Gehen Sie durch eine beliebige moderne Industrieanlage, und Sie werden USB-Anschlüsse an Engineering-Workstations, Historian-Servern, Programmier-Laptops für SPS und HMI-Panels finden. Diese Anschlüsse bieten Komfort. Sie sind jedoch heute auch einer der am häufigsten ausgenutzten Eintrittspunkte in Operational-Technology-Umgebungen (OT).

Bedrohungen durch Wechselmedien haben sich weit über das Zeitalter infizierter USB-Sticks hinaus entwickelt, die auf Parkplätzen hinterlassen wurden. Im Jahr 2026 nutzen Angreifer, die auf industrielle Steuerungssysteme abheben, Manipulationen auf Firmware-Ebene, die eine Neuformatierung überstehen, auf Social Engineering ausgelegte USB-Baiting-Kampagnen anstelle von Zufallstreffern sowie BadUSB-Payloads, die einen USB-Stick in eine voll funktionsfähige Angriffsplattform verwandeln – eine Plattform, die jedes Endpoint-Security-Tool umgeht, das nach bösartigen Dateien sucht.

Für Betriebsleiter, OT-Ingenieure und CISOs, die für Kritische Infrastrukturen (KRITIS) verantwortlich sind, erfordert diese Entwicklung eine präzisere und technisch fundiertere Antwort als „Autorun deaktivieren“ und „Mitarbeiter schulen“. Dieser Beitrag analysiert genau, wie diese Angriffe funktionieren, was ICS-Umgebungen so einzigartig anfällig macht und wie eine mehrschichtige Verteidigung (Defense-in-Depth) in der Praxis aussieht.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag über eine tiefgehende Analyse des Cyberangriffs auf Cal Water hier zu lesen.

Warum ICS-Umgebungen das ideale Ziel für Angriffe über Wechselmedien sind

Bevor Sie sich gegen diese Bedrohungen verteidigen können, müssen Sie verstehen, warum industrielle Steuerungssysteme diese Angriffe geradezu anziehen.

OT-Netzwerke sind nicht mit IT-Umgebungen in Unternehmen vergleichbar. In vielen ICS-Installationen läuft Legacy-Hardware und -Software, die nicht ohne Risiko für die Produktionskontinuität gepatcht werden kann. Ingenieure übertragen Daten, Firmware-Updates und Konfigurationsdateien routinemäßig über USB-Sticks, da Air-Gap-Systeme oder segmentierte Netzwerke kaum andere praktikable Optionen zulassen. Die Wartungsfenster sind eng. Ausfallzeiten sind teuer. Provisorische Workarounds werden zur Gewohnheit.

Diese Kombination – Legacy-Systeme, seltene Patch-Zyklen und die etablierte Praxis der Nutzung von Wechselmedien – schafft eine Angriffsfläche, die nur sehr schwer zu schließen ist.

Das Purdue-Modell erzeugt eine Illusion von Trennung. Die IT/OT-Segmentierung auf Ebene 3.5 (Demilitarisierte Zone / DMZ) soll Bedrohungen eindämmen, aber ein einziger infizierter USB-Stick, der von einem autorisierten Benutzer über diese Grenze hinweg getragen wird, bringt die gesamte Architektur zum Einsturz. Der Angreifer muss Ihre Perimetersicherheit nicht überwinden. Ihr eigenes Personal bringt die Payload hinein.

Die Vielfalt der Assets verschärft das Problem. In einer einzigen Industrieanlage können Systeme von Siemens, Rockwell, Emerson, Yokogawa und Honeywell gleichzeitig betrieben werden – jedes mit proprietären Firmware-Formaten, unterschiedlichem Verhalten beim Umgang mit Wechselmedien und variierender Endpoint-Sichtbarkeit. Sicherheitswerkzeuge, die auf Windows-Workstations funktionieren, bieten oft keinerlei Einblick in die Abläufe, wenn ein USB-Gerät an die Konsole eines Leitsystems (DCS/SCADA/PLC) angeschlossen wird, auf dem ein 15 Jahre altes Betriebssystem läuft.

