Der Drucker im Flur: Das vergessene Gerät mit Festplatte, Netzzugang und Adressbuch

Warum ein Drucker kein Drucker mehr ist

Das Gerät im Flur druckt. Es tut aber noch fünf andere Dinge, und die machen es zu einem Computer im Netzwerk:

• Es hat einen Datenträger, auf dem Aufträge und Scans zwischengespeichert werden — teils dauerhaft.
• Es hat eine Weboberfläche zur Verwaltung, erreichbar für jeden im Netz.
• Es speichert Zugangsdaten: für den Mailversand beim Scannen, für die Ablage auf dem Dateiserver, oft für die Benutzerverzeichnisse.
• Es führt ein Adressbuch mit Mailadressen von Kunden und Kollegen.
• Es hat eine Firmware, die aktualisiert werden müsste — und meist nicht wird.

Damit steht mitten im Netz ein Gerät, das Dokumente speichert und Anmeldedaten kennt, aber in keinem Wartungsplan auftaucht. Der Grund ist selten Technik, sondern Zuständigkeit: Der Drucker gehört gefühlt zum Büromaterial, nicht zur IT.

Was daraus praktisch folgt

Vier Szenarien, die nichts Exotisches voraussetzen:

Die Weboberfläche mit Standardpasswort. Sehr viele Geräte laufen jahrelang mit den Zugangsdaten aus dem Handbuch. Wer im Netz ist, kann die Konfiguration lesen — inklusive der hinterlegten Konten.

Ausgelesene Zugangsdaten. Für Scan-to-Mail oder die Ablage im Dateiserver ist im Gerät ein Konto hinterlegt. Ist es großzügig berechtigt — und das ist es oft, weil es „einfach funktionieren“ sollte —, ist es ein bequemer erster Schritt ins Dateisystem.

Dokumente auf dem Datenträger. Beim Austausch, bei der Rückgabe eines Leasinggeräts oder bei der Entsorgung geht der Datenträger mit — samt der Scans der letzten Jahre. Personalunterlagen, Verträge, Ausweiskopien.

Der Zwischenstopp im Netz. Ein Gerät, das nicht überwacht wird, aber alles erreicht, ist ein guter Ort, um sich unauffällig aufzuhalten. Genau darum geht es bei der Verweildauer.

Warum fällt das nicht auf?

Weil ein Drucker nie Ärger macht. Er meldet keine Fehler, er verlangt keine Anmeldung, er steht auf keiner Inventarliste als IT-Gerät. Erst wenn er kein Papier hat, denkt jemand an ihn.

Dazu kommt: Beim Patch-Management denken die meisten an Server und Arbeitsplätze. Drucker, Scanner, Zeiterfassungsterminals und Kameras fallen durch — sie haben Firmware statt Betriebssystem und keinen automatischen Update-Weg. Der Endpunktschutz läuft dort ebenfalls nicht.

Es ist dieselbe Lücke wie bei Schatten-IT, nur andersherum: Das Gerät ist offiziell beschafft — es hat nur nie jemanden bekommen, der sich zuständig fühlt.

Was Sie konkret tun sollten

Sechs Schritte, die zusammen an einem Vormittag zu schaffen sind:

• Standardpasswörter ändern. Auf jedem Gerät, auf dem ersten. Das neue Passwort gehört in den Passwort-Manager, nicht auf einen Zettel am Gerät.
• Berechtigungen des Scan-Kontos einschränken. Es braucht Schreibrechte auf genau einen Ordner — nicht auf das Laufwerk.
• Ins eigene Netzsegment. Drucker und ähnliche Geräte gehören in ein eigenes VLAN, das nur das darf, was es soll (wie Segmentierung praktisch aussieht).
• Verwaltung nicht ins Internet. Keine Weboberfläche eines Druckers sollte von außen erreichbar sein — das kommt häufiger vor als gedacht.
• Firmware in den Wartungsplan. Zweimal im Jahr prüfen genügt für die meisten Betriebe; wichtig ist, dass es überhaupt jemandes Aufgabe ist.
• Datenträger vor der Rückgabe löschen. Beim Leasingwechsel und bei der Entsorgung schriftlich bestätigen lassen — das ist zugleich der Nachweis gegenüber dem Datenschutz.

Ergänzend, wo sensibel gedruckt wird: Vertrauliches Drucken, bei dem der Auftrag erst am Gerät durch PIN oder Karte freigegeben wird. Das löst nebenbei das analoge Problem — Unterlagen, die stundenlang in der Ablage liegen.

Was ist mit Datenschutz?

Ein Multifunktionsgerät verarbeitet personenbezogene Daten — Scans von Personalunterlagen, Rechnungen, Ausweiskopien. Damit gehört es in dieselbe Betrachtung wie jedes andere System:

• Das Adressbuch ist eine Sammlung personenbezogener Daten und will gepflegt sein.
• Bei Kartenlesern zur Anmeldung gelten dieselben Fragen wie bei Zutrittssystemen (Zutritt und DSGVO).
• Bei Fernwartung durch den Lieferanten braucht es eine vertragliche Grundlage und einen abgegrenzten Zugang — siehe Datenleck beim Dienstleister.
• Der gelöschte Datenträger bei Austausch oder Entsorgung ist der Punkt, der in Prüfungen am häufigsten fehlt.

Was sollten Sie als Nächstes tun?

Machen Sie den Zwei-Minuten-Test: Tippen Sie die IP-Adresse Ihres Multifunktionsgeräts in den Browser. Kommen Sie ohne Passwort in die Verwaltung — oder mit dem aus dem Handbuch —, dann kann das jeder in Ihrem Netz auch. Und jeder, der es in Ihr Netz geschafft hat.

Der zweite Blick geht auf die Zahl: Wie viele solcher Geräte gibt es überhaupt, inklusive der kleinen in den Nebenstellen? Diese Liste existiert selten — und sie ist die Voraussetzung für alles Weitere.

Wenn Sie es nicht selbst durchgehen wollen: Wir nehmen die Geräte auf, setzen Passwörter und Berechtigungen gerade, hängen sie in ein eigenes Netzsegment und in den Wartungsplan — damit der Drucker im Flur wieder nur ein Drucker ist.