USB-Sicherheit: BadUSB, Juice Jacking und sichere Gewohnheiten

Juice Jacking beschreibt das Risiko, dass eine öffentliche USB-Ladestation, etwa an einem Flughafen, in einem Café oder in öffentlichen Verkehrsmitteln, so verändert sein könnte, dass sie beim Laden zusätzlich versucht, auf Daten eines Smartphones oder anderen Geräts zuzugreifen, da ein normaler USB-Anschluss sowohl Strom als auch Daten über denselben Stecker übertragen kann. In der Praxis waren bestätigte reale Vorfälle selten, aber das zugrunde liegende Risiko ist real genug, dass mehrere Organisationen für öffentliche Sicherheit über die Jahre allgemeine Warnungen dazu veröffentlicht haben.

Ein Smartphone, das fragt, ob es einem angeschlossenen Computer vertrauen soll, oder Optionen wie nur Laden oder Dateiübertragung anbietet, zeigt genau die Art von Schutz, die gegen dieses Szenario entwickelt wurde, und die Option nur Laden zu wählen, wenn angeboten, ist an einem unbekannten öffentlichen Anschluss eine sinnvolle Standardwahl.

Viele Organisationen legen Richtlinien fest, die USB-Speichergeräte an Arbeitscomputern einschränken oder blockieren, und diese Richtlinien gibt es aus Gründen, die über BadUSB-artige Angriffe im Speziellen hinausgehen. Ein uneingeschränkter USB-Anschluss ist auch eine einfache Möglichkeit, Daten über einen privaten Stick aus einem Unternehmensnetzwerk abfließen zu lassen, oder für schädliche Software, von einem infizierten, von außen mitgebrachten Gerät ins Netzwerk zu gelangen und dabei netzwerkbasierte Sicherheitskontrollen ganz zu umgehen.

Wo solche Richtlinien bestehen, greifen sie meist über eine Kombination aus physischen Anschlussbeschränkungen, Software, die nur genehmigte Gerätetypen zulässt, und Regeln dazu, welche Geräte Mitarbeitende anschließen dürfen. Die USB-Richtlinie eines Arbeitsplatzes zu befolgen, auch wenn sie für eine bestimmte Aufgabe unbequem erscheint, dient in der Regel dem Schutz vor einer echten und gut verstandenen Risikokategorie, statt eine willkürliche Einschränkung zu sein.

Manche Organisationen gehen weiter und deaktivieren USB-Anschlüsse an Desktop-Computern vollständig oder geben nur genehmigte, zentral verwaltete Speichergeräte an Mitarbeitende aus, die tatsächlich tragbaren Speicher für ihre Arbeit brauchen. Andere verlassen sich auf Software, die genehmigte Gerätekennungen erkennt und alles andere stillschweigend ignoriert, was normalem Zubehör wie Tastaturen und Mäusen erlaubt, weiter zu funktionieren, während unbekannte Speichergeräte blockiert werden, ohne dass Mitarbeitende ihre täglichen Gewohnheiten überhaupt ändern müssen.

Die meisten USB-bezogenen Risiken lassen sich mit einer kleinen Reihe gleichbleibender Gewohnheiten managen, ohne besonderes technisches Wissen zu benötigen.

• Nie ein unbekanntes, an einem öffentlichen Ort gefundenes USB-Gerät an einen privaten oder beruflichen Computer anschließen.
• An unbekannten öffentlichen Ladestationen die Nur-Laden-Option wählen, wenn ein Smartphone sie anbietet, oder einen Datenblocker verwenden.
• Betriebssysteme aktuell halten, da mancher Schutz gegen USB-basierte Angriffe direkt in die Software eingebaut ist, die verwaltet, wie angeschlossene Geräte erkannt werden.
• Die USB-Richtlinie deiner Organisation bei der Arbeit befolgen, auch wenn sie sich für eine bestimmte Aufgabe gelegentlich einschränkend anfühlt.
• Kabel und Zubehör von vertrauenswürdigen Quellen kaufen, da das äußere Erscheinungsbild eines Kabels nichts darüber verrät, was es elektrisch tut, wie in unserem Ratgeber zur Wahl von USB-Kabeln beschrieben.

Ist das Laden meines Smartphones an einem öffentlichen USB-Anschluss tatsächlich gefährlich?

Bestätigte reale Fälle sind selten, aber das zugrunde liegende Risiko besteht, weil eine normale USB-Verbindung sowohl Strom als auch Daten übertragen kann. Die Nur-Laden-Option zu wählen, wenn angeboten, beseitigt die Sorge vollständig.

Kann Antivirensoftware einen BadUSB-Angriff erkennen?

In der Regel nicht, da der Angriff funktioniert, indem sich ein Gerät als etwas anderes ausgibt, etwa eine Tastatur, statt über eine Datei, die Sicherheitssoftware normalerweise scannen würde.

Lohnen sich USB-Datenblocker?

Sie sind günstig und beseitigen jede Unsicherheit über Datenzugriff beim Laden an einem unbekannten öffentlichen Anschluss, weshalb sie für Vielreisende eine vernünftige Vorsichtsmaßnahme sind.

Warum blockiert mein Arbeitgeber USB-Sticks?

Meist um zu verhindern, dass Daten über ein privates Gerät die Organisation verlassen, und um zu stoppen, dass Schadsoftware von einem externen Gerät ins Netzwerk gelangt, beides gut verstandene und verbreitete Risiken.