Was FortiBleed über gestohlene Zugangsdaten zeigt.
Ich muss bei Firewalls immer an Türsteher denken: Breite Schultern, ernster Blick, klare Ansage: „Du kommst hier nicht rein.“
Das funktioniert, solange der Türsteher nicht selbst kompromittiert wurde – und der Angreifer nicht auch noch einen täuschend echten Mitarbeiterausweis in der Tasche hat.
So in etwa lief die Angriffskampagne, die unter dem Namen FortiBleed bekannt geworden ist.
Angreifer nahmen dabei nicht einfach nur einzelne Benutzerkonten ins Visier. Sie attackierten Firewalls und VPN-Gateways, sammelten Zugangsdaten, knackten Passwort-Hashes und verwendeten die gewonnenen Identitäten für weitere Zugriffe auf interne Systeme.
Berichten zufolge tauchten in diesem Zusammenhang sogar Zugangsdaten von Beschäftigten britischer Behörden und des britischen Außenministeriums auf. Teile der Daten sollen anschließend in kriminellen Foren zum Verkauf angeboten worden sein.
Moderne Cyberangriffe richten sich längst nicht mehr nur gegen Server, Geräte oder Anwendungen. Das eigentliche Ziel ist häufig die digitale Identität.
Denn wer eine vertrauenswürdige Identität kontrolliert, muss viele Sicherheitsmaßnahmen gar nicht mehr technisch überwinden. Er meldet sich einfach an.
Das klassische Bild von IT-Sicherheit sieht ungefähr so aus:
Das Unternehmensnetzwerk ist eine Burg. Die Firewall ist die Mauer. Der VPN-Zugang ist das Tor. Und irgendwo im Burghof stehen die besonders wichtigen Server.
Dieses Modell war schon immer etwas vereinfacht. In einer modernen Cloud-Umgebung passt es kaum noch.
Mitarbeitende greifen aus dem Homeoffice auf Microsoft 365 zu. Dienstleister administrieren Systeme von extern. Anwendungen kommunizieren über Schnittstellen. Automatisierungen arbeiten mit Servicekonten. Smartphones, Notebooks und Cloud-Dienste befinden sich überall – nur selten gemeinsam hinter einer hübschen mittelalterlichen Stadtmauer.
Was diese verteilte Umgebung zusammenhält, ist die Identität.
Die zentrale Frage lautet daher:
„Wer versucht hier gerade, auf welche Ressource zuzugreifen – und ist dieser Zugriff in diesem Moment plausibel?“
Eine digitale Identität ist heute gleichzeitig Ausweis, Schlüsselbund und Zugangsberechtigung. Sie entscheidet darüber, wer E-Mails lesen, Dateien herunterladen, Konfigurationen ändern, Anwendungen administrieren oder weitere Konten anlegen darf.
Gerät ein solches Konto in die falschen Hände, erhält der Angreifer möglicherweise nicht nur Zugang zu einem System. Durch Single Sign-on, verbundene Anwendungen und umfangreiche Berechtigungen kann eine einzige Identität zahlreiche Türen öffnen.
Sehr komfortabel für die Mitarbeitenden.
Leider auch für den Einbrecher.
Credential Harvesting bedeutet vereinfacht: Angreifer sammeln systematisch Zugangsdaten.
Dazu gehören beispielsweise:
Die Daten können auf ganz unterschiedliche Weise erbeutet werden. Klassische Phishing-Mails gehören ebenso dazu wie gefälschte Microsoft-365-Anmeldeseiten, Schadsoftware auf Endgeräten oder bereits veröffentlichte Passwortsammlungen.
Hinzu kommen automatisierte Verfahren wie Credential Stuffing. Dabei probieren Angreifer Zugangsdaten aus früheren Datenlecks bei weiteren Diensten aus.
Das funktioniert vor allem dann gut, wenn dasselbe Passwort mehrfach verwendet wurde.
Wer für das private Streamingkonto, den VPN-Zugang und das Administratorkonto dasselbe Passwort nutzt, betreibt irgendwie eine Form von Single Sign-on. Nur eben die mutige Variante.
Eine weitere Methode ist Password Spraying. Dabei testen Angreifer wenige häufig genutzte Passwörter gegen sehr viele Benutzerkonten. Statt hundert Passwörter gegen einen Benutzer auszuprobieren, testen sie beispielsweise ein einziges Passwort gegen tausend Konten. So werden klassische Kontosperren teilweise umgangen.
FortiBleed zeigt, wie aus diesen bekannten Methoden eine industrielle Angriffskette entstehen kann.
Der Name FortiBleed bezeichnet eine umfangreiche Kampagne gegen öffentlich erreichbare FortiGate-Firewalls und VPN-Gateways.
Wichtig ist dabei eine Einordnung: Nach dem derzeit veröffentlichten Kenntnisstand handelt es sich nicht einfach um eine einzelne neue Sicherheitslücke, die mit einem Patch vollständig erledigt wäre.
