Der USB-Stick in Ihrer Tasche ist eine geladene Waffe

Ein Instandhaltungsingenieur betritt eine Umspannanlage mit einem USB-Stick, um die Firmware eines Schutzgerätes zu aktualisieren. Der Stick wurde letzten Monat an einem anderen Standort verwendet. Niemand hat ihn gescannt. Niemand hat ihn registriert. Innerhalb weniger Stunden kartografiert ein im Hintergrund schlummernder Schadcode unbemerkt das Netzwerk, nimmt Verbindung nach außen auf und beginnt mit seiner Arbeit.

Dies ist kein hypothetisches Szenario. Abwandlungen dieses Vorfalls haben einige der verheerendsten industriellen Cyberangriffe der Geschichte verursacht. Dennoch gehören Wechselmedien nach wie vor zu den am wenigsten regulierten Einfallstoren in OT-Umgebungen.

Die Ursache ist kultureller Natur. In der IT haben Security-Teams die Nutzung von USB-Medien weitgehend eliminiert oder streng reglementiert. In operativen Technologieumgebungen (OT) – in denen Air-Gap-Systeme, ältere PLCs und herstellerspezifische Instandhaltungswerkzeuge nach wie vor auf USB-Sticks und portable Medien angewiesen sind – galt bisher immer die Annahme: „Wir wissen, wer den Stick mitbringt. Das ist schon in Ordnung.“

Zero Trust besagt das Gegenteil. Es lautet: Vertrauen Sie nichts, verifizieren Sie alles und gehen Sie standardmäßig davon aus, dass jeder USB-Stick nicht vertrauenswürdig ist.

Dieser Blogbeitrag erläutert detailliert, was Zero Trust für Wechselmedien im OT/ICS-Kontext bedeutet, wie es in der Praxis aussieht und welche spezifischen Kontrollmaßnahmen Ihr Team noch heute implementieren kann.

Bevor wir fortfahren, lesen Sie gerne unseren vorherigen Blogbeitrag mit einer detaillierten Analyse des Cyberangriffs auf Cal Water hier.

Warum Wechselmedien nach wie vor ein Hauptvektor für OT-Bedrohungen sind

Bevor wir uns mit den Kontrollen befassen, müssen wir uns die Bedrohungslage vor Augen führen. Bedrohungen durch Wechselmedien in OT-Umgebungen nehmen nicht ab – sie entwickeln sich weiter.

Die drei wichtigsten Angriffskategorien, die Sie kennen müssen

1. Einschleusen von Schadcode über USB Infizierte USB-Sticks schleusen Ransomware, Wiper und Remote-Access-Trojaner in isolierte OT-Netzwerke ein. Dies funktioniert selbst bei Air-Gap-Umgebungen, da Anwender die Infektion physisch an allen vorhandenen Perimeter-Kontrollen vorbeischleusen.

2. BadUSB und Firmware-Manipulation Ein USB-Gerät kann auf Firmware-Ebene so umprogrammiert werden, dass es sich als Tastatur, Netzwerkadapter oder ein anderes vertrauenswürdiges Peripheriegerät ausgibt. Nach dem Einstecken führt es automatisch Befehle aus – noch bevor ein Antivirenprogramm reagieren kann. Das Host-System sieht eine „Tastatur“ und keine Schadsoftware. Standardmäßige Endpoint-Abwehrmechanismen sind hierfür blind.

3. Datenabfluss (Data Exfiltration) Sensible Konfigurationsdateien, HMI-Logik, Daten von Engineering Workstations und Anlagenpläne können auf einen nicht autorisierten USB-Stick kopiert und unbemerkt nach außen getragen werden. Kein Tool zur Netzwerkerkennung wird dies bemerken.

Wer ist am stärksten gefährdet?

In jedem dieser Sektoren kann ein einziger unkontrollierter USB-Stick die Netzsegmentierungsarbeit von Jahren umgehen. Aus diesem Grund ist Zero Trust für Wechselmedien kein „Nice-to-have“ mehr, sondern eine grundlegende Sicherheitsmaßnahme im Sinne der KRITIS-Anforderungen.

Was Zero Trust für Wechselmedien konkret bedeutet

Zero Trust ist ein Architekturprinzip, kein Produkt. Auf Wechselmedien angewendet bedeutet dies unmissverständlich: Kein USB-Gerät ist vertrauenswürdig, nur weil eine Person, der Sie vertrauen, es in den Händen hält.

Das traditionelle Denken in der OT basierte auf implizitem Vertrauen: „Das ist das Laptop unseres Dienstleisters. Das ist der USB-Stick unseres Herstellers. Wir vertrauen ihnen.“ Zero Trust ersetzt implizites Vertrauen durch kontinuierliche Verifizierung, das Prinzip der minimalen Rechtevergabe (Least Privilege) und eine strenge Geräteauthentifizierung.

Die drei Zero-Trust-Prinzipien angewendet auf USB

1. Erst verifizieren, dann verbinden Jedes Wechselmedium muss authentifiziert und überprüft werden, bevor es mit einem OT-Asset interagieren darf. Wer ist der Eigentümer des Geräts? Ist es in Ihrem Geräteinventar registriert? Wurde es von einer dedizierten Schleuse (Kiosk) gescannt und freigegeben? Wenn die Antwort auf eine dieser Fragen „Nein“ lautet, wird das Gerät nicht verbunden. Keine Ausnahmen.

2. Prinzip der minimalen Rechtevergabe (Least Privilege) Selbst wenn ein USB-Gerät autorisiert ist, sollte der Zugriff auf das absolut Notwendige beschränkt sein. Ein Hersteller, der die Firmware an einer einzelnen PLC aktualisiert, benötigt keinen Lese-/Schreibzugriff auf das Historian-System. Ein für den Transfer von Konfigurationsdateien freigegebenes USB-Gerät darf keine Befehlsdateien automatisch ausführen können. Least Privilege gilt auf Geräteebene, nicht nur auf Benutzerebene.

3. Gehen Sie vom Schadensfall aus (Assume Breach) Selbst nachdem ein Gerät die Verifizierung bestanden hat, muss Ihre Sicherheitslage davon ausgehen, dass es dennoch schädlich sein könnte. Das bedeutet, dass jeder Dateitransfer protokolliert wird, untypische Aktivitäten gemeldet werden und ein klarer Notfallplan vorliegt, falls sich herausstellt, dass ein zuvor geprüftes Gerät dennoch Schadcode enthielt.

Schrittweise Anleitung zur Erstellung einer Zero-Trust-Richtlinie für Wechselmedien

Die Richtlinie ist das Fundament. Die Technologie setzt sie durch, aber ohne eine schriftliche, verbindlich angewendete Richtlinie wird kein Tool der Welt greifen.

Schritt 1: Klassifizieren Sie Ihre Assets und Zonen

Ihre erste Aufgabe besteht darin, festzustellen, wo USB-Ports vorhanden sind und mit welchen Systemen sie verbunden werden können. Erfassen Sie jedes Asset in Ihrer OT-Umgebung, das über einen USB-Port verfügt – PLCs, HMIs, Engineering Workstations, Historian-Server, DCS-Knoten, tragbare Testgeräte.

Weisen Sie anschließend eine Risikostufe zu:

Schritt 2: Richten Sie einen Prozess zur Geräteregistrierung und -freigabe ein

Sie können nicht kontrollieren, was Sie nicht inventarisiert haben. Erstellen Sie ein Register für Wechselmedien, das folgende Informationen erfasst:

• Gerätehersteller und -modell

• Seriennummer und kryptografische Kennung (falls unterstützt)

• Zugeordneter Eigentümer und Abteilung

• Zugelassene Anwendungsfälle (welche Zonen, welche Asset-Typen)

• Genehmigungsdatum und Verlängerungsdatum

• Scan-Historie und Datum der letzten Freigabe

Nur Geräte in diesem Register dürfen jemals in eine Zone der Stufe 1 oder 2 gelangen. Dies ist Ihre administrative Kontrollschicht.

Schritt 3: Implementieren Sie Prüfstationen für Wechselmedien (Kioske)

Ein Kiosk ist eine dedizierte, gehärtete Scan-Station, die sich an der Grenze zu Ihrer OT-Umgebung befindet. Jeder USB-Stick – ob von einem internen Ingenieur oder einem externen Dienstleister mitgebracht – muss an der Prüfstation gescannt werden, bevor er in den Produktionsbereich gelangt.

