Wechseldatenträger sind im Mittelstand allgegenwärtig — und sie gehören zu den am meisten unterschätzten Einfallswegen in die Unternehmens-IT. Mit dem NIS2-Umsetzungsgesetz ist der Umgang mit USB-Sticks und externen Datenträgern keine Frage guter Praxis mehr, sondern eine rechtliche Pflicht. Dieser Beitrag ordnet ein, was sich konkret geändert hat und welche Schritte jetzt anstehen.
NIS2 gilt — seit Dezember 2025, ohne Übergangsfrist
Lange galt NIS2 als Zukunftsthema. Das ist vorbei. Das deutsche Umsetzungsgesetz (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft — und zwar ohne Übergangsfrist: Die geforderten Maßnahmen müssen seit dem ersten Tag erfüllt sein.
Mit dem Gesetz wächst der Kreis der betroffenen Unternehmen sprunghaft von rund 4.500 bisher regulierten Organisationen auf etwa 29.500. Betroffen sind 18 Sektoren, darunter Produktion, Maschinenbau, Logistik, Chemie und Lebensmittel — ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz für „wichtige Einrichtungen“ und ab 250 Beschäftigten oder 50 Millionen Euro Umsatz für „besonders wichtige Einrichtungen“.
Die Pflichten sind erheblich: Risikomanagementmaßnahmen in zehn Bereichen, darunter Schutz vor Schadprogrammen, sowie verschärfte Meldepflichten an das BSI mit einer Frühwarnung binnen 24 Stunden. Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — und die Verantwortung liegt ausdrücklich bei der Geschäftsleitung, die persönlich haftet.
Der Lieferketten-Hebel
Für den Mittelstand ist ein zweiter Punkt mindestens so wichtig wie die direkte Betroffenheit. NIS2 verpflichtet die erfassten Unternehmen, die Sicherheit ihrer Lieferkette zu berücksichtigen — also auch die Sicherheitspraxis ihrer unmittelbaren Lieferanten und Dienstleister.
Damit wirkt das Gesetz weit über den unmittelbar regulierten Kreis hinaus. Ein kleinerer Zulieferer, der selbst unterhalb der Schwellenwerte liegt, wird über die Anforderungen seiner größeren Kunden faktisch mit in die Pflicht genommen. Wer nachweisen kann, dass eingehende Datenträger kontrolliert und protokolliert werden, verschafft sich genau in diesen Lieferantenbewertungen einen Vorteil.
Was das für Wechseldatenträger bedeutet
Das BSI nennt Wechseldatenträger ausdrücklich als eine der größten Bedrohungen im operativen Umfeld. Im Raster von NIS2 und BSI-Grundschutz lassen sich daraus mehrere konkrete Anknüpfungspunkte ableiten:
- Zugriffskontrolle und Authentifizierung (§ 30 BSIG Nr. 9) — Vorgänge müssen einer Person zugeordnet werden können.
- Detektion und Vorfallbehandlung (§ 30 BSIG Nr. 2) — eingehende Datenträger müssen geprüft, Befunde behandelt werden.
- Meldefähigkeit — für die 24- und 72-Stunden-Meldungen braucht es ein belastbares, nachvollziehbares Protokoll.
- Umgang mit Wechseldatenträgern (BSI SYS.4.5) — Prüfung vor Nutzung, kontrollierter und dokumentierter Umgang.
Verbot oder Ignorieren greifen zu kurz
In der Praxis sind zwei Reaktionen verbreitet, und beide greifen zu kurz. Das Ignorieren verlässt sich auf den Endpoint-Virenschutz, der gerätebasierte Angriffe häufig gar nicht erkennt. Das pauschale Verbot sperrt Ports per Richtlinie oder verklebt sie physisch — das kostet Produktivität, wird im Zweifel umgangen und hilft dort nicht weiter, wo USB tatsächlich gebraucht wird, etwa an der Maschine.
Der dritte Weg ist die kontrollierte, nachvollziehbare USB-Nutzung: ein dedizierter Prüfpunkt, der genau den Moment des Einsteckens absichert. Wie ein solcher Prüfpunkt funktioniert, beschreiben wir im Detail in unserem Whitepaper zur USB-Datenschleuse.
Was Sie jetzt tun können
- Betroffenheit prüfen. Klären Sie — idealerweise mit Ihren Datenschutz- und Rechtsverantwortlichen — ob Ihr Unternehmen als „wichtige“ oder „besonders wichtige“ Einrichtung gilt oder über die Lieferkette in die Pflicht gerät.
- Konzept für Wechseldatenträger schaffen. Halten Sie fest, wie fremde Datenträger ins Unternehmen gelangen dürfen und wer dafür verantwortlich ist.
- Einen kontrollierten Prüfpunkt einführen. Statt Verbot oder Blindflug: ein Ort, an dem fremde Datenträger geprüft werden, bevor ihre Dateien produktive Rechner erreichen — mit einem revisionssicheren Audit-Log als Nachweisgrundlage.
Die USB-Datenschleuse von Malware Hunter ist genau dafür gebaut: identitätsgebundene Prüfung, mehrschichtige Scan-Pipeline und ein revisionssicheres Protokoll — zugeschnitten auf den Mittelstand. Wenn Sie Ihre konkrete Situation besprechen möchten, fragen Sie eine Demo an.
Dieser Beitrag ersetzt keine Rechtsberatung. Die Betroffenheit durch NIS2 und die datenschutzrechtliche Bewertung sind einzelfallabhängig und durch die zuständigen Fachleute des jeweiligen Unternehmens zu prüfen.