Das hier ist ein vollständig KI generierter Artikel.

Ein koordinierter Angriff auf Fortinet-Firewalls hat weltweit für Aufsehen gesorgt: Angreifer haben bei rund 75’000 internet-exponierten FortiGate-Geräten Zugangsdaten abgegriffen und damit tausende Unternehmen in 194 Ländern gefährdet – bis hin zur vollständigen Kompromittierung ganzer Netzwerke.

Was passiert ist

Sicherheitsforscher berichten von einer gross angelegten Kampagne, die inzwischen unter dem Namen „FortiBleed“ kursiert. Die Angreifer konnten SSL-VPN-Anmeldungen an FortiGate-Firewalls abfangen, die Hashes der Zugangsdaten mit erheblicher Rechenleistung knacken und so funktionierende Logins für Administrations- und VPN-Konten gewinnen. Die so erbeuteten Zugangsdaten betreffen laut Analyse über 21’000 eindeutige Domains und reichen von multinationalen Konzernen bis hin zu kleineren Organisationen.

Zu den betroffenen Unternehmen zählen unter anderem bekannte Namen aus Industrie, Logistik, IT-Dienstleistung und Telekommunikation. Sicherheitsforscher haben Stichproben aus dem Datensatz überprüft und bestätigen, dass die Kombinationen aus Benutzernamen und Passwörtern in realen Umgebungen funktionieren. Besonders brisant: Viele der kompromittierten Firewalls laufen auf relativ aktuellen Softwareständen, was darauf hindeutet, dass nicht ausschliesslich veraltete oder schlecht gewartete Systeme betroffen sind.

Vorgehen der Angreifer

Die Kampagne zeichnet sich durch einen hohen Automatisierungsgrad und massive Rechenressourcen aus. Laut den veröffentlichten Analysen wurden über einen längeren Zeitraum SSL-VPN-Anmeldeversuche abgefangen und anschliessend in grossem Stil offline geknackt. Zum Einsatz kam dabei ein GPU-Cluster mit Dutzenden Grafikkarten, der über eine Management-Plattform wie Hashtopolis koordiniert wurde.

Insgesamt sollen mehr als eine Milliarde Anmeldeversuche gegen über 300’000 FortiGate-Ziele verarbeitet worden sein, zusätzlich zu Milliarden weiterer Versuche gegen Datenbankserver. In mehreren Fällen gelang es den Angreifern, sich nach erfolgreicher VPN- oder Admin-Anmeldung weiter in interne Active-Directory-Umgebungen vorzuarbeiten, Berechtigungen auszuweiten und schliesslich vollständige Kontrolle über Teile der Infrastruktur zu erlangen.

Auswirkungen auf betroffene Organisationen

Die unmittelbare Folge eines solchen Angriffs ist der Verlust der Vertraulichkeit von Zugangsdaten. In der Praxis bedeutet dies, dass Angreifer sich aus der Ferne mit legitimen Konten an Firewalls und VPN-Gateways anmelden können. Damit erhalten sie nicht nur Zugriff auf die Konfiguration der Sicherheitskomponenten, sondern oft auch auf interne Netze, Management-Schnittstellen und weitere kritische Systeme.

In mindestens einigen dokumentierten Fällen führte dies zu einer vollständigen Kompromittierung der betroffenen Organisationen. Angreifer konnten sich lateral im Netzwerk bewegen, zusätzliche Systeme übernehmen und sensible Informationen exfiltrieren. Besonders kritisch ist dies in Umgebungen mit erhöhten Schutzanforderungen, etwa bei Rüstungsunternehmen oder anderen sicherheitsrelevanten Einrichtungen.

Sofortmassnahmen für Betreiber von Fortinet-Firewalls

Organisationen, die FortiGate-Firewalls oder Fortinet-VPNs einsetzen, sollten unverzüglich reagieren. Folgende Schritte gelten als Mindestmassnahmen:

  • Passwort-Reset: Alle Passwörter für VPN-Zugänge, Administrator-Accounts und sonstige auf der Firewall hinterlegte Benutzerkonten umgehend ändern.
  • Multi-Faktor-Authentisierung (MFA): Wo immer möglich MFA aktivieren, insbesondere für Remote-Zugänge und administrative Logins.
  • Firmware-Stand prüfen: Sicherstellen, dass alle Fortinet-Geräte auf dem aktuell empfohlenen Patch-Stand sind und bekannte Schwachstellen geschlossen wurden.
  • Log-Analyse: Anmeldeprotokolle und System-Logs auf ungewöhnliche Aktivitäten, fehlgeschlagene Logins und auffällige IP-Adressen prüfen.
  • Netzwerksegmentierung: Prüfen, ob VPN-Zugänge und Administrator-Accounts nur auf die unbedingt notwendigen Netzsegmente zugreifen können.

Zusätzlich sollten Unternehmen ihre Incident-Response-Prozesse aktivieren, um zu klären, ob es bereits zu einem erfolgreichen Eindringen gekommen ist. Dazu gehört insbesondere die Überprüfung von Active-Directory-Konten, privilegierten Zugängen und zentralen Management-Systemen.

Langfristige Lehren aus FortiBleed

Der Vorfall zeigt einmal mehr, wie attraktiv VPN-Gateways und Firewalls als Einstiegspunkt für Angreifer sind. Sie sind häufig direkt aus dem Internet erreichbar, bündeln sensible Zugänge und werden in vielen Organisationen als vertrauenswürdiger Kern der Sicherheitsarchitektur betrachtet. Genau diese Rolle macht sie zu einem lohnenden Ziel.

Langfristig führt an einem Zero-Trust-orientierten Ansatz kein Weg vorbei: Remote-Zugänge sollten konsequent mit starker Authentisierung, feingranularen Berechtigungen und kontinuierlicher Überwachung kombiniert werden. Passwortsicherheit allein reicht nicht mehr aus, wenn Angreifer über spezialisierte Infrastruktur in der Lage sind, grosse Mengen an Hashes in kurzer Zeit zu knacken.

Fazit

Die FortiBleed-Kampagne ist ein eindrückliches Beispiel dafür, wie professionell organisierte Angreifer heute vorgehen und welche Risiken mit exponierten Sicherheitskomponenten verbunden sind. Betreiber von Fortinet-Firewalls sollten den Vorfall zum Anlass nehmen, nicht nur Passwörter zu rotieren, sondern ihre gesamte Remote-Access- und Firewall-Strategie zu überprüfen. Wer jetzt konsequent handelt, kann das Risiko einer vollständigen Netzwerkkompromittierung deutlich reduzieren.

Quelle: https://www.theregister.com/cyber-crime/2026/06/17/massive-password-stealing-attack-hits-75k-fortinet-firewalls/5257877