Ein USB-Stick sieht nach einem gewöhnlichen Datenträger aus, doch sein tatsächlicher Inhalt und seine technische Funktion sind von außen nicht erkennbar. Auf dem Speicher können infizierte Dokumente, manipulierte Verknüpfungen, ausführbare Programme oder Dateien mit irreführenden Namen liegen. Außerdem muss sich ein Gerät am USB-Anschluss nicht ausschließlich als Massenspeicher anmelden. Möglich sind auch andere Geräteklassen, beispielsweise eine Tastatur, ein Netzwerkadapter oder eine Kombination mehrerer Funktionen. Die entscheidende Sicherheitsfrage lautet deshalb nicht, ob die sichtbaren Dateien verdächtig aussehen, sondern ob dem gesamten Gerät vertraut werden kann.
Einen gefundenen Stick niemals am normalen PC testen
Ein auf einem Parkplatz, im Büroflur oder in einem öffentlichen Gebäude gefundener USB-Stick sollte nicht an den privaten Computer oder den Arbeitsplatzrechner angeschlossen werden. Das gilt auch dann, wenn lediglich nach einem Namen oder einer Adresse des Eigentümers gesucht werden soll. Die US-amerikanische Sicherheitsbehörde CISA rät ausdrücklich davon ab, unbekannte USB-Datenträger anzuschließen, und empfiehlt, gefundene Geräte der zuständigen Sicherheitsstelle oder einer anderen verantwortlichen Stelle zu übergeben. Der mögliche Wert eines billigen USB-Sticks steht in keinem Verhältnis zu den Folgen einer Infektion, eines ausgespähten Benutzerkontos oder eines kompromittierten Firmennetzwerks.
Herkunft und Anlass zuerst voneinander trennen
Nicht jeder verdächtige USB-Stick ist ein Fundstück. Vielleicht handelt es sich um den eigenen Datenträger, der zuletzt an einem fremden Computer verwendet wurde. Möglicherweise stammt er von einem Kunden, einer Schule, einem Fotostudio oder einem Geschäftspartner. Auch ein lange nicht benutzter Stick aus der eigenen Schublade kann Dateien enthalten, deren Herkunft nicht mehr nachvollziehbar ist. Das weitere Vorgehen hängt deshalb davon ab, ob der Datenträger erwartet wurde, wem er gehört und ob darauf wichtige Daten vermutet werden. Ein zufällig gefundener Stick sollte gar nicht selbst untersucht werden. Bei einem eigenen oder geschäftlich übergebenen Datenträger kann dagegen eine kontrollierte Prüfung sinnvoll sein.
Wann der USB-Stick ein mögliches Beweismittel ist
Besteht der Verdacht auf Datendiebstahl, Sabotage, Betrug, unerlaubte Datenkopien oder einen gezielten Angriff, darf der Stick nicht wie ein gewöhnlicher Datenträger behandelt werden. Bereits das Anschließen, Öffnen, Scannen oder Reparieren kann Daten, Zeitstempel und andere technische Spuren verändern. In solchen Fällen sollte die Untersuchung einer professionellen Computer-Forensik überlassen werden. Forensische Verfahren arbeiten unter anderem mit dokumentierten Sicherungskopien und Schreibschutzmechanismen, damit das Original möglichst unverändert bleibt. NIST behandelt die Erhaltung digitaler Beweismittel als eigenständige Aufgabe, weil digitale Daten besonders leicht verändert, vervielfältigt oder beschädigt werden können.
Warum ein normaler Schreibschutz nicht genügt
Viele ältere USB-Sticks und SD-Kartenadapter besitzen einen mechanischen Schalter, der als Schreibschutz bezeichnet wird. Ob dieser Schutz tatsächlich zuverlässig vom Gerät umgesetzt wird, lässt sich von außen jedoch nicht sicher beurteilen. Professionelle Untersuchungen verwenden deshalb geprüfte Hardware- oder Softwarelösungen, die Schreibbefehle an den Datenträger blockieren. Solche sogenannten Write Blocker sollen Lesezugriffe ermöglichen, ohne Veränderungen am angeschlossenen Speichermedium zuzulassen. Das vom US-Justizministerium und NIST unterstützte Testprogramm für forensische Werkzeuge prüft entsprechende Geräte anhand definierter Anforderungen. Für eine private Virenprüfung ist dieser Aufwand meist nicht notwendig, bei einem möglichen Beweismittel kann er dagegen entscheidend sein.
Ein Virenscan verändert die Beweislage möglicherweise
Der naheliegende Rechtsklick auf den Datenträger mit anschließendem Virenscan ist bei einem möglichen Sicherheitsvorfall nicht automatisch die richtige erste Maßnahme. Ein Schutzprogramm kann Dateien öffnen, Archive analysieren, Bedrohungen in Quarantäne verschieben oder schädliche Inhalte löschen. Gleichzeitig entstehen auf dem untersuchenden Computer neue Protokolle und Zugriffszeiten. Für die alltägliche Sicherheitsprüfung eines eigenen Datenträgers ist ein Virenscan sinnvoll. Soll dagegen später nachvollzogen werden, welche Dateien ursprünglich vorhanden waren, wann sie gespeichert wurden und ob jemand Daten manipuliert hat, muss zuerst eine forensisch geeignete Sicherung erstellt werden.
Ein alter Ersatz-PC ist nicht automatisch eine sichere Prüfstation
Häufig wird empfohlen, einen unbekannten Stick einfach an einen alten Computer anzuschließen. Ein ausrangierter Rechner ist jedoch nur dann eine sinnvolle Testumgebung, wenn sein Zustand kontrolliert wird. Ein jahrelang nicht aktualisiertes Windows besitzt möglicherweise bekannte Sicherheitslücken und ist damit besonders ungeeignet. Ist der Rechner mit dem Heimnetz verbunden, kann eine Infektion außerdem andere Systeme erreichen. Persönliche Dokumente, gespeicherte Passwörter, Browserprofile und Cloud-Zugänge dürfen auf einem Prüfgerät nicht vorhanden sein. Ein alter Familien-PC mit noch angemeldeten Benutzerkonten ist deshalb keine isolierte Testumgebung, sondern lediglich ein weiteres potenzielles Opfer.
Aktualisieren muss vor dem Isolieren erfolgen
Soll ein eigener oder erwarteter USB-Stick wegen eines Malwareverdachts kontrolliert werden, wird ein dafür vorgesehenes Testsystem zunächst vollständig aktualisiert. Betriebssystem, Virensignaturen und eingesetzte Prüfprogramme müssen auf dem aktuellen Stand sein. Erst danach wird die Netzwerkverbindung getrennt. Ein nicht aktualisiertes System erhält durch die spätere Isolation keine neuen Schutzinformationen mehr. Der richtige Ablauf besteht daher aus Aktualisierung, Neustart, Kontrolle des Schutzstatus und anschließender Trennung von WLAN und Netzwerkkabel. Auf dem Rechner sollten sich keine wertvollen Daten befinden, und vorhandene Laufwerksfreigaben müssen deaktiviert sein.
AutoPlay vor dem Anschließen deaktivieren
Windows kann beim Einstecken eines Wechseldatenträgers automatisch eine Auswahl anzeigen oder eine festgelegte Aktion ausführen. Vor einer kontrollierten Prüfung sollte AutoPlay deaktiviert beziehungsweise für Wechseldatenträger auf eine neutrale Aktion eingestellt werden. Unter Windows 11 befinden sich die entsprechenden Optionen in den Einstellungen unter „Bluetooth und Geräte“ und „Automatische Wiedergabe“. Microsoft bestätigt, dass sich dort die Standardaktionen für Wechseldatenträger und Speicherkarten festlegen lassen. Das Abschalten von AutoPlay ersetzt keinen Virenschutz, verhindert aber, dass Windows nach dem Anschließen ungefragt eine zuvor konfigurierte Aktion startet.
Das Fenster nicht durch Doppelklick öffnen
Nach dem Anschließen sollte der Datenträger nicht hektisch über ein eingeblendetes Fenster geöffnet werden. Zuerst wird geprüft, wie Windows das Gerät erkannt hat. Erscheint lediglich ein neues Laufwerk, kann anschließend ein gezielter Sicherheitsscan erfolgen. Öffnen sich dagegen unerwartet Eingabefenster, starten Programme oder bewegt sich der Mauszeiger ohne Eingabe, muss das Gerät sofort getrennt werden. Ein USB-Gerät kann sich gegenüber dem Betriebssystem als andere Geräteklasse ausgeben. Die Tatsache, dass es die Form eines Speichersticks besitzt, beweist daher nicht, dass Windows ausschließlich einen passiven Datenträger erkennt.
