--- id: CP-084 slug: praeparierte-kabel-omg-rubber-ducky lang: de title: Präparierte Kabel und USB-Sticks, die eine Tastatur vortäuschen description: Ein USB-Kabel oder ein USB-Stick kann sich als Tastatur ausgeben und Befehle an Ihrer Stelle eintippen. So schützen Sie sich davor. canonical_url: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ markdown_url: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Präparierte Kabel und USB-Sticks, die eine Tastatur vortäuschen“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-051 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ fr: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ en: https://startbrain.io/cyberpedia/en/articles/booby-trapped-cables-hid-keyboard-emulation/ es: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ sources: - "n": 1 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 2 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 3 title: FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0046/ accessed: "2026-11-03" - "n": 4 title: "Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1059/001/ accessed: "2026-11-03" - "n": 5 title: Using Caution with USB Drives | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/using-caution-usb-drives published: "2021-02-01" accessed: "2026-11-03" - "n": 6 title: Kernel DMA Protection publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Präparierte Kabel und USB-Sticks, die eine Tastatur vortäuschen Ein USB-Kabel oder ein USB-Stick kann wie ein gewöhnliches Zubehörteil aussehen und sich wie eine Tastatur verhalten. Der Computer hält das Gerät für ein Eingabegerät und akzeptiert, was es „tippt“, ohne dass die Person vor dem Bildschirm eine einzige Taste gedrückt hat. MITRE, das Angriffstechniken erfasst, ordnet dieses Vorgehen den Hardware-Erweiterungen zu: Zubehör oder Geräte, die physisch in ein System eingebracht werden, um sich Zugang zu verschaffen. MITRE nennt die Einschleusung von Tastaturanschlägen unter den Fähigkeiten kommerzieller und freier Produkte [1]. Dieser Artikel erklärt, was das für Beschäftigte bedeutet. ## In 30 Sekunden - Wo es passiert: an Ihrem Arbeitsplatz, wenn ein unbekanntes Kabel, ein unbekannter Stick oder ein unbekanntes Zubehörteil an den Computer angeschlossen wird, auch ein Gegenstand, der per Post eingetroffen ist [3]. - Was der Angreifer will: dass die Maschine Befehle ausführt, zum Beispiel um Schadsoftware herunterzuladen [3]. - Der Reflex: nur Geräte anschließen, die das Unternehmen bereitgestellt oder freigegeben hat, und jeden unbekannten Gegenstand der IT übergeben. - Wenn es schon passiert ist: Trennen Sie das Gerät, fassen Sie nichts mehr an und informieren Sie die IT ohne Verzögerung (ein Rat des gesunden Menschenverstands, den die hier zitierten Quellen nicht geben). ## Direkte Fragen ### Kann ein Kabel wirklich an meiner Stelle tippen? Ja. Die hier zitierten Quellen beschreiben bösartige USB-Sticks, die als virtuelle Tastaturen arbeiten, und die Einschleusung von Tastaturanschlägen als Fähigkeit kommerzieller und freier Produkte, die unter anderem von offensiven Prüfteams eingesetzt werden [1][3]. Die Namen gängiger Produkte in diesem Bereich kommen in den hier zitierten Quellen nicht vor, mit Ausnahme des Bash Bunny, den die Gruppe DarkVishnya verwendet hat [1]. ### Hält ein Virenschutz das auf? Die hier zitierten Quellen sagen dazu nichts. Sie empfehlen, keinen unbekannten Stick anzuschließen, die automatische Ausführung zu deaktivieren und die Sicherheitssoftware aktuell zu halten [5]. MITRE nennt seinerseits eine grundlegende Maßnahme: unbekannte Geräte und Zubehörteile über die Sicherheitskonfiguration des Arbeitsplatzes zu blockieren [1]. ### Warum ist ein per Post erhaltener Gegenstand gefährlich? Weil der Angreifer die Räumlichkeiten nicht betreten muss. MITRE berichtet, dass Akteure von FIN7 USB-Sticks per Post an mögliche Opfer geschickt haben [3]. CISA ergänzt, dass Angreifer Gegenstände schon bei der Herstellung infiziert haben, etwa digitale Bilderrahmen oder USB-Sticks [5]. ### Was tun mit einem Stick, der auf dem Boden liegt? Nicht anschließen, auch nicht, um den Inhalt anzusehen oder den Besitzer zu finden. CISA rät, ihn den zuständigen Personen zu übergeben: dem Sicherheitspersonal vor Ort oder der IT-Abteilung der Organisation [5]. ## In der Haut des Angreifers Der Angreifer sucht einen ersten Zugang. Für MITRE leistet eine Hardware-Erweiterung mehr als ein einfacher Speicherstick: Sie verleiht der Maschine neue Funktionen, die sich anschließend missbrauchen lassen [1]. Die Einschleusung von Tastaturanschlägen gehört dazu [1]. Er braucht außerdem einen Grund, warum der Gegenstand angeschlossen wird. CISA beschreibt Angreifer, die sich als