FortiBleed ist eine der größten Perimeter-Kompromittierungen des Jahres: Angreifer haben gültige Administrator- und VPN-Zugangsdaten von rund 86.644 Fortinet-FortiGate-Firewalls in 194 Ländern erbeutet. Das entspricht etwa der Hälfte aller aus dem Internet erreichbaren Fortinet-Perimeter-Geräte. Und die erbeuteten Zugänge werden aktiv für Ransomware genutzt.
Wie FortiBleed ans Licht kam
Öffentlich wurde FortiBleed am 13. Juni 2026, als der Sicherheitsforscher Volodymyr “Bob” Diachenko auf einen offen im Netz stehenden Server einer Angreifergruppe stieß. Darauf lag eine wachsende Datenbank mit geprüften Zugangsdaten, dazu automatisiertes Angriffswerkzeug. Hinter der Kampagne steht laut den Untersuchungen ein russischsprachiges Cybercrime-Syndikat.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Die Reaktion der Behörden kam schnell. Innerhalb von sechs Tagen veröffentlichten die US-Behörde CISA eine Notfall-Warnung, das britische NCSC eine globale Warnung und Fortinets eigenes Sicherheitsteam einen Blog-Beitrag. Ein derart abgestimmtes Vorgehen unterstreicht, wie ernst die Lage eingeschätzt wird.
Von gestohlenen Zugängen zur Ransomware
Das eigentliche Problem sind nicht die Firewalls allein, sondern was danach passiert. Die Täter melden sich mit den erbeuteten Zugängen an und schleusen darüber Ransomware in die Netzwerke ihrer Opfer. Ermittler fanden einen Operator, der gleichzeitig in den Verhandlungsportalen der Ransomware-Gruppen INC Ransom und Lynx eingeloggt war. Opfer auf der Leak-Seite von INC Ransom überschnitten sich mit Organisationen aus den FortiBleed-Daten.
Kurz gesagt: Dieselbe Gruppe, die Fortinet-Zugänge sammelt, betreibt damit doppelte Erpressung – Daten werden verschlüsselt und zusätzlich mit Veröffentlichung gedroht. Wer eine internetseitige FortiGate mit SSL-VPN betreibt, muss davon ausgehen, potenziell betroffen zu sein.
FortiBleed: Was du jetzt tun solltest
Die CISA-Empfehlungen sind eindeutig und dringend:
- Alle aktiven SSL-VPN- und Administrator-Sitzungen sofort beenden.
- Sämtliche Fortinet-VPN- und Admin-Passwörter zurücksetzen – vor allem auf internetseitigen Systemen.
- Starke Passwort-Richtlinien durchsetzen und die Geräte gemäß Herstellervorgaben härten.
Reine Passwörter reichen als Schutz längst nicht mehr. Der wirksamste Hebel gegen den Diebstahl und Missbrauch von Zugangsdaten ist eine phishing-resistente Mehr-Faktor-Authentifizierung. Wie solche Hardware-Schlüssel funktionieren und welche sich lohnen, habe ich im Ratgeber zu FIDO2-Security-Keys erklärt. Dass Kriminelle selbst starke 2FA-Verfahren zunehmend aushebeln, zeigt außerdem mein Beitrag zu Phishing-as-a-Service.
Prüfe zusätzlich die Firewall-Logs auf ungewöhnliche VPN-Anmeldungen und aktiviere, wo möglich, eine Geo- oder IP-Beschränkung für Verwaltungszugänge. FortiBleed ist ein deutlicher Weckruf: Ein Perimeter-Gerät, das aus dem Internet erreichbar ist, gehört zu den wertvollsten Zielen überhaupt.
Quellen
- CISA: Urges Hardening Fortinet Devices After Credential Exposure
- BleepingComputer: CISA warns Fortinet users after FortiBleed leak
- SecurityWeek: FortiBleed – 86,000 Fortinet Device Credentials Compromised
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden