Managed Firewall für den Mittelstand: Monitoring und Notfallreaktion statt Feuerwehr

Der IT-Dienstleister hat die FortiGate vor zwei Jahren eingerichtet, Regeln gesetzt, VPN konfiguriert – und dann war er weg. Seitdem läuft das Gerät. Bis auf gelegentliche Firmware-Updates, die der Hersteller per E-Mail ankündigt und die irgendwann irgendwer einspielt, passiert nichts. Das Gerät arbeitet, der Betrieb läuft, niemand beschwert sich.

Dieses Bild kennen wir aus einem Großteil der mittelständischen Unternehmen, mit denen wir sprechen. Die Firewall ist da. Aber betrieben wird sie nicht.

Der Unterschied zwischen „Gerät vorhanden" und „Gerät aktiv betrieben" ist genau das, was im Oktober 2026 für Unternehmen mit Fortinet-Infrastruktur den Unterschied zwischen einem routinemäßigen Patch-Abend und einem ernsthaften Sicherheitsvorfall macht.

Was im Herbst 2026 mit Fortinet-Geräten passiert

Die US-amerikanische Behörde CISA pflegt den sogenannten Known Exploited Vulnerabilities Catalog (KEV) – eine öffentlich einsehbare Liste von Schwachstellen, für die es belegte Belege aktiver Ausnutzung „in the wild" gibt. Wer in diesem Katalog landet, hat nicht nur eine theoretische Lücke – da wird aktiv angegriffen.

Zwischen September und Oktober 2026 wurden drei Schwachstellen in Fortinet-Produkten in diesen Katalog aufgenommen:

Quelle: CISA Known Exploited Vulnerabilities Feed, abgerufen 25.10.2026

Was diese drei Einträge zusammen aussagen: Fortinet-Perimetergeräte waren im Zeitraum September bis Oktober 2026 wiederholt Ziel aktiver Angriffe – mehrfach von CISA bestätigt. Das ist keine Spekulation, das ist der Stand des öffentlichen Lagebilds.

Die gefährlichste der drei Lücken: FortiMail ohne Anmeldung

CVE-2026-104286 betrifft FortiMail, das Mail-Security-Gateway von Fortinet. Ein Angreifer kann ohne jede Authentifizierung über präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem System schreiben. CVSS-Score: 9,8 von 10. Das ist die höchste Risikokategorie.

FortiMail steht in KMU typischerweise am Netzwerkrand, also direkt erreichbar aus dem Internet. Genau das macht diesen Angriffsvektor so brisant: Kein kompromittiertes Konto nötig, kein vorheriger Zugang – nur eine manipulierte HTTPS-Anfrage.

Fortinet hat das Advisory FG-IR-26-175 am 01.10.2026 veröffentlicht. Betroffene Versionen und Fixes:

Quelle: FortiGuard PSIRT FG-IR-26-175, veröffentlicht 01.10.2026

FortiOS: Zwei Lücken, eine schwieriger zu schließen als die andere

CVE-2025-25249 ist ein Heap-based Buffer Overflow im Dienst cw_acd, der – nach Einschätzung auf Basis des Advisory – zur CAPWAP-Steuerung gehört (Access Points und Switches). Angreifer können über speziell präparierte Pakete unauthentifiziert Code ausführen. CVSS: 8,1 (Netzwerkzugriff, ohne Anmeldung, hohe Angriffskomplexität). Fortinet hat das Advisory FG-IR-25-084 bereits im Januar 2026 veröffentlicht – wer bis Oktober 2026 nicht gepatcht hat, betreibt ein aktiv ausgenutztes System.

CVE-2025-61624 setzt im Unterschied dazu einen bereits vorhandenen Admin-Zugang mit Schreibrechten voraus. Das ist keine klassische „Internet-Fremder-übernimmt-die-Firewall"-Lücke. Relevant wird sie bei gestohlenen Admin-Zugangsdaten, bei Innentätern oder als zweite Stufe nach einer Vorkompromittierung. CVSS: 6,0. Der Patch (FG-IR-26-122) existiert seit April 2026; dass er trotzdem in den KEV-Katalog aufgenommen wurde, zeigt: ungepatchte Geräte werden ausgenutzt.

