Ein kleines Gerät, das die industrielle IT-Sicherheit für immer veränderte

Im Jahr 2010 zerstörte ein einfacher USB-Flash-Speicher lautlos über 1.000 Zentrifugen zur Urananreicherung in der iranischen Nuklearanlage Natanz. Kein bewaffnetes Eindringen. Keine Rakete. Keine sichtbare Explosion. Nur ein scheinbar harmloses USB-Laufwerk mit einer der hochentwickeltsten Schadsoftwares, die je geschrieben wurden: Stuxnet.

Das Außergewöhnliche an Stuxnet war nicht nur seine technische Komplexität. Es war die Erkenntnis, die es der Welt aufzwang: Ein Wechseldatenträger, der klein genug ist, um in eine Hemdtasche zu passen, kann die Perimeter-Abwehr umgehen, Air-Gap-Netzwerke überwinden und katastrophale physische Schäden an der industriellen Infrastruktur verursachen.

Mehr als fünfzehn Jahre später ist diese Lektion immer noch nicht vollständig verinnerlicht worden. USB-Laufwerke und Wechselmedien gehören in industriellen Umgebungen weiterhin zu den am meisten unterschätzten und am häufigsten ausgenutzten Bedrohungsvektoren. Kraftwerke, Wasseraufbereitungsanlagen, Ölraffinerien, Produktionshallen und chemische Verarbeitungsbetriebe teilen alle eine gemeinsame Schwachstelle: den physischen USB-Anschluss.

Dieser Blog untersucht die Anatomie des Stuxnet-Angriffs, die anhaltende Gefahr von Wechselmedien in OT- und ICS-Umgebungen sowie die praktischen Schritte, die Unternehmen unternehmen müssen, um eine robuste USB-Gerätekontrollrichtlinie zu etablieren, die den nächsten Vorfall verhindert, bevor er beginnt.

Der Stuxnet-Angriff: Was damals tatsächlich geschah

1.1 Wie ein USB-Laufwerk eine Nuklearanlage infiltrierte

Natanz galt als eine der sichersten Industrieanlagen der Welt. Die Steuerungssysteme waren bewusst vom Internet getrennt – eine Schutzstrategie, die als Air-Gapping bezeichnet wird. Die Sicherheitsplaner gingen davon aus, dass die Systeme ohne Netzwerkanbindung nicht aus der Ferne kompromittiert werden könnten.

Sie haben sich geirrt.

Die Angreifer nutzten eine mehrstufige Infiltrationsstrategie. Infizierte USB-Laufwerke wurden in die Lieferkette und in Partnernetzwerke eingeschleust. Als ein Insider – ob willentlich oder nicht – eines dieser Geräte mit einer Workstation innerhalb der Anlage verband, aktivierte sich Stuxnet geräuschlos. Es nutzte gleichzeitig vier zuvor unbekannte Windows-Schwachstellen aus – eine Fähigkeit, die zuvor noch nie beobachtet worden war.

Einmal im System, verhielt sich Stuxnet bemerkenswert zurückhaltend. Es brachte keine Systeme zum Absturz und nahm keine offensichtlichen Änderungen vor. Stattdessen kommunizierte es mit der Siemens STEP 7-Software zur Steuerung von speicherprogrammierbaren Steuerungen (SPS / PLC) und begann, manipulierte Befehle an die Zentrifugenmotoren zu senden. Dies führte dazu, dass diese sich mit fehlerhaften Geschwindigkeiten drehten, während den Systemmonitoren gleichzeitig normale Betriebsdaten gemeldet wurden.

Die Bediener sahen auf ihren Bildschirmen grüne Anzeigen, während sich die Zentrifugen physisch selbst zerstörten. Bis der Schaden erkannt wurde, war fast ein Fünftel der iranischen Anreicherungskapazität vernichtet.

1.2 Warum Air Gaps nicht ausreichen

Der Stuxnet-Angriff hat den Mythos, dass physisch isolierte Netzwerke (Air Gaps) unangreifbar sind, endgültig widerlegt. In heutigen Industrieumgebungen sind echte Air Gaps immer seltener anzutreffen. Wartungstechniker nutzen Laptops und USB-Laufwerke zur Übertragung von Diagnosedaten. Software-Updates werden über Wechselmedien eingespielt. Drittanbieter schließen eigene Geräte zur Kalibrierung an. Jeder dieser Berührungspunkte stellt einen potenziellen Einfallsweg für Schadcode dar.

