Gruppenrichtlinien-SucheGruppenrichtlinien
Deutsch

Schreiben auf USB-Laufwerke per Gruppenrichtlinie sperren

Mit einer Gruppenrichtlinie können Sie verhindern, dass Dateien auf USB-Wechseldatenträger geschrieben werden. Die Richtlinie Wechseldatenträger: Schreibzugriff verweigern verweigert im Zustand Aktiviert den Schreibzugriff auf die Speicherklasse der Wechseldatenträger. Sie sperrt weder das Lesen noch alle USB-Geräte. Die entsprechende Storage Policy CSP-Einstellung gilt auf Geräteebene und unterstützt Windows 10 1809 oder neuer in Pro, Enterprise, Education und IoT Enterprise. Eine separate BitLocker-Richtlinie kann den Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind.

Prüfung nach dem Anwenden der Richtlinie

Diese Richtlinie hilft, das unbefugte Kopieren von Daten von einem Computer auf einen USB-Wechseldatenträger zu verringern; sie verhindert nicht jeden Weg des Datenabflusses. Bei aktivierter Richtlinie können Speichern, Ändern, Löschen oder Kopieren von Dateien auf einen Wechseldatenträger fehlschlagen. Schreibschutz kann auch durch einen physischen Schalter oder eine Domänen-GPO entstehen. Werden lokale Änderungen zurückgesetzt, prüfen Sie die Domänenrichtlinie und wenden Sie sich an den Administrator. Wird der Zugriff schon beim Öffnen verweigert, prüfen Sie auch separate Lesesperren, andere Sicherheitseinstellungen und den Gerätezustand.

Schritte

  1. Öffnen Sie gpedit.msc und wechseln Sie unter Computerkonfiguration zu Computerkonfiguration › Administrative Vorlagen › System › Wechselmedienzugriff.
  2. Öffnen Sie Wechseldatenträger: Schreibzugriff verweigern, wählen Sie Aktiviert und übernehmen Sie die Änderung.
  3. Prüfen Sie die angewendete Richtlinie und versuchen Sie, eine Datei auf einen Wechseldatenträger zu kopieren. Eine Domänen-GPO kann die lokale Einstellung überschreiben; möglicherweise muss ein Administrator sie ändern.
  4. Wählen Sie Deaktiviert oder Nicht konfiguriert, um den Schreibzugriff gemäß dieser Richtlinie wieder zu erlauben. Andere Sicherheitseinstellungen oder der Gerätezustand können den Zugriff weiterhin beschränken.

Alternative über die Registrierung

Sie können den Computerrichtlinienwert auch in der Registrierung setzen. Er ist von StorageDevicePolicies\WriteProtect getrennt. Siehe die Registrierungswertseite.

HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled

Bei dieser Richtlinie verweigert der DWORD-Wert 1 für Deny_Write das Schreiben; 0 erlaubt das Schreiben.

  1. Öffnen Sie regedit mit Administratorrechten. Sichern Sie den vorhandenen Zielschlüssel oder, falls er fehlt, einen vorhandenen übergeordneten Schlüssel. Notieren Sie, ob Deny_Write existiert und welchen Typ und Wert der Eintrag gegebenenfalls hat.

    Wählen Sie im Registrierungs-Editor den vorhandenen Zielschlüssel oder, falls dieser fehlt, einen vorhandenen übergeordneten Schlüssel. Wählen Sie Datei > Exportieren, bestimmen Sie Speicherort und Dateinamen und speichern Sie die .reg-Sicherung.

  2. Erstellen Sie fehlende Schlüssel und den DWORD-Wert Deny_Write bei Bedarf und setzen Sie dessen Daten auf 1. Prüfen Sie die angewendete Richtlinie und testen Sie das Kopieren einer Datei auf einen Wechseldatenträger.

  3. Stellen Sie zum Rückgängigmachen den vorherigen Wert und Typ wieder her, falls der Eintrag existierte; löschen Sie andernfalls nur den neu erstellten Wert Deny_Write. Lassen Sie andere Werte und Schlüssel unverändert.

Eine Domänenrichtlinie kann manuelle Änderungen erneut anwenden und überschreiben. Wird die Einstellung durch eine GPO gesteuert, verwenden Sie den Richtlinieneditor oder wenden Sie sich an den Administrator. Eine manuell gesetzte 0 entspricht nicht dem Gruppenrichtlinienzustand „Nicht konfiguriert“.

Grundlage: Richtlinienvorlagen für Windows 11 Version 26H2 (geprüft am 2026-11-04).

Quellen