Die Bedrohung, über die zu wenig gesprochen wird

Sie haben in Netzwerksegmentierung investiert. Sie haben Industrie-Firewalls implementiert. Sie haben Ihr Team im Bereich Phishing-Awareness geschult. Die Sicherheitslage Ihrer cyberphysischen Systeme (CPS) sieht auf dem Papier solide aus.

Doch dann schließt ein Techniker ein USB-Gerät an, um eine PLC-Firmware-Datei zu aktualisieren – und alles ändert sich.

Im Jahr 2026 gehören USB-Geräte nach wie vor zu den am meisten unterschätzten und hartnäckigsten Gefahrenvektoren in OT- und ICS-Umgebungen. Im Gegensatz zu hochkomplexen netzwerkbasierten Angriffen umgehen Bedrohungen über USB die Perimeter-Abwehr vollständig. Sie benötigen keine Netzwerkverbindung. Sie lösen keine anomaliebasierte Erkennung aus. Und in vielen Werken werden sie immer noch wie Büromaterial verteilt.

Dieser Beitrag analysiert im Detail, warum USB-Geräte moderne Verteidigungsmaßnahmen in cyberphysischen Systemumgebungen immer wieder überwinden, wie reale Angriffsmuster aussehen und – was am wichtigsten ist – was Ihr Team jetzt dagegen tun kann. Unabhängig davon, ob Sie Werksleiter, OT-Ingenieur oder CISO sind, erhalten Sie praktische, direkt umsetzbare Schritte, um eine der hartnäckigsten Sicherheitslücken in kritischen Infrastrukturen (KRITIS) zu schließen.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag darüber zu lesen, was ein mysteriöser Einbruch in die New Yorker Kanalisation über hybride Kriegsführung verrät – und zwar hier

Warum cyberphysische Systeme sich von IT-Netzwerken unterscheiden

Bevor wir über USB-Bedrohungen sprechen, ist es wichtig zu begründen, warum die Sicherheit cyberphysischer Systeme sich grundlegend von der klassischen IT-Sicherheit unterscheidet.

In einem IT-Netzwerk bedeutet ein kompromittierter Laptop einen schlechten Arbeitstag. In einer CPS-Umgebung – einer Wasseraufbereitungsanlage, einem Umspannwerk, einer Chemieanlage – kann ein kompromittiertes Steuergerät oder HMI physische Schäden, Produktionsausfälle, Umweltschäden oder Schlimmeres bedeuten.

Wesentliche Unterschiede, die CPS-Umgebungen anfälliger für USB-Bedrohungen machen:

• Physische Trennung (Air-gapping) oder halb-isolierte Systeme – Viele OT-Netzwerke sind bewusst vom Internet getrennt, was bedeutet, dass USB-Geräte zum primären Datentransfermedium für Software-Updates, Systemdaten-Exporte und Konfigurationsänderungen werden.

• Legacy-Endpunkte – (SCADA/PLC), DCS-Steuereinheiten, RTUs und HMIs laufen oft unter Windows XP, Windows 7 oder Embedded-Betriebssystemen, die über keine USB-Schnittstellenkontrolle oder Endpoint-Detection-Kapazitäten verfügen.

• Lange Lebenszyklen von Anlagen – Industrieanlagen sind für eine Laufzeit von 10 bis 25 Jahren ausgelegt. Patch-Zyklen sind träge oder nicht vorhanden. Autorun-Funktionen, die in IT-Umgebungen vor Jahren deaktiviert wurden, sind auf den Workstations in der Werkshalle möglicherweise noch immer aktiv.

• Priorität der Betriebsbereitschaft vor der Sicherheit – In der Produktion und bei Versorgungsunternehmen ist die Verfügbarkeit alles. Eine Sicherheitsrichtlinie, die einen Techniker während eines Wartungsfensters ausbremst, wird ignoriert, umgangen oder schlicht nicht durchgesetzt.

• Geringe Sichtbarkeit – Eine passive Netzwerküberwachung kann laterale Bewegungen erkennen, aber ein lokal ausgeführter USB-Payload erzeugt keinerlei Netzwerkverkehr, der erkannt werden könnte.

Diese Bedingungen machen USB-basierte Bedrohungen in Umgebungen mit cyberphysischen Systemen besonders gefährlich. Sie nutzen die betrieblichen Realitäten der OT aus, nicht nur rein technische Schwachstellen.

Wie USB-Angriffe in OT/ICS-Umgebungen tatsächlich ablaufen

Betrachten wir die Details. Das Verständnis der Angriffsmechanismen hilft Ihnen dabei, effektivere Abwehrmaßnahmen zu entwickeln.

