Ein Sicherheitsforscher fand einen offenen Server mit echten Admin-Logins für Zehntausende Firmen-Firewalls, frei zugänglich für jeden, der wusste, wo er suchen musste. Dieser Leak, mittlerweile FortiBleed genannt, wurde jetzt zwei Ransomware-Gruppen zugeordnet, die dieselbe Kernmannschaft teilen.

Auch hier sind die Opfer Unternehmen, die Fortinet-FortiGate-Firewalls und SSL-VPN-Gateways betreiben, keine Privatpersonen mit einer Consumer-VPN-App. Aber die Kampagne zeigt ziemlich genau, wie Angreifer aus einer alten, ungepatchten Lücke einen industriellen Diebstahl von Zugangsdaten machen.

Was FortiBleed eigentlich ist

Im Juni 2026 entdeckte der Sicherheitsforscher Bob Diachenko eine ungesicherte Datenbank mit scheinbar echten FortiGate-Zugangsdaten: Benutzernamen, E-Mail-Adressen und Passwörter im Klartext. BleepingComputer berichtete zunächst von 73.932 betroffenen Geräte-URLs. Der Sicherheitsforscher Kevin Beaumont prüfte unabhängig eine Stichprobe der Daten und bestätigte, dass einige der Logins tatsächlich funktionieren.

Bis zum 19. Juni war die bestätigte Anzahl betroffener Geräte auf rund 86.644 in 194 Ländern gestiegen, fast die Hälfte aller aus dem Internet erreichbaren FortiGate-Geräte weltweit. Unter den in der Datenbank genannten Opfern sollen Chevron, Samsung, Foxconn, Toyota und mehrere weitere Großunternehmen sein.

Die eigentliche Ursache liegt weiter zurück als der Leak selbst. Ein Großteil der gesammelten Zugangsdaten geht auf CVE-2022-40684 zurück, eine Path-Traversal-Lücke in FortiOS, die Fortinet bereits im Oktober 2022 geschlossen hat. Fast vier Jahre später hatte ein erheblicher Teil der Geräte den Patch immer noch nicht installiert, und genau diese Lücke haben die Angreifer ausgenutzt.

Wie die Zugangsdaten wirklich geknackt wurden

Das Ausmaß dieser Kampagne unterscheidet sie von einem gewöhnlichen Leak. Späteren technischen Analysen zufolge scannten die Angreifer rund 59,3 Millionen aus dem Internet erreichbare Hosts nach offenen FortiGate-Verwaltungsoberflächen und starteten anschließend 1,16 Milliarden Login-Versuche mit Zugangsdaten gegen 320.777 identifizierte FortiGate-Ziele.

Wo einfaches Credential Stuffing nicht funktionierte, wählten sie einen geduldigeren Weg. Der SSL-VPN-Handshake von FortiGate kann Authentifizierungs-Hashes preisgeben, ohne dass ein Login tatsächlich gelingt. Die Angreifer fingen diese Hashes ab und speisten sie in einen 45-GPU-Cluster ein, der über Hashtopolis verwaltet wurde, ein Open-Source-Framework für verteiltes Passwort-Cracking, um die Klartext-Passwörter offline zu rekonstruieren. Das ist kein einzelner Hacker mit einem Laptop. Das ist eine industrielle Operation, gebaut, um aus einem gescheiterten Login trotzdem ein gültiges Passwort zu machen.

Die Verbindung zu Lynx und INC

Die Verbindung, die FortiBleed über eine einzelne geleakte Datenbank hinaus wichtig macht, kam Anfang Juli ans Licht, als BleepingComputer berichtete, dass Forscher die Infrastruktur des Datendiebstahls mit der Lynx-Ransomware in Verbindung gebracht hatten. Die Threat-Intelligence-Firma SOCRadar ging noch weiter und ordnete die Kampagne direkt Mitgliedern der Ransomware-as-a-Service-Gruppen INC und Lynx zu, nachdem sie festgestellt hatte, dass dieselben Akteure Zugriff auf die Verhandlungspanels beider Gruppen hatten.

Diese Überschneidung ist kein Zufall. Lynx tauchte Mitte 2024 auf, und viele Forscher gehen davon aus, dass die Gruppe eher ein Rebranding der INC-Ransomware-Bande ist als eine wirklich neue Truppe. The Hacker News berichtete, wie die Gruppe ein eigens gebautes Tool zum Mitschneiden von Datenpaketen namens “FortiGate Sniffer” direkt auf kompromittierten Firewalls einsetzte, um VPN- und Admin-Zugangsdaten aus dem laufenden Netzwerkverkehr abzufangen, zusätzlich zu den geknackten Hashes.

Bei den nachfolgenden Berichten waren die Zahlen erneut gewachsen. Tech Times berichtete, dass die tatsächliche Reichweite der Operation mehr als 430.000 FortiGate-Geräte weltweit erreichte, mit Sniffing-Tools auf rund 19.000 davon, und dass Hinweise auf ein Team von rund 20 Personen mit festgelegten Rollen hindeuten. Das war kein isolierter Datenklau. Es sieht eher aus wie der Anfang einer Ransomware-Lieferkette: erst massenhaft Zugänge sammeln, danach entscheiden, wer eine Lösegeldforderung wert ist.

Was die CISA von Unternehmen verlangt

Die CISA-Warnung vom 18. Juni fordert jedes Unternehmen mit FortiGate-Geräten oder SSL-VPN-Gateways auf, den Vorfall als dringend zu behandeln. Die wichtigsten Empfehlungen:

  • Alle aktiven SSL-VPN- und Admin-Sitzungen sofort beenden
  • Alle Fortinet-VPN- und Admin-Passwörter zurücksetzen, mit Priorität auf aus dem Internet erreichbaren Systemen
  • Multi-Faktor-Authentifizierung für alle Admin- und VPN-Konten aktivieren
  • Prüfen, ob die Geräte PBKDF2 zur Speicherung von Admin-Zugangsdaten verwenden, und schwächere veraltete Hash-Algorithmen entfernen
  • Auf die neueste FortiGate-Firmware aktualisieren
  • Protokolle auf unerwartete Admin-Zugriffe, unbekannte Konten oder Konfigurationsänderungen prüfen, an die sich niemand erinnert

Nichts davon ist ungewöhnlich. Es ist dieselbe Checkliste, die nach jedem dieser Vorfälle folgt, und dieselbe, die Unternehmen ignorieren, bis ein Einbruch sie dazu zwingt.

Firmen-VPN-Gateway und Consumer-VPN-App: immer noch nicht dasselbe

Diesen Punkt hatten wir schon beim Check-Point-VPN-Zero-Day, der mit der Qilin-Ransomware in Verbindung gebracht wurde, im Juni gemacht, und er gilt hier genauso. Ein FortiGate-SSL-VPN ist ein Fernzugriffs-Gateway für Unternehmen. Es nimmt eingehende Verbindungen von Mitarbeitern an und sitzt direkt vor dem Firmennetzwerk, weshalb es sich lohnt, für das Knacken seiner Zugangsdaten einen 45-GPU-Cluster zu bauen.

Eine Consumer-VPN-App funktioniert umgekehrt. Man verbindet sich ausgehend mit dem Server eines Anbieters, um den eigenen Datenverkehr zu verschlüsseln, und dahinter steckt kein Firmennetzwerk, das jemand erpressen könnte. FortiBleed sagt nichts darüber aus, ob NordVPN, Proton VPN oder ein anderer Consumer-Dienst sicher ist. Anderes Produkt, anderes Bedrohungsmodell, nur die gleichen drei Buchstaben.

Was das für normale VPN-Nutzer bedeutet

Wer noch nie ein FortiGate-Gerät angefasst hat, ist direkt gar nicht betroffen. Aber das Muster sollte man sich merken: SSL-VPN-Protokolle auf veralteter Firmware ziehen genau diese Art von Angriff an, weil sie nie dafür gebaut wurden, eine Milliarde Cracking-Versuche auszuhalten. Auf der Verbraucherseite ist der entsprechende Fehler, lange nach dem Aufkommen besserer Optionen bei einem veralteten Protokoll wie PPTP oder L2TP zu bleiben. Wenn der eigene Anbieter noch standardmäßig auf diese Protokolle setzt, ist das ein Warnsignal, das man ernst nehmen sollte.

Moderne Protokolle wie WireGuard umgehen einen großen Teil dieses Problems schon durch ihr Design: kleinere Angriffsfläche, moderne Kryptografie, keine jahrzehntealten Handshake-Eigenheiten zum Ausnutzen. Unser Vergleich WireGuard gegen OpenVPN erklärt, welches Protokoll die bessere Wahl ist und warum das mehr zählt, als die meisten denken. Ein Anbieter wie NordVPN setzt standardmäßig auf NordLynx, die eigene WireGuard-Implementierung, und genau solche Standardeinstellungen altern gut.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Ein Muster, das sich wiederholt

Fortinet-Geräte produzieren seit Jahren einen stetigen Strom ausgenutzter CVEs. Ivanti Connect Secure hatte seine eigene Zero-Day-Welle. Pulse Secure und Citrix waren davor jeweils dran. Edge-Geräte hängen per Definition im Internet, halten die Schlüssel zu allem dahinter und ihre Aktualisierung braucht ein Wartungsfenster, das niemand einplanen will. Diese Kombination erklärt, warum sie in Ransomware-Chroniken ständig wieder auftauchen, und warum eine vier Jahre alte CVE wie CVE-2022-40684 im Jahr 2026 immer noch Schaden anrichten kann.

Die unbequeme Wahrheit ist: FortiBleed war kein Zero-Day. Es war eine bekannte, gepatchte Lücke, die ein großer Teil der weltweiten Firewall-Flotte nie geschlossen hat, lange genug offen, damit jemand eine industrielle Cracking-Infrastruktur drumherum bauen konnte.

Unser Urteil

FortiBleed ist weniger ein einzelner Vorfall als eine Lieferkette: erst massenhaft Zugangsdaten sammeln, dann an Ransomware-Banden weitergeben. Der 45-GPU-Cracking-Cluster und die 430.000 betroffenen Geräte zeigen, wie viel Infrastruktur Angreifer um eine einzelne ungepatchte Schwachstelle bauen, sobald sie sich als profitabel erweist. Wer FortiGate-Geräte betreibt, sollte die Checkliste der CISA nicht als optional betrachten. Wer nur eine Consumer-VPN-App nutzt, ist von dieser Geschichte nicht direkt betroffen, sie bestätigt aber dieselbe Regel: veraltete, weiterlaufende Protokolle sind genau das, was aus einer gepatchten CVE einen jahrelangen Einbruch macht.

Quellen: BleepingComputer zum ursprünglichen Leak | CISA-Warnung | BleepingComputer zur Verbindung mit der Lynx-Ransomware | The Hacker News zur Zuordnung zu INC und Lynx | Tech Times zum Ausmaß von 430.000 Geräten