Fortinet VPN Alternative 2026: FortiClient ablösen mit NetBird

WZ-IT führt birdhost weiter. Aktuelles Hosting ab 349,90 € netto/Monat; Einrichtung und Service Level gemäß Angebot. Frühere Paketpreise, Standortlisten und Kostenvergleiche in diesem datierten Artikel beschreiben das damalige Angebot, nicht die aktuellen WZ-IT-Konditionen. Aktuellen Leistungsumfang ansehen.

Fortinet hat ein Sicherheitsproblem – und jetzt auch ein Architekturproblem. Über 16.000 FortiGate-Geräte wurden durch eine Symlink-Backdoor kompromittiert, die selbst nach dem Patchen bestehen blieb. Gleichzeitig entfernt Fortinet SSL-VPN ab FortiOS 7.6.3 komplett von allen FortiGate-Modellen. Wer heute FortiClient SSL-VPN nutzt, steht vor einer erzwungenen Migration – und muss sich fragen: Lohnt sich der Umstieg auf IPsec mit all den bekannten Risiken? Oder ist jetzt der richtige Zeitpunkt, VPN von der Firewall zu entkoppeln? NetBird bietet einen modernen Ausweg: Open-Source Mesh-VPN auf WireGuard-Basis, als Managed Service gehostet in Deutschland – ohne Appliance, ohne FortiClient, ab 99,90 €/Monat.

Auch interessant: Sophos VPN Alternative 2026 · OpenVPN Alternative 2026 · NetBird vs. Tailscale 2026

Kurzvergleich: FortiGate VPN vs. NetBird

Inhaltsverzeichnis

• FortiOS 7.6: Fortinet schafft SSL-VPN ab
  • Die Timeline
  • Was das für Unternehmen bedeutet
• Die Fortinet-Sicherheitskrise: CVE-Serien, Backdoors und Angriffe
  • Die kritischsten Schwachstellen
  • Die Symlink-Backdoor: 16.000+ Geräte kompromittiert – auch nach dem Patchen
  • Was die CVE-Serie zeigt
• Das strukturelle Problem: VPN auf der Firewall
• Der Alternativansatz: VPN von der Firewall entkoppeln
• Architektur: FortiClient SSL-VPN vs. NetBird Mesh-VPN
  • FortiClient SSL-VPN: So funktioniert es heute
  • NetBird: So funktioniert das Mesh-VPN
  • Architekturvergleich
• Sicherheit: SSL-VPN-Schwachstellen vs. WireGuard
  • Sicherheitsvergleich
• Setup und Betrieb: FortiClient-Ökosystem vs. Self-Service-Portal
  • FortiGate + FortiClient: Was der Betrieb wirklich kostet
  • NetBird: Drei Wege zum Einsatz
  • birdhost: In Minuten einsatzbereit
• Kosten im Vergleich
  • 3-Jahres-Kostenvergleich für ein KMU (20–50 Mitarbeitende)
  • Staffelpreise birdhost
• DSGVO und Compliance
• Migration: Von FortiClient SSL-VPN zu NetBird
• Gesamtvergleich auf einen Blick
• Entscheidungshilfe: Wann FortiGate, wann NetBird?
  • Bei der FortiGate bleiben macht Sinn, wenn Sie:
  • NetBird / birdhost ist die bessere Wahl, wenn Sie:
  • Die Kombination: FortiGate + NetBird
• Fazit
• Quellen

FortiOS 7.6: Fortinet schafft SSL-VPN ab

Die vielleicht wichtigste Nachricht für FortiGate-Admins in 2026: Fortinet entfernt SSL-VPN Tunnel Mode komplett.

Die Timeline

• FortiOS 7.4.8: SSL-VPN wird auf Geräten mit 2 GB RAM oder weniger entfernt (FortiGate 40F, 60F, 61F, 50G, 70G, 90G)
• FortiOS 7.6.0: SSL-VPN ist auf 2-GB-Modellen nicht mehr über GUI oder CLI erreichbar
• FortiOS 7.6.3 und höher: SSL-VPN Tunnel Mode ist auf keinem FortiGate-Modell mehr verfügbar – unabhängig von der Hardware

Das heißt: Wer heute SSL-VPN auf einer FortiGate nutzt und ein Firmware-Upgrade plant, verliert den VPN-Tunnel-Zugang. Bestehende SSL-VPN-Konfigurationen – inklusive Firewall-Policies – werden beim Upgrade nicht migriert und müssen manuell auf IPsec VPN umgestellt werden.

Was das für Unternehmen bedeutet

1. Erzwungene Migration: Jedes Unternehmen, das FortiClient SSL-VPN nutzt, muss aktiv werden. Entweder auf IPsec VPN migrieren (mit FortiClient als Client), auf FortiSASE wechseln (Cloud-basiert, Zusatzkosten) – oder VPN komplett von der Firewall entkoppeln.

2. Kein Ersatz für SSL-VPN Web Mode: Fortinet selbst bestätigt, dass es für den SSL-VPN Web Mode (browserbasierter Zugriff ohne Client) keine direkte Alternative gibt. Unternehmen, die diesen Modus für Contractor-Zugriff oder BYOD nutzen, stehen vor einer Lücke.

3. IPsec ist nicht einfacher: Die empfohlene Migration auf IPsec VPN erfordert Neuaufbau der Konfiguration, Client-Updates auf allen Endgeräten und Anpassungen an Firewall-Policies. Wer bisher SSL-VPN über Port 443 genutzt hat, muss prüfen, ob IPsec-over-TCP in seiner Netzwerkumgebung funktioniert.

4. Entry-Level-Modelle zuerst betroffen: Die meistverkauften KMU-Modelle – FortiGate 40F und 60F – haben nur 2 GB RAM und verlieren SSL-VPN bereits mit FortiOS 7.4.8. Genau die Geräte, die am häufigsten für Remote-Access-VPN eingesetzt werden.

Die Fortinet-Sicherheitskrise: CVE-Serien, Backdoors und Angriffe

Fortinet ist mit über 50 % globalem Marktanteil der weltweit am häufigsten eingesetzte Firewall-Hersteller – und damit auch das bevorzugte Ziel für Angreifer. Die Sicherheitsbilanz der letzten zwei Jahre liest sich wie ein Worst-Case-Szenario.

Die kritischsten Schwachstellen

CVE-2024-47575 – „FortiJump" (CVSS 9.8): Eine fehlende Authentifizierung im FortiManager-Daemon ermöglichte Remote Code Execution ohne Login. Angreifer der Gruppe UNC5820 nutzten die Schwachstelle bereits seit Juni 2024 aus – Monate bevor Fortinet im Oktober 2024 einen Patch veröffentlichte. FortiGate-Konfigurationen und gehashte Passwörter wurden exfiltriert. Sicherheitsforscher bewerteten den initialen Patch als unzureichend.

CVE-2024-55591 – Authentication Bypass (CVSS 9.6): Angreifer konnten sich über manipulierte Anfragen an das Node.js-Websocket-Modul Super-Admin-Rechte verschaffen. Die Schwachstelle wurde als Zero-Day aktiv ausgenutzt – gegen öffentlich erreichbare FortiGate-Management-Interfaces.

CVE-2025-24472 – Authentication Bypass: Eng verwandt mit CVE-2024-55591. Die Ransomware-Gruppe „Mora_001" – mit mutmaßlichen Verbindungen zu LockBit – nutzte beide Schwachstellen, um initiale Zugriffe zu erlangen und sich Super-Admin-Rechte zu verschaffen.

CVE-2024-21762 – Zero-Day in SSL-VPN: Eine Out-of-Bounds-Write-Schwachstelle in FortiOS SSL-VPN, die laut Fortinet „potenziell in freier Wildbahn ausgenutzt" wurde. CISA nahm die CVE in den Known Exploited Vulnerabilities Catalog auf.

CVE-2025-59718 – Authentication Bypass (Dezember 2025): Die jüngste in einer Serie: Angreifer umgehen die Authentifizierung auf FortiGate-Firewalls und exportieren Systemkonfigurationsdateien. CISA hat die CVE in den KEV-Katalog aufgenommen.

FortiBleed (Juni 2026): Im Juni 2026 zeigte die Credential-Harvesting-Kampagne „FortiBleed", wie groß die Angriffsfläche exponierter FortiGates tatsächlich ist: Laut Bitsight wurden Zugangsdaten von über 73.000 FortiGate-Firewalls und SSL-VPN-Gateways offengelegt. CISA rief Betreiber am 18. Juni 2026 auf, aktive Sessions zu beenden, Credentials zurückzusetzen und Management-Interfaces aus dem öffentlichen Internet zu nehmen.

Die Symlink-Backdoor: 16.000+ Geräte kompromittiert – auch nach dem Patchen

Im April 2025 enthüllte Fortinet eine Technik, die das Sicherheitsmodell jeder Firewall-Appliance in Frage stellt: Angreifer platzierten symbolische Links im SSL-VPN-Sprachdateiverzeichnis, die auf das Root-Dateisystem der FortiGate verweisen. Weil diese Dateien bei Firmware-Updates nicht überschrieben werden, blieb der Zugriff auch nach vollständigem Patching bestehen.

Die Fakten:

• 16.620 kompromittierte Geräte laut Shadowserver Foundation (Stand April 2025)
• Angreifer hatten dauerhaften Lesezugriff auf Konfigurationsdateien, Zertifikate und Credentials
• Die Backdoor überlebte jedes Firmware-Update – nur eine gezielte Bereinigung half
• Geografische Verteilung: 7.886 Geräte in Asien, 3.766 in Europa, 3.217 in Nordamerika
• Fortinet informierte betroffene Kunden per E-Mail und veröffentlichte AV/IPS-Signaturen zur Erkennung

Patch-Bypass entdeckt (Februar 2026): Sicherheitsforscher fanden heraus, dass der Fortinet-Patch auf einem schwachen String-Matching basierte. Durch Hinzufügen eines doppelten Schrägstrichs im Pfad (/lang//custom statt /lang/custom) ließ sich die Sicherheitsprüfung vollständig umgehen – der Webserver löste den Pfad trotzdem korrekt auf.

Was die CVE-Serie zeigt

Das Problem ist nicht ein einzelner Bug – es ist ein Muster. Fortinet-Appliances mit SSL-VPN sind per Design aus dem Internet erreichbar. Jede Schwachstelle in diesem Angriffsvektor gibt Angreifern direkt Zugang zur Kerninfrastruktur. Und die Patchqualität – ein initialer Patch, der umgangen werden kann, ein zweiter Patch, der wieder umgangen wird – untergräbt das Vertrauen in das gesamte Ökosystem.

Dazu kommt die Credential-Ebene, die kein Patch mehr einholt: Im Juni 2026 dokumentierte Bitsight einen kursierenden Datensatz mit Administrator- und VPN-Zugangsdaten für über 73.000 internet-erreichbare FortiGate-Firewalls. Was hinter dem FortiGate-Credential-Leak FortiBleed steckt und welche Sofortmaßnahmen jetzt zählen, haben wir separat aufgearbeitet.

Das strukturelle Problem: VPN auf der Firewall

Die CVE-Serie ist kein Fortinet-spezifisches Problem – sie ist ein Architekturproblem. Sophos, WatchGuard, Lancom und jeder andere Hersteller, der VPN auf der Firewall-Appliance bündelt, hat die gleiche Angriffsfläche.

Die Appliance ist gleichzeitig Firewall, VPN-Gateway und Angriffsziel. Das SSL-VPN-Portal muss aus dem Internet erreichbar sein, damit Remote-Mitarbeitende sich verbinden können. Genau diese Erreichbarkeit macht die Appliance zum Ziel – wie die Fortinet-CVEs seit 2023 fortlaufend demonstrieren.

VPN-Traffic konkurriert mit Firewall-Processing. IDS/IPS, Application Control, TLS-Inspektion, Web-Filtering und VPN-Verschlüsselung laufen auf derselben Hardware. Auf Entry-Level-Modellen wie der FortiGate 40F oder 60F ist die CPU schnell am Limit.

Hardware-Lifecycle erzwingt VPN-Migrationen. Wenn die Appliance nach 3–5 Jahren ausgetauscht wird, muss das gesamte VPN migriert werden – Profile, Zertifikate, Client-Konfigurationen. Fortinets Entscheidung, SSL-VPN abzuschaffen, beschleunigt diesen Zyklus zusätzlich. Wie hart ein solches Support-Ende treffen kann, zeigt gerade Cisco: Für die ASA 5506-X, 5508-X und 5516-X endet der Support am 31. August 2026, inklusive AnyConnect 4.x ohne Security-Patches.

Jede Schwachstelle in der Firewall ist eine VPN-Schwachstelle. Und umgekehrt. Die Symlink-Backdoor konnte nur existieren, weil SSL-VPN und Dateisystem auf derselben Appliance laufen.

Der Alternativansatz: VPN von der Firewall entkoppeln

Die Kernidee: Ihre FortiGate bleibt für Perimeter-Security zuständig. Das VPN wird als eigenständiger, moderner Service betrieben.

Das bedeutet nicht, dass Sie Ihre FortiGate wegwerfen. Wenn Ihre FortiGate gute Arbeit als Firewall leistet – IDS/IPS, Application Control, Web-Filtering – behalten Sie sie. Aber befreien Sie sie von der VPN-Last und der damit verbundenen Angriffsfläche.

NetBird übernimmt den VPN-Part, betrieben als Managed NetBird Hosting: verschlüsselte Verbindungen zwischen Geräten, identity-basierte Zugriffskontrolle, automatisches On-/Offboarding. Die FortiGate kann sich auf das konzentrieren, wofür sie gebaut wurde: Perimeter-Schutz, Traffic-Inspektion, Netzwerksegmentierung.

Bonus: Ohne aktives SSL-VPN-Portal verschwindet der Angriffsvektor, der für die gesamte CVE-Serie der letzten zwei Jahre verantwortlich war.

Architektur: FortiClient SSL-VPN vs. NetBird Mesh-VPN

FortiClient SSL-VPN: So funktioniert es heute

Remote-Laptop ──► Internet ──► FortiGate (Port 443/10443) ──► LAN
                                 │ SSL-VPN entschlüsseln
                                 │ Firewall-Regeln prüfen
                                 │ Traffic weiterleiten

• Client: FortiClient (Windows, macOS, Linux, iOS, Android)
• Authentifizierung: Benutzername + Passwort, optional MFA (FortiToken)
• Verwaltung: FortiClient EMS (Endpoint Management Server) – eigene Infrastruktur oder Cloud
• Zugriffskontrolle: SSL-VPN-Policy mit Split-Tunneling und Firewall-Regeln

NetBird: So funktioniert das Mesh-VPN

Remote-Laptop ◄────── WireGuard Tunnel ──────► Routing Peer (Büro)
                   (direkt, Peer-to-Peer)              │
                                                   LAN-Geräte

• Client: NetBird (Windows, macOS, Linux, iOS, Android – ein Client für alle)
• Authentifizierung: SSO über Identity Provider (Azure AD, Google Workspace, Okta, Keycloak)
• Verwaltung: Web-Dashboard – keine separate EMS-Infrastruktur
• Zugriffskontrolle: Grafische Web-UI, identity- und ressourcenbasiert

Architekturvergleich

Sicherheit: SSL-VPN-Schwachstellen vs. WireGuard

FortiGate SSL-VPN hat in den letzten zwei Jahren mehr kritische Schwachstellen produziert als jedes andere VPN-Produkt am Markt. Das liegt nicht an schlechter Entwicklung – es liegt am Konzept. Ein SSL-VPN-Portal ist per Design eine öffentlich erreichbare Webanwendung, die auf einer sicherheitskritischen Appliance läuft. Jede Schwachstelle in dieser Webanwendung ist ein direkter Pfad zum Kern des Netzwerks.

Die Codebasis von FortiOS umfasst Millionen Zeilen proprietären Code – nicht auditierbar, nicht einsehbar, nicht überprüfbar. Und das Patching-Verhalten gibt Anlass zur Sorge: Der Symlink-Patch wurde umgangen. Der FortiJump-Patch war laut Sicherheitsforschern unzureichend.

NetBird mit WireGuard verfolgt einen radikal anderen Ansatz:

• Keine offenen Ports: NetBird-Peers benötigen keinen aus dem Internet erreichbaren Port. Die Verbindung wird über NAT-Traversal und den Signal-Server koordiniert – der Datenverkehr fließt direkt zwischen den Peers.
• Minimale Codebase: WireGuard besteht aus ~4.000 Zeilen Code – formal verifizierbar, leicht auditierbar. Verglichen mit Millionen Zeilen FortiOS ist die Angriffsfläche um Größenordnungen kleiner.
• Kryptografie ohne Konfiguration: ChaCha20, Poly1305, Curve25519, BLAKE2s – keine wählbaren Cipher-Suites, keine Fehlkonfiguration möglich.
• Post-Quantum-Option: Rosenpass bietet optionalen Schutz gegen zukünftige Quantencomputer-Angriffe.
• Posture Checks: Prüfung des Gerätezustands vor dem Verbindungsaufbau (Firewall aktiv? OS aktuell? Endpoint-Security-Agent läuft?). Integrationen mit Microsoft Intune und SentinelOne.
• SCIM-Provisioning: Automatisches On-/Offboarding über den Identity Provider. Kein vergessener VPN-Account, keine manuell zu widerrufenden Zertifikate.
• 100 % Open Source: Jede Zeile Code ist einsehbar, auditierbar und verifizierbar. Ein fundamentaler Unterschied zu FortiOS.

Sicherheitsvergleich

Setup und Betrieb: FortiClient-Ökosystem vs. Self-Service-Portal

FortiGate + FortiClient: Was der Betrieb wirklich kostet

Das Fortinet-Ökosystem für Remote-Access-VPN besteht aus mehreren Komponenten:

FortiGate-Appliance: Die Firewall mit VPN-Funktion. Entry-Level-Modelle (40F, 60F) kosten ~370–520 € (Hardware) plus jährliche FortiGuard-Lizenzen (UTP oder Enterprise Protection Bundle).

FortiClient: Der VPN-Client für Endgeräte. Die Basisversion (VPN-only) ist kostenlos, aber für Zero-Trust-Funktionen (ZTNA, Posture Checks) benötigen Sie die ZTNA-Lizenz – ab ~$54/Endgerät/Jahr für kleine Deployments (25 Seats).

FortiClient EMS: Der Endpoint Management Server zur zentralen Verwaltung der FortiClients. Entweder on-premises (eigene Infrastruktur) oder als FortiClient Cloud (Fortinet-gehostet). Ohne EMS keine zentrale Verwaltung, keine automatischen Updates, keine Policy-Durchsetzung.

FortiToken: MFA-Tokens für die Authentifizierung. Hardware-Tokens oder FortiToken Mobile – Zusatzkosten pro Nutzer.

Laufender Verwaltungsaufwand:

• FortiGuard-Lizenzen erneuern (jährlich)
• FortiOS-Updates einspielen (mit Regressions-Risiko)
• FortiClient-Updates auf allen Endgeräten ausrollen
• FortiClient EMS warten und aktualisieren
• VPN-Profile verwalten, Split-Tunneling konfigurieren
• SSL-VPN-Migration auf IPsec (ab FortiOS 7.6)

NetBird: Drei Wege zum Einsatz

NetBird ist zu 100 % Open Source – Sie haben die Wahl, wie Sie es betreiben:

1. Self-Hosted: Die gesamte Control-Plane selbst auf eigener Infrastruktur deployen. Volle Kontrolle, kein Drittanbieter. Ideal für Unternehmen mit eigenem Ops-Team.

2. NetBird Cloud (netbird.io): Die offizielle SaaS-Lösung von NetBird. Schneller Einstieg mit kostenlosem Plan für kleine Teams, ohne eigene Infrastruktur.

3. birdhost (Managed Hosting, 8 Regionen weltweit): Dedizierte NetBird-Instanzen in 8 Regionen (DE, NL, US, CA, SGP, JP, SYD, IN). Deutschland: ISO 27001 & BSI C5 zertifizierte Rechenzentren. Alle anderen Standorte: Rechenzentren mit ISO 27001 & SOC 2 Type II. DSGVO-konform (EU-Standorte), mit AVV, 24/7 Monitoring und Support. Zertifizierungen des jeweiligen Rechenzentrumsbetreibers.

birdhost: In Minuten einsatzbereit

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement. 2. Instanz deployen – Plan wählen, Region auswählen (Deutschland, Niederlande, USA, Kanada, Singapur, Japan, Sydney oder Indien) 3. NetBird Dashboard öffnen – Ihre dedizierte Instanz ist fertig 4. Routing Peer im Büro installieren (ein Befehl) 5. Mitarbeitende onboarden (Client + SSO-Login)

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Kosten im Vergleich

3-Jahres-Kostenvergleich für ein KMU (20–50 Mitarbeitende)

Fortinet-Preise: Schätzung basierend auf UVP mit typischen Reseller-Rabatten (US-Markt). Europäische Preise können höher liegen. Admin-Personalkosten nicht eingerechnet.

