Wer hat was angeschlossen? So erstellen Sie unter WIN11 eine Log-Datei für alle USB-Aktivitäten

Ein kleiner USB-Stick, eine externe Festplatte, ein Smartphone zum Laden – USB-Geräte sind aus unserem digitalen Alltag nicht mehr wegzudenken. Sie sind praktisch, vielseitig und fast an jedem Computer zu finden. Doch gerade diese Allgegenwärtigkeit birgt auch Risiken und wirft wichtige Fragen auf: Wer hat wann welches Gerät an meinen Computer angeschlossen? Wurde ein unbekannter USB-Stick verwendet? Und wie kann ich diese Informationen für Sicherheitszwecke, zur Fehlerbehebung oder einfach zur Überwachung nachvollziehen?

In einer Welt, in der Cyberbedrohungen ständig zunehmen und die Einhaltung von Datenschutzrichtlinien immer wichtiger wird, ist die Überwachung von USB-Aktivitäten keine Option mehr, sondern eine Notwendigkeit. Windows 11 bietet leistungsstarke integrierte Tools, um genau diese Aufgabe zu meistern. Dieser umfassende Leitfaden führt Sie Schritt für Schritt durch den Prozess der Erstellung einer Log-Datei für alle USB-Aktivitäten unter Windows 11, damit Sie jederzeit den Überblick behalten.

### Warum ist die Protokollierung von USB-Aktivitäten so wichtig?

Bevor wir in die technischen Details eintauchen, lassen Sie uns kurz beleuchten, warum die Protokollierung von USB-Aktivitäten von entscheidender Bedeutung ist:

1. **Sicherheit und Datenschutz:** Ein unbekannter USB-Stick kann Malware, Viren oder andere schädliche Software enthalten. Die Protokollierung hilft Ihnen zu erkennen, ob ein solches Gerät angeschlossen wurde und wann dies geschah. Es ist ein Frühwarnsystem gegen potenzielle Datenlecks oder -diebstahl.
2. **Forensische Analyse:** Im Falle eines Sicherheitsvorfalls können USB-Aktivitätsprotokolle wertvolle Beweismittel liefern, um nachzuvollziehen, was passiert ist, wer dafür verantwortlich war und welche Daten möglicherweise kompromittiert wurden.
3. **Fehlerbehebung:** Wenn ein USB-Gerät nicht richtig funktioniert oder Systemprobleme verursacht, kann die Log-Datei Aufschluss über den Zeitpunkt des Anschlusses und eventuelle Fehlermeldungen geben, die bei der Diagnose helfen.
4. **Compliance und Audit:** In vielen Unternehmen sind strenge Vorschriften bezüglich der Nutzung von externen Speichermedien einzuhalten. Eine detaillierte Protokollierung unterstützt die Einhaltung dieser Richtlinien und dient als Nachweis bei Audits.
5. **Benutzer- und Geräteüberwachung:** Im privaten Bereich kann es hilfreich sein, nachzuvollziehen, welche Geräte von Familienmitgliedern angeschlossen wurden. In Unternehmen hilft es, die Nutzung von Unternehmensressourcen zu kontrollieren.

Sie sehen, die Gründe sind vielfältig und überzeugend. Glücklicherweise müssen Sie keine teure Spezialsoftware kaufen, um diese Kontrolle zu erlangen. Windows 11 bietet die meisten Tools, die Sie benötigen, direkt „out-of-the-box”.

### Die Ereignisanzeige: Ihr zentrales Werkzeug für USB-Protokolle

Das Herzstück der USB-Aktivitäten-Protokollierung in Windows 11 ist die Ereignisanzeige (Event Viewer). Dieses leistungsstarke Tool sammelt System-, Sicherheits-, Anwendungs- und andere Protokolle, die Ihnen einen detaillierten Einblick in das Geschehen auf Ihrem Computer geben.

