Fortinets Netzwerkbetriebssystem FortiOS und die IT-Sicherheitslösung FortiSandbox sind über mehrere Sicherheitslücken angreifbar. Bislang gibt es seitens des Netzwerkausrüsters keine Hinweise auf Attacken.

Sicherheitspatches installieren

Setzen Angreifer an einer Schwachstelle (CVE-2025-52436 „hoch“) in FortiSandbox an, können sie im Zuge einer XSS-Attacke eigene Befehle ausführen. Dafür ist der Beschreibung der Lücke zufolge keine Authentifizierung nötig.

Geräte wie Firewalls mit FortiOS sind über mehrere Softwareschwachstellen angreifbar. Bei einer bestimmten Konfiguration der LDAP-Authentifizierung (unauthenticated binds) können Angreifer an einer Lücke (CVE-2026-22153 „hoch“) ansetzen und so die Anmeldung im VPN-Kontext umgehen.

Zusätzlich können Angreifer unter anderem noch eigene Befehle ausführen (CVE-2025-64157 „mittel“). Dafür müssen sie aber bereits Admin sein.

Weiterführende Informationen zu den geschlossenen Lücken hat Fortinet im Sicherheitsbereich seiner Website aufgelistet.

(des)

Seit 2018 arbeitet das Bundesamt für Migration und Flüchtlinge an einem Blockchain-System, das mittlerweile den blumigen Namen FLORA trägt. FLORA, das steht für „Föderale Blockchain Infrastruktur Asyl“. Ziel des Assistenzsystems ist vor allem, verschiedene beteiligte Behörden bei „Registrierung, Aktenanlage und Anhörung“ zu unterstützen. Über das System sollen sie den Status von Asylverfahren abrufen können – zumindest in der Zeit zwischen der Registrierung etwa bei einer Ausländerbehörde und der Anhörung durch das BAMF.

2021 startete der Pilotbetrieb für FLORA, ab 2022 wurde das System produktiv genutzt – zuerst in Sachsen und Brandenburg. Mittlerweile kommt das Blockchain-Projekt zusätzlich in Rheinland-Pfalz, Baden-Württemberg, Niedersachsen, Mecklenburg-Vorpommern, Hessen und Thüringen zum Einsatz. „Derzeit werden ca. 47 Prozent der bundesweit bearbeiteten Asylverfahren mit Unterstützung durch FLORA durchgeführt“, so eine Sprecherin des BAMF gegenüber netzpolitik.org. Bayern, Nordrhein-Westfalen, Berlin und Sachsen-Anhalt sollen folgen, bis Ende 2027 soll die Anbindung der interessierten Länder abgeschlossen sein.

Ausbau der Funktionen liegt auf Eis

Eigentlich sollte die Blockchain-Lösung auf Basis des Open-Source-Frameworks Hyperledger Fabric nicht nur räumlich, sondern auch funktional noch weiter ausgebaut werden: beispielsweise auf die Verteilung von Geflüchteten auf Landkreise und Kommunen oder EU-weit bei der Koordination, welcher Mitgliedstaat für ein Asylverfahren zuständig ist. Doch diese Pläne, so das BAMF, liegen vorerst auf Eis. Oder wie die Behörde es ausdrückt: wurden „zurückgestellt“.

Grund dafür sei, dass die Priorität auf einem bundesweiten Roll-out des Systems liege. „Maßgeblich für diese Entscheidung“, so das BAMF, „waren die umfangreichen Haushaltskürzungen zu Beginn des Jahres 2024“. Damals fehlten im Kernhaushalt rund 17 Milliarden Euro, die von der damaligen Ampel-Regierung an verschiedenen Stellen gekürzt wurden. Dem fiel auch die funktionale Ausweitung des Blockchain-Projekts zum Opfer.

FLORA indes hat sein ganz zu Beginn geplantes Budget schon seit langem gesprengt. 2019, nach der Machbarkeitsstudie, waren für das Projekt „Verwaltung von Asylprozessen in der Blockchain“ noch insgesamt 4,53 Millionen Euro veranschlagt gewesen. Mittlerweile liegen die Gesamtkosten für Entwicklung und Betrieb von FLORA bis Ende 2025 bei 25.710.867,50 Euro, das ist mehr als das Fünffache. Die ursprünglich geplanten Beträge waren schon 2020 erreicht, noch bevor es einen ersten Pilotbetrieb gab.

Der Aufwand, eine datenschutzkonforme, Blockchain-basierte Lösung für die Koordinierung von Prozessen zu konzipieren, die jede Menge personenbezogener Daten involvieren, war hoch. Juristen und Informatiker suchten nach Wegen, das zu realisieren. Sie erstellten Machbarkeitsstudien und Gutachten und am Ende lautete das Fazit – vereinfacht gesagt: Das ist eine Menge Aufwand, aber möglich. Dass es geht, hat das BAMF mittlerweile gezeigt. Dass das Projekt entsprechend teuer geworden ist, auch.

Die Bundesländer als „Kunden“

Die Kosten würden sich, so das BAMF, aus dem Roll-out und der Anbindung von Bundesländern ergeben. Außerdem habe es 2024 eine Neuentwicklung der FLORA-Cloudversion gegeben. In einem wissenschaftlichen Bericht von Forschenden der Universitäten von Luxembourg und Arkansas klingt an, was wohl den größeren Aufwand verursacht hat: Das BAMF hatte zu Beginn auf dezentrales Hosting von FLORA gesetzt und mehr Verantwortung bei den Bundesländern gesehen. Die Forschenden schreiben: „Diese Bemühungen gerieten jedoch ins Stocken, als die Bundesländer eine schnelle Einführung des FLORA-Systems forderten. Daraufhin beschloss das FLORA-Team, seinen (De-)Zentralisierungskompromiss weiter zu formalisieren.“

Die Länder wollten also offenbar nicht alles selbst machen, sondern am liebsten eine fertige Lösung nach ihren Anforderungen nutzen, schlüsselfertig und ohne Zusatzaufwand. Das BAMF übernahm so immer mehr Verantwortung für die FLORA-Infrastruktur, die Bundesländer wurden immer mehr zu „Kunden“ des Bundesamts – die Anpassungen bestellten, um ihre eigenen Prozesse abzubilden.

Zahlen müssen die Bundesländer dafür praktischerweise nicht. Das BAMF schreibt: „Hier entstehen für die Bundesländer keine eigenen Kosten, da das BAMF die Anwendung an die Anforderungen des einzelnen Bundeslands anpasst und die benötigte Infrastruktur zur Nutzung bereitstellt.“

Weitere Kosten, so die Sprecherin des BAMF, sind angefallen, weil die Reform des europäischen Asylsystems (GEAS) Änderungen im System erforderlich macht. Derartige Anpassungen werden in diesem Jahr weiterhin erforderlich sein, denn die nationale Umsetzung von GEAS in Deutschland ist längst nicht abgeschlossen. Obwohl die EU-Regeln ab Juni 2026 in allen EU-Staaten anwendbar sein sollen, hat Deutschland bisher seine Anpassungsgesetze nicht verabschiedet, sie liegen weiterhin zur Beratung im Bundestag.

Und bevor die genauen nationalen Regeln nicht klar sind, lassen sich die IT-Systeme nicht so einfach aktualisieren. Die Zeit wird knapp, es bleiben nur noch vier Monate. Die Bundesregierung sieht „eine erhebliche Herausforderung“ darin, die GEAS-Regelungen rechtzeitig umzusetzen, schrieb sie im Januar – was längst nicht nur FLORA betrifft, sondern eine Vielzahl von IT-Systemen von BAMF und anderen Behörden.

Interesse eingeschlafen

Das BAMF will unterdessen FLORA „zur Unterstützung des Fristenmanagements“ weiterentwickeln. Durch GEAS würden sich Bearbeitungsfristen für das BAMF „zum Teil deutlich verkürzen“. Wie lange die Fristen etwa zur Entscheidung von Asylanträgen letztlich in Deutschland sein werden, ist noch nicht festgelegt. Die EU-Regeln geben den Mitgliedstaaten einen Spielraum, die Details müssen in einem nationalen Gesetz definiert werden.

Auf europäischer Ebene, so wirkt es, ist das Interesse an der Asyl-Blockchain mittlerweile eingeschlafen. „Die Kontaktaufnahme mit anderen EU-Staaten wurde im Zuge der Neuausrichtung des Projekts zu Beginn 2024 zurückpriorisiert“, so das BAMF. Aktuell seien keine weiteren Aktivitäten bekannt oder Gespräche geplant“. Ein gemeinsames Projekt mit Frankreich, eine Blockchain-basierte Lösung für die Zuständigkeitsbestimmung von EU-Ländern im bisherigen Dublin-Verfahren zu nutzen, wurde eingestellt, „da das EU-Partnerland das Projekt nicht weiterbetrieben hat“.

Während der allgemeine Blockchain-Hype also deutlich abgeflacht ist, arbeitet das BAMF unbeirrt weiter an der Technologie. Und wird, wie es aussieht, auch in den nächsten Jahren jede Menge Support für die involvierten Bundesländer-Kunden leisten müssen.

Der IT-Security-Podcast reicht ein paar Themen außer der Reihe nach, für die in der vergangenen Jubiläumsfolge einfach kein Platz mehr war. Los geht es mit einer Liste, in der Google öffentlich notiert, welche Certificate-Transparency-Logs der Browser Chrome nutzt. Eine alte Version dieser Liste würde Google gerne abschalten – doch jedes Mal, wenn sie das versuchen, fallen erschreckend viele Apps von Drittanbietern aus. Die Hosts diskutieren, wie das kommt, was für fast schon kafkaeske Erfahrungen das Chrome-Team machen musste und welche neuen Ideen Google nun helfen sollen, die Liste abzuschalten – eines Tages, hoffentlich, jedenfalls nicht vor Juli 2027 …

Im weiteren Verlauf der Folge geht es um die Ransomware-Gang AlphV, die ein Comeback feiern will, und dafür auf die Blockchain setzt. Technisch keine dumme Idee, wenn auch keine Verwendung, die als werbewirksames Beispiel für den Wert von Blockchains taugt. Etwas beunruhigend finden die Hosts, dass AlphV unter anderem deshalb auf Blockchains setzt, weil sie dem Tor-Netzwerk nicht mehr trauen.

Ebenfalls beunruhigend sind die Erfahrungen des curl-Projekts mit Bug-Bounties: Getrieben von der Hoffnung auf diese Belohnung, überschwemmten angebliche Bug-Finder das Projekt mit KI-generiertem Nonsens. Der behauptete, höchst kritische Fehler zu melden, war in Wahrheit aber zusammenfantasierter Müll. All diese Meldungen zu entlarven, kostete so viel Zeit, dass curl sein Bug-Bounty-Programm eingestellt hat. Schlimmer wäre eigentlich nur, in KI-generierten Meldungen zu versinken, die tatsächlich kritische Lücken beschreiben – auch dieses Szenario sehen erste Entwickler am Horizont.

Zum Schluss müssen die Hosts noch vor einer höchst gefährlichen Lücke warnen, die viele telnet-Betreiber betrifft – also hoffentlich, hoffentlich, fast niemanden im Podcast-Publikum. Die neueste Folge von „Passwort – der heise security Podcast“ steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.

(syt)