Viele IT-Administratoren fürchten USB-Sticks in ihrer Infrastruktur. Ein bekanntes Unternehmen der Wertpapierbranche zitiert sogar jeden Mitarbeiter, der ein solches Medium anzuschließen versucht, gleich in das Büro des Sicherheitsbeauftragten. Solche restriktiven Maßnahmen haben ihren Grund. So zeigen Erhebungen des Datenverschlüsselungs-Spezialisten Credant, dass zum Beispiel chemische Reinigungen oft eine unerwartet hohe Informationsdichte aufweisen. Dort wurden im Erhebungszeitraum etwa 9.000 vergessene USB-Sticks in Hosen- und Jackentaschen gefunden.

Vertrauliche Befragungen haben zudem ergeben, dass etwa 77 Prozent aller Mitarbeiter USB-Datenspeicher verwenden. Zwei Drittel der Befragten haben nach eigenen Angaben schon einmal einen USB-Stick verloren. In 60 Prozent der Fälle befanden sich darauf firmeninterne Informationen. In den meisten Fällen handelt es sich um wenig sicherheitsrelevante Daten, mit denen ein Unbefugter nicht viel anfangen kann. Aber dennoch weisen die Zahlen – auf die Gesamtzahl der Beschäftigten hochgerechnet – auf ein ernstes Sicherheitsproblem hin.

USB-Sticks haben nicht nur Nachteile
Argumente für den Einsatz von USB-Sticks zu finden ist da schon deutlich schwieriger. Dennoch sollten Sie als Administrator bedenken: In der Regel setzt der Mitarbeiter USB-Sticks ja nicht ein, um dem Unternehmen zu schaden – im Gegenteil. So mancher kreative Mitarbeiter nimmt Daten mit nach Hause oder auf Geschäftsreise, um auch außerhalb der Bürozeiten daran weiterzuarbeiten. Und wenn die Cloud-Computing-Applikation mangels Netzabdeckung nicht erreichbar ist, dann ist der Außendienst um sein Backup auf dem USB-Datenspeicher froh.

Wer USB-Sticks aus Sicherheitsgründen aussperrt, handelt sich dafür andere Risiken ein. Zum Beispiel durch Datenverlust oder Nichtverfügbarkeit. USB-Sticks sind nämlich weit zuverlässiger als manch anderes Endgerät. Die verbreiteten Notebooks haben eine jährliche Ausfallswahrscheinlichkeit von zwölf bis 25 Prozent, je nach Modell. Bei einem USB-Speicher liegt dieser Wert inzwischen bei verschwindend geringen 0,1 Prozent. Ein USB-Stick geht also – rein statistisch gesehen – einmal pro Jahrtausend kaputt.

Nicht zu vergessen ist der Faktor Mensch: Wer einen USB-Stick-Anwender gleich wie einen Schwerverbrecher behandelt, hemmt nicht nur dessen Produktivität, sondern zieht sich auch schnell den Unmut der Belegschaft zu. Ein brauchbares Sicherheits- und Administrationskonzept sollte sich nach den Mitarbeitern richten – und nicht umgekehrt.

USB-Sicherheitsprobleme sind durchaus lösbar
Probleme machen USB-Sticks heute vor allem aus zwei Gründen:
1 ) Sie werden außerhalb des gesicherten Firmengebäudes eingesetzt
2 ) Sie sind nicht in das Administrations- und Sicherheitskonzept eingebunden

Beiden Problemen lässt sich mit zeitgemäßer Hard- und Software begegnen. Datenlecks durch verloren gegangene oder gestohlene USB-Sticks lassen sich vermeiden, indem die gespeicherten Daten ausschließlich verschlüsselt abgelegt werden. Eine einfache Software-Verschlüsselung lässt sich aber in vielen Fällen einfach mit einem Brute-Force-Angriff knacken. Steht ausreichend Rechnerkapazität zur Verfügung, ist es oft nur eine Frage der Zeit, bis sich der Kryptographie-Algorithmus geschlagen geben muss – besonders wenn es sich um proprietäre Verfahren der Hersteller handelt. Diese haben sich auch schon bei RFID-Chips als anfällig erwiesen.

