FortiBleed: Warnsignal für die Netzwerksicherheit

Unter dem Namen FortiBleed sorgt derzeit eine groß angelegte Credential-Kampagne rund um Fortinet-Geräte für Aufmerksamkeit. Nach Angaben der US-Cybersicherheitsbehörde CISA sind Zugangsdaten zu rund 74.000 Fortinet-Geräten betroffen, darunter Firewalls und VPN-Gateways. Sicherheitsforscher von SOCRadar nennen in ihrer laufend aktualisierten Analyse inzwischen mehr als 86.000 kompromittierte Fortinet-Geräte in 194 Ländern.

Zugangsdaten statt neuer Zero-Day

Nach aktuellem Stand handelt es sich bei FortiBleed nicht um eine bestätigte neue Fortinet-Schwachstelle. Im Mittelpunkt stehen vielmehr kompromittierte Zugangsdaten, die gegen internetexponierte Fortinet FortiGate Firewalls und SSL-VPN-Gateways eingesetzt wurden. SOCRadar beschreibt FortiBleed als aktive, groß angelegte Credential-Theft-Kampagne. Die Datenbasis wird laut den Forschern weiter aktualisiert.

Für Unternehmen ist dieser Unterschied wichtig: Ein Patch allein löst das Problem nicht automatisch. Wenn gültige Admin- oder VPN-Zugangsdaten im Umlauf sind, bleiben Systeme angreifbar, solange Passwörter nicht rotiert, Sessions nicht beendet und Zugriffe nicht eingeschränkt werden.

Warum das für IT-Entscheider relevant ist

Firewalls und VPN-Gateways gehören zu den kritischsten Komponenten der Unternehmens-IT. Sie schützen nicht nur den Zugang zum Netzwerk, sondern sind selbst ein attraktives Ziel für Angreifer. Wer hier mit alten Zugangsdaten, schwacher Authentifizierung oder öffentlich erreichbaren Management-Oberflächen arbeitet, schafft ein erhebliches Risiko.

FortiBleed zeigt deshalb ein grundsätzliches Problem: Security hängt nicht nur von aktuellen Patches ab, sondern auch von sauberem Credential-Management, konsequenter Härtung und laufender Überwachung. Besonders kritisch sind Umgebungen, in denen Zugangsdaten nach früheren Sicherheitsvorfällen nie geändert wurden oder Management-Schnittstellen direkt aus dem Internet erreichbar sind.

CISA empfiehlt Sofortmaßnahmen

CISA fordert betroffene Fortinet-Kunden dazu auf, aktive SSL-VPN- und Administrations-Sessions zu beenden und Zugangsdaten zurückzusetzen. Außerdem empfiehlt die Behörde, phishing-resistente Multi-Faktor-Authentifizierung einzusetzen, verdächtige Aktivitäten in Logs zu prüfen und den Management-Zugriff auf vertrauenswürdige Netzwerke oder IP-Bereiche zu beschränken.

Auch SOCRadar empfiehlt Unternehmen, betroffene Systeme nicht nur oberflächlich abzusichern, sondern sie auf mögliche unautorisierte Zugriffe, Konfigurationsänderungen und persistente Manipulationen zu prüfen. Wer in der FortiBleed-Datenbasis auftaucht oder einen Verdacht hat, sollte den Vorfall wie einen möglichen Perimeter-Compromise behandeln.

Der eigentliche Weckruf

FortiBleed ist damit weniger ein klassischer Patch-Alarm als ein Weckruf für die operative Sicherheit am Netzwerkrand. Unternehmen sollten jetzt prüfen, welche Fortinet-Systeme internetexponiert sind, ob Management-Zugänge ausreichend geschützt sind und wann administrative sowie VPN-Zugangsdaten zuletzt rotiert wurden.

Für IT-Entscheider lautet die zentrale Lehre: Firewalls schützen nur dann zuverlässig, wenn sie selbst konsequent geschützt werden. Wer Edge-Systeme betreibt, braucht nicht nur aktuelle Firmware, sondern klare Prozesse für Credential-Hygiene, MFA, Zugriffsbeschränkung, Monitoring und Incident Response.