USB-Zugangsrichtlinie

Die Gerätekontrolle verwaltet den Gerätezugang an Endgeräten anhand von Richtlinien. Die Einstellungen enthalten getrennte Bereiche für USB Admission und Hardware Control. Der USB-Bereich unterstützt Regeln nach Gerätetyp, Modell oder konkretem Gerät; die Hardwarekontrolle bietet Schalter für Gerätekategorien. Beide Bereiche werden getrennt aktiviert. Aus der Konfiguration eines Bereichs folgt nicht, dass der andere genauso wirksam ist.

Diese Seite beschreibt USB-Zugangsrichtlinien, Tests und die Prüfung von Aufzeichnungen anhand von Windows-Pilotendgeräten. Die Kontrolle kann Tastaturen, Mäuse, Netzwerkverbindungen und andere geschäftliche Peripheriegeräte beeinflussen. Bereiten Sie vor Änderungen einen funktionierenden Wiederherstellungsweg vor. Verteilen Sie Sperrregeln nicht ohne Tests an alle Endgeräte.

Die Namen der Bedienelemente beziehen sich auf die englische Oberfläche und können bei einer anderen Oberflächensprache abweichen.

Vorbereitung

• Verwenden Sie ein Administratorkonto mit Rechten für Richtlinien der einheitlichen Endgeräteverwaltung und zur Anzeige der Gerätekontrolle. Prüfen Sie, ob der verwaltete Client auf den Pilotendgeräten installiert und verbunden ist, die erforderliche Berechtigung besteht und die Geräte im vorgesehenen Richtlinienbereich liegen.
• Dokumentieren Sie Pilotendgeräte, bestehende Richtlinien sowie Eingabe-, Netzwerk- und geschäftliche Peripheriegeräte. Stellen Sie Personal vor Ort und einen getesteten Wiederherstellungsweg bereit. Verlassen Sie sich nicht ausschließlich auf eine Remote-Verbindung, die durch die Änderung unterbrochen werden könnte.
• Bereiten Sie genehmigte Testgeräte und nicht vertrauliche Testinhalte vor. Verwenden Sie unterscheidbare Geräte, die erlaubt beziehungsweise eingeschränkt sein sollen. Die Erkennung kann vom Gerät und der Anschlussart abhängen; prüfen Sie das im Pilotversuch.
• Prüfen Sie bei zusätzlicher Nutzung von Wechselspeicherfunktionen deren Richtlinien und tatsächliche Ergebnisse separat. USB-Zugangskontrolle, Wechselspeicherinventar und Verschlüsselung sind unterschiedliche Einstellungen. Ein sichtbares Gerät belegt nicht, dass Lese-/Schreib-, Verschlüsselungs- oder Weitergabebedingungen erfüllt sind.

