Windows 11/10: Wechselmedien-Zugriff (de)aktivieren – so geht’s

So aktivieren oder deaktivieren Sie unter Windows 11/10 den Zugriff auf Wechselmedien wie USB-Sticks – per Gruppenrichtlinie oder Registry.

Den Wechselmedien-Zugriff steuern Sie in Windows 11/10 am schnellsten über die Gruppenrichtlinie „Alle Wechselmedienklassen: Jeglichen Zugriff verweigern“ oder über den Registry-Wert Deny_All. Dadurch sperren Sie USB-Sticks, externe Festplatten, SD-Karten und DVDs mit wenigen Klicks. Ebenso schnell heben Sie die Sperre wieder auf.

Zusätzlich lassen sich Lese-, Schreib- und Ausführungsrechte getrennt regeln. Die folgende Anleitung zeigt alle Wege für Home, Pro, Enterprise und Education – inklusive Fehlerbehebung.

Was bedeutet Wechselmedien-Zugriff in Windows 11/10?

Windows erlaubt in der Standardeinstellung jeden Zugriff auf Wechselmedien. Sobald Sie also einen USB-Stick einstecken, erscheint er im Explorer. Das ist bequem, jedoch auch ein Risiko.

Deshalb bietet Windows eine eigene Gruppe von Richtlinien namens „Wechselmedienzugriff“. Damit legen Sie fest, welche Geräteklassen gelesen, beschrieben oder ausgeführt werden dürfen.

Diese Geräte zählen zu den Wechselmedien

Windows unterscheidet mehrere Klassen. Außerdem besitzt jede Klasse eigene Richtlinien:

• Wechseldatenträger: USB-Sticks, externe Festplatten, externe SSDs und SD-Karten im Kartenleser
• CD und DVD: interne und externe optische Laufwerke, zudem Blu-ray-Laufwerke
• WPD-Geräte: Smartphones, Tablets, Kameras und Mediaplayer, die sich per MTP oder PTP verbinden
• Diskettenlaufwerke: vor allem USB-Diskettenlaufwerke
• Bandlaufwerke: hauptsächlich in Firmen für Datensicherungen
• Benutzerdefinierte Klassen: Geräte, die Sie über ihre Klassen-GUID selbst angeben

Dabei gilt: Ein iPhone oder Android-Smartphone ist kein Wechseldatenträger, sondern ein WPD-Gerät. Deshalb bleibt es trotz USB-Stick-Sperre erreichbar, sofern Sie nicht alle Klassen sperren.

Gründe für das Deaktivieren

Eine Sperre ist in vielen Situationen sinnvoll. Zum Beispiel in diesen Fällen:

• Schutz vor Schadsoftware: Infizierte USB-Sticks zählen weiterhin zu den häufigen Einfallstoren.
• Schutz vor Datenabfluss: Vertrauliche Dateien lassen sich dann nicht mehr auf einen Stick kopieren.
• Vorgaben im Unternehmen: Viele Sicherheitsrichtlinien verlangen zudem eine Kontrolle der USB-Speicher.
• Familien-PC oder Schul-PC: Kinder oder Schüler können somit keine fremden Programme starten.
• Öffentliche Rechner: Kiosk-PCs und Empfangsrechner bleiben dadurch unverändert.

Gründe für das Aktivieren

Umgekehrt ist ein gesperrter Zugriff oft ein Ärgernis. Häufig meldet Windows dann „Zugriff verweigert“ oder „Auf das Laufwerk kann nicht zugegriffen werden“.

Das passiert zum Beispiel nach einem Tuning-Tool, nach einer Sicherheitssoftware oder auf einem ehemaligen Firmen-PC. In diesen Fällen müssen Sie die Richtlinie daher gezielt zurücksetzen.

Voraussetzungen und Überblick über alle Methoden

Bevor Sie starten, sollten Sie drei Punkte prüfen. Erstens benötigen Sie ein Konto mit Administratorrechten. Zweitens sollten Sie Ihre Windows-Edition kennen. Drittens ist ein Wiederherstellungspunkt ratsam, insbesondere vor Eingriffen in die Registry.

Ihre Edition finden Sie so heraus:

1. Drücken Sie Windows-Taste + R.
2. Geben Sie winver ein und bestätigen Sie mit Enter.
3. Lesen Sie anschließend Edition und Version im Fenster ab.

Einen Wiederherstellungspunkt legen Sie folgendermaßen an:

1. Drücken Sie Windows-Taste + R und geben Sie sysdm.cpl ein.
2. Wechseln Sie danach zur Registerkarte „Computerschutz“.
3. Klicken Sie auf „Erstellen“ und vergeben Sie einen Namen.

