{"id":400,"date":"2026-08-03T11:16:30","date_gmt":"2026-08-03T09:16:30","guid":{"rendered":"https:\/\/ttz-wue.fiw.thws.de\/blog\/?p=400"},"modified":"2026-08-03T11:44:03","modified_gmt":"2026-08-03T09:44:03","slug":"usb-geraete-sicher-nutzen-ein-dezentraler-loesungsansatz","status":"publish","type":"post","link":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/2026\/08\/03\/usb-geraete-sicher-nutzen-ein-dezentraler-loesungsansatz\/","title":{"rendered":"USB-Ger\u00e4te sicher nutzen – Ein dezentraler L\u00f6sungsansatz"},"content":{"rendered":"\n

Auch heute sind USB-Ger\u00e4te f\u00fcr Unternehmen noch immer ein Sicherheitsrisiko. Ein fremder Stick kann Schadsoftware einschleusen oder sensible Daten unbemerkt aus dem Unternehmen tragen. Besonders t\u00fcckisch ist BadUSB: Ein \u00e4u\u00dferlich normaler USB-Stick kann sich zus\u00e4tzlich als Tastatur tarnen. Ger\u00e4te wie der Rubber Ducky senden dann innerhalb weniger Sekunden vorbereitete Tasteneingaben, \u00f6ffnen Befehlszeilen, ver\u00e4ndern Systemeinstellungen oder laden Schadsoftware nach, ohne dass eine Datei vom Stick gestartet werden muss.<\/p>\n\n\n\n

Enterprise-L\u00f6sungen k\u00f6nnen zwar Ger\u00e4te zentral per Whitelist kontrollieren, setzen jedoch meist eine zentrale Serverinfrastruktur, aufwendige Einrichtung und Betriebsaufwand voraus. F\u00fcr kleine und mittelst\u00e4ndische Unternehmen mit begrenzten Kapazit\u00e4ten fehlt damit bislang ein schlanker dezentraler Ansatz zur Reduzierung der Risiken im Hinblick auf USB.<\/p>\n\n\n\n

Meine Bachelorarbeit an der THWS unter Betreuung von Prof. Dr.-Ing. Sebastian Biedermann setzt genau hier an. Entstanden ist ein kompakter Windows-Prototyp, der Speichermedien lokal autorisiert, ohne dauerhaft erreichbare zentrale Infrastruktur arbeitet und f\u00fcr Administratoren \u00fcbersichtlich bleibt. Zus\u00e4tzlich adressiert der Prototyp weitere Bedrohungsszenarien wie beispielsweise BadUSB.<\/p>\n\n\n\n

Die Grundidee: Die Freigabe reist einfach mit<\/h2>\n\n\n\n

Die Grundidee ist einfach: Jeder freigegebene Stick bekommt eine kleine Freigabedatei mit auf den Weg, einen digitalen Ausweis, der sagt: dieser Stick ist erlaubt. Der Rechner muss dann keine zentrale Datenbank fragen, sondern liest den Nachweis direkt vom Stick. Ausgestellt wird die Freigabe lokal an einem beliebigen Rechner mit Administratorrechten \u00fcber ein Admin-Tool:<\/p>\n\n\n\n

\"\"
Ein Admin Tool erm\u00f6glicht das Ausstellen von Freigaben f\u00fcr erlaubte USB-Speichermedien sowie weitere Funktionen<\/em><\/figcaption><\/figure>\n\n\n
\n
\"\"
Freigaben erstellen unter Angabe von G\u00fcltigkeitsdauer und Zusatzfunktionen<\/figcaption><\/figure>\n<\/div>\n\n\n

Eine Freigabedatei allein lie\u00dfe sich allerdings kopieren und auf einen zweiten Stick \u00fcbertragen. Deshalb bindet der Prototyp jede Freigabe an konkrete Ger\u00e4temerkmale: Seriennummer, Vendor-ID, Product-ID und Kapazit\u00e4t. Beim Anschlie\u00dfen liest der Endpoint diese Merkmale direkt aus und gleicht sie mit den Angaben in der Freigabedatei ab. Stimmen die Werte nicht \u00fcberein, etwa weil die Datei auf einen anderen USB-Stick kopiert wurde, verweigert das System die Freigabe.<\/p>\n\n\n\n

Damit die hinterlegten Merkmale nicht nachtr\u00e4glich ver\u00e4ndert werden k\u00f6nnen, wird die Freigabedatei digital signiert. Jeder Rechner verf\u00fcgt \u00fcber ein eigenes Schl\u00fcsselpaar und signiert die Freigabeinformationen bei der Ausstellung mit seinem privaten Schl\u00fcssel. Da die Signatur insbesondere die Ger\u00e4temerkmale umfasst, wird jede sp\u00e4tere \u00c4nderung erkannt und die Freigabe dadurch ung\u00fcltig.<\/p>\n\n\n\n