USB-Zugang für Pilotendgeräte konfigurieren

1. Öffnen Sie in der einheitlichen Endgeräteverwaltung Policy und erstellen oder bearbeiten Sie eine genehmigte Richtlinie. Prüfen Sie Name, Zielbereich und Gültigkeitszeit. Bewerten Sie vor Änderungen einer bestehenden Richtlinie die Auswirkungen auf weitere Zielgeräte. Create Policy erstellt direkt eine Endpunktrichtlinie: Bearbeiten Sie Targets, wählen Sie berechtigte, verfügbare Pilotendgeräte und bestätigen Sie die Auswahl. Das benachbarte Menü bietet auch Gruppen- und Tag-Richtlinien; für Tags ist eine entsprechende Administratorrolle erforderlich. Prüfen Sie vor der Auswahl die tatsächlich erfassten Geräte, damit der Pilot nicht unbeabsichtigt erweitert wird. Wählen Sie bei einem benutzerdefinierten Zeitplan mindestens ein Zeitfenster. Nach dem Bestätigen der allgemeinen Einstellungen muss weiterhin die gesamte Richtlinie gespeichert werden.
2. Aktivieren Sie in den Richtlinieneinstellungen Device Control und wählen Sie Settings. Öffnen Sie USB Admission und prüfen Sie den Schalter Enable USB Admission. Der Hauptschalter und die Untereinstellungen beeinflussen sich gegenseitig; prüfen Sie vor dem Speichern beide Bereiche getrennt.
3. Wählen Sie zunächst Observe Mode unter Policy Mode und prüfen Sie Default Action sowie Offline Action nach Organisationsvorgaben. Im Beobachtungsmodus erzwingen USB-Regeln keine Sperre wie im Durchsetzungsmodus. Eine angezeigte Regelaktion oder ein Ereignis ersetzt keinen tatsächlichen Gerätetest. Offline-Optionen umfassen Keep Authorized Devices Available und Block Unknown Devices. Prüfen Sie das Verhalten mit dem jeweiligen Modus, Gerät und Berechtigungszustand; nehmen Sie nicht an, dass alle Geräte erlaubt oder gesperrt werden.
4. Prüfen Sie integrierte Ausnahmen für Tastaturen, Mäuse, Touchpads, interne Busse und vertrauenswürdige HID-Teilschnittstellen. Das Entfernen einer Ausnahme kann Eingabe- oder Geschäftsgeräte beeinträchtigen. Bewerten und testen Sie Änderungen zuerst in einer wiederherstellbaren Pilotumgebung. Entfernen Sie Ausnahmen nicht pauschal zur Vereinfachung.
5. Wählen Sie unter Device rules die Aktion Add rule, geben Sie einen Regelnamen ein und wählen Sie bei Bedarf Device type, Device model oder Exact device. Legen Sie die geforderten Bedingungen und eine Erlauben- oder Sperren-Aktion fest. Ein konkretes Gerät wird aus erkannten Geräten ausgewählt. Prüfen Sie Modell und Bedingungen anhand tatsächlicher Identifikationsdaten; gleichnamige Geräte müssen nicht dieselben Kennungen haben.
6. Prüfen Sie die Reihenfolge und verschieben Sie Regeln bei Bedarf nach oben oder unten. Die Liste wird der Reihe nach abgeglichen; ohne Treffer gilt die Standardaktion. Integrierte Ausnahmen und autorisierte Geräte können das Ergebnis ebenfalls beeinflussen. Leiten Sie nicht alle Ergebnisse aus einer einzelnen Regel ab.
7. Bestätigen und speichern Sie Regeln, Gerätekontrolldialog und gesamte Richtlinie jeweils. Öffnen Sie die Einstellungen erneut zur Prüfung. Warten Sie, bis die Pilotendgeräte die Richtlinie erhalten haben, und testen Sie anschließend. Ein erfolgreicher Speichervorgang in der Konsole bedeutet keine Ausführung auf dem Endgerät.

Richtlinienmodus und Standardaktion: Policy Mode bestimmt, ob USB-Zugriffe blockiert werden. Default Action gilt, wenn ein Gerät nicht zuvor durch eine integrierte Ausnahme oder Autorisierung behandelt wird und keine Geräteregel zutrifft; verfügbar sind Allow, Block und Alert Only. Im Observe Mode wird eine USB-Sperre auch bei Block als Regel oder Standard nicht durchgesetzt. Alert Only ist lediglich eine Standardaktion und ersetzt weder die Prüfung des Gesamtmodus noch garantiert es einen sichtbaren Alarm. Bei einer neuen Konfiguration sind Observe Mode, Standard Block und offline Block Unknown Devices die anfänglichen UI-Werte; dies sind weder Sicherheitsempfehlungen noch Aussagen über bestehende Richtlinien. Vor Enforce Mode Standard, Regeln, Ausnahmen und Offline-Aktion prüfen und nicht passende Geräte sowie Wiederherstellung testen. Offline kann Block Unknown Devices nicht autorisierte Geräte auch dann blockieren, wenn der Standard Allow oder Alert Only ist; Erkennung und Modus beeinflussen das Ergebnis. Keep Authorized Devices Available erlaubt nicht automatisch alle anderen Geräte; Regeln und Standard bleiben zu prüfen.