Selbst Unternehmen, die strenge Air-Gap-Richtlinien einhalten, stehen vor einer fundamentalen Herausforderung: dem Faktor Mensch. Menschliche Prozesse erzwingen Ausnahmen. Ein Dienstleister nutzt seinen eigenen Laptop. Ein Ingenieur nimmt Daten mit nach Hause. Ein Techniker leiht sich das USB-Laufwerk eines Kollegen. Diese Momente der betrieblichen Bequemlichkeit sind genau die Gelegenheiten, die Angreifer ausnutzen.

Tabelle 1: Technische Kernfakten des Stuxnet-Angriffs

 Bedrohungen durch Wechselmedien in den Jahren 2024–2025: Die Gefahr hat sich weiterentwickelt, ist aber nicht verschwunden

Manchmal betrachten Unternehmen Stuxnet eher als historische Fallstudie denn als aktuelle Warnung. Diese Perspektive ist gefährlich. In den Jahren seit Stuxnet haben sich Angriffe auf industrielle Infrastrukturen via Wechseldatenträger vervielfacht, sind komplexer geworden und haben sich über weitere Sektoren ausgebreitet.

2.1 Reale Vorfälle nach Stuxnet

Der TRITON/TRISIS-Angriff im Jahr 2017 zielte auf sicherheitsgerichtete Systeme (Safety Instrumented Systems, SIS) einer petrochemischen Anlage im Nahen Osten ab. Obwohl der Angriff netzwerkbasiert war, erfolgte der Erstzugriff über Engineering-Workstations, auf die Techniker regelmäßig mittels Wechselmedien zugriffen, um Firmware-Updates durchzuführen. Die potenzielle Folge wäre eine katastrophale Explosion aufgrund deaktivierter Sicherheitsabschaltungen gewesen.

Im Jahr 2020 wurde die Malware-Variante Industroyer2, die derselben Bedrohungsgruppe zugeordnet wird, die 2016 die ukrainische Strominfrastruktur angriff, speziell dafür entwickelt, sich über USB-Laufwerke in OT-Netzwerken zu verbreiten. Der ukrainische Energiesektor war seither mit mehreren Vorfällen konfrontiert, bei denen Wechselmedien entweder bei der Einschleusung des Angriffs oder bei der lateralen Bewegung eine Rolle spielten.

Im Jahr 2022 veröffentlichte Mandiant Analysen zu INDUSTROYER2 und hob dabei insbesondere dessen Fähigkeit hervor, sich über Wechselmedien zu verbreiten und auf die Protokolle IEC 104, IEC 101 sowie IEC 61850 abzuzielen, die in der europäischen und nordamerikanischen Stromnetzsteuerung verwendet werden.

Ein Bedrohungsbericht einer namhaften OT-Sicherheitsforschungsgruppe aus dem Jahr 2023 ergab, dass Wechselmedien bei 52 % aller analysierten ICS-Cybersecurity-Vorfälle den initialen Infektionsvektor darstellten. Damit übertrafen sie Phishing und netzwerkbasierte Angriffe als primären Einstiegspunkt in OT-Umgebungen deutlich.

2.2 Warum Industrieumgebungen besonders gefährdet sind

Die Struktur industrieller Prozesse schafft Bedingungen, unter denen Bedrohungen durch Wechselmedien besonders folgenschwer sind:

• Legacy-Systeme mit Windows XP oder Windows 7 sind im Werksumfeld nach wie vor weit verbreitet, da die Migration kritischer Systeme betriebliche Risiken birgt. Diese Systeme verfügen über keinen modernen Endpoint-Schutz und erhalten keine Sicherheits-Patches mehr.

• OT- und ICS-Netzwerke wurden auf Zuverlässigkeit und Sicherheit ausgelegt, nicht primär auf Cybersecurity. USB-Anschlüsse sind an PLCs, HMIs, Engineering-Workstations und Archivservern (Historian) oft physisch frei zugänglich.

• Die Betriebskultur in vielen Industrieumgebungen normalisiert die Nutzung von USB-Laufwerken für legitime Arbeitsaufgaben – etwa für Datentransfers, Software-Updates, Lizenzschlüssel und Firmware-Installationen.

