FortiBleed rückt kompromittierte Zugangsdaten in den Fokus. Prüfen Sie Fortinet-Konfigurationen, VPN-Zugriffe und die Absicherung administrativer Konten.
Unter dem Namen „FortiBleed“ wurden im Juni 2026 Berichte über eine Kampagne gegen Fortinet-Geräte bekannt. Für Unternehmen mit FortiGate-Firewalls und VPN-Zugängen ist das ein Anlass, externe Zugänge und administrative Konten gezielt zu überprüfen.
Die Einordnung ist wichtig: Fortinet beschreibt die Aktivität als Missbrauch zuvor erbeuteter Zugangsdaten und als Brute-Force-Angriffe. Der Hersteller ordnet sie nicht als neue Fortinet-Sicherheitslücke ein. Aus dem Kampagnennamen allein lässt sich keine Betroffenheit eines einzelnen Geräts ableiten.
Prüfen Sie, welche Geräte und Fernzugänge betroffen sein könnten. Sichern Sie relevante Protokolle und Konfigurationen, bevor flüchtige Informationen verloren gehen. Stimmen Sie Sicherung und Eindämmung so ab, dass eine notwendige Reaktion nicht verzögert wird.
Auffällige Anmeldungen sind ein Ansatzpunkt. Zusätzlich sind neue Konten, unerwartete Konfigurationsänderungen und administrative Zugriffe zu untersuchen. Ein ungewöhnliches Herkunftsland allein beweist keinen Angriff; Standortdaten müssen im Zusammenhang mit Nutzerverhalten und weiteren Ereignissen bewertet werden.
Bei Hinweisen auf unbefugte Änderungen reicht es nicht, lediglich Kennwörter auszutauschen. Dann müssen auch mögliche weitere Zugänge, verbundene Verzeichnisdienste und Bewegungen im internen Netz untersucht werden. Die Wiederherstellung richtet sich nach den Empfehlungen des Herstellers und dem konkreten Befund.
Ein aus dem Internet erreichbarer Dienst ist zunächst exponiert. Das bedeutet, dass er von außen angesprochen werden kann. Ein veröffentlichtes oder gestohlenes Passwort beschreibt eine andere Lage. Von einer bestätigten Kompromittierung sollte gesprochen werden, wenn unbefugter Zugriff oder eine unbefugte Veränderung nachgewiesen ist. Diese Unterscheidung ist wichtig, weil sie Priorität und Umfang der Reaktion beeinflusst. Ein Unternehmen sollte weder aus jedem offenen Port einen bestätigten Angriff ableiten noch bekannte gestohlene Zugangsdaten als bloß theoretisches Risiko behandeln.
Für die erste Einordnung benötigt das Team deshalb belastbare Informationen über die eigenen Geräte. Welche Fernzugänge existieren, unter welchen Adressen sind sie erreichbar und wer betreut sie? Gibt es Systeme an Niederlassungen, die in der zentralen Übersicht fehlen? Ein unvollständiger Bestand erschwert jede Betroffenheitsprüfung. Die Aufarbeitung sollte nicht davon abhängen, ob eine Person zufällig weiß, welcher externe Partner vor Jahren einen zusätzlichen Zugang eingerichtet hat. Zuständigkeiten und technische Reichweite gehören in eine gepflegte Übersicht.
Legen Sie einen verantwortlichen Ansprechpartner fest, der technische Befunde und betriebliche Entscheidungen zusammenführt. Änderungen an betroffenen Systemen sollten nicht unkoordiniert durch mehrere Beteiligte erfolgen. Sonst wird später schwer erkennbar, ob eine Auffälligkeit vom Angreifer, vom Administrator oder von einer automatisierten Wartung stammt. Dokumentieren Sie, welche Maßnahmen durchgeführt wurden und weshalb. Bei extern betriebenen Geräten muss früh geklärt werden, wer Zugriff auf Protokolle, Konfigurationen und Sicherungen besitzt und wie diese Informationen bereitgestellt werden.
