Ihre Firewall patcht sich vielleicht selbst. Ransomware kommt trotzdem rein.

Wenn wir einem Unternehmen zeigen, dass seine Firewall zu einem bekannten Ransomware-Einfallstor passt, lautet die erste Antwort oft: „Aber die Firewall aktualisiert sich doch selbst.“ Für manche Firewalls stimmt das inzwischen teilweise. Seit FortiOS 7.4.5 installiert eine FortiGate neue Patch-Releases standardmäßig selbst. Aber „die Firewall aktualisiert sich“ und „die Firewall ist sicher“ sind zwei verschiedene Aussagen, und genau in der Lücke dazwischen passieren die meisten Ransomware-Angriffe über die Firewall.

Was sich automatisch aktualisiert und was nicht

Eine Firewall bekommt zwei Arten von Updates. Sicherheitsinhalte (Signaturen, Virenschutz, App- und URL-Listen) aktualisieren sich nach Zeitplan, bei Palo Alto bis zu alle 30 Minuten. Korrekturen am eigenen Betriebssystem der Firewall sind Firmware-Upgrades, und genau die schließen die Lücken, über die Angreifer hereinkommen.

• Palo Alto (PAN-OS): Es gibt kein automatisches Betriebssystem-Upgrade. Ein Admin plant jedes PAN-OS-Upgrade als einmaligen Auftrag auf eine gewählte Version (Palo Alto).
• Fortinet (FortiOS): Automatische Patch-Upgrades kamen mit FortiOS 7.2.6 für kleine Desktop-Modelle. Seit FortiOS 7.4.5 und 7.6.1 sind sie auf jedem FortiGate-Modell standardmäßig aktiv, auch auf virtuellen. Die Firewall wartet drei Tage nach einem Release und installiert es dann zu einer zufälligen Zeit zwischen 02:00 und 04:00 Uhr (Release Notes 7.4.5, Admin Guide).

Das Problem ist damit nicht gelöst, aus vier Gründen, die Fortinet selbst dokumentiert:

• Nur innerhalb eines Zweigs. Eine Firewall auf 7.2.x wechselt nur auf eine neuere 7.2.x, nie auf 7.4. Endet der Support des Zweigs, enden auch die automatischen Patches. FortiOS 7.2 hat am 30. September 2026 das Supportende erreicht (endoflife.date).
• Nicht bei zentral verwalteten Geräten. Auf FortiGates unter FortiManager oder in einer Security Fabric lässt sich die Funktion nicht aktivieren. So betreiben viele MSPs die Firewalls ihrer Kunden; dann zählt der Patch-Prozess des MSP.
• Ältere Firmware hat es nicht an. Eine Firewall, die seit der Installation nie auf 7.4.5 oder neuer gebracht wurde, hat den neuen Standard nie bekommen.
• Ein abgelaufener Supportvertrag blockiert den Download. Seit 7.4.8 werden FortiGates ohne gültige Firmware-Lizenz zum Upgrade gedrängt, aber laut Fortinet kann das Upgrade fehlschlagen, wenn der Firmware-Download gesperrt ist (Fortinet).

Warum so viele Firewalls hinterherhinken

Jedes Betriebssystem-Upgrade endet mit einem Neustart. Fortinet empfiehlt, ein Wartungsfenster einzuplanen; Palo Alto schreibt, dass ein Neustart erforderlich ist. Mit zwei Firewalls im Hochverfügbarkeits-Betrieb (HA) wird eine nach der anderen aktualisiert und das Netz bleibt online (Fortinet, Palo Alto). Ein Mittelständler mit einer einzigen Firewall verliert Internet und VPN, bis sie wieder läuft. Also wird das Upgrade auf „das nächste Fenster“ verschoben.

Auch Hardware altert heraus. Palo Alto unterstützt eine Firewall fünf Jahre nach Verkaufsende, und nur bis zu ihrer letzten unterstützten PAN-OS-Version (Palo Alto).

• Etwa fünf Wochen nach Fortinets Fix für die SSL-VPN-Lücke CVE-2024-21762 zählte die Shadowserver Foundation noch fast 150.000 potenziell verwundbare FortiGates (Security Affairs).
• Eine 2020 behobene Umgehung der Zwei-Faktor-Anmeldung (CVE-2020-12812) hatte im Januar 2026 noch über 10.000 ungepatchte FortiGates (SDxCentral).
• Laut Verizon-Bericht 2026 wurden nur 26 % der bekannt ausgenutzten Schwachstellen im Jahr vollständig behoben, im Median nach 43 Tagen (Verizon DBIR 2026).

Diese Zahlen beruhen auf Versions-Scans und bedeuten „potenziell verwundbar“, nicht „bestätigt kompromittiert“.

Angreifer sind oft vor dem Patch da

• Palo Alto CVE-2024-3400: ausgenutzt ab dem 26. März 2024. Die Sicherheitsmeldung kam am 12. April, die ersten Fixes am 14. April (Volexity, Palo Alto).
• Fortinet CVE-2024-21762: Fortinets Meldung vom 8. Februar 2024 sprach bereits von möglicher Ausnutzung; die CISA führte sie am nächsten Tag als ausgenutzt (Fortinet).
• Fortinet CVE-2024-55591: ausgenutzt ab November 2024, rund acht Wochen vor Fortinets Meldung im Januar 2025 (Arctic Wolf).

Das ist kein Einzelfall mehr. Mandiant maß 2023 im Schnitt 5 Tage von der Veröffentlichung bis zur Ausnutzung (Mandiant). VulnCheck fand, dass 32 % der im ersten Halbjahr 2025 in die CISA-Liste aufgenommenen Schwachstellen am Tag ihrer Veröffentlichung oder früher ausgenutzt wurden (VulnCheck).