Die folgende Tabelle zeigt außerdem, welche Methode zu welcher Situation passt:

Methode	Edition	Wirkung	Geeignet für
Gruppenrichtlinie (gpedit.msc)	Pro, Enterprise, Education	Alle oder einzelne Klassen, Lesen/Schreiben/Ausführen	Einzel-PCs und Firmen
Registry (Deny_All)	Alle, auch Home	Wie die Gruppenrichtlinie	Home-Nutzer
PowerShell/Eingabeaufforderung	Alle	Wie die Registry, jedoch schneller	Skripte, mehrere PCs
USBSTOR-Treiber	Alle	Nur USB-Massenspeicher	Einfache USB-Sperre
Geräteinstallation verhindern	Pro, Enterprise, Education	Neue Geräte werden nicht installiert	Firmen, Ausnahmelisten
Schreibschutz (WriteProtect)	Alle	Nur Lesen erlaubt	Schutz vor Datenabfluss
Intune/Defender	Enterprise, Business	Zentrale Steuerung	Verwaltete Geräte

Methode 1: Wechselmedien-Zugriff per Gruppenrichtlinie deaktivieren oder aktivieren

Der Editor für lokale Gruppenrichtlinien ist der bequemste Weg. Allerdings steht er nur in Windows 11/10 Pro, Enterprise und Education bereit. Für die Home-Edition nutzen Sie stattdessen Methode 2.

Alle Wechselmedienklassen sperren

So sperren Sie jeden Zugriff auf einmal:

1. Drücken Sie Windows-Taste + R.
2. Geben Sie gpedit.msc ein und bestätigen Sie mit Enter.
3. Öffnen Sie danach links den Pfad Computerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff.
4. Doppelklicken Sie rechts auf „Alle Wechselmedienklassen: Jeglichen Zugriff verweigern“.
5. Wählen Sie anschließend „Aktiviert“.
6. Bestätigen Sie mit „Übernehmen“ und „OK“.
7. Starten Sie zuletzt den PC neu oder führen Sie gpupdate /force aus.

Danach zeigt der Explorer das Laufwerk zwar meist noch an. Jedoch erscheint beim Öffnen die Meldung „Zugriff verweigert“.

Diese Einstellung hat zudem Vorrang vor allen Einzelrichtlinien. Sie überschreibt also auch Regeln, die nur das Lesen oder Schreiben betreffen.

Wechselmedien-Zugriff wieder aktivieren

Das Aufheben funktioniert genauso einfach:

1. Öffnen Sie erneut gpedit.msc.
2. Navigieren Sie wieder zu Computerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff.
3. Doppelklicken Sie auf „Alle Wechselmedienklassen: Jeglichen Zugriff verweigern“.
4. Wählen Sie nun „Nicht konfiguriert“ oder „Deaktiviert“.
5. Klicken Sie auf „OK“.
6. Führen Sie anschließend gpupdate /force aus oder starten Sie neu.

Prüfen Sie außerdem die übrigen Einträge in diesem Ordner. Steht dort eine weitere Richtlinie auf „Aktiviert“, bleibt der Zugriff nämlich teilweise gesperrt. Ein Klick auf die Spalte „Status“ sortiert die Liste, sodass aktive Regeln sofort auffallen.

Nur Lesen, Schreiben oder Ausführen sperren

Oft ist eine vollständige Sperre zu streng. Deshalb bietet Windows für jede Klasse eigene Regeln. Für USB-Sticks und externe Festplatten sind das:

• „Wechseldatenträger: Lesezugriff verweigern“ – Dateien lassen sich dann nicht mehr öffnen.
• „Wechseldatenträger: Schreibzugriff verweigern“ – Kopieren auf den Stick ist somit nicht möglich.
• „Wechseldatenträger: Ausführungszugriff verweigern“ – Programme starten folglich nicht mehr vom Stick.

Die Einrichtung läuft immer gleich ab:

1. Öffnen Sie den Ordner „Wechselmedienzugriff“ in gpedit.msc.
2. Doppelklicken Sie auf die gewünschte Richtlinie.
3. Wählen Sie „Aktiviert“ und bestätigen Sie mit „OK“.
4. Führen Sie danach gpupdate /force aus.

Besonders beliebt ist dabei die Kombination aus Schreib- und Ausführungssperre. Dadurch bleiben Dateien lesbar, jedoch verlässt nichts den PC und kein fremdes Programm startet.