Die Reihenfolge von Sicherung und Eindämmung richtet sich nach der Lage. Ein aktiver Missbrauch kann sofortige Gegenmaßnahmen erfordern. Gleichzeitig sollten relevante Informationen soweit möglich erhalten bleiben. Vermeiden Sie pauschale Anweisungen, jedes Gerät ohne Betrachtung der Folgen sofort neu zu installieren. Ein solches Vorgehen kann Informationen vernichten und muss fachlich abgestimmt werden. Bei unklaren Befunden ist die frühzeitige Einbindung qualifizierter Incident-Response-Unterstützung sinnvoller als eine Reihe voneinander unabhängiger Reparaturversuche ohne gemeinsame Untersuchung.
Standorte und Uhrzeiten sind Hinweise, keine abschließenden Urteile. Ein vermeintlich ungewöhnlicher Standort kann durch einen Mobilfunkanbieter oder einen anderen legitimen Netzzugang entstehen. Umgekehrt kann ein Angreifer über eine unauffällige Adresse arbeiten. Interessant ist deshalb die Kombination aus Konto, Gerät, Zeitpunkt und anschließendem Verhalten. Welche Systeme wurden nach der Anmeldung angesprochen? Gab es Änderungen an Berechtigungen? Sind weitere Warnungen vorhanden? Eine solche Betrachtung hilft, berechtigte Abweichungen von tatsächlich untersuchungswürdigen Vorgängen zu unterscheiden.
Achten Sie auch auf die Grenzen der Daten. Fehlende Protokolle dürfen nicht als Beleg fehlender Aktivität interpretiert werden. Unterschiedliche Zeitangaben oder kurze Speicherzeiträume können die Rekonstruktion erschweren. Halten Sie im Ergebnis fest, welcher Zeitraum mit welchen Quellen untersucht wurde. Diese Transparenz verbessert die Qualität weiterer Entscheidungen. Sie verhindert außerdem, dass eine begrenzte Prüfung später als umfassende Entwarnung verstanden wird, obwohl wichtige Systeme oder Zeiträume gar nicht ausgewertet werden konnten.
Ein neues Kennwort adressiert einen bestimmten Zugang. Andere Zugriffsmöglichkeiten können daneben bestehen bleiben, etwa bereits aktive Sitzungen, zusätzliche Konten oder veränderte Einstellungen. Welche davon relevant sind, hängt von System und Befund ab. Eine vollständige Bereinigung muss deshalb den tatsächlich beobachteten Ablauf berücksichtigen. Eine Liste erledigter Einzelmaßnahmen ist noch kein Beleg dafür, dass der unbefugte Zugriff beendet wurde. Nach der Umsetzung sollten geeignete Prüfungen bestätigen, dass die vereinbarten Ziele erreicht sind.
Prüfen Sie in diesem Zusammenhang auch technische Abhängigkeiten. Der Austausch eines Dienstkontokennworts kann Anbindungen unterbrechen, wenn die Änderung nicht abgestimmt ist. Das rechtfertigt keine dauerhafte Untätigkeit. Es bedeutet, dass Sicherheitsmaßnahmen vorbereitet und fachlich begleitet werden müssen. Zuständige Rollen, notwendige Anpassungen und Rückfallmöglichkeiten sollten bekannt sein. Nach dem Eingriff gehört eine Funktionsprüfung dazu, damit die Absicherung nicht unbemerkt einen wichtigen Geschäftsprozess stilllegt oder durch eine provisorische unsichere Ausnahme wieder aufgehoben wird.
Die Rückkehr zum Normalbetrieb ist eine eigene Entscheidung. Sie sollte auf einem nachvollziehbaren Ergebnis beruhen: Welche Hinweise wurden untersucht, welche Änderungen zurückgenommen und welche Zugänge erneuert? Welche Unsicherheiten bestehen noch? Für besonders wichtige Systeme kann zusätzliche Beobachtung sinnvoll sein. Ein formaler Abschluss darf nicht allein daraus entstehen, dass keine neue Warnmeldung eingetroffen ist. Auch die Aussagekraft der Erkennung und die Vollständigkeit der untersuchten Umgebung müssen berücksichtigt werden.