Sicherheitssysteme stehen nun im Fokus. Sicherheitsgerichtete Systeme (Safety Instrumented Systems – SIS) – die letzte Verteidigungslinie gegen katastrophale physische Ausfälle – waren historisch isoliert. Moderne Hybridarchitekturen verbinden SIS-Komponenten zunehmend mit operativen Netzwerken zur Überwachung. Ein Angriff über Wechselmedien, der die SIS-Firmware erreicht, kann die Systeme kompromittieren, die eigentlich Industrieunfälle verhindern sollen.

BadUSB: Wenn das Gerät selbst zur Waffe wird

BadUSB ist keine Malware-Variante. Es ist eine Angriffs-Klasse. Der Begriff beschreibt, was passiert, wenn ein Angreifer den Mikrocontroller in einem USB-Gerät so umprogrammiert, dass es sich dem Host-System als etwas anderes darstellt, als es tatsächlich ist.

Stecken Sie ein Gerät ein, das wie ein normaler USB-Stick aussieht. Das Host-Betriebssystem erkennt es als Human Interface Device (HID) – genauer gesagt als Tastatur. Das HID sendet eine schnelle Abfolge von Tastenanschlägen. Innerhalb von Sekunden öffnet es eine Eingabeaufforderung, lädt eine Payload von einem Staging-Server herunter und schließt sich wieder, ohne sichtbare Spuren zu hinterlassen. Der gesamte Vorgang dauert weniger als 30 Sekunden. Keine Datei, die gescannt werden könnte. Keine ausführbare Datei, die blockiert wird. Kein Antiviren-Alarm.

Wie BadUSB auf Firmware-Ebene funktioniert

Jedes USB-Gerät besitzt einen Mikrocontroller, der die Kommunikation mit dem Host steuert. Die Firmware auf diesem Controller definiert, wie sich das Gerät während des USB-Enumerationsprozesses identifiziert. Bei handelsüblicher USB-Hardware wurde diese Firmware nicht unter Sicherheitsaspekten entwickelt. Sie kann mit frei verfügbaren Tools umprogrammiert werden.

Wenn sich ein BadUSB-Gerät als Tastatur oder Netzwerkadapter anmeldet, vertraut das Host-Betriebssystem ihm. Endpoint Detection and Response (EDR)-Tools überwachen verdächtige Prozesse und Dateisystemaktivitäten – sie überwachen jedoch keine Tastatureingaben, die in computergesteuerter Geschwindigkeit von einem gerade erst angeschlossenen Gerät eingehen.

Im ICS-Kontext vergrößert sich die Angriffsfläche drastisch. Engineering-Workstations, auf denen Windows XP, Windows 7 oder frühe Windows-10-Builds ohne aktuelle Patches laufen, sind besonders gefährdet. In vielen OT-Umgebungen werden USB-Anschlüsse physikalisch oder über Gruppenrichtlinien deaktiviert – diese Kontrollen werden jedoch in einer komplexen Industrieanlage selten konsistent über alle Assets hinweg durchgesetzt.

Was BadUSB in einer OT-Umgebung anrichten kann

• Reconnaissance-Tools bereitstellen, um die Netzwerktopologie zu kartografieren, PLCs und DCS-Endpunkte zu identifizieren und Konfigurationsdateien abzuziehen.

• Bösartigen Kontaktplan-Code (Ladder Logic) oder Funktionsbausteindiagramme einschleusen, indem Interaktionen mit der Engineering-Software auf der kompromittierten Workstation skriptgesteuert simuliert werden.

• Persistenz etablieren über geplante Aufgaben, Autostart-Skripte oder Firmware-Modifikationen auf angeschlossenen Geräten.

• Laterale Ausbreitung (Lateral Movement) von der IT-verbundenen Engineering-Workstation in OT-Systeme der Ebene 2 durch Ausnutzung von Vertrauensbeziehungen zwischen Netzwerk-Hosts.

Die gefährlichsten BadUSB-Einsätze in ICS-Umgebungen sind geräuschlos. Sie lösen keine Alarme aus. Sie agieren unbemerkt und sammeln die Informationen, die ein Angreifer benötigt, um Wochen oder Monate später einen gezielten, folgenschweren Angriff durchzuführen.

