Fortinet SAML SSO Sicherheitslücke: CVE-2026-24858

Kritische Zero-Day-Schwachstelle in Fortinet-Produkten – Handlungsbedarf für Krankenhäuser und KRITIS-Betreiber

Im Januar 2026 hat das BSI eine Cybersicherheitswarnung der Kritikalitätsstufe 2 zu einer aktiv ausgenutzten Zero-Day-Schwachstelle in Fortinet-Produkten veröffentlicht. Die Fortinet SAML SSO Sicherheitslücke CVE-2026-24858 erreicht einen CVSS3.1-Score von 9.8 und ermöglicht unter bestimmten Bedingungen unbefugten Zugriff auf verwaltete Geräte – auch bei vollständig gepatchen Systemen. Für Krankenhäuser und andere Gesundheitseinrichtungen, die Fortinet-Lösungen im Einsatz haben, besteht unmittelbarer Handlungsbedarf.

Was ist passiert: Chronologie der Schwachstelle

Der Vorfall entwickelte sich in mehreren Stufen und verdeutlicht exemplarisch, wie Zero-Day-Lagen entstehen und eskalieren.

Dezember 2025 – Vorläufer-Schwachstellen: Fortinet adressierte zunächst zwei ähnlich gelagerte Schwachstellen im FortiCloud SSO Login (CVE-2025-59718 und CVE-2025-59719). Beide wurden mit Advisories und Patches versehen und galten als geschlossen.

22. Januar 2026 – Erster Hinweis auf neue Lücke: Fortinet veröffentlichte einen Blogbeitrag, der die Dezember-Schwachstellen aufgriff – jedoch ergaben sich gleichzeitig neue Erkenntnisse, dass eine weitere, bisher unbekannte Schwachstelle in sämtlichen SAML SSO-Implementierungen bestehen könnte. Bemerkenswert: Berichte über erfolgreiche Kompromittierungen tauchten im Internet auf, und zwar auch bei Systemen mit aktuellem Patchstand.

27. Januar 2026 – Offizielles Advisory zu CVE-2026-24858: Fortinet veröffentlichte ein dediziertes Advisory. Die Schwachstelle wurde mit CVSS3.1-Score 9.8 als „kritisch" eingestuft. Ein Angreifer mit einem gültigen FortiCloud-Konto und einem registrierten Gerät kann sich an anderen, fremden Geräten anmelden – sofern auf diesen die FortiCloud-SSO-Authentifizierung aktiviert ist.

29. Januar 2026 – BSI-Sicherheitsmitteilung: Das BSI publizierte seine Cybersicherheitswarnung (Kennung 2026-221445-1032) und bestätigte aktive Ausnutzung in freier Wildbahn.

Eingrenzung durch Update 2: Fortinet aktualisierte seinen Blogbeitrag und stellte klar: Drittanbieter-SAML-IdPs sowie FortiAuthenticator sind von CVE-2026-24858 nicht betroffen. Die Schwachstelle ist spezifisch auf die FortiCloud-SSO-Implementierung beschränkt.

Technische Analyse: Was macht CVE-2026-24858 so gefährlich?

Das eigentliche Problem: Vertrauen in SSO-Mechanismen

Single Sign-On via SAML ist in Unternehmensumgebungen weit verbreitet, weil es Nutzern ermöglicht, sich einmalig zu authentifizieren und dann auf mehrere Systeme zuzugreifen. Das Sicherheitsversprechen von SAML basiert auf der kryptografischen Integrität von Assertions – einem Token, das der Identity Provider (IdP) ausstellt und das der Service Provider (SP) vertraut.

CVE-2026-24858 bricht dieses Vertrauensmodell auf: Ein legitimer FortiCloud-Nutzer mit einem registrierten Gerät kann die Schwachstelle ausnutzen, um SAML-Authentifizierungsflüsse so zu manipulieren, dass er Zugriff auf Geräte erhält, die anderen FortiCloud-Konten zugeordnet sind. Das bedeutet im Klartext: horizontale Privilege Escalation zwischen verschiedenen Mandanten oder Kunden-Konten innerhalb der FortiCloud-Infrastruktur.

Warum gepatchte Systeme trotzdem betroffen waren

Das erschreckendste Element dieser Schwachstelle ist der Umstand, dass aktuelle Patchstände keinen Schutz boten. Der Grund: Die Schwachstelle liegt nicht in einem unsicheren Code-Pfad, der durch einen Patch geschlossen wurde, sondern in der grundlegenden Implementierungslogik des FortiCloud-SSO-Mechanismus. Ein Patch für CVE-2025-59718 oder CVE-2025-59719 konnte CVE-2026-24858 naturgemäß nicht adressieren, weil sie als separate Schwachstelle erst später identifiziert wurde.