Den gesamten Datenträger gezielt scannen
Microsoft Defender kann Wechseldatenträger in eine benutzerdefinierte Prüfung einbeziehen. Dazu wird in Windows-Sicherheit der Bereich für Viren- und Bedrohungsschutz geöffnet, eine benutzerdefinierte Überprüfung gewählt und das Laufwerk des USB-Sticks als Ziel angegeben. Microsoft dokumentiert außerdem, dass Wechseldatenträger bei entsprechend konfigurierten vollständigen Überprüfungen untersucht werden können. Vor dem Scan müssen die Sicherheitsinformationen aktualisiert worden sein. Werden Bedrohungen gefunden, sollte nicht sofort wahllos bereinigt werden, solange sich wichtige oder möglicherweise beweiserhebliche Daten auf dem Stick befinden.
Ein einzelner unauffälliger Scan beweist keine Sicherheit
Antivirenprogramme erkennen bekannte Schadsoftware, verdächtige Verhaltensmuster und bestimmte manipulierte Dateien. Sie können jedoch nicht garantieren, dass ein Datenträger ungefährlich ist. Neue oder speziell angepasste Schadprogramme werden möglicherweise noch nicht erkannt. Passwortgeschützte Archive lassen sich ohne Kennwort nicht vollständig untersuchen. Auch ein manipuliertes USB-Gerät, das sich nicht nur als Speicher anmeldet, wird durch einen gewöhnlichen Dateiscan nicht zuverlässig bewertet. Ein negatives Scanergebnis bedeutet deshalb lediglich, dass das eingesetzte Programm zu diesem Zeitpunkt nichts erkannt hat.
Mehrere Scanner nicht gleichzeitig installieren
Der Wunsch nach zusätzlicher Sicherheit führt schnell dazu, dass mehrere vollständige Antivirenprogramme parallel installiert werden. Das ist keine gute Prüfstrategie. Echtzeitschutzmodule können sich gegenseitig behindern, Dateien gleichzeitig sperren und widersprüchliche Ergebnisse erzeugen. Sinnvoller ist ein aktueller Hauptscanner und bei Bedarf eine zusätzliche Untersuchung einzelner Dateien oder einer zuvor erstellten Kopie mit einem geeigneten Zweitmeinungswerkzeug. Vertrauliche Geschäftsdokumente, persönliche Unterlagen und möglicherweise rechtswidrige Inhalte dürfen dabei nicht unüberlegt bei öffentlichen Onlinediensten hochgeladen werden.
Dateiendungen müssen vollständig sichtbar sein
Eine Datei mit dem angezeigten Namen „Rechnung.pdf“ kann tatsächlich anders heißen, wenn Windows bekannte Dateiendungen ausblendet. Ein möglicher vollständiger Name wäre beispielsweise „Rechnung.pdf.exe“. Vor dem Öffnen von Dateien sollten im Datei-Explorer deshalb die Dateinamenerweiterungen eingeblendet werden. Besondere Vorsicht ist bei ausführbaren Formaten, Skripten, Verknüpfungen und Installationsdateien erforderlich. Dazu gehören unter anderem Dateien mit Endungen wie EXE, MSI, CMD, BAT, VBS, JS, SCR und LNK. Eine harmlose Bezeichnung oder ein bekanntes Symbol sagt allein nichts über den tatsächlichen Dateityp aus.
Verknüpfungen können echte Ordner vortäuschen
Schädlich präparierte Datenträger enthalten mitunter Verknüpfungen, deren Symbole wie normale Ordner oder Dokumente aussehen. Beim Öffnen startet zunächst ein hinterlegter Befehl, bevor möglicherweise der erwartete Inhalt angezeigt wird. Dadurch kann der Nutzer den Eindruck gewinnen, lediglich einen gewöhnlichen Ordner geöffnet zu haben. Vor allem LNK-Dateien sollten auf einem nicht vertrauenswürdigen Datenträger nicht ausgeführt werden. Werden die Dateiendungen vollständig angezeigt, lassen sich solche Konstruktionen leichter erkennen. Auch ungewöhnlich kleine Dateien, die denselben Namen wie erwartete Ordner tragen, verdienen besondere Aufmerksamkeit.