USB-Baiting: Social Engineering auf der physischen Ebene

USB-Baiting funktioniert genau so, wie es klingt. Ein Angreifer hinterlässt ein präpariertes USB-Gerät an einem Ort, an dem das Ziel es wahrscheinlich findet. Das Opfer hebt es auf, schließt es an eine Workstation an und die Payload wird ausgeführt.

Die Technik klingt simpel. Im Jahr 2026 bleibt sie jedoch eine der effektivsten Methoden für den Erstzugang (Initial Access) in Industrieumgebungen, und sie ist deutlich zielgerichteter geworden.

Die Evolution von USB-Baiting-Kampagnen

Frühes USB-Baiting war opportunistisch – Angreifer verteilten USB-Sticks auf Parkplätzen und hofften, dass jemand sie anschließen würde. Moderne Kampagnen, die auf ICS-Betreiber abzielen, sind operativ präzise geplant. Angreifer führen physische Aufklärung von Anlagen durch, identifizieren Personal, das routinemäßig mit Wechselmedien umgeht (Instandhaltungstechniker, externe Dienstleister, MSR-Ingenieure), und passen den Köder entsprechend an.

Ein USB-Stick, der in der Nähe eines Laptops zur PLC-Programmierung in einem Pausenraum des Leitstands hinterlassen wird, wird mit weitaus höherer Wahrscheinlichkeit an ein ICS-Asset angeschlossen als ein Stick auf dem allgemeinen Mitarbeiterparkplatz. Ein Stick mit der Aufschrift „Gehaltsprüfung 2026 – Vertraulich“ zielt auf Neugier ab. Ein Stick mit der Aufschrift „SCADA Firmware Update – Rev 4.2.1“ nutzt berufliche Gewohnheiten aus. Beide nutzen eine fundamentale menschliche Schwachstelle aus: die Annahme, dass physische Nähe Vertrauenswürdigkeit bedeutet.

Vektoren über Dienstleister und die Lieferkette (Supply Chain) erhöhen das Risiko zusätzlich. Wartungsdienstleister bringen häufig eigene Laptops und USB-Sticks mit in die Anlagen. Sie verbinden sich mit Historian-Servern, DCS-Konsolen und Engineering-Workstations mit Berechtigungsstufen, die jede IT-Sicherheitsabteilung alarmieren würden – und das über Endgeräte, die sich vollständig außerhalb der Kontrolle Ihres Unternehmens befinden.

Warum ICS-Personal besonders anfällig ist

OT-Ingenieure sind darauf trainiert, betriebliche Probleme schnell zu lösen. Wenn die Produktion gefährdet ist, gewinnt der schnellste Weg zur Lösung. Diese Dringlichkeit stellt eine Angriffsfläche dar. Ein USB-Stick, der anscheinend einen Firmware-Patch oder ein Konfigurations-Backup enthält, wird angeschlossen, weil das Warten auf die Verifizierung der Herkunft zusätzliche Ausfallzeiten bedeuten könnte.

Dasselbe gilt für Wartungsfenster von Drittanbietern. Wenn ein Spezialist für ein eng begrenztes Servicefenster vor Ort ist, wirkt die Aufforderung, ein USB-Gerät zur Vorprüfung einzureichen, oft wie ein Hindernis. In vielen Werken findet sie schlichtweg nicht statt.

Firmware-Manipulation: Die Bedrohung, die alles übersteht

Von den drei hier behandelten Angriffskategorien ist die Firmware-Manipulation die technisch anspruchsvollste sowie am schwersten zu erkennende und zu behebehende Bedrohung. Zudem hat sie im ICS-Kontext die weitreichendsten Konsequenzen.

Was Firmware-Manipulation bedeutet

Jedes Gerät in Ihrer OT-Umgebung – PLCs, HMIs, RTUs, DCS-Controller, Schutzgeräte – führt Firmware aus. Diese Firmware steuert das Verhalten des Geräts auf der grundlegendsten Ebene. Wenn ein Angreifer sie modifizieren kann, kontrolliert er das Gerät.