• Externe Wartung und Dienstleisterzugriffe finden häufig statt. Partner bringen eigene Geräte mit. Servicetechniker reisen von Standort zu Standort und nutzen dabei oft dieselben USB-Laufwerke an verschiedenen Anlagen.

• Security Operations Center (SOC)-Teams, die für IT-Netzwerke zuständig sind, haben oft nur begrenzte Sichtbarkeit in OT-Umgebungen, wodurch Überwachungslücken auf der physischen Geräteebene entstehen.

Tabelle 2: Bekannte Vorfälle im Zusammenhang mit Wechselmedien in Industrieumgebungen

Was ist eine USB-Gerätekontrollrichtlinie und warum viele Unternehmen sie falsch umsetzen

Eine USB-Gerätekontrollrichtlinie ist ein formales Sicherheitsframework, das regelt, wie Wechselmedien in den IT- und OT-Umgebungen eines Unternehmens verwaltet, autorisiert, überwacht und eingeschränkt werden. Im industriellen Umfeld muss diese Richtlinie über die IT-Ebene hinausgehen und jede Engineering-Workstation, jedes HMI, jeden Archivserver (Historian) und jede PLC-Schnittstelle mit einem USB-Anschluss abdecken.

Viele Unternehmen glauben, dieses Thema bereits im Griff zu haben, weil sie ein Richtliniendokument verfasst haben, das die Nutzung nicht autorisierter USB-Laufwerke verbietet. Das ist jedoch keine wirksame USB-Gerätekontrollrichtlinie. Es ist lediglich eine schriftliche Erklärung ohne technischen Durchsetzungsmechanismus.

Ein echtes USB-Sicherheitsframework für Industrieumgebungen umfasst fünf operative Säulen:

3.1 Device-Whitelisting und Hardware-Authentifizierung

Nicht jeder USB-Anschluss sollte alle Geräte akzeptieren. Eine Gerätekontrollsoftware ermöglicht es Administratoren, ein Inventar freigegebener Hardware zu erstellen. Nur Geräte auf dieser Whitelist, die über eine kryptografische Hardware-ID oder ein digitales Zertifikat identifiziert werden, dürfen eine Verbindung herstellen. Unbekannte Geräte werden automatisch blockiert und der Versuch wird für Sicherheitsprüfungen protokolliert.

Dieser Ansatz eliminiert eines der am weitesten verbreiteten Angriffsszenarien: Ein Angreifer lässt manipulierte USB-Sticks auf einem Parkplatz oder in Gemeinschaftsbereichen fallen und verlässt sich darauf, dass die Neugier der Mitarbeiter den Rest erledigt. Selbst wenn ein Mitarbeiter einen solchen präparierten Datenträger aufhebt und anschließt, verweigert das System die Erkennung.

3.2 USB-Schadsoftwareschutz für SCADA-Systeme

Der USB-Schadsoftwareschutz für SCADA-Systeme muss die spezifischen Einschränkungen der Operational Technology berücksichtigen. Herkömmliche Antiviren-Lösungen lassen sich auf Altsystemen mit älteren Betriebssystemen oft nicht installieren. Zudem verbrauchen sie unter Umständen Ressourcen, die Echtzeit-Steuerungsfunktionen beeinträchtigen könnten.

Speziell entwickelte USB-Scanning-Lösungen lösen dieses Problem durch:

• Offline-Scanning-Kioske an sicheren Kontrollpunkten, an denen USB-Medien gescannt und bereinigt werden, bevor sie für die Nutzung innerhalb der Anlage freigegeben werden.

• Dedizierte USB-Prüfstationen, die Datenträger auf bekannte schädliche Signaturen, Verhaltensmuster und unzulässige Dateitypen prüfen, ohne dass eine Installation auf den Produktivsystemen erforderlich ist.

• Protokollsensitive Analysen, die PLC-Konfigurationsdateien, HMI-Projektdateien und SCADA-Datenbankformate erkennen und Anomalien melden, die generische Antivirenprogramme übersehen würden.