Abgleichtyp ändern: Im Geräteregelleditor löscht die Auswahl eines Abgleichtyps die Gerätebedingungen im aktuellen Regelentwurf, auch wenn der bereits gewählte Typ erneut angeklickt wird. Vor einer Änderung die bisherigen Bedingungen notieren, erneut eingeben oder auswählen und prüfen; anschließend Regel und gesamte Richtlinie speichern. Nicht von einer automatischen Wiederherstellung der Bedingungen ausgehen.

Gerätemodell-Abgleich: Bei der USB-Zugriffskontrolle unter Windows müssen mehrere eingegebene Bedingungen ohne Platzhalter in einer Gerätemodellregel jeweils mit den erkannten Geräteinformationen übereinstimmen. Prüfen Sie beispielsweise Hersteller, Produktname und Seriennummer einzeln, wenn alle angegeben sind. Der Regeleditor kann eine Regel ohne Abgleichbedingungen speichern; eine leere Regel trifft jedoch auf kein Gerät zu. Ergänzen Sie die Zielbedingungen vor dem Speichern der gesamten Richtlinie und testen Sie sie mit Pilotgeräten.

Geräteauswahl im Regeleditor: Beim Öffnen der Gerätekontrolle lädt die Auswahl die erste Seite erkannter Geräte mit höchstens 100 Einträgen und zusätzlich bis zu 200 zu bestehenden Regeln für konkrete Geräte gehörende Einträge. Die Suche filtert nur geladene Kandidaten und durchsucht nicht alle historischen Geräte. Ein fehlender Kandidat beweist keine fehlende Erkennung. Prüfen Sie Endpunktmeldungen, Administratorrechte und Laden und kontaktieren Sie bei Bedarf den Support. Lockern Sie eine Regel nicht ohne Folgenabschätzung, nur um ein Gerät auswählen zu können. Dieser Umfang unterscheidet sich von den jeweils 20 Einträgen der Listen für Bestand, Ereignisse und Alarme; siehe Gerätezugang prüfen und Ergebnisse. Wenn eine der Kandidatenabfragen fehlschlägt, kann die Auswahl ebenfalls leer sein.

Beobachtung und Sperre testen

1. Schließen Sie im Wartungsfenster ein Testgerät an ein Pilotendgerät an. Prüfen Sie im Beobachtungsmodus die tatsächliche Nutzbarkeit sowie Gerät, Endgerät, Zeit und Trefferangaben unter Device Ledger und Events. Die Sichtbarkeit von Aufzeichnungen hängt unter anderem von der Endgeräteübermittlung und dem Sichtbereich des Administrators ab.
2. Passen Sie Regeln, Ausnahmen und Standardaktion bei Bedarf an und testen Sie erlaubte und einzuschränkende Geräte getrennt. Bevor Sie eine tatsächliche Einschränkung aktivieren, bestätigen Sie den Wiederherstellungsweg, stellen Policy Mode der Pilotrichtlinie auf Enforce Mode, speichern und bestätigen den Empfang auf dem Endgerät. Testen Sie danach erneut.
3. Prüfen Sie sowohl die tatsächliche Nutzbarkeit am Endgerät als auch die Konsolenereignisse. Bei einigen Geräten mit nicht erkennbarer Kategorie kann die Sperre übersprungen werden; nehmen Sie nicht an, dass der Durchsetzungsmodus alle Geräte abdeckt. Eine beabsichtigte Aktion oder ein Sperrereignis allein belegt keine erfolgreiche Einschränkung durch das Betriebssystem. Stoppen Sie bei Ausführungsfehlern oder Abweichungen die weitere Ausweitung und untersuchen Sie diese.
4. Testen Sie benötigte Offline-Szenarien mit autorisierten und nicht autorisierten Geräten unter sicheren Wartungsbedingungen. Stellen Sie danach das Netzwerk wieder her und prüfen Sie den Zustand. Übertragen Sie das Ergebnis eines einzelnen Geräts, Anschlusses oder Endgeräts nicht auf alle Umgebungen.
5. Erweitern Sie den Geltungsbereich nach erfolgreichem Pilot schrittweise gemäß Änderungsprozess und halten Sie eine Möglichkeit zur schnellen Anpassung oder Deaktivierung der Richtlinie bereit.