Firmware-Angriffe auf ICS-Assets folgen in der Regel einem von zwei Pfaden:

Pfad 1: Schad-Firmware wird über Wechselmedien eingeschleust. Ein Angreifer bereitet ein modifiziertes Firmware-Image für ein bestimmtes Gerätemodell vor. Er schleust es über USB ein – entweder über ein BadUSB-Gerät, das den Update-Prozess im Hintergrund initiiert, oder über Social Engineering, das einen Ingenieur davon überzeugt, eine „aktualisierte“ Firmware-Datei einzuspielen. Die modifizierte Firmware führt die vom Angreifer definierten Aktionen aus, während sie den Bedienern normale Zustandsdaten anzeigt.

Pfad 2: Ausnutzung des Firmware-Update-Mechanismus. Viele ICS-Geräte akzeptieren Firmware-Updates über herstellereigene USB-Tools. Diese Mechanismen wurden auf Benutzerfreundlichkeit und nicht auf Sicherheit ausgelegt. Häufig fehlt eine kryptografische Verifizierung des Firmware-Images. Ein Angreifer, der das Update-Protokoll versteht, kann ein manipuliertes Firmware-Paket erstellen, das vom Gerät als legitim akzeptiert wird.

Warum Angriffe auf Firmware-Ebene in der OT besonders gefährlich sind

Sie überstehen Neuinstallationen (Reimaging). Wenn ein Angreifer Persistenz auf Firmware-Ebene erreicht, wird die Bedrohung durch das Bereinigen und Neuinstallieren des Betriebssystems auf einer angeschlossenen Workstation nicht beseitigt. Die kompromittierte Firmware wird weiterhin auf dem Gerät selbst ausgeführt.

Sie können physischen Schaden anrichten. Eine PLC mit kompromittierter Firmware kann fehlerhafte Befehle an Motoren, Ventile, Aktoren und andere physische Komponenten senden. Dies ist kein theoretisches Szenario – die Industriegeschichte verzeichnet Vorfälle, bei denen Firmware-Manipulationen zur physischen Zerstörung von Anlagen führten und in einigen Fällen Bedingungen schufen, die das Personal gefährdeten.

Sie sind für Standard-Überwachungstools nahezu unsichtbar. Ihr SIEM empfängt Protokolle von Windows-Hosts, Netzwerkgeräten und Firewalls. Es empfängt keine Protokolle von der PLC-Firmware. Prozess-Historians zeichnen Anlagendaten auf, nicht jedoch die Firmware-Integrität. Ein Angreifer auf Firmware-Ebene agiert unterhalb der Sichtbarkeitsgrenze der meisten industriellen Sicherheitsarchitekturen.

Sie nutzen das Vertrauen in Herstellerprozesse aus. Ingenieure und Techniker spielen Firmware-Updates ein, weil sie der Quelle vertrauen. Angreifer nutzen dieses Vertrauen aus, indem sie die Update-Lieferkette kompromittieren oder manipulierte Firmware so tarnen, als stamme sie direkt vom Hersteller.

Die Bedrohungslage im Jahr 2026: Was hat sich geändert?

Die Bedrohungsakteure, die es auf OT-Umgebungen abgesehen haben, haben sich professionalisiert. Staatliche Akteure mit dokumentierten ICS-Fähigkeiten – die im Interesse strategischer Sabotage Kritischer Infrastrukturen agieren – führen keine opportunistischen Angriffe mehr durch. Ihre Kampagnen sind langfristig angelegte, auf Aufklärung basierende Operationen, die Wechselmedien als ersten Einstiegspunkt in Netzwerke nutzen, die andernfalls aus der Ferne nur schwer zu durchdringen sind.

KI-gestützte Payload-Entwicklung hat die Hürden für die Erstellung gezielter BadUSB-Skripte gesenkt. Was früher spezialisiertes Wissen im Bereich der offensiven Sicherheit erforderte, kann heute durch KI-Tools beschleunigt werden. Dadurch werden hochentwickelte USB-Angriffsmethoden für ein breiteres Spektrum von Akteuren, einschließlich finanziell motivierter Cyberkrimineller, zugänglich.

Günstige Hardware ermöglicht fortschrittliche Angriffe. Geräte, die zur Durchführung von BadUSB-Angriffen fähig sind, sind als Penetration-Testing-Tools frei verkäuflich und kosten unter 100 Euro. Die technische Hürde für die Durchführung eines BadUSB-Angriffs auf ein OT-Ziel ist praktisch weggefallen.

