Zero-Trust USB Zugriff per GPO: Risiko, Restriktiv, Best Practices

Bevor wir beginnen

Wenn ein USB-Gerät bereits einmal an einem Zielrechner angeschlossen und der Treiber installiert wurde, funktioniert es auch nach dem Anwenden der Richtlinie weiterhin. Damit wirklich nur autorisierte USB-Geräte zugelassen werden, müssen auf den betroffenen Systemen zuvor alle bereits installierten USB-Treiber entfernt werden.

Zum Bereinigen der Treiber lässt sich das Drittanbieter-Tool DriveCleanup.exe von Uwe Sieber verwenden (https://www.uwe-sieber.de/). Es entfernt alle zuvor installierten USB-Speichertreiber. In einer Domänenumgebung kannst du das Tool z. B. per Anmeldeskript, Softwareverteilung oder geplanter Aufgabe verteilen. Die Nutzung erfolgt auf eigenes Risiko.

Grenzen der GPO verstehen

Die hier beschriebenen Gruppenrichtlinien verhindern die Installation neuer USB-Speichergeräte, deaktivieren aber keine bereits installierten Geräte. Das ist nicht die eingangs erwähnte Umgehung, aber eine entscheidende Einschränkung, die man vor der Einführung kennen sollte.

Schritt-für-Schritt-Konfiguration über die Gruppenrichtlinienverwaltung

1. Gruppenrichtlinienverwaltung öffnen und GPO erstellen

Starte die Gruppenrichtlinienverwaltung:

gpmc.msc

Navigiere im Editor zu:

Computerkonfiguration → Richtlinien → Administrative Vorlagen → System → Geräteinstallation → Einschränkungen bei der Geräteinstallation

2. Folgende Richtlinien konfigurieren

• Aktivieren: Anwenden einer übergeordneten Reihenfolge für Zulassen und Verhindern-Geräteinstallationsrichtlinien für alle Geräteübereinstimmungskriterien
• Aktivieren: Installation von Wechselgeräten verhindern (mit Bedacht einsetzen). Sobald deine Liste zugelassener Geräte ausgereift ist, kann diese Einstellung wieder deaktiviert werden.
• Aktivieren: Installation von Geräten verhindern, die nicht in anderen Richtlinien beschrieben sind

Sobald diese Einstellungen aktiviert sind, wird die Installation von USB-Laufwerken auf allen Zielrechnern verhindert.

3. Bestimmte USB-Geräte auf die Whitelist setzen

Um bestimmte USB-Geräte zuzulassen, benötigst du deren Hardware-IDs. Diese liest du an einem Referenzrechner aus, an dem das Gerät angeschlossen ist:

1. Schließe das USB-Gerät an, das du zulassen möchtest.
2. Öffne den Geräte-Manager.
3. Erweitere Andere Geräte oder Laufwerke.
4. Suche dein Gerät (z. B. „DiskGenie" bzw. den angezeigten Laufwerksnamen), klicke mit der rechten Maustaste darauf und wähle Eigenschaften.

4. Hardware-ID auslesen

Wechsle im Eigenschaften-Fenster zum Reiter Details:

1. Wähle unter Eigenschaft den Eintrag Hardware-IDs.
2. Kopiere den obersten angezeigten Wert.

💡 Tipp: Für eine zentrale Verteilung empfiehlt es sich, die Hardware-IDs aller freigegebenen Gerätemodelle einmal zu sammeln und im GPO zu hinterlegen. So gilt die Whitelist automatisch für jeden Rechner in der OU.

5. Geräte-IDs zur Whitelist-Richtlinie hinzufügen

Zurück im Gruppenrichtlinienverwaltungs-Editor:

1. Öffne die Richtlinie: Installation von Geräten mit diesen Geräte-IDs zulassen
   
2. Setze die Richtlinie auf Aktiviert.
   
3. Klicke auf Anzeigen…
4. Füge die zuvor kopierte Hardware-ID in die Liste ein.
   
5. Bestätige mit OK.

Richtlinie in der Domäne anwenden

Anders als bei der lokalen Konfiguration wird ein Domänen-GPO nicht sofort wirksam. Die Zielrechner übernehmen die Änderung beim nächsten Gruppenrichtlinien-Aktualisierungszyklus (standardmäßig alle 90–120 Minuten) oder beim nächsten Neustart.