Für Unternehmen, die ihre FortiGate primär für VPN nutzen, bleibt die Monats-Flatrate von birdhost über drei Jahre gerechnet günstiger, vor allem, weil Hardware, Zusatzlizenzen und der laufende Admin-Aufwand entfallen.

Staffelpreise birdhost

Alle Pläne: Unbegrenzte Nutzer und Geräte, keine Per-User-Gebühren, keine Zusatzlizenzen, monatlich kündbar, 8 Regionen weltweit (DE, NL, US, CA, SGP, JP, SYD, IN; außerhalb der Region Deutschland 119,90 € bzw. 229,90 €), 24/7 Monitoring, Updates und Patches inklusive. Relay-Traffic: 2 TB (Startup) bzw. 4 TB (Business) inklusive, danach 1 €/TB.

DSGVO und Compliance

FortiGate (Self-Hosted): Die DSGVO-Verantwortung liegt beim Betreiber. Die Appliance steht in Ihrem Netzwerk – gut für die Datenhoheit. Aber FortiCloud, FortiAnalyzer Cloud und FortiClient Cloud verarbeiten Metadaten in der Cloud. Fortinet ist ein US-amerikanisches Unternehmen mit Hauptsitz in Sunnyvale, Kalifornien – potenziell dem CLOUD Act unterworfen.

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Migration: Von FortiClient SSL-VPN zu NetBird

Die Migration kann schrittweise erfolgen. NetBird und FortiClient laufen problemlos parallel auf demselben Gerät.

Phase 1 – Test (Tag 1): Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Phase 2 – Pilot (Woche 1–2): Kleine Gruppe (5–10 Mitarbeitende) parallel auf NetBird onboarden. SSO konfigurieren, Zugriffsregeln definieren. FortiClient bleibt als Fallback aktiv.

Phase 3 – Rollout (Woche 3–4): Alle Mitarbeitenden auf NetBird migrieren. Zugriffsregeln von FortiGate-SSL-VPN-Policies in NetBird-Policies übersetzen – dabei von netzwerkbasierten auf identity-basierte Regeln umstellen.

Phase 4 – SSL-VPN abschalten: SSL-VPN-Portal auf der FortiGate deaktivieren. Die FortiGate bleibt für Perimeter-Security aktiv – ohne VPN-Last und ohne das SSL-VPN-Portal als Angriffsfläche.

Ergebnis: Ihre FortiGate macht weiterhin Firewall – aber ohne den Angriffsvektor, der für die CVE-Serie der letzten zwei Jahre verantwortlich war. VPN ist entkoppelt, moderner und sicherer.

Gesamtvergleich auf einen Blick

Entscheidungshilfe: Wann FortiGate, wann NetBird?

Bei der FortiGate bleiben macht Sinn, wenn Sie:

• Die FortiGate als vollständige Security-Plattform nutzen (IDS/IPS, Application Control, Web-Filtering, Email-Protection) und VPN nur ein Nebenaspekt ist
• Tief in das Fortinet Security Fabric investiert sind (FortiAnalyzer, FortiSandbox, FortiSwitch, FortiAP)
• Einen Fortinet-zertifizierten Partner haben, der Betrieb und die IPsec-Migration übernimmt
• Die Ressourcen haben, das FortiClient-EMS-Ökosystem zu betreiben und aktuell zu halten

NetBird / birdhost ist die bessere Wahl, wenn Sie:

