FortiGate Management-Zugriff absichern: Warum das Interface nie offen im Internet stehen darf

Szenario: Ein Mittelständler betreibt seit Jahren eine FortiGate am Perimeter. Die Firewall läuft stabil, der IT-Verantwortliche verwaltet sie gelegentlich auch unterwegs – direkt über das Web-GUI per HTTPS, erreichbar von jeder IP-Adresse. Das klingt praktisch. Es ist auch eines der häufigsten Einfallstore in mittelständischen Netzwerken.

Genau diese Konstellation – Management-Interface erreichbar aus dem offenen Internet, Admin-Konto mit vollen Rechten, kein zweiter Faktor – macht aus einer gestohlenen oder erratenen Admin-Passphrase einen sofortigen Vollzugriff auf die Firewall. Nicht theoretisch. CISA, die US-Behörde für Cybersicherheit, führt in ihrem öffentlichen Katalog „Known Exploited Vulnerabilities" (KEV) seit September 2026 drei aktiv ausgenutzte Fortinet-Schwachstellen. Zwei davon betreffen FortiOS direkt.

Dieser Artikel erklärt, welche Angriffswege real sind, warum CVE-2025-61624 ausgerechnet dann gefährlich wird, wenn das Management-Interface offen steht, und welche Härtungsschritte Sie konkret umsetzen können – unabhängig davon, ob Sie die Konfiguration selbst vornehmen oder einen Partner beauftragen.

Was CISA über aktiv ausgenutzte Fortinet-Lücken sagt

Der KEV-Katalog der CISA ist die derzeit verlässlichste öffentliche Liste aktiv ausgenutzter Schwachstellen. Aufnahme bedeutet: Es gibt belegte Angriffe „in the wild". Drei Einträge mit Fortinet-Bezug wurden zwischen September und Oktober 2026 aufgenommen.

Quellen: CISA KEV-Feed (Stand 25.10.2026), FortiGuard PSIRT FG-IR-26-175, FG-IR-26-122, FG-IR-25-084.

Für den Härtungs-Kontext dieses Artikels ist die Unterscheidung zwischen diesen drei Einträgen entscheidend.

CVE-2025-25249: Remote, ohne Authentifizierung

Der Heap-Overflow im cw_acd-Dienst – einem Dienst, der einzuschätzen ist als Teil der CAPWAP-Steuerung für Access-Points und Switches – ist über das Netzwerk ausnutzbar, ohne dass ein Angreifer vorher angemeldet sein muss. CVSS 8,1, Angriffskomplexität hoch. FortiGuard (FG-IR-25-084) empfiehlt Patches ab FortiOS 7.6.4, 7.4.9, 7.2.12 bzw. 7.0.18. Wer FortiOS 6.4 betreibt, muss auf einen korrigierten Branch wechseln.

CVE-2026-104286: Unauthentifizierter Angriff auf FortiMail

Die FortiMail-Lücke ist mit CVSS 9,8 die kritischste der drei. Ein nicht angemeldeter Angreifer kann über präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien ins Dateisystem schreiben. FortiMail steht in KMU typischerweise direkt am Perimeter. Betroffene Versionen: FortiMail 7.2.x bis 7.4.8, 7.6.x bis 7.6.6, 8.0.x bis 8.0.1. Patches: FG-IR-26-175, jeweils auf den nächsten korrigierten Minor-Stand aktualisieren.

CVE-2025-61624: Der Admin-gebundene Path-Traversal – und warum er trotzdem relevant ist

Diese Lücke (FG-IR-26-122, CVSS 6,0) setzt einen bereits authentifizierten Admin mit mindestens Read-Write-Rechten voraus. Ein externer Angreifer, der noch keinen Zugang hat, kann sie nicht direkt ausnutzen. Das klingt weniger bedrohlich – ist aber genau der Punkt, an dem eine offen erreichbare Management-Oberfläche das Risiko grundlegend verändert.

Wenn das Web-GUI oder die CLI per SSH aus dem Internet erreichbar ist, reduziert sich das Angriffsproblem auf die Qualität einer einzigen Passphrase. Wird diese durch Phishing, Credential Stuffing, Brute Force oder einen kompromittierten Admin-Endpunkt erlangt, hat der Angreifer sofort eine authentifizierte Admin-Session – und damit die Vorbedingung für CVE-2025-61624. Der Patch existiert seit April 2026; dass die Lücke im Oktober trotzdem in den KEV-Katalog aufgenommen wurde, zeigt, dass ungepatchte Geräte aktiv angegriffen werden.

