FortiBleed: Kompromittierte Fortinet-Firewalls, Ursachen und Sofortmaßnahmen im Überblick

Mitte Juni 2026 wurde unter dem Namen FortiBleed eine der größten dokumentierten Offenlegungen von Firewall-Zugangsdaten öffentlich. Sicherheitsforscher um Bob Diachenko stießen auf einen Datensatz mit Anmeldedaten zu über 73.000 internetexponierten Fortinet-Geräten in 194 Ländern, ausgewertet unter anderem von Arctic Wolf und Hudson Rock. Anders als der Name nahelegt steckt dahinter kein frischer Zero-Day, sondern eine Verkettung bekannter Schwachstellen, veralteter Passwort-Hashes und wiederverwendeter Zugangsdaten. Auch das österreichische CERT.at rät Betreibern von Fortinet-Geräten zu unmittelbarem Handeln. Wir fassen die Faktenlage zusammen und zeigen, was Administratoren jetzt konkret umsetzen sollten.

Update vom 25. Juni 2026. FortiBleed ist inzwischen als herstellerübergreifende Kampagne bestätigt, die auch Sophos, Synology und MSSQL ins Visier nahm. Details im Abschnitt FortiBleed als Multivendor-Angriff weiter unten.

Update vom 2. Juli 2026. Laut SOCRadar speisen die erbeuteten FortiGate-Zugänge inzwischen aktiv Ransomware-Angriffe (INC Ransom, Lynx). Mehr dazu bei den größten Risiken.

Was ist FortiBleed?

FortiBleed ist der von Sicherheitsforschern vergebene Name für einen Datensatz mit gültigen Zugangsdaten zu Fortinet-Firewalls und SSL-VPN-Gateways, der Mitte Juni 2026 öffentlich wurde. Entdeckt wurde er von Bob Diachenko, die Analyse erfolgte durch Hudson Rock, SOCRadar, Arctic Wolf und den Sicherheitsforscher Kevin Beaumont. Der Datensatz enthält keine bloßen Login-Listen, sondern Informationen wie interne E-Mail-Adressen, die normalerweise nur in exportierten Gerätekonfigurationen vorkommen. Das deutet auf eine Exfiltration auf Konfigurationsebene hin, nicht auf reines Abgreifen von Anmeldemasken.

Aufbereitet für den Verkauf: Warum die FortiBleed-Liste für Angreifer so wertvoll ist

Auffällig ist die Aufbereitung. Beaumont beschreibt den Datensatz als nach Unternehmenstyp, Umsatz und Mitarbeiterzahl sortiert, was als typische Handschrift von eCrime-Gruppen gilt, die Erstzugänge zum Verkauf bündeln. FortiBleed gleicht damit eher einem für Käufer aufbereiteten Verzeichnis von Erstzugängen, gefiltert nach Branche und Unternehmensgröße, als einer gewöhnlichen Pannenmeldung.

Ausmaß und Zahlen: 30.000 bis 75.000 betroffene Geräte

Die Schätzungen variieren je nach Methodik der beteiligten Forschungsteams. Die folgende Übersicht fasst die zentralen Kennzahlen mit ihren jeweiligen Quellen zusammen.

FortiBleed in Zahlen: Kennzahlen und Quellen im Überblick

FortiBleed in Deutschland: betroffene Geräte und Behördenlage

Für Deutschland ist die Lage doppelt relevant. Im FortiBleed-Datensatz finden sich nach Auswertung von heise online gut 120 Geräte mit Domains in Deutschland, darunter Systeme im Netz der Deutschen Telekom. Schon im Januar 2026 wies die Shadowserver Foundation rund 3.000 exponierte FortiGate-Management-Zugänge aus, darunter etwa 130 mit aktiviertem FortiCloud-SSO. Das CERT-Bund benachrichtigt Betreiber seit etwa einem Jahr über exponierte Administrationsoberflächen, dennoch bleibt eine erhebliche Angriffsfläche bestehen. Eine eigene FortiBleed-Warnung deutscher Behörden lag zum Zeitpunkt der Veröffentlichung nicht vor, Fortinet-Produkte werden vom BSI und CERT-Bund jedoch laufend in Schwachstellenhinweisen beobachtet.

