Im Dezember 2023 entdeckte eine Wasseraufbereitungsanlage in den Vereinigten Staaten unbefugte Änderungen an ihren speicherprogrammierbaren Steuerungen (SPS). Diese ließen sich auf ein einziges infiziertes USB-Laufwerk zurückführen, das ein Wartungstechniker an mehreren Standorten verwendet hatte. Kein hochentwickelter Fernzugriff. Kein Zero-Day-Exploit. Lediglich ein USB-Stick von der Größe eines Fingers.

Bevor wir fortfahren, vergessen Sie nicht, unseren früheren Blogbeitrag zum Leitfaden für USB-Gerätekontrollrichtlinien in industriellen Netzwerken hier zu lesen.

Dieser Vorfall ist kein Einzelfall. Nach Untersuchungen von Organisationen für industrielle Cybersicherheit machen über USB übertragene Bedrohungen einen erheblichen Anteil aller Cyberangriffe auf Operational Technology (OT)-Umgebungen aus. Im Gegensatz zu netzwerkbasierten Angriffen umgehen USB-Angriffe Firewalls, demilitarisierte Zonen (DMZ) und Intrusion-Detection-Systeme vollständig.

Für Betreiber von industriellen Steuerungssystemen (ICS), Prozessleitsystemen (DCS), SCADA-Plattformen und kritischen Infrastrukturen (KRITIS) ist USB-Sicherheit kein peripheres IT-Thema mehr, sondern ein operatives Risiko an vorderster Front. Dieser Leitfaden beschreibt die realen Bedrohungen, praktischen Sicherheitskontrollen und Durchsetzungsstrategien, die jeder OT-Sicherheitsverantwortliche und Werksleiter verstehen muss.

Warum USB-Geräte die Achillesferse der industriellen Cybersicherheit bleiben

Industrielle Umgebungen weisen einzigartige Merkmale auf, die USB-Bedrohungen besonders gefährlich machen. Viele OT-Systeme laufen auf Legacy-Betriebssystemen, die seit Jahren, manchmal Jahrzehnten, nicht mehr gepatcht wurden. Sie sind konstruktionsbedingt physisch von den Unternehmensnetzwerken getrennt (Air-Gap). Dies führt zu einem Paradoxon: Gerade die Isolation, die sie schützen soll, macht Wechselmedien zum primären Kanal für Datentransfer, Software-Updates und Wartungsarbeiten.

Das Ergebnis ist vorhersehbar. Techniker, Dienstleister und Hersteller schließen routinemäßig USB-Laufwerke an, um Firmware aufzuspielen, Historian-Daten zu übertragen, herstellerspezifische Software zu installieren oder schlicht Dateien auszutauschen. Jedes Einstecken stellt einen potenziellen Angriffsvektor dar.

Das Ausmaß des Problems: Branchendaten

Reale Vorfälle, die die USB-Sicherheit für die OT neu definiert haben

Stuxnet: Der Vorfall, der alles veränderte

Das meistzitierte Beispiel bleibt Stuxnet – die hochkomplexe Schadsoftware, die sich über infizierte USB-Laufwerke in der Urananreicherungsanlage in Natanz (Iran) verbreitete. Sie beschädigte Zentrifugen physisch, während sie den Bedienern normale Betriebswerte vorspiegelte. Bahnbrechend an Stuxnet war nicht nur seine Komplexität, sondern der Verbreitungsweg: Ein Wechselmedium, das in ein vollständig isoliertes Netz eingebracht wurde. Fünfzehn Jahre später wird das damals etablierte Angriffsmuster von Akteuren weltweit kopiert, um kritische Infrastrukturen anzugreifen.

Triton/TRISIS: Angriff auf Sicherheitssteuerungen (SIS)

Im Jahr 2017 zielte das Schadprogramm Triton auf sicherheitsgerichtete Steuerungen (Safety Instrumented Systems) in einer petrochemischen Anlage im Nahen Osten ab. Während der Erstzugang über die Kompromittierung des Unternehmensnetzwerks erfolgte, basierten die Persistenz und die Seitwärtsbewegung (Lateral Movement) innerhalb der OT-Umgebung auf Wechselmedien, um die isolierten Sicherheitssteuerungen zu erreichen. Der Vorfall führte beinahe zu einem katastrophalen physischen Versagen, das Menschenleben hätte gefährden können.