Betroffene FortiOS-Versionen für CVE-2025-61624: 7.6.0–7.6.4 (Fix: 7.6.5+), 7.4.0–7.4.9 (Fix: 7.4.10+); FortiOS 7.2, 7.0 und 6.4 sind vollständig betroffen – hier ist ein Branch-Wechsel nötig. Wer beide FortiOS-Lücken (CVE-2025-25249 und CVE-2025-61624) auf einmal schließen will, benötigt mindestens FortiOS 7.6.5 bzw. 7.4.10. Fortinet stellt den Upgrade-Pfad unter https://docs.fortinet.com/upgrade-tool bereit.

Das eigentliche Problem: Management-Interface offen im Internet

Firmware-Patches sind notwendig, aber nicht hinreichend. Die strukturelle Schwachstelle ist die Erreichbarkeit des Management-Interfaces aus dem Internet. Solange das der Fall ist, ist jede Admin-Lücke – ob bekannt oder noch nicht öffentlich – aus einer beliebig großen IP-Menge angreifbar.

FortiGate unterscheidet zwischen zwei Zugangswegen zur Verwaltung:

• HTTPS Web-GUI (Standard-Port 443 oder 8443): grafische Oberfläche, intuitiv, aber dieselbe Angriffsfläche wie jede Web-Applikation
• CLI via SSH (Standard-Port 22): mächtig, skriptfähig, und ein bekanntes Ziel für automatisierte Brute-Force-Scanner

Beide Zugänge sind nach einer Standardinstallation aktiv. Welcher auf welchem Interface lauscht, hängt von der jeweiligen Konfiguration ab. In vielen KMU-Setups ist das WAN-Interface (die Seite zum Internet) mitadministriert – nicht aus Fahrlässigkeit, sondern weil Remote-Wartung ohne VPN schlicht einfacher ist.

Das ist der Tradeoff, den dieser Artikel adressiert: Bequemlichkeit gegen Angriffsfläche.

Härtungsmaßnahme 1: Management-Interface vom WAN-Interface trennen

Der wirkungsvollste einzelne Schritt ist, den HTTPS- und SSH-Zugang auf dem WAN-Interface vollständig zu deaktivieren.

In der Web-GUI: Network → Interfaces → WAN-Interface → Edit → Administrative Access. Entfernen Sie dort die Häkchen bei HTTPS, HTTP, SSH und PING. Lassen Sie nur das behalten, was für den Betrieb des Interface zwingend notwendig ist (z. B. CAPWAP bei Managed APs, wenn das über dieses Interface läuft).

Die Verwaltung erfolgt dann ausschließlich über das interne Management-Interface oder ein dediziertes VLAN – und von dort nur aus verifizierten, internen Netzen. Wer remote administrieren muss, tunnelt vorher per VPN ins interne Netz.

Einwand: „Das macht die Fernwartung umständlicher." Richtig. Sie dauert 30–60 Sekunden länger, weil zuerst der VPN-Tunnel aufgebaut werden muss. Das ist die Angriffsfläche, die Sie dafür eintauschen.

Härtungsmaßnahme 2: Trusted Hosts für Admin-Konten konfigurieren

Selbst wenn das Management-Interface noch von mehreren Netzen erreichbar ist – etwa während einer Übergangsphase – schränken Trusted Hosts die möglichen Quell-IP-Adressen für jedes Admin-Konto ein.

Unter System → Administrators → Admin-Konto → Edit lassen sich bis zu zehn Trusted-Host-Einträge (IPv4 oder IPv6, CIDR-Notation) pro Admin-Konto definieren. Eine Anmeldung von einer nicht gelisteten IP-Adresse wird abgewiesen, selbst wenn die Zugangsdaten korrekt sind.

Typische Einträge:

• IP des Office-Netzwerks (z. B. 203.0.113.0/28)
• IP-Adresse des VPN-Server-Ausgangs, wenn Admins via Remote-VPN administrieren
• Management-VLAN-Range intern

Wichtig: Setzen Sie alle Admin-Konten auf spezifische Trusted Hosts. Ein Konto ohne Trusted-Host-Einschränkung öffnet den Weg wieder, solange das Interface erreichbar ist.