Sobald mehrere Rechner im internen Netz miteinander verbunden sind, tauschen sie ihre \u00f6ffentlichen Schl\u00fcssel automatisch aus. Bei der Pr\u00fcfung verwendet der Endpoint den \u00f6ffentlichen Schl\u00fcssel des ausstellenden Rechners, um die Signatur der Freigabedatei zu verifizieren. Wurde ihr Inhalt nachtr\u00e4glich ver\u00e4ndert, schl\u00e4gt die Pr\u00fcfung fehl und das System weist die manipulierte Freigabe zur\u00fcck.<\/p>\n\n\n

\n
\"\"<\/figure>\n<\/div>\n\n
\n
\"\"
Per Benachrichtigungen wird der User \u00fcber den Fortschritt bei der Pr\u00fcfung informiert<\/figcaption><\/figure>\n<\/div>\n\n\n

Manipulierbare Seriennummern: Timing-Fingerprint als zus\u00e4tzliche Pr\u00fcfung<\/h2>\n\n\n\n

Eine Grenze bleibt: Die statischen Ger\u00e4temerkmale meldet der Stick selbst, sie lassen sich also f\u00e4lschen. Ein nachgebildetes Ger\u00e4t mit derselben Seriennummer k\u00f6nnte die reine Merkmalspr\u00fcfung umgehen. Deshalb erg\u00e4nzt der Prototyp einen Timing-Fingerprint. <\/p>\n\n\n\n

Er misst, wie lange der Stick f\u00fcr eine festgelegte Anzahl an Schreibvorg\u00e4ngen braucht, und erfasst so dessen charakteristisches Schreibverhalten. Damit greift das System softwareseitig den Grundgedanken einer Physical Unclonable Function (PUF) auf: Hardware anhand physikalischer Eigenschaften erkennen, die sich nur mit hohem Aufwand reproduzieren lassen. <\/p>\n\n\n\n

Der Wert wird signiert in der Freigabedatei hinterlegt und beim n\u00e4chsten Anschlie\u00dfen erneut gemessen und abgeglichen. Da das Schreibverhalten physikalisch nicht bei jeder Messung exakt gleich ausf\u00e4llt, wird dabei nicht auf exakte \u00dcbereinstimmung gepr\u00fcft, sondern ein Toleranzbereich zugelassen: Erst wenn die Abweichung ein definiertes Distanzlimit \u00fcberschreitet, gilt der Stick als nicht mehr derselbe.<\/p>\n\n\n\n

Eine Auswertung mit zw\u00f6lf Sticks auf drei Rechnern zeigt, dass sich verschiedene Modelle und Modellfamilien gr\u00f6\u00dftenteils unterscheiden lassen und auch host\u00fcbergreifend relativ stabil sind. Dennoch beeinflussen Faktoren wie der USB-Bus oder die Systemauslastung das Ergebnis. Baugleiche Ger\u00e4te (siehe Kingston-Sticks K1 bis K6) bleiben jedoch ein Grenzfall, weil ihr Schreibverhalten untereinander fast identisch ist. Der Timing-Fingerprint ist daher kein alleiniger Identit\u00e4tsnachweis, erh\u00f6ht aber den Aufwand f\u00fcr eine Nachahmung.<\/p>\n\n\n

\n
\"\"<\/figure>\n<\/div>\n\n\n

Was, wenn ein bereits freigegebener Stick nachtr\u00e4glich infiziert wird?<\/strong><\/h2>\n\n\n\n

Ein freigegebener Stick k\u00f6nnte trotz g\u00fcltiger Freigabe zum Risiko werden: mit nach Hause nehmen, am privaten Rechner Schadsoftware einfangen, zur\u00fcck ins Unternehmen bringen. Ger\u00e4temerkmale und Signatur stimmen weiterhin, die Pr\u00fcfung w\u00fcrde die Freigabe akzeptieren.<\/p>\n\n\n\n

Hier setzt eine optionale Verschl\u00fcsselung mit BitLocker To Go an. Sie kann bereits bei der Ausstellung der Freigabe aktiviert werden. Die Datenpartition l\u00e4sst sich anschlie\u00dfend nur auf Rechnern entschl\u00fcsseln und nutzen, auf denen die Software installiert ist. Der zugeh\u00f6rige Schl\u00fcssel wird durch die L\u00f6sung verwaltet und zwischen den Rechnern synchronisiert. An einem privaten Rechner bleibt die Datenpartition unzug\u00e4nglich, da dort der erforderliche Schl\u00fcssel fehlt. Dadurch wird auch das Risiko einer externen Infektion deutlich reduziert. Zugleich begrenzt die Verschl\u00fcsselung das Risiko des Datenabflusses und des Datenverlusts etwa wenn ein Stick verloren geht.<\/p>\n\n\n\n

