Das Konzept des "Air Gaps" (der physischen Netztrennung) gilt seit langem als grundlegende Säule der industriellen Cybersicherheit. Jahrelang glaubten Betriebsleiter und OT-Ingenieure, dass die physische Isolierung kritischer Infrastrukturen vom IT-Unternehmensnetzwerk und dem öffentlichen Internet ausreiche, um Angreifer abzuwehren. Diese Isolierung schuf jedoch einen gefährlichen blinden Fleck: die Abhängigkeit von physischen Datenträgern. 

Heute sind Wechselmedien das Trojanische Pferd des industriellen Sektors. Von Firmware-Updates und Diagnoseprotokollen bis hin zu routinemäßigen Wartungs-Patches – USB-Schnittstellen überschreiten jeden Tag die physischen Grenzen der Air-Gap-Netzwerksicherheit. 

Für cyber-physische Systeme ist ein kompromittiertes USB-Gerät nicht nur ein IT-Ärgernis; es stellt eine direkte Bedrohung für die operative Resilienz dar. Advanced Persistent Threats (APTs) nutzen diesen Vektor kontinuierlich aus, um in ansonsten isolierte Netzwerke einzudringen, was zu verheerenden Ausfallzeiten, Sachschäden und schweren Sicherheitsrisiken führt. 

In diesem Blogbeitrag analysieren wir die Funktionsweise von Bedrohungen durch USB-Geräte und liefern Ihnen direkt umsetzbare, schrittweise Strategien zum Schutz vor USB-Malware. Ganz gleich, ob Sie die Einhaltung der NIS-2-Richtlinie, der IEC 62443 oder von NERC CIP anstreben – dieser Beitrag vermittelt Ihnen das praktische Wissen, das Sie zur Absicherung Ihrer SCADA-Systeme benötigen.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag darüber zu lesen, warum traditionelle OT-Risikoanalysen unzureichend sind und wie OThello Assess dies behebt. Klicken Sie hier. 

Warum Wechselmedien die Achillesferse cyber-physischer Systeme sind 

In modernen Industrieumgebungen verschwimmen die Grenzen zwischen physischer und digitaler Welt zusehends. Cyber-physische Systeme steuern den Stromfluss, die Wasseraufbereitung und die Montage komplexer Güter. Die Absicherung dieser Umgebungen erfordert einen Fokuswechsel von traditionellen IT-Abwehrmechanismen hin zu einer robusten operativen Resilienz. 

Trotz massiver Investitionen in die Netzwerksicherheit umgehen USB-Laufwerke diese Barrieren, da sie schlichtweg durch die Eingangstür getragen werden. 

Die anhaltende Bedrohungslage 

Staatlich unterstützte Akteure und hochspezialisierte Cyber-Infiltrations-Gruppen wissen, dass direkte Angriffe auf SCADA-Netzwerk-Einstiegspunkte oft schwierig sind. Stattdessen zielen sie auf die Lieferkette, externe Dienstleister und das Wartungspersonal ab. 

Bedrohungsgruppen wie APT 41 und MuddyWater haben nachweislich immer wieder Wechselmedien genutzt, um Netzwerktrennungen zu überwinden. Sie entwickeln spezialisierte Schadsoftware, die unbemerkt auf dem USB-Stick eines Dienstleisters schlummert und genau auf den Moment wartet, in dem dieser an eine kritische Engineering-Workstation oder ein Human-Machine Interface (HMI) angeschlossen wird. 

Sobald das USB-Gerät verbunden ist, wird die Malware ausgeführt und nistet sich im Industrial Control System (ICS) ein. Von dort aus beginnt die laterale Ausbreitung, die den Kern Ihrer operativen Resilienz bedroht. 

Wie USB-Angriffe in SCADA-Systemen ablaufen 

Um einen effektiven Schutz vor Malware in SCADA-Netzwerken aufzubauen, müssen Sie den Ablauf dieser Angriffe verstehen: 

1. Schadsoftware (Autorun & Ausführung): Obwohl ältere Windows-Systeme auf „Autorun“-Funktionen angewiesen waren, nutzt moderne USB-Malware getarnte ausführbare Dateien. Ein Techniker klickt beispielsweise auf ein scheinbar legitimes Diagnosetool oder eine PDF-Datei, wodurch die Schadsoftware unbemerkt im Hintergrund ausgeführt wird. 