Ebenso gibt es dieselben Regeln für andere Klassen, zum Beispiel:

• „CD und DVD: Lesezugriff verweigern“, „Schreibzugriff verweigern“ und „Ausführungszugriff verweigern“
• „WPD-Geräte: Lesezugriff verweigern“ und „Schreibzugriff verweigern“ für Smartphones und Kameras
• „Diskettenlaufwerke“ und „Bandlaufwerke“ mit jeweils eigenen Einträgen
• „Benutzerdefinierte Klassen“ für Geräte mit eigener Klassen-GUID

Zusätzlich existiert die Richtlinie „Zeit (in Sekunden) bis zur Erzwingung eines Neustarts“. Sie ist hilfreich, falls ein Medium gerade verwendet wird. Dann greift die Sperre nämlich erst nach einem Neustart.

Sperre nur für bestimmte Benutzer einrichten

Dieselben Richtlinien finden Sie auch unter Benutzerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff. Damit gelten sie nur für bestimmte Konten.

Auf einem Einzel-PC sperren Sie zum Beispiel alle Konten außer den Administratoren:

1. Drücken Sie Windows-Taste + R und geben Sie mmc ein.
2. Klicken Sie danach auf „Datei“ und „Snap-In hinzufügen/entfernen“.
3. Wählen Sie „Gruppenrichtlinienobjekt-Editor“ und klicken Sie auf „Hinzufügen“.
4. Klicken Sie anschließend auf „Durchsuchen“ und öffnen Sie die Registerkarte „Benutzer“.
5. Markieren Sie „Nicht-Administratoren“ oder ein einzelnes Konto.
6. Bestätigen Sie mit „OK“ und „Fertig stellen“.
7. Öffnen Sie nun Benutzerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff.
8. Aktivieren Sie zuletzt die gewünschte Richtlinie.

Hierbei ist jedoch Vorsicht geboten. Laut einem Leserbericht bei Born City griffen die benutzerbezogenen Sperren nach den kumulativen Updates vom Mai 2025 unter Windows 10 22H2 und Windows 11 23H2 nicht mehr wie erwartet.

Deshalb ist die Computerkonfiguration die sicherere Wahl. Testen Sie außerdem jede Sperre nach größeren Windows-Updates erneut mit einem USB-Stick.

Methode 2: Wechselmedien-Zugriff über die Registry steuern (auch Windows Home)

In Windows 11/10 Home fehlt gpedit.msc. Dennoch lässt sich dieselbe Sperre setzen, denn die Gruppenrichtlinie schreibt lediglich Werte in die Registry. Diese Werte können Sie also auch von Hand anlegen.

Zugriff auf alle Wechselmedien sperren (Deny_All)

1. Drücken Sie Windows-Taste + R.
2. Geben Sie regedit ein und bestätigen Sie die Sicherheitsabfrage mit „Ja“.
3. Navigieren Sie danach zu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows.
4. Klicken Sie mit der rechten Maustaste auf „Windows“ und wählen Sie „Neu/Schlüssel“.
5. Nennen Sie den Schlüssel RemovableStorageDevices.
6. Klicken Sie anschließend rechts in den freien Bereich und wählen Sie „Neu/DWORD-Wert (32-Bit)“.
7. Nennen Sie den Wert Deny_All.
8. Doppelklicken Sie darauf und tragen Sie 1 ein.
9. Starten Sie zuletzt den PC neu.

Somit ist jeder Zugriff auf Wechselmedien gesperrt. Ist der Schlüssel bereits vorhanden, entfallen natürlich die Schritte 4 und 5.

Zugriff wieder freigeben

Zum Aktivieren gehen Sie umgekehrt vor:

1. Öffnen Sie regedit.
2. Navigieren Sie zu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices.
3. Löschen Sie den Wert Deny_All oder setzen Sie ihn auf 0.
4. Prüfen Sie außerdem, ob Unterschlüssel mit geschweiften Klammern vorhanden sind.
5. Löschen Sie dort ebenfalls die Werte Deny_Read, Deny_Write und Deny_Execute.
6. Starten Sie danach den PC neu.

Zusätzlich lohnt ein Blick in den Benutzerzweig. Unter HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\RemovableStorageDevices können nämlich weitere Sperren liegen.

Einzelne Klassen und Rechte per Registry sperren

Für feinere Regeln legen Sie unter RemovableStorageDevices einen Unterschlüssel mit der Klassen-GUID an. Darin erstellen Sie anschließend DWORD-Werte mit dem Inhalt 1.

Die wichtigsten GUIDs lauten:

• Wechseldatenträger: {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
• CD und DVD: {53f56308-b6bf-11d0-94f2-00a0c91efb8b}
• Diskettenlaufwerke: {53f56311-b6bf-11d0-94f2-00a0c91efb8b}
• Bandlaufwerke: {53f5630b-b6bf-11d0-94f2-00a0c91efb8b}
• WPD-Geräte: {6AC27878-A6FA-4155-BA85-F98F491D4F33} und {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE}

Die möglichen Werte sind:

• Deny_Read = 1 sperrt das Lesen.
• Deny_Write = 1 sperrt das Schreiben.
• Deny_Execute = 1 sperrt das Ausführen.

