Externe Speichermedien im Unternehmen: Risiken erkennen und sicher nutzen

Ein Kollege bringt die Präsentation auf dem USB-Stick mit, die Buchhaltung sichert Monatsabschlüsse auf einer externen Festplatte, und im Außendienst wandern Kundendaten auf einer SSD von Termin zu Termin. Mobile Datenträger sind aus dem Arbeitsalltag kaum wegzudenken. Gerade weil sie so selbstverständlich sind, werden sie oft unterschätzt. Ein einziges verlorenes oder infiziertes Gerät kann ausreichen, um vertrauliche Informationen offenzulegen oder ein ganzes Netzwerk zu gefährden. Die gute Nachricht: Mit klaren Regeln, passender Technik und etwas Aufmerksamkeit lassen sich die Risiken deutlich verringern, ohne auf den Komfort zu verzichten.

Wo die eigentlichen Gefahren liegen

Externe Speichermedien sind nicht per se unsicher. Problematisch wird es, wenn sie unkontrolliert genutzt werden. Die wichtigsten Risiken lassen sich in drei Gruppen einteilen:

• Datenverlust und Diebstahl: Kleine Geräte gehen leicht verloren, bleiben im Zug liegen oder werden aus dem Auto entwendet. Sind die Daten nicht verschlüsselt, kann jeder Finder sie lesen.
• Schadsoftware: Ein Datenträger, der an einem privaten oder fremden Rechner hing, kann Schadprogramme ins Firmennetz tragen. Das betrifft auch Systeme, die bewusst vom Internet getrennt sind.
• Manipulierte Hardware: Manche präparierten Geräte geben sich gegenüber dem Computer als Tastatur aus und führen selbstständig Befehle aus. Solche Angriffe sind mit einem gewöhnlichen Virenscanner schwer zu erkennen.

Hinzu kommt der unbeabsichtigte Datenabfluss: Mitarbeitende kopieren Dateien, um zu Hause weiterzuarbeiten, und vergessen anschließend, sie wieder zu löschen.

Rechtliche und wirtschaftliche Folgen

Gelangen personenbezogene Daten in falsche Hände, kann das nach der Datenschutz-Grundverordnung meldepflichtig sein. Unternehmen müssen dann unter Umständen Aufsichtsbehörde und Betroffene informieren. Neben möglichen Bußgeldern drohen Imageschäden, Vertrauensverlust bei Kunden und hoher interner Aufwand für Aufklärung und Wiederherstellung. Wer dagegen nachweisen kann, dass Daten auf einem verlorenen Gerät wirksam verschlüsselt waren, steht in aller Regel deutlich besser da. Die genaue Bewertung hängt vom Einzelfall ab und sollte mit dem Datenschutzbeauftragten abgestimmt werden.

Technische Schutzmaßnahmen

Verschlüsselung als Pflichtprogramm

Jeder Datenträger, der das Büro verlässt, sollte verschlüsselt sein. Dafür gibt es zwei Wege:

• Software-Verschlüsselung: Gängige Betriebssysteme bringen Werkzeuge mit, um ganze Laufwerke zu verschlüsseln. Das ist kostengünstig, setzt aber voraus, dass die Funktion konsequent genutzt wird.
• Hardware-Verschlüsselung: Manche Festplatten und USB-Sticks verschlüsseln selbstständig und lassen sich nur per PIN, Fingerabdruck oder Passwort entsperren. Sie funktionieren unabhängig vom Betriebssystem und sind für den Außeneinsatz oft bequemer.

Gerätekontrolle im Netzwerk

Mit sogenannter Device-Control-Software oder Gruppenrichtlinien legen Administratoren fest, welche Geräte an Firmenrechnern funktionieren. Möglich sind etwa folgende Abstufungen:

• nur freigegebene, registrierte Datenträger zulassen
• Schreibzugriff sperren und nur Lesen erlauben
• Kopiervorgänge protokollieren
• externe Medien an besonders sensiblen Arbeitsplätzen komplett deaktivieren

Schadsoftware abfangen

Aktuelle Schutzprogramme sollten eingesteckte Datenträger automatisch prüfen. Zusätzlich empfiehlt es sich, die automatische Ausführung von Inhalten abzuschalten. Für fremde Medien, etwa von Messen oder Geschäftspartnern, kann ein separater Prüfrechner ohne Netzwerkanbindung sinnvoll sein.

Organisatorische Regeln, die wirklich helfen

Technik allein reicht nicht. Eine schriftliche Richtlinie schafft Klarheit für alle Beteiligten. Sinnvoll sind unter anderem diese Punkte:

1. Nur vom Unternehmen ausgegebene Datenträger verwenden, private Geräte bleiben draußen.
2. Jeder Datenträger wird inventarisiert und einer Person zugeordnet.
3. Verlust oder Diebstahl wird sofort gemeldet, ohne Angst vor Konsequenzen.
4. Gefundene Sticks werden niemals aus Neugier eingesteckt, sondern bei der IT abgegeben.
5. Ausgemusterte Geräte werden sicher gelöscht oder physisch vernichtet.

Regelmäßige, kurze Schulungen sorgen dafür, dass diese Regeln im Gedächtnis bleiben. Praktische Beispiele wirken dabei besser als abstrakte Verbote.

Externe Festplatten als Teil der Datensicherung

So riskant mobile Medien im falschen Kontext sind, so wertvoll sind sie für Backups. Eine externe Festplatte, die nach der Sicherung vom System getrennt wird, ist vor Verschlüsselungstrojanern geschützt, die im Netzwerk wüten. Bewährt hat sich die 3-2-1-Regel: drei Kopien der Daten, auf zwei unterschiedlichen Medien, davon eine außer Haus. Wichtig ist, dass auch Backup-Datenträger verschlüsselt und sicher aufbewahrt werden, und dass die Wiederherstellung regelmäßig getestet wird.

Häufige Fragen

Sollte man USB-Anschlüsse im Unternehmen komplett sperren?

Das kann an besonders sensiblen Arbeitsplätzen sinnvoll sein. Für die meisten Betriebe ist eine Freigabeliste für registrierte, verschlüsselte Geräte der praktikablere Mittelweg.

Reicht ein Passwort auf dem USB-Stick aus?

Ein Passwort allein schützt nur, wenn die Daten dahinter tatsächlich verschlüsselt sind. Ein bloßer Zugriffsschutz ohne Verschlüsselung lässt sich oft umgehen.

Wie lösche ich Daten auf einem alten Datenträger sicher?

Einfaches Löschen oder Formatieren genügt nicht. Nutzen Sie Werkzeuge zum mehrfachen Überschreiben oder die Löschfunktion des Herstellers. Bei SSDs ist der vom Hersteller vorgesehene sichere Löschbefehl die verlässlichere Wahl; im Zweifel hilft die physische Vernichtung.

Ist die Cloud sicherer als ein externer Datenträger?

Beides hat Vor- und Nachteile. Cloud-Dienste bieten Zugriffskontrolle und Protokollierung, externe Medien dagegen Unabhängigkeit vom Netz. Viele Unternehmen kombinieren beide Ansätze.