Deutlich sicherer sind die Daten auf einem USB-Stick mit integrierter Hardware-Verschlüsselung. Hier wird die gesamte Ver- und Entschlüsselung auf dem Stick selbst durchgeführt. IT-Verantwortliche sollten allerdings darauf achten, dass ein anerkannter und standardisierter Algorithmus zum Einsatz kommt, zum Beispiel AES mit 256 Bit-CBC-Zufallsschlüssel. Auf den AES-Schlüssel kann bei einem guten Stick nur der USB-Controller zugreifen. Wichtig, dass auch die Betriebs-Software auf dem Stick verschlüsselt gespeichert und damit gegen Auslesen und Manipulationen gesichert ist. Zu prüfen ist auch, ob die Kommunikation zwischen Host-Computer und Stick gesichert abläuft, zum Beispiel mit einem 1024 Bit-RSA Schlüssel. Dann können die Befehle vom USB-Controller verifiziert werden.

Auch gegen mechanische Angriffe zeigen sich gute Sicherheitssticks gewappnet. Alle sicherheitsrelevanten Teile sind vergossen und für Messspitzen nicht zugänglich. Mehr als 20 falsche Passwort-Eingaben quittiert zum Beispiel der SafeStick von ProSoft mit digitalem Selbstmord. Der intern gespeicherte Schlüssel wird zerstört, damit sind die gespeicherten Daten nutzlos, der Stick ist danach aber wieder nutzbar. Anwenderseitig führen diese Sicherungen kaum zu Einbußen beim Bedienungskomfort. Nach Eingabe des Passworts verhält sich der Hardware-verschlüsselte Stick genau wie jeder normale USB-Stick. Nur die automatische Sperrung bei längerer Inaktivität und eine Warnmeldung beim Herunterfahren des Systems weisen auf die besondere Hardware hin.


Bild 1: Eine Management-Konsole erlaubt das zentrale Verwalten von USB-Sticks

USB-Sticks müssen sinnvoll integriert sein
Datendiebstahl ist aber bei weitem nicht das einzige Problem beim Einsatz von USB-Sticks. Die externen Datenträger können per se nicht auf übliche Backup- oder Failover-Strukturen zurückgreifen. Wird das Passwort vergessen, ist oft auch die Arbeit von Tagen dahin. Zwar ließen sich alle Passwörter zentral speichern, aber eine solche Liste birgt natürlich auch ein enormes Risiko. Außerdem soll das private Passwort des Anwenders auch sein privates bleiben.

Geschätzte 800.000 USB-Sticks gehen pro Jahr verloren. Bei allen Daten auf nur einem Stick entstünde ein nicht akzeptabler Single Point of Failure. Ein einfaches Kopieren der Dateien auf den Rechner würde alle Sicherheitsanstrengungen ad Absurdum führen. Die beweglichen Datenspeicher bergen zudem die Gefahr von Dateninkonsistenzen. Den Versionsabgleich einfach dem Anwender zu überlassen, ist sicher keine gute Idee.

Zentrale Verwaltung sichert Verfügbarkeit und Datenkonsistenz
Eine gesicherte USB-Hardware schützt zwar vor den gefürchteten Datenlecks. Mindestens ebenso wichtig ist es allerdings, alle USB-Sticks konsequent in die zentrale Administration mit einzubeziehen. Gerade bei größeren und mittelständischen Unternehmen verkaufen Anbieter die Hardware-verschlüsselten USB-Sticks immer zusammen mit einer zentralen Administrations-Software. Eine wesentliche Anforderung an die USB-Verwaltungssoftware ist die automatische Datensicherung. Von geänderten Files müssen inkrementelle Backups gezogen werden. Geht einer der gesicherten USB-Sticks verloren, kann er jederzeit auf einem neuen Medium wiederhergestellt werden. Als praktisch hat sich dabei eine Integration ins Active Directory erwiesen. Diese ermöglicht unter anderem die automatische Personalisierung neuer Sticks nach Zertifikatprüfung.

Vergessene Passwörter müssen sich zentral zurücksetzen lassen. Der Anwender definiert dann selbst ein neues und kommt sofort wieder an seine Daten. Natürlich muss auch die Kommunikation zwischen Admin-Rechner und Controller auf dem Stick zu jedem Zeitpunkt verschlüsselt ablaufen. Denn gerade diese Operationen sind anfällig gegen Man-in-the-Middle-Angriffe. Die Aktualisierung von Programmen und Daten auf allen verschlüsseltem Sticks muss ebenfalls zentral möglich sein und auch dann funktionieren, wenn der Stick extern im Einsatz ist. So lassen sich zum Beispiel immer die neuesten Anti-Viren-Signaturen verteilen, Preislisten oder Kundeninformationen aktualisieren. Im Unternehmen muss die Verwaltungs-Software auch die USB-Ports überwachen und dafür sorgen, dass nur verschlüsselte USB-Sticks angeschlossen werden können.



dr/Robert Korherr, Marketingleiter bei ProSoft