Aus der Untersuchung ergeben sich häufig Aufgaben für den Regelbetrieb. Dazu können eine verlässliche Geräteübersicht, ein besserer Umgang mit Fernwartungszugängen oder eindeutigere Zuständigkeiten gehören. Priorisieren Sie diese Maßnahmen und prüfen Sie ihre Umsetzung. Eine abgeschlossene Untersuchung sollte nicht dazu führen, dass alle Erkenntnisse im Bericht verbleiben. Erst wenn wichtige Verbesserungen tatsächlich eingeführt und überprüft sind, reduziert sich die Wahrscheinlichkeit, bei ähnlichen Hinweisen erneut vor denselben Informationslücken zu stehen.
Bei konkreten Hinweisen hilft eine kurze strukturierte Lageübersicht. Sie trennt bestätigte Beobachtungen von Vermutungen und offenen Fragen. Dadurch können Beteiligte gezielter entscheiden, ohne jede Information selbst erneut zusammentragen zu müssen. Die Übersicht sollte während der Untersuchung aktualisiert werden. Frühere Bewertungen dürfen dabei erkennbar bleiben, wenn neue Erkenntnisse zu einer anderen Einschätzung führen. Eine erste Unsicherheit ist normal, sollte aber nicht als bestätigter Sachverhalt weitergegeben werden.
Für die Geschäftsseite sind außerdem mögliche betriebliche Auswirkungen relevant. Muss ein Fernzugang eingeschränkt werden, benötigen betroffene Bereiche eine verständliche Information über den vorgesehenen Ersatzweg. Solche Kommunikation sollte mit den technischen Maßnahmen abgestimmt sein. Unkoordinierte Entwarnungen oder widersprüchliche Anweisungen erschweren sonst eine geordnete Reaktion. Die technische Untersuchung und die Aufrechterhaltung notwendiger Arbeitsmöglichkeiten sind miteinander zu verbinden.
Nach Abschluss kann dieselbe Übersicht als Grundlage für die Nachbereitung dienen. Prüfen Sie, welche Informationen erst mühsam beschafft werden mussten. Diese Erkenntnisse zeigen, welche Bestandsdaten, Kontakte oder Protokollierungsregeln für künftige Fälle verbessert werden sollten. So entsteht aus einer konkreten Prüfung ein nachvollziehbarer Lernschritt für den laufenden Betrieb.
Nein. Kampagnenbezeichnungen und technische Sicherheitslücken sind unterschiedliche Dinge. Für die konkrete Betroffenheitsprüfung zählen die jeweils einschlägigen Herstellerinformationen und die eigene Umgebung. Aus einer Schlagzeile oder einem Namen lässt sich weder ein bestimmter Angriffsweg noch eine sichere Entwarnung ableiten.
Es kann ergänzende Hinweise liefern, ersetzt aber weder Protokollanalyse noch Konfigurationsprüfung. Ein Fund muss eingeordnet werden, ein fehlender Fund beweist keine Unversehrtheit. Entscheidend ist ein abgestimmtes Vorgehen, das verschiedene Informationsquellen zusammenführt und seine verbleibenden Grenzen offen benennt.
DSP unterstützt bei der Prüfung von VPN-Protokollen und der Abstimmung geeigneter Gegenmaßnahmen. Ergänzendes Dark-Web-Monitoring kann Hinweise auf veröffentlichte Zugangsdaten liefern. Ein fehlender Treffer ist jedoch kein Nachweis dafür, dass Konten unversehrt sind.
Sie möchten Ihre nächsten Schritte konkret planen? Sprechen Sie mit den Experten von DSP.