Wie der FortiBleed-Angriff funktioniert

FortiBleed beruht nicht auf einem einzelnen Exploit, sondern auf einer systematisch ausgeführten Kette bekannter Schwächen. Angreifer extrahierten zunächst Konfigurationsdateien von internetexponierten FortiGate-Geräten. Ältere FortiOS-Versionen speicherten Administrator-Passwörter mit einem Hash-Verfahren auf SHA-256-Basis. SHA-256 ist als schnelle Prüfsummenfunktion ausgelegt, was für die Passwortspeicherung problematisch ist, weil sich die Hashes offline mit hoher Geschwindigkeit knacken lassen. Forscher dokumentierten dafür unter anderem einen Cluster mit 45 GPUs.

Wiederverwendete Zugangsdaten und die Rolle von CVE-2026-24858

Hinzu kommt der Faktor wiederverwendeter Zugangsdaten. Die Angreifer testeten Passwörter aus früheren Fortinet-Datenlecks und aus Infostealer-Logs im großen Stil gegen erreichbare Geräte. Dieses Muster überschneidet sich mit dem, was wir im Beitrag zu Credential Stuffing beschreiben. Die zentrale ausgenutzte Schwachstelle ist CVE-2026-24858, eine Umgehung der FortiCloud-SAML-SSO-Authentifizierung mit kritischem CVSS-Wert von bis zu 9,8, die Fortinet am 27. Januar 2026 öffentlich machte und die seither in der CISA-KEV-Liste steht. Über sie konnten unauthentifizierte Angreifer lokale Administratorkonten zur Persistenz anlegen und Konfigurationen exportieren.

FortiBleed-CVEs: die wichtigsten Fortinet-Schwachstellen im Überblick

Die folgende Chronologie zeigt, wie aus den SSO-Schwachstellen vom Dezember 2025 über CVE-2026-24858 schließlich der FortiBleed-Datensatz wurde.

Die größten Risiken von FortiBleed für Unternehmen

Die eigentliche Gefahr von FortiBleed liegt nicht im einzelnen geleakten Passwort, sondern in der Position der betroffenen Geräte. Eine Firewall sitzt am Netzwerkperimeter, gültige Administrator-Zugangsdaten geben Angreifern damit direkten Zugriff auf interne Systeme, VPN-Tunnel und sensible Daten. Aus einem erbeuteten Zugang folgt fast immer eine Kette weiterer Schritte.

Vom Erstzugang zu Lateral Movement und Ransomware

Mit Administratorrechten lassen sich Firewall-Regeln verändern, neue VPN-Konten anlegen und der Datenverkehr umleiten. Von dort bewegen sich Angreifer über Lateral Movement seitlich ins Netzwerk, exfiltrieren Daten oder bringen Ransomware aus. Besonders kritisch ist die Aufbereitung des Datensatzes als Handelsware. Nach Branche und Umsatz sortierte Erstzugänge sind die typische Vorstufe gezielter Ransomware-Angriffe, weil Täter damit lohnende Ziele gezielt auswählen können.

Update vom 2. Juli 2026. Was dieser Abschnitt bislang als Kette beschrieb, ist inzwischen belegt. Laut SOCRadar fließen FortiBleed-Zugänge direkt in Ransomware-Operationen. Die Threat-Research-Unit fand einen Operator, der über FortiBleed-Infrastruktur gleichzeitig in den Verhandlungspanels von INC Ransom und Lynx aktiv war, und dokumentierte Opferüberschneidungen mit INC. Bestätigt sind Admin-Zugriff auf 409 Ziele, die vollständige Angriffskette bis zum Domain-Admin auf 354 davon und mindestens 12 Ransomware-Deployments mit hunderten verschlüsselten Endpunkten. Den Initial Access Broker ordnet SOCRadar organisatorisch getrennt von INC und Lynx ein, die den Zugang vermutlich einkaufen. Eine FortiBleed-Exponierung sollte deshalb als Vorstufe eines Ransomware-Vorfalls gelten, mit einem typischen Zeitfenster von 30 bis 60 Tagen. Ein Whitepaper mit vollständigen Indikatoren steht laut SOCRadar noch aus, eine gesonderte Betroffenheit im deutschsprachigen Raum ist bislang nicht bestätigt.

