Ein einziger USB-Stick. Mehr war nicht nötig, um eine der sichersten Industrieanlagen der Welt zu kompromittieren. Der Stuxnet-Angriff – bis heute der am intensivsten untersuchte ICS-Cyberangriff der Geschichte – wurde über einen USB-Stick eingeschleust, der in ein physisch isoliertes Netzwerk (Air-Gap) eingesteckt wurde. Zwei Jahrzehnte später gehören Bedrohungen durch USB-Medien nach wie vor zu den Hauptangriffsvektoren auf Operational Technology (OT)-Umgebungen.

Für Werksleiter, OT-Ingenieure und CISOs ist dies kein theoretisches Risiko. Jeder ungesicherte USB-Port an einem Feldgerät, einer HMI oder einer Engineering-Workstation ist ein potenzielles Einfallstor für Schadsoftware, Datenabfluss (Data Exfiltration) oder Ransomware. Und im Gegensatz zu IT-Netzwerken enden die Folgen in einer OT-Umgebung nicht bei Datenverlusten – sie können ungeplante Stillstandszeiten, Geräteschäden, Sicherheitsunfälle oder Schlimmeres bedeuten.

Die gute Nachricht: USB-Sicherheit in industriellen Steuerungssystemen (ICS) ist beherrschbar. Es erfordert weder den Austausch aller Altsysteme (Legacy Devices) noch den Bau einer vollständig luftspaltisolierten Anlage. Erforderlich ist vielmehr ein strukturierter, mehrschichtiger Ansatz („Defense-in-Depth“), der Richtlinien, Prozesse und Technologie kombiniert und präzise auf die spezifischen Realitäten von OT-Umgebungen abgestimmt ist.

Dieser Beitrag führt Sie durch 15 Sicherheitsmaßnahmen (Controls), die das USB-Risiko in ICS-Umgebungen effektiv reduzieren. Strukturiert nach Maßnahmenkategorien, erhalten Sie direkt anwendbare Checklisten und Implementierungstaktiken.

Warum USB-Bedrohungen OT-Umgebungen härter treffen als die klassische IT

Bevor wir uns mit den einzelnen Sicherheitsmaßnahmen befassen, ist es wichtig zu verstehen, warum USB-Angriffe in OT-Umgebungen weitaus verheerendere Schäden anrichten als in der traditionellen Unternehmens-IT.

Drei strukturelle Schwachstellen machen OT-Netzwerke in besonderem Maße anfällig:

1. Das Vertrauen auf physische Isolation (Air-Gap) wiegt in falscher Sicherheit. Viele OT-Betreiber gehen davon aus, dass ihre Steuerungsnetzwerke geschützt sind, weil sie keine Verbindung zum Internet haben. Diese Air-Gaps werden jedoch regelmäßig von externen Dienstleistern, Feldtechnikern und Wartungsteams überbrückt, die USB-Sticks mit Firmware-Updates, Konfigurationsdateien oder Diagnosetools einsetzen – oft ohne vorherige Überprüfung oder Bereinigung.

2. Altsysteme können keinen Endpunktschutz ausführen. Ein erheblicher Teil der OT-Assets – SPS (PLC), Fernwirkgeräte (RTU), ältere HMIs, Historians – läuft auf veralteten Betriebssystemen (Windows XP, Windows 7, embedded Linux-Varianten), die moderne Endpoint Detection and Response (EDR)-Tools nicht unterstützen. Die USB-Schnittstellen an diesen Geräten sind ungesichert.

3. Betrieblicher Druck hebelt die Security-Hygiene aus. In einer Produktionsumgebung steht die Anlagenverfügbarkeit an erster Stelle. Wenn ein Dienstleister nachts um 02:00 Uhr während eines Wartungsfensters ein Firmware-Patch einspielen muss, bleibt selten Zeit für eine mehrstufige USB-Verifizierung. Es werden Sicherheitsabkürzungen genommen – und Angreifer wissen das.

Hinzu kommt, dass OT-Netzwerke häufig eine unzureichende Netzwerksegmentierung, eine eingeschränkte Protokollierung und lange Patch-Zyklen aufweisen. Dies schafft ein Umfeld, in dem sich Schadsoftware von einem einzigen infizierten USB-Stick über Monate hinweg lateral ausbreiten kann, bevor sie entdeckt wird.

