USB-Speicher: Die Gefahr in den eigenen Räumen (Windows)

Administratoren sind bemüht das Unternehmen durch intelligente Firewalls vor Angriffen von außen zu schützen. Ergänzend werden Filter in den Mailserver gebaut und die Clients sollen durch Antivirensoftware geschützt werden.

Aber wie soll man sich vor Angriffen aus dem eigenen Unternehmen schützen? Schon ein 1GB-USB-Stick könnte genügen um die komplette digitale Welt eines kleinen Unternehmens zu speichern. Innerhalb von Minuten könnte so ein eigener Mitarbeiter die Daten des ganzen Unternehmens auf einen USB-Stick kopieren. Auf der anderen Seite könnte ein USB-Stick auch ungewollt Viren oder Trojaner in das eigene Unternehmen einschleusen.

Microsoft macht es sich hier ein bisschen einfach. Als Administrator soll man einfach selbst entscheiden, welcher Benutzer einen USB-Stick nutzen kann und welcher Benutzer das eben nicht darf. Im Normalfall erlaubt Windows aber erst einmal jedem Benutzer die Nutzung eines USB-Sticks. In dem Artikel 823732 der Wissensdatenbank von Microsoft wird so beschrieben, wie man auf einem einzelnen Rechner die Nutzung von USB-Speichern untersagt. Dafür sollte es doch aber eigentlich die Gruppenrichtlinien geben, oder?

Über die Gruppenrichtlinien ließe sich nun über die ADM-Vorlage in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor\Start der Wert auf 4 (disable) stellen. Das schaltet die USB-Speicher-Unterstützung ab. Aber nur, wenn das System auch schon einen USB-Speicher-Treiber installiert hat. Wird an einem System das erste Mal ein Stick installiert, überschreibt die Treiberinstallation den Wert automatisch auf 3 (manual) und der Stick kann genutzt werden.

Kombiniert man beide Lösungsansätze, so kommt man näher an das Ziel. Als erstes sollte man so den Zugriff auf die Dateien "USBSTOR.INF" und "USBSTORE.PNF" beschränken, so dass das System diesen Treiben nicht über Plug and Play installieren kann.

Als nächstes führt man die Schritte aus der Microsoft Wissensdatenbank Artikel 823732 aus und der USB-Stick ist für die Zukunft verbannt.

Die Benutzer, die USB-Sticks nutzen können, müssen nun aber leider manuell den Dienst starten. "net start usbstor" muss gestartet werden, bevor ein USB-Stick eingesteckt wird. "net stop usbstor" deaktiviert den Dienst entsprechend.