Stattdessen kamen offenbar mehrere Methoden zusammen:
Die Angreifer mussten also nicht bei jedem Schritt eine neue Sicherheitslücke finden. Sie kombinierten vorhandene Zugangsdaten, exponierte Systeme, Automatisierung und fehlende Schutzmaßnahmen zu einer wiederholbaren Produktionslinie für Credential Harvesting.
Oder weniger technisch formuliert: Sie fanden einen Schlüssel zum Wachhäuschen, setzten sich hinein und beobachteten anschließend, welche Schlüssel alle anderen Personen benutzten und machten Kopien davon.
Eine Firewall sieht sehr viel Netzwerkverkehr. Sie verbindet interne Systeme mit externen Diensten, verarbeitet VPN-Anmeldungen und kennt zahlreiche Informationen über die Infrastruktur.
Wird die Firewall kompromittiert, ist sie der ideale Ausgangspunkt für weitere Angriffe.
Aus dem Türsteher wird plötzlich der Komplize.
Bei gestohlenen Zugangsdaten denken viele zunächst an ein einzelnes kompromittiertes Benutzerkonto.
Dann wird das Passwort zurückgesetzt, der Benutzer bekommt einen kurzen Anruf und damit ist wieder Ruhe.
Das kann funktionieren, reicht heute aber nicht mehr.
Angreifer versuchen nach dem ersten Zugriff, ihre Position auszubauen. Sie suchen nach Konten mit höheren Berechtigungen, verändern Konfigurationen, erstellen zusätzliche Benutzer oder stehlen Sitzungstoken.
Ein Sitzungstoken ermöglicht es, eine bestehende Anmeldung weiterzuverwenden – unter Umständen auch dann, wenn das eigentliche Passwort bereits geändert wurde.
Nur das Passwort zu wechseln, ist dann ungefähr so wirksam, wie das Türschloss auszutauschen, während der Einbrecher gemütlich auf dem Sofa sitzt.
Bei einem möglichen Identitätsdiebstahl müssen Unternehmen daher die gesamte Vertrauenskette überprüfen:
Aus einem gestohlenen Passwort kann schnell ein Angriff auf das gesamte Unternehmen werden.
Gestohlene Identitäten haben gleich mehrere Vorteile.
Ein Angreifer mit gültigen Zugangsdaten löst nicht zwangsläufig einen klassischen Malware-Alarm aus. Aus Sicht vieler Systeme meldet sich einfach ein bekannter Benutzer an.
Der Angreifer trägt gewissermaßen keinen schwarzen Kapuzenpullover, sondern ein Namensschild aus der Personalabteilung.
Über zentrale Identitätsplattformen und Single Sign-on sind viele Anwendungen miteinander verbunden. Eine kompromittierte Identität kann Zugriff auf E-Mail, Dateien, Kollaborationsplattformen, CRM-Systeme und interne Fachanwendungen ermöglichen.
Kriminelle Gruppen müssen den eigentlichen Angriff nicht immer selbst durchführen. Sogenannte Initial Access Broker verkaufen funktionierende Zugänge an andere Gruppen weiter.
Ein Angreifer sammelt die Zugangsdaten. Ein anderer übernimmt die Erpressung. Ein dritter verschlüsselt die Systeme.
Cybercrime funktioniert zunehmend arbeitsteilig. Quasi wie ein gut organisiertes Unternehmen – nur mit deutlich krimineller Unternehmenskultur.
Wer Zugriff auf ein echtes E-Mail-Konto besitzt, kann bestehende Konversationen lesen und sich überzeugend als Mitarbeiter ausgeben. So lassen sich Zahlungsinformationen verändern, vertrauliche Dokumente anfordern oder weitere Personen zum Öffnen manipulierter Links bewegen.
Neben Benutzerkonten existieren zahlreiche nichtmenschliche Identitäten: Servicekonten, Anwendungen, Skripte, Automatisierungen, Zertifikate und zunehmend auch KI-Agenten.
Diese Identitäten besitzen häufig weitreichende Berechtigungen und werden seltener kontrolliert als klassische Benutzerkonten. Das macht sie attraktiv.
Aktuelle Untersuchungen zeigen, dass ausgenutzte Schwachstellen wieder häufiger als erster Einstiegspunkt in Unternehmensnetzwerke dienen.
Eine Sicherheitslücke kann den ersten Zugriff ermöglichen. Gestohlene Zugangsdaten entscheiden anschließend darüber, wie weit sich ein Angreifer bewegen kann.
FortiBleed ist dafür ein sehr gutes Beispiel:
Der Zugriff auf ein exponiertes Sicherheitsgerät war nicht das Endziel. Das Gerät wurde zum Ausgangspunkt, um Identitäten zu sammeln, interne Verzeichnisse auszuwerten, Dateifreigaben zu durchsuchen und den Zugang auszubauen.
Unternehmen sollten deshalb nicht zwischen Schwachstellenmanagement und Identitätsschutz wählen.
