Die CISA gab am 18. Juni 2026 eine Notfallwarnung zur Absicherung heraus, nachdem eine als „FortiBleed“ bezeichnete Kampagne zum Diebstahl von Anmeldedaten gültige Administrator- und VPN-Zugangsdaten für Zehntausende von mit dem Internet verbundenen Fortinet-Firewalls in staatlichen und privaten Organisationen weltweit offengelegt hatte.¹ Es wurde keine neue Sicherheitslücke ausgenutzt.² Die Angreifer nutzten gestohlene Anmeldedaten, Brute-Force-Angriffe und offen zugängliche Verwaltungsschnittstellen.

Was FortiBleed ist – und warum es anders ist

Am 13. Juni 2026 entdeckte der Sicherheitsforscher Volodymyr Diachenko einen offen zugänglichen Server, der gültige Fortinet-VPN-Anmeldedaten enthielt, darunter Benutzernamen, E-Mail-Adressen und Passwörter im Klartext für Zehntausende von Organisationen.⁵ Der Sicherheitsforscher Kevin Beaumont und Hudson Rock bestätigten den Datensatz unabhängig voneinander.⁵ Bis zum 19. Juni belief sich die Zahl der bestätigten Geräte auf etwa 86.644 einzelne Geräte in 194 Ländern, was etwa der Hälfte aller mit dem Internet verbundenen Fortinet-Firewalls entspricht.⁶

Bei FortiBleed handelt es sich nicht um einen CVE-Fall. Es gibt keinen Patch, der diese Sicherheitslücke schließt. Die Angreifer erlangten Zugangsdaten durch eine Kombination aus offen zugänglichen Verwaltungsschnittstellen, Brute-Force-Angriffen, aus exportierten Fortinet-Konfigurationsdateien gewonnenen Anmeldedaten sowie GPU-basiertem Offline-Passwort-Cracking gegen veraltete Hash-Formate. In der eigenen Einschätzung von Fortinet wird die Aktivität so beschrieben, dass die Angreifer Anmeldedaten aus früheren Vorfällen wiederverwendeten und Geräte mit schwacher Passwort-Sicherheit und ohne MFA per Brute-Force-Angriff knackten^.²

CISA-Warnung – 18. Juni 2026
Der CISA sind weltweite Berichte bekannt, wonach böswillige Cyberakteure unter Verwendung kompromittierter Zugangsdaten auf über das Internet zugängliche Fortinet-Geräte in Organisationen des öffentlichen und privaten Sektors abgezielt haben. Diese als „FortiBleed“ bezeichnete Aktivität beinhaltet die Offenlegung von durchgesickerten Zugangsdaten im Zusammenhang mit etwa 74.000 Fortinet-Geräten, darunter Firewalls und VPN-Gateways (Virtual Private Network).¹

Der Datensatz ist wie ein Verkaufskatalog aufgebaut. Jeder Eintrag enthält die Branche, den Umsatz, die Mitarbeiterzahl und das Land der Zielorganisation.⁴ Er wurde nicht für den persönlichen Gebrauch zusammengestellt, sondern zum Verkauf oder zur koordinierten Nutzung innerhalb einer kriminellen Gruppe.^4-5 Ein Angreifer mit diesen Zugangsdaten kann sich aus der Ferne anmelden, auf die Firewall und damit auf das dahinterliegende Netzwerk zugreifen, Sicherheitseinstellungen ändern und das Gerät als dauerhaften Zugangspunkt nutzen.

Risikoanalyse: Was den Angreifern zur Verfügung stand und was sie damit anstellen konnten

Zu den im Datensatz aufgeführten Unternehmen, darunter viele, die von Hudson Rock bestätigt wurden, gehörten Foxconn, Samsung, Comcast, Siemens, Lenovo, PwC, Accenture, Oracle sowie zahlreiche Regierungsbehörden und Betreiber kritischer Infrastrukturen.⁴ Der Datensatz umfasst 21.632 eindeutige Domains.⁵ Diese Breite ist kein Zufall – sie ist das Ergebnis.

Eine Kampagne zum Diebstahl von Anmeldedaten, die auf die Hälfte der mit dem Internet verbundenen Fortinet-Geräte abzielt, löst keine Exploit-Signaturen aus, installiert keine Malware am Einstiegspunkt und gibt sich in keiner Weise zu erkennen, die von einem Perimeter-Block- oder Intrusion-Detection-System erfasst werden könnte. Das Problem bei der Erkennung besteht genau darin, dass der Missbrauch legitimen Administratoraktivitäten ähnelt: gültige Anmeldedaten, gültige Benutzernamen, erfolgreiche Authentifizierung.

Grundursache: Drei Designentscheidungen, die dies in großem Maßstab ermöglicht haben

FortiBleed ist nicht in erster Linie ein Sicherheitsversagen von Fortinet. Es handelt sich vielmehr um die Industrialisierung von drei Anti-Mustern im Bereich der Perimetersicherheit, die bereits seit Jahren dokumentiert sind.

Empfohlene Maßnahmen: Was die CISA den Organisationen vorschreibt

In der Warnmeldung der CISA vom 18. Juni werden fünf konkrete Sofortmaßnahmen für alle betroffenen Fortinet-Kunden mit FortiGate-Geräten und SSL-VPN-Gateways genannt.¹ Für zivile Bundesbehörden sind diese Maßnahmen gemäß den geltenden verbindlichen Betriebsrichtlinien verpflichtend.

Wie BlackBerry Secure Communications der FortiBleed-Bedrohungsklasse begegnet

FortiBleed stellt eine Bedrohungsklasse dar, nicht einen einzelnen Vorfall. Der auf Anmeldedaten basierende Erstzugang zu Peripheriegeräten ist mittlerweile die vorherrschende Technik bei Kampagnen von Nationalstaaten und der organisierten Kriminalität, die auf Regierungsstellen und kritische Infrastrukturen abzielen. Sobald ein Angreifer den Netzwerkperimeter durchbrochen hat, kontrolliert er die Infrastruktur, auf die Kommunikation, Identitäten und Notfallkoordination angewiesen sind. Die entscheidende Frage lautet nicht nur, wie eine Kompromittierung des Perimeters verhindert werden kann, sondern auch, was nach einem erfolgreichen Angriff weiterhin geschützt und betriebsfähig bleibt.

Das Perimeter-Gerät befindet sich nicht mehr außerhalb des Bedrohungsmodells. Es ist der Einstiegspunkt. Unternehmen, deren Kommunikation, Identitätsmanagement und Notfallkoordination vollständig von der Integrität des Netzwerkperimeters abhängen, verfügen über keine Resilienzebene, wenn dieser Perimeter selbst zum Ort des Vorfalls wird.

BlackBerry-Position

Für FortiBleed war keine neue Sicherheitslücke erforderlich. Es bedurfte lediglich gültiger Anmeldedaten, einer nach außen zugänglichen Verwaltungsschnittstelle und des Fehlens einer MFA. Die Angreifer nutzten alle drei Faktoren in großem Umfang in 194 Ländern aus. Ein kompromittiertes Perimeter-Gerät setzt nicht nur das dahinterliegende Netzwerk der Gefahr aus – es legt auch jede Kommunikation, jeden Koordinationskanal und jede Identität offen, die über dieses Gerät laufen. BlackBerry UEM Kontrollen für den Gerätestatus und die Zugriffsrichtlinien UEM , die den Zugriffsbereich eines kompromittierten Perimeter-Geräts einschränken. BlackBerry SecuSUITE Sprach- und Datenkommunikation von der Netzbetreiber- und Plattforminfrastruktur SecuSUITE , die Angriffe der FortiBleed-Klasse gezielt zu durchdringen versuchen. BlackBerry AtHoc , dass bei einer Kompromittierung der Perimeter-Infrastruktur die Notfallkoordination und Krisenkommunikation über einen unabhängigen, authentifizierten Out-of-Band-Kanal erfolgen, der nicht von der kompromittierten Umgebung abhängig ist.

Quellenangaben:

1. CISA fordert die Absicherung von Fortinet-Geräten nach Berichten über die Offenlegung von Anmeldedaten (CISA, 22. Juni 2026)

2. Analyse gemeldeter Fälle von Zugangsdatenmissbrauch bei FortiGate-Geräten (Fortinet PSIRT, 19. Juni 2026).

3. FortiBleed: 75.000 Fortinet-Firewalls kompromittiert, globale Unternehmen gefährdet (Hudson Rock, 17. Juni 2026).

4. Technischer Hinweis: „FortiBleed“-Kampagne zum Diebstahl von Anmeldedaten, die auf mit dem Internet verbundene Fortinet-Geräte abzielt (Bitdefender, 22. Juni 2026).