BadUSB-Schutz direkt am Endpoint<\/h2>\n\n\n\n

BadUSB-Angriffe lassen sich nicht \u00fcber eine Freigabedatei stoppen, denn das Ger\u00e4t bringt kein Dateisystem mit, sondern gibt sich als Tastatur aus. Statt die Identit\u00e4t des Ger\u00e4ts zu pr\u00fcfen, setzt der Prototyp an einem Punkt an, den ein Angreifer kaum kopieren kann: dem Nachweis, dass wirklich ein Mensch an der Tastatur sitzt.<\/p>\n\n\n\n

Meldet sich eine neue, unbekannte Tastatur an, bleibt sie zun\u00e4chst gesperrt. Auf dem Bildschirm erscheint eine zuf\u00e4llige vierstellige PIN, die \u00fcber genau diese Tastatur eingegeben werden muss. Ein Mensch liest den Code ab und tippt ihn ein. Ein automatisiertes Angriffsger\u00e4t wie der Rubber Ducky kennt den erst im Moment erzeugten Code nicht und scheitert. Nach f\u00fcnf Fehlversuchen wird die Tastatur dauerhaft blockiert.<\/p>\n\n\n

\n
\"\"
Der angezeigte Code muss \u00fcber die neu angeschlossene Tastatur best\u00e4tigt werden.<\/figcaption><\/figure>\n<\/div>\n\n\n

Technische Umsetzung<\/h2>\n\n\n\n

Der Prototyp wurde f\u00fcr Windows entwickelt. Die Administrationsanwendung und der Hintergrunddienst sind \u00fcberwiegend in Python umgesetzt. F\u00fcr die eigentliche Durchsetzung sorgen zwei in C entwickelte Filtertreiber im Windows-Kernel.<\/p>\n\n\n\n

Der erste Treiber kontrolliert den Zugriff auf neu angeschlossene Laufwerke. Bis die Freigabe erfolgreich gepr\u00fcft wurde, bleibt der USB-Stick f\u00fcr den Benutzer unzug\u00e4nglich. Der zweite Treiber \u00fcberwacht die Eingaben neu erkannter Tastaturen und gibt sie erst nach erfolgreicher PIN-Best\u00e4tigung weiter.<\/p>\n\n\n\n

Mein Fazit<\/h2>\n\n\n\n

F\u00fcr mich zeigt der Prototyp vor allem, dass eine kontrollierte USB-Nutzung nicht zwangsl\u00e4ufig eine gro\u00dfe Serverlandschaft erfordert. Die Freigabeentscheidung wird direkt am jeweiligen Rechner getroffen. Signierte Freigaben und der automatische Austausch zwischen den Rechnern sorgen gleichzeitig daf\u00fcr, dass das System auch im Verbund funktioniert.<\/p>\n\n\n\n

Die einzelnen Schutzmechanismen erg\u00e4nzen sich dabei. Keine dieser Ma\u00dfnahmen macht USB-Ger\u00e4te unangreifbar. Gemeinsam entsteht jedoch ein nachvollziehbares Schutzkonzept, das ohne komplizierte Infrastruktur auskommt und sich schrittweise erweitern l\u00e4sst. Gerade f\u00fcr kleinere Unternehmen kann dieser Ansatz eine praktikable Grundlage bieten.<\/p>\n\n\n\n

Mein besonderer Dank geht an Herrn Prof. Dr.-Ing. Sebastian Biedermann f\u00fcr die fachliche Betreuung<\/em> und die Unterst\u00fctzung w\u00e4hrend der Bachelorarbeit.<\/em><\/p>\n\n\n\n

Literatur und Quellen<\/h2>\n\n\n\n

Nohl, K., Kri\u00dfler, S. & Lell, J. (2014): BadUSB, On Accessories That Turn Evil.
Nissim, N., Yahalom, R. & Elovici, Y. (2017): USB-based Attacks.
Tian et al. (2018): SoK: Plug and Pray Today, Understanding USB Insecurity in Versions 1 Through C.
Cronin et al. (2022): Time-Print, Authenticating USB Flash Drives with Novel Timing Fingerprint<\/p>\n","protected":false},"excerpt":{"rendered":"

Auch heute sind USB-Ger\u00e4te f\u00fcr Unternehmen noch immer ein Sicherheitsrisiko. Ein fremder Stick kann Schadsoftware…<\/p>\n","protected":false},"author":12,"featured_media":429,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,72,74],"tags":[139,144,145,80,146,143],"class_list":["post-400","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein","category-bedrohungen-angriffe","category-tools-techniken","tag-bachelorarbeit","tag-badusb","tag-kryptografie","tag-malware","tag-rubberducky","tag-usb"],"_links":{"self":[{"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/posts\/400","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/users\/12"}],"replies":[{"embeddable":true,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/comments?post=400"}],"version-history":[{"count":89,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/posts\/400\/revisions"}],"predecessor-version":[{"id":508,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/posts\/400\/revisions\/508"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/media\/429"}],"wp:attachment":[{"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/media?parent=400"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/categories?post=400"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ttz-wue.fiw.thws.de\/blog\/index.php\/wp-json\/wp\/v2\/tags?post=400"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}