Taiwan Semiconductor Manufacturing Company (2018)

TSMC, einer der weltweit größten Halbleiterhersteller, erlitt eine Infektion mit einer WannaCry-Variante, die sich über die Fabrikationsanlagen ausbreitete. Ursprung war eine ungeprüfte Softwareinstallation auf einem mit dem OT-Netzwerk verbundenen Computer. Die Infektion erzwang einen dreitägigen Produktionsstopp; der Schaden wurde auf 250 Millionen US-Dollar geschätzt. Die Ursache: Unzureichende Kontrollen darüber, was von Wechselmedien auf produktionskritischen Systemen installiert werden darf.

Aufklärung des US-Stromnetzes (2022)

Sicherheitsforscher deckten eine Kampagne auf, bei der Angreifer infizierte USB-Geräte als Werbegeschenke getarnt an Mitarbeiter mehrerer Unternehmen des Energiesektors verschickten. Nach dem Einstecken installierten die Laufwerke ein Fernzugriffs-Framework zur Kartierung der OT-Netzwerktopologie. Die Kampagne zielte gezielt auf Energieversorger ab, da USB-basierte Zugänge weitaus schwerer zu erkennen sind als Angriffe über das Netzwerk.

Anatomie eines USB-basierten Angriffs auf industrielle Steuerungssysteme

Das Verständnis darüber, wie USB-basierte Angriffe in Industrieumgebungen ablaufen, hilft Sicherheitsteams bei der Konzeption effektiver Abwehrmechanismen. Diese Angriffe folgen in der Regel einem strukturierten Ablauf:

Phase 1 – Einbringen des Geräts

Ein infiziertes USB-Gerät gelangt in die Betriebsstätte. Dies kann durch einen gutgläubigen Mitarbeiter geschehen, der das Laufwerk an einen externen Computer angeschlossen hatte, durch einen Dienstleister mit eigenem Speichermedium, durch einen Hersteller, der ein kompromittiertes Laufwerk über seine Lieferkette erhielt, oder durch eine Social-Engineering-Kampagne.

Phase 2 – Autostart oder manuelle Ausführung

Legacy-Systeme in vielen OT-Umgebungen unterstützen nach wie vor die Autostart-Funktion, wodurch Schadcode sofort beim Einstecken des Laufwerks ausgeführt werden kann. Bei gehärteten Systemen ist unter Umständen eine Benutzeraktion erforderlich; Social-Engineering-Methoden, wie die Tarnung von ausführbaren Dateien als Firmware-Updates oder Konfigurationsdateien, erweisen sich hierbei als äußerst effektiv.

Phase 3 – Kompromittierung des Hosts und Seitwärtsbewegung

Nach der Ausführung nistet sich die Schadsoftware in der Regel dauerhaft auf der Engineering-Workstation oder dem HMI ein und versucht anschließend, PLCs, RTUs oder andere Feldbusgeräte über legitime Kommunikationsprotokolle zu erreichen. Da OT-Protokolle wie Modbus, DNP3 und EtherNet/IP auf Zuverlässigkeit und nicht auf Sicherheit ausgelegt wurden, kann die Schadsoftware Befehle absetzen, die sich für Schutzsysteme nicht von legitimen Bedieneraktionen unterscheiden lassen.

Phase 4 – Ausführung der Payload

Je nach Intention des Angreifers kann die Payload sofort ausgeführt werden oder monatelang inaktiv auf einen Trigger warten. Die Bandbreite reicht von Ransomware, die auf Historian-Server abzielt, bis hin zu Logikbomben, die dazu bestimmt sind, die PLC-Anwendungslogik zu einem präzisen Zeitpunkt zu manipulieren, oder persistenten Backdoors für eine langfristige Spionage.

Aufbau einer robusten USB-Gerätekontrollrichtlinie für industrielle Umgebungen

Eine Richtlinie zur USB-Gerätekontrolle (USB Device Control Policy) ist das grundlegende Instrument der Informationssicherheit, das festlegt, welche Geräte unter welchen Bedingungen von wem und unter welchen Sicherheitsanforderungen verwendet werden dürfen. Für Betreiber kritischer Infrastrukturen (KRITIS) und OT-Infrastrukturen muss diese Richtlinie sowohl die IT-Aspekte des Wechselmedien-Managements als auch die besonderen Rahmenbedingungen der OT berücksichtigen – wo Patch-Zyklen in Jahren gemessen werden und Ausfallzeiten die Betriebssicherheit gefährden.

Kernelemente einer effektiven USB-Sicherheitsrichtlinie

Sicherheitsrichtlinien für USB-Geräte: Was Industrieunternehmen durchsetzen müssen

Eine Richtlinie, die nur auf dem Papier existiert, bietet keinen Schutz. Eine effektive USB-Sicherheit in industriellen Umgebungen erfordert Durchsetzungsmedien, die sich in den Betriebsalltag integrieren lassen. Sie dürfen keine Hürden aufbauen, die Mitarbeiter dazu verleiten, die Sicherheitsmaßnahmen zu umgehen – was an sich ein erhebliches Risiko darstellt.

Praktische Durchsetzungsprinzipien

Niemals private USB-Geräte an OT-Systemen verwenden. Sämtliche Wechselmedien müssen vom Unternehmen ausgegeben, registriert und hardwareseitig verschlüsselt sein. Dies gilt gleichermaßen für Servicetechniker, Leitwartenpersonal und externe Dienstleister.

Das Scannen vor dem Einstecken ist nicht verhandelbar. Jedes USB-Gerät muss vor der Verwendung an industriellen Anlagen eine zugelassene Prüfstation (USB-Kiosk) durchlaufen. Diese Prüfstation muss als autarkes System ohne Verbindung zum Produktionsnetzwerk betrieben werden und über Sicherheitssoftware mit OT-spezifischen Bedrohungsinformationen verfügen.

USB-Ports sollten standardmäßig physisch oder logisch deaktiviert sein. Geben Sie Ports nur bei dokumentiertem betrieblichem Bedarf über einen standardisierten Freigabeprozess (Change Management) inklusive Genehmigung durch den Vorgesetzten und Protokollierung frei.

Schulungen müssen über reine Theorie hinausgehen. Mitarbeiter müssen die spezifischen Angriffsszenarien verstehen, die für ihre jeweilige Rolle relevant sind. Ein Instandhaltungstechniker muss wissen, wie präparierte Hardware aussieht und wie beim Auffinden eines unmarkierten USB-Sticks zu verfahren ist.

Geräte von Herstellern und Dienstleistern erfordern eine unabhängige Verifizierung. Gehen Sie niemals davon aus, dass ein Gerät eines externen Partners virenfrei ist. Verlangen Sie eine Registrierung und Prüfung der Medien vor dem Eintreffen und verifizieren Sie die Einhaltung vor Ort, bevor ein Gerät mit einem Produktionssystem in Berührung kommt.

USB-Gerätekontrollsoftware: Technische Durchsetzung für OT-Umgebungen

Richtlinien ohne technische Durchsetzung sind unzureichend. Eine professionelle Software zur USB-Gerätekontrolle bietet die automatisierte Durchsetzungsebene in Echtzeit, die aus theoretischen Vorgaben gelebte Praxis macht. Für OT-Umgebungen gehen die Anforderungen weit über das hinaus, was Standard-IT-Endpunktsicherheitslösungen bieten.

Kritische Anforderungen an OT-taugliche USB-Kontrollsysteme

Die Möglichkeit, nur vorab registrierte Geräte anhand von Vendor-ID, Product-ID und Seriennummer freizugeben – nicht nur anhand der Geräteklasse. Dies verhindert, dass manipulierte Hardware-Komponenten zugelassene Geräteklassen imitieren und so Sicherheitskontrollen umgehen können. Geräte-Allowlisting basierend auf Hardware-Identität:

Viele OT-Systeme verfügen über keine permanente Netzwerkverbindung zu zentralen Managementsystemen. Eine USB-Gerätekontrollsoftware für Industrieumgebungen muss Richtlinien lokal und autark durchsetzen können, auch wenn keine Verbindung zur Management-Konsole besteht. Offline-Durchsetzung von Richtlinien:

