Die kurze Antwort
Eine massenhafte Firewall-Zugangsdaten-Diebstahlkampagne wurde erstmals direkt mit Ransomware verbunden. Anfang Juli 2026 berichtete SOCRadars Threat Research Unit, dass FortiBleed — eine Operation, die rund 430.000 aus dem Internet erreichbare FortiGate-Firewalls scannte und attackierte und einen eigenen Paket-Sniffer nutzte, um VPN- und Administrator-Zugangsdaten abzugreifen — Infrastruktur und Betreiber mit den Ransomware-Gruppen INC Ransom und Lynx teilt. Die Forscher fanden einen mit FortiBleed verbundenen Server mit aktiven Sitzungen in den Verhandlungspanels beider Gruppen. SOCRadar verzeichnete bestätigten Admin-Zugriff auf Hunderte von Zielen und mindestens ein Dutzend daraus resultierende Ransomware-Einsätze.
Die praktische Lesart für Engineering-Verantwortliche: Ihre Edge-Firewall ist nicht bloß ein Netzwerkgerät, sondern ein Satz langlebiger Zugangsdaten, den eine Ransomware-Crew jetzt als fertige Eingangstür behandelt. Wenn eine FortiGate-Management- oder VPN-Schnittstelle im Internet exponiert war, nehmen Sie an, dass die Zugangsdaten auf und hinter ihr kompromittiert sind, und wechseln Sie sie.
Was ist tatsächlich passiert?
In den vergangenen Wochen dokumentierten Sicherheitsforscher eine groß angelegte Operation namens FortiBleed, die auf aus dem Internet erreichbare Fortinet-FortiGate-Firewalls zielte. Laut SOCRadars Threat Research Unit scannten und attackierten die Betreiber rund 430.000 FortiGate-Geräte weltweit, versuchten den Zugriff mit bekannten Zugangsdaten-Kombinationen und installierten anschließend einen eigenen Paket-Sniffer auf kompromittierten Geräten, um VPN- und Administrator-Zugangsdaten passiv direkt aus dem Netzwerkverkehr zu sammeln. Da der Sniffer Zugangsdaten abgreift, während sie das Gerät passieren, ist die Gefährdung nicht an eine einzelne CVE gebunden — sondern an alles, was durch eine exponierte Firewall lief.
Firewalls und VPN-Konzentratoren sind genau die Art von Asset, die eine Edge-Kompromittierung so wertvoll macht: Sie sitzen an der Grenze, sie halten oder vermitteln die Zugangsdaten, mit denen Menschen in interne Netze gelangen, und sie sind oft die am wenigsten überwachte Box im Bestand. Deshalb ist Edge-Exposition der erste Posten in jedem ernsthaften Penetrationstest und Sicherheitsaudit. SOCRadar berichtete, dass die Kampagne verifizierte funktionierende Administrator-Zugangsdaten für Zehntausende Geräte erbrachte und dass die US-Behörde CISA Fortinet-Nutzer nach dem Auftauchen des Lecks warnte, ihre Systeme abzusichern.
Die Berichterstattung skizziert auch die Crew dahinter: eine organisierte, russischsprachige Gruppe von rund 20 Personen mit klar verteilten Rollen, die primär als Initial Access Broker agiert — Spezialisten, die einbrechen, den Zugriff verifizieren und ihn dann verkaufen oder weitergeben, statt jeden Einbruch selbst zu Ende zu führen. Genau diese Arbeitsteilung ist das Bindeglied zu dem, was folgte.
Wie wird Zugangsdatendiebstahl zu Ransomware?