Ein Beispiel: Sie möchten nur das Schreiben auf USB-Sticks verbieten. Dann legen Sie den Schlüssel {53f5630d-b6bf-11d0-94f2-00a0c91efb8b} an und erstellen darin Deny_Write mit dem Wert 1. Nach einem Neustart sind Sticks folglich nur noch lesbar.

Methode 3: Wechselmedien-Zugriff per PowerShell oder Eingabeaufforderung umschalten

Befehle sind schneller als Klicks. Außerdem eignen sie sich für Skripte und für mehrere Rechner. Die Befehle setzen jedoch dieselben Registry-Werte wie Methode 2.

Mit PowerShell sperren und freigeben

1. Klicken Sie mit der rechten Maustaste auf den Start-Button.
2. Wählen Sie in Windows 11 „Terminal (Administrator)“, in Windows 10 hingegen „Windows PowerShell (Administrator)“.
3. Geben Sie zum Sperren nacheinander diese Befehle ein:

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices" -Force
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices" -Name "Deny_All" -Value 1 -PropertyType DWord -Force

Zum Freigeben genügt dagegen ein Befehl:

Remove-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices" -Name "Deny_All"

Starten Sie den PC danach neu, damit die Änderung sicher greift.

Mit der Eingabeaufforderung sperren und freigeben

Ebenso funktioniert der klassische Weg über reg.exe:

1. Drücken Sie Windows-Taste + R und geben Sie cmd ein.
2. Drücken Sie anschließend Strg + Umschalt + Enter, damit die Konsole mit Administratorrechten startet.
3. Geben Sie zum Sperren diesen Befehl ein:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices" /v Deny_All /t REG_DWORD /d 1 /f

Zum Freigeben nutzen Sie stattdessen:

reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices" /v Deny_All /f

Zudem können Sie beide Befehle in je eine Textdatei mit der Endung .bat speichern. Dadurch schalten Sie den Zugriff später per Rechtsklick und „Als Administrator ausführen“ um.

Methode 4: USB-Massenspeicher über den USBSTOR-Treiber abschalten

Diese Methode setzt tiefer an. Sie verhindert nämlich, dass Windows den Treiber für USB-Massenspeicher lädt. Dadurch erscheinen USB-Sticks und USB-Festplatten gar nicht erst im Explorer.

Maus, Tastatur, Drucker und Webcams funktionieren hingegen weiter. Allerdings betrifft die Methode nur USB-Speicher, also keine DVDs und keine Smartphones.

USB-Speicher deaktivieren

1. Öffnen Sie regedit mit Administratorrechten.
2. Navigieren Sie zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR.
3. Doppelklicken Sie rechts auf den Wert Start.
4. Ändern Sie den Wert von 3 auf 4.
5. Bestätigen Sie mit „OK“ und starten Sie anschließend neu.

Alternativ erledigt das ein Befehl in der Eingabeaufforderung mit Administratorrechten:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 4 /f

USB-Speicher wieder aktivieren

1. Öffnen Sie denselben Schlüssel USBSTOR.
2. Setzen Sie den Wert Start wieder auf 3.
3. Starten Sie danach den PC neu oder stecken Sie den Stick erneut ein.

Beachten Sie dabei eine Einschränkung. In manchen Fällen setzt Windows den Wert zurück, wenn ein bisher unbekanntes USB-Laufwerk installiert wird. Deshalb ist die Gruppenrichtlinie oder Deny_All auf Dauer zuverlässiger.

Außerdem erkennen moderne externe SSDs häufig den Treiber UASPStor statt USBSTOR. Solche Laufwerke bleiben trotz der Änderung unter Umständen erreichbar. Prüfen Sie die Sperre daher immer mit Ihren eigenen Geräten.

Methode 5: Installation von Wechselgeräten verhindern

Statt den Zugriff zu sperren, können Sie auch die Installation neuer Geräte unterbinden. Dann richtet Windows unbekannte USB-Speicher gar nicht erst ein. Diese Methode erfordert jedoch wieder gpedit.msc.

Neue Wechselgeräte blockieren

1. Öffnen Sie gpedit.msc.
2. Navigieren Sie zu Computerkonfiguration/Administrative Vorlagen/System/Geräteinstallation/Einschränkungen bei der Geräteinstallation.
3. Doppelklicken Sie auf „Installation von Wechselgeräten verhindern“.
4. Wählen Sie „Aktiviert“ und bestätigen Sie mit „OK“.
5. Führen Sie anschließend gpupdate /force aus.