#### Schritt 1: Die Ereignisanzeige öffnen

1. Klicken Sie mit der rechten Maustaste auf das Startmenü-Symbol (Windows-Logo) oder drücken Sie `Win + X`.
2. Wählen Sie im Kontextmenü „Ereignisanzeige” aus.

#### Schritt 2: Navigieren zu relevanten Protokollen

In der Ereignisanzeige gibt es mehrere Bereiche, die Informationen über USB-Aktivitäten protokollieren. Die wichtigsten sind:

* **Windows-Protokolle > System:** Hier finden Sie allgemeine Informationen zu Geräteanschlüssen und -trennungen.
* **Windows-Protokolle > Sicherheit:** Dies ist entscheidend, wenn Sie überwachen möchten, wer sich wann angemeldet und bestimmte Aktionen ausgeführt hat, die mit USB-Geräten in Verbindung stehen könnten (z.B. Dateizugriffe).
* **Anwendungs- und Dienstprotokolle > Microsoft > Windows > DriverFrameworks-UserMode > Operational:** Dieses Protokoll erfasst detaillierte Informationen über die Initialisierung und Verwaltung von Treibern für Benutzergeräte, einschließlich USB-Geräten.
* **Anwendungs- und Dienstprotokolle > Microsoft > Windows > DriverFrameworks-KernelMode > Operational:** Ähnlich wie das UserMode-Protokoll, aber für Kernel-Treiber.
* **Anwendungs- und Dienstprotokolle > Microsoft > Windows > USB-USBHUB3 > Operational:** Dieses Protokoll ist besonders wertvoll, da es spezifische Ereignisse des USB-Hub-Treibers aufzeichnet, wie das Anschließen und Trennen von Geräten an den USB-3.0-Hubs.
* **Anwendungs- und Dienstprotokolle > Microsoft > Windows > USB-USBCCGP > Operational:** Für Composite-USB-Geräte (Geräte, die mehrere Funktionen über einen einzigen USB-Anschluss bieten).

#### Schritt 3: Filtern der Ereignisse für USB-Aktivitäten

Die schiere Menge an Ereignissen in der Ereignisanzeige kann überwältigend sein. Daher ist es unerlässlich, die Ansicht zu filtern, um nur die relevanten USB-Ereignisse anzuzeigen.

1. Wählen Sie das gewünschte Protokoll aus (z.B. „System” oder „DriverFrameworks-UserMode > Operational”).
2. Klicken Sie im rechten Bereich unter „Aktionen” auf „Aktuelles Protokoll filtern…”.

Hier sind einige wichtige Event-IDs, nach denen Sie filtern können, um USB-Aktivitäten zu identifizieren:

* **Allgemeine PnP-Ereignisse (Plug and Play):**
* **Event ID 20001 (DriverFrameworks-UserMode/KernelMode):** Ein Gerät wurde erfolgreich konfiguriert oder gestartet.
* **Event ID 20002 (DriverFrameworks-UserMode/KernelMode):** Ein Gerät wurde getrennt oder beendet.
* **Event ID 10000 (System):** Gerät wurde installiert (oft mit Gerätebeschreibung).
* **Event ID 10001 (System):** Gerät wurde gestartet (oft mit Gerätebeschreibung).
* **Event ID 10003 (System):** Gerät wurde entfernt (oft mit Gerätebeschreibung).
* **USB-Geräte spezifische Ereignisse (USB-USBHUB3 > Operational):**
* **Event ID 10000:** USB-Gerät wurde an den Hub angeschlossen.
* **Event ID 10001:** USB-Gerät wurde vom Hub getrennt.
* **Event ID 10002:** USB-Gerät wurde erfolgreich initialisiert.
* **Event ID 10003:** USB-Gerät wurde angehalten (z.B. vom System).
* **Speichergerät-spezifische Ereignisse (System):**
* **Event ID 12 (Kernel-PnP):** Gerät wurde gestartet.
* **Event ID 21005 (DriverFrameworks-UserMode):** Gerätetreiber für ein Speichergerät wurde erfolgreich geladen.
* **Event ID 10 (Kernel-PnP):** Ein Gerät konnte nicht gestartet werden (Fehler).