Die wesentliche Entwicklung Anfang Juli ist die direkte Verbindung zu Ransomware. SOCRadar erklärte, es habe einen zur FortiBleed-Infrastruktur gehörenden Windows-Server identifiziert, der aktive Browser-Sitzungen aufwies, die in den Administrations- und Verhandlungspanels zweier Ransomware-Operationen angemeldet waren: INC Ransom (aktiv seit Mitte 2023) und Lynx (Mitte 2024 aufgetaucht und weithin als INC-Rebranding betrachtet). Mit anderen Worten: dieselben Hände, die Firewall-Zugangsdaten abgriffen, arbeiteten auch an der Lösegeld-Verhandlungsseite aktiver Erpressungsfälle.
Das schließt eine Schleife, die Forscher üblicherweise nur folgern können. Gestohlene Edge-Zugangsdaten standen lange im Verdacht, Ransomware zu speisen, doch hier teilen sich die Initial-Access-Operation und die Ransomware-Operation offenbar Personen und Infrastruktur — und verbinden massenhaften FortiGate-Zugangsdatendiebstahl erstmals direkt mit Ransomware-Einsätzen. SOCRadar verzeichnete Scans gegen Tausende von Fortinet-Portalen, bestätigten Admin-Zugriff auf Hunderte von Zielen und den Abschluss der vollständigen Angriffskette — bis hin zur Verschlüsselung — bei einer kleineren Menge, mit mindestens einem Dutzend Ransomware-Einsätzen, die dem Zugriff zugeschrieben werden.
Warum ist dieser Fall relevant?
Edge-Geräte-Einbrüche sind nichts Neues, und Fortinet hat mehrere überstanden. Was FortiBleed anders macht, ist die Industrialisierung der Pipeline: ein Zugangsdaten-abgreifender Sniffer, der im großen Maßstab läuft, eine Broker-Crew, die funktionierenden Zugriff verifiziert und katalogisiert, und eine nachgewiesene Übergabe in die Ransomware-Verhandlung. Das verwandelt eine Firewall in einen wiederholbaren Ransomware-Einstiegspunkt statt in einen einmaligen Einbruch.
Es lässt auch eine bequeme Annahme zusammenbrechen. Viele Teams setzen bei Netzwerk-Hardware „gepatcht“ mit „sicher“ gleich. Doch wenn Zugangsdaten abgeschnorchelt wurden, während das Gerät exponiert war, bringt das Patchen der Firmware nichts für die Schlüssel, die bereits in fremder Hand sind — und ein Backdoor-Konto (Forscher meldeten einen persistenten Benutzer mit einem Namen wie adminin) kann das Update überdauern. Die einzig verlässliche Antwort auf Zugangsdatendiebstahl ist der Zugangsdaten-Wechsel, kein Versionssprung.
Was es für Softwareteams in der DACH-Region bedeutet
Löst man sich von den Details, bleiben drei dauerhafte Konsequenzen. Die erste ist, dass der Edge Initial Access ist — und Initial Access jetzt Ransomware bedeutet. Jede aus dem Internet erreichbare Management- oder VPN-Schnittstelle sollte als Zugangsdaten-Speicher behandelt werden, den ein Angreifer möglicherweise bereits gelesen hat. Die Lösung besteht nicht nur im Patchen, sondern darin, jede Zugangsdatei auf und hinter dem Gerät zu wechseln, phishing-resistente MFA zu erzwingen und Management-Schnittstellen nach Möglichkeit aus dem öffentlichen Internet zu nehmen.
Die zweite ist, dass ein flaches Netzwerk aus einer einzigen gestohlenen Zugangsdatei einen Unternehmensausfall macht. FortiBleed ist für Ransomware-Crews gerade deshalb wertvoll, weil Edge-Zugriff intern so oft breite Reichweite gewährt. Teams im FinTech und in anderen regulierten Sektoren sollten diese Art von Vorfall einkalkulieren, wenn sie ihre Pflichten aus DSGVO, DORA oder SOC 2 abstecken: Netzwerksegmentierung, Least-Privilege-Zugriff hinter der Firewall und überwachte Egress-Verbindungen verwandeln eine kompromittierte Edge-Box in ein eingegrenztes Ereignis statt in einen vollständigen Einbruch und einen meldepflichtigen Ransomware-Vorfall.