• FortiClient SSL-VPN als Haupt-VPN-Lösung nutzen und von der SSL-VPN-Abschaffung betroffen sind
• Die CVE-Serie und die Symlink-Backdoor als untragbares Risiko einstufen
• Den Lizenz- und Betriebsaufwand von FortiGate + FortiClient EMS + FortiToken reduzieren möchten
• Moderne Zugriffskontrolle mit SSO, MFA und automatischem Provisioning wollen – ohne FortiToken-Kosten
• Planbare Kosten ohne Hardware-Refresh-Zyklen und Lizenzstaffeln brauchen
• DSGVO-konformes Managed Hosting in Deutschland bevorzugen
• Die VPN-Funktion von der Firewall entkoppeln und damit die Angriffsfläche eliminieren möchten
• Eine Lösung suchen, die in Minuten einsatzbereit ist – nicht in Stunden oder Tagen

Die Kombination: FortiGate + NetBird

Für viele Unternehmen ist die klügste Lösung: FortiGate für Perimeter-Security – NetBird für VPN. Die FortiGate macht weiterhin IDS/IPS, Application Control, Web-Filtering. NetBird übernimmt den sicheren Remote-Zugriff. Kein SSL-VPN-Portal, keine Angriffsfläche, keine erzwungene IPsec-Migration.

Fazit

Fortinet hat ein doppeltes Problem: Die Sicherheitsbilanz der letzten zwei Jahre – mit über 16.000 kompromittierten Geräten, einer Symlink-Backdoor die Patches überlebt, und einer Serie kritischer CVEs – hat das Vertrauen in FortiGate-SSL-VPN erschüttert. Und die Entscheidung, SSL-VPN ab FortiOS 7.6.3 komplett abzuschaffen, zwingt jeden FortiGate-Admin zum Handeln.

Die automatische Antwort „Wir migrieren halt auf IPsec" löst das Architekturproblem nicht: Die Firewall bleibt der zentrale Gateway, der FortiClient-Overhead bleibt, und die nächste CVE ist nur eine Frage der Zeit.

NetBird bietet eine fundamentale Alternative: VPN wird von der Firewall entkoppelt, basiert auf WireGuard statt auf proprietärem Code, und eliminiert die gesamte Angriffsfläche des SSL-VPN-Portals. In Kombination mit dem Managed Hosting von birdhost erhalten Unternehmen ein VPN, das in Minuten einsatzbereit ist, identity-basierte Zugriffskontrolle bietet und zum planbaren Festpreis in Deutschland gehostet wird.

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Lesetipp: Sophos VPN Alternative 2026 · OpenVPN Alternative 2026 · NetBird vs. Tailscale 2026 · Twingate Alternative 2026 · NIS2 und VPN-Netzwerksicherheit

Quellen

• Fortinet: Analysis of Threat Actor Activity (Symlink-Backdoor)
• CISA: Fortinet Advisory on Post-Exploitation Technique (April 2025)
• BleepingComputer: Over 16,000 Fortinet Devices Compromised with Symlink Backdoor
• The Hacker News: FortiGate Symlink Exploit – Attackers Retain Access Post-Patching
• ITRES Labs: Bypassing the FortiGate Symlink Patch – CVE-2025-68686 (Februar 2026)
• Bishop Fox: A Deeper Look at FortiJump – CVE-2024-47575
• Google Cloud: FortiManager Zero-Day Exploitation – CVE-2024-47575
• Rapid7: Fortinet Firewalls Hit with New Zero-Day Attack (Januar 2025)
• Help Net Security: CVE-2025-59718 – FortiGate Auth Bypass Exploited (Dezember 2025)
• Bitsight: Security Alert FortiBleed – Fortinet VPN Credentials Exposed (Juni 2026)
• CISA: Urges Hardening of Fortinet Devices After Reports of Credential Exposure (18. Juni 2026)
• Fortinet PSIRT: Analysis of Reported Credential Compromise of FortiGate Devices
• Darktrace: Tracking a Real-World Fortinet SSL-VPN Attack
• Fortinet: SSL VPN Tunnel Mode Replaced with IPsec VPN (FortiOS 7.6.3)
• Fortinet: Migration from SSL VPN to IPsec VPN
• BOLL: FortiOS 7.6 – Important Change for SSL-VPN
• PeerSpot: FortiClient Pros and Cons 2026
• Fortinet: FortiGate-Firewalls – Gartner Magic Quadrant Leader 2025
• NetBird GitHub Repository
• NetBird Dokumentation
• WireGuard Protokoll-Spezifikation
• birdhost.de – Managed NetBird Hosting