**Beispiel für Filterung:**

1. Wählen Sie „Anwendungs- und Dienstprotokolle > Microsoft > Windows > DriverFrameworks-UserMode > Operational”.
2. Im Filterfenster bei „Ereignis-IDs” geben Sie ein: `20001, 20002`
3. Optional können Sie auch nach „Quelle” filtern, z.B. nach „UserModePowerService” oder „KernelModePowerService”.
4. Klicken Sie auf „OK”.

Sie sehen nun eine gefilterte Liste aller USB-Anschluss- und Trennungsereignisse in diesem spezifischen Protokoll. Wiederholen Sie diesen Vorgang für die anderen oben genannten Protokolle, um ein vollständiges Bild zu erhalten.

#### Schritt 4: Exportieren der Protokolle als Log-Datei

Nachdem Sie die relevanten Ereignisse gefiltert haben, möchten Sie diese möglicherweise als Log-Datei zur späteren Analyse oder Archivierung exportieren.

1. Nachdem Sie einen Filter angewendet haben, klicken Sie im rechten Bereich unter „Aktionen” auf „Gefiltertes Protokoll speichern unter…”.
2. Wählen Sie einen Speicherort und einen Dateinamen.
3. Sie können das Protokoll in verschiedenen Formaten speichern:
* **EVTX (Ereignisprotokolldatei):** Das native Format der Ereignisanzeige, das alle Details beibehält und wieder in der Ereignisanzeige geöffnet werden kann.
* **XML:** Für die programmgesteuerte Analyse oder den Import in Datenbanken.
* **TXT/CSV:** Für eine einfachere Lesbarkeit in Texteditoren oder Tabellenkalkulationen, wobei hier einige Metadaten verloren gehen können. Für eine schnelle Übersicht ist CSV jedoch sehr nützlich.

Wir empfehlen, die Datei im **EVTX-Format** zu speichern, da es die umfassendsten Informationen enthält. Bei Bedarf können Sie es später immer noch in andere Formate konvertieren.

### Automatisierung mit PowerShell: Eine fortgeschrittene Methode

Für eine effizientere und wiederholbare Protokollierung von USB-Aktivitäten können Sie PowerShell nutzen. PowerShell ist ein leistungsstarkes Skripting-Tool, das Ihnen erlaubt, die Ereignisanzeige zu durchsuchen und die Ergebnisse in ein benutzerfreundliches Format zu exportieren.

#### Schritt 1: PowerShell als Administrator öffnen

1. Klicken Sie mit der rechten Maustaste auf das Startmenü-Symbol.
2. Wählen Sie „Windows Terminal (Admin)” oder „PowerShell (Administrator)”.

#### Schritt 2: Relevante USB-Ereignisse abfragen

Mit dem `Get-WinEvent`-Cmdlet können Sie die Ereignisprotokolle durchsuchen.

**Beispiel 1: Abfragen von PnP-Geräteereignissen (Anschluss/Trennung) aus dem System-Log:**

„`powershell
Get-WinEvent -FilterHashtable @{LogName=’System’; ID=10000,10001,10003,12} | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv -Path C:USB_Activities_System.csv -NoTypeInformation -Encoding UTF8
„`

* `LogName=’System’`: Zielt auf das System-Protokoll ab.
* `ID=10000,10001,10003,12`: Filtert nach den genannten Event-IDs, die mit Geräteinstallation und -start/-stopp zusammenhängen.
* `Select-Object …`: Wählt die Felder aus, die in der Ausgabe erscheinen sollen.
* `Export-Csv -Path C:USB_Activities_System.csv`: Speichert die Ergebnisse in einer CSV-Datei.