Angriffsmuster 1: Der infizierte USB-Stick eines Dienstleisters

Ein externer Techniker kommt vor Ort, um eine Turbinensteuerung zu warten. Er bringt ein USB-Gerät mit Firmware-Dateien mit – dasselbe Gerät, das er diesen Monat bereits in drei anderen Werken verwendet hat. Eines dieser Werke war kompromittiert. Das Medium trägt nun Schadcode in sich, der darauf ausgelegt ist, sich unbemerkt zu verbreiten und sich auf jedem Windows-basierten HMI oder Engineering-Workstation einzunisten, mit dem er in Berührung kommt.

Dies ist kein theoretisches Szenario. Varianten dieses Angriffs wurden weltweit im Energie-, Fertigungs- und Wassersektor dokumentiert.

Angriffsmuster 2: Der als Köder platzierte USB-Stick (Drop Drive)

USB-Sticks werden auf Parkplätzen, in Pausenräumen oder in der Nähe von Werkseingängen hinterlegt. Neugier – oder Hilfsbereitschaft („vielleicht hat das jemand verloren“) – führt dazu, dass sie angeschlossen werden. Sobald das Gerät eingesteckt ist, wird Schadcode ausgeführt, noch bevor der Benutzer auch nur eine einzige Datei sieht.

In einer OT-Umgebung, in der Workstations oft über keinen Endpunktschutz verfügen, kann diese eine Aktion Ransomware, Wiper-Malware oder einen Remote-Access-Trojaner direkt in das Steuerungsnetzwerk einschleusen.

Angriffsmuster 3: Legitime Werkzeuge, bösartige Modifikation

Legitime USB-basierte Werkzeuge – wie Diagnose-Kits von Herstellern, portable Historian-Systeme oder Konfigurationsprogramme – können modifiziert oder vollständig ausgetauscht werden. Ein Innentäter oder eine kompromittierte Lieferkette kann eine manipulierte Version eines vertrauenswürdigen Werkzeugs unterschieben, ohne Verdacht zu erregen.

Angriffsmuster 4: HID (Human Interface Device) Spoofing

Moderne USB-Angriffswerkzeuge können sich als Tastatur tarnen. Wenn sie an eine Engineering-Workstation angeschlossen werden, emulieren sie Tastatureingaben in rasantem Tempo – sie führen PowerShell-Befehle aus, laden Payloads herunter oder ändern Konfigurationsdateien –, noch bevor ein menschlicher Bediener überhaupt bemerkt, dass das Gerät angeschlossen ist.

Diese Geräte umgehen USB-Inhaltsfilter vollständig, da sie für das Betriebssystem wie Tastaturen und nicht wie Speichermedien aussehen.

Die moderne Verteidigungslücke: Warum bestehende Kontrollen zu kurz greifen

Sie denken vielleicht: „Wir haben bereits Sicherheitsmaßnahmen etabliert.“ Lassen Sie uns untersuchen, warum gängige Schutzmaßnahmen in cyberphysischen Systemen dennoch Lücken offenlassen.

Das Kernproblem besteht darin, dass die meisten CPS-Umgebungen IT-Sicherheitskontrollen auf OT-Realitäten anwenden. Die Werkzeuge passen nicht zur Umgebung.

Vermeidung von USB-Bedrohungen: Ein praktischer CPS-Aktionsplan

Hier werden wir konkret. Das folgende Framework bietet OT-Sicherheitsteams einen strukturierten Ansatz zur USB-Risikominderung in cyberphysischen Systemen gemäß BSI-Standards.

Schritt 1 – Asset- und Schnittstellen-Inventarisierung

Sie können nicht schützen, was Sie nicht sehen. Beginnen Sie mit einer vollständigen Inventarisierung jedes Endpunkts in Ihrem OT-Netzwerk, der über einen aktiven USB-Anschluss verfügt.

Konkrete Aufgaben:

• Implementieren Sie eine passive, agentenlose Erkennung (SPAN-/TAP-basiert), um alle verbundenen OT-Assets zu erfassen.

• Dokumentieren Sie für jedes Asset: Betriebssystemversion, USB-Port-Status, Historie verbundener Medien (falls Protokolle vorhanden sind) und Kritikalitätszone (gemäß Purdue-Modell Level 0–3).

• Markieren Sie alle Level 0–2 Geräte (Feldgeräte, Steuerungen (SCADA/PLC), Prozessführungs-Workstations) mit hoher Priorität für die Behebung von USB-Sicherheitsrisiken.