Bereits installierte Geräte funktionieren dabei zunächst weiter. Soll die Sperre auch für sie gelten, aktivieren Sie zusätzlich in den passenden „Verhindern“-Richtlinien die Option „Auch auf übereinstimmende Geräte anwenden, die bereits installiert sind“.

Nur bestimmte USB-Sticks erlauben

In Firmen sind oft nur freigegebene Sticks zulässig. Dafür nutzen Sie eine Ausnahmeliste mit Hardware-IDs. Zunächst ermitteln Sie die ID:

1. Stecken Sie den erlaubten Stick ein.
2. Klicken Sie mit der rechten Maustaste auf den Start-Button und öffnen Sie den Geräte-Manager.
3. Klappen Sie „Laufwerke“ auf und doppelklicken Sie auf den Stick.
4. Wechseln Sie danach zur Registerkarte „Details“.
5. Wählen Sie im Feld „Eigenschaft“ den Eintrag „Hardware-IDs“ oder „Geräteinstanzpfad“.
6. Kopieren Sie anschließend den obersten Wert per Rechtsklick.

Danach tragen Sie die ID ein:

1. Öffnen Sie wieder den Ordner „Einschränkungen bei der Geräteinstallation“.
2. Aktivieren Sie „Installation von Geräten mit diesen Geräte-IDs zulassen“ und fügen Sie über „Anzeigen“ die ID ein.
3. Aktivieren Sie außerdem „Anwenden einer übergeordneten Reihenfolge für Zulassen- und Verhindern-Geräteinstallationsrichtlinien für alle Geräteübereinstimmungskriterien“.
4. Lassen Sie zusätzlich „Installation von Wechselgeräten verhindern“ aktiviert.
5. Führen Sie zuletzt gpupdate /force aus.

Diese mehrschichtigen Richtlinien sind laut Computerweekly ab Windows 10 21H2 und in Windows 11 verfügbar. Dadurch haben Zulassungen Vorrang vor allgemeinen Verboten. Folglich arbeiten nur noch die freigegebenen Sticks.

Methode 6: Nur den Schreibzugriff sperren (Schreibschutz)

Manchmal sollen Daten lesbar bleiben. Lediglich das Kopieren auf den Stick soll unterbunden werden. Dafür gibt es neben der Gruppenrichtlinie einen eigenen Registry-Schlüssel.

Schreibschutz für alle Wechseldatenträger einschalten

1. Öffnen Sie regedit.
2. Navigieren Sie zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control.
3. Legen Sie per Rechtsklick über „Neu/Schlüssel“ den Schlüssel StorageDevicePolicies an, sofern er fehlt.
4. Erstellen Sie darin anschließend den DWORD-Wert (32-Bit) mit dem Namen WriteProtect.
5. Setzen Sie den Wert auf 1.
6. Starten Sie danach neu oder stecken Sie den Stick erneut ein.

Ab jetzt meldet Windows beim Kopieren „Der Datenträger ist schreibgeschützt“.

Schreibschutz wieder aufheben

1. Öffnen Sie den Schlüssel StorageDevicePolicies.
2. Setzen Sie WriteProtect auf 0 oder löschen Sie den Wert.
3. Stecken Sie den Stick anschließend neu ein.

Bleibt der Schreibschutz dennoch bestehen, liegt die Ursache oft woanders. Prüfen Sie zunächst den kleinen Schiebeschalter an SD-Karten und manchen USB-Sticks. Außerdem kann ein Attribut auf dem Datenträger gesetzt sein. Das beheben Sie mit diskpart:

1. Öffnen Sie die Eingabeaufforderung mit Administratorrechten.
2. Geben Sie diskpart ein.
3. Geben Sie danach list disk ein und merken Sie sich die Nummer des Sticks.
4. Geben Sie select disk X ein, wobei X für die Nummer steht.
5. Geben Sie zuletzt attributes disk clear readonly ein.

Achten Sie dabei unbedingt auf die richtige Nummer. Die Größe in der Liste hilft zudem bei der Zuordnung.

Schreiben nur auf verschlüsselte Sticks erlauben

Eine elegante Alternative ist BitLocker To Go. Damit dürfen Nutzer nur auf verschlüsselte Sticks schreiben. Die Funktion setzt allerdings Pro, Enterprise oder Education voraus.

1. Öffnen Sie gpedit.msc.
2. Navigieren Sie zu Computerkonfiguration/Administrative Vorlagen/Windows-Komponenten/BitLocker-Laufwerkverschlüsselung/Wechseldatenträger.
3. Doppelklicken Sie auf „Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind“.
4. Wählen Sie „Aktiviert“ und bestätigen Sie mit „OK“.

Dadurch bleiben unverschlüsselte Sticks lesbar. Schreiben ist jedoch erst nach der Verschlüsselung möglich. Einen Stick verschlüsseln Sie per Rechtsklick im Explorer über „BitLocker aktivieren“.