3.3 USB-Sicherheitsrichtlinie für Mitarbeiter und Dienstleister

Das menschliche Verhalten ist das schwächste Glied in jedem Sicherheitskonzept. Eine umfassende USB-Sicherheitsrichtlinie für Mitarbeiter muss in Industrieumgebungen drei unterschiedliche Benutzergruppen adressieren:

3.4 Zentralisierte Überwachung und Audit-Protokollierung

USB-Sicherheit in OT-Umgebungen erfordert kontinuierliche Sichtbarkeit. Jedes Anschließen eines Geräts – ob autorisiert oder blockiert – muss ein Protokollereignis erzeugen, das von der Sicherheitsüberwachungsplattform erfasst wird. Dies erfüllt zwei Zwecke: Es ermöglicht Echtzeit-Warnungen bei verdächtigen Aktivitäten und liefert die forensischen Daten zur Untersuchung und Rekonstruktion von Vorfällen.

Die Audit-Logs sollten mindestens Folgendes erfassen: Hardware-ID des Geräts, Zeitstempel der Verbindung, Kennung der Workstation oder PLC, Benutzerkonto (falls anwendbar), Dateitransferaktivitäten sowie alle ausgelösten Blockierungs- oder Warnereignisse. Diese Daten werden zur Analyse direkt an das Security Operations Center weitergeleitet.

3.5 Physische Schnittstellenkontrolle

In Hochsicherheitsbereichen (Leitstände, Räume für Sicherheitssysteme, Serverbereiche) ist das physische Sperren von Ports eine legitime und hochwirksame Maßnahme. Ungenutzte USB-Anschlüsse können mit physischen Port-Blockern verschlossen werden; der Zugriff auf aktive Anschlüsse kann an physische Schlüssel oder Token-Authentifizierung gekoppelt werden. Diese Ebene greift selbst dann, wenn Software-Ausschlüsse versagen oder umgangen werden.

Aufbau eines effektiven USB-Sicherheitsframeworks für Industrial Control Systems

Die Implementierung von USB-Sicherheit für industrielle Steuerungssysteme ist nicht bloß eine Frage der Softwareverteilung. Sie erfordert ein strukturiertes Vorgehen, das die betriebliche Realität industrieller Umgebungen berücksichtigt, einschließlich der Verfügbarkeitsanforderungen, der Legacy-Infrastruktur sowie der Einbindung interner und externer Stakeholder.

Phase 1: Asset-Erfassung und Risikobeurteilung

Bevor Richtlinien technisch durchgesetzt werden können, benötigen Unternehmen ein lückenloses Inventar aller Geräte in der OT-Umgebung mit USB-Schnittstellen. Dazu gehört die Klärung, an welchen Systemen derzeit offene Ports vorhanden sind, wo kürzlich Geräte angeschlossen wurden und welche Systeme für Dritte zugänglich sind. Diese Erfassungsphase deckt häufig Dutzende vergessener Schwachstellen auf, die nie Teil von Sicherheitsprüfungen waren.

Phase 2: Richtlinienentwicklung und rollenbasierte Kontrollen

USB-Richtlinien dürfen keine Standardlösung von der Stange sein. Ein Prozessingenieur, der PLCs wartet, hat andere Zugriffsanforderungen als ein HMI-Bediener im laufenden Betrieb. Rollenbasierte Zugriffskontrollen definieren, welche Benutzertypen welche Gerätetypen auf welchen Systemen nutzen dürfen, inklusive entsprechender Genehmigungsprozesse für Ausnahmen.

Phase 3: Technologie-Einführung

Die Auswahl der Technologie muss sich an den Rahmenbedingungen der OT-Umgebung orientieren. Zu den wichtigsten Kriterien zählen:

• Kompatibilität mit älteren Betriebssystemen und herstellerspezifischer SCADA-Software.

• Laufzeitverhalten mit minimaler Latenz, um Echtzeit-Steuerungsprozesse nicht zu beeinträchtigen.

• Zentralisierte Verwaltungskonsole zur standortübergreifenden Überwachung in verteilten Unternehmen.

• Anbindungsmöglichkeiten an bestehende SIEM-Plattformen (Security Information and Event Management).

• Unterstützung für den Einsatz von Offline-Scan-Kiosken an den Zugängen der Betriebsstätten.

Phase 4: Schulung und Sensibilisierung der Mitarbeiter

Selbst das technisch ausgereifteste USB-Sicherheitsframework wird ohne diszipliniertes Verhalten der Mitarbeiter scheitern. Schulungsprogramme im OT-Umfeld müssen über allgemeine Security-Awareness hinausgehen und konkrete Praxisszenarien behandeln: Wie reagiert man auf einen Dienstleister, der auf der Nutzung des eigenen USB-Sticks beharrt? Was ist zu tun, wenn ein Scan-Alarm anschlägt? Wie meldet man den Verdacht auf manipulierte Medien und welche geschäftlichen Konsequenzen drohen bei Verstößen gegen die Richtlinie?

Phase 5: Kontinuierliche Überprüfung und Incident Response

USB-Gerätekontrollrichtlinien müssen regelmäßig auditiert werden – auch durch simulierte Angriffe mit Testgeräten, um Erkennungs- und Reaktionsfähigkeiten zu verifizieren. Incident-Response-Pläne müssen spezifische Playbooks für Vorfälle mit Wechselmedien enthalten, die Eingrenzung, forensische Sicherung, Systemisolierung und auf OT-Umgebungen abgestimmte Wiederherstellungsprozesse regeln, da Systemabschaltungen dort direkte Auswirkungen auf Betrieb und Sicherheit haben.

Häufige Lücken in industriellen USB-Sicherheitsprogrammen

Basierend auf Audits in verschiedenen Industriesektoren treten die folgenden Sicherheitslücken immer wieder bei Unternehmen auf, die sich eigentlich für ausreichend geschützt hielten:

Tabelle 3: Typische Schwachstellen der USB-Sicherheit im industriellen Umfeld

Wie Shieldworkz Industrieunternehmen bei der USB- und Wechselmediensicherheit unterstützt

Shieldworkz arbeitet eng mit OT-Sicherheitsverantwortlichen, Werksleitern, CISOs und ICS-Ingenieuren in Betrieben der Kritischen Infrastrukturen (KRITIS) zusammen. Wir konzipieren, etablieren und optimieren USB-Sicherheitsprogramme, die auf die harten Realitäten des industriellen Betriebs zugeschnitten sind – statt lediglich unpassende IT-Konzepte überzustülpen.

• OT-spezifische USB-Risikoanalyse – Wir führen eine detaillierte Überprüfung Ihrer Industrieumgebung durch, identifizieren alle Systeme mit USB-Schnittstellen, analysieren bestehende Nutzungsmuster und bewerten die Risiken an der Schnittstelle zwischen IT und OT.

• Entwicklung von USB-Gerätekontrollrichtlinien – Unsere Experten entwickeln maßgeschneiderte USB-Sicherheitskonzepte, die den Standards IEC 62443, NIST SP 800-82, den Anforderungen des BSI (BSI-IT-Grundschutz) sowie KRITIS-Vorgaben entsprechen. Dies umfasst Richtlinien für eigene Mitarbeiter, Dienstleister und Instandhaltungsteams.

• USB-Schadsoftwareschutz für SCADA-Systeme – Wir implementieren Scan-Kioske, Richtlinien zur Endgerätekontrolle und protokollsensitive Prüfwerkzeuge, die speziell für den Einsatz in OT-Umgebungen ausgelegt sind, ohne die Anlagenverfügbarkeit oder die Echtzeitsteuerung zu beeinträchtigen.

• Einbindung von Legacy-Systemen – Shieldworkz erweitert die USB-Sicherheitskontrollen auf ältere Betriebssysteme und proprietäre Plattformen, die von Standard-IT-Sicherheitswerkzeugen nicht unterstützt werden, um Sicherheitslücken in der OT-Umgebung konsistent zu schließen.

• Zentralisiertes Monitoring und SOC-Integration – Wir integrieren die Protokollierung von USB-Geräteaktivitäten in Ihre bestehenden Sicherheitsüberwachungssysteme, damit Ihr Security Operations Center Bedrohungen durch Wechselmedien in Echtzeit erkennen, analysieren und abwehren kann.

• Abstimmung mit der physischen Sicherheit – Unser Team arbeitet eng mit Ihren Verantwortlichen für die physische Sicherheit zusammen, um Port-Sperren, Zugangskontrollen und zonenbasierte physische Schutzmaßnahmen zu etablieren, die die technischen Schutzvorkehrungen ergänzen.

• Schulungsprogramme für das OT-Personal – Wir bieten praxisnahe USB-Sicherheitsschulungen an, die speziell für Anlagenbediener, Wartungsingenieure, Prozesstechniker und das OT-Management konzipiert sind und die tatsächlichen Herausforderungen Ihrer Teams im Alltag aufgreifen.

• Unterstützung bei der Vorfallsreaktion (Incident Response) – Bei Sicherheitsvorfällen durch Wechselmedien bietet Shieldworkz professionelle OT-Incident-Response-Unterstützung – von der forensischen Analyse über Eindämmungsmaßnahmen bis hin zur Wiederherstellungsplanung unter Berücksichtigung der betrieblichen Kontinuität.

• Regelmäßige Audits und Compliance-Validierung – Wir führen wiederkehrende USB-Sicherheitstests, Richtlinienprüfungen und Wirksamkeitskontrollen durch, um sicherzustellen, dass Ihr Schutzniveau auch bei sich verändernden Bedrohungslagen und Betriebsanforderungen stabil bleibt.

Der USB-Anschluss ist kein kleines Risiko

Stuxnet hat gezeigt, dass ein einziges USB-Laufwerk zur richtigen Zeit in den Händen der richtigen Personen das strategische Programm eines Nationalstaates um Jahre zurückwerfen kann – ohne dass ein einziger Schuss fällt. Die eingeschleuste Schadsoftware war hochkomplex, der Übertragungsweg jedoch denkbar einfach: Ein Flash-Speicher, eine menschliche Entscheidung, diesen anzuschließen, und ein kurzes Zeitfenster der Gelegenheit.

Dieses Zeitfenster steht in Industrieanlagen weltweit nach wie vor offen. Nicht etwa, weil Unternehmen die Sicherheit vernachlässigen, sondern weil USB-Sicherheit im OT-Umfeld ein Maß an Spezialisierung, Prozessverständnis und technischer Präzision erfordert, das allgemeine IT-Sicherheitskonzepte schlichtweg nicht leisten können.

Unternehmen, die sich wirksam gegen Bedrohungen durch Wechselmedien schützen, haben eine Gemeinsamkeit: Sie behandeln USB-Sicherheit als betriebliche Disziplin und nicht als formalen Haken auf einer Checkliste. Sie haben in Scan-Infrastrukturen, Gerätekontrolltechnologien, rollenbasierte Richtlinien und Mitarbeiterschulungen investiert. Sie haben diese Schutzmaßnahmen auf ihre Altsysteme, ihre externen Partner und ihre entlegensten Anlagenstandorte ausgeweitet.

Stuxnet war nicht der letzte Angriff, der Wechselmedien nutzte – und es wird nicht der letzte gewesen sein. Die entscheidende Frage für jeden OT-Sicherheitsverantwortlichen lautet nicht, ob die Bedrohung real ist, sondern ob Ihre aktuellen Schutzmaßnahmen tatsächlich ausreichen, um sie zu stoppen.

Ist Ihre Industrieumgebung wirklich geschützt?

Die meisten Unternehmen identifizieren ihre Schwachstellen bei der USB-Sicherheit erst während eines laufenden Vorfalls, nicht davor.

Wenn Sie als OT-Sicherheitsverantwortlicher, Werksleiter, CISO oder ICS-Ingenieur für kritische Infrastrukturen verantwortlich sind, laden wir Sie zu einem direkten Gespräch mit unseren Spezialisten für industrielle Cybersecurity ein. In einer vertraulichen Erstberatung analysieren wir Ihre bestehenden Kontrollen für USB- und Wechselmedien, identifizieren spezifische Lücken in Ihrer Umgebung und zeigen Ihnen unverbindlich konkrete Schritte auf.

Buchen Sie eine kostenfreie Erstberatung mit unseren OT-Sicherheitsexperten

Zusätzliche Ressourcen:

Checkliste zur OT/ICS-Risikoanalyse auf Basis der IEC 62443 hier
OT / ICS Cybersecurity Operational Security Checklist hier
Paket mit Richtlinien-Vorlagen für die OT/ICS-Cybersecurity hier
Leitfäden zur Behebung von Sicherheitsgaps hier