Härtungsmaßnahme 3: Mehrstufige Authentifizierung (MFA) aktivieren

FortiGate unterstützt MFA für Admin-Konten über mehrere Wege:

• FortiToken Mobile / Hardware-Token: OTP-basierter zweiter Faktor, direkt im FortiOS integriert; unter System → Administrators → Two-factor Authentication konfigurierbar.
• FortiAuthenticator: Zentralisiertes MFA-Management für größere Umgebungen mit mehreren FortiGate-Geräten.
• RADIUS mit MFA-Backend: Anbindung an externe MFA-Lösungen (z. B. Entra ID / Azure MFA) über RADIUS.

MFA ist die wichtigste Maßnahme gegen Credential-Diebstahl. Selbst eine vollständig korrekte Passphrase reicht dann nicht für eine Session. In Kombination mit Trusted Hosts entsteht ein zweischichtiger Zugriffsschutz: richtige IP und richtiger zweiter Faktor.

Wer keine FortiToken-Lizenzen hat, kann als Übergangslösung zumindest starke Passwortpolicies (Mindestlänge, Komplexität, Ablauf) unter System → Settings → Password Policy erzwingen.

Härtungsmaßnahme 4: Admin-Konten und Profile minimieren

CVE-2025-61624 setzt einen Admin mit Read-Write-Rechten voraus. Das bedeutet: Je mehr Konten mit vollen Schreibrechten existieren, desto größer ist die Angriffsfläche für diese Lücke.

Prinzip der minimalen Rechtevergabe (Least Privilege):

FortiOS unterscheidet zwischen mehreren vordefinierten Admin-Profilen:

Konkret bedeutet das: Prüfen Sie, wie viele Konten mit super_admin-Profil existieren. In vielen KMU-Setups sind das drei bis fünf – historisch gewachsen, ohne dokumentierten Zweck. Reduzieren Sie auf ein Break-Glass-Konto mit super_admin, das mit einem besonders starken Passwort und MFA abgesichert ist, und ein reguläres Admin-Konto mit prof_admin oder einem restriktiveren Profil für den täglichen Betrieb.

Entfernen Sie inaktive oder ehemalige Mitarbeiter-Konten vollständig. Überprüfen Sie unter System → Administrators auch API-Konten (REST-API-Zugang), die oft mit vollen Rechten angelegt und dann vergessen werden.

Härtungsmaßnahme 5: Verwaltung per VPN erzwingen

Die sauberste Lösung für Remote-Administration ist der Zugang ausschließlich über ein VPN. FortiGate selbst kann als VPN-Endpunkt dienen – entweder per SSL-VPN (FortiClient) oder per IPsec. Der Administrationsworkflow sieht dann so aus:

1. VPN-Verbindung herstellen (mit MFA für den VPN-Zugang selbst)
2. Management-Zugriff auf die interne IP der FortiGate
3. Session nach Abschluss aktiv beenden

Das WAN-Interface ist dabei nicht für die Verwaltung konfiguriert – der einzige exponierte Dienst ist der VPN-Endpunkt, der seinerseits durch MFA und Zertifikat abgesichert ist.

Hinweis: FortiOS bringt seit längerem eine Option, explizit ein dediziertes Management-Interface (mgmt) zu konfigurieren, das physisch oder logisch von den Daten-Interfaces getrennt ist. In FortiGate-Geräten der mittleren und oberen Klasse ist das ein dedizierter Port. Diese Out-of-Band-Management-Architektur ist die robusteste Variante und sollte bei größeren Installationen bevorzugt werden.

Härtungsmaßnahme 6: Logging, Monitoring und Admin-Session-Timeouts

Härtung ist kein einmaliger Akt. Ohne Monitoring wissen Sie nicht, ob jemand versucht, Ihre Zugriffseinschränkungen zu umgehen.