Kein klassischer Zero-Day: die eigentliche Ursache

Viele Schlagzeilen rahmen FortiBleed als spektakulären neuen Zero-Day. Diese Darstellung greift zu kurz und verdeckt die eigentliche Ursache. Ein bestätigter, zuvor unbekannter Fehler speziell für FortiBleed wurde bislang nicht nachgewiesen. Die belastbarste Erklärung unter Forschern ist eine Konvergenz aus ungepatchten bekannten CVEs, vor allem CVE-2026-24858, dem veralteten SHA-256-Hashing in älteren FortiOS-Versionen und recyceltem Zugangsmaterial aus Infostealer-Kampagnen.

Das deckt sich mit der herstellerneutralen Beobachtung der Sicherheitsbehörden. Das BSI weist seit Jahren darauf hin, dass administrative Zugänge von Firewalls unabhängig vom Hersteller zu oft offen im Internet stehen. Wer auf die Bestätigung eines neuen Zero-Days wartet, bevor er handelt, verkennt die Lage, denn die bereits bekannte Angriffsfläche genügt für eine sofortige Reaktion.

Fortinets Stellungnahme und die Sicht der Forscher

Fortinet selbst widerspricht der Darstellung als aktueller Vorfall. Das Unternehmen ordnet die Daten als Zusammenführung aus früheren Vorfällen sowie als Ergebnis von Brute-Force ein und sieht keinen Zusammenhang mit einem neuen Advisory. Forscher halten dagegen, dass sich viele betroffene Geräte vom bekannten Leak aus dem Jahr 2025 unterscheiden und auf aktuellen Softwareständen laufen, was für einen frischen Datenbestand spricht.

Patchen und Härten als Dauerbetrieb

Die Geräte, die jetzt in solchen Datensätzen auftauchen, sind fast immer die, um die sich im Alltag niemand kümmert. Aktuelle Patchstände, geschlossene Management-Zugänge und erzwungene Passwortwechsel sind kein einmaliges Projekt, sondern Dauerbetrieb. Wenn ein Unternehmen das intern nicht dauerhaft leisten kann, ist eine Managed Firewall der naheliegende Weg. Im Rahmen eines Firewall SLA übernehmen wir Monitoring, Patching und Härtung verbindlich, mit fest zugesagten Reaktions- und Patchzeiten.

Roman Jacobi, Geschäftsführer Aphos

Update vom 25. Juni 2026: FortiBleed ist ein Multivendor-Angriff

Seit der ersten Veröffentlichung hat sich das Bild deutlich erweitert. SpyCloud Labs erhielt Zugriff auf die Infrastruktur der Angreifer und zeigt, dass der ursprüngliche Leak mit 73.932 FortiGate-Geräten nur ein Ausschnitt einer global angelegten, weitgehend automatisierten Brute-Force-Kampagne war. Dahinter steht ein russischsprachiger Initial Access Broker, der Erstzugänge sammelt und an andere Kriminelle weiterverkauft, typischerweise an Ransomware-Gruppen.

Dasselbe Vorgehen, einen Produkttyp im Internet suchen und anschließend per Brute-Force durchprobieren, richtete sich nicht nur gegen Fortinet. FortiGate war zwar das größte einzelne Zielsegment, machte aber weniger als ein Drittel aller gescannten Endpunkte aus. The Hacker News beschreibt die Aktion als breitere Zugangsoperation, die zusätzlich Synology NAS, Sophos-Firewalls, Remote Desktop Web, Citrix SSL-VPNs und MSSQL-Server automatisiert attackierte.

Welche Hersteller neben Fortinet betroffen sind

Sophos fand keine Hinweise auf die Ausnutzung einer neuen Schwachstelle in den eigenen Produkten. Erfolgreiche Kompromittierungen waren laut Sophos sehr begrenzt und betrafen nur Fälle, in denen VPN-Portale oder SSH ohne Multi-Faktor-Authentifizierung im Internet exponiert waren.

