Universal Serial Bus (USB)

USB ist ein vom Host gesteuerter Bus, der das Anstecken im laufenden Betrieb unterstützt. Ein Host-Controller, meist der Computer, verwaltet bis zu 127 Geräte über einen gestuften Stern aus Hubs. Geräte lassen sich ohne Neustart anschließen und entfernen. Der Bus liefert außerdem Strom, deshalb kann dasselbe Kabel, das Dateien überträgt, auch ein Telefon laden.

Für die Sicherheit entscheidend ist die Enumeration. Beim Anschließen meldet ein Gerät dem Host eine Reihe von Deskriptoren: Hersteller-ID und Produkt-ID (zusammen VID:PID), eine Seriennummer, sofern der Hersteller eine vergeben hat, und eine Geräteklasse. Die Klasse sagt dem Betriebssystem, als was sich das Gerät ausgibt, etwa als Speicher, Tastatur oder Telefon, und der passende Treiber lädt automatisch. Diese Merkmale reisen mit dem Gerät, deshalb können Richtlinien der Gerätekontrolle daran anknüpfen.

Jede USB-Version erhöht Übertragungsgeschwindigkeit und Leistungsabgabe und bleibt abwärtskompatibel. Ein altes Gerät funktioniert an einem neuen Anschluss weiter, aber mit der alten Geschwindigkeit. Für die Planung von Datenabflussrisiken zählt die Signalrate, denn sie bestimmt, wie schnell Daten fließen können. Bei USB-3-Geschwindigkeiten passen Hunderte Gigabyte auf Hardware in der Größe eines Daumens.

Die Marketingnamen wurden über die Jahre umbenannt. USB 3.0, 3.1 Gen 1 und 3.2 Gen 1 beschreiben alle dieselbe Stufe mit 5 Gbit/s.

USB ist unverzichtbare Geschäftsinfrastruktur. Über USB laufen Tastaturen und Headsets, Belegdrucker und Scanner, Dongles, Telefon-Tethering und das Laden. Außerdem bewegen Unternehmen große Mengen an Dateien über Wechselmedien zwischen getrennten Netzwerken. Den Bus komplett zu sperren ist selten praktikabel.

Derselbe Anschluss ist zugleich ein führender Datenabflusskanal. Eine Übertragung auf einen USB-Stick hinterlässt keine Netzwerkspur, funktioniert offline und bewegt sehr große Mengen schnell. Das Medium lässt sich leicht verbergen oder verlieren. Ein unverschlüsseltes Laufwerk, das außerhalb des Büros vergessen wird, kann zu einem meldepflichtigen Datenleck werden. Deshalb geht es bei der USB-Kontrolle meist um die Granularität der Richtlinien und nicht um einen einfachen Ein-Aus-Schalter.

Protokoll und Stecker sind getrennte Entscheidungen. Eine Version kann über mehrere Steckerformen laufen, deshalb passt eine Schublade voller Kabel selten beim ersten Versuch.

USB-C wird zum einzigen Standardanschluss an Docks und Ladegeräten. Micro-B hält sich in vielen kompakten Geräten.

• USB-A: der ursprüngliche rechteckige Host-Anschluss. Nicht umkehrbar, an Desktops weiterhin verbreitet.
• USB-B, Mini-B, Micro-B: quadratische und kleine Stecker an Druckern, externen Laufwerken und älteren Telefonen.
• USB-C: kleiner, umkehrbarer Oval-Stecker für Daten, bis 240 W Leistung und Video über Alternate Modes.

Speicher ist nicht das einzige Risiko am Anschluss. Bei einem BadUSB-Angriff wird der Controller im Gerät umprogrammiert, sodass es sich als etwas anderes ausgibt, meist als Tastatur. Danach tippt es Befehle auf den Host. Weil das Betriebssystem HID-Eingaben vertraut, ist die Injektion kaum von echtem Tippen zu unterscheiden. Der Code in der Firmware kann eine Neuformatierung überstehen.

Verwandte Angriffswege sind eher mechanisch als technisch. Infizierte Laufwerke werden dort liegen gelassen, wo Mitarbeitende sie finden und anschließen, und öffentliche Ladestationen können die Datenleitungen missbrauchen. Die Abwehr ergibt sich aus dem Design: Man kontrolliert, welche Geräteklassen sich überhaupt verbinden dürfen, beurteilt Geräte anhand von VID:PID und Seriennummer statt nach ihrem Aussehen und behandelt ein unbekanntes Gerät als unbekannt, egal wie harmlos es wirkt. Endpunktkontrollen wie Endpoint-DLP setzen diese Regeln auf jeder Arbeitsstation um.

Die Klasse, die bei der Enumeration gemeldet wird, bestimmt, welcher Treiber lädt, was das Gerät tun kann und wie viel Vertrauen ihm das Betriebssystem entgegenbringt. USB-Sticks und externe Festplatten sind die tragbaren Speichergeräte, an die man meist denkt, doch die Liste ist breiter. CDC- und herstellerspezifische Klassen sind meist legitim, dienen aber gelegentlich als verdeckter Weg.

In der USB-Kontrolle für externe Laufwerke entscheidet der Administrator, welche Geräte sich verbinden dürfen und was sie tun können. Das erste Bild zeigt die Schalter für die Geräteprüfung in einem Agentenprofil. Das zweite zeigt ein Gerät mit Hersteller-ID, Produkt-ID und Seriennummer, also genau die Identität, nach der Regeln filtern.

1 / 2

• 
• 

Beginnen Sie mit den Anschlüssen und Geräteklassen, über die die meisten Daten laufen, und entscheiden Sie dann, welche vollen Zugriff, welche Nur-Lesen und welche gar keinen Zugriff brauchen. Eine Regel für alle Anschlüsse auf einmal endet meist damit, dass Tastaturen und Drucker blockiert werden, und wird dann abgeschaltet.

Halten Sie die Entscheidung in der Richtlinie fest und nicht in Gewohnheiten: Ein genehmigtes Laufwerk sollte an seiner Identität erkannt werden, ein unbekanntes abgewiesen werden, bis es jemand prüft.

Weiterlesen: Wie man unbefugten Zugriff auf den Computer verhindert.