Konfigurieren Sie:

• Admin-Audit-Log: Log & Report → Log Settings → Local Logging – stellen Sie sicher, dass Admin-Logins, Konfigurationsänderungen und fehlgeschlagene Authentifizierungen geloggt werden.
• SIEM-Weiterleitung: FortiGate kann Syslog an externe SIEM-Systeme senden. Für KMU ohne eigenes SIEM ist zumindest ein zentrales Syslog sinnvoll, das Logs für 90 Tage vorhält.
• Admin-Idle-Timeout: Unter System → Settings → Administrator Settings den Idle-Timeout auf 5–10 Minuten setzen. Eine vergessene Session in einem RDP-Fenster ist ein reales Risiko.
• Login-Versuche und Lockout: Unter System → Settings lassen sich maximale Login-Fehlversuche und ein Lockout-Zeitraum definieren. Das bremst Brute-Force-Angriffe automatisch.

Praxisbeispiel: Hypothetischer Härtungs-Audit bei einem Produktionsbetrieb

Nehmen wir ein hypothetisches Unternehmen: ein Produktionsbetrieb mit 80 Mitarbeitern, einer FortiGate 80F am Perimeter, FortiOS 7.4.7. Das Gerät war seit zwei Jahren nicht gepatcht. Der zuständige IT-Dienstleister hatte beim Setup das Web-GUI auf dem WAN-Interface aktiv gelassen, damit er es einfach aus seiner eigenen IT-Infrastruktur heraus warten konnte. Es existieren vier Admin-Konten, alle mit super_admin-Profil, kein zweiter Faktor, keine Trusted-Host-Einschränkungen.

Was ein Härtungs-Review hier konkret liefern würde:

1. Firmware-Stand: FortiOS 7.4.7 ist für CVE-2025-25249 (Fix: 7.4.9) und CVE-2025-61624 (Fix: 7.4.10) verwundbar. Ziel-Version: 7.4.10 oder höher, inklusive geplantem Wartungsfenster und Fallback-Snapshot.
2. WAN-Interface: HTTP, HTTPS, SSH deaktivieren. Einzige Ausnahme: SSL-VPN-Port für den Fernzugriff der Admins selbst.
3. Admin-Konten: Von vier auf zwei reduzieren (ein Break-Glass-Konto mit super_admin, ein reguläres mit eingeschränktem Profil). FortiToken Mobile aktivieren. Trusted Hosts auf Office-IP und VPN-Ausgangs-IP beschränken.
4. Logging: Lokales Logging aktiviert, Syslog-Export in das vorhandene Monitoring-System des IT-Dienstleisters konfiguriert.
5. Session-Timeout: Von 480 Minuten auf 10 Minuten reduziert.

Der gesamte Konfigurationsaufwand liegt in einem solchen Fall typischerweise im einstelligen Stundenbreich – abhängig von Gerätekomplexität, Anzahl der Policies und ob ein Firmware-Update inklusive Testphase beauftragt wird.

Welche FortiGate-Versionen jetzt gepatcht werden müssen

Für den Überblick: Die folgende Tabelle zeigt, welche FortiOS-Versionen für beide in diesem Artikel relevanten CVEs (CVE-2025-25249 und CVE-2025-61624) gleichzeitig gepatcht werden müssen.

Quellen: FortiGuard PSIRT FG-IR-25-084 und FG-IR-26-122, Stand 25.10.2026. Upgrade-Pfad: https://docs.fortinet.com/upgrade-tool

Wer auf 7.2 oder älter läuft, hat für CVE-2025-61624 keinen Patch im selben Branch. Ein Versionswechsel ist unumgänglich – und sollte ohnehin eingeplant sein, da ältere Branches irgendwann aus dem offiziellen Support fallen.

Die zwei häufigsten Einwände – und was dahintersteckt

„Bei uns kommt sowieso niemand rein."

Das ist die Grundannahme, die durch den KEV-Katalog widerlegt wird. Automatisierte Scanner suchen kontinuierlich nach FortiGate-Management-Interfaces auf den Standard-Ports 443 und 8443 – weltweit, ohne menschliche Beteiligung. Wenn Ihr Gerät antworten kann, ist es bekannt. Die Frage ist nicht, ob jemand sucht, sondern was er findet, wenn er es tut.

„Härtung macht die Verwaltung zu umständlich."

Konkret: Der Unterschied zwischen direktem Web-GUI-Zugriff und VPN-tunneltem Zugriff ist eine Verbindungszeit von typischerweise 15–30 Sekunden, sofern ein FortiClient mit gespeichertem Profil vorhanden ist. Das ist der Preis für eine deutlich reduzierte Angriffsfläche. Unbequemer wird es nur dann, wenn keine funktionierende VPN-Infrastruktur vorhanden ist – was ein eigenes Härtungsprojekt wäre.

