FortiBleed: Firewalls24.de veröffentlicht Sofortmaßnahmen-Ratgeber für Fortinet-Administratoren

Unter dem Namen FortiBleed wurde Mitte Juni 2026 ein umfangreicher Datensatz mit gültigen Zugangsdaten internetexponierter Fortinet Firewalls öffentlich. Auf Firewalls24.de, dem von der Aphos GmbH betriebenen Shop und Fachportal für IT-Sicherheitslösungen, wurde dazu ein ausführlicher Ratgeber veröffentlicht, der die Faktenlage einordnet und konkrete Sofortmaßnahmen für Administratoren zusammenfasst.

Kein neuer Zero-Day, sondern bekannte Schwächen

Nach Auswertungen der Sicherheitsforscher Hudson Rock, SOCRadar und Kevin Beaumont umfasst der Datensatz je nach Methodik zwischen 30.000 und 75.000 betroffene Geräte in 194 Ländern. Anders als der Name vermuten lässt, handelt es sich nach aktuellem Stand nicht um einen neuen Zero-Day, sondern um das Zusammentreffen bekannter Schwachstellen, veralteter Passwort-Hashes und wiederverwendeter Zugangsdaten aus früheren Datenlecks und Infostealer-Logs.

Auch deutsche Geräte betroffen

Auch in Deutschland sind Geräte betroffen. Eine Auswertung von heise online nennt gut 120 Systeme mit Domains in Deutschland. Das BSI und das CERT-Bund weisen seit Längerem darauf hin, dass administrative Zugänge von Firewalls herstellerübergreifend zu oft offen aus dem Internet erreichbar sind. Eine eigene FortiBleed-Warnung deutscher Behörden lag zum Zeitpunkt der Veröffentlichung nicht vor.

Vier Sofortmaßnahmen für Fortinet-Administratoren

Firewalls24 empfiehlt Betreibern von Fortinet-Geräten vier zentrale Schritte: FortiOS und zugehörige Komponenten auf den aktuellen Patchstand bringen, Management-Interfaces aus dem Internet nehmen, nach dem Update einen erzwungenen Passwortwechsel zur Umstellung auf das sicherere PBKDF2-Verfahren durchführen und Multi-Faktor-Authentifizierung für alle externen Zugänge aktivieren.

Die vollständige Checkliste samt Indikatoren einer Kompromittierung steht im ausführlichen FortiBleed-Ratgeber unter bereit:

FortiBleed - Was Fortinet-User jetzt wissen und tun müssen

"Die Geräte, die jetzt in solchen Datensätzen auftauchen, sind fast immer die, um die sich im Alltag niemand kümmert. Aktuelle Patchstände, geschlossene Management-Zugänge und erzwungene Passwortwechsel sind kein einmaliges Projekt, sondern Dauerbetrieb", sagt Roman Jacobi, Geschäftsführer von Aphos. "Vorfälle dieser Art können grundsätzlich jeden Hersteller treffen. Entscheidend ist die Betriebsdisziplin, nicht die Marke."

Managed Firewall und Service Level Agreements

Für Organisationen, die Patching, Monitoring und Härtung ihrer Firewall nicht dauerhaft intern abbilden können, bietet die Aphos GmbH Managed Firewalls im Rahmen von Firewall Service Level Agreements an. Darin sind verbindliche Reaktions- und Patchzeiten festgeschrieben, sodass Updates, geschlossene Management-Zugänge sowie regelmäßige Konfigurationsprüfungen und Passwortrotationen verlässlich im laufenden Betrieb erfolgen.