Office-Dokumente nicht mit aktivem Inhalt freigeben
Word-, Excel- und PowerPoint-Dateien können aktive Inhalte, eingebettete Objekte oder Makros enthalten. Öffnet Office ein Dokument in der geschützten Ansicht, darf die Bearbeitung nicht allein deshalb aktiviert werden, weil die Datei sichtbar leer oder unvollständig erscheint. Aufforderungen wie „Inhalt aktivieren“, „Makros zulassen“ oder „Bearbeitung einschalten“ sind bei unbekannter Herkunft ein Warnsignal. Das Dokument sollte geschlossen und zunächst auf einer Kopie weiter untersucht werden. Auch PDF-Dateien, Bilder und Archive sind nicht grundsätzlich ungefährlich, weil Sicherheitslücken in den jeweils verwendeten Anzeigeprogrammen ausgenutzt werden können.
Archive nicht vorschnell entpacken
ZIP-, RAR- und 7z-Archive können zahlreiche Dateien enthalten, verschachtelt sein oder durch Kennwörter geschützt werden. Ein Schutzprogramm kann nur untersuchen, was es tatsächlich entschlüsseln und verarbeiten kann. Microsoft Defender ist grundsätzlich in der Lage, verschiedene Archivformate zu scannen, sofern die Archivprüfung nicht deaktiviert wurde. Ein passwortgeschütztes Archiv aus unbekannter Quelle sollte dennoch nicht allein aufgrund eines unauffälligen Scans geöffnet werden. Besonders verdächtig ist es, wenn das Kennwort direkt neben dem Archiv in einer Textdatei liegt und darin ausführbare Programme enthalten sind.
Keine Dateien auf den Hauptrechner kopieren
Selbst wenn eine Datei zunächst nicht geöffnet wird, sollte sie nicht vorsorglich auf den normalen Arbeitscomputer kopiert werden. Damit gelangt der unbekannte Inhalt in eine Umgebung mit persönlichen Daten, angemeldeten Cloud-Konten und Netzwerkzugriff. Außerdem kann die Datei später versehentlich über die Suche, eine Vorschaufunktion oder ein Synchronisationsprogramm verarbeitet werden. Benötigte Dateien werden erst nach abgeschlossener Prüfung auf einen separaten, leeren Datenträger kopiert. Bei wichtigen Dokumenten empfiehlt sich zusätzlich eine Konvertierung in ein weniger aktives Format, sofern der Inhalt dadurch nicht verfälscht wird.
Vorschaubereiche während der Prüfung ausschalten
Der Datei-Explorer kann Inhalte anzeigen, ohne dass der Nutzer bewusst einen Doppelklick ausführt. Vorschau- und Detailbereiche greifen dafür auf installierte Erweiterungen und Anzeigeprogramme zurück. Bei unbekannten Dateien sollte der Vorschau-Bereich deshalb deaktiviert bleiben. Auch Miniaturansichten können zusätzliche Dateizugriffe verursachen. Das Risiko ist bei einem vollständig aktualisierten System zwar geringer, doch eine kontrollierte Untersuchung vermeidet jeden unnötigen Kontakt mit dem Inhalt. Die Dateien werden zunächst nach Typ, Größe und Name beurteilt, bevor ein ausgewähltes Dokument in einer geeigneten isolierten Umgebung geöffnet wird.
Hardwareverschlüsselung und BitLocker nicht umgehen
Erscheint ein Datenträger verschlüsselt und verlangt ein Kennwort oder einen Wiederherstellungsschlüssel, sollte nicht mit beliebigen Entsperrwerkzeugen experimentiert werden. Bei einem fremden Fundstück ist die Verschlüsselung ein weiterer Grund, den Stick ungeöffnet abzugeben. Bei einem eigenen Datenträger muss geklärt werden, welches Verschlüsselungsverfahren verwendet wurde und wo der zugehörige Schlüssel gespeichert ist. Reparaturversuche, Neuformatierungen und Änderungen an Partitionen können eine spätere Datenrettung erschweren. Ohne den korrekten kryptografischen Schlüssel lassen sich stark verschlüsselte Inhalte nicht durch einen einfachen Virenscan oder ein normales Wiederherstellungsprogramm zugänglich machen.
