Compliance bei Wechselmedien: Was NERC CIP und IEC 62443 tatsächlich vorschreiben und was auf dem Spiel steht, wenn Sie es falsch machen

Es gibt eine ganz bestimmte Klasse von Cyberbedrohungen, die erfahrene OT-Sicherheitsverantwortliche nachts wachhält u2013 nicht der hochentwickelte staatliche Angriff, nicht der Zero-Day-Exploit, sondern das bescheidene USB-Laufwerk. Ein Wartungstechniker, der ein privates Flash-Laufwerk anschließt. Ein Lieferant, der einen Laptop verbindet, um Firmware zu aktualisieren. Ein wohlmeinender Ingenieur, der Daten für einen Offline-Bericht abzieht.

Jede dieser Handlungen, die ohne ein durchgesetztes Compliance-Programm für Wechselmedien ausgeführt wird, kann Schadsoftware einschleusen, sensible Betriebsdaten abziehen oder ein Einfallstor für Angriffe auf Ihre kritischsten industriellen Anlagen schaffen: Ihre PLCs, Ihre SCADA-Systeme, Ihre Prozessleitsysteme (DCS) und die physikalischen Prozesse, die sie steuern.

Für Organisationen, die in regulierten industriellen Umgebungen tätig sind, ist dies keineswegs nur ein Sicherheitsbedenken. Es handelt sich um eine Compliance-Verpflichtung mit messbaren rechtlichen und finanziellen Konsequenzen. Sowohl die NERC-CIP-Standards im Energiesektor als auch das international anerkannte Rahmenwerk IEC 62443 für allgemeinere industrielle Umgebungen enthalten klare und durchsetzbare Anforderungen in Bezug auf Nutzung, Autorisierung, Malware-Prüfung und Dokumentation von Wechselmedien.

Zu verstehen, was diese Rahmenwerke über ein oberflächliches Lesen hinaus tatsächlich verlangen, ist der Punkt, an dem die meisten Organisationen auf Compliance-Lücken stoßen. Dieser Blog bietet eine detaillierte, praxisnahe Aufschlüsselung, wie Compliance aussieht, was die realen Risiken sind und wie zukunftsorientierte Organisationen heute auditkonforme Wechselmedien-Programme aufbauen.

Warum OT-Sicherheitsverantwortliche dies jetzt priorisieren müssen

Der Vorfall im Wasserwerk Oldsmar in Florida im Jahr 2021, bei dem ein Angreifer versuchte, den Natriumhydroxidgehalt auf gefährliche Konzentrationen zu erhöhen, hat die globale Gemeinschaft für kritische Infrastrukturen (KRITIS) an etwas Wichtiges erinnert: Die Angriffsfläche für industrielle Systeme geht weit über Firewalls und Netzwerkgrenzen hinaus.

Was oft nicht in den Schlagzeilen steht, ist, dass forensische Untersuchungen nach Vorfällen in vergleichbaren Fällen regelmäßig Wechselmedien entweder als primären Vektor oder als beitragenden Faktor bei der lateralen Bewegung von Bedrohungen in OT-Umgebungen identifizieren. Der TRISIS/TRITON-Angriff auf eine petrochemische Anlage im Nahen Osten, die Industroyer-Schadsoftware, die 2016 Teile des ukrainischen Stromnetzes lahmlegte, und zahlreiche auf die Produktion ausgerichtete Ransomware-Kampagnen hatten alle einen gemeinsamen Nenner: Die anfängliche Eindringungs- oder Ausbreitungsphase nutzte Endpunkte aus, an denen physische Medienkontrollen fehlten oder unwirksam waren.

Für CISOs, Betriebsleiter und ICS-Ingenieure, die sowohl die Betriebskontinuität als auch die Einhaltung gesetzlicher Vorschriften gewährleisten müssen, stellt sich nicht mehr die Frage, ob Wechselmedien ein nennenswertes Risiko darstellen. Die Frage lautet, ob Ihre derzeitigen Kontrollen einem NERC-CIP-Audit oder einer IEC-62443-Prüfung standhalten würden und was die Konsequenzen wären, wenn sie es nicht täten.

NERC CIP und Wechselmedien: Was der Standard tatsächlich erfordert

Die Standards der North American Electric Reliability Corporation zur Cybersecurity im Bereich Bulk Electric System (NERC CIP) wurden speziell entwickelt, um das Stromübertragungsnetz vor Bedrohungen der Cybersicherheit zu schützen. Für Betreiber von Erzeugungsanlagen, Übertragungssystemen und Verteilungsanlagen, welche die Klassifizierungsschwellenwerte für BES-Cyber-Systeme erfüllen, ist die Einhaltung der Standards zwingend erforderlich und nicht optional.

Innerhalb des NERC-CIP-Rahmenwerks werden Wechselmedien und temporäre Cyber-Assets primär durch CIP-003-8 und CIP-010-4 geregelt, mit unterstützenden Verpflichtungen unter CIP-004-7 und CIP-007-6.

CIP-003-8: Sicherheitskontrollen für BES-Cyber-Systeme mit geringer Auswirkung

Für Organisationen mit Systemen mit geringer Auswirkung (Low Impact) schreibt CIP-003-8 Anhang 1 Abschnitt 3 spezifische Kontrollen für temporäre Cyber-Assets und Wechselmedien vor. Dies umfasst dokumentierte Methoden zum Schutz vor der Nutzung unbefugter Wechselmedien, Autorisierungskontrollen sowie Richtlinien für physische Medien, wenn diese mit Low-Impact-BES-Cyber-Systemen verbunden werden.

Viele Organisationen unterschätzen hier den Umfang. CIP-003-8 gilt nicht nur für Systeme mit hoher und mittlerer Auswirkung, sondern erstreckt sich mit bedeutenden Verpflichtungen auch auf Systeme, die als Low Impact klassifiziert sind u2013 was oft Umspannwerke, dezentrale Kontrollpunkte und Feldgeräte einschließt, die bekanntermaßen schwer zu überwachen sind.

CIP-010-4: Konfigurations-Änderungsmanagement und Schwachstellenmanagement

CIP-010-4 ist der wohl technisch anspruchsvollste Standard im Kontext der Compliance von Wechselmedien. Er verlangt, dass die zuständige Stelle vor dem Anschließen von temporären Cyber-Assets oder Wechselmedien an ein BES-Cyber-System über einen autorisierten Prozess verfügen muss, der eine Malware-Prüfung mittels Antivirensoftware oder anderer Methoden umfasst.

Der Standard schreibt keine bestimmte Scanning-Technologie vor, verlangt jedoch, dass die verwendete Methode dokumentiert, konsistent angewendet und ein verifizierbares Protokoll erstellt wird. Wenn eine Prüfung durchgeführt, aber nicht detailliert genug protokolliert wird, um den Status des Assets zum Zeitpunkt der Verbindung nachzuweisen, gilt die Kontrolle für Audit-Zwecke als unzureichend.

CIP-004-7: Personal und Schulung

Die Einhaltung von Richtlinien für Wechselmedien ist nicht ausschließlich eine technische Angelegenheit. CIP-004-7 verlangt, dass alle Mitarbeiter mit autorisiertem digitalem oder physischem Zugriff auf BES-Cyber-Systeme Schulungen zur Sensibilisierung für Cybersicherheit sowie rollenbasierte Schulungen erhalten, welche explizit Richtlinien zu temporären Cyber-Assets und zur Nutzung von Wechselmedien abdecken müssen.

Dies bedeutet, dass eine Organisation mit technisch einwandfreien Kontrollen, aber unzureichender Schulungsdokumentation, weiterhin non-compliant bleibt. Schulungsnachweise müssen aktuell sein, der Rolle entsprechen und nachweislich erbracht werden, bevor Mitarbeiter Zugriff erhalten.

IEC 62443 und Wechselmedien: Der industrielle Sicherheitsstandard, der weiter geht

Die Richtlinienreihe IEC 62443 ist das weltweit anerkannte Rahmenwerk zur Absicherung industrieller Automatisierungssysteme (IACS). Im Gegensatz zu NERC CIP, das branchenspezifisch auf nordamerikanische Energieversorger ausgerichtet ist, gilt die IEC 62443 für die verarbeitende Industrie, die Öl- und Gasindustrie, die Wasserwirtschaft, die chemische Industrie sowie für alle Umgebungen, in denen industrielle Automatisierungssysteme betrieben werden.

Innerhalb der IEC 62443 finden sich Kontrollen für Wechselmedien am prominentesten in IEC 62443-3-3 (System-Sicherheitsanforderungen und Sicherheits-Soll-Auflagen) und IEC 62443-2-1 (Sicherheitsprogramm für Systemintegratoren), mit spezifischen grundlegenden Anforderungen, die unter Security Requirement 1.3 (Physische Geräteautorisierung) und SR 2.3 (Nutzung von tragbaren und mobilen Geräten) definiert sind.

SR 2.3: Nutzung tragbarer und mobiler Geräte, die Kernkontrolle

SR 2.3 erfordert, dass ein Steuerungssystem in der Lage sein muss, Nutzungsbeschränkungen für tragbare und mobile Geräte basierend auf dem Sicherheitsniveau (Security Level) der Zone durchzusetzen, in der das Gerät verwendet wird. Ab Security Level 2 (SL 2) und darüber eskaliert diese Anforderung und umfasst technische Durchsetzungsmechanismen, nicht mehr nur Richtliniendokumente.

Dies ist eine kritische Unterscheidung. Die IEC 62443 akzeptiert auf höheren Sicherheitsstufen keine anreinen Richtlinien-Ansätze. Wenn Ihre Produktionsanlage auf SL 2 betrieben wird (was auf die meisten zutrifft), benötigen Sie technische Kontrollen, die aktiv verhindern, dass sich nicht autorisierte Wechselmedien mit Workstations des Steuerungssystems, HMIs oder Engineering-Stationen verbinden u2013 ein bloßes Verfahrensdokument, das dies untersagt, reicht hier nicht aus.

Zonenbasierte Medienkontrollen unter IEC 62443

Einer der operativ wichtigsten Aspekte des Ansatzes der IEC 62443 ist das Zonen- und Leitungsmodell (Zone-and-Conduit-Modell). Kontrollen für Wechselmedien müssen auf Zonenebene definiert, durchgesetzt und geprüft werden. Das bedeutet: Eine USB-Richtlinie, die für die Unternehmens-IT funktioniert, kann für die Zonen des Purdue-Referenzmodells, in denen sich Ihr Prozesssteuerungsnetzwerk befindet, völlig unzureichend sein.

Das Sicherheitsniveau jeder einzelnen Zone bestimmt die erforderliche Rigorosität der Medienkontrolle. Es handelt sich nicht um ein Einheitskonzept, weshalb generische, IT-zentrierte USB-Richtlinien bei Konformitätsprüfungen nach IEC 62443 in OT-Umgebungen regelmäßig für unzureichend befunden werden.

NERC CIP vs. IEC 62443: Direkter Vergleich der Compliance-Anforderungen für Wechselmedien

Diese Anforderungen parallel zu verstehen ist essenziell für Organisationen, die in mehreren regulatorischen Zuständigkeitsbereichen tätig sind oder die sowohl die Einhaltung von NERC CIP als auch die Konformität mit IEC 62443 im Rahmen eines umfassenderen Sicherheitsreifegradprogramms anstreben.

Das reale Risiko verstehen: Bedrohungskategorien durch Wechselmedien in OT-Umgebungen

Aufbau einer USB-Sicherheitsrichtlinie für die OT: Was Entscheider richtig machen müssen

Eine Richtlinie zur USB-Gerätekontrolle für industrielle Umgebungen unterscheidet sich grundlegend von einer IT-fokussierten Wechselmedien-Richtlinie. Die betrieblichen Realitäten von OT-Umgebungen u2013 einschließlich Altsystemen, die keine Software-Agenten aufnehmen können, Wartungsanforderungen, die gelegentlich physischen Medienzugriff erfordern, und Air-Gapped-Architekturen, die ein cloudbasiertes Scanning unpraktisch machen u2013 erfordern einen speziell dafür entwickelten Ansatz.

Die fünf Säulen eines konformen OT-Programms für Wechselmedien

u2022 Anlagenbasierte Autorisierung (Asset-Based Authorization): Jedes Wechselmedium, das mit OT-Systemen interagiert, muss registriert, einem autorisierten Benutzer oder einer autorisierten Funktion zugewiesen und vor der ersten Verwendung durch einen dokumentierten Prozess freigegeben werden. Dies ist sowohl unter NERC CIP als auch unter IEC 62443 zwingend erforderlich.

u2022 Malware-Prüfung vor dem Verbinden: Das Scanning muss vor dem Herstellen der Verbindung erfolgen, nicht erst danach. Für regulierte Umgebungen erfüllt eine Prüfung nach dem Anschließen nicht die Compliance-Anforderungen, da der potenzielle Schaden im Moment des Einsteckens entsteht, falls Malware vorhanden ist.

u2022 Gerätebeschränkung am Endpunkt: Technische Kontrollen müssen einschränken, welche Geräte sich mit welchen Systemen verbinden dürfen. Ein Whitelisting nach Geräteseriennummer, Hersteller-ID (Vendor ID) oder kryptografischem Zertifikat stellt sicher, dass nur freigegebene Medien mit geschützten Anlagen interagieren können.

u2022 Audit-bereite Protokollierung und Aufbewahrung: Jedes Verbindungsereignis, jedes Scan-Ergebnis und jede Autorisierungsentscheidung muss so detailliert protokolliert werden, dass die lückenlose Nachweiskette (Chain of Custody) während eines Compliance-Audits rekonstruiert werden kann. Die Mindestaufbewahrungsfristen unter NERC CIP betragen 90 Tage; Best Practices in Unternehmen überschreiten dies oft deutlich.

u2022 Integration von Schulung und Sensibilisierung: Mitarbeiter, die mit OT-Systemen interagieren, müssen nachweislich und rollenspezifisch zu den Richtlinien für Wechselmedien geschult werden. Dies schließt Vertragspartner und Drittanbieter ein u2013 eine häufig übersehene Compliance-Lücke.

Die Herausforderung durch Lieferanten und Drittanbieter

Eines der größten und am häufigsten unterschätzten Risiken im Bereich der Wechselmedien in industriellen Umgebungen geht von Datenträgern aus, die durch Drittanbieter eingebracht werden. Wartungsfenster, Firmware-Updates und Konfigurationsänderungen bringen es routinemäßig mit sich, dass externe Techniker ihre eigenen Laptops, USB-Laufwerke oder Diagnosewerkzeuge an kritische Systeme anschließen.

Der Stuxnet-Wurm, der sich gegen das iranische Nuklearprogramm richtete und weithin als die erste cyberspezifische Waffe mit industrieller Zerstörungskraft gilt, wurde über ein USB-Laufwerk eingeschleust, das vermutlich von einem Auftragnehmer oder einem Partner in der Lieferkette angeschlossen wurde. Die Komplexität von Stuxnet ist für diese Betrachtung weniger wichtig als die Einfachheit seines anfänglichen Übertragungswegs: ein physisches Gerät, das von einer vertrauenswürdigen Person in ein isoliertes Netzwerk eingesteckt wurde.

Sowohl NERC CIP als auch IEC 62443 verlangen ausdrücklich, dass Medien von Drittanbietern denselben Autorisierungs- und Prüfungsanforderungen unterliegen wie interne Medien. Organisationen, die strenge Kontrollen auf das eigene Personal anwenden, aber Ausnahmen für externe Dienstleister zulassen, schaffen die gefährlichste Lücke in ihrer gesamten Compliance-Struktur.

Wo Industrieunternehmen bei Compliance-Audits am häufigsten scheitern

Aus der operativen Erfahrung im Energie-, Fertigungs- und KRITIS-Sektor treten die folgenden Mängel bei Compliance-Prüfungen und Untersuchungen nach Sicherheitsvorfällen immer wieder zu Tage:

u2022 Undokumentierte Autorisierungsprozesse, die sich auf informelle mündliche Absprachen anstelle von protokollierten, nachvollziehbben Entscheidungen verlassen

u2022 Prüfverfahren, die auf Antivirenprogramme für Endverbraucher setzen, denen OT-spezifische Signatursätze fehlen und die speziell auf ICS ausgerichtete Malware-Varianten nicht erkennen können

u2022 Unvollständige Abdeckung von Low-Impact-BES-Cyber-Assets unter NERC CIP; Organisationen wenden Kontrollen oft nur auf High- und Medium-Systeme an, übersehen dabei jedoch die erweiterten Pflichten für Low-Impact-Systeme

u2022 Fehlen einer technischen Durchsetzung; Richtlinien, die zwar auf dem Papier existieren, bei denen jedoch kein technischer Mechanismus verhindert, dass unautorisierte Medien auf Endpunktebene angeschlossen werden

u2022 Lücken bei der Einbindung von Lieferanten und Auftragnehmern; externes Personal arbeitet unter anderen, weniger strengen Standards als das interne Personal

u2022 Unzureichende Schulungsnachweise; dokumentierte Richtlinien, die für den Auditnachweis nicht mit den Sensibilisierungsnachweisen des jeweiligen Personals verknüpft werden können

u2022 Blinde Flecken bei Altsystemen (Legacy-Systeme); ältere Steuerungssysteme, die über keine nativen Funktionen zur USB-Verwaltung verfügen und für die nie kompensierende Kontrollmaßnahmen implementiert wurden

Wie Shieldworkz Organisationen beim Erreichen der Compliance für Wechselmedien unterstützt

Shieldworkz bringt tiefgehendes, spezialisiertes Fachwissen im Bereich der OT- und ICS-Cybersicherheit ein, um Industrieunternehmen beim Aufbau von Wechselmedien-Programmen zu unterstützen, die regulatorischen Anforderungen genügen, Audit-Prüfungen standhalten und kritische Anlagen operativ schützen. Unser Ansatz ist praxisorientiert, evidenzbasiert und speziell für die Realitäten industrieller Umgebungen konzipiert u2013 nicht einfach aus IT-Rahmenwerken adaptiert.

Unsere Einsätze sind darauf ausgelegt, messbare Compliance-Ergebnisse zu liefern, nicht nur unverbindliche Empfehlungen. Shieldworkz arbeitet eng mit Ihren Betriebs- und Sicherheitsteams zusammen, um sicherzustellen, dass die implementierten Kontrollen nachhaltig, betrieblich tragbar und unter Audit-Bedingungen vertretbar sind.

Fazit: Compliance ist kein Haken auf einer Checkliste, sondern eine operative Notwendigkeit

Die Einhaltung der Vorschriften für Wechselmedien unter NERC CIP und IEC 62443 ist keine administrative Last, die mit minimalem Aufwand bewältigt werden sollte. Sie ist ein grundlegendes Element der industriellen Cybersicherheit, das direkt mit Ihrer Fähigkeit korreliert, die Prozessintegrität zu schützen, behördliche Strafen zu vermeiden und die Betriebskontinuität angesichts einer Bedrohungslage aufrechtzuerhalten, die physische Medien weiterhin als einen ihrer verlässlichsten Einstiegswege nutzt.

Die Spitzenorganisationen, die dies erfolgreich meistern, sind nicht diejenigen mit den komplexesten Technologie-Infrastrukturen. Es sind jene, die in das Verständnis ihrer spezifischen Compliance-Verpflichtungen investiert haben, Programme aufgebaut haben, welche die technischen und dokumentarischen Anforderungen der geltenden Rahmenwerke erfüllen, und eine Kultur etabliert haben, in der das Management von Wechselmedien als kritische operative Kontrolle und nicht als Unbequemlichkeit behandelt wird.

Für Energieversorger, die NERC-CIP-Verpflichtungen verwalten, für Hersteller, die eine Konformität mit IEC 62443 anstreben, und für jeden Betreiber kritischer Infrastrukturen, dessen industrielle Anlagen sowohl regulatorische Risiken als auch physische Auswirkungen in der realen Welt bedeuten: Die Zeit für den Aufbau eines vertretbaren Compliance-Programms für Wechselmedien ist vor dem Audit u2013 und lange vor dem Vorfall.

Buchen Sie eine kostenfreie Erstberatung mit unseren OT-Sicherheitsexperten

Ihre OT-Umgebung bringt Compliance-Verpflichtungen mit sich, für die Standard-IT-Sicherheitstools schlichtweg nicht ausgelegt sind. Die Risiken durch Wechselmedien wachsen, und die regulatorischen Fristen für die Einhaltung verzeihen keine Verspätungen.

Shieldworkz ist exklusiv auf die Cybersicherheit im Bereich OT/ICS spezialisiert, einschließlich der Compliance von Wechselmedien, der NERC-CIP-Gap-Analyse und der Implementierung von IEC-62443-Programmen. Unsere Experten haben Energieversorger, Fertigungsbetriebe und KRITIS-Betreiber beim Aufbau konformer, resilienter und audit-bereiter Sicherheitskonzepte unterstützt.

Zusätzliche Ressourcen:

Checkliste zur Diagnose von Sicherheitslücken nach NERC CIP finden Sie hier
NIS-2-Richtlinie u2013 Checkliste zur Bewertung von Cybersicherheitslücken und Kontrollen finden Sie hier
Checkliste zur Behebung von NERC-CIP-Mängeln mittels OT-Security-NDR finden Sie hier
Leitfäden zur Behebung (Remediation Guides) finden Sie hier