In PCs schlummert eine oft vernachlässigte Schwachstelle

Risiko USB - Datenschützer schlagen Alarm

23.01.2004
STUTTGART (CW) - Auf ein häufig übersehenes Schlupfloch in modernen PCs weist der Landesbeauftragte für Datenschutz in Baden-Württemberg in seinem jüngsten Tätigkeitsbericht hin: die USB-Schnittstelle. Mit dem entsprechenden Know-how kann ein Eindringling auf diesem Weg die Schutzfunktionen des Betriebssystems umgehen und Kontrolle über den Rechner erlangen.

Im Arbeitsalltag haben Anwender die unscheinbare PC-Schnittstelle des Universal Serial Bus (USB) schätzen gelernt. Über sie kann ohne viel Aufwand eine große Vielfalt von externen Geräten wie Drucker, Modem, Scanner, Chipkartenlesegerät, PDA-Synchronisationsstation etc. an den Desktop-Rechner angeschlossen werden. USB erlaubt es, ein Gerät im laufenden Betrieb aus- und ein anderes Gerät anzustecken. In der Vergangenheit gestaltete sich das schwieriger, da beim Rechnerstart fest vorgegeben war, an welcher Schnittstelle welches Gerät eingestöpselt werden musste.

Doch diese Flexibilität birgt auch eine Gefahr: Während zahlreiche Unternehmen ihre IT-Infrastruktur mit diskettenlosen Desktop-Rechnern und ausgeklügelten Passwort-Systemen vor ungeprüftem Zugang oder Datenklau schützen, bleibt die kleine USB-Schnittstelle oft unbeachtet. Doch gerade in Zeiten, in denen von den Herstellern externer Zusatzgeräte immer neue Hardware in Form von einsteckbaren Halbleiterspeichern (auch als USB-Sticks bekannt), externen USB-Festplatten, CD-RW/DVD-RW-Laufwerken, Netzwerkanschlüssen und diversen anderen Geräten auf den Markt gebracht wird, sollte das Sicherheitsrisiko nicht übersehen werden. Denn in der wesentlich schnelleren Version 2.0, von der mittlerweile in fast jedem PC gleich mehrere Anschlüsse verbaut werden, lässt die Schnittstelle einen Datenklau binnen Sekunden zu.

Angesichts dieser Entwicklung kommt der Landesbeauftragte für den Datenschutz in Baden-Württemberg zu dem Schluss, dass für einen datenschutzrechtlich zulässigen Betrieb solcher Rechner mit USB-Schnittstelle zusätzliche Schutzmaßnahmen erforderlich sind. USB bietet Eindringlingen nämlich gleich mehrere Chancen.

Die Gefährdung beginnt bereits beim Hochfahren des Rechners, da immer mehr PCs erhältlich sind, die nicht nur mit dem Betriebssystem von der Festplatte aus, sondern auch mit einem via USB angeschlossenen System zu starten sind. Ist dies geschehen, kann ein ungebetener Gast auf die lokale Festplatte, die das alternative Betriebssystem meist ohne zusätzliche Aktivitäten einbindet, lesend und schreibend zugreifen, indem es die Zugangsbeschränkungen für die lokalen Dateien, die vom ursprünglichen Betriebssystem vorgegeben werden, ignoriert. Ein Benutzer, der sich auf diese Weise anmeldet, kann etwa personenbezogene Daten abrufen, für die er keine Zugriffsberechtigung besitzt.

Dank der Flexibilität von USB stehen Datendieben zum Kopieren der Dateien eine Vielzahl von Geräten zur Verfügung: Angefangen bei USB-Sticks mit Speicherkapzitäten von 16 MB bis 1 GB reicht die Palette über CD/DVD-Brenner bis hin zu Festplatten mit Speicherplatz im dreistelligen Gigabyte-Bereich. Selbst Kartenlesegeräte für die Speicherchips digitaler Kameras zählen dazu. Ebenso lässt sich eine Digitalkamera mit USB-Anschluss zum unerlaubten Kopieren von Daten missbrauchen.

