Auswahl eines verschlüsselten USB-Speichersticks für sensible Daten

Ein verschlüsselter USB-Speicherstick schützt Ihre Daten, indem er sie direkt auf dem Gerät verschlüsselt. Geht der Stick verloren, wird daraus nicht zwangsläufig ein meldepflichtiger Sicherheitsvorfall, sondern lediglich ein Ärgernis. Dieser Leitfaden erläutert den Unterschied zwischen software- und hardwarebasierter Verschlüsselung, zeigt auf, welche Sicherheitslücken auch bei einem herkömmlichen verschlüsselten USB-Stick auftreten können, und erklärt, wann eine besonders sichere Bauform für industrielle oder regulierte Anwendungen die bessere Wahl ist.

Wie wird ein USB-Speicherstick tatsächlich verschlüsselt?

Die Verschlüsselung wandelt die auf dem Gerät gespeicherten Dateien in unleserliche Daten um, die sich nur mit dem richtigen Schlüssel oder Passwort öffnen lassen. Geht ein verschlüsselter Stick verloren, hält der Finder im Grunde nur ein Stück Kunststoff in der Hand. Geht dagegen ein unverschlüsselter Stick verloren, hat er Zugriff auf Ihre Dateien.

Genau darum geht es. Dabei ist es wichtig, genau zu unterscheiden, wo die Verschlüsselung stattfindet, denn die beiden Ansätze verhalten sich im praktischen Einsatz sehr unterschiedlich.

Bei der Softwareverschlüsselung übernimmt der Computer die Verschlüsselung. Ein bekanntes Beispiel ist BitLocker unter Windows, das seit Windows Vista Bestandteil des Betriebssystems ist und in Windows 10 weiter verbessert wurde. Die Lösung funktioniert, verursacht keine zusätzlichen Kosten und lässt sich je nach Speicherkapazität sowie je nachdem, ob nur der belegte Speicherplatz oder das gesamte Laufwerk verschlüsselt wird, innerhalb weniger Minuten einrichten. Zusätzlich wird ein 48-stelliger Wiederherstellungsschlüssel erzeugt, der sicher aufbewahrt werden muss, da damit auch das Laufwerk entsperrt werden kann.

Bei der Hardwareverschlüsselung erfolgt die Verschlüsselung direkt auf dem Gerät. Der Controller im USB-Stick verschlüsselt sämtliche darauf gespeicherten Daten, ohne dass zusätzliche Software installiert werden muss. Produkte wie der Flexxon FxLocker verwenden eine AES-XTS-Verschlüsselung mit 256 Bit und autorisieren den Zugriff über ein Passwort. Da die Verschlüsselung direkt auf dem Laufwerk erfolgt, funktionieren solche Geräte unter Windows, macOS und Linux ohne zusätzliche Installation. Auf einem gesperrten Industrie-PC, auf dem keine Software installiert werden darf, k

Michael empfiehlt: Wenn Sie darauf angewiesen sind, dass Ihre Mitarbeiter USB-Sticks selbst verschlüsseln, sollten Sie davon ausgehen, dass dies seltener geschieht, als Ihnen berichtet wird. Setzen Sie stattdessen auf hardwarebasierte Verschlüsselung – dann stellt sich die Frage, ob jemand an die Verschlüsselung gedacht hat, gar nicht erst.

Die Folgen einer falschen Entscheidung sind keineswegs nur theoretischer Natur

Die britische Datenschutzbehörde, das Information Commissioner’s Office (ICO), verhängt seit Jahren Bußgelder gegen britische Organisationen wegen unverschlüsselter Wechseldatenträger. Im Oktober 2018 wurde Heathrow Airport Limited mit einer Geldbuße von 120.000 £ belegt, nachdem ein Mitarbeiter einen USB-Speicherstick verloren hatte. Dieser wurde von einer Privatperson gefunden, in eine Bibliothek gebracht und dort ausgelesen. Auf dem Gerät befanden sich 76 Ordner und mehr als 1.000 Dateien; der Stick war weder verschlüsselt noch passwortgeschützt. Die vollständige Entscheidung ist auf der Website des ICO veröffentlicht.

Aus diesem Fall lassen sich zwei wichtige Punkte für die eigene Produktspezifikation ableiten. Der Mitarbeiter hatte nicht die Absicht, Daten offenzulegen, und das Unternehmen verfügte bereits über eine Richtlinie, wonach Mitarbeiter verschlüsselte Speichermedien verwenden sollten. Beides half letztlich nicht, da die Vorgabe nicht von der Hardware selbst erzwungen wurde.

Die meisten Systeme, die später Gegenstand eines Sicherheitsvorfalls werden, wurden ursprünglich durchaus vernünftig mit handelsüblichen Komponenten spezifiziert – von Personen, die ihre Aufgabe ordnungsgemäß erfüllt haben. Die Lösung besteht daher nur selten in einer strengeren Richtlinie. In der Regel ist ein Speichermedium erforderlich, das nicht unsicher verwendet werden darf.

Wo Verschlüsselung allein noch Sicherheitslücken offenlässt

Verschlüsselung schützt die Daten auf dem USB-Stick. Sie schützt jedoch nicht den Anschluss, in den der Stick eingesteckt wird.

Genau diese Lücke wird bei vielen Sicherheitsprüfungen übersehen. Ein standardmäßiger USB-Anschluss akzeptiert jedes beliebige Gerät, das gerade zur Hand ist. Genau deshalb ist USB nach wie vor ein so verlässlicher Angriffsweg in ansonsten gut geschützte Netzwerke. Mandiant berichtete für das erste Halbjahr 2023 von einer Verdreifachung der Angriffe über kompromittierte USB-Laufwerke, und dieses Angriffsmuster ist seitdem nicht verschwunden. Ein vielfach berichteter Fall betraf ein europäisches Krankenhaus: Ein Mitarbeiter kehrte von einer Konferenz zurück, schloss ein unterwegs erhaltenes USB-Laufwerk an und verbreitete dadurch Schadsoftware im gesamten Netzwerk.

Das Risiko besteht auch in umgekehrter Richtung. Ein Mitarbeiter nimmt ein Dokument auf einem USB-Stick mit nach Hause. Die Datei wird auf dem privaten Rechner mit Schadsoftware infiziert, und am nächsten Morgen gelangt sie über denselben Stick zurück ins Unternehmensnetzwerk.

Selbst das Kabel kann zur Angriffsfläche werden. Moderne Anschlüsse übertragen neben Strom auch Daten. Ein manipuliertes Kabel oder eine öffentliche Ladestation kann daher Dateien und Firmware in beide Richtungen übertragen. Das NCSC veröffentlicht praktische Empfehlungen zur Sicherheit von Wechseldatenträgern und Geräten, die eine sinnvolle Ergänzung zu den eigenen Sicherheitsrichtlinien darstellen.

Einige Unternehmen reagieren darauf, indem sie Wechseldatenträger vollständig verbieten. IBM hat 2018 genau diesen Schritt vollzogen und unternehmensweit eine Null-Toleranz-Regelung für USB-Sticks und SD-Karten eingeführt. Bereits damals wurde darüber berichtet, wie einschneidend diese Maßnahme sein würde, da die Nutzung solcher Medien tief in den Arbeitsabläufen verankert war. Solche Verbote sind in der Praxis nur schwer dauerhaft durchzusetzen. Eine Alternative besteht darin, Wechselspeicher weiterhin zuzulassen, aber physisch festzulegen, welche Geräte überhaupt eingesteckt werden können.

Den Anschluss kontrollieren – nicht nur die Datei

Wenn Ihre Geräte im Außeneinsatz, an einer Produktionslinie, in einem Fahrzeug oder in einem Krankenhaus betrieben werden, ist eine besonders wirksame Schutzmaßnahme, eine Speicherlösung einzusetzen, mit der sich ein handelsüblicher USB-Stick mechanisch gar nicht erst verbinden lässt.

Datakey RUGGEDrive-Tokens bieten USB- oder SD-Funktionalität in einem proprietären Formfaktor. Ihr Speicheranschluss nimmt keinen handelsüblichen USB-Stick an. Dadurch kann niemand einfach an das Gerät herantreten und Konfigurationsdaten kopieren, und ebenso wenig kann eine Datei von einem privaten Laptop eingeschleust werden. Geht einer Ihrer Token verloren, wird der Finder höchstwahrscheinlich über kein passendes Lesegerät verfügen.