Die Kompromittierung der Lieferkette (Supply Chain) ist zum Standardvektor geworden. Anstatt die Anlage direkt anzugreifen, nehmen ausgeklügelte Angreifer die Zulieferer, Dienstleister und Komponentenhersteller ins Visier, die regelmäßig Wechselmedien in Industrieumgebungen einbringen. Die Kompromittierung des Laptops oder Update-Mediums eines einzigen externen Dienstleisters kann den Zugang zu Dutzenden von Anlagen ermöglichen.

Der regulatorische Druck verschärft sich. IEC 62443, NIST SP 800-82, NERC CIP und das IT-Sicherheitsgesetz (im Rahmen von NIS-2) behandeln die Sicherheit von Wechselmedien mit zunehmender Detailtiefe. Im Jahr 2026 geben sich Regulierungsbehörden nicht mehr mit reinen Richtliniendokumenten zufrieden – sie fordern Nachweise implementierter Kontrollen, Audit-Logs und nachgewiesene Incident-Response-Fähigkeiten.

Wie eine wirksame mehrschichtige Verteidigung (Defense-in-Depth) gegen Wechselmedien-Bedrohungen in der Praxis aussieht

Die Abwehr von BadUSB, USB-Baiting und Firmware-Manipulation in einer ICS-Umgebung erfordert Sicherheitskontrollen auf mehreren Ebenen gleichzeitig. Eine einzelne Richtlinie oder ein einzelnes Tool reicht nicht aus.

Ebene 1: Physische und organisatorische Kontrollen

Setzen Sie eine verbindliche Richtlinie für Wechselmedien durch. Dokumentieren Sie, welche Assets zur Nutzung von Wechselmedien autorisiert sind, unter welchen Bedingungen und mit welchem Freigabeprozess. Schreiben Sie vor, dass alle externen USB-Geräte an einer dedizierten, vom Netz getrennten (air-gapped) Scan-Station geprüft werden müssen, bevor sie mit einem OT-Asset in Berührung kommen. Dies gilt auch für Geräte von Dienstleistern.

Verwenden Sie physisch gesperrte USB-Anschlüsse. Verwenden Sie bei Assets, bei denen Wechselmedien betrieblich nicht erforderlich sind, physische USB-Port-Blocker. Dies sind kostengünstige und hochwirksame Kontrollen, die das Risiko einer versehentlichen oder unbefugten Verbindung vollständig ausschließen.

Klassifizieren Sie Ihre OT-Assets nach Risikostufen. Nicht jedes Gerät in Ihrer Umgebung hat im Falle einer Kompromittierung die gleichen Auswirkungen. SIS-Komponenten, primäre PLC-Cluster und Historian-Server erfordern strengere Kontrollen für Wechselmedien als sekundäre Überwachungsworkstations. Wenden Sie Kontrollen an, die proportional zu den Auswirkungen einer Kompromittierung sind.

Protokollieren Sie jedes Verbindungsereignis von Wechselmedien. Ihre Endpoint-Security- oder Device-Control-Lösung sollte jedes Mal einen Alarm auslösen, wenn ein USB-Gerät an ein OT-Asset angeschlossen wird. Dieses Protokoll sollte in Ihre SIEM-Plattform einfließen und innerhalb einer definierten SLA überprüft werden.

Ebene 2: Technische Kontrollen

Setzen Sie OT-spezifische Device-Control-Software ein. Enterprise-USB-Sperrtools, die für IT-Umgebungen entwickelt wurden, versagen oft im OT-Kontext – sie können mit proprietärer Industriesoftware kollidieren, erfordern Internetverbindung für Updates oder sind schlicht inkompatibel mit Legacy-Betriebssystemen. Sie benötigen Device-Control-Lösungen, die für ICS-Umgebungen validiert sind.

Implementieren Sie Whitelisting für USB-Geräte. Anstatt zu versuchen, alle potenziell schädlichen Geräte zu blockieren, definieren Sie eine positive Liste zugelassener USB-Geräte anhand von Hardware-ID, Seriennummer und Geräteklasse. Geräte, die sich nicht auf der Whitelist befinden, können keine Verbindung herstellen. Dieser Ansatz wirkt BadUSB-Angriffen direkt entgegen, da ein manipuliertes Gerät selbst dann, wenn es sich als Tastatur (HID) tarnt, nicht mit einer zugelassenen Hardware-ID übereinstimmt.