Industrielle Skalierung und Initial Access Broker

Die Dimension ist beispiellos. Allein gegen Fortinet liefen rund 1,16 Milliarden Login-Versuche gegen etwa 320.000 Hosts, gegen MSSQL-Server kamen weitere 2,1 Milliarden Versuche hinzu. Innerhalb von rund zwei Wochen dokumentierten die Analysen 659 Credential-Pipelines mit über 110 Millionen geprüften Zugangsdaten. Möglich wird diese Schlagzahl durch konsequente Automatisierung. Nach SpyCloud entwickelten die Betreiber ihre Werkzeuge mit KI-gestützten Code-Editoren (Cursor) und agentischen Pentest-Frameworks (CyberStrike) und richteten den gesamten Ablauf auf Masse statt auf einzelne Wunschziele aus.

Der Fokus liegt dabei auf leicht verwertbaren Zielen. Nach SpyCloud-Auswertung gehören rund 60 Prozent der kompromittierten FortiGate-Geräte zu Unternehmen mit weniger als 50 Millionen US-Dollar Jahresumsatz, also überwiegend zum Mittelstand. SOCRadar führt inzwischen über 86.644 bestätigte Zugangsdaten aus 23.406 Domains in 194 Ländern. An der Kernaussage ändert das nichts. FortiBleed ist kein hersteller-spezifischer Bug, sondern ein Angriff auf exponierte Zugänge und schwache oder wiederverwendete Passwörter, der grundsätzlich jede Plattform treffen kann.

Bin ich von FortiBleed betroffen? Checkliste und Indikatoren

Jedes Unternehmen mit einer internetexponierten FortiGate-Firewall oder einem öffentlich erreichbaren SSL-VPN-Gateway sollte von einer möglichen Betroffenheit ausgehen und die eigenen Logs prüfen. Arctic Wolf dokumentierte mehrere wiederkehrende Indikatoren einer Kompromittierung.

• Erfolgreiche SSO-Admin-Logins von unbekannten Konten, in den dokumentierten Fällen etwa cloud-init@mail.io
• Neu angelegte lokale Administratorkonten mit Super-Admin-Profil zur Persistenz
• Export von Konfigurationsdateien über die GUI an externe IP-Adressen, häufig im Sekundentakt und damit automatisiert
• Neue VPN-Benutzerkonten oder unerwartet veränderte Firewall-Regeln
• Administrative Anmeldungen aus untypischen geografischen Regionen

Exponierung prüfen mit Schwachstellenanalyse und Firewall Audit

Wer die eigene Exponierung systematisch bewerten möchte, kann das über eine externe Schwachstellenanalyse oder ein Firewall Audit tun. Beide prüfen, welche Dienste und Oberflächen tatsächlich aus dem Internet erreichbar sind.

FortiBleed Check: Prüfen, ob die eigene Firewall betroffen ist

Mehrere Sicherheitsanbieter stellen kostenlose Abfragen bereit, mit denen sich prüfen lässt, ob die eigene Domain oder ein Gerät im FortiBleed-Datensatz auftaucht. SOCRadar bietet dafür ein kostenloses FortiBleed-Prüftool, auch Hudson Rock stellt eine vergleichbare Suche bereit. Ein negatives Ergebnis ist allerdings keine Garantie. Da Zugangsdaten unbemerkt aus scheinbar gepatchten Geräten abfließen, sollten alle internetexponierten FortiGate-Zugänge vorsorglich als potenziell kompromittiert behandelt und die folgenden Sofortmaßnahmen umgesetzt werden.

Sofortmaßnahmen für FortiGate-Administratoren

Die folgenden Schritte orientieren sich an den Empfehlungen von CERT.at, Arctic Wolf und der CISA. Die Reihenfolge ist bewusst gewählt, der erzwungene Passwortwechsel wirkt nur nach dem Update vollständig.

1. FortiOS sowie FortiManager, FortiAnalyzer und FortiProxy auf den aktuellen Patchstand bringen und Fortinet-Advisories laufend prüfen.
2. Management-Interfaces aus dem Internet nehmen und den Zugriff ausschließlich über VPN oder eine IP-Allowlist zulassen.
3. Nach dem Update einen erzwungenen Passwortwechsel für alle Administratoren durchführen, damit die Hashes auf das sicherere PBKDF2-Verfahren umgestellt werden.
4. Multi-Faktor-Authentifizierung für alle administrativen und externen Zugänge aktivieren, das entwertet gestohlene Zugangsdaten weitgehend.
5. Sämtliche Zugangsdaten rotieren, ausdrücklich auch alle SSL-VPN-Benutzerkonten.
6. Logs auf die genannten Indikatoren prüfen sowie unbekannte Admin-Konten und veränderte Regeln entfernen.
7. Mit konsequenter Netzwerksegmentierung verhindern, dass ein einzelnes kompromittiertes Konto das gesamte Netz erreicht.