Weitere Wege: Geräte-Manager, UEFI und Intune

Neben den genannten Methoden gibt es drei weitere Ansätze. Sie eignen sich jedoch eher für Sonderfälle.

Einzelnes Gerät im Geräte-Manager deaktivieren

Diese Lösung sperrt nur ein bestimmtes Gerät. Sie ist daher schnell, aber kein echter Schutz.

1. Öffnen Sie per Rechtsklick auf den Start-Button den Geräte-Manager.
2. Klappen Sie „Laufwerke“ oder „USB-Controller“ auf.
3. Klicken Sie mit der rechten Maustaste auf den Stick oder auf „USB-Massenspeichergerät“.
4. Wählen Sie „Gerät deaktivieren“.

Zum Aktivieren wählen Sie an derselben Stelle „Gerät aktivieren“. Ein anderer Stick funktioniert allerdings weiterhin. Für das DVD-Laufwerk gehen Sie ebenso unter „DVD/CD-ROM-Laufwerke“ vor.

USB-Anschlüsse im UEFI/BIOS abschalten

Die Sperre im UEFI wirkt unabhängig von Windows. Deshalb lässt sie sich auch nicht per Registry umgehen.

1. Öffnen Sie in Windows 11 Einstellungen/System/Wiederherstellung. In Windows 10 lautet der Weg hingegen Einstellungen/Update und Sicherheit/Wiederherstellung.
2. Klicken Sie bei „Erweiterter Start“ auf „Jetzt neu starten“.
3. Wählen Sie danach Problembehandlung/Erweiterte Optionen/UEFI-Firmwareeinstellungen.
4. Suchen Sie im UEFI nach Einträgen wie „USB Storage“, „USB Mass Storage“ oder „External USB Ports“.
5. Stellen Sie den Eintrag auf „Disabled“ und speichern Sie mit F10.

Die Bezeichnungen unterscheiden sich allerdings je nach Hersteller. Vergeben Sie zusätzlich ein UEFI-Kennwort, damit niemand die Einstellung zurücknimmt.

Vorsicht ist jedoch bei Optionen geboten, die sämtliche USB-Ports abschalten. Dann funktionieren unter Umständen auch Maus und Tastatur nicht mehr.

Zentrale Steuerung mit Intune und Defender

In Unternehmen werden Geräte meist zentral verwaltet. Dort setzen Sie die Sperre daher nicht lokal, sondern über Microsoft Intune:

1. Öffnen Sie das Intune Admin Center.
2. Wählen Sie Geräte/Konfiguration und erstellen Sie ein neues Profil für Windows 10 und höher.
3. Wählen Sie als Profiltyp den Einstellungskatalog.
4. Suchen Sie anschließend nach „Wechselmedienzugriff“ beziehungsweise „Removable Storage Access“.
5. Aktivieren Sie die gewünschte Einstellung, zum Beispiel „Alle Wechselmedienklassen: Jeglichen Zugriff verweigern“.
6. Weisen Sie das Profil zuletzt einer Gerätegruppe zu.

Noch feiner arbeitet die Gerätesteuerung in Microsoft Defender for Endpoint. Damit erlauben Sie zum Beispiel nur Sticks mit bestimmter Seriennummer. Außerdem protokolliert Defender jeden Zugriff.

In klassischen Domänen nutzen Sie dagegen die Gruppenrichtlinienverwaltung auf dem Server. Der Pfad lautet dort Computerkonfiguration/Richtlinien/Administrative Vorlagen/System/Wechselmedienzugriff.

Automatische Wiedergabe als zusätzliche Schutzschicht

Die automatische Wiedergabe öffnet eingesteckte Medien von selbst. Deshalb sollten Sie sie ergänzend abschalten. Sie ersetzt allerdings keine echte Sperre.

In Windows 11 gehen Sie so vor:

1. Öffnen Sie die Einstellungen mit Windows-Taste + I.
2. Wählen Sie Bluetooth und Geräte/Automatische Wiedergabe.
3. Schalten Sie anschließend „Automatische Wiedergabe für alle Medien und Geräte verwenden“ aus.

In Windows 10 lautet der Weg hingegen:

1. Öffnen Sie die Einstellungen.
2. Wählen Sie Geräte/Automatische Wiedergabe.
3. Schalten Sie danach den Schalter auf „Aus“.