Die 15 USB-Sicherheitsmaßnahmen für ICS-Umgebungen

Wir haben diese 15 Sicherheitsmaßnahmen in fünf Kategorien unterteilt: Richtlinien & Governance, Technische Durchsetzung, Geräte- & Medienmanagement, Sicherheitsüberwachung & Detektion sowie Mensch & Prozess.

Kategorie 1: Richtlinien & Governance

Maßnahme 1 – Etablierung einer formellen Richtlinie für USB und Wechselmedien

Bevor technische Kontrollen erzwungen werden können, bedarf es einer schriftlichen Richtlinie, die klar definiert, was zulässig ist und was nicht. Ihre Richtlinie für USB- und Wechselmedien sollte Folgendes abdecken:

• Zugelassene Medientypen (USB-Sticks, externe Festplatten, SD-Karten, Smartphones)

• Personal, das zur Nutzung von Wechselmedien in OT-Zonen autorisiert ist

• Zonen, in denen Wechselmedien zulässig oder strikt untersagt sind (z. B. vollständiges Verbot in Zonen der Sicherheitssteuerung/SIS)

• Vorgeschriebene Scan-Prozesse vor der Nutzung

• Konsequenzen und Verfahren bei Richtlinienverstößen

Richten Sie diese Richtlinie an der IEC 62443-2-1 aus, die dokumentierte Vorgaben für Wechselmedien als Teil des Informationssicherheits-Managementsystems im industriellen Umfeld fordert. Falls Sie der NIS-2-Regulierung unterliegen (KRITIS), sind dokumentierte USB-Kontrollen zudem eine nachweisbare Anforderung gemäß den technischen Maßnahmen nach Artikel 21.

Kurz-Checkliste – Essentials der USB-Richtlinie:

Maßnahme 2 – Segmentierung der OT-Zonen und zonenspezifische USB-Regeln

Nicht jeder Bereich einer Industrieanlage weist dasselbe Risikoprofil auf. Ein USB-Port an einer Engineering-Workstation in der DMZ birgt ein anderes Risiko als ein Port an einer SPS (PLC) innerhalb eines sicherheitsgerichteten Systems (SIS).

Wenden Sie das Zonen- und Leitungsmodell (Zones and Conduits) der IEC 62443 an, um USB-Zugriffsregeln pro Zone zu definieren:

• Ebene 0–1 (Feldgeräte, Steuerungen): USB-Ports physisch deaktiviert oder blockiert. Keine Ausnahmen.

• Ebene 2 (Prozessführung / HMI): USB-Zugriff nur für autorisierte, geprüfte Medien über einen formellen Freigabe-Workflow.

• Ebene 3 (Prozessleitebene / Historian): USB-Zugriff nur für autorisiertes Personal unter Verwendung von unternehmenseigenen, verschlüsselten Medien.

• Ebene 3.5 / DMZ: Standardmäßige IT-Sicherheitskontrollen greifen; alle Medien müssen vor der Nutzung gescannt werden.

Maßnahme 3 – Implementierung einer USB-Richtlinie für Drittanbieter und Dienstleister

In den meisten Industrieanlagen ist ein Großteil der USB-Sicherheitsvorfälle auf externe Dienstleister, Systemintegratoren und OEM-Servicetechniker zurückzuführen – nicht auf das interne Personal. Externe reisen oft mit eigenen Notebooks und ungeprüften USB-Sticks an, ohne Sensibilisierung für Ihre Sicherheitsvorgaben.

Ihre Richtlinie für Drittanbieter muss folgendes vorschreiben:

• Alle vor Ort genutzten Wechselmedien müssen vom Betreiber ausgegeben oder an einem dafür vorgesehenen Kiosk-System vorab geprüft werden.

• Dienstleister müssen vor dem Zugriff auf OT-Systeme eine Verpflichtungserklärung zur Nutzung von Wechselmedien unterzeichnen.

• Vom Hersteller bereitgestellte Software muss über verifizierte, Hash-validierte Medien oder sichere File-Transfer-Lösungen übergeben werden – nicht über private USB-Sticks.

• Ein Besucherbuch dokumentiert lückenlos, welcher Dienstleister mit welchem Medium auf welches Gerät zugegriffen hat.

