In vielen Tenants, die ich betreue, ist die Kontrolle von USB-Speichermedien nach wie vor ein Dauerbrenner. Mit Zero Trust und moderner Endpoint-Security gewinnt das Thema zusätzlich an Gewicht. Früher konnte jeder, der einen Rechner physisch vor sich hatte, Daten meist ohne Weiteres auf einen beliebigen Stick kopieren. Mit Device Control USB über Microsoft Defender for Endpoint und Intune lässt sich das endlich gezielt und zentral steuern.

Intune, Defender und Advanced Hunting greifen bei Device Control USB ineinander

In Microsoft Intune hat die Gerätesteuerung ihren eigenen Platz unter Endpoint-Sicherheit → Angriffsflächenreduzierung → Gerätesteuerung. Technisch bauen diese Richtlinien auf Defender for Endpoint auf, sie regeln aber direkt den Zugriff auf Wechselmedien an Windows-Geräten. Besonders interessant finde ich, dass sich Regeln nach Hersteller- oder Produkt-ID und nach Seriennummer definieren lassen. Damit sind feingranulare Sperren ebenso möglich wie präzise Ausnahmen, etwa für verschlüsselte Firmensticks oder bestimmte Hardware.

Vor der eigentlichen Sperre empfehle ich fast immer eine Audit-Phase. Sie zeigt, welche Geräte im Umlauf sind und ob es unerwartete Nutzungsmuster gibt. Gerade in größeren Umgebungen unterschätzt man leicht, wie viele exotische Sticks, Adapter oder sogar USB-Ethernet-Dongles im Einsatz sind. Die Device-Control-Events landen in den Defender-Portalen, wo man per Advanced Hunting gezielt nach Vorfällen suchen kann.

flowchart TD
  Policy["Gerätekontrollrichtlinie Intune"] --> Client["Windows-Endpunkt"]
  Client --> Defender["Defender for Endpoint"]
  Defender --> Hunting["Advanced Hunting Portal"]
  Client -- "USB-Stick eingesteckt" --> Policy
  Policy -- "Blockieren/Lesen/Audit" --> Client
  Client -- "Event" --> Defender
  Defender -- "KQL-Query" --> Hunting

Abbildung: So greifen Intune, Defender und Advanced Hunting bei Device Control USB ineinander

Nach dem Rollout staunt man in so mancher Umgebung, wie viele Nutzer noch private Sticks, alte Sicherungsplatten oder nicht gemeldete Hardware verwenden. Im Audit kommt all das ans Licht.

Gerätegruppen und Ausnahmen geben verschlüsselte Firmensticks gezielt frei

Device-Control-USB-Richtlinien lassen sich sehr flexibel aufbauen. Praktisch ist vor allem, dass man Gerätegruppen anhand von Hersteller- und Produkt-IDs sowie Seriennummern definieren kann. So lassen sich zum Beispiel alle gewöhnlichen USB-Sticks blockieren, während bestimmte verschlüsselte Firmensticks oder zertifizierte Medien ausdrücklich erlaubt bleiben. Wer USB-Speicher nur lesend freigeben möchte, stellt das pro Gruppe ein. Lesen ist dann möglich, Schreiben nicht. Typische Regelbausteine sehen etwa so aus:

  • Alle USB-Speichermedien blockieren
  • Nur bestimmte Seriennummern zulassen
  • Nur verschlüsselte Medien (BitLocker) erlauben
  • Leserechte für bestimmte Geräte gewähren
  • Mobile Geräte (z. B. Smartphones) separat regeln

Sobald die Richtlinie im Intune-Portal gespeichert ist, kommt sie mit der nächsten Gerätesynchronisierung auf den Endpunkten an. Dafür muss Defender for Endpoint lizenziert sein, außerdem müssen die Geräte ongeboardet sein und mindestens Windows 10 22H2 verwenden. Eine Einführung mit Schritt-für-Schritt-Screenshots findet ihr übrigens auch in der offiziellen Microsoft-Dokumentation (Übersicht zu Device Control).

Im Audit-Modus wird erst beobachtet und dann blockiert

In der Praxis rate ich dringend dazu, Device-Control-USB-Richtlinien zunächst im Audit-Modus auszurollen. Jeder Versuch, ein Speichermedium zu nutzen, wird dann protokolliert, aber noch nicht blockiert. So erkennt man, wo noch Ausnahmen fehlen oder wo man sich vorab mit den Nutzern abstimmen sollte. Stehen die wichtigsten Seriennummern und Ausnahmen fest, stellt man gezielt auf „Block“ oder „Nur Lesen“ um.

Ein PowerShell-Skript braucht man für die Analyse nur selten, weil fast alle Daten zentral in den Defender-Events zusammenlaufen. Dort lassen sich betroffene Geräte, Nutzer und Hardwaretypen bequem auswerten und die Richtlinien entsprechend nachschärfen. Oft genügt schon eine kurze Suche im Defender-Portal, um die schwarzen Schafe zu finden und passende Ausnahmen festzulegen.

Praktischer Tipp: Immer zuerst auditieren. Das erspart einem hitzige Support-Tickets am Go-Live-Tag, wenn dringend benötigte Sticks auf einmal nicht mehr funktionieren.

Advanced Hunting macht jedes USB-Ereignis im Log sichtbar

Die wirklich interessanten Details stecken in den DeviceEvents von Defender for Endpoint. Im Defender-Portal → Untersuchung & Reaktion → Hunting → Advanced Hunting macht eine einfache KQL-Abfrage alle USB-Ereignisse sichtbar, sofern man die entsprechende RBAC-Rolle und eine Lizenz für Defender for Endpoint Plan 2 hat:

DeviceEvents
| where ActionType startswith "RemovableStorage"

Das Ergebnis zeigt, welche Geräte eingesteckt wurden und ob der Zugriff erfolgreich war oder blockiert wurde, dazu Hersteller, Modell und Seriennummer. Für die Feinjustierung der Regeln ist das sehr wertvoll, bei Bedarf auch für forensische Analysen nach einem Datenabfluss. Wer tiefer einsteigen will, kann die Events zusammen mit weiteren Schutzmaßnahmen wie den Attack Surface Reduction Rules auswerten. Lesenswert sind dazu der Beitrag zu ASR-Regeln in der Praxis und Microsofts Übersicht zu ASR-Richtlinien in Intune.

Device Control USB gehört längst nicht mehr nur in Hochsicherheitsumgebungen

Was früher nur in spezialisierten Bereichen wie Forschung und Entwicklung, Pharma oder kritischer Infrastruktur Pflicht war, wird 2026 für immer mehr Unternehmen zum Standard. Device Control USB mit Defender for Endpoint und Intune holt die Kontrolle auf den Endpoint zurück, und das ohne GPO-Wildwuchs, manuelle Treiberlisten oder Insellösungen. Der Audit-Modus verhindert außerdem, dass man ins Chaos läuft. Wer noch keine Device-Control-Regeln ausgerollt hat, sollte den Start mit einem Audit fest einplanen. Gerade für Unternehmen, die Copilot oder vertrauliche KI-Workloads einsetzen, ist das der naheliegende nächste Schritt, um ihre Endpunkte abzusichern.