2. HID-Spoofing (BadUSB): Ein USB-Gerät kann so umprogrammiert werden, dass es sich als Human Interface Device (HID), beispielsweise als Tastatur, identifiziert. Nach dem Einstecken injiziert es sofort hunderte von böswilligen Tastaturbefehlen pro Sekunde. Dadurch wird die traditionelle Endpoint-Security für SCADA-Systeme umgangen und Befehle werden ausgeführt, noch bevor der Benutzer den Vorgang bemerkt. 

3. Bootsektor-Viren: Einige USB-basierte Schadprogramme zielen auf den Bootsektor der SCADA-Workstation ab. Sie starten noch vor dem eigentlichen Betriebssystem und bevor die Sicherheitssoftware geladen wird. 

4. Datenabfluss (Data Exfiltration): Nicht alle USB-Bedrohungen schleusen Schadsoftware ein. Einige sind speziell darauf ausgelegt, unbemerkt sensible Konfigurationsdateien, Netzwerkpläne und geistiges Eigentum aus der SCADA-Umgebung auf das Laufwerk zu kopieren. 

Zentrale Strategien zum Schutz vor USB-Malware 

Die Absicherung cyber-physischer Systeme gegen physische Datenträger erfordert ein Defense-in-Depth-Konzept. Sie können sich nicht auf eine einzige Softwarelösung verlassen; erforderlich ist eine Kombination aus organisatorischen Richtlinien, physischen Kontrollen und hochentwickelten technischen Schutzmaßnahmen. 

Hier sind die konkreten Strategien, die Sie implementieren können, um eine umfassende USB-Sicherheit für Ihre Industrial Control Systems zu erreichen. 

1. Durchsetzung einer strikten USB-Gerätekontrolle für SCADA 

Der erste Schritt zum ICS-Malwareschutz besteht darin, die absolute Kontrolle darüber zu übernehmen, welche Hardware eine Verbindung mit Ihren Endpunkten herstellen darf. 

• Schnittstellensperrung implementieren: Blockieren oder deaktivieren Sie ungenutzte USB-Schnittstellen an kritischen Systemen physisch durch Port-Sperren oder Epoxidharz. Wenn eine Schnittstelle für den laufenden Betrieb nicht benötigt wird, darf sie nicht zugänglich sein. 

• Gerätekontrollsoftware einsetzen: Nutzen Sie eine dedizierte Endpoint-Security für SCADA-Systeme, die eine granulare Gerätekontrolle bietet. Sie müssen spezifische, firmeneigene USB-Geräte über deren eindeutige Hardware-IDs (Vendor-ID/Product-ID und Seriennummer) auf eine Whitelist setzen. Jedes nicht autorisierte Laufwerk muss automatisch blockiert werden. 

• Autorun und Autoplay deaktivieren: Stellen Sie über Group Policy Objects (GPOs) auf allen Windows-basierten HMIs und Engineering-Workstations sicher, dass die Funktionen „Autorun“ und „Autoplay“ dauerhaft deaktiviert sind. 

2. Implementierung von USB-Schleusen (Sheep Dips)

Eine hocheffektive Maßnahme für die Sicherheit physisch getrennter Netzwerke (Air Gap) ist die obligatorische Nutzung von USB-Schleusen, oft als „Sheep Dips“ bezeichnet. 

• Physischen Kontrollpunkt einrichten: Platzieren Sie eigenständige, gehärtete Kiosksysteme an den physischen Zugängen Ihrer Anlage oder Ihres Leitstands. 

• Verpflichtendes Scannen: Bevor ein USB-Laufwerk (auch solche von Dienstleistern oder OEMs) an ein SCADA-System angeschlossen werden darf, muss es an der USB-Schleuse überprüft werden. 

• Multi-Engine-Analyse: Das Kiosksystem sollte mehrere unterschiedliche Antiviren- und Anti-Malware-Engines nutzen, um bekannte Signaturen zu erkennen, und gleichzeitig Sandboxing einsetzen, um Zero-Day-Bedrohungen zu identifizieren. 

• Dateiübertragungsprotokolle: Anstatt den physischen USB-Stick in die OT-Umgebung zu lassen, entspricht es dem Stand der Technik (Best Practice), die Dateien auf dem Kiosksystem zu scannen und sie bei Schadfreiheit über eine Datendiode sicher auf einen internen, bereinigten Dateiserver zu übertragen. 

3. Stärkung der Endpoint-Security für SCADA-Systeme 

Ältere SCADA-Systeme laufen häufig auf veralteten Betriebssystemen ohne Support, bei denen herkömmliche IT-Antivirensoftware Systemabstürze oder unakzeptable Latenzen verursachen kann. 