Praxisnahe Grundlagen zu den ersten beiden Punkten haben wir in unserem Leitfaden zur Firewall-Härtung zusammengefasst. Für die Trennung von administrativem und Nutzerzugriff lohnt zusätzlich ein Blick auf den Unterschied zwischen IPsec und SSL-VPN.

Strukturelle Konsequenzen für die Firewall-Sicherheit

FortiBleed zeigt zwei strukturelle Schwächen, die über den einzelnen Hersteller hinausreichen. Erstens sollten lokale Management-Oberflächen von Perimeter-Geräten nicht direkt aus dem Internet erreichbar sein. Der administrative Zugriff gehört hinter ein VPN, eine IP-Allowlist oder ein cloudbasiertes Management, das über ausgehende Verbindungen arbeitet. Zweitens sind erreichbare Anmeldepunkte nur so sicher wie das schwächste wiederverwendete Passwort. Ein konsequenter Zero Trust Network Access-Ansatz adressiert beides, weil Zugriffe identitätsbasiert und nicht über exponierte Ports gewährt werden.

Herstellerstrategie, End-of-Life und Modernisierung

Ein besonderes Risiko tragen Geräte am Ende ihres Lebenszyklus, die keine Sicherheitsupdates mehr erhalten und damit dauerhaft verwundbar bleiben. Welche FortiGate- und FortiWiFi-Modelle betroffen sind, zeigt unser Fortinet End-of-Life-Kalender. Für Betreiber von Fortinet-Firewalls ist der Vorfall kein zwingender Grund für einen Herstellerwechsel, wohl aber ein Anlass, die eigene Betriebs- und Härtungsdisziplin zu überprüfen. Wer ohnehin über eine Modernisierung nachdenkt, findet in unserem Leitfaden zur Migration von Fortinet zu Sophos eine sachliche Entscheidungsgrundlage, etwa für einen Umstieg auf die Sophos XGS Firewall. Vorfälle dieser Art können grundsätzlich bei jedem Firewall-Hersteller auftreten. Worauf es ankommt, sind geschlossene Administrationszugänge, aktuelle Patchstände und durchgängige Multi-Faktor-Authentifizierung.

Fazit: Was FortiBleed über moderne Firewall-Sicherheit lehrt

FortiBleed ist kein Einzelfehler, sondern das vermeidbare Zusammentreffen mehrerer Versäumnisse. Bekannte und teils seit Monaten gepatchte CVEs, veraltete Passwort-Hashes und recycelte Zugangsdaten ergaben in Summe eine industrielle Kompromittierung Zehntausender Geräte.

Für Administratoren sind die wirksamen Gegenmaßnahmen seit Langem bekannt und ohne neue Technologie umsetzbar. Wer das Management-Interface vom Internet trennt, zeitnah patcht, Passwörter nach dem Update erzwungen wechselt und Multi-Faktor-Authentifizierung durchsetzt, nimmt einer Kampagne wie FortiBleed die Grundlage. Diese Hygiene gilt herstellerübergreifend und gehört in jeden Firewall-Betrieb.

Stand 2. Juli 2026. Die Lage entwickelt sich weiter. Inzwischen ist belegt, dass die Kampagne nicht nur Fortinet, sondern auch Sophos, Synology und MSSQL ins Visier nahm, und die Zahl bestätigter Zugangsdaten wächst weiter. Laut SOCRadar fließen die erbeuteten FortiGate-Zugänge zudem bereits in Ransomware-Operationen wie INC Ransom und Lynx. An der Handlungsempfehlung ändert das nichts, im Gegenteil. Wer exponierte Zugänge schließt, patcht, Passwörter rotiert und Multi-Faktor-Authentifizierung erzwingt, ist gegen diese und vergleichbare Kampagnen gewappnet, unabhängig vom Hersteller.

Wie sich sicherer Fernzugriff über ZTNA und konsequent gehärtete VPN-Zugänge praktisch umsetzen lässt, vertiefen wir in unserem kostenfreien Webinar zu VPN, ZTNA und Workspace Protection.