Wer beide FortiOS-Lücken schließen will, braucht mindestens Version 7.6.5 bzw. 7.4.10. Auf den Branches 7.2, 7.0 und 6.4 gibt es für CVE-2025-61624 keinen Fix im selben Branch – dort ist ein Versionswechsel erforderlich. Fortinet verweist für den Upgrade-Pfad auf sein Upgrade-Tool.

Für keines der drei CVEs hat CISA bisher einen bestätigten Ransomware-Bezug dokumentiert (knownRansomwareCampaignUse: Unknown). Das schließt einen solchen Zusammenhang nicht aus – es bedeutet nur, dass CISA ihn zum Stand der Auswertung nicht bestätigt hat.

Das eigentliche Problem: Wer sieht das?

Die Advisories sind öffentlich. Die Patches existieren. Die CISA-Liste ist kostenlos abrufbar. Und trotzdem laufen im Oktober 2026 Fortinet-Geräte mit ungepatchter Firmware in mittelständischen Netzwerken – weil niemand systematisch hinschaut.

Das ist kein Vorwurf. Es ist eine strukturelle Realität: KMU haben in aller Regel keine dedizierte IT-Sicherheitsabteilung. Der IT-Verantwortliche kümmert sich um Drucker, Endgeräte, Office-Lizenzen, Serverausfälle und Benutzerkonten. Für ein proaktives Advisory-Monitoring – also das systematische Beobachten von Hersteller-Sicherheitsmeldungen, deren Abgleich mit der eigenen Infrastruktur und die zeitnahe Einleitung von Gegenmaßnahmen – fehlt schlicht die Zeit.

Das Ergebnis: Lücken bleiben offen, nicht weil niemand handeln will, sondern weil niemand weiß, dass er jetzt handeln müsste.

Was ein aktiver Angriff kostet – ohne Monitoring

Hypothetisches, aber realistisches Szenario: Ein Angreifer nutzt CVE-2026-104286 aus, schreibt eine Webshell auf das FortiMail-System und hat damit dauerhaften Zugang zum Mail-Gateway. Er liest Kommunikation mit, leitet intern Mails um, sammelt Zugangsdaten. Das kann Wochen so laufen, bevor ein Mitarbeiter eine unerwartete Mail-Weiterleitung bemerkt – oder gar nicht.

Die Folgen – Datenabfluss, DSGVO-Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden, Forensikkosten, Reputationsschaden, Betriebsunterbrechung – sind dann nicht mehr durch einen Patch zu verhindern. Der Patch hätte das Problem an seiner Wurzel beseitigt, wenn er rechtzeitig eingespielt worden wäre.

Monitoring ändert hier die Ausgangslage fundamental: Wer weiß, dass ein CVE mit CVSS 9,8 in aktiver Ausnutzung ist und FortiMail betrifft, hat eine klare Handlungsnotwendigkeit. Wer es nicht weiß, handelt nicht.

Einmalige Einrichtung vs. laufender Betrieb: Ein grundlegender Unterschied

Eine Firewall einzurichten ist ein Projekt. Eine Firewall zu betreiben ist ein Dauerbetrieb. Beides ist IT-Dienstleistung, aber beides ist nicht dasselbe.

Einmalige Einrichtung umfasst: Hardware-Auswahl, Grundkonfiguration, Regelwerk, VPN, Segmentierung, Dokumentation. Das ist eine endliche Aufgabe mit definierten Ergebnissen.

Laufender Betrieb umfasst dagegen:

• Advisory-Monitoring: Welche Schwachstellen betreffen meine konkrete Firmware-Version?
• Patch-Management: Wann und wie wird ein Update eingespielt, ohne Betriebsunterbrechung zu riskieren?
• Log-Auswertung: Gibt es Auffälligkeiten im Traffic, die auf Reconnaissance oder aktiven Angriff hindeuten?
• Regelwerk-Pflege: Passen die Regeln noch zur aktuellen Netzwerktopologie und den genutzten Diensten?
• Incident-Reaktion: Was passiert, wenn ein Alarm ausgelöst wird – wer handelt, wie schnell, mit welchem Eskalationsweg?