Ein Patch wirft niemanden raus, der schon drin ist

• Die Fortinet-Hintertür, die den Patch überlebte. Im April 2025 machte Fortinet öffentlich, dass Angreifer, die über drei ältere SSL-VPN-Lücken eingedrungen waren, einen versteckten Link auf dem Gerät hinterlassen hatten. Er behielt nach dem Patch Lesezugriff auf die Dateien der Firewall, einschließlich der Konfiguration (Fortinet). Die französische CERT-FR meldete eine massive Kampagne in Frankreich, die bis Anfang 2023 zurückreicht (CERT-FR). Shadowserver zählte 16.620 betroffene Geräte, 3.766 davon in Europa (The Hacker News).
• Dann wurde die Bereinigung umgangen. Im Februar 2026 schloss Fortinet einen Weg um die eigene Entfernung dieses Links (CVE-2025-68686), mit Fixes nur für die Zweige 7.4 und 7.6. Die CISA führt sie seit dem 27. Juli 2026 als ausgenutzt (Fortinet).
• Andere Hersteller sagen dasselbe. Palo Alto veröffentlichte nach CVE-2024-3400 ein erweitertes Zurücksetzen auf Werkseinstellungen. Cisco schrieb, der Zugang der Angreifer von 2025 bleibe auch beim Upgrade auf die behobenen Versionen erhalten (Cisco).
• Gestohlene Zugangsdaten überdauern den Patch. Das BSI warnte 2025, dass die Ransomware-Gruppe Akira in SonicWall-Firewalls mit aktueller Firmware und aktivierter MFA eindrang, weil lokale Passwörter nach einer Migration nicht geändert worden waren (BSI-Cybersicherheitswarnung).

Ransomware-Gruppen nutzen genau das

US-Behörden nennen Firewall-Lücken und VPNs ohne MFA als Standard-Einfallstor für mehrere große Ransomware-Gruppen: Akira (AA24-109A), Play (AA23-352A) und RansomHub (AA24-242A). 2026 drang Qilin über neue VPN-Lücken in Firewalls von Check Point und Palo Alto ein (Arctic Wolf). Laut Sophos lagen 59 % der Lösegeldforderungen bei 1 Mio. US-Dollar oder mehr, wenn die Firewall der Weg hinein war (Sophos).

Wir haben auch selbst gezählt. Im CISA-Katalog der bekannt ausgenutzten Schwachstellen (Stand 23. Oktober 2026) entfallen 276 Einträge auf 12 Firewall- und VPN-Hersteller; 70 davon sind als in Ransomware-Kampagnen genutzt markiert, 19 % aller Ransomware-Einträge. Fortinet hat 32 Einträge (14 mit Ransomware-Bezug), SonicWall 19 (13 mit Ransomware-Bezug). Gezählt wird pro Hersteller über alle Produkte (CISA KEV).

Was tun, wenn Sie eine FortiGate oder Palo Alto betreiben

1. Prüfen, ob automatisches Patchen aktiv ist (FortiGate: System > Firmware & Registration), und welcher Zweig läuft. Bei 7.2 oder älter den Wechsel auf einen unterstützten Zweig planen.
2. Betreut ein MSP die Firewall, fragen, wie schnell er nach einer kritischen Meldung patcht. Bei zentral verwalteten FortiGates gibt es die Automatik nicht.
3. Supportvertrag prüfen. Ohne ihn kommt die Firmware unter Umständen gar nicht an.
4. Nach jeder kritischen Firewall-Meldung patchen und dann zurücksetzen: VPN- und Admin-Passwörter, MFA-Registrierungen, Konfiguration prüfen. Das empfehlen CERT-FR und Fortinet.
5. Jeder VPN-Zugang braucht MFA. Ein VPN ohne MFA ist das Einfallstor, das die CISA bei Akira am häufigsten nennt.
6. Neustarts einplanen statt vermeiden: ein festes monatliches Fenster oder eine zweite Firewall im HA-Betrieb, wenn die Ausfallzeit das eigentliche Hindernis ist.

Wie Nisura damit umgeht

Unser externer Scan findet die Firewalls und VPN-Logins, die ein Unternehmen ins Internet stellt, gleicht sie mit Schwachstellen ab, die die CISA als ausgenutzt führt, und ordnet sie nach dem Entscheidungsverfahren der CISA. Von außen sehen wir meist das Produkt, nicht die genaue Firmware-Version. Dann sagen wir „prüfen“, nicht „verwundbar“: erst die Version am Gerät kontrollieren, dann handeln. Ist die Version bestätigt und die Lücke auf der CISA-Liste, sagen wir „handeln“. Und weil eine gepatchte Firewall gestohlene VPN-Zugänge nicht ungültig macht, rechnet unser Schadensmodell den Weg über Zugangsdaten und VPN getrennt von Schwachstellen, damit „wir haben gepatcht“ dieses Risiko nie auf null setzt.

Quellen

• Fortinet: automatisches Firmware-Upgrade, FG-IR-24-015, Analyse der Symlink-Persistenz, FG-IR-25-934
• Palo Alto Networks: geplante Software-Updates, CVE-2024-3400, End-of-Life-Richtlinie
• CISA: Known Exploited Vulnerabilities; #StopRansomware AA24-109A, AA23-352A, AA24-242A
• BSI: Cybersicherheitswarnung 2025-271036-1032; CERT-FR: CERTFR-2025-ALE-004
• Verizon: Data Breach Investigations Report 2026; Sophos: State of Ransomware 2026
• Mandiant: Time-to-Exploit; VulnCheck: State of Exploitation 1H 2025