Eine ordnungsgemäß konfigurierte Prüfstation wird:

• Virenscans mit mehreren Scan-Engines und aktualisierten Signaturen durchführen

• Abweichungen bei Dateitypen erkennen (z. B. eine Datei namens „firmware.exe“, die sich als Konfigurationsdatei tarnt)

• Verdächtige Dateien zur manuellen Überprüfung markieren

• Ein zeitlich begrenztes Freigabezertifikat ausstellen, das an die Seriennummer des Geräts gekoppelt ist

• Jedes Scan-Ergebnis in einem zentralen System für Sicherheitsereignisse protokollieren

Die Prüfstation ist Ihr obligatorischer Kontrollpunkt. Ohne Kiosk-Scan gibt es keinen Zugang zu den OT-Zonen. Diese einzige Maßnahme minimiert Ihr Risiko im Bereich Wechselmedien erheblich.

Schritt 4: Erzwingen Sie Geräte-Whitelisting auf dem Endgerät

Über den Kiosk hinaus sollten Ihre OT-Endgeräte ein USB-Geräte-Whitelisting auf Betriebssystem- oder Endpoint-Protection-Ebene erzwingen. Das bedeutet:

• Nur vorregistrierte Geräteseriennummern oder kryptografische Kennungen dürfen eingehängt werden

• Jedes nicht registrierte USB-Gerät löst einen Alarm aus und wird blockiert

• Autorun und Autoplay sind auf allen OT-Endgeräten deaktiviert

• Wo kein Schreibzugriff erforderlich ist, wird der Schreibschutzmodus erzwungen

Bei älteren PLCs und Embedded-Geräten, die keine Endpoint-Agenten unterstützen, besteht die kompensierende Maßnahme aus der physischen Sperrung der Ports – USB-Ports werden physisch deaktiviert oder mit Port-Blockern verschlossen und der Zugriff wird nur über einen formellen Arbeitsauftragsprozess gestattet.

Schritt 5: Implementieren Sie kontinuierliche Überwachung und Alarmierung

Zero Trust endet nicht mit der Freigabeentscheidung. Sie müssen wissen, was passiert, nachdem ein Gerät verbunden wurde. Ihre Überwachung sollte mindestens folgende Ereignisse erfassen:

• Jedes USB-Verbindungsereignis: Geräte-ID, Zeitstempel, Workstation-Name

• Jeden Dateitransfer: Dateiname, Dateityp, Dateigröße, Richtung (Lesen/Schreiben)

• Jeden Ausführungsversuch auf Wechselmedien

• Jeden Versuch, ein nicht registriertes Gerät anzuschließen

Diese Ereignisse sollten in Ihr OT-Security-Operations-Center oder Ihr SIEM einfließen, wo Alarmierungsregeln Anomalien aufdecken können – etwa ein Verbindungsereignis um 2:00 Uhr nachts, ein ungewöhnlich hohes Datenvolumen bei Transfers oder das Ausführen einer ausführbaren Datei von einem USB-Stick auf einer Engineering Workstation.

Zero-Trust-Kontrollen für Wechselmedien: Eine Schnellreferenz-Checkliste

Verwenden Sie diese Checkliste, um Ihren aktuellen Reifegrad zu überprüfen. Jeder Punkt entspricht einer Kontrollschicht im Zero-Trust-Framework für Wechselmedien.

Richtlinien & Governance

• [ ] Eine formelle Richtlinie für Wechselmedien existiert und wird mindestens einmal jährlich überprüft.

• [ ] Die Richtlinie definiert zulässige Gerätetypen, genehmigte Anwendungsfälle und verbotene Nutzungsarten.

• [ ] Die Nutzung von USB-Sticks durch Dritte und Hersteller ist in der Richtlinie explizit geregelt.

• [ ] Rollen und Verantwortlichkeiten für die Verwaltung von Wechselmedien sind klar zugewiesen.

• [ ] Richtlinienverstöße haben definierte Konsequenzen und es gibt einen dokumentierten Prozess zur Reaktion darauf.

Asset- & Geräteinventar

• [ ] Alle OT-Assets mit USB-Schnittstellen wurden erfasst und Risikostufen zugeordnet.

• [ ] Ein Register für Wechselmedien existiert und wird fortlaufend gepflegt.

