USB-Stick gefunden? Warum er nie in den Firmenrechner gehört

Ein gefundener USB-Stick gehört niemals in einen Firmenrechner, auch nicht „nur kurz zum Nachsehen, wem er gehört". Geben Sie Fundstücke direkt an Ihre IT oder Ihren IT-Dienstleister und stecken Sie sie an keinem Gerät ein, auch nicht am privaten Notebook. Der Grund: Präparierte Sticks sind keine Datenträger, sondern getarnte Angriffswerkzeuge. Sie melden sich am Rechner als Tastatur an und tippen in Sekunden Befehle, die Schadsoftware installieren. Die US-Cybersicherheitsbehörde CISA empfiehlt deshalb ausdrücklich, fremde USB-Sticks nicht anzuschließen, sondern an die zuständige Stelle zu übergeben.

Warum ein fremder USB-Stick so gefährlich ist

Die Angriffstechnik heißt BadUSB. Dabei ist das Gerät so präpariert, dass es sich beim Anstecken nicht als Speicher meldet, sondern als Eingabegerät, also als Tastatur. Der Rechner vertraut Tastaturen grundsätzlich: Was eingetippt wird, wird ausgeführt. Ein präparierter Stick tippt vorbereitete Befehle schneller, als ein Mensch reagieren kann, öffnet etwa eine Kommandozeile und lädt Schadsoftware aus dem Internet nach. Ein Virenscanner, der nur Dateien auf Datenträgern prüft, sieht dabei zunächst nichts Auffälliges, denn es wird keine Datei kopiert, sondern getippt.

Auch die verbreitete Maßnahme, USB-Speicher per Richtlinie zu sperren, greift allein zu kurz: Gesperrt ist der Speicherzugriff, das präparierte Gerät meldet sich aber als Tastatur an.

Der Fall FIN7: Angriff per Paketpost

Dass solche Angriffe keine Theorie sind, zeigt eine Warnung des FBI vom Januar 2022, über die unter anderem heise online berichtete. Die Cybercrime-Gruppe FIN7 verschickte seit August 2021 Pakete mit präparierten USB-Sticks an US-Unternehmen aus der Transport-, Versicherungs- und Verteidigungsbranche. Die Sendungen kamen per Post- und Paketdienst und waren sorgfältig getarnt: mal als Brief des US-Gesundheitsministeriums mit Hinweisen zu Covid-19, mal als Geschenkbox im Amazon-Look mit gefälschtem Dankschreiben. Wer den beigelegten Stick ansteckte, startete unbemerkt die Installation einer Hintertür. Ziel der Gruppe war es, anschließend Ransomware wie BlackMatter oder REvil auszurollen und Lösegeld zu erpressen.

Die Masche lässt sich unmittelbar auf deutsche Unternehmen übertragen: als „Werbegeschenk" mit Logo, als angebliche Bewerbungsunterlagen auf einem Stick oder als Fundstück auf dem Parkplatz vor dem Firmengebäude.

Die Neugier ist messbar

Wie gut solche Köder funktionieren, haben Forscher von Google und den Universitäten Illinois und Michigan in einem 2016 veröffentlichten Feldversuch gezeigt. Sie verteilten 297 USB-Sticks auf einem Universitätsgelände. 98 Prozent der Sticks wurden mitgenommen, bei 45 Prozent öffnete jemand nachweislich eine Datei. Der erste Stick steckte nach weniger als sechs Minuten in einem Rechner. Bemerkenswert: Die meisten Finder gaben an, nur den Besitzer ermitteln zu wollen. Gute Absichten schützen also nicht, sie sind Teil des Angriffs.

So gehen Sie richtig mit Fundstücken um

Für den Einzelfall gilt: abgeben statt anstecken, auch zu Hause. Für das Unternehmen gilt: Regeln festlegen, bevor etwas passiert.

• Legen Sie fest, dass gefundene oder unaufgefordert zugesandte USB-Geräte immer bei der IT abgegeben werden, und benennen Sie die Anlaufstelle.
• Lassen Sie nur freigegebene, firmeneigene USB-Geräte zu. Eine moderne Endpoint Protection steuert per Gerätekontrolle, welche USB-Geräte an Firmenrechnern überhaupt funktionieren.
• Trennen Sie private und dienstliche Datenträger konsequent, eine Empfehlung, die auch die CISA ausspricht.
• Sensibilisieren Sie Ihr Team regelmäßig, denn der Angriff zielt nicht auf Technik, sondern auf Hilfsbereitschaft und Neugier.

Häufige Fragen

Auf dem Stick waren nur harmlose Dateien. Ist dann alles gut?

Nein. Ob ein Stick gefährlich ist, sieht man weder ihm noch seinen Dateien an. Die Manipulation steckt in der Elektronik beziehungsweise Firmware, nicht in den sichtbaren Daten. Auch andere USB-Geräte wie Kabel oder Ladeadapter lassen sich entsprechend präparieren. Bewerten kann das nur eine Fachkraft in einer isolierten Testumgebung.

Wir haben USB-Speicher zentral gesperrt. Reicht das?

Die Sperre von USB-Massenspeichern ist sinnvoll, stoppt BadUSB-Angriffe aber nicht, weil sich präparierte Geräte als Tastatur ausgeben. Ergänzen Sie die Sperre um eine Gerätekontrolle, die unbekannte Geräteklassen blockiert oder zur Freigabe vorlegt, und um klare Verhaltensregeln für Fundstücke und unerwartete Postsendungen.

Ein Mitarbeiter hat einen fremden Stick bereits eingesteckt. Was jetzt?

Trennen Sie den Rechner sofort vom Netzwerk, also LAN-Kabel ziehen und WLAN deaktivieren, und arbeiten Sie an dem Gerät nicht weiter. Informieren Sie umgehend Ihre IT oder Ihren Dienstleister, damit das Gerät geprüft und der Vorfall bewertet wird. Wie Sie sich auf solche Situationen vorbereiten, beschreibt unsere Seite zum IT-Notfall.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH betreut kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit in allen Fragen der IT-Sicherheit. Wir richten Endpoint Protection mit Gerätekontrolle auf Ihren Firmenrechnern ein, definieren mit Ihnen praxistaugliche Regeln für USB-Geräte und machen Ihr Team im Awareness-Training mit genau solchen Angriffen vertraut. Kurze Wege, direkter Ansprechpartner.

Quellen

• heise online: FBI-Warnung: FIN7-Bande verschickt USB-Sticks mit Ransomware
• CISA: Using Caution with USB Drives
• Studie „Users Really Do Plug in USB Drives They Find" (Google, University of Illinois, University of Michigan, 2016)