Dieser Sachverhalt unterstreicht ein fundamentales Risiko: Patchmanagement allein ist kein ausreichendes Sicherheitsnetz bei Zero-Day-Schwachstellen. Für Informationssicherheitsbeauftragte in Krankenhäusern bedeutet das, dass zusätzliche Kompensationsmaßnahmen dauerhaft Teil des Sicherheitskonzepts sein müssen.

Angriffsbedingungen im Detail

Die Schwachstelle ist nur dann ausnutzbar, wenn: 1. Die FortiCloud-SSO-Authentifizierung auf dem Zielgerät aktiviert ist 2. Der Angreifer über ein legitimes FortiCloud-Konto mit mindestens einem registrierten Gerät verfügt 3. Der Management-Zugang über FortiCloud SSO exponiert ist

Nicht betroffen sind Konfigurationen, die ausschließlich lokale Authentifizierung, LDAP/Active Directory oder Drittanbieter-SAML-IdPs (z. B. Microsoft Entra ID, Okta) sowie FortiAuthenticator einsetzen.

Betroffene Produkte und Risikobewertung für Krankenhäuser

Fortinet-Produkte sind im deutschen Gesundheitswesen weit verbreitet – insbesondere als Firewall-Lösungen (FortiGate), VPN-Gateways und für die Netzwerksegmentierung. Viele Einrichtungen nutzen FortiCloud für das zentrale Management mehrerer Standorte oder für dezentrale Administrationsszenarien.

Typische Einsatzszenarien in Krankenhäusern

Szenario	Risiko durch CVE-2026-24858
FortiGate mit FortiCloud-SSO-Management	Kritisch – direkter Angriffspfad
Zentrales Multi-Site-Management über FortiCloud	Kritisch – horizontaler Zugriff auf alle verbundenen Geräte möglich
FortiGate mit lokaler Authentifizierung	Nicht betroffen
FortiGate mit Drittanbieter-IdP (Entra ID, Okta)	Nicht betroffen
FortiGate mit FortiAuthenticator	Nicht betroffen

Für Krankenhäuser, die unter §391 SGB V als KRITIS-Betreiber eingestuft sind oder die Anforderungen des B3S Krankenhaus erfüllen müssen, hat diese Schwachstelle besondere Relevanz: Der unbefugte Zugriff auf Netzwerk-Management-Systeme kann direkt zur Kompromittierung klinischer Netzwerke führen und damit Patientensicherheit und Verfügbarkeit medizinischer Systeme gefährden.

Sofortmaßnahmen: Was jetzt zu tun ist

1. Inventarisierung und Lagebestimmung (sofort)

Der erste Schritt ist die vollständige Bestandsaufnahme aller Fortinet-Produkte in Ihrer Umgebung und die Klärung folgender Fragen:

Welche Geräte sind mit FortiCloud verbunden?
Auf welchen Geräten ist FortiCloud-SSO-Authentifizierung aktiviert?
Ist der Management-Zugang über FortiCloud SSO aus dem Internet oder aus nicht vertrauenswürdigen Netzsegmenten erreichbar?

Prüfen Sie in der FortiCloud-Konsole unter System > Admin > Administrators, ob SSO-basierte Admin-Konten konfiguriert sind.

2. Deaktivierung von FortiCloud-SSO (kurzfristig)

Sofern kein betrieblicher Zwang besteht, deaktivieren Sie FortiCloud-SSO für den Management-Zugriff unverzüglich. Wechseln Sie auf lokale Authentifizierung mit starken Passwörtern und aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für alle Administratoren-Konten.

CLI-Befehl (FortiOS):

config system admin
    edit <admin-name>
        set remote-auth disable
    next
end

3. Patch-Management und Herstelleradvisory verfolgen

Zum Zeitpunkt der BSI-Mitteilung (29. Januar 2026) war noch kein vollständiger Patch für CVE-2026-24858 verfügbar. Verfolgen Sie aktiv das Fortinet PSIRT Advisory Portal auf Patches für CVE-2026-24858 und implementieren Sie diese umgehend nach Verfügbarkeit und Test.

4. Logs auf Kompromittierungsindikatoren prüfen

Analysieren Sie bestehende Logs auf Anomalien, insbesondere: - Ungewöhnliche Admin-Logins über FortiCloud SSO aus unbekannten IP-Adressen - Konfigurationsänderungen außerhalb regulärer Wartungsfenster - Zugriffe auf Geräte von Konten, denen diese nicht zugeordnet sein sollten

Wenn Sie ein SIEM im Einsatz haben, erstellen Sie entsprechende Korrelationsregeln für FortiCloud-SSO-Events.