**Beispiel 2: Abfragen spezifischer USB-Hub-Ereignisse:**

„`powershell
Get-WinEvent -FilterHashtable @{LogName=’Microsoft-Windows-USB-USBHUB3/Operational’; ID=10000,10001,10002} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path C:USB_Activities_USBHUB3.csv -NoTypeInformation -Encoding UTF8
„`

**Beispiel 3: Abfragen von DriverFrameworks-Ereignissen:**

„`powershell
Get-WinEvent -FilterHashtable @{LogName=’Microsoft-Windows-DriverFrameworks-UserMode/Operational’; ID=20001,20002} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path C:USB_Activities_DriverFrameworks_UserMode.csv -NoTypeInformation -Encoding UTF8
„`

Sie können diese Skripte anpassen, um verschiedene Protokolle und Event-IDs abzufragen. Es empfiehlt sich, ein Skript zu erstellen, das alle relevanten Abfragen nacheinander ausführt und die Ergebnisse entweder in separate Dateien oder in eine einzige, kumulierte Datei schreibt.

#### Schritt 3: Automatisierung mit der Aufgabenplanung

Um die USB-Aktivitäten regelmäßig zu protokollieren, können Sie die PowerShell-Skripte mit der Windows-Aufgabenplanung (Task Scheduler) automatisieren.

1. Speichern Sie Ihr PowerShell-Skript (z.B. `log_usb_events.ps1`) an einem sicheren Ort.
2. Öffnen Sie die Aufgabenplanung (suchen Sie im Startmenü nach „Aufgabenplanung”).
3. Klicken Sie im rechten Bereich auf „Aufgabe erstellen…”.
4. Geben Sie einen Namen und eine Beschreibung ein (z.B. „USB-Aktivitäten Protokollierung”).
5. Auf der Registerkarte „Trigger” legen Sie fest, wann das Skript ausgeführt werden soll (z.B. täglich, wöchentlich oder bei Systemstart).
6. Auf der Registerkarte „Aktionen” klicken Sie auf „Neu…”:
* Aktion: „Programm starten”
* Programm/Skript: `powershell.exe`
* Argumente hinzufügen (optional): `-ExecutionPolicy Bypass -File „C:PfadzuIhremlog_usb_events.ps1″` (ersetzen Sie den Pfad zum Skript).
7. Passen Sie bei Bedarf weitere Einstellungen (z.B. Benutzerkonten) an und klicken Sie auf „OK”.

Dies stellt sicher, dass Sie immer aktuelle Log-Dateien Ihrer USB-Aktivitäten haben, ohne dies manuell tun zu müssen.

### Die Registry: Ein Blick in die Vergangenheit

Die Windows-Registrierung speichert ebenfalls Informationen über zuvor angeschlossene USB-Geräte. Dies ist zwar keine „Log-Datei” im Sinne von Zeitstempeln für Anschluss/Trennung, kann aber nützlich sein, um zu sehen, welche Geräte jemals an das System angeschlossen waren.

Sie finden diese Informationen unter:

`HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumUSB`
`HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumUSBSTOR` (für Massenspeicher)

Jeder Unterschlüssel unter diesen Pfaden repräsentiert ein einzigartiges USB-Gerät, das jemals an den Computer angeschlossen wurde. Die dort hinterlegten Werte können Seriennummern, Hersteller-IDs und andere Identifikationsmerkmale des Geräts enthalten.

**Achtung:** Bearbeiten Sie die Registrierung nur, wenn Sie genau wissen, was Sie tun, da falsche Änderungen das System instabil machen können. Für die reine Informationsbeschaffung ist die Registrierung jedoch eine wertvolle Quelle.