Viele KMU bezahlen für das Projekt und glauben, damit auch den Dauerbetrieb abgedeckt zu haben. Der liegt aber außerhalb des Projektscopes – und damit im Blindbereich.

Warum Firmware-Updates allein nicht reichen

Updates einzuspielen ist notwendig, aber nicht hinreichend. Erstens: Wer nicht weiß, welche Lücken aktuell aktiv ausgenutzt werden, kann keine Priorität setzen. Alle Patches sind gleich wichtig, bis man das Lagebild kennt – dann sind manche dringend und manche können warten.

Zweitens: Ein Update kann konfigurationsrelevante Änderungen mitbringen. Wer ein FortiOS-Major-Update einspielt, ohne die Release Notes zu lesen und die eigene Konfiguration zu prüfen, riskiert Regelbrüche oder Verbindungsabbrüche. Bei einem laufenden Produktionsbetrieb ist das ein ernstes Problem.

Drittens: Log-Monitoring zeigt, ob ein System vor dem Patch bereits kompromittiert wurde. Ein Update auf einem bereits kompromittierten System schließt die Lücke, entfernt aber nicht die bereits platzierte Hintertür. Wer den Zustand vor dem Patch nicht kennt, kann das nicht beurteilen.

Was Managed Firewall konkret bedeutet

Managed Firewall ist kein Pauschalprodukt. Was darunter zu verstehen ist, hängt vom Betreiber und vom Leistungsumfang ab. Bei SWBS bedeutet es konkret:

Advisory-Watch: Wir beobachten systematisch die Hersteller-Advisories für Fortinet-Produkte sowie einschlägige Quellen wie den CISA-KEV-Feed. Wenn eine Schwachstelle Ihre konkrete Firmware-Version und Ihr spezifisches Gerät betrifft, erfahren Sie das – nicht Wochen später, sondern zeitnah. Mit einer Einschätzung, ob und wie dringend gehandelt werden muss.

Log-Monitoring und -Auswertung: Firewall-Logs enthalten eine Menge Rauschen. Was sie auch enthalten: Hinweise auf Port-Scans, ungewöhnliche Verbindungsversuche, fehlgeschlagene Authentifizierungen in auffälliger Häufung, Verbindungen zu bekannten Command-and-Control-Infrastrukturen. Wir werten diese Logs aus – nicht vollautomatisch und unkontrolliert, sondern mit menschlicher Beurteilung der Ergebnisse.

Patch-Management mit Abnahme: Updates werden geplant, nicht spontan eingespielt. Wir prüfen die Release Notes, testen in definierten Zeitfenstern und dokumentieren den Zustand vor und nach dem Update. Wenn ein Update eine Konfigurationsänderung erfordert, planen wir diese mit.

Definierte Notfallreaktion: Im Sicherheitsvorfall gilt: Wer macht was, in welcher Reihenfolge, mit welcher Eskalation? Das ist kein Schriftstück für die Schublade, sondern ein abgesprochener, geübter Ablauf. SWBS hat definierte Reaktionswege für den Fall, dass ein Alarm ausgelöst wird oder ein Gerät kompromittiert erscheint.

Was Managed Firewall nicht ersetzt: eine initiale, solide Grundhärtung. Wer sein Gerät nie richtig konfiguriert hat, braucht zunächst ein Audit und eine saubere Grundkonfiguration. Der Managed-Betrieb sichert den Dauerbetrieb – er kann eine fehlerhafte Ausgangsbasis nicht im laufenden Betrieb korrigieren, ohne das Netzwerk kurzzeitig zu unterbrechen.

