Stell Dir vor, jemand kopiert die Konfigurationsdatei Deiner Firewall – und hat damit nicht nur die Regeln, sondern auch gleich die Passwörter der Administratoren. Genau das ist im Juni 2026 zehntausendfach passiert. Die Kampagne trägt den Namen FortiBleed, und sie ist ein Lehrstück darüber, dass zwei unscheinbare Entscheidungen über Sicherheit oder Totalschaden entscheiden: wo das Verwaltungs-Interface Deiner Firewall erreichbar ist und wie deren Backups gelagert werden.
Was passiert ist
Sicherheitsforscher dokumentierten Mitte Juni eine koordinierte Kampagne gegen im Internet erreichbare Fortinet-FortiGate-Firewalls. Die Angreifer zogen von verwundbaren Geräten die Konfigurations-Backups ab und knackten die darin gespeicherten Passwort-Hashes offline mit GPU-Farmen. Das Ergebnis: gültige, funktionierende Administrator-Zugangsdaten für zwischen 74’000 und rund 86’000 Geräte in 194 Ländern – nach Shodan-Daten etwa die Hälfte aller weltweit im Internet erreichbaren FortiGates. Die geknackten Zugänge wurden anschliessend sauber nach Land, Branche und Wert in Datenbanken sortiert.
Das Bittere daran: FortiBleed ist keine exotische Zero-Day-Magie. Es ist die Summe aus einer alten Schwäche in der Passwort-Speicherung und zwei Betriebs-Nachlässigkeiten, die in sehr vielen Netzen stecken.
Die technische Wurzel: ein Hash, der zu lange schwach bleibt
Fortinet hat Ende 2025 die Speicherung der Administrator-Passwörter umgestellt – vom gesalzenen SHA-256 auf das rechenintensive PBKDF2 (in FortiOS 7.2.11, 7.4.8 und 7.6.1). PBKDF2 macht Offline-Knacken teuer und langsam. So weit, so gut. Der Haken: Der neue, starke Hash wird erst geschrieben, wenn sich der jeweilige Administrator nach dem Firmware-Upgrade aktiv einmal anmeldet. Wer das nie tat, dessen Passwort lag weiter als gut knackbarer SHA-256-Hash herum.
Schlimmer noch: Aus Kompatibilitätsgründen bewahrt FortiOS den alten SHA-256-Hash in einem versteckten Konfigurationsfeld namens old-password auf – und das steht in jedem Konfigurations-Backup. Dazu kam, dass rund 63 Prozent der kompromittierten Konten Standard- oder generische Admin-Konten waren, die nie umbenannt wurden. Vorhersehbare Kontonamen plus schwache Hashes plus ein erreichbares Gerät – das ist keine Hürde, das ist eine Einladung.
Lektion 1: Wo das Admin-Interface liegt, entscheidet über den ersten Schritt
Die zwingende Voraussetzung für den ganzen Angriff war ein im offenen Internet erreichbares Verwaltungs-Interface – Web-Konsole, SSH oder FortiCloud-Zugang. Kein Internet-Zugang zur Verwaltung, kein abgezogenes Backup, kein geknackter Hash. So einfach ist die Kausalkette. Die US-Behörde CISA formuliert es unmissverständlich: Management-Interfaces gehören aus dem öffentlichen Internet entfernt und auf vertrauenswürdige Administrations-Netze beschränkt.
Das Verwaltungs-Interface einer Firewall hat im offenen Internet schlicht nichts verloren. Es gehört auf ein abgeschottetes Management-Netz, hinter Trusted-Host-Einschränkungen, erreichbar nur über VPN oder einen Sprung-Host. Eine Firewall, deren Login-Maske jeder Scanner der Welt sieht, ist keine Schutzmauer – sie ist eine Tür mit Klingelschild. Die eigentliche Schutzfunktion und der Verwaltungszugang dürfen nie über dieselbe öffentlich erreichbare Adresse laufen.
