Firewalls und VPN-Gateways sind ein lohnendes Angriffsziel – bewachen sie doch das Eingangstor in Unternehmensnetzwerke. Ein Sicherheitsforscher hat nun nach eigenen Angaben eine großangelegte Angriffskampagne gegen Geräte des Herstellers Fortinet aufgedeckt. An die 74.000 sollen kompromittiert worden sein.

Wer hinter dem Angriff steckt ist unklar, Entdecker Volodymyr Diachenko erwähnt jedoch eine „russischsprachige Cybercrime-Gruppe mit mehreren Mitgliedern“. Diese habe zunächst massenhaft Zugangsdaten – etwa aus vorherigen Datenlecks – bei Fortinet-Geräten durchprobiert, insgesamt 1,16 Milliarden Kombinationen aus Benutzernamen und Passwörtern.

Auch die Zahl der über „FortiBleed“ angegriffenen Geräte ist astronomisch: Es seien 320.000 gewesen. Die Hälfte aller über das Internet erreichbaren Fortinet-Geräte. Davon hätten die Kriminellen bei 73.932 Fortinet-Appliances in aller Welt erfolgreich Zugangsdaten abgegriffen, führt Diachenko aus. Die Angaben lassen sich nicht unabhängig überprüfen. In der Mehrzahl der Fälle waren wohl die Management-Interfaces aus dem Internet zugänglich.

Doch wie die Angreifer genau auf die Geräte kamen, bleibt unklar. Sicherheitsexperte Kevin Beaumont vermutet, sie hätten womöglich eine bislang noch unbekannte Sicherheitslücke genutzt, um sich Zugriff zu verschaffen. Dann hätten sie die Gerätekonfiguration abgezogen und die dort enthaltenen Passwort-Hashes mittels eines spezialisierten Clusters mit 48 GPUs und einer Bruteforce-Attacke geknackt. In älteren Versionen der Fortinet-Firmware sind Passwörter mit dem Verfahren SHA256 mit Salt gehasht, das sich im Vergleich zu der ab FortiOS 7.2.11 üblichen PBKDF2-Variante mit zufälligem Hash erheblich effizienter mittels Werkzeugen wie hashcat angreifen lässt.

Inzwischen hat eine Fortinet-Sprecherin gegenüber TechCrunch erklärt, dass das Unternehmen von einer Zugangsdaten-Diebstahl-Kampagne mit Fortinet-Firewalls und -VPN zum Ziel mitbekommen habe. Den Analysen des Herstellers zufolge handelt es sich bei den Daten um solche aus vorherigen Vorfällen sowie um mittel Brute Force geknackten Zugangsdaten. Sie stünden nicht mit jüngeren Vorfällen oder Sicherheitsmitteilungen in Verbindung.

Auch deutsche Geräte betroffen

Unter den betroffenen Geräten sind auch gut 120, deren Domain auf einen Standort in Deutschland schließen lässt, darunter verschiedene Geräte im Netz der Telekom oder bei Mercedes-Benz. Das Threat-Intelligence-Unternehmen Hudson Rock ließ uns eine Liste der betroffenen de-Domains zukommen und hat eine Informationsseite mit Abfragemöglichkeit eingerichtet.

Betroffene sollten alle Zugangsdaten auf kompromittierten Geräten mit sicheren Passwörtern neu vergeben, verdächtige Zugriffe auf nachgelagerte Netze prüfen und Mehrfaktorauthentifizierung, etwa bei der VPN-Anmeldung, forcieren. Da zur Stunde nicht einmal klar ist, ob die Angriffe über eine bestehende Sicherheitslücke in FortiOS stattfanden, gibt es auch keine Patches, eine Stellungnahme seitens Fortinets Sicherheitsteams steht ebenfalls aus.

Da Fortinet-Geräte Zugang zu Netzwerken bereitstellen, sind sie beliebtes Ziel von Angreifern. Am Mittwoch wurden etwa Angriffe auf FortiSandbox bekannt.

(cku)

Mit dem Medizinregistergesetz will die Bundesregierung die Rahmenbedingungen für medizinische Register in Deutschland grundlegend verändern. Auf den Registertagen 2026 verteidigte Jana Holland, Leiterin des Referats „Medizinische Datenbanken und Register“ im Bundesgesundheitsministerium (BMG), den Gesetzentwurf als wichtigen Meilenstein für die Registerlandschaft. Zugleich machten Vertreter aus der Forschung deutlich, dass sie bei der Forschungsinfrastruktur insbesondere mit Blick auf eine nachhaltige Finanzierung und Qualitätsanforderungen weiteren Handlungsbedarf sehen.

Holland erinnerte daran, dass die Diskussion um ein Registergesetz bereits vor Jahren mit drei grundlegenden Fragen begonnen habe: „Wie viele Register haben wir überhaupt und welche in Deutschland? […] Was zeichnet eigentlich ein gutes Register aus? Und […] wie können wir […] Register weiterentwickeln, stärken und das Potenzial der Medizinregisterdaten besser nutzen?“ Das daraus entstandene Registergutachten von 2021 habe unter anderem die Empfehlung enthalten, einen einheitlichen Rechtsrahmen für Register zu schaffen.

„Heute stehen wir eben an dem Punkt, dass das Medizinregistergesetz im März dann auch vom Kabinett beschlossen wurde. Und wir sind in parlamentarischen Beraten angekommen“, sagte Holland. Mit Blick auf die gewachsene politische Aufmerksamkeit fügte sie hinzu: „Noch nie haben eigentlich Medizinregister diesen Fokus gehabt, den sie heute haben. Wir haben eine 20-minütige Debatte im Deutschen Bundestag nur zu Medizinregistern gehabt.“

Moderator und TMF-Geschäftsführer Sebastian Semler wies Holland auf das seiner Ansicht nach nicht abgestimmt wirkende Verfahren zur einheitlichen Forschungskennziffer hin. Das Vorhaben wird aus verschiedenen Gründen als kritisch angesehen, auch aus Datenschutzsicht.

Holland verteidigte die Pläne: „Wir haben ja nicht drei Verfahren und drei Gesetze, sondern das Medizinregistergesetz und das GeDIG sind […] auf einer Linie, indem wir mit der KVNR als Grundlage sektorspezifisch eine Wurzel […] schaffen“, so Holland. In den beiden Gesetzen sollen Teile der KVNR als Grundlage für die Forschungskennziffer dienen. Im Medizinregistergesetz werde kein Pseudonymisierungsverfahren geregelt, sondern „nur die Grundlage, nämlich die Erhebungsbefugnis der KVNR in den Registern“ gelegt. Dadurch werde die spätere Einführung der Forschungskennziffer vorbereitet. Mit dem „sektorspezifischen Ansatz“ wolle das BMG hohen Anforderungen an den Datenschutz Rechnung tragen und ein dezentrales Pseudonymisierungsverfahren umsetzen. Zudem sorge die Forschungskennziffer dafür, Widerspruchsrechte bei der Sekundärdatennutzung umzusetzen. „Und da sehen wir uns sehr auf einer Linie und wiederum das ist dann auch die Brücke zum EHDS“.

Klare Perspektive gefordert

Semler sieht an der Stelle Klärungsbedarf. Mal werde von dezentralem Pseudonymisierungsverfahren gesprochen, mal von einer Treuhandstelle. Wichtig sei, dass das alles auch umsetzbar ist. Datenhalter bräuchten für die Register künftig eine klare Perspektive, um ein einheitliches Verfahren umzusetzen.

Diskutiert wurde dabei auch, warum es für die Register zusätzlich zur Nutzung der Forschungskennziffer ein eigenes behördliches Qualifizierungsverfahren brauche. Hintergrund ist, dass an die Qualifizierung weitreichende Erleichterungen geknüpft sind – etwa die Möglichkeit, Daten per Opt-out und ohne individuelle Einwilligung zu verarbeiten. Holland begründete die zusätzliche Prüfung entsprechend mit den weitreichenden Befugnissen, die das Gesetz den Registern einräumt.

Holland verwies dabei unter anderem auf die Einschränkung der Betroffenenrechte der DSGVO. Das Medizinregistergesetz adressiere nicht nur die Datennutzung, sondern auch die Datenerhebung selbst. Dazu brauche es das Qualifizierungsverfahren und „dann die datenschutzrechtliche Prüfung im Qualifizierungsverfahren“. Das Medizinregistergesetz und das GeDIG seien dabei auf einer Linie, indem beide mit der KVNR als sektorspezifischer Grundlage arbeiteten. Sollte in anderen Datenräumen künftig ein anderer Identifikator genutzt werden, müssten technische Lösungen geschaffen werden. „Wenn das so kommt mit der Steuer-ID, dann muss man sich überlegen, wie man diese beiden Datenfolgen finden kann.“

Thomas Kaiser, Leiter des Ressorts Arzneimittelbewertung beim Institut für Qualität und Wirtschaftlichkeit im Gesundheitswesen (IQWiG), begrüßte den Gesetzentwurf grundsätzlich. Erst konkrete Gesetzestexte ermöglichten eine sachliche Diskussion darüber, welche Regelungen sinnvoll seien und wo noch Änderungen notwendig würden. Zu den positiven Aspekten des Entwurfs zählte Kaiser insbesondere die Einführung eines einheitlichen Identifikators. Ein solcher Identifikator könne nicht nur Datenverknüpfungen ermöglichen, sondern auch unnötige Mehrfachdokumentationen vermeiden. „Nicht nur verknüpft, um andere Forschung potenziell machen zu können, sondern auch Doppeleingaben zum Beispiel zu verhindern.“

„Forschungsinfrastruktur kaum mitgedacht“

Positiv bewertete Kaiser außerdem die geplante Beratungsstruktur für Register und die datenschutzrechtlichen Erleichterungen des Gesetzes. Gleichzeitig formulierte er jedoch deutliche Kritik an der grundsätzlichen Ausrichtung des Vorhabens. „Wir bauen hier eine Dateninfrastruktur auf, wir fördern hier eine Dateninfrastruktur, bedenken aber kaum bis gar nicht Forschungsinfrastruktur.“