• Anwendungs-Whitelisting: Anstatt zu versuchen, schädliches Verhalten zu erkennen, definieren Sie präzise das legitime Verhalten. Implementieren Sie ein Anwendungs-Whitelisting (oder Allowlisting), sodass nur vorab freigegebene ausführbare Dateien, Skripte und Bibliotheken ausgeführt werden dürfen. Wenn USB-Malware versucht, Schadcode auszuführen, blockiert das System diesen standardmäßig. 

• File Integrity Monitoring (FIM): Setzen Sie FIM ein, um kritische SCADA-Konfigurationsdateien und Systemverzeichnisse zu überwachen. Wenn ein via USB eingeschleustes Skript versucht, diese Dateien zu ändern, wird das Sicherheitsteam sofort alamiert. 

• OT-native Endpoint-Protection: Verwenden Sie Security-Agents, die speziell für cyber-physische Systeme entwickelt wurden. Diese Agents müssen einen minimalen Ressourcenverbrauch aufweisen, um das deterministische Verhalten der ICS-Prozesse nicht zu beeinträchtigen. 

4. Kontinuierliche Netzwerküberwachung und Anomalieerkennung 

Selbst mit strengen Maßnahmen zur USB-Malware-Prävention müssen Sie von einem Zustand der potenziellen Kompromittierung ausgehen, um die operative Resilienz wirklich zu gewährleisten. 

• Netzwerk-Baselining erstellen: Verstehen Sie die normalen Kommunikationsmuster Ihrer SCADA-Umgebung. 

• Deep Packet Inspection (DPI) einsetzen: Überwachen Sie das Netzwerk auf anormales Verhalten, das typischerweise auf eine USB-Infektion folgt – etwa wenn eine Engineering-Workstation plötzlich versucht, mit einer nicht autorisierten PLC zu kommunizieren, oder unerwartete Lese-/Schreibbefehle über das Netzwerk gesendet werden. 

• Schnelle Isolation: Wenn böswillige laterale Bewegungen erkannt werden, muss Ihre Architektur eine schnelle, segmentierte Isolation unterstützen, um die Bedrohung einzudämmen, bevor sie sich auf physische Prozesse auswirkt. 

Ausrichtung der USB-Sicherheit an regulatorischen Standards 

Industrielle Cybersicherheitsstrategien werden zunehmend durch strenge globale Compliance-Vorgaben getrieben. Der Schutz Ihrer cyber-physischen Systeme vor USB-Bedrohungen unterstützt direkt Ihre Compliance-Positionierung. 

Integration der IEC 62443 

Die Norm IEC 62443 legt großen Wert auf den Schutz von Zonengrenzen. Wechselmedien stellen eine physische Verletzung dieser Grenze dar. Durch die Implementierung strenger USB-Gerätekontrollen für SCADA- und USB-Schleusen erfüllen Sie direkt die grundlegenden Anforderungen an den Endpunktschutz und die Zugriffskontrolle im Rahmen der IEC 62443. 

NIS-2-Konformität 

Für Betreiber kritischer Anlagen in Europa schreibt die NIS-2-Richtlinie strenge Risikomanagement-Praktiken vor, insbesondere im Hinblick auf die Sicherheit der Lieferkette und die Vorfallsbehandlung. Da externe Dienstleister und Lieferanten häufig USB-Geräte in die Umgebung einbringen, ist die Etablierung strenger Sicherheits-Szenarien für Wechselmedien eine kritische Komponente der NIS-2-Compliance. 

NERC CIP 

Für den Energiesektor fordern NERC CIP-003 und CIP-010 explizite Kontrollen über temporäre IT-Systeme und Wechselmedien. Die Dokumentation Ihrer USB-Autorisierungsprozesse, die Nutzung von Bereinigungsstationen und der Einsatz von Applikations-Whitelisting sind zwingende Schritte, um empfindliche Strafen zu vermeiden und die Resilienz des Stromnetzes zu gewährleisten. 

Praktische Referenzleitfäden 

Um Ihren OT-Sicherheitsteams die Umsetzung dieser Konzepte in die Praxis zu erleichtern, haben wir Checklisten und Referenztabellen zusammengestellt. 

Häufige USB-Angriffsvektoren & Abwehrtaktiken 

Tägliche SCADA-USB-Hygiene 

Betriebsleiter und OT-Ingenieure sollten diese Checkliste in ihre täglichen Routinen zur operativen Resilienz integrieren. 

• Physische Sperren überprüfen: Stellen Sie sicher, dass alle physischen USB-Schnittstellensperren an kritischen PLCs, RTUs und HMIs intakt und unbeschädigt sind. 

