Jeder Werksleiter hat es schon einmal erlebt. Ein externer Dienstleister trifft zur geplanten Wartung ein, schließt ein USB-Laufwerk an ein HMI an, um ein Firmware-Update aufzuspielen, und verlässt den Raum, ohne sich weiter Gedanken zu machen. Niemand hält inne, um zu fragen, was sich sonst noch auf diesem Laufwerk befinden könnte. Dieser einzige, alltägliche Moment ist einer der hartnäckigsten und am meisten unterschätzten Einfallstore für Cyber-Vorfälle in heutigen Industrieumgebungen.

Wechselmedien waren die Verbreitungsmethode für einige der folgenschwersten Angriffe auf industrielle Steuerungssysteme in der Geschichte. Sie gehören zu den wenigen Pfaden, die in der Lage sind, ein physisch isoliertes Netzwerk (Air-Gap) zu überwinden und Perimeter-Verteidigungssysteme vollständig zu umgehen. Genau aus diesem Grund legt die IEC 62443, der international anerkannte Standard für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS), einen direkten Schwerpunkt auf die Kontrolle und das Scannen von tragbaren Medien, bevor diese überhaupt mit der operativen Technologie (OT) in Berührung kommen.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag über das Meistern von NIST SP 800-18 Revision 2 zu lesen: hier

Dieser Leitfaden schlüsselt auf, was Medienscanning im OT-Kontext tatsächlich bedeutet, warum die IEC 62443 dies als grundlegende Sicherheitsmaßnahme und nicht als Nebensache behandelt und wie ein ausgereiftes, konformes Konzept für den Umgang mit Medien in der Praxis aussieht. Ganz gleich, ob Sie eine Roadmap zur Compliance erstellen, sich auf ein Audit vorbereiten oder einfach versuchen, eine bekannte Schwachstelle in Ihrer Verteidigung zu schließen – dies ist das grundlegende Verständnis, das jeder Verantwortliche für OT-Sicherheit benötigt.

Was ist ein Media Scan in der OT-Cybersecurity?

Unter Medienscanning (Media Scan) versteht man im Kontext der operativen Technologie den strukturierten Prozess der Überprüfung von Wechseldatenträgern, USB-Laufwerken, externen Festplatten, SD-Karten, CDs und allen tragbaren datentragenden Geräten, bevor diese eine Verbindung zu Netzwerken oder Endpunkten von Steuerungssystemen herstellen dürfen.

Im Gegensatz zu einem typischen Enterprise-IT-Scan, der in der Regel unbemerkt im Hintergrund auf einem Firmen-Laptop läuft, muss das OT-Medienscanning einer völlig anderen Umgebung Rechnung tragen. Steuerungssysteme arbeiten häufig mit Legacy-Betriebssystemen, proprietären Protokollen und Geräten, die keine ungeplanten Neustarts oder Performance-Einbußen tolerieren können. Eine Medienscan-Lösung für die OT muss bösartige Payloads, nicht autorisierte Dateitypen und Richtlinienverstöße erkennen, ohne jemals die Verfügbarkeit oder die Sicherheit des Betriebs zu gefährden.

Im Kern umfasst das Medienscanning in Industrieumgebungen typischerweise:

• Malware- und Signaturerkennung – Identifizierung von bekanntem Schadcode, einschließlich OT-spezifischer Malware-Familien, die gezielt auf PLCs, RTUs und SCADA-Systeme ausgerichtet sind

• Verhaltens- und Heuristik-Analyse – Kennzeichnung verdächtigen Dateiverhaltens, selbst wenn keine bekannte Signatur existiert

• Dateityp- und Inhaltsvalidierung – Sicherstellung, dass nur genehmigte Dateiformate und Konfigurationen zugelassen werden

• Richtliniendurchsetzung – konsequentes Blockieren nicht autorisierter Geräte, unabhängig von den Scan-Ergebnissen

• Protokollierung und Erstellung von Audit-Trails – Erfassung jedes Scan-Ereignisses zu Compliance- und Forensik-Zwecken

Das Ziel ist einfach zu formulieren, aber anspruchsvoll in der Umsetzung: Nichts gelangt über Wechselmedien in die OT-Umgebung, es sei denn, es wurde als sicher verifiziert, autorisiert und protokolliert.