Prüfen, ob die Sperre aktiv ist

Nach jeder Änderung sollten Sie das Ergebnis testen. Dafür gibt es mehrere Wege:

• Praxistest: Stecken Sie einen USB-Stick ein und öffnen Sie ihn im Explorer. Kopieren Sie außerdem testweise eine Datei.
• Richtlinienbericht: Öffnen Sie die Eingabeaufforderung mit Administratorrechten und geben Sie gpresult /h C:\gp-bericht.html ein. Öffnen Sie die Datei danach im Browser und suchen Sie nach „Wechselmedienzugriff“.
• Richtlinienergebnissatz: Drücken Sie Windows-Taste + R und geben Sie rsop.msc ein. Dort sehen Sie ebenfalls alle aktiven Richtlinien.
• Registry-Abfrage: Geben Sie in der Eingabeaufforderung reg query „HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices“ /s ein. Dadurch erscheinen alle gesetzten Werte.

Meldet die Abfrage einen Fehler, existiert der Schlüssel nicht. Folglich ist auf Computerebene keine Sperre gesetzt.

Probleme beim Aktivieren oder Deaktivieren lösen

Nicht immer klappt die Umstellung sofort. Die folgenden Fälle treten jedoch besonders häufig auf.

gpedit.msc wird nicht gefunden

Diese Meldung erscheint in der Home-Edition. Dort fehlt der Editor nämlich ab Werk. Nutzen Sie daher Methode 2 oder Methode 3, denn die Registry-Werte wirken in allen Editionen.

Die Richtlinie greift nicht

Hier helfen meist diese Schritte:

1. Führen Sie zunächst gpupdate /force in einer Konsole mit Administratorrechten aus.
2. Starten Sie den PC danach neu.
3. Ziehen Sie außerdem den Stick ab und stecken Sie ihn erneut ein.
4. Prüfen Sie anschließend mit rsop.msc, ob die Richtlinie ankommt.
5. Wechseln Sie gegebenenfalls von der Benutzer- zur Computerkonfiguration.

Zudem kann ein Windows-Update das Verhalten ändern. Installieren Sie deshalb über Einstellungen/Windows Update die neuesten Updates und testen Sie erneut.

USB-Stick bleibt trotz Freigabe gesperrt

Dann ist oft eine zweite Sperre aktiv. Gehen Sie daher diese Liste durch:

• Deny_All und die Klassenschlüssel unter HKEY_LOCAL_MACHINE prüfen
• Denselben Pfad zusätzlich unter HKEY_CURRENT_USER prüfen
• Den Wert Start unter USBSTOR auf 3 kontrollieren
• WriteProtect unter StorageDevicePolicies auf 0 setzen
• Die Richtlinie „Installation von Wechselgeräten verhindern“ kontrollieren
• Die Gerätesteuerung der installierten Sicherheitssoftware prüfen

Viele Schutzprogramme besitzen nämlich eine eigene USB-Kontrolle. Öffnen Sie daher die Einstellungen Ihres Virenschutzes und suchen Sie nach „Gerätekontrolle“ oder „Device Control“.

Die Einstellung kehrt immer wieder zurück

Setzt sich die Sperre nach jedem Neustart neu, wird der PC vermutlich verwaltet. Das erkennen Sie so:

1. Öffnen Sie die Einstellungen.
2. Wählen Sie Konten/Auf Arbeits- oder Schulkonto zugreifen.
3. Prüfen Sie anschließend, ob dort eine Organisation eingetragen ist.

Ist das der Fall, verteilt die IT-Abteilung die Richtlinie. Lokale Änderungen werden dann überschrieben. Wenden Sie sich deshalb an den zuständigen Administrator.

Smartphone bleibt trotz Sperre erreichbar

Smartphones zählen zu den WPD-Geräten. Die Regeln für Wechseldatenträger gelten für sie also nicht. Aktivieren Sie daher zusätzlich „WPD-Geräte: Lesezugriff verweigern“ und „WPD-Geräte: Schreibzugriff verweigern“. Alternativ sperren Sie mit „Alle Wechselmedienklassen: Jeglichen Zugriff verweigern“ sämtliche Klassen.

Sicherheitstipps für den Umgang mit Wechselmedien

Eine Sperre allein reicht selten aus. Ergänzend helfen daher diese Maßnahmen:

• Standardkonten nutzen: Arbeiten Sie im Alltag ohne Administratorrechte. Dadurch kann niemand die Sperre einfach zurücknehmen.
• Registry-Zugriff sperren: Aktivieren Sie zusätzlich unter Benutzerkonfiguration/Administrative Vorlagen/System die Richtlinie „Zugriff auf Programme zum Bearbeiten der Registrierung verhindern“.
• Sticks prüfen: Klicken Sie im Explorer mit der rechten Maustaste auf das Laufwerk und wählen Sie „Mit Microsoft Defender überprüfen“.
• Sticks verschlüsseln: Nutzen Sie dafür BitLocker To Go per Rechtsklick auf das Laufwerk und „BitLocker aktivieren“.
• Windows aktuell halten: Installieren Sie außerdem regelmäßig alle Sicherheitsupdates.

Gerade der letzte Punkt ist im Herbst 2026 wichtig. Laut Netzwelt endet der Support für Windows 11 24H2 am 13. Oktober 2026, wobei die Editionen Enterprise und Education nicht betroffen sind. Wechseln Sie deshalb über Einstellungen/Windows Update auf Version 25H2 oder 26H2.

Für Windows 10 gilt zudem: Laut PC-WELT erhält das System im Rahmen des ESU-Programms noch bis Oktober 2027 Sicherheitsupdates. Die beschriebenen Richtlinien funktionieren dort jedoch weiterhin wie gewohnt.

Häufige Fragen zum Wechselmedien-Zugriff

Wie aktiviere ich den Wechselmedien-Zugriff in Windows 11/10 wieder?

Öffnen Sie gpedit.msc und navigieren Sie zu Computerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff. Stellen Sie dort alle Einträge auf „Nicht konfiguriert“. In der Home-Edition löschen Sie stattdessen den Wert Deny_All unter HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices. Starten Sie danach den PC neu.

Funktioniert die Sperre auch in Windows 11/10 Home?

Ja, allerdings nicht über gpedit.msc. Legen Sie stattdessen den Registry-Wert Deny_All mit dem Inhalt 1 an, wie in Methode 2 beschrieben. Alternativ nutzen Sie die Befehle aus Methode 3. Beide Wege wirken somit wie die Gruppenrichtlinie.

Werden Maus, Tastatur und Drucker ebenfalls gesperrt?

Nein. Die Richtlinien betreffen ausschließlich Speichermedien. Eingabegeräte, Drucker, Webcams und Headsets arbeiten deshalb normal weiter. Lediglich eine vollständige Abschaltung der USB-Ports im UEFI betrifft auch diese Geräte.

Kann ich nur das Kopieren auf USB-Sticks verbieten?

Ja. Aktivieren Sie dafür „Wechseldatenträger: Schreibzugriff verweigern“ in gpedit.msc. Alternativ setzen Sie WriteProtect auf 1 unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies. Dateien bleiben dadurch lesbar, jedoch lässt sich nichts mehr auf den Stick speichern.

Muss ich den PC nach der Änderung neu starten?

Meistens genügt gpupdate /force und ein erneutes Einstecken des Mediums. War das Laufwerk jedoch gerade in Benutzung, greift die Regel erst nach einem Neustart. Bei Änderungen am USBSTOR-Treiber ist ein Neustart ebenfalls ratsam.

Gilt die Sperre auch für Administratoren?

Ja, sofern Sie die Einstellung in der Computerkonfiguration oder unter HKEY_LOCAL_MACHINE setzen. Sie gilt dann für alle Konten. Administratoren können die Sperre allerdings jederzeit wieder aufheben. Für Ausnahmen nutzen Sie daher die Benutzerkonfiguration für „Nicht-Administratoren“.

Sind SD-Karten und externe Festplatten ebenfalls betroffen?

In der Regel ja. SD-Karten in USB-Kartenlesern und die meisten externen Laufwerke zählen nämlich zu den Wechseldatenträgern. Manche fest eingebauten Kartenleser und einige externe SSDs melden sich jedoch als lokale Datenträger. Testen Sie die Sperre deshalb mit jedem Gerätetyp.

Wie sperre ich nur das DVD-Laufwerk?

Aktivieren Sie in gpedit.msc die drei Richtlinien „CD und DVD: Lesezugriff verweigern“, „CD und DVD: Schreibzugriff verweigern“ und „CD und DVD: Ausführungszugriff verweigern“. Alternativ deaktivieren Sie das Laufwerk im Geräte-Manager unter „DVD/CD-ROM-Laufwerke“ per Rechtsklick und „Gerät deaktivieren“.

Lässt sich die Sperre umgehen?

Mit Administratorrechten ja, denn Richtlinie und Registry lassen sich zurücksetzen. Außerdem hilft ein Start von einem fremden Medium. Vergeben Sie deshalb nur Standardkonten, setzen Sie ein UEFI-Kennwort und verschlüsseln Sie die Systemplatte zusätzlich mit BitLocker.

Fazit

Den Wechselmedien-Zugriff schalten Sie in Windows 11/10 am zuverlässigsten über die Gruppenrichtlinie „Alle Wechselmedienklassen: Jeglichen Zugriff verweigern“ um. In der Home-Edition erledigt das zudem der Registry-Wert Deny_All.

Für feinere Regeln sperren Sie hingegen nur das Schreiben oder Ausführen. Testen Sie die Einstellung außerdem nach jedem größeren Windows-Update mit einem USB-Stick.