Die dritte ist, dass Erkennung und Wiederherstellung eingeübt und nicht improvisiert sein müssen. Wenn Initial-Access-Broker und Ransomware-Betreiber dasselbe Team sind, kann das Fenster zwischen Kompromittierung und Verschlüsselung kurz sein. Die Überwachung auffälliger Logins auf VPN- und Management-Ebenen, getestete Offline-Backups und ein Zugangsdaten-Wechsel-Runbook, das Sie tatsächlich durchgespielt haben, machen den Unterschied zwischen einer schlechten Woche und einer existenzbedrohenden aus. Diese Haltung ist gewöhnliche Hygiene eines sicheren Auslieferungsprozesses, keine Paranoia.
Was jetzt zu tun ist
Hier die auslieferbare Fassung. Behandeln Sie FortiBleed als Anlass, zu härten, wie Ihre Organisation Edge-Geräte exponiert und absichert — ob Sie Fortinet betreiben oder nicht.
- Gehen Sie von Kompromittierung aus und wechseln Sie. Wechseln Sie für jede aus dem Internet erreichbare FortiGate die Admin- und VPN-Zugangsdaten, lokalen Konten und alle Geheimnisse, die das Gerät passierten; ein Firmware-Patch allein macht gestohlene Zugangsdaten nicht rückgängig.
- Suchen Sie nach Persistenz. Prüfen Sie Admin-Konten auf unbekannte oder Backdoor-Benutzer (Forscher meldeten einen Namen wie
adminin) und kontrollieren Sie VPN- und Management-Logins auf auffällige Quelladressen. - Nehmen Sie das Management aus dem Internet. Beschränken Sie administrative Schnittstellen auf vertrauenswürdige Netze oder ein VPN und erzwingen Sie phishing-resistente MFA für den Fernzugriff.
- Segmentieren Sie hinter dem Edge. Stellen Sie sicher, dass eine kompromittierte Firewall keinen flachen Zugriff auf die Produktion gewährt; wenden Sie Least Privilege innerhalb des Perimeters an.
- Achten Sie auf laterale Bewegung. Überwachen Sie auf auffällige Logins, neue Dienstkonten und Ost-West-Verkehr, der einer Verschlüsselung vorausgeht.
- Üben Sie die Wiederherstellung. Halten Sie getestete Offline-Backups und ein Runbook bereit, um Zugangsdaten schnell zu wechseln und Systeme zu isolieren, wenn ein Edge-Gerät kompromittiert ist.
Nichts davon ist eine Rechtsberatung, und Ihre genauen Pflichten hängen von Ihrem Sektor und Ihrer Jurisdiktion ab. Doch das strategische Signal ist klar: Die Grenze zwischen „jemand hat unsere Firewall-Zugangsdaten gelesen“ und „jemand hat unser Netz verschlüsselt“ ist auf eine einzige Übergabe geschrumpft — und die Teams, die unbeschadet durchkommen, sind jene, die Zugangsdaten gewechselt, ihre Netze segmentiert und einen eingeübten Wiederherstellungsplan griffbereit gehalten haben.
Häufig gestellte Fragen
Was ist die FortiBleed-Kampagne?
FortiBleed ist der Name, den Sicherheitsforscher einer groß angelegten Kampagne gaben, die Zugangsdaten von aus dem Internet erreichbaren Fortinet-FortiGate-Firewalls abgriff. Laut SOCRadars Threat Research Unit scannten und attackierten die Betreiber rund 430.000 FortiGate-Geräte weltweit, versuchten den Zugriff mit bekannten Zugangsdaten-Kombinationen und installierten anschließend einen eigenen Paket-Sniffer auf kompromittierten Geräten, um VPN- und Administrator-Zugangsdaten passiv aus dem Netzwerkverkehr zu sammeln. Das Ergebnis waren verifizierte funktionierende Administrator-Zugangsdaten für Zehntausende Geräte in vielen Ländern.
Wie hängt FortiBleed mit Ransomware zusammen?
Anfang Juli 2026 berichtete SOCRadar, dass ein zur FortiBleed-Infrastruktur gehörender Windows-Server aktive Browser-Sitzungen aufwies, die in den Administrations- und Verhandlungspanels der Ransomware-Operationen INC Ransom und Lynx angemeldet waren. Das ist das erste Mal, dass massenhafter FortiGate-Zugangsdatendiebstahl direkt mit Ransomware-Einsätzen verbunden wurde: dieselben Betreiber scheinen den gestohlenen Firewall-Zugriff als Einstiegspunkt für nachfolgende Ransomware-Angriffe zu verkaufen oder zu nutzen. SOCRadar verzeichnete bestätigten Admin-Zugriff auf Hunderte von Zielen und mindestens ein Dutzend Ransomware-Einsätze, die aus diesem Zugriff resultierten.
Welche Ransomware-Gruppen sind beteiligt?
Forscher verbanden FortiBleed mit INC Ransom, das seit Mitte 2023 aktiv ist, und Lynx, das Mitte 2024 auftauchte und weithin als INC-Rebranding gilt. Die Bedrohungsakteure hinter FortiBleed werden als organisierte, russischsprachige Gruppe von rund 20 Personen beschrieben, die primär als Initial Access Broker agieren, statt die Verschlüsselung selbst durchzuführen.
Woran erkennen Teams, ob ihre FortiGate-Firewall betroffen ist?
Behandeln Sie jedes aus dem Internet erreichbare FortiGate-Gerät als potenziell betroffen. Die US-Behörde CISA warnte Fortinet-Nutzer nach dem Leck, ihre Geräte abzusichern; in der DACH-Region veröffentlichen BSI und die nationalen CERTs regelmäßig entsprechende Warnungen zu Fortinet. Praktische Prüfungen umfassen die Durchsicht von Konfigurationsdateien und Admin-Konten auf unbekannte oder Backdoor-Benutzer (Forscher meldeten ein persistentes Konto mit einem Namen wie adminin), die Kontrolle von VPN- und Management-Logins auf auffällige Quelladressen sowie die Bestätigung, dass die Firmware vollständig gepatcht ist. Da der Sniffer Zugangsdaten passiv abgriff, ist die Gefährdung nicht auf eine einzelne CVE beschränkt, weshalb ein Zugangsdaten-Wechsel angenommen und nicht diskutiert werden sollte.
Was sollten Organisationen tun, um das Ransomware-Risiko durch gestohlene Firewall-Zugangsdaten zu senken?
Wechseln Sie die Zugangsdaten auf und hinter jeder exponierten Firewall, erzwingen Sie phishing-resistente Multi-Faktor-Authentifizierung für VPN- und Management-Zugriffe und nehmen Sie Management-Schnittstellen nach Möglichkeit aus dem öffentlichen Internet. Segmentieren Sie Netzwerke, sodass ein kompromittiertes Edge-Gerät keinen flachen Zugriff auf die Produktion gewährt, überwachen Sie auf auffällige Logins und laterale Bewegung und halten Sie getestete Offline-Backups sowie ein eingeübtes Incident-Response- und Zugangsdaten-Wechsel-Runbook bereit. Unabhängige Penetrationstests und Konfigurationsprüfungen helfen zu bestätigen, dass der Edge-Bereich kein Single Point of Failure ist.
Quellen
The Hacker News — FortiBleed Credential Theft Linked to INC and Lynx Ransomware Operations
BleepingComputer — FortiBleed credential-theft campaign linked to Lynx ransomware
Dark Reading — FortiBleed Actors Collaborating With INC, Lynx Ransomware Gangs