Kategorie 2: Technische Durchsetzung

Maßnahme 4 – Deaktivierung ungenutzter USB-Ports auf physischer und Systemebene

Die zuverlässigste Sicherheitsmaßnahme ist zugleich die einfachste: Wird eine Schnittstelle nicht benötigt, muss sie unbrauchbar gemacht werden.

Zweistufiger Ansatz:

• Physisch: Verwenden Sie physische Port-Sperren (manipulationssichere USB-Schlösser) an Geräten, bei denen ein USB-Zugriff dauerhaft unterbunden werden soll. Dies verhindert das Einstecken von Geräten, selbst wenn Betriebssystemkontrollen umgangen werden.

• Systemebene: Nutzen Sie Active Directory Group Policy Objects (GPOs) auf Windows-basierten HMIs und Engineering-Workstations, um USB-Massenspeicher vollständig zu sperren. Auf Linux-Systemen ist das Kernel-Modul usb-storage zu blockieren (Blacklisting).

Wichtig: Die Deaktivierung von USB-Ports allein über das Betriebssystem reicht bei Altsystemen oft nicht aus, da BIOS/Firmware-Einstellungen Umgehungen zulassen können. Kombinieren Sie dies in Hochrisikozonen stets mit physischen Sperren.

Maßnahme 5 – Implementierung von USB-Geräte-Whitelisting (Approbation)

Statt zu versuchen, jede bekannte Bedrohung zu blockieren, kehrt das Whitelisting das Prinzip um: Nur explizit freigegebene USB-Geräte dürfen eine Verbindung zu OT-Systemen herstellen. Alles andere wird standardmäßig blockiert.

Dies wird über Endpoint-Protection-Plattformen realisiert, die Richtlinien zur Gerätekontrolle unterstützen. Für jedes autorisierte USB-Gerät definieren Sie:

• Hersteller-ID und Produkt-ID (VID/PID)

• Seriennummer (zur Nachverfolgung einzelner physischer Datenträger)

• Zugelassene Systeme (auf welche Assets das Gerät zugreifen darf)

• Zulässige Interaktionen (Reiner Lesezugriff vs. Schreib-/Lesezugriff)

In OT-Umgebungen ist die Durchsetzung von Schreibschutz (Read-only) eine kritische Kontrollmaßnahme: Selbst wenn ein Gerät auf der Whitelist steht, darf es ohne explizite Autorisierung keine Daten aus dem OT-System zurückschreiben. Dies verhindert zuverlässig den ungewollten Datenabfluss.

Maßnahme 6 – Erzwingen der USB-Prüfung über dedizierte Scan-Kioske

Für Anwendungsfälle, in denen der Einsatz von USB-Medien unumgänglich ist – wie Firmware-Updates, Übertragung von Konfigurationsdateien oder Diagnosetools –, sind dedizierte USB-Prüfstationen (Kiosk-Systeme) an allen Übergangspunkten zu den OT-Zonen aufzustellen.

Ein USB-Prüf-Kiosk ist eine gehärtete, autarke Workstation, die Wechselmedien mit mehreren unabhängigen Antiviren-Engines und Threat-Intelligence-Feeds scannt, bevor diese in die OT-Zone eingebracht werden dürfen. Wichtige Leistungsmerkmale:

• Scannen mit einer Multiscanning-Engine (mindestens 2 unabhängige Antiviren-Schnittstellen)

• Dateityp-Analyse und Verifizierung von Dateiendungen

• Erkennung von Makros und Skripten in Office-Dokumenten

• Audit-Logs mit Benutzer-ID, Zeitstempel, Geräteseriennummer und Scan-Ergebnis

• Anbindung an Ihr SIEM zur zentralen Sicherheitsüberwachung

Checkliste für die Platzierung von Kiosk-Systemen:

Maßnahme 7 – Bereitstellung verschlüsselter, unternehmenseigener USB-Geräte

Für legitime Anwendungsfälle, die Wechselmedien erfordern, sollten ausschließlich unternehmenseigene, hardwareverschlüsselte USB-Laufwerke ausgegeben werden. Diese Geräte erzwingen:

• Hardwareverschlüsselung (AES-256): Daten sind im Ruhezustand geschützt; bei Verlust oder Diebstahl sind die Daten ohne die korrekte PIN-Eingabe oder Authentifizierung unlesbar.