Beides gehört zusammen:
Geräte müssen sicher konfiguriert und aktuell gehalten werden. Identitäten müssen genauso konsequent geschützt, überwacht und begrenzt werden.
Du musst dafür nicht persönlich Firewall-Logs analysieren oder Passwort-Hashes knacken. Du solltest aber sicherstellen, dass dein Unternehmen die folgenden Fragen klar beantworten kann.
Managementoberflächen von Firewalls, VPN-Gateways und anderen Sicherheitskomponenten sollten nicht öffentlich erreichbar sein.
Was nicht aus dem Internet administriert werden muss, gehört dort auch nicht hin.
Der Ersatzschlüssel liegt schließlich nicht unter der Fußmatte mit der Aufschrift „Ersatzschlüssel“.
Administratoren benötigen getrennte Konten für alltägliche Aufgaben und administrative Tätigkeiten. Berechtigungen sollten nur so umfangreich sein, wie sie wirklich benötigt werden.
Ein kompromittiertes normales Benutzerkonto ist problematisch. Ein kompromittierter Global Administrator ist ein Betriebsausflug in die Katastrophe.
Multi-Faktor-Authentifizierung gehört für administrative und externe Zugriffe zum Pflichtprogramm.
Dabei sollte möglichst auf phishingresistente Verfahren gesetzt werden, etwa Passkeys, Sicherheitsschlüssel oder zertifikatsbasierte Methoden. Einfache Freigabeabfragen per App können durch MFA-Fatigue oder moderne Phishing-Plattformen missbraucht werden.
MFA ist sehr wichtig, aber sie ist kein magisches Glitzerpulver, das jede riskante Konfiguration automatisch verschwinden lässt.
Ein korrektes Passwort allein sollte nicht ausreichen.
Moderne Zugriffskontrollen berücksichtigen zusätzlich:
Versucht sich ein Benutzer morgens aus Aachen und fünf Minuten später aus Somalia anzumelden, sollte das System zumindest höflich nachfragen, ob das neue Firmenflugzeug bereits ausgeliefert wurde.
Bei einem Sicherheitsvorfall müssen nicht nur Passwörter geändert werden. Aktive Sitzungen, Cookies und Tokens müssen sich ebenfalls widerrufen lassen.
Dazu braucht es klare Zuständigkeiten und vorbereitete Abläufe. Im Ernstfall sollte niemand im Organigramm nachsehen müssen, wer eigentlich den Ausschalter bedienen darf.
Neue Administratorkonten, geänderte VPN-Einstellungen oder manipulierte Firewall-Regeln müssen auffallen.
Dafür braucht es zentrale Protokollierung, ausreichende Aufbewahrungszeiten und eine regelmäßige Kontrolle kritischer Konfigurationen.
Noch besser ist ein Vergleich mit einem bekannten, sicheren Ausgangszustand. So wird sichtbar, was sich verändert hat – und ob diese Veränderung geplant war.
Tipp: aixpedIT Flow ermöglicht genau das für deinen M365-Tenant.
Unternehmen sollten vor einem Vorfall wissen:
Cybervorfälle sind kein guter Zeitpunkt für spontanes Teambuilding.
Technische Maßnahmen sind notwendig. Sie funktionieren jedoch besser, wenn die Menschen verstehen, warum sie eingesetzt werden.
MFA darf nicht als zusätzliche Schikane wahrgenommen werden. Getrennte Administratorkonten sind keine Beschäftigungstherapie für IT-Abteilungen. Und ungewöhnliche Anmeldeversuche zu melden, ist kein Eingeständnis persönlichen Versagens.
Mitarbeitende müssen wissen, an wen sie sich bei verdächtigen Anmeldungen, unerwarteten MFA-Abfragen oder ungewöhnlichen E-Mails wenden können.
Ein persönlicher, erreichbarer IT-Service ist hier ein Sicherheitsfaktor. Je niedriger die Hürde für eine Nachfrage ist, desto eher werden Auffälligkeiten gemeldet.
Manchmal verhindert ein kurzer Anruf einen sehr langen Incident-Response-Bericht.
FortiBleed zeigt, wie moderne Angriffsketten funktionieren:
Angreifer suchen automatisiert nach erreichbaren Systemen.
Sie testen vorhandene Zugangsdaten.
Sie kompromittieren Sicherheitsgeräte.
Sie sammeln weitere Identitäten.
Und sie nutzen oder verkaufen die gewonnenen Zugänge für nachgelagerte Angriffe.
Die Firewall bleibt wichtig. Der VPN-Zugang bleibt wichtig. Patches und sichere Konfigurationen bleiben wichtig.
Aber die entscheidende Sicherheitsgrenze verläuft heute um die Identität.
Unternehmen müssen deshalb jederzeit erkennen können, welche menschlichen und technischen Identitäten existieren, welche Rechte sie besitzen, wie sie sich anmelden und ob ihr Verhalten noch plausibel ist.