Was ein Härtungs-Review durch SWBS umfasst

SW Business Solutions führt Konfigurations- und Härtungs-Reviews für Fortinet-Geräte durch. Konkret bedeutet das:

• Ist-Aufnahme: Welche Interfaces sind wie exponiert? Welche Admin-Konten existieren, mit welchen Rechten und welchen Authentifizierungsmethoden?
• Firmware-Check: Welche CVEs betreffen Ihre FortiOS-Version? Was ist der empfohlene Upgrade-Pfad?
• Konfigurationshärtung: Trusted Hosts, Interface-Zugriffsrechte, Admin-Profile, MFA, Logging und Session-Timeouts – nach einem abgestimmten Maßnahmenkatalog.
• Dokumentation: Was wurde geändert, warum, und wie ist die Konfiguration künftig zu pflegen?

Das ist keine Dienstleistung, die jedes Unternehmen benötigt. Wer eine aktive IT-Abteilung mit FortiGate-Erfahrung hat und Firmware-Updates und Admin-Konfigurationen regelmäßig reviewed, kann den Großteil dieser Maßnahmen selbst umsetzen. Wer das nicht hat – oder wer wissen möchte, ob der bisherige Dienstleister die richtigen Dinge konfiguriert hat – ist beim Review richtig.

Weitere Informationen zu IT-Sicherheit und unserem Ansatz für IT-Systembetreuung finden Sie in unseren Leistungsseiten. Zum Thema sichere Netzwerkinfrastruktur im Mittelstand lesen Sie auch unseren Überblick zu Managed IT-Services für den Mittelstand.

Checkliste: FortiGate Management-Zugriff absichern

Diese Liste ist kein Ersatz für eine vollständige Härtung, aber ein verlässlicher Ausgangspunkt zur Selbsteinschätzung:

• WAN-Interface: HTTPS, HTTP, SSH und PING für den Admin-Zugang deaktiviert?
• Management-Zugriff ausschließlich über internes Interface oder dediziertes Management-VLAN?
• Alle Admin-Konten mit Trusted-Host-Einschränkungen versehen?
• MFA für alle Admin-Konten aktiv (FortiToken, RADIUS oder SAML)?
• Anzahl der Admin-Konten auf das notwendige Minimum reduziert?
• Kein Konto mit super_admin-Profil für den täglichen Betrieb?
• API-Konten mit minimalen Rechten und dokumentiertem Verwendungszweck?
• Admin-Idle-Timeout auf ≤ 10 Minuten gesetzt?
• Login-Fehlversuche und Lockout konfiguriert?
• Admin-Logins und Konfigurationsänderungen werden geloggt und weitergeleitet?
• FortiOS aktuell auf einer gepatchten Version (7.6.5+, 7.4.10+ oder neuerer Branch)?
• Remote-Zugriff ausschließlich über VPN mit MFA?

Wenn Sie bei sechs oder mehr Punkten unsicher sind oder mit „Nein" antworten: Das ist ein konkreter Handlungsbedarf, kein theoretisches Risiko.

Der nächste Schritt

Ein Härtungs-Review für Ihr FortiGate-Gerät dauert in der Regel einen halben bis ganzen Arbeitstag – je nach Komplexität der Umgebung und Anzahl der Geräte. Das Ergebnis ist eine dokumentierte Ist-Aufnahme, ein priorisierter Maßnahmenkatalog und auf Wunsch die direkte Umsetzung im abgestimmten Wartungsfenster.

Wenn Sie prüfen möchten, wie Ihre aktuelle Konfiguration aufgestellt ist, sprechen Sie uns an. Härtungs-Review anfragen – unverbindlich und ohne Verpflichtung zu einem Folgeauftrag.

Wer zunächst einen breiteren Überblick über IT-Sicherheit in der Produktion oder IT-Sicherheit im Autohaus sucht, findet dort branchenspezifische Einordnungen. Für ein tieferes Verständnis grundlegender Sicherheitsarchitektur empfiehlt sich außerdem ein Blick auf Zero Trust Security als Rahmenkonzept für den Mittelstand.