• [ ] Die Registrierung umfasst Seriennummer, Eigentümer, genehmigte Anwendungsfälle und Scan-Historie.

• [ ] Freigabe- und Verlängerungszeiträume sind definiert und werden nachverfolgt.

Technische Kontrollen

• [ ] USB-Geräte-Whitelisting wird auf allen Endgeräten der Stufen 1 und 2 erzwungen.

• [ ] Autorun und Autoplay sind auf allen OT-Workstations deaktiviert.

• [ ] USB-Ports sind auf Systemen, für die keine Nutzung von Wechselmedien autorisiert ist, physisch deaktiviert oder blockiert.

• [ ] Prüfstationen für Wechselmedien sind an allen Zugangspunkten zu OT-Zonen installiert.

• [ ] Die Prüfstationen führen Scans mit mehreren Engines und regelmäßig aktualisierten Signaturen durch.

• [ ] Dateityp-Filtermethoden verhindern, dass nicht autorisierte Dateitypen übertragen werden.

• [ ] Richtlinien zum Schreibschutz werden auf Systemen angewendet, bei denen ein Nur-Lese-Zugriff ausreicht.

• [ ] Für den Transfer sensibler Daten ist die Nutzung verschlüsselter Wechselmedien zwingend erforderlich.

Überwachung & Erkennung

• [ ] Alle USB-Verbindungsereignisse werden mit Geräte-ID, Zeitstempel und Workstation protokolliert.

• [ ] Alle Dateitransfers von Wechselmedien werden protokolliert.

• [ ] Es existieren Alarmierungsregeln bei der Verbindung nicht registrierter Geräte.

• [ ] Es existieren Alarmierungsregeln für USB-Aktivitäten außerhalb der Arbeitszeiten.

• [ ] Protokolldaten fließen in ein zentrales SIEM oder eine OT-Sicherheitsüberwachungsplattform.

• [ ] Protokolle über Wechselmedien werden über einen Mindestzeitraum gespeichert, der Ihren regulatorischen Vorgaben entspricht.

Kontrolle von Herstellern & Dritten

• [ ] Hersteller sind verpflichtet, ausschließlich vom Betreiber bereitgestellte oder vorab genehmigte Geräte zu verwenden.

• [ ] Alle USB-Geräte von Herstellern werden vor dem Zugriff auf die Anlage registriert.

• [ ] Die USB-Aktivitäten der Hersteller werden während der Einsätze vor Ort überwacht und protokolliert.

• [ ] Verträge mit Herstellern enthalten Sicherheitsverpflichtungen zur Nutzung von Wechselmedien.

Incident Response (Vorfallsbehandlung)

• [ ] Ein Runbook zur Behandlung von Vorfällen mit Wechselmedien liegt vor.

• [ ] Mitarbeiter wissen, wie sie einen vermuteten Vorfall mit Wechselmedien melden können.

• [ ] Maßnahmen zur Eindämmung eines durch USB eingeschleusten Malware-Vorfalls sind dokumentiert und getestet.

• [ ] Post-Incident-Reviews beinhalten eine Evaluierung der Richtlinien für Wechselmedien.

Ausrichtung der Zero-Trust-USB-Kontrollen an IEC 62443 und anderen Standards

Zero Trust für Wechselmedien ist nicht nur Best Practice – es unterstützt direkt die Einhaltung nationaler KRITIS-Standards sowie internationaler Sicherheitsrichtlinien, an denen Ihr Unternehmen gemessen wird.

IEC 62443

Sowohl die IEC 62443-3-3 (System-Sicherheitsanforderungen) als auch die IEC 62443-2-1 (Sicherheitsmanagementsystem) behandeln Kontrollen für Wechselmedien als Teil des Zonen- und Conduit-Konzepts. Wichtige Zuordnungspunkte:

• SR 1.1 (Identifizierung und Authentifizierung von menschlichen Benutzern): Anforderungen an die Geräteregistrierung und den Kiosk-Scan unterstützen den authentifizierten Zugriff auf Wechselmedien.

• SR 3.2 (Schutz vor Schadsoftware): Kiosk-Scans und Endgeräte-Whitelisting erfüllen diese Anforderung direkt.

