Groepsbeleid zoekenGroepsbeleid
Nederlands

Schrijven naar USB-stations blokkeren met Groepsbeleid in Windows

Je kunt het kopiëren van bestanden naar een USB-station beperken door schrijftoegang te blokkeren. Het beleid Verwisselbare schijven: schrijftoegang weigeren weigert in de stand Ingeschakeld schrijftoegang tot de opslagklasse voor verwisselbare schijven. Het beleid blokkeert geen leestoegang en geldt niet voor alle USB-apparaten. De overeenkomstige Storage Policy CSP-instelling geldt op apparaatniveau en ondersteunt Windows 10 1809 of later voor Pro, Enterprise, Education en IoT Enterprise. Een afzonderlijk BitLocker-beleid kan schrijftoegang weigeren voor verwisselbare gegevensstations die niet met BitLocker zijn beveiligd.

Controle na het toepassen van het beleid

Dit beleid helpt ongeoorloofd kopiëren van gegevens van een computer naar verwisselbare USB-opslag te beperken, maar voorkomt niet elke manier van gegevensdiefstal. Als het wordt afgedwongen, kunnen opslaan, wijzigen, verwijderen of kopiëren van bestanden naar een verwisselbare schijf mislukken. Schrijfbeveiliging kan ook ontstaan door een fysieke schakelaar of een domein-GPO. Worden lokale wijzigingen teruggedraaid, controleer dan het domeinbeleid en neem contact op met de beheerder. Wordt toegang al bij het openen geweigerd, controleer dan ook afzonderlijke leesbeperkingen, andere beveiligingsinstellingen en de apparaatstatus.

Stappen

  1. Open gpedit.msc en ga onder Computerconfiguratie naar Computerconfiguratie › Beheersjablonen › Systeem › Toegang tot verwisselbare opslag.
  2. Open Verwisselbare schijven: schrijftoegang weigeren, selecteer Ingeschakeld en pas de wijziging toe.
  3. Controleer het toegepaste beleid en probeer een bestand naar een verwisselbare schijf te kopiëren. Een domein-GPO kan de lokale instelling overrulen; mogelijk moet een beheerder die wijzigen.
  4. Kies Uitgeschakeld of Niet geconfigureerd om schrijven volgens dit beleid weer toe te staan. Andere beveiligingsinstellingen of de apparaatstatus kunnen toegang nog steeds beperken.

Alternatief via het register

Je kunt de waarde voor het computerbeleid ook in het register instellen. Die staat los van StorageDevicePolicies\WriteProtect. Zie de registerwaardepagina.

HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled

Bij dit beleid weigert de DWORD-waarde 1 voor Deny_Write schrijven en staat 0 schrijven toe.

  1. Open regedit met beheerdersrechten. Maak een back-up van de bestaande doelsleutel of, als die ontbreekt, van een bestaande bovenliggende sleutel. Noteer of Deny_Write bestaat en zo ja, het huidige type en de huidige waarde.

    Selecteer in de Register-editor de bestaande doelsleutel of, als die ontbreekt, een bestaande bovenliggende sleutel. Kies Bestand > Exporteren, kies een locatie en bestandsnaam en sla de .reg-back-up op.

  2. Maak ontbrekende sleutels en de DWORD-waarde Deny_Write indien nodig aan en stel de waardegegevens in op 1. Controleer het toegepaste beleid en test het kopiëren van een bestand naar een verwisselbare schijf.

  3. Herstel om de wijziging terug te draaien de eerdere waarde en het eerdere type als die bestond; verwijder anders alleen de nieuw aangemaakte waarde Deny_Write. Laat andere waarden en sleutels ongemoeid.

Een domeinbeleid kan opnieuw worden toegepast en handmatige wijzigingen overschrijven. Gebruik de beleidseditor of neem contact op met de beheerder als een GPO de instelling beheert. Een handmatig ingestelde 0 is niet hetzelfde als de groepsbeleidsstatus ‘Niet geconfigureerd’.

Basis: beleidssjablonen voor Windows 11 versie 26H2 (gecontroleerd op 2026-11-04).

Bronnen