Verwenden Sie Write-Blocker-Hardware für den Datentransfer. Wenn Wechselmedien für den Datentransfer in OT-Umgebungen genutzt werden müssen, setzen Sie während des Prüfprozesses Hardware-Schreibblocker (Write-Blocker) ein. Dies verhindert, auch beim eigentlichen Scan-Vorgang, eine Kompromittierung der Scan-Station durch ein infiziertes Medium.

Überprüfen Sie die Firmware-Integrität vor und nach Wartungsarbeiten. Erstellen Sie einen Referenz-Firmware-Hash (Baseline) für jedes OT-Gerät in Ihrer Umgebung. Überprüfen Sie nach jedem Wartungsfenster, bei dem Wechselmedien zum Einsatz kamen, ob sich die Firmware geändert hat. Dies erfordert Tools, die mit Ihren spezifischen Gerätetypen kommunizieren können – ein generischer File-Integritätsmonitor reicht hierfür nicht aus.

Nutzen Sie unidirektionale Datenschleusen (Data Diodes) für den Datentransfer. Wenn Daten von der OT in die IT übertragen werden müssen, eliminieren hardwarebasierte unidirektionale Gateways die Möglichkeit einer Rückkanal-Ausnutzung. Sie sind effektiver als softwarebasierte Lösungen und machen die Nutzung von Wechselmedien für viele Datentransfer-Szenarien gänzlich überflüssig.

Ebene 3: Überwachung und Reaktion (Monitoring & Response)

Erweitern Sie Ihre OT-Überwachung auf anomale USB-Aktivitäten. Ihre industrielle Netzwerk-Überwachungslösung sollte in der Lage sein, ungewöhnliches Verhalten zu erkennen, das auf ein USB-Verbindungsereignis folgt – beispielsweise unerwarteten ausgehenden Datenverkehr, das Starten neuer Prozesse auf Engineering-Workstations oder Änderungen an PLC-Programmierdateien.

Integrieren Sie OT-Alarme in Ihr SOC. Vorfälle im Zusammenhang mit USB in OT-Umgebungen sollten nicht ausschließlich von den Betriebsteams bearbeitet werden. Ihre Security-Operations-Funktion benötigt Sichtbarkeit und die Möglichkeit zur schnellen Eskalation.

Testen Sie Ihre Incident-Response-Prozesse anhand von USB-Angriffsszenarien. Tabletop-Übungen, die ein BadUSB- oder USB-Baiting-Szenario beinhalten, sind von hohem Wert. Die meisten OT-Sicherheitsteams haben den Reaktionsprozess im Falle einer Kompromittierung auf Firmware-Ebene noch nie praktisch durchgespielt. Es ist weitaus besser, Lücken in der Erkennung und Reaktion vor einem realen Vorfall zu identifizieren, als währenddessen.

Ausrichtung Ihrer Kontrollen für Wechselmedien an IEC 62443 und NIST SP 800-82

Sowohl die IEC 62443 als auch die NIST SP 800-82 Rev. 3 bieten spezifische Leitlinien für die Sicherheit von Wechselmedien in Industrieumgebungen. Die Übereinstimmung Ihrer Kontrollen mit diesen Frameworks wird im Jahr 2026 angesichts des verschärften regulatorischen Drucks (z. B. durch das IT-Sicherheitsgesetz / NIS-2) immer wichtiger.

IEC 62443-3-3 System Security Requirements SR 1.3 behandelt die Nutzung von tragbaren und mobilen Geräten und fordert von Organisationen, Richtlinien darüber zu definieren und durchzusetzen, welche Geräte sich mit welchen Zonen verbinden dürfen. Das Zonen- und Leitungsmodell (Zones and Conduits) des Standards lässt sich direkt auf die Kontrollarchitektur für Wechselmedien übertragen: Zonen mit höherem Schutzbedarf erfordern strengere Gerätekontrollen und gründlichere Prüfverfahren.