Schritt 2 – Definition und Durchsetzung einer Sicherheitsrichtlinie für Wechselmedien

Eine Sicherheitsrichtlinie für Wechselmedien in CPS-Umgebungen muss über eine allgemeine IT-Anweisung hinausgehen. Sie muss betriebliche Realitäten wie den Zugriff durch Drittanbieter, Firmware-Updates und die Arbeitsabläufe von Dienstleistern berücksichtigen.

Wesentliche Richtlinien-Elemente:

• Alle USB-Geräte müssen vor dem Einbringen in das Werk registriert und inventarisiert werden.

• Vom Lieferanten bereitgestellte Medien müssen an einer dedizierten, offline betriebenen Schleuse (Kiosk-System) gescannt werden, bevor sie mit einem OT-Asset verbunden werden dürfen.

• Private USB-Geräte sind in allen OT-Netzwerkzonen (Level 0–3) strengstens verboten.

• Jedes in einer OT-Umgebung verwendete USB-Gerät muss zweckgebunden und entsprechend gekennzeichnet sein.

• Die USB-Nutzung muss lückenlos protokolliert werden: Wer, welches Gerät, welches Asset, wann.

Schritt 3 – Implementierung einer OT-spezifischen USB-Schnittstellenkontrolle

Generische, IT-basierte Kontrollwerkzeuge für Geräte scheitern in OT-Umgebungen häufig an Kompatibilitätsproblemen mit älteren Betriebssystemen. Sie benötigen Lösungen, die speziell für industrielle Umgebungen entwickelt wurden.

Erforderliche Leistungsmerkmale:

• Whitelisting-basierte Durchsetzung – nur vorab freigegebene Geräte-IDs dürfen verbunden werden.

• Schreibschutz (Read-only) – Blockieren aller Schreibvorgänge auf USB-Medien an OT-Endpunkten.

• Automatischer Quarantäne-Scan beim Verbinden.

• Erkennung und Blockierung von HID-Spoofing.

• Erstellung von Audit-Logs, die mit OT-Historian- und SIEM-Systemen kompatibel sind.

Schritt 4 – Etablierung eines Prozesses zum sicheren Datentransfer

Der sichere Datentransferprozess ist die betriebliche Alternative zur Ad-hoc-USB-Nutzung. Er ersetzt das Prinzip „Einstecken und Hoffen“ durch einen strukturierten, auditierbaren Workflow.

Workflow für den sicheren Datentransfer:

1. Techniker oder Dienstleister stellt eine Datentransfer-Anfrage (Media Transfer Request) über das Ticket-System.

2. Das zuständige Sicherheitsteam prüft und genehmigt die Anfrage.

3. Das Medium wird an einer isolierten Schleuse gescannt (physisch getrennt, Malware-Scan, Dateityp-Validierung).

4. Freigegebene Dateien werden auf einen sicheren Staging-Server übertragen.

5. Die Dateien werden über einen genehmigten, überwachten Transfermechanismus an das Ziel-OT-Asset übertragen.

6. Die Übertragung wird mit einem vollständigen Audit Trail protokolliert.

Dieser Prozess eliminiert die Notwendigkeit einer direkten USB-Verbindung zu produktiven OT-Assets vollständig.

Schritt 5 – Systemhärtung der Endpunkte in OT-Zonen

Selbst wenn organisatorische und prozessuale Kontrollen etabliert sind, reduziert eine technische Systemhärtung die Angriffsfläche erheblich, falls Kontrollen umgangen werden oder fehlschlagen.

Checkliste zur Härtung von OT-Endpunkten:

• [ ] Deaktivieren Sie USB-Autorun/-Autoplay auf allen OT-Workstations.

• [ ] Implementieren Sie Application-Whitelisting, um die Ausführung unbekannter Binärdateien zu verhindern.

• [ ] Beschränken Sie die Schreibrechte auf Dateisystemen von OT-Workstations, um das Einnisten von Schadcode (Payloads) zu verhindern.

• [ ] Deaktivieren Sie ungenutzte USB-Schnittstellen über das BIOS/UEFI oder durch physische Port-Blocker.

• 
  

  [ ] Trennen Sie Engineering-Workstations auf Netzwerkebene von den Operator-Konsolen.

  
  

• [ ] Implementieren Sie, wo machbar, schreibgeschützte Betriebssystemkonfigurationen auf Feldgeräten der Level 0–1.

• [ ] Aktivieren Sie die Weiterleitung von Windows-Ereignisprotokollen (falls anwendbar) für USB-Verbindungsereignisse.

• [ ] Überprüfen und härten Sie Dienstkonten, die über lokale Administratorrechte auf OT-Workstations verfügen.

Schritt 6 – Zielgerichtete Schulung für die OT-Realität

Ihr Schulungsprogramm muss OT-spezifische Szenarien widerspiegeln – und nicht generische IT-Szenarien, die lediglich mit anderen Symbolbildern versehen wurden.

Die Schulung muss folgende Aspekte abdecken:

• Warum USB-Geräte von Herstellern und externen Dienstleistern das risikoreichste Vektor-Potenzial darstellen.

• Wie HID-Spoofing-Angriffe funktionieren und wie sie sich für einen Bediener darstellen.

• Der korrekte Prozess, um ein Sicherheitsbedenken zu melden, ohne den Betrieb zu stören.

• Schritte zur Vorfallsreaktion (Incident Response), wenn ein verdächtiges USB-Ereignis erkannt wird.

CPS-USB-Risiko: Schnellbewertung des Reifegrads

Nutzen Sie diese kurze Selbsteinschätzung, um Ihre aktuelle Position zu bestimmen. Bewerten Sie jede Maßnahme mit 0 (nicht vorhanden), 1 (teilweise umgesetzt) oder 2 (vollständig implementiert).

Bewertungsauswertung:

• 0–8 Punkte: Hohes Risiko. Grundlegende Sicherheitsmaßnahmen fehlen.

• 9–16 Punkte: Moderates Risiko. Wesentliche Lücken bei technischen oder prozessualen Maßnahmen bestehen weiterhin.

• 17–24 Punkte: Starke Sicherheitslage. Fokus liegt auf Konsistenz und kontinuierlicher Überwachung.

Compliance-Konformität: Was Regelwerke zu USB in CPS vorschreiben

Regulatorische Vorgaben und Sicherheitsstandards fordern immer spezifischere Maßnahmen zur Kontrolle von Wechselmedien in OT- und kritischen Infrastrukturumgebungen (KRITIS).

Unterliegt Ihre Organisation einem dieser Regelwerke, ist die Schnittstellenkontrolle für USB-Geräte nicht optional – sie ist auditsicher nachzuweisen. Und in den meisten Fällen gehen die geforderten Audit-Nachweise weit über eine reine Richtlinien-Dokumentation hinaus und verlangen technische Protokolle zur Durchsetzung.

Ablauf einer Reaktion auf einen OT-USB-Angriff

Erkennung und Reaktion sind ebenso wichtig wie Prävention. Hier ist ein kompakter Incident-Response-Workflow für den Verdacht einer USB-basierten Bedrohung in einer OT-Umgebung.

Phase 1 – Erkennen (Detect)

• Ein USB-Verbindungsereignis löst einen Alarm im SIEM oder in der OT-Sicherheitsüberwachungsplattform aus.

• Ein Bediener oder Techniker meldet ein verdächtiges Gerät oder unerwartetes Systemverhalten.

• Endpunkt-Protokolle markieren die Ausführung eines unbekannten Prozesses direkt nach dem Einstecken des USB-Geräts.

Phase 2 – Eingrenzen (Contain)

• Isolieren Sie die betroffene Workstation oder den Endpunkt auf Switch-Ebene (VLAN-Isolierung).

• Schalten Sie Steuerungen (SCADA/PLC) oder Feldgeräte nicht ohne Freigabe durch die OT-Betriebsleitung ab – bewerten Sie zuerst die Auswirkungen auf den physikalischen Prozess.

• Sichern Sie Protokolldateien und das USB-Gerät für die forensische Analyse.

• Benachrichtigen Sie das OT-Sicherheitsteam und den CISO innerhalb des definierten SLAs.

Phase 3 – Untersuchen (Investigate)

• Erstellen Sie ein forensisches Speicherabbild der betroffenen Workstation.

• Überprüfen Sie USB-Verbindungsprotokolle, Prozessausführungsprotokolle und Netzwerkerkennungsfortschritte im zeitlichen Umfeld des Ereignisses.

• Gleichen Sie Indikatoren für eine Kompromittierung (IoCs) mit MITRE ATT&CK for ICS ab (Technik T0856 – Spearphishing Attachment via Media).

Phase 4 – Wiederherstellen (Recover)

• Führen Sie eine Wiederherstellung aus einem verifizierten, fehlerfreien Backup durch (nicht von dem potenziell kompromittierten Medium).

• Setzen Sie betroffene Workstations neu auf, bevor sie wieder in Betrieb genommen werden.

• Validieren Sie die Integrität des Steuerungssystems, bevor Sie die Produktion wieder anfahren.