• SR 6.2 (Kontinuierliche Überwachung): Die Protokollierung von USB-Verbindungen und Dateitransfers unterstützt die geforderte kontinuierliche Überwachung.

NIST SP 800-82 (Leitfaden zur ICS-Sicherheit)

NIST SP 800-82 empfiehlt ausdrücklich die Einschränkung der Nutzung von Wechselmedien, die Implementierung von Prüfverfahren und die Protokollierung der Mediennutzung. Ihr Steuerungsprogramm für Wechselmedien lässt sich direkt den empfohlenen Kontrollen der Kontrollfamilie Media Protection (MP) zuordnen.

NERC CIP (für den Energiesektor)

NERC CIP-003-8 enthält Kontrollen für Wechselmedien als obligatorisches Element für kritische Infrastrukturen im Stromsektor. Zu den Anforderungen gehört eine Richtlinie, die den Einsatz von transienten Cyber-Assets und Wechselmedien regelt. Ihr Geräteregister, der Kiosk-Scan und die Endgerätekontrollen erfüllen diese Anforderungen vollständig.

NIS2 (für europäische Betreiber und KRITIS)

Die NIS2-Richtlinie verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zur Umsetzung von Maßnahmen zur Sicherheit der Lieferkette und zur physischen Sicherheit. Die Kontrolle von Hersteller-USB-Medien und die Implementierung von Prüfstationen decken beide Anforderungen ab.

Was Hersteller und Dienstleister verstehen müssen

Bei Wechselmedien von Drittanbietern weisen die meisten Industrieunternehmen die größten Sicherheitslücken auf. Ihre eigenen Ingenieure halten sich möglicherweise an die Richtlinie. Ihre externen Partner oft nicht – weil es ihnen niemand kommuniziert hat.

Folgendes muss Ihr Prozess für die Einbindung von Dienstleistern und den Standortzugang umfassen:

Vor dem Betreten des Standorts

• Hersteller müssen alle Geräte deklarieren, die sie auf das Gelände mitbringen möchten.

• Alle USB-Sticks müssen vorregistriert oder durch unternehmenseigene Geräte ersetzt werden.

• Hersteller müssen über die Richtlinie für Wechselmedien informiert werden und diese schriftlich bestätigen.

Am Standort-Perimeter

• Alle Geräte von Herstellern durchlaufen den Kiosk-Scan, bevor sie Zugang zu den OT-Zonen erhalten.

• Keine Freigabe, kein Zugang. Dies ist nicht verhandelbar – ungeachtet von Dringlichkeit oder Termindruck.

• Die Geräte der Hersteller werden in einem Sitzungsprotokoll erfasst, das mit dem Besuchsdatensatz verknüpft ist.

Während des Einsatzes

• Die USB-Aktivität des Herstellers wird, sofern technisch möglich, in Echtzeit überwacht.

• Techniker von Herstellern dürfen ein Gerät niemals ohne Begleitung eines designated Mitarbeiters mit einem OT-Asset verbinden.

• Sämtliche Dateitransfers müssen im Arbeitsauftrag dokumentiert werden.

Nach dem Einsatz

• Das Sitzungsprotokoll wird auf Anomalien überprüft.

• Alle Dateien, die auf oder von einem Herstellergerät übertragen wurden, werden für eine definierte Aufbewahrungsfrist archiviert.

• Die Zugriffsprotokolle der Hersteller werden für Audit-Zwecke aufbewahrt.

Hierbei geht es nicht um mangelndes Vertrauen in die Personen. Es geht um die Erkenntnis, dass das Gerät eines Dienstleisters in diesem Monat bereits an fünf anderen Kundenstandorten im Einsatz gewesen sein kann. Zero Trust bei Wechselmedien ist personenunabhängig – es vertraut dem verifizierten Gerät, nicht dem Träger.

Häufige Fehler von OT-Teams bei der USB-Sicherheit

Selbst Teams mit guten Absichten scheitern oft an vorhersehbaren Hürden. Vermeiden Sie diese Fehler:

Fehler 1: Die Prüfstation als einzige Kontrollinstanz betrachten Eine Prüfstation erkennt bekannte Bedrohungen. Sie fängt keine Zero-Day-Firmware-Angriffe, BadUSB-Geräte oder Datenabflüsse ab. Der Kiosk ist eine Schicht in einem mehrschichtigen Sicherheitskonzept, keine Komplettlösung.