In Bereichen, in denen Daten nur gelesen, aber niemals auf das Medium geschrieben werden dürfen, verhindert die Durchsetzung eines Schreibschutzes (Read-Only) den unbefugten Datenabfluss, während der Datenimport weiterhin möglich bleibt. Durchsetzung von Schreibschutz:

Die automatische Erstellung von Schattenkopien und die Protokollierung von Dateitransfers ermöglichen im Ernstfall eine lückenlose forensische Untersuchung, ohne dass eine kontinuierliche Echtzeit-Überwachung aller Endpunkte erforderlich ist. Schattenkopien und Dateiprotokollierung:

Die Gerätekontrollsoftware sollte an das OT-Asset-Management angebunden sein, um sicherzustellen, dass nur autorisierte USB-Geräte mit spezifischen Anlagen verbunden werden können – und nicht mit beliebigen Systemen im Netz. Integration in das Asset-Management:

Ein erheblicher Teil der OT-Infrastruktur läuft auf älteren Plattformen wie Windows XP, Windows 7 oder proprietären Echtzeitbetriebssystemen (RTOS). Die Sicherheitssoftware muss diese Altsysteme unterstützen, was herkömmliche IT-Werkzeuge oft nicht leisten. Unterstützung von Legacy-Systemen:

Systeme der Prozess- und Fertigungssteuerung vertragen keine hohe CPU- oder Speicherauslastung durch Sicherheits-Agents. Lösungen für die OT müssen extrem ressourcenschonend sein und dürfen den Echtzeitbetrieb der Anlagen unter keinen Umständen beeinträchtigen. Minimale Auswirkungen auf die Systemleistung:

Die Rolle von USB-Prüfstationen (Kiosken) beim Schutz von ICS und SCADA

Eine der effektivsten physischen Sicherheitskontrollen zur Abwehr von USB-Schadsoftware für SCADA-Systeme ist die dedizierte Prüfstation (Scanning Kiosk) – ein gehärtetes, autarkes System am Zugang zur OT-Zone, das als obligatorische Schleuse für sämtliche Wechselmedien dient.

Funktionsweise einer Prüfstation in der Praxis

Ein Techniker, der für ein Firmware-Update ein USB-Medium in die Anlage einbringen muss, führt dieses vor dem Betreten des Produktionsbereichs an der Prüfstation ein. Die Prüfstation scannt das Laufwerk mit mehreren Antiviren-Engines, gleicht die Hardware-Identität mit der Allowlist ab, protokolliert das Ergebnis und gibt das Medium entweder zeitlich begrenzt frei oder verschiebt es in die Quarantäne. Dieser Prozess dauert weniger als zwei Minuten und erzeugt einen revisionssicheren Audit-Trail.

Fortgeschrittene Implementierungen koppeln die Freigabe an physikalische Zutrittskontrollsysteme: Ein Medium, das die Prüfung nicht bestanden hat, kann nicht verwendet werden, da die USB-Ports an der Anlage physisch gesperrt bleiben, bis eine valide Freigabe erfolgt. Dies schließt die Lücke zwischen organisatorischen Vorgaben und der physischen Realität.

Anforderungen an Prüfstationen in OT-Umgebungen

Regulatorische Treiber: Was Normen und Standards für Wechselmedien fordern

Die USB-Gerätekontrolle ist nicht nur eine bewährte Sicherheitsmaßnahme, sondern eine zwingende Compliance-Anforderung unter verschiedenen regulatorischen Rahmenwerken für kritische Infrastrukturen (KRITIS) und industrielle Betriebe. Die Berücksichtigung dieser Vorgaben stellt sicher, dass etablierte Richtlinien mehreren Audit-Praktiken gleichzeitig genügen.