Um die Aktualisierung sofort zu erzwingen, öffne auf dem Zielrechner die Eingabeaufforderung als Administrator und führe aus:

gpupdate /force

Alternativ lässt sich die Aktualisierung für ganze OUs zentral anstoßen: In der Gruppenrichtlinienverwaltung mit der rechten Maustaste auf die OU klicken und Gruppenrichtlinienaktualisierung… wählen. Windows schickt den Aktualisierungsbefehl dann als Remoteaufgabe an alle Computer der OU (setzt entsprechende Firewallregeln voraus).

Mit folgendem Befehl prüfst du auf dem Client, ob das GPO korrekt zugewiesen wurde:

gpresult /r

⚠️ Hinweis: Wenn keine Aktualisierung der Computerrichtlinie erfolgt, wurde gpupdate vermutlich nicht mit administrativen Rechten ausgeführt – oder das GPO ist nicht korrekt mit der OU des Computers verknüpft.

Möglicherweise erscheint ein neu freigegebenes Laufwerk nicht sofort. Trenne das Laufwerk in diesem Fall und schließe es erneut an. Hilft das nicht, prüfe mit gpresult /r, ob das GPO überhaupt greift.

Validierung und Test

Sobald die Richtlinie greift, sollte der Anschluss eines nicht freigegebenen USB-Speichergeräts an einem Zielrechner automatisch blockiert werden. Ein freigegebenes Gerät lässt sich hingegen normal installieren und nutzen.

Es empfiehlt sich, das GPO zunächst mit einer kleinen Test-OU zu verknüpfen und erst nach erfolgreicher Prüfung auf die produktiven OUs auszuweiten.

Alternative/Gegenmaßnahmen

⚠️ Option 1: Blockieren über die Geräteinstallationsklasse (Klassen-GUID)

⚠️ Hohes Risiko bei falscher Anwendung – gründlich testen

Statt sich ausschließlich auf Hardware-IDs zu verlassen, können Administratoren ganze Geräteklassen über ihre Klassen-GUID blockieren.

Schritte:

1. Ermittle die Klassen-GUID des Geräts (z. B. {4D36E96A-E325-11CE-BFC1-08002BE10318} für Laufwerke).
2. Bearbeite due GPO in der Gruppenrichtlinienverwaltung und navigiere zu: Computerkonfiguration → Richtlinien → Administrative Vorlagen → System → Geräteinstallation → Einschränkungen bei der Geräteinstallation
3. Aktiviere und konfiguriere die Richtlinie: Installation von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen entsprechen

Aktiviere dabei die Option Auch auf übereinstimmende Geräte anwenden, die bereits installiert sind.

⚠️ Wichtig: Das Blockieren auf Klassenebene kann ungewollt auch legitime interne Laufwerke deaktivieren – domänenweit auf allen betroffenen Rechnern. Prüfe die Auswirkungen immer in einer abgegrenzten Test-OU, bevor du die Richtlinie produktiv einsetzt.

Option 2: Wechselgeräte per Geräteklasse zulassen

Damit andere Wechselgeräte wie Tastaturen, Drucker oder Mäuse nicht ebenfalls blockiert werden (es sei denn, du möchtest die vollständige Kontrolle behalten), setze die Richtlinie:

Installation von Geräten mit Treibern zulassen, die diesen Gerätesetupklassen entsprechen

Mit dieser Richtlinieneinstellung lässt sich eine Liste von GUIDs für Treiberpakete festlegen, deren Installation Windows erlaubt. Sie ist nur zusammen mit der aktivierten Richtlinie Anwenden einer übergeordneten Reihenfolge für Zulassen und Verhindern-Geräteinstallationsrichtlinien für alle Geräteübereinstimmungskriterien sinnvoll.

Microsoft stellt eine Liste der Klassen bereit: System-Defined Device Setup Classes Available to Vendors ([Microsoft Learn]).

Gängige Klassen: