Der USB-Stick, der eine Anlage lahmlegen kann

Im Jahr 2010 überwand ein einziger infizierter USB-Stick physische Netzwerktrennungen (Air Gaps), die eigentlich die iranischen Nuklearzentrifugen schützen sollten. Das Ergebnis war Stuxnet – der wohl folgenschwerste Cyberangriff in der Industriegeschichte. Mehr als fünfzehn Jahre später gehören Wechselmedien in der Operational Technology (OT) und in Steuerungssystemen (ICS) nach wie vor zu den am häufigsten ausgenutzten und am wenigsten kontrollierten Angriffsvektoren.

Warum? Weil OT-Umgebungen im Gegensatz zu IT-Netzwerken auf Altsystemen (Legacy-Systemen) basieren, die selten Patches erhalten, auf manuelle Datenübertragungen per USB-Stick angewiesen sind und oft nicht über die Endpoint-Kontrollen verfügen, die in der IT-Sicherheit von Unternehmen selbstverständlich sind. Ein externer Dienstleister schließt einen privaten USB-Stick an, um eine Konfigurationsdatei zu übertragen. Ein Techniker verwendet denselben USB-Stick in drei verschiedenen Anlagen. Ein Bediener lädt ein Firmware-Update aus dem Internet auf ein Wechselmedium herunter, ohne es vorher zu überprüfen.

Jeder dieser Momente ist ein potenzielles Einfallstor für Schadsoftware, Ransomware oder staatlich gesteuerte Sabotageakte.

Dieser Leitfaden zeigt Ihnen präzise, wie die IEC 62443 – der internationale Sicherheitsstandard für die industrielle IT-Sicherheit – die Sicherheit von Wechselmedien regelt und welche praktischen, direkt umsetzbaren Schritte Ihr Team heute einleiten kann, um diese Sicherheitslücken zu schließen, bevor sie zu Störfällen werden.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag darüber zu lesen, was ein mysteriöser Vorfall in der New Yorker Kanalisation über hybride Kriegsführung verrät hier

Was ist die IEC 62443 und warum ist sie für die USB-Sicherheit wichtig?

Die IEC 62443 ist eine Normenreihe, die von der Internationalen Elektrotechnischen Kommission (IEC) speziell für die Cybersicherheit industrieller Automatisierungs- und Leitsysteme (IACS) entwickelt wurde. Sie deckt alles ab – von der Risikoanalyse und dem Systemdesign bis hin zum laufenden Betrieb und den Anforderungen an Lieferanten.

Im Gegensatz zu IT-fokussierten Frameworks ist die IEC 62443 auf die Realitäten von OT-Umgebungen ausgelegt: hohe Verfügbarkeitsanforderungen, Legacy-Systeme, sicherheitskritische Prozesse und komplexe Lieferketten mit mehreren Herstellern.

Innerhalb der IEC 62443 wird die Sicherheit von Wechselmedien in verschiedenen Teilen behandelt, insbesondere in:

• IEC 62443-2-1: Anforderungen an ein Managementsystem für IT-Sicherheit – einschließlich Richtlinien für die Nutzung tragbarer Geräte

• IEC 62443-3-3: Systembezogene Sicherheitsanforderungen und Sicherheits-Levels (SL) – mit spezifischen Vorgaben für physische Medien

• IEC 62443-4-2: Technische Sicherheitsanforderungen an Komponenten – zur Regelung von Geräteauthentifizierung und Medienkontrollen

Die Norm definiert Sicherheits-Levels (SL 1–4) basierend auf der Professionalität des Angreifers, vor dem ein System geschützt werden muss. Für die meisten Betreiber Kritischer Infrastrukturen (KRITIS) ist das Erreichen von SL 2 oder SL 3 das Ziel – und beide Stufen schreiben robuste Kontrollen für Wechselmedien vor.

Warum USB-Bedrohungen in OT-Umgebungen so gefährlich sind

Bevor wir auf die Kontrollen eingehen, ist es wichtig zu verstehen, warum USB-Bedrohungen in industriellen Umgebungen ein so kritisches Risiko darstellen.

1. Air Gaps bieten keinen ausreichenden Schutz

Viele OT-Betreiber glauben, dass die physische Isolierung von Systemen vom Internet – der sogenannte „Air Gap“ – absolute Sicherheit bietet. Doch diese Trennung schafft ein eigenes Problem: Daten müssen dennoch übertragen werden. Dieser Datenaustausch erfolgt fast immer über Wechselmedien. Air Gaps verhindern USB-Bedrohungen nicht; sie machen USB zum primären Angriffsvektor.

2. Altsysteme können nicht gepatched werden

Eine auf Windows XP basierende HMI, die einen kritischen Prozess steuert, kann nicht einfach auf das neueste Betriebssystem aktualisiert werden. Diese Systeme sind konzeptbedingt ungepatcht. Das bedeutet, dass jede Schadsoftware, die sie über USB erreicht, ohne Barriere durch moderne Endpoint-Schutzmechanismen ausgeführt werden kann.

3. Industrielle Schadsoftware ist für die Übertragung via USB optimiert

Schadsoftware-Familien wie Stuxnet, Industroyer und TRITON/TRISIS haben bewiesen, dass sie sich gezielt über Wechselmedien verbreiten können. Neuere Varianten greifen weiterhin gezielt Industrieprotokolle und -komponenten an. Hierbei handelt es sich nicht um generische Ransomware, sondern um präzise entwickelte Werkzeuge zur Sabotage von Industrieanlagen.

4. Es fehlt an Endpoint-Transparenz in OT-Umgebungen

Die meisten OT-Netzwerke wurden nicht für eine zentralisierte Endpoint-Erkennung konzipiert. Wenn ein USB-Stick an eine PLC-Workstation oder einen SCADA-Server angeschlossen wird, gibt es oft kein Protokoll, keine Warnmeldung und keinen automatischen Scan. Der Anschlussvorgang bleibt unsichtbar.

Sicherheitskontrollen für Wechselmedien nach IEC 62443: Was der Standard vorschreibt

Hier ist eine Übersicht der spezifischen, von der IEC 62443 vorgeschriebenen Kontrollen, die für die Sicherheit von USB- und Wechselmedien direkt relevant sind.

Kontrollbereich 1: Richtlinie für tragbare Geräte und Wechselmedien (IEC 62443-2-1)

Die Norm fordert von Unternehmen die Erstellung und Durchsetzung einer dokumentierten Richtlinie zu folgenden Punkten:

• Zugelassene und verbotene Gerätetypen

• Registrierung und Autorisierung von Wechselmedien

• Verfahren zur Einführung von Medien in Sicherheitszonen

• Verpflichtende Scan-Anforderungen vor der Nutzung

Praktischer Schritt: Entwerfen oder prüfen Sie Ihre aktuelle Richtlinie für Wechselmedien anhand dieser Anforderungen. Wenn Ihre Richtlinie es jedem Mitarbeiter erlaubt, beliebige USB-Geräte ohne vorherige Autorisierung anzuschließen, entspricht sie nicht der IEC 62443-2-1.

Kontrollbereich 2: Medienübertragungskontrollen und Überprüfung (IEC 62443-3-3, SR 2.1)

Die Sicherheitsanforderung SR 2.1 der IEC 62443-3-3 schreibt vor, dass nur autorisierte Personen Wechselmedien an IACS-Komponenten anschließen dürfen und dass diese Medien vor der Nutzung auf Schadsoftware überprüft werden müssen.

Dies erfordert in der Regel die Bereitstellung einer dedizierten Schleusen-PC-Station (Scanning Kiosk). Dabei handelt es sich um eine eigenständige Workstation ohne Verbindung zum OT-Netzwerk, die alle Wechselmedien auf aktuelle Bedrohungssignaturen prüft, bevor das Medium die Zonengrenze überschreiten darf.

Praktischer Schritt: Wenn Sie an den Zugängen zu Ihrem OT-Netzwerk keine Schleusen-PCs installiert haben, ist dies Ihre kritischste Sicherheitslücke. Implementieren Sie umgehend ein solches System und etablieren Sie ein dokumentiertes Verfahren, das die Überprüfung jedes USB-Geräts vor der Verwendung vorschreibt.

Kontrollbereich 3: Physische Schnittstellenkontrolle (IEC 62443-4-2, CR 1.1)

Auf Komponentenebene fordert die IEC 62443-4-2, dass USB-Ports und andere physische Schnittstellen an IACS-Komponenten deaktiviert oder physisch blockiert werden, wenn sie nicht für eine genehmigte Funktion benötigt werden.

Dies ist eine der am häufigsten vernachlässigten Kontrollen in OT-Umgebungen. Häufig finden sich aktive, unkontrollierte USB-Schnittstellen an fast jeder Workstation, jedem HMI und jedem Engineering-Laptop in einer Anlage.

Praktischer Schritt: Führen Sie ein Audit der physischen Schnittstellen in Ihrer OT-Umgebung durch. Kategorisieren Sie jeden USB-Port als: (a) betriebsnotwendig, (b) nur für Wartungszwecke erforderlich oder (c) nicht erforderlich. Blockieren oder deaktivieren Sie die Kategorien (b) und (c) standardmäßig.

Kontrollbereich 4: Whitelisting von Geräten und Zugriffskontrolle (IEC 62443-4-2, CR 1.3)

Nicht jedes USB-Gerät, das eine Überprüfung auf Schadsoftware erfolgreich besteht, sollte an jedem System zugelassen werden. Die IEC 62443-4-2 CR 1.3 fordert, dass der Zugriff auf Ressourcen auf autorisierte Benutzer, Geräte und Funktionen beschränkt wird.

In der Praxis bedeutet dies den Einsatz einer softwarebasierten USB-Gerätekontrolle, die ein Whitelisting auf Basis der Geräteidentität erzwingt. Nur vorregistrierte, vom Unternehmen ausgegebene Speichermedien dürfen angeschlossen werden, und das auch nur an autorisierten Systemen.

Praktischer Schritt: Implementieren Sie eine Lösung zur USB-Gerätekontrolle, die ein hardwarebasiertes Whitelisting erzwingt. Führen Sie ein Register aller genehmigten Wechselmedien, einschließlich Seriennummern der Geräte, zugewiesener Benutzer und freigegebener Anwendungsfälle.

Kontrollbereich 5: Protokollierung und Überwachung (IEC 62443-3-3, SR 6.1)

Die IEC 62443-3-3 SR 6.1 fordert die Erstellung von Audit-Protokollen für sicherheitsrelevante Ereignisse – einschließlich des Anschließens von Wechselmedien, Dateiübertragungen und Zugriffsversuchen. Diese Protokolle müssen manipulationssicher geschützt und regelmäßig ausgewertet werden.

Praktischer Schritt: Stellen Sie sicher, dass Ihre OT-Sicherheitsüberwachung das Anschließen von USB-Geräten, Kopieraktivitäten und fehlgeschlagene Zugriffsversuche lückenlos erfasst. Leiten Sie diese Protokolle zur Korrelation und Alarmierung an Ihr Security Operations Center (SOC) oder Ihre OT-fähige SIEM-Plattform weiter.

Sicherheit von Wechselmedien nach IEC 62443: Compliance-Checkliste

Nutzen Sie diese Checkliste, um Ihren aktuellen Sicherheitsstatus mit den Anforderungen der IEC 62443 abzugleichen:

Schritt-für-Schritt: Aufbau eines IEC 62443-konformen Programms zur USB-Sicherheit

Nachfolgend beschreiben wir, wie eine praktische, phasenweise Implementierung für ein Industrieunternehmen aussieht, das seinen Sicherheitsstatus verbessern möchte.

Phase 1 – Analyse und Bestandsaufnahme (Woche 1–4)

Beginnen Sie mit der Herstellung von Transparenz. Sie können nur kontrollieren, was Sie kennen.

• Führen Sie eine vollständige Risikoanalyse für Wechselmedien in allen OT-Zonen und -Verbindungen durch

• Erfassen Sie jede physische USB-Schnittstelle in Ihrer Umgebung – an HMIs, Engineering-Workstations, Historian-Servern, PLCs und DCS-Konsolen

• Identifizieren Sie alle aktuellen Szenarien zur Nutzung von Wechselmedien, einschließlich Workflows von Dienstleistern, Firmware-Aktualisierungen und Datenexporten

• Prüfen Sie bestehende Richtlinien und identifizieren Sie Abweichungen zu den Anforderungen der IEC 62443-2-1

Ergebnis: Ein prioritäres Risikoregister für Sicherheitslücken im Bereich Wechselmedien, zugeordnet zu den Sicherheits-Levels der IEC 62443.

Phase 2 – Absicherung und Härtung (Woche 5–12)

Schließen Sie die kritischsten Lücken zuerst.

• Richten Sie Schleusen-PCs an allen Übergängen zu OT-Zonen ein

• Implementieren Sie Software zur USB-Schnittstellenkontrolle mit hardwarebasiertem Whitelisting

• Deaktivieren oder blockieren Sie physisch alle nicht benötigten USB-Schnittstellen

• Führen Sie ein formelles Register für Wechselmedien – jedes zugelassene Gerät wird anhand von Seriennummer, Benutzer und Zonenberechtigung erfasst

• Aktualisieren Sie die Richtlinien für externe Dienstleister, um eine Überprüfung der Medien zu erzwingen, bevor ein Gerät in Ihre Anlage gebracht wird

Ergebnis: Dokumentierte Kontrollmaßnahmen, die den Anforderungen der IEC 62443-3-3 SR 2.1 und der IEC 62443-4-2 CR 1.1/CR 1.3 entsprechen.

Phase 3 – Überwachung und Reaktion (Fortlaufend)

Etablieren Sie Prozesse zur Erkennung und Reaktion bei sicherheitsrelevanten USB-Ereignissen.

• Integrieren Sie USB-Ereignisprotokolle in Ihre OT-fähige SIEM- oder Überwachungsplattform

• Definieren Sie Alarmschwellen für: das Anschließen neuer, nicht registrierter Geräte, große Datenübertragungen per USB sowie wiederholt fehlgeschlagene Überprüfungen

• Integrieren Sie Szenarien zu Wechselmedien in Ihren OT-Incident-Response-Plan

• Führen Sie quartalsweise Prüfungen des Wechselmedienregisters durch, um abgelaufene oder ungenutzte Geräteberechtigungen zu entziehen

Ergebnis: Kontinuierliche Überwachung im Einklang mit der IEC 62443-3-3 SR 6.1 und Ihrem übergreifenden OT-Erkennungsprogramm.

Phase 4 – Validierung und Optimierung (Quartalsweise / Jährlich)

Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess.

• Führen Sie jährliche Risikoanalysen für Wechselmedien durch

• Prüfen Sie Ihre Schleusen-PCs regelmäßig mit aktuellen Bedrohungssignaturen und neuartigen USB-Angriffswerkzeugen

• Führen Sie Simulationen von Cyberangriffen durch, die ein durch USB eingeschleustes Schadsoftware-Szenario in Ihrer OT-Umgebung nachstellen

• Überprüfen und aktualisieren Sie Ihre Richtlinie für Wechselmedien bei wesentlichen Änderungen an Ihrer Infrastruktur, Lieferkette oder der Bedrohungslage

Häufige Fehler von OT-Teams bei der Sicherheit von Wechselmedien

Auch gut vorbereitete Teams machen vermeidbare Fehler. Die Kenntnis dieser Fallsticke hilft Ihnen, diese im Vorfeld zu vermeiden.

Fehler 1: Vertrauen auf ein einziges Antivirenprogramm Ein einzelnes AV-Programm erkennt nicht alle Bedrohungen. Schleusen-PCs sollten Multi-Engine-Scanning nutzen und zusätzliche Prüfungen auf verdächtige Dateitypen, Skripte und Autorun-Konfigurationen durchführen – statt nur bekannte Malware-Signaturen abzugleichen.

Fehler 2: Einheitliche Behandlung aller OT-Zonen Eine USB-Richtlinie, die für eine wartungsnahe Zone mit geringem Risiko angemessen ist, ist für eine Zone mit sicherheitsgerichteten Systemen (SIS) unzureichend. Wenden Sie die Sicherheits-Levels der IEC 62443 präzise an und skalieren Sie Ihre Sicherheitsmaßnahmen entsprechend.

Fehler 3: Vernachlässigung von Dienstleistern und Dritten Nicht nur Ihre eigenen Mitarbeiter bringen Wechselmedien in Ihre Anlagen. Wartungstechniker, Systemintegratoren und OEM-Servicetechniker führen häufig eigene Laptops und USB-Sticks mit sich. Ihre Richtlinie muss Medien von Drittanbietern explizit regeln, und die Überprüfungsverfahren müssen ausnahmslos durchgesetzt werden.

Fehler 4: Fehlendes Exception-Management Ein striktes Verbot aller USB-Medien führt in der Praxis oft zu ungesicherten Schatten-Workarounds. Etablieren Sie einen formellen, dokumentierten Genehmigungsprozess für Ausnahmefälle, in denen Wechselmedien zwingend erforderlich sind – inklusive kompensierender Kontrollen, zeitlicher Befristungen und anschließender Audit-Prüfungen.

Fehler 5: USB-Sicherheit als reines IT-Problem betrachten OT-Umgebungen weisen spezifische Rahmenbedingungen auf, die von Standard-IT-Sicherheitslösungen nicht abgedeckt werden: veraltete Betriebssysteme, proprietäre Industrieprotokolle, potenzielle Auswirkungen von Systemausfällen auf die Anlagensicherheit sowie Anforderungen an die kontinuierliche Verfügbarkeit. Ihr USB-Sicherheitsprogramm muss von Experten konzipiert werden, welche sowohl die Cybersicherheitsanforderungen als auch die betrieblichen Abläufe Ihrer spezifischen Industrieumgebung verstehen.

Wie sich Bedrohungen durch Wechselmedien in übergreifende OT-Sicherheits-Frameworks einordnen

Die IEC 62443 steht nicht isoliert da. Wenn sich Ihr Unternehmen an NIST SP 800-82, NERC CIP oder den Anforderungen der NIS-2-Richtlinie orientieren muss, ist die Sicherheit von Wechselmedien eine gemeinsame Vorgabe all dieser Standards.

Wenn Ihr Team die Compliance mit mehreren Standards anstrebt, bildet ein durchdachtes Programm zur Absicherung von Wechselmedien auf Basis der IEC 62443-Prinzipien ein solides Fundament, das Synergien für alle genannten Anforderungen schafft.

Kriterien für die Auswahl einer Sicherheitslösung für OT-Wechselmedien

Bei der Evaluierung von Technologien und Dienstleistungen zur Unterstützung Ihres IEC 62443-Sicherheitsprogramms für Wechselmedien sollten Sie folgende Funktionen priorisieren:

• Multi-Engine-Malware-Scanning auf Ebene des Schleusen-PCs, gestützt durch OT-spezifische Bedrohungsdaten (Threat Intelligence)

• Hardware-basierte USB-Gerätekontrolle, die ein Whitelisting anhand der physischen Geräteidentität statt nur nach Dateityp erzwingt

• OT-native Protokollierung und SIEM-Integration, die industrielle Protokolle interpretieren kann und Fehlalarme minimiert

• Unterstützung für Legacy-Betriebssysteme einschließlich Windows XP, Windows 7 und anderer nicht mehr unterstützter Plattformen, die in OT-Umgebungen noch verbreitet sind

• Herstellerneutrale Implementierung, die in Multi-Vendor-OT-Umgebungen wie Siemens, Rockwell, Honeywell, ABB und Schneider Electric zuverlässig funktioniert

• Audit-bereites Reporting, das die Anforderungen der IEC 62443-Kontrollen für Prüfer und Regulierungsbehörden direkt nachvollziehbar dokumentiert

• Fokus auf Betriebskontinuität – Sicherheitsmaßnahmen, die keine Latenzen oder Verfügbarkeitsrisiken in sicherheitskritische Prozesse einbringen

USB-Bedrohungen sind vermeidbar – mit den richtigen Sicherheitsmaßnahmen

Wechselmedien werden auch in absehbarer Zukunft ein fester Bestandteil von OT-Umgebungen bleiben. Die betrieblichen Realitäten von Industrieanlagen – Altsystme, isolierte Netzwerke, Vor-Ort-Wartungsarbeiten – erfordern es, dass USB-Sticks, Laptops und tragbare Speichermedien weiterhin für Arbeitsabläufe genutzt werden.

Das an sich ist nicht das Problem. Das Risiko entsteht durch den Betrieb ohne die Kontrollmechanismen, Richtlinien und Überwachungsprozesse, für deren Etablierung die IEC 62443 entwickelt wurde.

Erfreulicherweise ist der Lösungsweg klar definiert. Die IEC 62443 bietet ein strukturiertes, risikobasiertes Rahmenwerk. Die Kontrollen sind präzise formuliert, und die Technologien zur Umsetzung sind verfügbar. Vielen Unternehmen fehlt jedoch die spezifische Erfahrung, um den Standard in ein praxisnahes Programm zu übersetzen, das sich nahtlos in ihre Industrieprozesse einfügt – ohne den laufenden Betrieb zu stören oder die Auslastung der OT-Sicherheitsteams übermäßig zu erhöhen.

Wesentliche Kernaussagen dieses Leitfadens:

• Sicherheitsrisiken durch USB verbleiben einer der primären Angriffsvektoren in OT-Umgebungen, auch in physisch isolierten Anlagen

• Die IEC 62443 fordert spezifische, direkt umsetzbare Kontrollen für Wechselmedien auf organisatorischer, technischer und prozessualer Ebene

• Ein phasenweises Vorgehen – Analyse, Absicherung, Überwachung, Validierung – ist der effektivste Weg zur Etablierung von Compliance ohne Störung des Betriebs

• Unternehmen, die mehrere Standards (NIST SP 800-82, NERC CIP, NIS-2) erfüllen müssen, profitieren erheblich von einem an der IEC 62443 ausgerichteten Programm für Wechselmedien

• Die Nutzung von Medien durch Dienstleister und Dritte ist eine häufig übersehene Sicherheitslücke, die explizit geregelt werden muss

Sind Sie bereit, Ihre Sicherheitslücken im Bereich Wechselmedien zu schließen?

Wir bei Shieldworkz haben uns exklusiv auf die Cybersicherheit in den Bereichen OT/ICS und IIoT spezialisiert. Wir unterstützen Werksleiter, OT-Ingenieure und CISOs beim Aufbau IEC 62443-konformer Sicherheitskonzepte, die auf die Realitäten industrieller Umgebungen abgestimmt sind – statt IT-Konzepte ungeprüft zu übertragen. Fordern Sie eine Demo an, um zu sehen, wie Shieldworkz Industrieunternehmen dabei unterstützt, Risiken durch Wechselmedien zu identifizieren, IEC 62443-konforme Kontrollen zu implementieren und die notwendigen Überwachungskapazitäten aufzubauen, um Bedrohungen durch USB-Medien proaktiv abzuwehren.

Zusätzliche Ressourcen:

Sicherheitsempfehlungen zur OT-Bedrohungslage – Naher Osten hier
NIS-2-Richtlinie: Erreichung der NIS-2-Compliance durch die IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und Sicherheitslösungen für die OT hier
Kostenlose Vorlage für eine Richtlinie zu Wechselmedien für OT- und IT-Teams hier
Leitfäden zur Behebung von Sicherheitslücken hier