Was zu Ihrem Unternehmen passen muss

Managed Firewall macht Sinn für Unternehmen, auf die mehrere dieser Punkte zutreffen:

• Sie betreiben Firewalls (insbesondere Fortinet), haben aber keine interne Ressource, die proaktiv Advisories verfolgt
• Ihr IT-Verantwortlicher ist für viele Aufgaben zuständig und hat kein Zeitbudget für systematisches Log-Monitoring
• Sie haben keine definierten Reaktionswege für den Sicherheitsvorfall
• Sie wissen nicht mit Sicherheit, welche Firmware-Version auf Ihrem Perimeter-Gerät läuft
• Sie haben in den letzten 12 Monaten kein Firmware-Update eingespielt

Kein Managed-Service-Modell nötig ist, wenn Sie eine eigene IT-Abteilung mit dedizierten Security-Ressourcen haben, die bereits Advisory-Feeds abonniert, Logs auswertet und Patches nach definierten Prozessen einspielt. Dann brauchen Sie keinen externen Betreiber, sondern allenfalls Beratung oder Audit.

Praxisbeispiel: Wie ein Managed-Betrieb im Oktober 2026 abläuft

Hypothetisches, aber exemplarisches Szenario aus unserem Arbeitsalltag:

Ein mittelständisches Fertigungsunternehmen mit 80 Mitarbeitern betreibt eine FortiGate mit FortiOS 7.4.7 und FortiMail 7.6.5. Beide Versionen sind von den oben beschriebenen CVEs betroffen.

Ohne Managed-Betrieb: Der IT-Verantwortliche erhält vielleicht eine automatische E-Mail von Fortinet – irgendwann. Er prüft, ob er Zeit hat, liest das Advisory oberflächlich, stellt fest, dass „admin mit read-write nötig ist" und schätzt die Lage als unkritisch ein. CVE-2026-104286 mit CVSS 9,8 auf FortiMail bekommt er nicht in Verbindung mit seinem Produktivsystem, weil er gar nicht wusste, dass FortiMail 7.6.5 betroffen ist. Sechs Wochen später gibt es ein Sicherheitsproblem.

Mit Managed-Betrieb durch SWBS: Beim Eingang des CISA-Alerts vom 01.10.2026 prüfen wir die laufenden Installationen unserer Kunden gegen die betroffenen Produktversionen. FortiMail 7.6.5 ist betroffen. Wir informieren das Unternehmen am selben Tag, bewerten die Dringlichkeit (unauthentifiziert, CVSS 9,8, aktive Ausnutzung bestätigt = sofortige Handlung), und koordinieren das Update auf FortiMail 7.6.7 – nach kurzer Abstimmung – innerhalb von 72 Stunden. Die FortiOS-Lücken folgen im selben geplanten Wartungsfenster.

Das Unternehmen hat in diesem Zeitraum keine eigene Ressource für diesen Aufwand aufgebracht. Der Sicherheitsstand ist trotzdem aktuell.

Managed Security KMU: Häufige Einwände – und wie wir damit umgehen

„Managed Services sind nur etwas für Konzerne"

Das stimmt für klassische SIEM-Plattformen mit 24/7-SOC und sechsstelligen Jahresbudgets. Managed Firewall für den Mittelstand ist ein anderes Modell: kein Security Operations Center mit 50 Analysten, sondern ein definierter Betreiber mit klaren Leistungen, der Ihre konkrete Infrastruktur kennt und im Vorfall handeln kann.

Der Aufwand für Advisory-Monitoring, Log-Auswertung und Patch-Management ist bei einem KMU-Netzwerk mit einem oder zwei Perimeter-Geräten deutlich überschaubarer als bei einer Konzerninfrastruktur. Managed Security ist nicht skalierbar nur nach oben – es gibt Modelle, die für 20-Mitarbeiter-Unternehmen ebenso wirtschaftlich sind wie für 200-Mitarbeiter-Betriebe.

„Wir wollen die Kontrolle nicht abgeben"

Ein legitimer Einwand – und einer, der falsch auf das Modell angewendet wird. Managed Firewall bedeutet nicht, dass SWBS unkontrolliert in Ihr Netzwerk eingreift. Es bedeutet, dass wir nach einem definierten, dokumentierten Prozess arbeiten, den Sie kennen und freigegeben haben. Jede Änderung am Regelwerk, jedes Update, jede Maßnahme im Vorfall läuft nach abgestimmtem Eskalationsweg – Sie bleiben informiert, Sie entscheiden bei wesentlichen Eingriffen.

Was abgegeben wird: der reaktive Aufwand, der anfällt, wenn niemand systematisch hinschaut. Was behalten wird: die Entscheidungshoheit über Ihr Netzwerk.

Was das für Ihre IT-Planung bedeutet

Wenn Sie heute Fortinet-Geräte betreiben, sind drei Fragen sofort relevant:

1. Welche Firmware-Version läuft auf Ihren Geräten? Prüfen Sie das jetzt. FortiOS 7.6.4 oder älter, 7.4.8 oder älter, 7.2.x, 7.0.x und 6.4.x sind von CVE-2025-25249 betroffen. FortiOS 7.6.4 oder älter und 7.4.9 oder älter sind von CVE-2025-61624 betroffen.

2. Ist Ihr Management-Zugang vom offenen Internet getrennt? Der Zugriff auf Web-GUI und CLI gehört nicht ins offene Internet – auch nicht hinter „Security by Obscurity" mit ungewöhnlichen Ports. VPN oder dediziertes Management-Netz sind der richtige Weg.

3. Haben Sie einen definierten Reaktionsweg? Nicht als Konzept, sondern als tatsächlich abgestimmter Ablauf: Wer wird wann informiert, wer entscheidet, wer handelt?

Wer diese drei Fragen nicht sofort beantworten kann, hat Handlungsbedarf – unabhängig davon, ob er sich für Managed Firewall entscheidet oder nicht.

Wer sich mit dem Thema IT-Sicherheit grundsätzlicher befassen möchte, findet im Artikel zu IT-Sicherheit im Überblick eine strukturierte Ausgangsbasis. Für Unternehmen im produzierenden Gewerbe hat der Artikel zu IT-Sicherheit in der Produktion konkrete Besonderheiten der OT/IT-Grenze.

Und wenn Sie überlegen, ob und welche Form von Managed IT-Services für Ihr Unternehmen insgesamt sinnvoll ist – nicht nur für die Firewall –, lohnt sich ein Blick auf die Gesamtbetrachtung von Leistungsumfang, Kosten und Entscheidungskriterien.

Was SWBS als Managed-Firewall-Betreiber leistet

SW Business Solutions ist kein reines Webentwicklungs- oder Digitalisierungshaus – Fortinet-Infrastruktur ist eine der Technologien, die wir aktiv betreiben. Das bedeutet: Wir kennen die Advisory-Landschaft, wir kennen die typischen Konfigurationsfehler und wir haben die Abläufe, die im Vorfall tatsächlich greifen.

Das Angebot als Managed-Firewall-Betreiber umfasst:

• Advisory-Watch für Fortinet-Produkte mit kundenbezogenem Abgleich der betroffenen Versionen
• Laufendes Log-Monitoring mit definierten Auswertungsintervallen und Eskalationsschwellen
• Geplantes Patch-Management mit Vorab-Prüfung, Dokumentation und Abnahme
• Definiertes Incident-Response-Protokoll mit klaren Reaktionszeiten und Eskalationswegen

Was wir nicht versprechen: vollständige Immunität gegen jeden Angriff. Kein Sicherheitskonzept kann das leisten. Was wir versprechen: dass bekannte, aktiv ausgenutzte Schwachstellen in Ihrer Infrastruktur nicht wochen- oder monatelang offen bleiben, ohne dass jemand reagiert.

Wenn Sie wissen möchten, ob Managed Firewall für Ihr Unternehmen der richtige nächste Schritt ist, sprechen Sie uns an. Wir schauen uns Ihre aktuelle Situation an – Geräte, Firmware-Stand, Konfiguration, Reaktionswege – und geben Ihnen eine ehrliche Einschätzung, bevor wir über ein konkretes Angebot reden.

Managed-Firewall-Angebot anfragen