Nach Ansicht des IQWiG konzentriert sich das Gesetz zu stark auf die Sammlung und Verwaltung von Daten, während die eigentliche Nutzung der Daten für hochwertige Forschung zu wenig berücksichtigt werde. „Eine Dateninfrastruktur, die nicht ermöglicht, dass grundsätzlich gute Forschung gemacht wird, ist auch bei noch so niedriger Bürokratiemenge potenziell zu viel an Aufwand.“

Kritik am Qualifizierungsverfahren

Besonders kritisch äußerte sich Kaiser zum geplanten Qualifizierungsverfahren für Register. Dieses konzentriere sich aus seiner Sicht zu stark auf formale Anforderungen. Es werde nicht geprüft, ob es „überhaupt Sinn“ ergebe, „dieses Register mit diesen Daten für diese Indikationen so zu betreiben?“ Es fehle eine systematische Bewertung der tatsächlichen Datenqualität und der wissenschaftlichen Ergebnisse. „Es gibt keine Voraussetzungen, Notwendigkeit, gut durchgeführte Forschungsprojekte nachzuweisen.“

Vor diesem Hintergrund warnte Kaiser davor, weitreichende datenschutzrechtliche Erleichterungen zu schaffen, ohne zugleich sicherzustellen, dass die Daten tatsächlich für hochwertige Forschung genutzt werden. „Wir haben überhaupt nichts gegen Datenschutzerleichterungen, wenn das Ziel guter Forschung und Wissensverbesserung, Veränderung, Verbesserung der Versorgung erreicht wird.“

Auch Anne Regierer, Sprecherin der TMF-Arbeitsgruppe Register, begrüßte den Gesetzentwurf grundsätzlich. „Der Wille zur Stärkung von Registern im BMG, den sehen wir sehr deutlich und der wird auch durch das Gesetz sozusagen in die Realität gebracht.“ Für die Registerbetreiber sei insbesondere die geplante Forschungskennziffer von großer Bedeutung. „Das ist ein Riesenpunkt für uns, das wird die Forschung, die Versorgungsforschung, die klinische Epidemiologie endlich dazu bringen, wie es in anderen Ländern seit Jahrzehnten üblich ist, dass wir einen Unique Identifier haben.“

Großen Raum nahm in der Diskussion auch die Finanzierung von Registern ein. Regierer verwies auf die prekäre Situation vieler Registerbetreiber. „Wir haben bisher nur Projektbezogene Finanzierung.“ Viele Register seien auf Spenden oder befristete Projektförderungen angewiesen. „Wenn wir wirklich eine Forschungsdateninfrastruktur wollen, dann braucht es eine Finanzierung.“ Besonders kritisch sei die fehlende Finanzierung des laufenden Betriebs. „Wenn ich keinen Strom oder kein Wasser habe, wenn ich nicht die Daten sicher halten kann, dann braucht man über alle weiteren Schritte nachzudenken.“ Holland räumte ein, dass die Finanzierung auch aus Sicht des Ministeriums ein schwieriges Thema sei. Angesichts der angespannten Haushaltslage habe man versucht, zumindest die Datenerhebung zu erleichtern.

Auch Thomas Schmitz-Rixen, der auf dem Podium die Arbeitsgemeinschaft der Wissenschaftlichen Medizinischen Fachgesellschaften e. V. (AWMF) vertrat, hob die Bedeutung hochwertiger Registerdaten hervor. Aus Sicht der Leitlinienentwicklung seien belastbare Daten unverzichtbar. „Wir brauchen hochqualitative, hochwertige Daten […] Aktuell sind die deutschen Register wenig bedeutsam beziehungsweise auch wenig genutzt als Basis für die Entwicklung von Empfehlungen.“

Zum Ende der Diskussion wurden die Teilnehmer gebeten, ihre wichtigsten Wünsche für das weitere Gesetzgebungsverfahren zu formulieren. Während Schmitz-Rixen knapp „Geld“ forderte und Kaiser „Forschung, Forschung, Forschung“, fasste Regierer noch einmal das zentrale Anliegen vieler Registerbetreiber zusammen: „Ich wünsche mir, dass das Thema Unique Identifier gelebt wird“ und damit auch Linkage mit weiteren Daten möglich werde.

Holland warb zum Abschluss für eine Fortsetzung des Dialogs zwischen Ministerium und den Registerbetreibern. „Dass wir weiterhin so offen über alles sprechen, in konstruktiven Austausch stehen.“ Die Diskussion um das Medizinregistergesetz sei mit dem Kabinettsbeschluss nicht beendet, sondern trete nun in die nächste Phase.

(mack)

Montage

Libernovo Omni Bilder

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Libernovo Omni

Verarbeitung

Design

Libernovo Omni heise bestenlisten

Ergonomie

Libernovo Omni heise bestenlisten

Praxistest

Libernovo Omni Fußstütze heise bestenlisten

Preis

Fazit