• Möglichkeit zur Fernlöschung: Einige Enterprise-Lösungen erlauben es IT/OT-Administratoren, verlorene Laufwerke aus der Ferne zu sperren oder zu löschen.

• Asset-Tagging und Nachverfolgung über Seriennummern: Jedes ausgegebene Laufwerk wird im Asset-Inventar erfasst, einer verantwortlichen Person zugeordnet und für definierte Einsatzzwecke freigegeben.

Erlauben Sie niemals die Nutzung privater USB-Geräte an OT-Systemen – selbst nicht für vermeintlich harmlose Routineaufgaben. Das Risiko vorinfizierter Consumer-Hardware ist zu hoch.

Maßnahme 8 – Implementierung von Application Whitelisting auf OT-Endpunkten

Über USB eingeschleuste Schadsoftware wird meist über Autostart-Funktionen, Skriptausführungen oder das Ablegen ausführbarer Dateien in beschreibbaren Systemverzeichnissen gestartet. Application Whitelisting unterbindet dies, indem es die Ausführung von Programmen auf vorab genehmigte, digital signierte Binärdateien beschränkt – unabhängig von deren Herkunftsort.

Für OT-Umgebungen müssen diese Whitelisting-Lösungen ressourcenschonend sein, auch veraltete Betriebssysteme unterstützen und ohne permanente Cloud-Anbindung funktionieren. Setzen Sie auf Lösungen, die Folgendes bieten:

• Statisches Whitelisting basierend auf Datei-Hashes, Herausgeber-Zertifikaten oder Dateipfaden

• Integrierte Change-Management-Prozesse zur Aktualisierung der Whitelist

• Unterstützung von Altsystemen (Windows XP, Windows 7, Windows Server 2008)

Kategorie 3: Geräte- & Medienmanagement

Maßnahme 9 – Führen eines Asset-Registers für Wechselmedien

Nur was bekannt ist, kann auch geschützt werden. Jedes in den OT-Zonen eingesetzte Wechselmedium muss inventarisiert und lückenlos nachverfolgt werden:

Auditieren Sie dieses Register vierteljährlich. Entziehen Sie Medien, die in den letzten 90 Tagen nicht gescannt wurden, vor einer erneuten Verwendung die Freigabe.

Maßnahme 10 – Etablierung eines sicheren Lebenszyklus- und Entsorgungsprozesses

USB-Laufwerke haben eine begrenzte Lebensdauer. Ausgemusterte, aber unvollständig gelöschte Datenträger stellen ein erhebliches Risiko für den Abfluss sensibler Daten dar. Ihr Lebenszyklusprozess muss Folgendes regeln:

• Ausgabe: Registrierung, Durchführung einer sicheren Formatierung, persönliche Zuweisung.

• Aktive Nutzung: Verpflichtender Scan-Zyklus alle 30 bis 90 Tage, abhängig von der Risikozone.

• Ausmusterung: Durchführung einer sicheren Datenlöschung (z. B. nach DoD 5220.22-M Standard oder physische Vernichtung bei hoher Schutzbedürftigkeit).

• Dokumentation: Führen eines Entsorgungsnachweises mit Datum, Methode und Unterschrift des Freigebenden.

Kategorie 4: Sicherheitsüberwachung & Detektion

Maßnahme 11 – Aktivierung der USB-Ereignisprotokollierung auf allen OT-Endpunkten

Jedes USB-Ereignis (Verbinden, Trennen, Dateitransfer, blockierter Zugriffsversuch) muss einen Protokolleintrag generieren. In OT-Umgebungen ist diese Funktion oft deaktiviert, um Systemressourcen zu schonen. Aktivieren Sie diese Protokollierung zielgerichtet.

Erheben Sie mindestens folgende Daten:

• Zeitstempel von Verbindung und Trennung

• Hersteller- und Produkt-ID (VID/PID) sowie Seriennummer des Gerätes

• Name und IP-Adresse des Host-Systems

• Übertragene Dateien (sofern Endpoint-DLP-Mechanismen vorhanden sind)

• Status des Zugriffsversuchs (Erlaubt oder Blockiert)

Leiten Sie diese Protokolle zur Korrelation an Ihr SIEM oder Ihre zentrale OT-Sicherheitsüberwachung weiter.