Phase 5 – Lernen (Learn)

• Ursachenanalyse (Root Cause Analysis): Wie gelangte das Gerät in die Umgebung?

• Aktualisieren Sie Richtlinien, technische Kontrollen oder Schulungen auf Basis der Erkenntnisse.

• Dokumentieren und melden Sie den Vorfall gemäß den geltenden regulatorischen Meldepflichten.

Der Shieldworkz-Ansatz für USB- und Wechselmediensicherheit in CPS

Bei Shieldworkz arbeiten wir mit Unternehmen aus den Bereichen Energie, Fertigung, Versorgung sowie Öl und Gas zusammen, um OT/ICS-Sicherheitsprogramme aufzubauen, die in der betrieblichen Realität verankert sind – und nicht nur theoretische Compliance-Anforderungen erfüllen.

Unser Ansatz für die Sicherheit von USB- und Wechselmedien in cyberphysischen Systemen umfasst:

• OT-Asset-Sichtbarkeit – passive, agentenlose Erkennung zur Identifizierung jedes Endpunkts mit USB-Schnittstelle über alle Zonen des Purdue-Modells hinweg.

• Richtlinien- und Prozessdesign – Richtlinien für Wechselmedien, Workflows für den sicheren Medientransfer und Zugriffsprotokolle für Dienstleister, maßgeschneidert auf Ihre Betriebsumgebung.

• Implementierung technischer Kontrollen – OT-kompatible Gerätekontrolle, Endpunkthärtung und Integration von USB-Schnittstellenschleusen.

• Compliance-Abgleich – Zuordnung Ihrer USB-Kontrollen zu den Anforderungen von IEC 62443, NERC CIP, NIST SP 800-82 und NIS-2-Vorgaben.

• Vorfallsbereitschaft – OT-spezifische Playbooks für USB-Sicherheitsvorfälle und Tabletop-Übungen.

Wir stülpen Ihnen keine IT-Sicherheitslösungen über in der vagen Hoffnung, dass diese in Ihrem Werk funktionieren. Wir entwickeln Sicherheitsmaßnahmen, die zu Ihrer Umgebung, Ihren Assets und Ihren betrieblichen Einschränkungen passen.

Fazit

USB-Geräte sind keine Bedrohung von gestern. Im Jahr 2026 bleiben sie einer der zuverlässigsten und am häufigsten ausgenutzten Vektoren gegen cyberphysische Systeme – eben weil Schutzmaßnahmen, die in IT-Umgebungen greifen, sich nicht eins zu eins auf die OT übertragen lassen.

Das sollten Sie aus diesem Beitrag mitnehmen:

1. USB-Angriffe in CPS-Umgebungen umgehen netzwerkbasierte Perimeter-Abwehrmeßnahmen konstruktionsbedingt – sie werden lokal ausgeführt und erzeugen keinen anfänglichen Netzwerkverkehr.

2. Physische Netztrennung (Air Gaps) erhöht die Abhängigkeit von USB-Geräten, was die Angriffsfläche paradoxerweise vergrößert.

3. Legacy-Endpunkte, hoher Zeitdruck im Betrieb und die Arbeitsabläufe von Dienstleistern schaffen dauerhafte Sicherheitslücken, die durch Richtlinien allein nicht geschlossen werden können.

4. Ein mehrschichtiger Ansatz – Asset-Sichtbarkeit, formale Richtlinien, technische Kontrollen, sichere Transferprozesse und Schulungen – ist der einzig zuverlässige Weg zur USB-Risikominimierung.

5. Compliance-Frameworks wie IEC 62443, NERC CIP und die NIS-2-Richtlinie schreiben spezifische Kontrollen für Wechselmedien vor und verlangen auditsichere Nachweise.

Ihre nächsten Schritte müssen nicht kompliziert sein. Beginnen Sie mit der Selbsteinschätzung des Reifegrads in diesem Beitrag. Identifizieren Sie Ihre größten Sicherheitsrisiken. Priorisieren Sie anschließend die technischen Sicherheitsmaßnahmen, die die größte Angriffsfläche bei minimaler Beeinträchtigung des Betriebs schließen.

Bereit, aktiv zu werden? Fordern Sie eine Demo an bei unseren OT-Sicherheitsexperten von Shieldworkz. Wir begleiten Sie durch eine strukturierte Bewertung Ihrer CPS-USB-Risikolage und zeigen Ihnen genau, wo Sie ansetzen sollten.

Zusätzliche Ressourcen (In englischer Sprache):

What Is Removable Media? Risks, Policies, and Industrial OT Security Solutions hier
Free Removable Media Policy Template for OT and IT Teams hier
Remediation Guides hier