Fehler 2: Ausnahmen für „vertrauenswürdige“ Hersteller machen Der Satz „Aber das ist doch unser OEM-Partner“ gehört zu den gefährlichsten Sätzen in der OT-Sicherheit. Das Laptop Ihres OEMs mag vertrauenswürdig sein. Der USB-Stick, den der Servicetechniker heute Morgen aus einer Sammelbox gegriffen hat, ist es nicht. Keine Ausnahmen.

Fehler 3: Protokollierung ohne Alarmierung Viele Teams aktivieren die USB-Protokollierung und sehen sich die Logs danach nie wieder an. Protokollierung hat keinen Wert ohne definierte Alarmierungsschwellen, benannte Verantwortliche für die Auswertung und einen Prozess zur Reaktion auf Anomalien. Verknüpfen Sie Ihre USB-Protokolle mit Ihrer Monitoring-Plattform und aktiver Alarmierung.

Fehler 4: Air-Gap-Systeme vernachlässigen Gelegentlich herrscht der Glaube vor, dass bei Systemen ohne Internetanbindung (Air-Gap) USB-Risiken vernachlässigbar seien. Das Gegenteil ist der Fall. Air-Gap-Systeme hängen extrem stark von Wechselmedien für Updates, Datentransfers und Konfigurationen ab – das macht sie anfälliger für USB-Bedrohungen, nicht sicherer. Air-Gap-Umgebungen benötigen die strengsten Kontrollen für Wechselmedien.

Fehler 5: Keine klare Richtlinie für Privatgeräte (BYOD) Mitarbeiter und Dienstleister bringen regelmäßig private USB-Sticks, Ladekabel mit Datenübertragungsfunktion und private Laptops mit. Wenn Ihre Richtlinie private Geräte nicht explizit verbietet, haben Sie eine Sicherheitslücke. Ein Verbot privater Geräte ist leicht formuliert, erfordert zur Durchsetzung jedoch physische Zutrittskontrollen und konsequente Anwendung.

Business Case: Was das Ignorieren von Zero-Trust-USB-Sicherheit wirklich kostet

Für Betriebsleiter und CISOs, die intern argumentieren müssen, stellt sich das Risiko in der Praxis wie folgt dar.

Ein einziger durch USB eingeschleuster Sicherheitsvorfall in einer OT-Umgebung kann Folgendes nach sich ziehen:

• Produktionsstillstand von mehreren Stunden bis zu Wochen

• Kosten für Notfallreaktionen wie Forensik, Schadensbehebung und Wiederherstellung der OT-Systeme

• Regulatorische Strafen oder Bußgelder, falls der Vorfall eine KRITIS-Prüfung oder ein Audit nach NIS2 / IEC 62443 nach sich zieht

• Reputationsschäden bei Kunden, Partnern und Behörden

• Physische Sicherheitsrisiken, wenn sicherheitsrelevante Anlagen (SIS) beeinträchtigt werden

Die Kosten für ein strukturiertes Zero-Trust-Programm für Wechselmedien – einschließlich Kiosk-Infrastruktur, Endgerätekontrollen, Richtlinienentwicklung und Mitarbeiterschulung – betragen nur einen Bruchteil der Kosten eines einzigen schwerwiegenden Vorfalls.

Formulieren Sie es gegenüber der Geschäftsführung so: Zero Trust für Wechselmedien ist keine neue Ausgabe, sondern ein Risikotransfer von einer unkontrollierten Gefährdung hin zu einem gesteuerten, auditierbaren Programm mit kalkulierbaren Kosten und messbaren Ergebnissen.

Wie Shieldworkz OT-Security-Teams bei der Implementierung von Zero Trust für Wechselmedien unterstützt

Bei Shieldworkz arbeiten wir weltweit mit Betreibern kritischer Infrastrukturen, Betriebsleitern und OT-Sicherheitsteams zusammen, um praxistaugliche, durchsetzbare OT-Cybersicherheitsprogramme zu entwickeln, die den Anforderungen der IEC 62443, des IT-Sicherheitsgesetzes (KRITIS) und der NIS2-Richtlinie entsprechen.