Eine Aufforderung zum Formatieren nicht bestätigen
Windows kann beim Anschließen melden, dass der Datenträger formatiert werden müsse. Diese Meldung bedeutet nicht zwangsläufig, dass der Stick leer ist. Möglich sind ein beschädigtes Dateisystem, ein unbekanntes Format, eine defekte Speicherstruktur oder eine Verschlüsselung. Das Formatieren legt neue Dateisystemstrukturen an und kann vorhandene Informationen überschreiben. Werden Daten benötigt, muss die Meldung abgebrochen werden. Anschließend sollte entschieden werden, ob eine normale Datenrettung genügt oder ob wegen eines Sicherheitsvorfalls eine forensische Sicherung erforderlich ist.
Einen versehentlich angeschlossenen Stick richtig behandeln
Wurde ein unbekannter Stick bereits am normalen Computer angeschlossen, sollte nicht in Panik sofort das gesamte System gelöscht werden. Zunächst wird der Stick entfernt und der Computer vom Netzwerk getrennt. Danach wird dokumentiert, wann das Gerät angeschlossen wurde, welche Fenster erschienen und ob Dateien geöffnet oder Programme gestartet wurden. Ein aktueller vollständiger Sicherheitsscan ist sinnvoll, sofern kein möglicher strafrechtlicher oder geschäftskritischer Vorfall untersucht werden muss. Bei ungewöhnlichen Eingaben, deaktiviertem Virenschutz, neu angelegten Benutzerkonten, unbekannten Programmen oder verdächtigem Netzwerkverkehr sollte das System nicht weiter für vertrauliche Arbeiten verwendet werden.
Passwörter nicht vom möglicherweise betroffenen PC ändern
Besteht ein ernsthafter Verdacht auf eine Kompromittierung, sollten wichtige Passwörter von einem anderen, vertrauenswürdigen Gerät geändert werden. Geschieht die Änderung auf dem möglicherweise infizierten Computer, könnten neue Zugangsdaten ebenfalls erfasst werden. Besonders wichtig sind E-Mail-Konto, Passwortmanager, Cloudspeicher, Onlinebanking und Administrationszugänge. Wo verfügbar, sollte zusätzlich eine Mehrfaktor-Authentifizierung eingerichtet oder kontrolliert werden. Bereits aktive Sitzungen können je nach Dienst separat beendet werden. Das verdächtige System bleibt bis zur Klärung vom Netzwerk getrennt.
Warum Formatieren keinen unbekannten Stick vertrauenswürdig macht
Eine vollständige Formatierung entfernt das vorhandene Dateisystem und die gespeicherten Dateien je nach Verfahren mehr oder weniger gründlich. Sie beweist jedoch nicht, dass die Geräteelektronik unverändert und vertrauenswürdig ist. Bei einem eigenen Stick aus nachvollziehbarer Quelle kann eine Neuformatierung nach erfolgreicher Prüfung eine sinnvolle Wiederverwendung ermöglichen. Ein zufällig gefundenes oder gezielt zugeschicktes unbekanntes Gerät sollte dagegen nicht aus Sparsamkeit weiterbenutzt werden. Der geringe Anschaffungspreis eines neuen Datenträgers rechtfertigt kein dauerhaftes Restrisiko.
Sicher entfernen verhindert zusätzliche Dateisystemschäden
Nach einer normalen Prüfung eines nicht beweisrelevanten Datenträgers sollte der Stick über die Windows-Funktion zum sicheren Entfernen ausgeworfen werden. Dadurch kann das Betriebssystem noch ausstehende Schreibvorgänge abschließen und den Datenträger kontrolliert abmelden. Microsoft empfiehlt die Funktion zum sicheren Entfernen externer Hardware, um Datenverluste zu vermeiden. Bei einem Gerät, das sich auffällig verhält, unerwartete Eingaben ausführt oder Programme startet, ist dagegen die sofortige physische Trennung wichtiger als ein geordneter Auswurf.
Die sicherste Entscheidung hängt vom Zweck ab
Ein öffentlich gefundener USB-Stick gehört zur zuständigen Fund- oder Sicherheitsstelle und nicht in den eigenen Computer. Ein erwarteter Datenträger mit unklarer Vorgeschichte kann auf einem aktualisierten, isolierten und entbehrlichen System kontrolliert werden. Ein Stick, der möglicherweise mit einem Angriff, Datendiebstahl oder anderen relevanten Vorgängen zusammenhängt, darf nicht eigenmächtig geöffnet, bereinigt oder formatiert werden. Die wichtigste Schutzmaßnahme besteht nicht in einem bestimmten Scanner, sondern in der richtigen Entscheidung vor dem ersten Anschließen.