Die Datenschützer warnen außerdem vor Geräten, die es ermöglichen, über die USB-Schnittstelle eine Netzwerkverbindung aufzubauen. Noch vergleichsweise harmlos ist dabei die Variante, einen Rechner per USB-Netzadapter über Ethernet ins konventionelle Netz einzubinden. Dramatischere Folgen hat das unbemerkte Anbringen eines USB-Funkadapters für WLANs. Dadurch können nicht nur personenbezogene Daten auf einen anderen PC übertragen werden, sondern es ist auch möglich, von anderen Rechnern aus auf das Betriebssystem zuzugreifen und den PC aus der Ferne zu steuern.

Schutz auf BIOS-Ebene

Zur Abwehr dieser Gefahren sind in den Augen der Datenschützer diverse Maßnahmen erforderlich, wobei ein wirksamer Schutz bereits den Boot-Prozess umfassen sollte. Dank der immer weiter wachsenden Kapazität der USB-Sticks ist es bereits heute kein Problem, auf ihnen komplexere Betriebssysteme wie etwa Windows XP oder gar ein Server-Betriebssystem unterzubringen und damit einen anderen Rechner zu starten.

Um das zu verhindern, sollten die IT-Betreuer bei der Konfiguration des PC-BIOS besondere Sorgfalt walten lassen. Ob ein Betriebssystem von einem USB-Gerät gebootet werden kann, wird nämlich hier festgelegt. Im Zusammenhang mit den USB-Sticks ist dabei eine Besonderheit zu beachten: Die kleinen Speicher können fast jedes Speichermedium wie etwa Diskette, Festplatte oder CD-ROM nachbilden. Deshalb sollte bei der BIOS-Einstellung darauf geachtet werden, dass Gerätenamen wie usb-hdd, usb-cdrom, usb-fdd, usb-zip und ähnliche als nicht bootfähig gekennzeichnet sind. Lässt sich im BIOS das Booten von einem externen USB-Gerät nicht zuverlässig verhindern, empfehlen die Datenschützer, den Inhalt der lokalen Festplatte zu verschlüsseln. Auf diese Weise wird zumindest der ungehinderte Zugriff durch ein alternatives Betriebssystem auf die lokale Festplatte unterbunden.

Regeln zur USB-Nutzung

Ein weiterer Aspekt ist die Frage, ob ein Benutzer auf ein via USB angeschlossenes Speichermedium zugreifen darf. Dieser Zugang wird normalerweise auf Betriebssystem-Ebene geregelt. Für eine effektive Speicherkontrolle sollte das System deshalb über Mechanismen verfügen, die es erlauben, Schreib- und Leserechte für jeden Benutzer einzeln festzulegen. Ferner sollten die externen USB-Speichergeräte unter Gesichtspunkten des Datenschutzes wie mobile Speichermedien behandelt werden. Letztlich sind für sie die gleichen Schutzmaßnahmen wie bei sonstigen mobilen Datenträgern wie Bändern, Disketten etc. zu ergreifen, also etwa Verschlüsselung und gesicherte Aufbewahrung.

Darüber hinaus sollte nicht vergessen werden, dass über USB auch Netzwerkadapter angebunden werden können. Um hier den Aufbau unerwünschter Kommunikationsverbindungen zu verhindern, ist das Betriebssystem so zu konfigurieren, dass es den Anschluss dieser Geräte überwacht und steuert. Es muss dafür sorgen, dass ein USB-Netzadapter nur dann eingebunden werden darf, wenn der Benutzer über die entsprechenden Rechte für einen Verbindungsaufbau über dieses Gerät verfügt. Zum weiteren Schutz empfiehlt es sich, bei der Verwendung von USB-Netzadaptern auf die gängigen Netzkontrollmechanismen wie beispielsweise eine MAC-Kontrollliste zurückzugreifen oder für den Transport sensibler Daten VPN-Tunnel zu verwenden.

