Angriffe auf Firewalls von Fortinet und Palo Alto: Jetzt prüfen

Kurz gesagt: Sicherheitsforscher von Group-IB berichten über eine laufende Angriffswelle auf Firewalls und VPN-Zugänge von Fortinet und Palo Alto. Die Angreifer stehlen Zugangsdaten aus der Gerätekonfiguration und bewegen sich damit im Firmennetz. Betreibst du eine solche Firewall mit Zugang aus dem Internet, prüf jetzt Updates, Passwörter und Protokolle.

Stand: 03.11.2026

Was ist passiert?

Am 21. Oktober 2026 haben Group-IB und NyxLab einen Bericht über eine Angreifergruppe veröffentlicht, die unter dem Namen „k0t“ auftritt. Sie sucht im Internet gezielt nach schlecht abgesicherten Firewalls und VPN-Zugängen und nutzt dafür vier Wege:

• FortiGate: automatisiertes Durchprobieren gängiger Benutzernamen und Passwörter an der Verwaltungsschnittstelle.
• FortiGate-Konfigurationen: Gestohlene Konfigurationsdateien werden mit dem bekannten Standardschlüssel entschlüsselt (CVE-2019-6693), wenn die Option „private-data-encryption“ nicht aktiv ist. Darin stehen Zugangsdaten für Administratoren und für die Anbindung an das Active Directory.
• FortiWeb: Über die bekannte Lücke CVE-2025-64446 wird ein eigenes Administratorkonto angelegt.
• Palo Alto GlobalProtect: Über die Lücke CVE-2026-0257 bauen die Angreifer mit gefälschten Anmelde-Cookies eine VPN-Verbindung auf, ohne Passwort und ohne MFA.

Im Netz angekommen, versuchen die Angreifer Domänenadministrator zu werden, installieren Fernwartungsprogramme wie MeshCentral, Atera oder AnyDesk und kopieren Daten mit dem Werkzeug Rclone nach außen. Laut Bericht wurden über 70.000 Zugangsdaten offengelegt. Einige Opfer tauchten später auf den Leak-Seiten der Ransomware-Gruppen Qilin und The Gentlemen auf. Der Bericht nennt Deutschland nicht ausdrücklich, Europa steht aber auf der Prioritätenliste der Angreifer.

Unabhängig davon meldet Palo Alto, dass die GlobalProtect-Lücke CVE-2026-0257 von Ransomware-Gruppen ausgenutzt wird. Sie ist seit Mai bekannt und wird seit Ende Mai aktiv angegriffen.

Bin ich betroffen?

Handlungsbedarf hast du, wenn mindestens einer dieser Punkte zutrifft:

• Du betreibst eine FortiGate oder FortiWeb, deren Verwaltungsoberfläche oder VPN-Portal aus dem Internet erreichbar ist.
• Du nutzt Palo Alto mit GlobalProtect, Authentication-Override-Cookies sind aktiv und die PAN-OS-Version ist älter als die abgesicherten Stände (zum Beispiel 12.1.7, 11.2.12 oder 11.1.15).
• Deine Firewall ist per LDAP an das Active Directory angebunden, und das Dienstkonto dafür hat mehr Rechte als nötig.

Firewalls anderer Hersteller werden in den Berichten nicht genannt. Die Maßnahmen unten sind trotzdem für jede Firewall sinnvoll.

Was ist jetzt zu tun?

1. Firmware aktualisieren. Spiel den aktuellen Stand des Herstellers ein, vorrangig bei Geräten mit Zugang aus dem Internet.
2. Verwaltung vom Internet trennen. Mach die Verwaltungsoberfläche nur aus dem internen Netz oder über VPN erreichbar.
3. Konfiguration verschlüsseln. Bei FortiGate die Option „private-data-encryption“ mit eigenem Schlüssel aktivieren.
4. Zugangsdaten wechseln. Alle Passwörter, die in der Konfiguration stehen: Administratoren, LDAP- und AD-Dienstkonten, VPN-Zugänge.
5. MFA und Sperrzeiten. Mehr-Faktor-Anmeldung für VPN und Verwaltung, längere Sperren nach Fehlversuchen.
6. Protokolle prüfen. Unbekannte Administratorkonten, Konfigurationsexporte, ungewöhnliche VPN-Sitzungen und unbekannte Fernwartungsprogramme im Netz.
7. GlobalProtect absichern. Authentication Override abschalten, wo er nicht gebraucht wird, und nach dem Update alle aktiven Sitzungen beenden.

Reicht das Update?

Nein. Das Sicherheitsunternehmen ReliaQuest weist darauf hin, dass ein Zugang, den Angreifer vor dem Update eingerichtet haben, danach bestehen bleiben kann. Group-IB rät, eine offengelegte Firewall-Konfiguration wie einen Diebstahl von Zugangsdaten zu behandeln. Wer nur patcht, aber Passwörter und Protokolle nicht prüft, schließt die Tür, lässt den Eindringling aber im Haus.

Mehr zum Thema: Firewall für Unternehmen und IT-Security und Backup.

So unterstützen wir dich

Wir prüfen deine Firewall von außen und in der Konfiguration: Firmwarestand, erreichbare Verwaltung, gespeicherte Zugangsdaten, MFA und Protokolle. In Osnabrück und Umgebung kommen wir bei Bedarf vorbei, sonst arbeiten wir per Fernwartung. Gibt es Hinweise auf einen Einbruch, greift unsere Soforthilfe bei Hackerangriffen. Du erreichst uns Mo bis Fr von 8 bis 17 Uhr unter 0541 507 988 08 oder per E-Mail an info@team-data.de.

Häufige Fragen

Wir nutzen eine andere Firewall. Sind wir betroffen?

Die beschriebene Kampagne richtet sich gegen FortiGate, FortiWeb und Palo Alto mit GlobalProtect. Die Grundregeln gelten aber für jede Firewall: aktuelle Firmware, keine aus dem Internet erreichbare Verwaltungsoberfläche, starke Passwörter mit MFA und verschlüsselt gespeicherte Zugangsdaten.

Woran erkenne ich, ob die Verwaltungsoberfläche aus dem Internet erreichbar ist?

In den Einstellungen der Firewall ist hinterlegt, auf welchen Schnittstellen die Verwaltung per HTTPS oder SSH erlaubt ist. Ist dort die WAN-Schnittstelle freigegeben, ist die Oberfläche von außen erreichbar. Wir prüfen das auch von außen, ohne in die Konfiguration einzugreifen.

Was sind Authentication-Override-Cookies bei GlobalProtect?

Damit müssen sich Nutzer nach der ersten Anmeldung für eine gewisse Zeit nicht erneut anmelden. Ist diese Funktion mit einer verwundbaren Zertifikatskonfiguration aktiv, können Angreifer über die Lücke CVE-2026-0257 gefälschte Cookies nutzen und eine VPN-Verbindung ohne Passwort und ohne MFA aufbauen.

Reicht es, die Firmware zu aktualisieren?

Nein. Das Update schließt die Lücke, entfernt aber keinen Zugang, den sich Angreifer vorher verschafft haben. Zugangsdaten müssen gewechselt und die Protokolle geprüft werden.

Quellen

• Bericht zur Angreifergruppe k0t vom 21.10.2026 (Group-IB und NyxLab)
• Advisory zu CVE-2026-0257 (Palo Alto Networks)
• Palo Alto VPN vulnerability targeted, Bericht zu ReliaQuest vom 12.10.2026 (Infosecurity Magazine)
• Breaking into FortiGate and FortiWeb (Cyber Security News)