Best Practices: Ein mehrschichtiges Konzept zur Abwehr von USB-Schadsoftware

Die widerstandsfähigsten USB-Sicherheitsprogramme im industriellen Bereich basieren auf dem Prinzip der Tiefenverteidigung (Defense-in-Depth) – also mehreren, sich überschneidenden Sicherheitskontrollen, die auch dann Schutz bieten, wenn eine einzelne Maßnahme versagt. Folgendes Schichtenmodell dient hierzu als bewährte Grundlage:

Ebene 1 – Dokumentenlenkung und Richtlinien (Governance)

• Etablieren Sie eine formelle USB-Sicherheitsrichtlinie, die alle Mitarbeiter, Dienstleister und Hersteller mit OT-Zugang verpflichtet.

• Definieren Sie einen klaren Prozess zur Registrierung und Freigabe aller Wechselmedien für OT-Systeme.

• Integrieren Sie USB-Sicherheitsanforderungen inklusive Audit-Rechten in alle Verträge mit Herstellern und Dienstleistern.

Ebene 2 – Physische Sicherheitskontrollen

• Setzen Sie physische USB-Port-Blocker auf Systemen ein, an denen Wechselmedien betrieblich niemals benötigt werden.

• Installieren Sie Prüfstationen an allen Zugängen zu den OT-Zonen, idealerweise gekoppelt an physische Zutrittskontrollen.

• Verwenden Sie manipulationssichere Siegel (Security Seals) an USB-Schnittstellen, die ungenutzt bleiben sollen.

Ebene 3 – Technische Durchsetzung

• Implementieren Sie eine USB-Gerätekontrollsoftware, die ein hardware-basiertes Allowlisting auf allen OT-Endpunkten erzwingt.

• Erzwingen Sie einen Schreibschutz (Read-Only) dort, wo keine Schreibrechte für den Betrieb erforderlich sind.

• Aktivieren Sie die Schattenkopie-Protokollierung für alle Datentransfers von und auf Wechselmedien.

• Integrieren Sie USB-Aktivitätsprotokolle in das OT Security Operations Center (SOC) für eine Echtzeit-Alarmierung.

Ebene 4 – Faktor Mensch (Human Factors)

• Führen Sie szenariobasierte Trainings durch, die realistische USB-Angriffe simulieren.

• Etablieren Sie einen klaren Meldeprozess für gefundene oder verdächtige Speichergeräte.

• Fördern Sie eine sanktionsfreie Meldekultur, um sicherzustellen, dass Mitarbeiter Vorfälle ohne Angst vor Konsequenzen melden.

Ebene 5 – Erkennung und Reaktion (Detection & Response)

• Überwachen Sie USB-Aktivitätsprotokolle auf untypische Muster, hohe Transfervolumina, ungewöhnliche Uhrzeiten oder unregistrierte Geräte.

• Integrieren Sie USB-spezifische Vorfälle in Ihre Krisenstabsübungen (Tabletop Exercises) und Notfallpläne.

• Etablieren Sie dokumentierte Prozesse zur Isolation und forensischen Analyse potenziell infizierter Systeme.

Wie Shieldworkz Sie bei der Absicherung industrieller USB-Umgebungen unterstützt

Shieldworkz bringt tiefgreifende OT-Expertise in die Absicherung von USB-Schnittstellen ein. Wir verstehen nicht nur die Technologie, sondern vor allem die betrieblichen Realitäten, an denen Standard-IT-Ansätze in der Praxis scheitern. Unsere Lösungen sind auf den tatsächlichen Betrieb in der Anlage ausgelegt, nicht nur auf die Theorie in Compliance-Dokumenten.

• Wir führen umfassende Analysen Ihrer aktuellen USB-Nutzungsmuster, offenen Ports und Richtlinienlücken in Ihrer gesamten OT-Landschaft durch und identifizieren die für Ihren Betrieb kritischsten Risiken. OT-spezifische USB-Risikoanalyse:

• Unser Team entwirft und dokumentiert eine USB-Sicherheitsrichtlinie für Mitarbeiter und Dienstleister, die praxistauglich und durchsetzbar ist sowie den gängigen regulatorischen Vorgaben Ihrer Branche entspricht. Entwicklung von USB-Gerätekontrollrichtlinien:

• Wir evaluieren, wählen und implementieren USB-Gerätekontrollsoftware, die den spezifischen Anforderungen Ihrer OT-Umgebung gerecht wird, inklusive der Unterstützung von Legacy-Systemen und der Offline-Durchsetzung. Auswahl und Implementierung von USB-Gerätekontrollsoftware:

• Wir konzipieren und installieren dedizierte USB-Prüfstationen an den Übergängen zu Ihren OT-Zonen – inklusive OT-spezifischer Bedrohungsinformationen und Anbindung an bestehende Zutrittssysteme. Implementierung von USB-Prüfstationen (Kiosken):

• Wir gleichen Ihre USB-Sicherheitsmaßnahmen mit Standards wie IEC 62443, NIST SP 800-82 und branchenspezifischen Vorgaben ab, um Ihre Audit-Fähigkeit sicherzustellen und echten Schutz zu realisieren. Abgleich mit regulatorischen Anforderungen (Compliance):

• Wir entwickeln maßgeschneiderte, szenariobasierte Trainingsprogramme für die verschiedenen Rollen in Ihrer OT-Belegschaft – vom Leitwartenfahrer bis zum Servicetechniker. Mitarbeiterschulungsprogramme:

• Shieldworkz bietet eine kontinuierliche Überwachung der USB-Aktivitäten in Ihrer OT-Umgebung, gestützt durch aktuelle Bedrohungsinformationen zu spezifischen Schadsoftware-Kampagnen gegen industrielle Steuerungssysteme. Kontinuierliche Überwachung und Threat Intelligence:

• Im Falle eines vermuteten USB-Sicherheitsvorfalls unterstützt unser OT-Incident-Response-Team Sie bei der sicheren Eindämmung und Wiederherstellung, um die Betriebskontinuitat zu wahren und die Bedrohung zu eliminieren. Incident Response bei USB-basierten Bedrohungen:

Fazit: Die Kosten des Zögerns bemessen sich in Betriebsstillständen

Ein Angriff, der über ein USB-Laufwerk erfolgt, verursacht auf der Angreiferseite kaum Kosten, kann jedoch Schäden in Millionenhöhe nach sich ziehen. Für Industrieunternehmen reichen die Konsequenzen weit über finanzielle Verluste hinaus und umfassen Produktionsausfälle, Sicherheitsrisiken für Mensch und Umwelt, behördliche Strafen und langfristige Reputationsverluste.

Ein ausgereiftes USB-Sicherheitsprogramm – basierend auf einer klaren Richtlinie, technischer Durchsetzung, Mitarbeiterschulungen und kontinuierlicher Überwachung – schließt eines der am häufigsten ausgenutzten Einfallstore in der OT-Sicherheit. Es ist vielleicht nicht die prestigeträchtigste Investition in Ihrem Budget, aber nachweislich eine mit der höchsten Risikominderung.

Unternehmen, die von schwerwiegenden USB-Sicherheitsvorfällen betroffen waren, mangelte es meist nicht an Ressourcen oder moderner Technologie. Viele hatten erhebliche Summen in Netzwerchsicherheit investiert. Was jedoch ausgenutzt wurde, war die Lücke zwischen der IT-Sicherheitskonzeption und der realen USB-Nutzung direkt an den Anlagen.

Das Schließen dieser Lücke ist der Kernbereich von Shieldworkz – wir verbinden organisatorische Vorgaben mit technischer Durchsetzung, schärfen das Bewusstsein für sicheres Verhalten und vereinen theoretische Best Practices mit den harten Betriebsanforderungen kritischer Infrastrukturen.

Buchen Sie eine kostenfreie Erstberatung mit unseren Experten

Ist Ihre OT-Umgebung wirksam gegen Bedrohungen über USB-Schnittstellen geschützt? Unsere Spezialisten für industrielle Cybersicherheit bieten Ihnen eine unverbindliche Analyse Ihrer aktuellen Sicherheitslage, identifizieren Schwachstellen und zeigen Ihnen einen pragmatischen Weg zu einem höheren Schutzniveau auf – ohne Ihren laufenden Betrieb zu stören.

Zusätzliche Ressourcen:

Checkliste zur OT/ICS-Risikoanalyse nach IEC 62443 hier
Operational Security Checklist für OT / ICS Cybersecurity hier
Vorlagen-Paket für OT/ICS-Cybersicherheitsrichtlinien hier
Leitfäden zur Behebung von Sicherheitsrisiken hier