Die Idee, USB-Medien an einem dedizierten Prüfpunkt zu kontrollieren, ist nicht neu. Es gibt einen etablierten Markt leistungsfähiger Lösungen. Wer eine Schleuse glaubwürdig auswählen will, sollte diesen Markt kennen — und ehrlich benennen, was er kann und wo er den Mittelstand nicht erreicht.
Eine etablierte Produktkategorie
USB-Schleusen — im Englischen oft „Decontamination Station“ oder „Sheep-Dip-Kiosk“ genannt — sind seit Jahren im Einsatz. Das Grundprinzip ist überall gleich: Der Anwender steckt seinen Datenträger an eine eigenständige Station, diese prüft die Dateien mit mehreren Scan-Engines, blockiert Schädliches und gibt anschließend eine saubere Version frei. Die Unterschiede liegen im Detail — vor allem darin, wie gründlich geprüft wird und was am Ende mit der sauberen Datei geschieht.
Die Platzhirsche
Den Markt prägen einige besonders sichtbare Anbieter:
- OPSWAT bündelt im MetaDefender Kiosk über 30 Antiviren-Engines, ergänzt um Deep Content Disarm and Reconstruction (Deep CDR), Schwachstellen- und Herkunftsanalyse. Die saubere Datei gelangt über ein separates Managed-File-Transfer-Produkt, optional über eine Datendiode, in die geschützte Zone; Endpunkt-Agenten stellen sicher, dass nur geprüfte Medien gelesen werden.
- TYREX aus Frankreich verfolgt einen ähnlichen Ansatz mit mehreren Antiviren- und KI-Engines, BadUSB-Erkennung und Bauformen vom Standkiosk bis zur robusten Mobilstation. Gereinigten Datenträgern stellt TYREX optional ein digitales Zertifikat aus, dessen Einhaltung ein Endpunkt-Agent erzwingt.
- Sasa Software setzt mit GateScanner konsequent auf Content Disarm and Reconstruction und kombiniert Kiosk, Datendioden und einen Sicherheits-Hub zu Cross-Domain-Lösungen; odix verfolgt einen vergleichbaren CDR-Schwerpunkt.
- link22 aus Schweden bietet eine bewusst schlanke Scan-Station nach dem Zwei-Stick-Prinzip: Quell-Datenträger und ein zweiter, sauberer Datenträger werden angesteckt, die freigegebenen Dateien landen auf dem sauberen Stick.
Diese Lösungen sind technisch ausgereift und vielfach im Einsatz. Auffällig ist ihr Zielmarkt: kritische Infrastruktur, Industrieanlagen, Verteidigung, Luftfahrt und Großunternehmen mit abgeschotteten Netzen. Entsprechend hoch sind Funktionsumfang, Komplexität und Preis.
Die eigentliche Frage: Wohin mit der sauberen Datei?
Vergleicht man die Lösungen, zeigt sich der entscheidende Unterschied nicht beim Scannen, sondern bei der Frage, was danach mit der geprüften Datei passiert. Die Antworten reichen vom gereinigten Original-Stick mit Zertifikat über einen zweiten, sauberen USB-Stick bis zur Ablage auf einem Netzwerk-Share. Die Zuordnung erfolgt dabei meist auf Geräte- oder Richtlinienebene, durchgesetzt über Zertifikate und Endpunkt-Agenten.
Was in keinem dieser Modelle im Mittelpunkt steht, ist die Verbindung zur konkreten Person: dass genau dieser Mitarbeiter sich ausweist und die gereinigte Datei anschließend automatisch in seinem eigenen Benutzerkonto landet — einsatzbereit am Arbeitsplatz, ohne zweiten Stick und ohne Umweg über ein gemeinsames Share.
Die Lücke: der Mittelstand zwischen den Stühlen
Hier öffnet sich die eigentliche Lücke. Die etablierten Lösungen sind auf kritische Infrastruktur, abgeschottete Netze und große Organisationen zugeschnitten — mit entsprechendem Aufwand und Preis. Der deutsche Mittelstand fällt dazwischen: zu klein für eine mehrteilige OT-Schleuse aus Kiosk, Agenten, Managementserver und Datendiode, aber seit der NIS2-Umsetzung sehr wohl in der Pflicht.
Für ein Maschinenbauunternehmen mit 120 Beschäftigten, das eingehende USB-Sticks von Service-Technikern und Lieferanten kontrollieren muss, ist ein Verteidigungs- oder Kraftwerks-Kiosk schlicht überdimensioniert.
Worauf es für den Mittelstand ankommt
Aus dieser Lücke ergeben sich die Kriterien für eine passende Lösung:
- Mehrschichtiges Prüfen statt eines einzelnen Scans — die bewährte Stärke der Kategorie.
- Identitätsbindung — jeder Vorgang gehört zu einer ausgewiesenen Person, das Ergebnis landet in deren persönlicher Cloud.
- Keine Agenten auf den Arbeitsplätzen — geringer Einführungsaufwand, kein Parallelapparat.
- Wahlfreiheit beim Betrieb — vor Ort (Datensouveränität) oder gehostet, containerbasiert.
Genau auf diese Kriterien ist Malware Hunter ausgelegt: eine identitätsgebundene USB-Datenschleuse für den Mittelstand. Den vollständigen technischen Hintergrund finden Sie im Whitepaper; für ein Gespräch über Ihre Situation fragen Sie eine Demo an.