neuer Mitarbeiter, Handwerker oder Forscher ausgeben und Ausweise oder Nachweise vorzeigen [7]. Für manche verwandten Angriffe ist der Aufwand gering. Microsoft beschreibt Angriffe über den direkten Speicherzugriff, die oft nur wenige Minuten dauern, mit billiger, im Handel erhältlicher Hardware und Software, ohne das Gerät zu öffnen. Ein Angreifer kann ein Gerät vom Typ USB in der Pause des Besitzers anschließen und mit den Geheimnissen der Maschine wieder gehen [6]. ## Was Sie auf dem Bildschirm sehen Die hier zitierten Quellen beschreiben den Bildschirm des Opfers nicht allgemein. Nur ein Detail ist belegt: FIN7 nutzte bösartige USB-Sticks, um mit der Tastenkombination Windows + R das Dialogfeld Ausführen zu öffnen und dann eine Eingabeaufforderung zu starten [3]. Ein Fenster, das sich direkt nach dem Anschließen von selbst öffnet, ist daher ein Signal, das man ernst nehmen sollte. Die Quellen sagen nicht, ob der Angriff in jedem Fall eine sichtbare Spur hinterlässt, und auch nicht, wie lange er dauert. Dass auf dem Bildschirm nichts auffällt, beweist also nichts. Sicherheitsteams stützen sich auf andere Anzeichen: MITRE beschreibt die Erkennung eines neuen Geräts, das Windows erkennt, gefolgt kurz darauf von Prozessen, die aus derselben Sitzung gestartet werden, und einer möglichen Einschleusung von Tastaturanschlägen [1]. ## Unter der Haube Das Prinzip lässt sich in einem Satz sagen: Das Gerät gibt sich gegenüber dem Computer als Tastatur aus, und der Computer befolgt seine Tastenanschläge. Die hier zitierten Quellen bestätigen das für FIN7, dessen USB-Sticks zum Teil als virtuelle Tastaturen arbeiteten [3]. Das technische Protokoll und die Tippgeschwindigkeit beschreiben sie nicht. Sobald die Tasten gesendet sind, ist der weitere Ablauf gewöhnlich. FIN7 setzte diese Sticks ein, um PowerShell zu starten und von dort Schadsoftware vom Server des Angreifers herunterzuladen und auszuführen [3]. PowerShell ist eine in Windows enthaltene Befehlsumgebung, die Angreifer nutzen können, um Informationen zu sammeln und Code auszuführen [4]. Der Fall des Ladekabels ist verwandt. MITRE merkt an, dass mobile Geräte und in manchen Fällen USB-Ladekabel dazu dienen können, einen Computer zu infizieren [2]. Diese Erwähnung betrifft die Verbreitung über Wechselmedien, nicht die Eingabe von Tastaturanschlägen. Zur Abwehr heben sich in den Quellen zwei Maßnahmen heraus. Die erste ist, unbekannte Geräte und Zubehörteile über die Sicherheitskonfiguration zu blockieren [1]. Die zweite gilt nur für Geräte mit direktem Speicherzugriff (Thunderbolt, USB4): Windows kann standardmäßig verhindern, dass Geräte mit nicht kompatiblen Treibern starten, solange sich kein berechtigter Benutzer angemeldet oder den Bildschirm entsperrt hat, und ein Administrator kann dieses Verhalten ändern [6]. Dieser Schutz gilt nicht für FireWire, PCMCIA, CardBus und ExpressCard [6]. ## Fallanalysen ### FIN7 und die per Post verschickten USB-Sticks FIN7 ist eine seit 2013 aktive, finanziell motivierte kriminelle Gruppe. Seit 2020 hat sie sich der Jagd auf Großziele zugewandt und dabei die Ransomware REvil sowie einen eigenen Dienst, Darkside, eingesetzt [3]. Laut MITRE haben Akteure von FIN7 USB-Sticks per Post an mögliche Opfer geschickt. Sie enthielten Schadsoftware, die mehrere Hintertüren installiert, zum Teil im Hinblick auf Ransomware-Operationen [3]. Die Gruppe nutzte außerdem Sticks, die sich wie virtuelle Tastaturen verhielten, um Schadsoftware zu installieren, sowie Textdateien, die sich zu PowerShell-Befehlen entschlüsseln lassen [3]. Im Einzelnen sendeten diese Sticks Windows + R, um das Feld Ausführen zu öffnen, und starteten dann eine Eingabeaufforderung [3]. Andere ahmten Tastaturanschläge nach, um PowerShell zu starten und ein Programm vom Server des Angreifers herunterzuladen und auszuführen [3]. MITRE verweist auf Presseartikel vom Januar 2022, darunter einen vom 7. Januar 2022 mit dem Titel „FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware“ [3]. Die hier zitierten Quellen beschreiben weder die Verpackung der Sendungen noch deren Tarnung als Geschenk oder amtliche Post. ## Quellen 1. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1200/ (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1091/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G0046/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1059/001/ (abgerufen am 3. November 2026) 5. CISA, „Using Caution with USB Drives | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (abgerufen am 3. November 2026) 6. Microsoft, „Kernel DMA Protection“. https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (abgerufen am 3. November 2026) 7. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.