, auf denen sich vermeintliche Dokumente befinden, die es auszudrucken gilt, bei denen es sich in Wahrheit jedoch um einen Angriffsversuch handelte.
Wegen der Sicherheitsrisiken entschließen sich mittlerweile einige Firmen dazu, die Nutzung von fremden USB-Sticks zu verbieten bzw. die USB-Schnittstellen an ihren Firmengeräten zu deaktivieren. In vielen Unternehmen ist die Nutzung von USB-Geräten allerdings fester Bestandteil der Betriebsabläufe, sodass ein generelles Deaktivieren der Schnittstelle wenig sinnvoll erscheint. Doch auch in diesem Fall gibt es einige Maßnahmen, die Sie beachten können, damit USB-Geräte kein Einfallstor für Cyberkriminelle darstellen.
USB-Sticks in Unternehmen: Das sollten Sie beachten
- Nutzung von hardwareverschlüsselten USB-Speichern:
Statt ein generelles Verbot von USB-Sticks in Ihrem Unternehmen einzuführen, sollten Sie Ihren Mitarbeitenden nur den Anschluss von USB-Geräten erlauben, die über eine freigegebene Hardware-ID verfügen oder – sofern vorhanden – von Ihrem internen Sicherheitsteam überprüft worden sind. - Zentrales USB-Device Management:
Eine weitere Sicherheitsmaßnahme, die Sie treffen können, stellt ein zentralisiertes USB-Device-Management dar, mit dem Sie dem Verlust, dem Diebstahl sowie der Manipulation von Daten vorbeugen. Probleme kann es für Unternehmen nämlich nicht nur bei fremden USB-Sticks geben, sondern auch, wenn die Speichermedien mit den darauf gespeicherten sensiblen Unternehmensdaten verloren gehen und in die falschen Hände gelangen. Für einen solchen Fall hat die IT beispielsweise die Möglichkeit, für jeden USB-Speicher ein verschlüsseltes Backup einzurichten und die Sticks mit Hilfe eines Passworts vor dem Öffnen von Fremden zu sichern. Außerdem kann eine Anti-Viren-Software genutzt werden, um eingesteckte USB-Geräte auf schadhafte Dateien zu prüfen, bevor Mitarbeitende darauf befindliche Dateien öffnen. Dadurch kann verhindert werden, dass Schadprogramme auf Ihre Geräte gelangen. Diese Scans der USB-Geräte können entweder automatisch bei jedem Einstecken eines Geräts durchgeführt oder manuell durch Mitarbeitende angestoßen werden. - Sensibilisierung von Mitarbeitenden:
Noch wichtiger als die zuvor genannten technischen Maßnahmen, sind allerdings die organisatorischen: Infizierte Speichermedien sind von außen nicht zu erkennen. Egal, ob sie auf einer Konferenz verschenkt oder an einem öffentlichen Ort gefunden wurden: Jeder unbekannte USB-Stick ist ein mögliches Sicherheitsrisiko, auf das Sie Ihre Mitarbeitenden aufmerksam machen sollten, denn der wichtigste Faktor für die Sicherheit Ihres Unternehmens bleibt der Faktor Mensch. Das gilt übrigens nicht nur für USB-Sticks, sondern auch für andere Arten von Cyberangriffen wie beispielsweise Phishing-Mails oder die Sicherheit von Passwörtern innerhalb Ihrer Firma. Je größer das Bewusstsein Ihrer Mitarbeitenden in Sachen Cybersicherheit ist, desto schwerer haben es Angreifer auch, in Ihr IT-Netzwerk einzudringen. Sensibilisieren Sie Ihre Mitarbeitenden daher regelmäßig für die potenziellen Gefahren in Sachen Digitaler Sicherheit.
Fazit: USB-Sticks bleiben ein Cybersicherheitsrisiko für Unternehmen
Angriffe über USB-Geräte gehören nach wie vor zur Realität und können insbesondere kleine und mittlere Unternehmen schwer treffen. Zwar gibt es einige technische Maßnahmen, mit denen sie einem Angriff vorbeugen können, dennoch bleiben Ihre Angestellten ein wichtiger Faktor. So kann ein auf dem Firmengelände „verlorener“ (in Wirklichkeit von einem Angreifer platzierter) USB-Stick schnell dafür sorgen, dass sich Cyberkriminelle Zugang zu ihrem Firmennetzwerk verschaffen können. Was auf den ersten Blick zunächst ein wenig zu simpel klingen mag, wird durch gezielte Tricks allerdings zu einem durchaus möglichen Szenario. Angreifer nutzen dabei insbesondere menschliche Schwächen (z.B. Neugier oder Gier) aus. Und auch die Hilfsbereitschaft verleitet Betroffene beispielsweise dazu, den Stick anzuschließen, um Informationen über den Eigentümer zu finden, damit dieser zurückgegeben werden kann. Deshalb ist es wichtig, Mitarbeitende regelmäßig über die Risiken aufzuklären und innerhalb Ihres Unternehmens verbindliche Regelungen für den Umgang mit USB-Sticks zu schaffen.
Zusammenfassung – die wichtigsten Punkte im Überblick:
- USB-Speicher stellen auch heute noch ein beliebtes Angriffswerkzeug für Cyberkriminelle dar.
- Schließt ein Mitarbeiter oder eine Mitarbeiterin einen solchen USB-Stick am PC an, dann können Angreifer zum Beispiel auf Benutzerdaten zugreifen, diese kopieren und sich Zugang zum gesamten Firmennetzwerk verschaffen.
- USB-Laufwerke können auch als Überträger für andere Arten von Malware fungieren, durch die ganze Produktionsanlagen lahmgelegt werden.
- Ein einziger erfolgreicher Angriff kann insbesondere für kleine und mittlere Unternehmen zu einer ernsten Existenzbedrohung werden.
- Nutzen Sie daher in Ihrem Unternehmen ausschließlich hardwareverschlüsselte USB-Speicher.
- Führen Sie ein zentrales USB-Device-Management ein, mit dem Sie dem Verlust, dem Diebstahl sowie der Manipulation von Daten in Ihrer Firma vorbeugen.
- Sensibilisieren Sie Ihre Mitarbeitenden für die potenziellen Risiken von fremden USB-Geräten.
