USB-Stick mit Passwort schützen und unter Windows verschlüsseln

Ein USB-Stick ist schnell verloren: Er steckt noch im Laptop eines Kollegen, im Drucker im Büro oder bleibt im Hotelzimmer liegen. Liegen darauf Verträge, eingescannte Ausweise oder eine Kundendatenbank, muss der Finder ihn nur einstecken. Ein Passwort schützt davor, aber nur, wenn echte Verschlüsselung dahintersteht.

Dieser Artikel vergleicht die Möglichkeiten unter Windows und zeigt zwei Wege, einen USB-Stick mit Cryptic Disk zu verschlüsseln: komplett oder mit einem verschlüsselten Container auf dem Stick.

Warum Windows keinen einfachen „Passwortschutz“ für USB-Sticks hat

Im Datei-Explorer gibt es keinen Befehl, der einen Stick mit einem Passwort sperrt. Das Attribut „Versteckt“ schützt nicht: Eine einzige Explorer-Einstellung zeigt solche Dateien auf jedem PC wieder an. Auch das Kennwort Ihres Windows-Kontos hilft nicht. Es schützt nur die Anmeldung, der Stick wird aber einfach an einen anderen Rechner angeschlossen.

Echten Schutz bietet nur Verschlüsselung: Die Daten liegen verschlüsselt auf dem Stick, und ohne Passwort lassen sie sich nicht lesen. Dafür gibt es drei Wege.

BitLocker To Go

Die in Windows eingebaute Verschlüsselung für Wechseldatenträger. Verschlüsseln können Sie damit in den Editionen Pro, Enterprise und Education. Windows 10 und 11 Home können BitLocker To Go nicht einschalten, einen so verschlüsselten Stick aber entsperren. Speichern Sie unbedingt den Wiederherstellungsschlüssel: Ohne ihn bedeutet ein vergessenes Passwort Datenverlust.

Passt gut, wenn Sie Windows Pro nutzen und den Stick nur an Windows-PCs verwenden.

USB-Sticks mit Hardware-Verschlüsselung

Ein Controller im Stick verschlüsselt die Daten, die PIN geben Sie über ein Tastenfeld am Gehäuse oder in einer Herstellersoftware ein. Modelle mit Tastenfeld werden am Gerät selbst entsperrt und sind daher unabhängig vom Betriebssystem. Die Nachteile: Solche Sticks kosten deutlich mehr, und Sie müssen der Umsetzung des Herstellers vertrauen, ohne sie prüfen zu können.

Verschlüsselungssoftware

Ein Programm legt auf dem Stick ein verschlüsseltes Volume oder eine verschlüsselte Containerdatei an. Das funktioniert in jeder Windows-Edition, auch in Home. Einzige Bedingung: Auf dem Rechner, an dem Sie den Stick öffnen, muss das Programm laufen. Diesen Weg zeigen wir am Beispiel von Cryptic Disk.

Methode 1: den ganzen USB-Stick verschlüsseln

Geeignet, wenn der Stick nur Ihre eigenen Daten enthält und Sie ihn an Windows-PCs öffnen. Alles darauf ist geschützt, keine Datei bleibt versehentlich unverschlüsselt.