Lektion 2: Ein Firewall-Backup ist kein Text-File, es ist ein Generalschlüssel
Hier liegt der zweite, oft unterschätzte Punkt. Viele behandeln das Konfigurations-Backup ihrer Firewall wie eine harmlose Einstellungsdatei – schnell auf einen Datei-Server geschoben, als Anhang ins Ticket gehängt, per Mail an den Kollegen geschickt. Tatsächlich enthält dieses Backup die Kronjuwelen: die Passwort-Hashes der Administratoren (inklusive des schwachen Alt-Hashes im old-password-Feld), die VPN-Schlüssel (Pre-Shared Keys), Zertifikate und SNMP-Community-Strings. Wer dieses Backup hat, hat im Zweifel die ganze Firewall.
Daraus folgen drei Regeln, die in keinem Betrieb fehlen dürfen:
- Verschlüsselt sichern. FortiGate kann Konfigurations-Backups passwortgeschützt und verschlüsselt exportieren. Ein unverschlüsseltes Config-Backup ist ein Klartext-Schlüsselbund – mach es verschlüsselt, immer.
- Offline und zugriffsbeschränkt lagern. Das Backup gehört nicht auf einen erreichbaren Share, nicht ins Mail-Postfach und nicht ins Ticket-System. Es gehört an einen Ort mit klarer Zugriffskontrolle, idealerweise offline – nach demselben Prinzip wie ein Air-Gap-Backup.
- Nach jedem Upgrade die Hashes entwerten. Nach einem FortiOS-Upgrade jeden Administrator einmal aktiv anmelden lassen und die Passwörter rotieren. Erst dann verschwindet der schwache SHA-256-Hash und der starke PBKDF2-Hash greift wirklich.
Was Du jetzt konkret tun solltest
- Das Verwaltungs-Interface vom Internet nehmen: Trusted-Hosts auf das Admin-Subnetz beschränken, Zugang nur über VPN oder Sprung-Host.
- FortiOS auf eine bereinigte Version heben: 7.6.6, 7.4.11, 7.2.13 oder 7.0.19 – oder neuer.
- Alle Administratoren nach dem Upgrade einmal anmelden lassen und sämtliche Passwörter rotieren (entwertet den alten Hash).
- Standard- und generische Admin-Konten umbenennen oder entfernen.
- FortiCloud-SSO prüfen und dort deaktivieren, wo es nicht gebraucht wird – die zugehörige Authentifizierungs-Umgehung CVE-2026-24858 (CVSS 9.4) wird seit Januar 2026 aktiv ausgenutzt.
- Phishing-resistente MFA einführen: FIDO2-Sicherheitsschlüssel oder zertifikatsbasierte Anmeldung statt nur Passwort.
- Konfigurations-Backups verschlüsseln, offline lagern und den Zugriff beschränken.
- Logs prüfen: neue Admin-Konten, ungewöhnliche VPN-Sitzungen, unbekannte Anmeldungen.
Fazit
FortiBleed hat keine geniale neue Lücke gebraucht. Es hat zwei verbreitete Nachlässigkeiten ausgenutzt: ein Verwaltungs-Interface, das offen im Netz stand, und Konfigurations-Backups, die wie belanglose Dateien behandelt wurden. Beides ist kein Fortinet-Spezifikum – dieselbe Logik gilt für jede Firewall, jeden Router, jedes Verwaltungs-Portal. Die Frage ist nicht, ob Dein Hersteller patcht, sondern ob Deine Verwaltungszugänge erreichbar und Deine Schlüssel-Backups geschützt sind.
Genau so betreiben wir bei der UCC Pro die Firewalls unserer Kunden: Das Management hängt nie im offenen Internet, sondern ausschliesslich an einem abgeschotteten Administrations-Netz, und die Konfigurations-Backups liegen verschlüsselt und vom Netz getrennt. Wenn Du nicht sicher bist, wo Dein Firewall-Login erreichbar ist und wo Deine letzten Config-Backups liegen, ist das der richtige Moment, genau das zu prüfen. Sprich uns an, wenn Du dabei eine zweite Meinung willst.
Quellen: Cloud Security Alliance, Research Note «FortiBleed» (20.06.2026); CISA, Guidance zu CVE-2026-24858 (28.01.2026); Arctic Wolf und Bitsight, FortiBleed-Analysen (Juni 2026).