Unser Ansatz zur Sicherheit von Wechselmedien umfasst:

OT-spezifische Risikoanalyse Wir bewerten Ihre aktuelle Sicherheitslage im Bereich Wechselmedien über Ihre gesamte OT-Asset-Landschaft hinweg. Wir identifizieren USB-Schnittstellen, decken unregulierte Zugriffskanäle auf und quantifizieren Ihr Risiko. Unsere Bewertungen basieren auf den Security Levels der IEC 62443 und liefern Ihnen eine klare, prioritätenbasierte Roadmap zur Risikominimierung.

Entwicklung von Richtlinien und Governance Wir erarbeiten Richtlinien für Wechselmedien und zugehörige Verfahren, die genau auf Ihre Betriebsumgebung, Ihren regulatorischen Kontext und Ihre operationelle Praxis zugeschnitten sind. Keine Standardvorlagen, sondern dokumentierte, praxistaugliche Kontrollen, die jedem Audit standhalten.

Design und Implementierungsunterstützung für technische Kontrollen Ob Sie Prüfstationen einrichten, USB-Geräte-Whitelisting auf OT-Endgeräten einführen oder ein Überwachungs- und Alarmierungssystem aufbauen möchten – unsere OT-Sicherheitsingenieure arbeiten eng mit Ihrem Team zusammen, um präzise Kontrollen ohne Beeinträchtigung des laufenden Betriebs zu etablieren.

Integration von Herstellern und Drittanbietersicherheit Wir unterstützen Sie dabei, Kontrollen für Wechselmedien von Drittanbietern in Ihre Prozesse zur Einbindung von Zulieferern, Vertragsvereinbarungen und Zutrittsverfahren zu integrieren. Damit schließen Sie das Einfallstor, das die meisten Unternehmen offenlassen.

Kontinuierliche Überwachung und Beratung Für Organisationen, die eine kontinuierliche Absicherung wünschen, bietet Shieldworkz Beratungsdienste zu OT-Cyberbedrohungen (Threat Intelligence) an, um Ihr Sicherheitsniveau für Wechselmedien stets an die aktuelle Bedrohungslage anzupassen.

Fazit: Behandeln Sie jeden USB-Stick als nicht vertrauenswürdig – weil er es ist

Zero Trust für Wechselmedien ist kein reines Technologieprojekt. Es ist ein Mentalitätswandel, der auf klaren Richtlinien basiert, durch Technologie durchgesetzt und in der Unternehmenskultur verankert wird.

Die Annahme, dass ein USB-Stick sicher sei, nur weil eine vertrauenswürdige Person ihn mitbringt, hat sich wiederholt als Trugschluss erwiesen. Die Geräte selbst können an jedem Punkt der Lieferkette kompromittiert, umprogrammiert oder infiziert werden. Zero Trust verlangt: Verifizieren Sie das Gerät, nicht nur die Person. Beschränken Sie den Zugriff auf das absolute Minimum. Protokollieren Sie alles. Alarmieren Sie bei Anomalien. Gehen Sie davon aus, dass selbst ein geprüftes Gerät ein Risiko darstellen kann.

Ihre OT-Umgebung kann es sich nicht leisten, auf implizitem Vertrauen zu basieren, wenn ein einziger Vorfall mit Wechselmedien die Produktion stilllegen, Sicherheitssysteme beeinträchtigen oder behördliche Sanktionen nach sich ziehen kann.

Der Zeitpunkt, jeden USB-Stick als nicht vertrauenswürdig zu behandeln, ist jetzt – bevor ein Vorfall Sie dazu zwingt.

Gehen Sie den nächsten Schritt mit Shieldworkz

Fordern Sie eine Demo an mit unseren Experten, um zu erfahren, wie Shieldworkz die Risikoanalyse von OT-Wechselmedien unterstützt und wie ein Zero-Trust-USB-Sicherheitsprogramm für Ihre Umgebung konkret aussieht.

Zusätzliche Ressourcen:

OT Cyber Threat Intelligence Advisory – Naher Osten hier
NIS2-Richtlinie: NIS2-Compliance durch IEC 62443 erreichen hier
Was sind Wechselmedien? Risiken, Richtlinien und OT-Sicherheitslösungen für die Industrie hier
Kostenlose Vorlage für Wechselmedien-Richtlinien für OT- und IT-Teams hier