NIST SP 800-82 Rev. 3 behandelt Wechselmedien im Rahmen der allgemeinen Leitlinien für OT-Systemsicherheitskontrollen und verweist auf die Kontrollfamilien der NIST SP 800-53: MP (Media Protection), SC (System and Communications Protection) und SI (System and Information Integrity). Die MP-Familie fordert explizit die Bereinigung von Medien, Zugriffsbeschränkungen für Medien und Kontrollen für die Mediennutzung.

Für Organisationen, die unter NERC CIP fallen, regeln CIP-003-8 und CIP-010-4 die physische Sicherheit von Cyber-Assets beziehungsweise das Konfigurations-Änderungsmanagement – beides hat direkte Auswirkungen auf den Umgang mit Wechselmedien bei kritischen BES-Cyber-Systemen.

Die NIS-2-Richtlinie (anwendbar auf Betreiber kritischer und wichtiger Anlagen in der EU) verpflichtet Organisationen zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen zur Bewältigung von Cybersicherheitsrisiken, einschließlich der Risiken aus physischen Zugangsvektoren. Richtlinien und Kontrollen für Wechselmedien fallen eindeutig in den Anwendungsbereich von NIS-2.

Wenn Ihre derzeitigen Kontrollen für Wechselmedien hauptsächlich aus einem schriftlichen Richtliniendokument bestehen, erfüllen Sie keines dieser Frameworks. Compliance erfordert eine nachweisbare Umsetzung, Audit-Logs und Belege für die Durchsetzung.

Praktische Checkliste: 10 Kontrollen, die Sie vor dem nächsten Audit implementieren sollten

Fazit: Die Bedrohung durch Wechselmedien bleibt – ist aber beherrschbar

BadUSB-Angriffe, USB-Baiting-Kampagnen und Firmware-Manipulationen stellen eine reife, koordinierte Bedrohung für industrielle Steuerungssysteme dar. Die gute Nachricht ist, dass diese Bedrohungen abwehrbar sind, wenn Sie die richtigen Kontrollen auf den entsprechenden Ebenen anwenden. Die schlechte Nachricht ist, dass die meisten Industrieanlagen dies bisher noch nicht konsequent umgesetzt haben.

Die Kombination aus physischen Kontrollen, OT-validierten technischen Werkzeugen, kontinuierlicher Überwachung und an anerkannten Frameworks ausgerichteten Richtlinien schafft ein Sicherheitsniveau, das die Kosten und die Komplexität von Angriffen über Wechselmedien auf Ihre Umgebung erheblich erhöht. Keine Einzelmaßnahme ist ausreichend. Ein Defense-in-Depth-Ansatz ist zwingend erforderlich.

Im Jahr 2026 stellen Regulierungsbehörden, Versicherer und Aufsichtsräte dieselbe Frage: Können Sie nachweisen, dass Sie wirksame Kontrollen gegen die in der IEC 62443, der NIST SP 800-82 und den BSI-Standards dokumentierten Wechselmedien-Bedrohungsvektoren implementiert haben? Die Antwort erfordert mehr als ein Richtliniendokument. Sie erfordert belegbare Nachweise.

Shieldworkz unterstützt OT-Sicherheitsteams und CISOs bei der Konzeption und Implementierung von Sicherheitskonzepten für Wechselmedien, die den Anforderungen von IEC 62443, NIST SP 800-82, den BSI-Vorgaben und NIS-2 entsprechen. Unser OT-nativer Ansatz stellt sicher, dass wir die betrieblichen Einschränkungen Ihrer produktiven Umgebung verstehen – wir übertragen IT-Sicherheitspraktiken nicht unreflektiert auf industrielle Fragestellungen.

Möchten Sie Ihren aktuellen Sicherheitsstatus in Bezug auf Wechselmedien überprüfen? Fordern Sie eine Demo mit unseren OT-Sicherheitsexperten an, um zu sehen, wie die industriellen USB-Sicherheitskontrollen von Shieldworkz in Produktionsumgebungen wie der Ihren zuverlässig funktionieren.

Zusätzliche Ressourcen:

OT Cyber Threat Intelligence Advisory – Naher Osten hier
NIS-2-Richtlinie: Erreichung der NIS-2-Konformität durch IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und industrielle OT-Sicherheitslösungen hier
Kostenlose Vorlage für eine Wechselmedien-Richtlinie für OT- und IT-Teams hier