USB-Sticks – Kleine Freibeuter auf Daten-Kaperfahrt

Dunkle IT. Bild: Brandon Daniel – flickr Lizenz: CC by-nc-sa 2.0

Unternehmen – auch Verlage – stellen oft höchste Anforderungen an die Sicherheit ihrer IT und ihrer Daten. Eine der Hauptursachen für Datenverlust, Spionage und Cyberangriffe bleibt dabei oft unberücksichtigt: Die USB-Sticks der Mitarbeiter.

Unternehmensdaten auf Reise ins Ungewisse

Der USB-Stick. Kleiner billiger Problemlöser für so manches Anwender-Wehwehchen. Nicht besonders gern gesehen von IT-Gewaltigen, vielleicht missbilligt in irgendwelchen Betriebsvereinbarungen, in Wirklichkeit aber massiv eingesetzt und ebenso massiv missbraucht. „Bring Your Own Device“ auf niedrigstem Niveau und meist unter dem Radar der Security-Verantwortlichen. Und allzu oft bewusst eingeschleust in Betriebe mit dem Ziel, auszuspähen und wichtige Daten zu entwenden.

Obwohl Cloudanwendungen und mobile Endgeräte den IT-Alltag dominieren, ist der USB-Stick immer noch ein treuer Begleiter im Berufsleben – gerade in Unternehmen, wo die Cloud-Skepsis überwiegt. Das Bewusstsein, dass die ungesicherten Speicher ein Sicherheitsrisiko darstellen können, ist gering. Speicherhersteller Kingston hat die Gewohnheiten im Umgang mit USB-Sticks bei Mitarbeitern und in IT-Abteilungen untersucht. Eine Befragung in den Firmen ergab, dass mehr als die Hälfte der Unternehmen Daten auf USB-Flashspeichern nur unzureichend sichern. Dabei gehen die Winzlinge häufig verloren, und mit ihnen gehen die darauf gespeicherten Daten auf Reisen ins Ungewisse, wenn sie nicht verschlüsselt sind.

Mehr Themen rund um das Thema Digitalisierung finden Sie im IT-Channel von buchreport, knk und Rhenus Media

Die USB-Inflation

USB-Sticks sind allgegenwärtig und werden einem auf fast jedem Kongress nachgeworfen, als Werbegeschenk, als Präsentationsmedium. Fast alle Befragten der Kingston-Studie hatten entsprechend mindestens einen USB-Sticks beruflich im Einsatz. Und ein Drittel der Befragten nutzt sogar mehr als 5 USB-Sticks. Oder nutzt sie nicht, weil sie längst den Überblick verloren haben, was sie auf welchem Stick gespeichert haben. So werden sie in Schreibtisch-Schubladen vergessen oder »mal eben« einem Kollegen geliehen, der dringend einen braucht und dann vergisst, von wem er ihn eigentlich hatte und welche Daten, von ihm übersehen, noch darauf liegen.

Unterschätztes Sicherheitsrisiko

Die meisten Mitarbeiter trennen nicht klar zwischen privaten und beruflichen Geräten. 58 Prozent der Befragten nutzen ihre privaten USB-Sticks auch für berufliche Zwecke und umgekehrt. Genau diese Vermischung stellt ein besonders hohes Risiko für die Datensicherheit dar. Über ein Viertel der Befragten gab an, dass in ihrem Unternehmen auch vertrauliche oder schützenswerte Daten auf USB-Sticks gespeichert werden.

Wenn es um USB-Sticks geht, scheint vielen Entscheidern und Mitarbeitern nicht bewusst zu sein, welcher Gefahr ihre Daten ausgesetzt sind. Nur gut die Hälfte der befragten Mitarbeiter schützt ihre USB-Sticks bereits vor Diebstahl und bewahrt die Geräte an einem sicheren Ort auf. Dabei gaben fast drei Viertel der befragten Mitarbeiter (73%) an, dass in ihrem Unternehmen schon einmal USB-Sticks nicht mehr auffindbar waren. Was mit diesen Geräten geschehen ist, ist oftmals nicht klar:

• 57% der Mitarbeiter wissen nicht, was mit den verschwundenen USB-Sticks passiert ist.
• 39% erinnern sich noch, dass sie einen USB-Stick verloren haben.
• Einen Vorsatz vermuten hingegen nur die wenigsten: Nicht einmal 4% nannten Diebstahl als wahrscheinlichsten Grund für das Verschwinden der USB-Sticks. Statt dessen gefährdet vor allem menschliches Versagen die Sicherheit persönlicher und beruflicher Daten.