Maßnahme 12 – Überwachung auf USB-spezifische Indikatoren (IOCs) im OT-Netzwerkverkehr

Selbst wenn Schadsoftware über einen USB-Stick erfolgreich auf einen OT-Endpunkt gelangt ist, versucht diese im Anschluss typischerweise:

• Verbindungen zu einer Command-and-Control-Infrastruktur aufzubauen

• Sich lateral über industrielle Protokolle (z. B. Modbus, DNP3, OPC-UA) auszubreiten

• Daten über DNS-Tunneling, HTTP/S oder Wechselmedien abzuführen

Werkzeuge zur Erkennung von Anomalien im Netzwerkverkehr (Network Traffic Analysis / NTA), die auf OT-Protokolle spezialisiert sind, können diese Aktivitäten passiv und agentenlos detektieren. Definieren Sie Erkennungsregeln und Alarme für:

• Unerwartete Verbindungsaufbauten von HMIs oder Engineering-Workstations

• Protokoll-Anomalien, die auf laterale Bewegungen hindeuten

• Ungewöhnlich große Datenübertragungen auf Historian-Systemen

• Signaturen bekannter OT-Schadsoftware-Familien (z. B. INDUSTROYER/CRASHOVERRIDE Payloads)

Maßnahme 13 – Durchführung regelmäßiger Audits zur USB-Sicherheit

Richtlinien und technische Schutzmaßnahmen verlieren ohne regelmäßige Kontrollen an Wirksamkeit. Verankern Sie ein vierteljährliches Audit der USB-Sicherheit in Ihrem OT-Sicherheitsprogramm:

Audit-Checkliste zur USB-Sicherheit:

Kategorie 5: Mensch & Prozess

Maßnahme 14 – Rollenspezifische Schulungen zur USB-Sicherheitsförderung

Selbst hochmoderne technische Schutzmaßnahmen können durch unbedachtes Handeln von Mitarbeitern ausgehebelt werden. Jeder, der physischen oder administrativen Zugriff auf OT-Systeme hat, muss zielgerichtete Security-Awareness-Schulungen erhalten:

• Anlagenfahrer & Operatoren: Sensibilisierung für verdächtige USB-Medien; striktes Verbot des Einsteckens gefundener oder unbestätigter Medien; sofortige Meldung von Vorfällen.

• Instandhaltung & Dienstleister: Klares Verständnis der standortspezifischen USB-Richtlinien; Verpflichtung zur Nutzung freigegebener Medien und dem Durchlauf von Scan-Kiosken.

• OT-Ingenieure: Tiefes Verständnis der IT-Risiken für OT-Anlagen bei Firmware- und Konfigurationsänderungen; Einhalten von Freigabeprozessen; Integritätsprüfung von Systemdateien via Hash-Validierung.

• Management & CISOs: Bewertung des USB-Risikos als messbare Kennzahl (KPI) der OT-Sicherheit; Bereitstellung von Budget und Ressourcen für Abwehrmaßnahmen und Monitoring.

Führen Sie regelmäßig Tabletop-Übungen durch, die USB-basierte Angriffsvektoren simulieren (z. B. das Einschleusen von Schadsoftware durch einen Dienstleister während eines kritischen Wartungsfensters).

Maßnahme 15 – Integration von USB-Schutzmaßnahmen in den OT-Incident-Response-Plan

Wie reagieren Sie im Falle eines erkannten USB-Sicherheitsvorfalls? Ein strukturierter Notfallplan (Incident Response Plan) darf hier keine Fragen offenlassen. Integrieren Sie ein dediziertes Playbook für USB-Vorfälle:

• Erkennungsindikatoren (Triggers): Wie wird ein Vorfall klassifiziert? (z. B. Alarm am Scan-Kiosk, SIEM-Detektion, Meldung durch Mitarbeiter)

• Eindämmung (Containment): Sofortige Isolierung betroffener Systeme; Trennung der Netzwerkverbindung; Sicherung des Systemspeichers (Prozessdaten) zur forensischen Analyse.

• Untersuchung (Investigation): Analyse der USB-Ereignisprotokolle; Zuordnung der betroffenen Systemdateien; Prüfung auf laterale Ausbreitung im Netzwerk.

• Behebung (Eradication): Bereinigung der Schadsoftware; gegebenenfalls Einspielen eines sauberen Backups; erneute Überprüfung aller beteiligten Speichermedien.

• Nachbereitung (Lessons Learned): Anpassung von Whitelists, Richtlinien oder technischen Sperren basierend auf den Erkenntnissen; Erfüllung gesetzlicher Meldepflichten (z. B. an das BSI gemäß BSIG / KRITIS).

Üben Sie dieses Playbook. Ein akuter Vorfall während des laufenden Produktionsbetriebs ist nicht der richtige Zeitpunkt, um Reaktionsketten ad hoc zu entwerfen.

Wie Shieldworkz Sie bei der USB-Sicherheit in OT-Umgebungen unterstützt

Wir bei Shieldworkz unterstützen Betreiber kritischer Infrastrukturen (KRITIS) und Industrieunternehmen der Sektoren Energie, Chemie, Maschinenbau, Wasserversorgung und Pharma beim Aufbau pragmatischer und hochverfügbarer OT-Sicherheitsarchitekturen.

USB-Sicherheit ist kein isoliertes Thema. Aus unserer Projekterfahrung wissen wir, dass sie im Zusammenspiel mit Asset-Transparenz, Endpunktschutz, Netzwerk-Monitoring und Security Governance betrachtet werden muss. Unser Ansatz umfasst:

• OT-Assetvisibilität & Risikobewertung: Wir identifizieren sämtliche Endpunkte, Verbindungen und Kommunikationspfade in Ihrer OT – damit Sie Risiken präzise lokalisieren können, bevor technische Sperren etabliert werden.

• IEC 62443-konforme Richtlinienentwicklung: Wir begleiten Sie bei der Erstellung zonenspezifischer Richtlinien für USB- und Wechselmedien, die den Anforderungen der IEC 62443-2-1 entsprechen und Vorgaben nach NIS-2 und IT-Sicherheitsgesetz dokumentenfest abbilden.

• Implementierung von Endpoint- & Gerätekontrollen: Wir integrieren und konfigurieren Lösungen zum Endpunktschutz und zur USB-Gerätekontrolle, die speziell für sensible Legacy-OT-Systeme validiert sind – ohne den Produktionsbetrieb zu stören.

• OT-SOC Überwachung: Unser spezialisiertes OT Security Operations Center überwacht Ihre USB-Ereignisprotokolle, den Netzwerkverkehr und Verhaltensabweichungen rund um die Uhr (24/7) mit dedizierten Playbooks für industrielle Bedrohungsszenarien.

• Audit- und Compliance-Bereitschaft: Sie müssen Ihre USB-Sicherheitsmaßnahmen gegenüber Wirtschaftsprüfern, Aufsichtsbehörden oder Ihrem Vorstand nachweisen? Wir erstellen präzise Gap-Analysen und Nachweisdokumente gemäß IEC 62443, BSI-Standards, NIST SP 800-82 und NIS-2.

Fazit: 15 Maßnahmen, eine klare Richtung

Die USB-Sicherheit in industriellen Steuerungssystemen erfordert keinen vollständigen Austausch Ihrer OT-Infrastruktur. Sie verlangt Konsequenz, Systematik und einen risikoadäquaten, mehrschichtigen Ansatz.

Hier ist die Zusammenfassung der 15 Maßnahmen:

Beginnen Sie mit den Maßnahmen, die Ihre kritischsten Zonen und häufigsten Anwendungsfälle absichern. Bereits die konsistente Umsetzung von fünf dieser Controls wird Ihre USB-Angriffsfläche messbar reduzieren.

Bereit, die Cyber-Resilienz Ihrer OT nachhaltig zu stärken? Wenn Sie den Schritt von geschriebenen Sicherheitsrichtlinien hin zu wirksamen technischen Kontrollen gehen wollen, unterstützt Shieldworkz Sie zielgerichtet. Forderen Sie eine Live-Demonstration mit den OT-Spezialisten von Shieldworkz an – wir zeigen Ihnen, wie unsere Plattform USB-Risiken in komplexen Industrieumgebungen absichert.

Zusätzliche Ressourcen:

Wechselmedien in der Industrie: Risiken, Richtlinien und OT-Sicherheitslösungen finden Sie hier
Kostenlose Vorlage einer USB-Richtlinie für IT- und OT-Teams hier
Leitfäden zur Behebung von Schwachstellen (Remediation Guides) hier