Datakey-Tokens werden von Streitkräften der NATO-Mitgliedstaaten eingesetzt. Weitere Einzelheiten können wir im Rahmen einer Vertraulichkeitsvereinbarung besprechen.

Die mechanischen Eigenschaften sind dabei ebenso wichtig wie die Sicherheitsaspekte.

• Steckverbinder mit einer Lebensdauer von bis zu 50.000 Steckzyklen – gegenüber etwa 1.500 bei einem typischen USB-Anschluss und 10.000 bei SD

• IP67-zertifizierte Panel-Mount-Ausführungen für den Einsatz im Freien sowie in staubigen oder regelmäßig gereinigten Umgebungen

• Ein gekapselter Token, der für Stöße, Vibrationen und extreme Temperaturen ausgelegt ist – nicht lediglich für den Einsatz als gewöhnlicher USB-Stick

Wenn nicht die Speicherung großer Datenmengen, sondern die Authentifizierung im Vordergrund steht, übernehmen Datakey CryptoAuthentication Tokens die sichere Übertragung von Schlüsseln, Zertifikaten, Passwörtern und Konfigurationsdateien für Systeme, die besonders robuste Wechselspeicherlösungen für die Cybersicherheit benötigen. Wenn es um klassifizierte oder zugriffsbeschränkte Daten geht, bietet die in Deutschland hergestellte Kobra-VS-Produktreihe zusätzlich eine Zwei-Faktor-Authentifizierung für hardwareverschlüsselte USB-Laufwerke und SSDs.

Michael empfiehlt: Lassen Sie sich die Zeichnung des Steckverbinders schicken, bevor Sie sich auf ein Gehäusedesign festlegen – nicht erst danach. Ausschnittmaße für die Frontplatte und der benötigte Bauraum hinter dem Anschluss sind typische Punkte, die in der Prototypenphase Probleme verursachen, sich aber bereits in der Entwurfsphase problemlos berücksichtigen lassen. Wenn Sie uns die Einsatzumgebung und den vorgesehenen Anwenderkreis nennen, sagt uns das oft mehr über die passende Lösung als eine reine Artikelnummer.

Welche Lösung passt zu welcher Anwendung?

Keine dieser Lösungen schließt die anderen aus. Viele Kunden setzen im Büroalltag auf verschlüsselte USB-Speicher und verwenden gleichzeitig ein tokenbasiertes System direkt im Produkt.

Damit die Lösung nach Einführung der Hardware auch dauerhaft funktioniert

Selbst gute Hardware kann ihren Zweck verfehlen, wenn die Prozesse rund um ihren Einsatz nicht klar geregelt sind. Einige einfache Vorgehensweisen sollten deshalb von Anfang an etabliert werden.

• Legen Sie fest, wer ein Gerät verwenden beziehungsweise mit sich führen darf, und dokumentieren Sie dies an einer Stelle, die tatsächlich gelesen wird

• Führen Sie ein Verzeichnis der ausgegebenen Geräte, damit ein fehlendes Gerät innerhalb derselben Woche auffällt und nicht erst Monate später

• Halten Sie Ersatzgeräte bereit, damit niemand auf einen ungesicherten USB-Stick ausweicht, nur weil das vorgesehene sichere Gerät gerade nicht verfügbar ist

• Halten Sie die Firmware aktuell und integrieren Sie dies in Ihre regulären Wartungszyklen

• Testen Sie den Wiederherstellungsprozess gelegentlich, denn ein Wiederherstellungsschlüssel, der noch nie verwendet wurde, ist eher eine theoretische Absicherung als ein belastbarer Notfallplan

• Erklären Sie neuen Mitarbeitern nicht nur das Passwort, sondern auch, warum dieses Gerät anders eingesetzt und behandelt werden muss

Der letzte Punkt ist wichtiger, als er auf den ersten Blick scheint. Menschen halten sich an Regeln, die sie verstehen – und umgehen solche, deren Sinn sie nicht nachvollziehen können.

Häufig gestellte Fragen

Reicht BitLocker allein aus? Für weniger sensible Bürodaten auf zentral verwalteten Windows-Rechnern häufig ja. Problematisch wird es jedoch, wenn Anwender selbst daran denken müssen, die Verschlüsselung zu aktivieren, wenn Systeme unter macOS oder Linux laufen oder wenn auf dem Zielrechner keine zusätzliche Software installiert oder konfiguriert werden darf. Hardwarebasierte Verschlüsselung beseitigt alle drei Probleme.

Bedeutet AES-256, dass meine Daten von niemandem wiederhergestellt werden können? Das bedeutet, dass eine Wiederherstellung für jemanden, der das Gerät zufällig findet, praktisch nicht möglich ist. AES-256 bietet einen sehr hohen Schutz bei Verlust oder Diebstahl, sollte jedoch nicht als absolute Garantie verstanden werden. Der eingesetzte Sicherheitsstandard sollte stets der Sensibilität der Daten entsprechen. Bei klassifizierten Informationen ist die Zulassung beziehungsweise Freigabe des Produkts wichtiger als allein die Bezeichnung des Verschlüsselungsalgorithmus.

Kann ich einen sicheren Token nachträglich in ein bestehendes Produkt integrieren? Häufig ja. Allerdings benötigt der Steckverbinder einen entsprechenden Gehäuseausschnitt sowie ausreichend Bauraum auf der Rückseite. Senden Sie uns Ihre Gehäusezeichnung, und wir sagen Ihnen offen, ob die Integration möglich ist oder ob es sinnvoller ist, bis zur nächsten Produktrevision zu warten.

Was passiert, wenn ein Anwender einen Token verliert? Die Daten sind durch Verschlüsselung geschützt. Bei einem proprietären Formfaktor ist es zudem sehr unwahrscheinlich, dass der Finder überhaupt über ein passendes Lesegerät verfügt. Sie sperren bzw. Deaktivieren Sie das Gerät in Ihrer Bestandsverwaltung und veranlassen Sie einen Ersatz. Genau deshalb ist es sinnvoll, Ersatzgeräte vorzuhalten.

Kann ein verschlüsselter USB-Stick Bestandteil eines Wiederherstellungsplans sein? Ja. Dies ist sogar eine der Anwendungen, bei denen Wechseldatenträger gegenüber einer Cloud-Lösung weiterhin Vorteile bieten können. Wenn das Netzwerk ausgefallen ist oder der Zugriff auf den Server nicht möglich ist, können Sie mit einem hardwareverschlüsselten Laufwerk, auf dem aktuelle Konfigurationsdateien und Wiederherstellungsdaten gespeichert sind, weiterarbeiten, ohne zunächst auf die Wiederherstellung des Zugriffs warten zu müssen. Halten Sie die Daten aktuell, erfassen Sie das Gerät in Ihrer Bestandsverwaltung und prüfen Sie regelmäßig, ob sich die gespeicherten Daten tatsächlich öffnen lassen.

Wie lange bleibt das Produkt verfügbar? In der Regel länger als handelsübliche Speicherprodukte. Langfristige Liefervereinbarungen mit unseren Fertigungspartnern sind einer der Gründe, weshalb Kunden mit Produktlebenszyklen von zehn oder fünfzehn Jahren zu uns kommen. Denn ein Wechsel des Speichermediums während der Produktlaufzeit kann eine erneute Qualifizierung erforderlich machen.

Sprechen Sie mit uns, bevor Sie sich festlegen

All diese Entscheidungen werden einfacher, wenn jemand, der die entsprechenden Komponenten bereits spezifiziert hat, Ihre konkrete Anwendung berücksichtigt. Teilen Sie uns die Einsatzumgebung mit, wer das Gerät verwendet und welche Auswirkungen es hätte, wenn die darauf gespeicherten Daten das Unternehmen verlassen. Wir sagen Ihnen dann, welche dieser Lösungen am besten zu Ihrer Anwendung passt.

Nehmen Sie Kontakt mit dem Nexus-Team auf, wenn Sie eine konkrete Einschätzung wünschen, oder fordern Sie ein Speichermuster an, wenn Sie das Produkt zunächst selbst testen möchten. Nexus liefert seit 1987 sichere industrielle Speicherlösungen und ist autorisierter Partner von Datakey und Flexxon in Großbritannien, Irland und der DACH-Region.