Der USB-Stick, der gestern noch nicht da war

Soweit die menschliche Fahrlässigkeit und ihre Folgen. Aber die Tricks, die Datendiebe oder sonstige Cyberangreifer anwenden, sind Legion – und auch dabei spielen USB-Sticks eine tragende Rolle.

• Beispiel: der Toilettentrick. Ein Angreifer verschafft sich Zutritt zur Toilette im Empfangsbereich und deponiert dort einen verseuchten USB-Stick. Ein Unternehmens-Mitarbeiter „entdeckt“ ihn dort und steckt ihn aus Hilfsbereitschaft oder bloßer Neugier ein – natürlich in einen Rechner des Betriebs.
• Beispiel: der eine Nummer dreistere Putzfrauentrick. Opfer ist ein Mitarbeiter, der nach Feierabend länger am Schreibtisch sitzt. Der Angreifer gibt sich als Gebäudereiniger aus und mimt Verzweiflung, denn er habe an einem anderen Arbeitsplatz beim Putzen einen störenden USB-Stick entfernt und versehentlich eingesteckt. Nun fürchte er Ärger und wolle den Stick an dessen alten Ort zurückstecken. Der Mitarbeiter lässt sich täuschen – da will ja jemand was zurückbringen, nichts wegnehmen –, eskortiert den vermeintlichen Raumpfleger in das fragliche Büro – und schon ist der kleine Datendieb bereit für seinen „Arbeitseinsatz“.

„In vielen Unternehmen ist nur ein geringes Bewusstsein für den sorgsamen Umgang mit USB-Flashspeichern vorhanden. Sie müssen Sicherheitsrichtlinien für die ordnungsgemäße Verwendung mobiler Speicher implementieren, bevor es zu einem Datenleck kommen kann“, sagt dazu Kingstons Regional Director DACH, Christian Marhöfer. „Neben dem Einsatz entsprechender Technologie ist auch entscheidend, Mitarbeiter dafür zu sensibilisieren, USB-Sticks mit der angemessenen Sorgfalt zu verwenden.“

Menschlichen Fehlern technisch begegnen

Sensible Daten können aber auch dann geschützt werden, wenn USB-Sticks etwa durch Unachtsamkeit verloren gehen. Zu diesen Schutzvorkehrungen zählen verschlüsselte USB-Lösungen. Viele Unternehmen könnten hier nachrüsten. Nur 20% nutzen hardwarebasierte Verschlüsselung. Softwarebasierte Verschlüsselung setzen auch nur etwa drei von zehn Betrieben ein. Diese Ergebnisse geben vor allem vor dem Hintergrund zu denken, dass mehr als die Hälfte der Befragten in ihrem Unternehmen für IT-Entscheidungen verantwortlich sind. IT-Entscheider, empfiehlt Marhöfer, sollten sich der Gefahr ungesicherter USB-Flashspeicher besonders bewusst sein und Maßnahmen ergreifen, um diese Sicherheitslücke zu schließen:

„IT-Verantwortliche benötigen effektive Technologien, um Datenverlust oder den unbefugten Zugriff auf Daten zu verhindern. Gleichzeitig dürfen diese Lösungen die Mobilität und Produktivität der Mitarbeiter nicht beeinträchtigen. Unternehmen sollten Mitarbeiter mit USB-Sticks mit Passwortschutz ausstatten, um den zur Verfügung stehenden Speicher vollständig zu verschlüsseln.“ USB-Sticks mit Hardwareverschlüsselung können einfach mit einem Passwort gesichert, die Verwendung von mit Passwort gesicherten USB-Sticks für berufliche Zwecke vorgeschrieben werden.

Technologie allein reicht aber noch nicht aus, findet Marhofer. Die Mitarbeiter müssen für das Thema sensibilisiert werden.

High-End-Lösung zentrale USB-Verwaltung

Eine komplett sichere USB-Lösung kann außerdem eine Verwaltungsplattform enthalten, die dem Unternehmen das Management der verschlüsselten USB-Sticks erleichtert. Damit kann etwa der Einsatz spezifischer USB-Sticks vorgeschrieben werden und Sicherheitsrichtlinien können automatisch auf alle im Unternehmen eingesetzten USB-Sticks angewandt werden. Außerdem ist das Zurücksetzen von Passwörtern oder eine Fernlöschung von Daten bei Geräteverlust möglich.