### Drittanbieter-Tools: Einfacher Zugriff auf USB-Geräteinformationen

Obwohl Windows selbst hervorragende Tools bietet, gibt es auch Drittanbieter-Software, die den Zugriff auf bestimmte USB-Informationen vereinfacht und benutzerfreundlicher gestaltet:

* **USBDeview (NirSoft):** Dieses kostenlose Tool listet alle USB-Geräte auf, die jemals an Ihren Computer angeschlossen wurden, sowie die aktuell angeschlossenen Geräte. Es zeigt Informationen wie den Gerätenamen, die Beschreibung, den Gerätetyp, die Seriennummer und das Datum des letzten Anschlusses an. Es ist ein schnelles Tool für einen Überblick, bietet aber keine detaillierte Zeitleiste von Aktionen wie die Ereignisanzeige.
* **USBLogView (NirSoft):** Ein weiteres nützliches Tool von NirSoft, das die USB-Anschluss-/Trennereignisse automatisch überwacht und in einer übersichtlichen Tabelle anzeigt. Es ist wie eine vereinfachte Ereignisanzeige, spezialisiert auf USB-Ereignisse, und kann die Daten in HTML, XML oder CSV exportieren.

Diese Tools sind großartig für schnelle Prüfungen, ersetzen aber nicht die tiefgehende forensische Analyse, die die Ereignisanzeige und PowerShell ermöglichen. Sie können jedoch eine hervorragende Ergänzung sein.

### Best Practices für die USB-Protokollierung

Um das Maximum aus Ihrer USB-Aktivitäten-Protokollierung herauszuholen, beachten Sie folgende Empfehlungen:

* **Regelmäßige Überprüfung:** Planen Sie fest ein, Ihre USB-Log-Dateien regelmäßig zu überprüfen, besonders in Umgebungen, in denen Sicherheit eine hohe Priorität hat.
* **Kombinieren Sie Methoden:** Nutzen Sie die Ereignisanzeige für detaillierte Einblicke, PowerShell für die Automatisierung und vielleicht ein Drittanbieter-Tool für schnelle Überprüfungen.
* **Sichere Speicherung:** Speichern Sie Ihre Protokolldateien an einem sicheren Ort, der vor unbefugtem Zugriff geschützt ist, insbesondere wenn sie sensible Informationen enthalten.
* **Speicherplatzmanagement:** Protokolldateien können mit der Zeit groß werden. Planen Sie eine Strategie für die Archivierung oder das Löschen alter Protokolle, um Speicherplatz freizugeben.
* **Datenschutz:** Informieren Sie (falls zutreffend) Benutzer darüber, dass USB-Aktivitäten protokolliert werden. Dies ist nicht nur eine Frage der Transparenz, sondern oft auch eine rechtliche Anforderung.
* **Richtlinien definieren:** Legen Sie klare Richtlinien für die Nutzung von USB-Geräten fest, sowohl im privaten als auch im geschäftlichen Umfeld. Die Protokollierung ist nur ein Teil einer umfassenden Sicherheitsstrategie.

### Fazit

Die Frage „Wer hat was angeschlossen?” muss keine unbeantwortete Mystery bleiben. Mit den leistungsstarken, nativen Tools von Windows 11 wie der Ereignisanzeige und PowerShell haben Sie alle Mittel zur Hand, um eine umfassende Log-Datei für alle USB-Aktivitäten zu erstellen. Ob zur Erhöhung der Sicherheit, zur Fehlerbehebung oder zur Einhaltung von Compliance-Vorschriften – die Fähigkeit, USB-Aktivitäten zu protokollieren, ist ein unverzichtbarer Bestandteil eines robusten Systemmanagements.

Beginnen Sie noch heute mit der Implementierung dieser Strategien. So sind Sie nicht nur besser informiert, sondern auch proaktiv vor potenziellen Risiken geschützt. Übernehmen Sie die Kontrolle über Ihre USB-Sicherheit und machen Sie Ihren Windows 11 PC zu einer sichereren und transparenteren Arbeitsumgebung.