Medienscan-Workflow: Einstecken des Geräts, Isolation, Scannen, Verifizierung, Protokollierung und autorisierte Übertragung

Warum die IEC 62443 Wechselmedien als prioritäre Sicherheitsmaßnahme behandelt

Die IEC 62443 wurde speziell deshalb entwickelt, weil sich traditionelle IT-Sicherheits-Frameworks nicht eins zu eins auf Industrieumgebungen übertragen lassen. Der Standard ist in mehrere Teile gegliedert, die Governance (62443-2-1), Systemanforderungen (62443-3-3) und Anforderungen auf Komponentenebene (62443-4-2) abdecken. Die Kontrolle von Wechselmedien zieht sich als roter Faden durch mehrere Ebenen dieser Struktur.

Die Begründung dafür ist einfach. Air Gaps, die lange Zeit als Goldstandard des OT-Schutzes galten, sind in der Praxis selten absolut. Wartungsaktivitäten, Firmware-Updates, Datenübertragungen an Engineering-Workstations und Besuche von Drittanbietern bieten legitime Gründe, warum physische Medien die Grenze zwischen IT und OT oder zwischen einem isolierten OT-Netzwerk und der Außenwelt überschreiten. Jeder einzelne dieser legitimen Übergänge stellt jedoch auch einen potenziellen Angriffsvektor dar.

Die für den Umgang mit Medien relevantesten Grundlegenden Anforderungen (Foundational Requirements, FRs) der IEC 62443 umfassen:

Anstatt eine bestimmte Technologie vorzuschreiben, konzentriert sich die IEC 62443 auf die Ergebnisse: Kontrollieren Sie, was in Ihre Umgebung gelangt, verifizieren Sie es vor dem Anschließen und führen Sie einen dokumentierten Nachweis darüber, dass dieser Prozess konsequent eingehalten wurde. Dies macht das Medienscanning in der Praxis zu einer zwingenden Compliance-Anforderung, selbst wenn es in den einzelnen Klauseln nicht immer explizit unter genau diesem Namen aufgeführt ist.

Risiken, Herausforderungen und Branchenerkenntnisse

Präzedenzfälle aus der Praxis: Wie Wechselmedien die industrielle Cyber-Geschichte geprägt haben

Bedrohungen durch Wechselmedien sind nicht theoretischer Natur. Einige der folgenreichsten ICS-Sicherheitsereignisse der letzten zwei Jahrzehnte lassen sich auf tragbare Datenträger zurückführen.

Einer der frühesten und am intensivsten untersuchten Fälle betraf eine hochentwickelte Malware, die speziell für den Angriff auf industrielle Steuerungssysteme entwickelt und um 2010 entdeckt wurde. Sie war darauf ausgelegt, sich über infizierte USB-Laufwerke zu verbreiten, was es ihr ermöglichte, physisch isolierte Netzwerke zu überspringen, die über keine direkte Internetverbindung verfügten. Genau diese Eigenschaft – die Fähigkeit, sich physisch statt über ein Netzwerk zu bewegen – machte den Angriff so effektiv gegen Anlagen, deren Betreiber glaubten, dass Isolation allein als Schutz ausreichte.

Jahre später zeigte eine Malware, die speziell darauf ausgelegt war, industrielle Sicherheitssysteme (Safety Instrumented Systems) zu stören, eine ähnliche Lektion: Angreifer wissen, dass Sicherheits- und Engineering-Workstations – oft dieselben Rechner, die zum Laden von Konfigurationen von Wechselmedien verwendet werden – hochgradig wertvolle Ziele sind, da sie an der Schnittstelle zwischen Komfort und kritischer Funktion liegen.

Auch abseits spezifischer Malware-Vorfälle bestätigen Insider-Vorfälle mit unbefugtem Zugriff auf Steuerungssysteme – wie der gut dokumentierte Fall eines unzufriedenen ehemaligen Auftragnehmers, der Anfang der 2000er Jahre ein Abwassersystem in Australien manipulierte – ein verwandtes Prinzip: Zugriffskontrolle und Überwachung von Schnittstellen an Steuerungssystemen, einschließlich physischer Schnittstellen und Wechselmedien, dürfen keine Nebensache sein.

Diese Fälle weisen eine gemeinsame Schnittstelle auf. In jedem einzelnen Szenario begann die Kompromittierung nicht mit einem hochentwickelten Netzwerkeinbruch. Sie begann mit etwas Physischem, mit einem Vorgang, den ein Mitarbeiter oder Dienstleister als Routine ansah und für den kein Verifizierungsschritt etabliert war.

Warum dieses Risiko in modernen Anlagen fortbesteht

Trotz des geschärften Bewusstseins für diese historischen Vorfälle ist das Risiko durch Wechselmedien nicht verschwunden. Es hat sich vielmehr weiterentwickelt.

• Abhängigkeit von Dienstleistern und OEMs: Die meisten Industrieanlagen sind bei Firmware-Updates, Diagnosen und Wartungsarbeiten auf externe Partner angewiesen, und viele dieser Dienstleister nutzen nach wie vor standardmäßig USB-Laufwerke für den Datentransfer

• Einschränkungen durch Legacy-Systeme: Älteren PLCs, HMIs und Engineering-Workstations fehlt häufig die native Antiviren-Unterstützung oder die erforderliche Rechenleistung für Echtzeit-Scans, sodass der Medientransfer einer der wenigen praktikablen Update-Pfade bleibt

• Air-Gap-Annahmen: Viele Werksteams behandeln die Netzwerkisolation immer noch als vollständige Sicherheitsbarriere, obwohl sie in der Praxis nur netzwerkbasierte Bedrohungen abdeckt, nicht jedoch physische

• Inkonsistente Richtliniendurchsetzung: Selbst wenn auf dem Papier Richtlinien für den Umgang mit Medien existieren, basiert die Durchsetzung oft auf manueller Compliance statt auf technischen Kontrollen

• Sichtbarkeitslücken: Ohne eine dedizierte Scan-Infrastruktur haben Sicherheitsteams häufig keine Aufzeichnungen darüber, welche Geräte wann und von wem angeschlossen wurden

Die geschäftlichen Auswirkungen von Versäumnissen

Für Entscheidungsträger, die abwägen müssen, wo begrenzte Sicherheitsbudgets investiert werden sollen, ist es hilfreich, das Risiko von Wechselmedien nicht nur in rein technischer Hinsicht, sondern vielmehr anhand betrieblicher und finanzieller Konsequenzen darzustellen.

Für keine dieser Folgen ist ein Angreifer auf staatlicher Ebene erforderlich. Ein einziges infiziertes USB-Laufwerk, das von einem gutgläubigen Mitarbeiter oder Dienstleister eingesteckt wird, reicht aus, um diese Szenarien auszulösen.

Balkendiagramm zur Veranschaulichung der durchschnittlichen Ausfallkosten pro Stunde in den Sektoren Fertigung, Energie und Versorgung

Praktische Empfehlungen und Best Practices für die Sicherheit von Wechselmedien in der OT

Der Aufbau eines Medienscan-Programms, das den Anforderungen der IEC 62443 entspricht, bedeutet weniger den Kauf eines einzelnen Produkts als vielmehr die Entwicklung eines mehrschichtigen, durchsetzbaren Prozesses. Die folgenden Praktiken spiegeln wider, was ausgereifte OT-Sicherheitsprogramme standardmäßig implementieren.

1. Einrichtung einer dedizierten Medienscan-Station (Kiosk-Modell)

Anstatt zuzulassen, dass Wechselmedien direkt an einen OT-Endpunkt angeschlossen werden, setzen führende Unternehmen dedizierte Scan-Kioske ein, die an der Grenze zwischen der Außenwelt und dem OT-Netzwerk positioniert sind. Jedes Gerät, das von einem Mitarbeiter, Dienstleister oder Auditor mitgebracht wird, wird an dieser Station gescannt, bevor Dateien übertragen werden dürfen.

Dieser Ansatz isoliert die Scan-Funktion vollständig von den Produktionssystemen. Das bedeutet: Selbst wenn ein Gerät schädliche Inhalte enthält, fängt die Scan-Station das Risiko ab und nicht der produktive Endpunkt.

2. Durchsetzung einer „Default-Deny“-Richtlinie für Geräte

Eine strikte Richtlinie zur Medienkontrolle setzt voraus, dass keinem Gerät vertraut wird, bis das Gegenteil bewiesen ist. Das bedeutet:

• Standardmäßiges Deaktivieren von USB-Ports an Engineering-Workstations, HMIs und PLCs

• Anforderung einer expliziten Autorisierung für jede Ausnahme

• Nutzung von Device Whitelisting, sodass sich selbst nach dem Scannen nur registrierte Geräte mit bekannter Seriennummer verbinden können

3. Kombination aus signaturbasierter und verhaltensbasierter Erkennung

Ein rein signaturbasierter Scan reicht gegen neuartige oder gezielte Bedrohungen nicht aus. Ein resilienter Medienscan-Prozess kombiniert die Signaturerkennung mit Verhaltens- und Heuristikanalysen, um verdächtige Aktivitäten auch dann abzufangen, wenn keine bekannte Malware-Signatur vorliegt.

4. Bereinigen statt nur Scannen (CDR)

In Hochrisikoumgebungen gehen einige Unternehmen einen Schritt weiter und implementieren CDR-Prozesse (Content Disarm and Reconstruction). Dabei werden Dateien in saubere, verifizierte Versionen rekonstruiert, anstatt nur bösartige Inhalte zu blockieren. Dies ist besonders wertvoll für Engineering-Dateien und Firmware-Pakete, bei denen selbst ein „sauberes“ Scan-Ergebnis eingebettete Makros oder Skripting-Risiken nicht vollständig ausschließen kann.

5. Führen detaillierter, manipulationssicherer Protokolle

Der Schwerpunkt der IEC 62443 auf zeitnahe Reaktion und Nachweisbarkeit erfordert, dass jedes Scan-Ereignis (erfolgreich oder fehlgeschlagen) mit folgenden Details protokolliert wird:

• Geräte-Identifikationsnummer und Eigentümer

• Zeitstempel und Standort

• Scan-Ergebnis und alle erkannten Anomalien

• Autorisiertes Personal, das die Übertragung genehmigt hat

Diese Protokolle sind bei Compliance-Audits und im Falle eines Vorfalls für die forensische Untersuchung unerlässlich.

6. Schulung von Personal und Dienstleistern als Kernmaßnahme

Technologie allein kann diese Sicherheitslücke nicht schließen. Dienstleister, Auftragnehmer und eigene Mitarbeiter benötigen klare, regelmäßige Schulungen darüber, warum das Scannen von Medien wichtig ist und was der Prozess von ihnen verlangt. Ein Scan-Kiosk, den Dienstleister routinemäßig umgehen, weil er sie Zeit kostet, bietet keinen echten Schutz.

7. Abstimmung der Medienrichtlinien auf die Zonen- und Conduit-Architektur

Das Zonen- und Conduit-Modell der IEC 62443 segmentiert Netzwerke basierend auf Risiko und Funktion. Die Richtlinien für den Umgang mit Medien sollten diese Segmentierung widerspiegeln. Das bedeutet, dass einem Gerät, das für eine Zone mit geringerem Risiko autorisiert ist, in einer sicherheitskritischen Zone oder einer Zone mit hohen Schadensfolgen nicht automatisch ohne erneute Verifizierung vertraut werden darf.

8. Regelmäßige Überprüfung und Auditierung des Programms

Ein Medienscan-Programm darf keine einmalige Maßnahme sein. Regelmäßige interne Audits, Tabletop-Übungen zur Simulation eines über Medien eingeschleusten Vorfalls und die periodische Überprüfung von Scan-Protokollen stellen sicher, dass das Programm wie vorgesehen funktioniert und an neue Bedrohungen angepasst wird.

Wie Shieldworkz Ihr Unternehmen unterstützt

Shieldworkz arbeitet eng mit OT-Sicherheitsverantwortlichen, Werksleitern und Compliance-Teams zusammen, um Kontrollen für Wechselmedien zu konzipieren und zu implementieren, die direkt auf die Anforderungen der IEC 62443 abgestimmt sind – ohne den laufenden Betrieb zu stören. Unser Ansatz basiert auf den praktischen Realitäten industrieller Umgebungen, nicht auf generischen IT-Sicherheitsannahmen.

• Umfassende OT-Risikoanalysen zur Identifizierung aller Punkte, an denen Wechselmedien derzeit in Ihre Umgebung gelangen, einschließlich undokumentierter oder informeller Pfade

• Konzeption maßgeschneiderter Medienscan-Architekturen, angepasst an Ihre bestehende Netzwerksegmentierung, Einschränkungen durch Legacy-Equipment und operative Workflows

• IEC 62443 Gap-Analysen und Compliance-Roadmapping, um Ihre aktuellen Praktiken im Umgang mit Medien mit den relevanten grundlegenden Anforderungen und Sicherheitsstufen (Security Levels) abzugleichen

• Unterstützung bei der Richtlinienentwicklung und -durchsetzung, einschließlich Default-Deny-Frameworks, Strategien für das Device Whitelisting und Protokolle für den Zugriff von Dienstleistern

• Schulungsprogramme für Mitarbeiter und Dienstleister, die speziell auf die Realität in der Werkshalle zugeschnitten sind, anstelle von generischen Cybersecurity-Inhalten

• Unterstützung bei der auditfähigen Dokumentation, damit Ihr Team die für interne Governance und externe Zertifizierungs-Audits erforderlichen Protokolle und Nachweisketten lückenlos führen kann

• Fortlaufende Beratung, um sicherzustellen, dass sich Ihre Sicherheitsarchitektur für Medien parallel zu neuen Bedrohungen, neuen Geräten und regulatorischen Erwartungen weiterentwickelt

Unser Ziel ist es nicht, Ihnen ein Produkt zu übergeben und uns zurückzuziehen. Wir verstehen uns als Partner Ihres Teams und helfen Ihnen, ein Mediensicherheitsprogramm aufzubauen, das sowohl im realen Betrieb als auch unter strenger Audit-Prüfung standhält.

Fazit

Wechselmedien werden auch in absehbarer Zukunft ein fester Bestandteil des Industriebetriebs bleiben. Dienstleister werden weiterhin USB-Laufwerke für Firmware-Updates mitbringen. Ingenieure werden weiterhin Konfigurationsdateien zwischen Systemen übertragen. Die Frage ist nicht, ob diese Aktivitäten stattfinden, sondern ob Ihr Unternehmen über die entsprechenden Sicherheitsmaßnahmen verfügt, um sicherzustellen, dass sie kontrolliert, transparent und im Einklang mit den Anforderungen der IEC 62443 erfolgen.

Ein gut durchdachtes Medienscan-Programm schließt eine der historisch am häufigsten ausgenutzten Lücken in der OT-Sicherheit. Gleichzeitig schafft es die Dokumentations- und Prozessreife, die von Compliance-Frameworks, Versicherern und Geschäftspartnern zunehmend gefordert wird. Dies ist keine Maßnahme, die man aufschieben sollte, bis ein Vorfall schnelles Handeln erzwingt. Es ist ein fundamentaler Baustein einer resilienten industriellen Cybersecurity-Strategie und ein direkter Beleg dafür, wie ernst Ihr Unternehmen den Schutz seiner physischen Betriebsabläufe nimmt.

Unternehmen, die diesem Risiko proaktiv begegnen, zeichnen sich nicht durch unbegrenzte Budgets aus. Es sind diejenigen, die jedes USB-Laufwerk, jedes externe Gerät und jeden Laptop eines Dienstleisters als potenziellen Einfallstor behandeln, das es zu verifizieren gilt – jedes einzelne Mal.

Buchen Sie ein kostenloses Erstgespräch mit unseren Experten

Wenn Sie die aktuellen Praktiken Ihres Unternehmens im Umgang mit Medien bewerten, sich auf ein IEC 62443-Audit vorbereiten oder einfach eine ehrliche Expertenanalyse Ihres aktuellen Risikopotenzials durch Wechselmedien wünschen, steht unser Team bereit.

Buchen Sie eine kostenlose Beratung mit den OT-Cybersecurity-Experten von Shieldworkz und machen Sie den nächsten Schritt hin zu einer resilienteren, konformeren und zuverlässig geschützten Industrieumgebung.

Zusätzliche Ressourcen:

OT Cyber Threat Intelligence Advisory – Middle East hier
NIS-2-Richtlinie: Erreichen der NIS-2-Compliance durch IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und Sicherheitslösungen für die industrielle OT hier
Kostenlose Vorlage für eine Wechselmedien-Richtlinie für OT- und IT-Teams hier