• Nutzung der USB-Schleuse durchsetzen: Verifizieren Sie, dass alle externen Dienstleister ihre Firmware-Updates und Dateien über die dafür vorgesehene USB-Schleuse geleitet haben. 

• Zugriffsprotokolle prüfen: Überprüfen Sie die Protokolle der Endpoint-Security, um sicherzustellen, dass während der vorherigen Schicht keine unbefugten USB-Geräte angeschlossen wurden. 

• Allowlists aktualisieren: Vergewissern Sie sich, dass neu beschaffte, firmeneigene verschlüsselte USB-Laufwerke ordnungsgemäß in die zentrale Hardware-ID-Allowlist eingepflegt wurden. 

• Signaturen der USB-Schleuse prüfen: Stellen Sie sicher, dass die Antiviren-Definitionen auf den isolierten USB-Schleusen aktuell sind (über sichere, manuelle Updates oder verwaltete Datendioden). 

Incident Response bei Wechselmedien 

Wenn ein nicht autorisiertes USB-Laufwerk erkannt wird oder der Verdacht auf eine USB-basierte Infektion mit Schadsoftware besteht, ergreifen Sie sofort folgende Maßnahmen:

• Endpunkt isolieren: Trennen Sie die betroffene Engineering-Workstation oder HMI unverzüglich vom lokalen OT-Netzwerk, um eine laterale Ausbreitung zu verhindern. 

• KEIN Neustart: Lassen Sie das System eingeschaltet, um den flüchtigen Speicher (RAM) für forensische Analysen zu sichern, es sei denn, die physische Sicherheit erfordert das sofortige Herunterfahren des Prozesses. 

• Datenträger sichern: Entfernen und sichern Sie das verdächtige USB-Laufwerk vorsichtig für die forensische Untersuchung. Schließen Sie es an kein anderes Gerät an. 

• Netzwerkverkehr analysieren: Überprüfen Sie die Netzwerküberwachungsprotokolle, um festzustellen, ob der kompromittierte Endpunkt versucht hat, mit anderen Systemen im cyber-physischen System zu kommunizieren. 

• FIM-Überprüfung starten: Prüfen Sie die Warnmeldungen des File Integrity Monitorings, um festzustellen, welche Systemdateien oder SCADA-Konfigurationen genau durch den Schadcode verändert wurden. 

Die Zukunft Ihrer kritischen Infrastruktur absichern 

Die Nutzung von Wechselmedien ist in modernen Industrieumgebungen Realität. Sie darf jedoch kein blinder Fleck in Ihrem Sicherheitskonzept sein. Durch einen Perspektivwechsel von rein netzwerkbasierten Abwehrmechanismen hin zu einer umfassenden operativen Resilienz können Sie physische Bedrohungsvektoren effektiv neutralisieren. 

Die Implementierung einer strikten USB-Gerätekontrolle, der Einsatz von USB-Schleusen und die Nutzung von OT-nativer Endpoint-Security für SCADA-Systeme sind keine optionalen Maßnahmen – sie sind zwingende Voraussetzungen zum Schutz cyber-physischer Systeme vor hochmotivierten Angreifern. 

Wir bei Shieldworkz verstehen die spezifischen Rahmenbedingungen und strengen Anforderungen kritischer Infrastrukturen. Wir sind darauf spezialisiert, hochentwickelte technische Kontrollen mit den Realitäten in der Werkshalle in Einklang zu bringen. So stellen wir sicher, dass Sie den Betrieb unterbrechungsfrei aufrechterhalten und gleichzeitig die komplexen globalen Compliance-Vorgaben vollständig erfüllen. 

Sind Sie bereit, eine resiliente Verteidigung gegen physische und digitale Bedrohungen aufzubauen? Der Schutz Ihrer cyber-physischen Systeme erfordert einen maßgeschneiderten Zero-Trust-Ansatz für Wechselmedien. Fordern Sie noch heute eine Demo bei unseren Experten für industrielle Cybersicherheit an, und lassen Sie uns gemeinsam Ihre Prozesse absichern – vom Endpunkt bis zum Unternehmensnetzwerk. 

Zusätzliche Ressourcen:

Was sind Wechselmedien? Risiken, Richtlinien und industrielle OT-Sicherheitslösungen finden Sie hier
Kostenlose Vorlage für Wechselmedien-Richtlinien für OT- und IT-Teams finden Sie hier
Leitfäden zur Behebung von Sicherheitsrisiken finden Sie hier