1. Laden Sie Cryptic Disk von der Download-Seite herunter und installieren Sie es.
2. Kopieren Sie den gesamten Inhalt des Sticks auf den Computer. Eine Sicherung brauchen Sie ohnehin, und sie erlaubt die schnellere Methode.
3. Suchen Sie den Stick im Hauptfenster in der Liste der Laufwerke, klicken Sie mit der rechten Maustaste auf seine Partition und starten Sie im Kontextmenü die Verschlüsselung.
4. Der Assistent bietet zwei Methoden an:
   • „Bei der Volumeverschlüsselung Information nicht speichern“: schnell, aber alle Daten auf dem Stick werden gelöscht. Wählen Sie diese Methode, wenn Ihre Dateien gesichert sind.
   • „Volume ohne Informationsverlust verschlüsseln“: Die Dateien bleiben erhalten, aber es dauert lange, weil jeder Sektor verarbeitet wird, auch leere. Ziehen Sie den Stick nicht ab, solange der Assistent arbeitet.
5. Bei der Methode mit Formatierung wählen Sie ein Dateisystem. Für USB-Sticks eignet sich exFAT (ab Windows 7): Anders als FAT32 speichert es auch Dateien über 4 GB.
6. Legen Sie ein Passwort und auf Wunsch Schlüsseldateien fest, prüfen Sie die Einstellungen und starten Sie die Verschlüsselung.
7. Am Ende bietet der Assistent an, eine Sicherungskopie des Headers zu speichern. Tun Sie das (warum, steht unten bei den Tipps).
8. Binden Sie den Stick ein: Passwort eingeben, freien Laufwerksbuchstaben wählen. Der Stick erscheint im Datei-Explorer wie jedes andere Laufwerk, und Sie können Ihre Dateien zurückkopieren.

Die Option, ein Kennzeichen in den Header des verschlüsselten Volumes zu schreiben, können Sie ausgeschaltet lassen. Dann kann ohne Passwort niemand beweisen, dass der Stick verschlüsselte Daten enthält: Der Inhalt sieht aus wie zufällige Bytes. Mehr dazu auf der Seite zur Laufwerksverschlüsselung. Alle Seiten des Assistenten mit Screenshots zeigt die Schritt-für-Schritt-Anleitung zur Laufwerksverschlüsselung.

Windows erkennt auf dem verschlüsselten Stick kein Dateisystem und bietet unter Umständen an, ihn zu formatieren. Lehnen Sie ab: Eine Formatierung zerstört die verschlüsselten Daten.

Methode 2: ein verschlüsselter Container auf dem USB-Stick

Ein Container ist eine Datei, die Cryptic Disk nach Eingabe des Passworts als eigenes Laufwerk im Datei-Explorer einbindet. Alles, was Sie darauf speichern, wird beim Schreiben verschlüsselt und beim Lesen entschlüsselt. Der Stick selbst bleibt normal: Fernseher, Autoradio oder Mac nutzen den offenen Teil, private Dateien liegen im Container. Daneben passt auch eine portable Kopie von Cryptic Disk.

1. Starten Sie in Cryptic Disk den Assistenten zum Erstellen eines verschlüsselten Containers.
2. Wählen Sie einen Pfad auf dem Stick und die Größe. Mit „Erweiterbare Dateigröße“ wächst der Container mit den Daten mit, statt den Platz sofort zu belegen. Diese Option funktioniert allerdings nur auf NTFS-Laufwerken.
3. Wählen Sie das Dateisystem, legen Sie ein Passwort fest und lassen Sie den Assistenten abschließen.
4. Binden Sie den Container ein und arbeiten Sie damit wie mit einem normalen Laufwerk.

Beachten Sie die Grenze von FAT32: Eine einzelne Datei darf nicht größer als 4 GB sein, auch der Container nicht. Für einen größeren Container sichern Sie die Daten und formatieren den Stick mit exFAT oder NTFS.

Ein Container ist eine normale Datei und kann versehentlich gelöscht werden. Bewahren Sie wichtige Daten deshalb zusätzlich an einem anderen Ort auf. Die ausführliche Anleitung: verschlüsselten Container erstellen.

Was passt besser?

• Ganzer Stick: Alles ist geschützt, aber an Geräten ohne Cryptic Disk ist der Stick nutzlos.
• Container: Ein Teil des Sticks bleibt für alle Geräte offen, und das Programm reist auf demselben Stick mit.

Den verschlüsselten Stick an einem anderen PC öffnen

• Cryptic Disk muss dort laufen, installiert oder im portablen Modus. Das Setup kann die Programmdateien einfach in einen beliebigen Ordner oder auf einen Stick entpacken: Wählen Sie dazu im Installationsassistenten „Extrahieren“. Mehr zum portablen Modus und weiteren Funktionen.
• Ein komplett verschlüsselter Stick kann das Programm nicht mitbringen, denn sein Inhalt ist bis zum Einbinden gesperrt. Nehmen Sie das Programm auf einem anderen Datenträger mit oder nutzen Sie die Container-Methode.
• Nur Windows. Cryptic Disk läuft unter Windows 11, 10, 8.1, 8, 7, Vista und XP. Versionen für macOS, Linux, Android oder iOS gibt es nicht.
• Vor dem Abziehen trennen. Ziehen Sie den Stick ab, trennt Cryptic Disk ihn automatisch. Dateien, die gerade geschrieben werden, können dabei aber beschädigt werden. Schließen Sie also die Programme, die Dateien auf dem Stick nutzen, trennen Sie ihn im Hauptfenster, über das Symbol im Infobereich der Taskleiste oder per Tastenkombination, und ziehen Sie ihn erst dann ab.
• Vorsicht an fremden Rechnern. Schadsoftware kann dort Ihr Passwort mitschneiden. Die eingebaute virtuelle Tastatur senkt das Risiko durch Keylogger, an einem PC, dem Sie gar nicht vertrauen, öffnen Sie vertrauliche Daten aber besser nicht.

Tipps gegen Datenverlust

• Sichern Sie den Schlüssel. Der Verschlüsselungsschlüssel liegt im Header des Volumes. Wird der Header beschädigt, sind die Daten ohne Kopie nicht mehr lesbar. Cryptic Disk kann den Header in eine Datei sichern und daraus wiederherstellen. Die Kopie ist mit dem Passwort geschützt, das beim Sichern galt. Bewahren Sie sie an einem sicheren Ort getrennt vom Stick auf und merken Sie sich dieses Passwort.
• Nehmen Sie eine lange Passphrase. Ein Verschlüsselungspasswort tippen Sie von Hand, deshalb eignen sich mehrere zufällige Wörter. Ist das Passwort der einzige Schutz, sollte es mindestens 15 Zeichen haben. Mehr dazu, wie lang ein Passwort sein sollte. Mit einer zusätzlichen Schlüsseldatei brauchen Sie Passwort und Datei.
• Speichern Sie nie die einzige Kopie Ihrer Daten auf einem Stick. Sticks gehen kaputt und verloren, davor schützt keine Verschlüsselung. Sichern Sie wichtige Dateien regelmäßig auf einem anderen Datenträger, am besten ebenfalls verschlüsselt.

Häufige Fragen

Kann man einen USB-Stick ohne Programm mit Passwort schützen?

Nur mit BitLocker To Go unter Windows Pro, Enterprise oder Education. Windows Home kann einen Stick mit Bordmitteln nicht verschlüsseln, nur entsperren. Sonst brauchen Sie einen Stick mit Hardware-Verschlüsselung oder eine Verschlüsselungssoftware.

Was passiert, wenn ich das Passwort vergessen habe?

Umgehen lässt sich das Passwort nicht. Eine Sicherung des Schlüssels stellt den Zugriff nur her, wenn Sie das Passwort kennen, das beim Sichern galt, etwa wenn Sie das Passwort später geändert und das neue vergessen haben. Haben Sie das einzige Passwort vergessen, sind die Daten endgültig verloren, eine Hintertür gibt es nicht.

Funktioniert ein verschlüsselter USB-Stick auch am Mac?

Nein. Cryptic Disk läuft nur unter Windows. Brauchen Sie den Stick auch an anderen Geräten, nehmen Sie die Container-Methode: Der offene Teil funktioniert überall, der Container öffnet sich an einem Windows-PC.

Kann man einen USB-Stick verschlüsseln, ohne die Daten zu löschen?

Ja, der Assistent kann das Volume ohne Informationsverlust verschlüsseln. Das dauert länger als die Verschlüsselung mit Formatierung. Sichern Sie Ihre Dateien trotzdem vorher.