5. Netzwerk-Segmentierung des Management-Zugangs prüfen

Management-Interfaces von Netzwerkkomponenten sollten grundsätzlich in einem dedizierten Out-of-Band-Management-Netzwerk betrieben werden, das nicht aus produktiven Netzen oder dem Internet erreichbar ist. Überprüfen Sie, ob diese Grundregel in Ihrer Umgebung konsequent umgesetzt ist – unabhängig von der aktuellen Schwachstelle.

Meldepflichten und regulatorischer Kontext

NIS2 und §32 BSIG: Meldepflichten bei Vorfällen

Seit dem Inkrafttreten des NIS2UmsuCG in Deutschland unterliegen wesentliche und wichtige Einrichtungen des Gesundheitswesens den Meldepflichten nach §32 BSIG. Wenn Sie eine aktive Kompromittierung über CVE-2026-24858 feststellen, greift die dreistufige Meldepflicht:

Erstmeldung: binnen 24 Stunden nach Kenntnisnahme (erheblicher Sicherheitsvorfall)
Folgemeldung: binnen 72 Stunden mit Erstbewertung
Abschlussbericht: binnen eines Monats

Meldungen erfolgen über das BSI-Meldeportal. Das BSI hat mit der Veröffentlichung seiner Sicherheitsmitteilung bereits signalisiert, dass es diesen Sachverhalt als melderelevant einstuft.

§391 SGB V: Anforderungen für Krankenhäuser

Krankenhäuser, die die Schwellenwerte für KRITIS gemäß §391 SGB V überschreiten, müssen nach dem Stand der Technik gesicherte IT-Systeme betreiben. Die BSI-Sicherheitsmitteilung ist als konkreter Hinweis zu werten, dass FortiCloud-SSO ohne Kompensationsmaßnahmen aktuell nicht dem Stand der Technik entspricht. Dokumentieren Sie Ihre getroffenen Maßnahmen sorgfältig.

B3S Krankenhaus: Technische Maßnahmen

Der Branchenspezifische Sicherheitsstandard (B3S) Krankenhaus definiert konkrete Anforderungen an Netzwerksicherheit, Patch-Management und Management-Zugänge. Dieser Vorfall ist Anlass, die entsprechenden Kontrollen im Rahmen Ihres nächsten internen Audits zu überprüfen.

Hinweis: Dieser Artikel dient der fachlichen Information und ersetzt keine rechtliche Beratung. Für eine Einschätzung Ihrer individuellen Meldepflichten und rechtlichen Verpflichtungen wenden Sie sich an einen auf IT-Recht spezialisierten Rechtsanwalt.

Lehren für das ISMS: Strukturelle Konsequenzen

Dieser Vorfall liefert mehrere wertvolle Erkenntnisse für das langfristige Informationssicherheitsmanagement:

1. Zero-Day-Risiko explizit im Risikoregister führen Netzwerk-Infrastrukturkomponenten wie Firewalls und VPN-Gateways sind bevorzugte Angriffsziele. Führen Sie das Restrisiko aktivausnutzbarer Zero-Day-Schwachstellen explizit in Ihrem Risikoregister und definieren Sie Kompensationsmaßnahmen.

2. Prinzip der minimalen Exposition konsequent anwenden Management-Interfaces haben im Internet nichts zu suchen. Überprüfen Sie alle exponierten Managementzugänge – nicht nur für Fortinet-Produkte.

3. Herstellerkommunikation im ISMS-Prozess verankern Definieren Sie einen formalen Prozess für die Beobachtung und Bewertung von Herstelleradvisories und BSI-Sicherheitsmitteilungen. Dieser Prozess sollte klare Verantwortlichkeiten und SLAs für die Reaktionszeit enthalten.

4. Cloud-Management-Abhängigkeiten dokumentieren und bewerten FortiCloud ist ein Beispiel für eine Cloud-basierte Management-Infrastruktur, deren Sicherheit von der Implementierung des Anbieters abhängt. Führen Sie eine Übersicht aller Cloud-Dienste, über die Management-Zugriff auf kritische Infrastruktur möglich ist, und bewerten Sie diese im Rahmen Ihrer Supply-Chain-Risikoanalyse.

Wenn Sie eine strukturierte Bewertung Ihres aktuellen Sicherheitsniveaus durchführen möchten, bietet ISMShield.ai ein [kostenloses Assessment für Krankenhäuser und Gesundheitseinrichtungen](https://ismshield.bpc

Kostenlose NIS2-Bestandsaufnahme starten →