Je nach verwendetem Betriebssystem sieht sich der Administrator eventuell mit dem Problem konfrontiert, dass die entsprechende Softwareplattform gar keine Tools zur administrativen Berechtigungsverwaltung der USB-Anschlüsse aufweist.

Zugriffskontrolle durch Drittprodukte

Eine Notlösung wäre dann beispielsweise das Löschen der entsprechenden Einträge in der Systemkonfiguration oder das Entfernen der einschlägigen Treiberdateien, um den Zugriff auf den USB-Port zu unterbinden. Allerdings geht das nicht, wenn sich mehrere Benutzer einen PC teilen und einer davon auf ein USB-Gerät angewiesen ist. In solchen Fällen hilft nur der Griff zu Drittprodukten, die eine Zugriffsbeschränkung in Form von Access Control Lists (ACLs) auch auf Hardwareebene ermöglichen. Bei Betriebssystemen, die USB-Geräte auf das Dateisystem abbilden, können Systembetreuer auf diese Weise über Dateiberechtigungen und ACLs einen lesenden oder schreibenden Zugriff auf die Medien benutzerspezifisch regeln.

Ein Werkzeug, um den unerlaubten Datenexport über externe USB-Massenspeicher zu unterbinden, liefert beispielsweise Utimaco Software mit dem "Safeguard Advanced Security PnP Management". Die für Windows 2000 und XP konzipierte Software enthält auch das einzeln nutzbare Modul "PnP Management". Mit seiner Hilfe können Administratoren laut Hersteller an zentraler Stelle definieren, welche Anwender oder Anwendergruppen welche Geräte nutzen dürfen, und erlaubte Devices auch per Remote-Zugriff auf dem Benutzerarbeitsplatz registrieren. Allerdings lässt sich mit der Software nicht kontrollieren, welche Daten auf die USB-Speicher übertragen werden. Pro Arbeitsplatz berechnet Utimaco eine Lizenzgebühr von 35 Euro für das PnP Management. (hi)

Vorteile und Einsatzpotenzial der USB-Sticks

Auch wenn die USB-Sticks unter Datenschutzaspekten ein Risiko darstellen, im Arbeitsalltag sind sie äußerst praktisch zum Datenaustausch oder um ein Notfall-Betriebssystem zu aktivieren. Kaum größer als ein Feuerzeug, erlauben sie es dem Benutzer, bis zu 1 Gigabyte an Daten zu speichern und überall mit hinzunehmen. Dabei sind sie zuverlässiger und materiell stabiler als eine CD oder Diskette. Lediglich die Handhabung (jemand tritt auf den USB-Stick, elektrostatische Aufladung) scheint die Lebensdauer zu begrenzen, denn für den verwendeten Flash-Speicher garantieren Hersteller wie Intel bis zu 100000 Schreibzyklen pro Speicherzelle.

Die Faszination der Speicher-Sticks liegt vor allem in ihrer einfachen Bedienung. Besonders im Zusammenspiel mit neuen Betriebssystemen wie Windows 2000 oder XP sowie aktuellen Linux-Kernels lassen sich die USB-Speicher ohne zusätzliche Treiber nutzen. Dabei können die Sticks wie normale Datenträger formatiert und bespielt werden. Unterstützt der Rechner das Booten von USB, lässt sich auf ihnen etwa ein Betriebssystem für den Notfall unterbringen. Für eine abgespeckte Linux-Distribution sollte bereits ein 64 MB großer USB-Stick genügen, den es häufig sogar als Werbegeschenk gibt. Im Umgang mit größeren USB-Sticks verleidet jedoch schnell die ältere USB-1.1-Variante die Freude am Arbeiten, da sie maximal Transferraten von knapp 1 MB/s erlaubt. Hier empfiehlt sich der Einsatz von USB 2.0, das Schreibgeschwindigkeiten von bis zu 4 MB/s erzielt.