Das Fortinet SSL-VPN gehört zu den am weitesten verbreiteten Remote-Access-Lösungen. Genau diese Lösung verschwindet nun weitestgehend: Mit FortiOS 7.6.3 entfernt Fortinet den klassischen SSL-VPN-Tunnelmodus vollständig aus allen FortiGate-Systemen. Es bleibt lediglich ein „Agentless VPN“, welcher ausschließlich im Browser nutzbar ist. Da FortiOS 7.6 inzwischen als „Recommended Release“ eingestuft ist, wird das Thema mit jedem anstehenden Firmware-Upgrade akut. In diesem Beitrag erfahren Sie, warum Fortinet diesen Schritt geht, welche Alternativen es gibt und wie Sie die Migration planen, bevor sie zum Notfall wird.
Das Aus für das Fortinet SSL-VPN: Was ist passiert?
Mit der Veröffentlichung von FortiOS 7.6.3 hat Fortinet das SSL-VPN im Tunnelmodus vollständig entfernt. Es ist weder über die grafische Oberfläche (GUI) noch über die Kommandozeile (CLI) verfügbar. Auf kleineren FortiGate-Modellen mit 2 GB Arbeitsspeicher war das SSL-VPN sogar schon früher entfallen.
Besonders wichtig: Bestehende SSL-VPN-Konfigurationen werden beim Upgrade nicht übernommen. Wer auf FortiOS 7.6.3 oder höher aktualisiert, ohne vorher zu migrieren, steht ohne funktionierenden Remote-Zugang da, inklusive aller zugehörigen Firewall-Richtlinien.
Der bisherige Webmodus bleibt dagegen erhalten und läuft unter dem neuen Namen „Agentless VPN“ weiter. Ein vollwertiger Ersatz für den Tunnelmodus ist er allerdings nicht. Dazu gleich mehr.
Warum schafft Fortinet SSL-VPN ab?
Die Entscheidung ist keine Laune des Herstellers, sondern eine Konsequenz aus den letzten Jahren:
- Häufiges Angriffsziel: Das SSL-VPN war wiederholt von kritischen Sicherheitslücken (CVEs) betroffen, besonders in den Jahren 2022 und 2023. Angreifer haben exponierte VPN-Portale gezielt ausgenutzt.
- Träge Patch-Zyklen: Sicherheitsupdates waren nur über komplette Firmware-Updates möglich. Viele Unternehmen haben diese verzögert eingespielt, sodass das Risiko bestehen blieb.
- Nicht mehr zeitgemäß: Der pauschale Netzwerkzugriff eines klassischen VPN passt nicht mehr zu modernen Zero-Trust-Ansätzen, bei denen jeder Zugriff einzeln geprüft wird.
Fortinet folgt damit einem branchenweiten Trend hin zu sichereren Protokollen wie IPsec und Zero Trust Network Access (ZTNA).
Was bedeutet das für Ihr Unternehmen?
Wenn Sie aktuell das SSL-VPN auf Ihrer FortiGate einsetzen, besteht Handlungsbedarf, und zwar bevor das nächste große Firmware-Upgrade ansteht. Betroffen sind drei zentrale Bereiche:
- Ihre Remote-Access-Strategie: Wie kommen Mitarbeitende, Dienstleister und Administratoren künftig sicher ins Unternehmensnetz?
- Die Sicherheit Ihrer Infrastruktur: Die Migration ist die Gelegenheit, Altlasten und zu breite Zugriffsrechte zu bereinigen.
- Das mobile Arbeiten Ihrer Mitarbeitenden: Homeoffice und Außendienst dürfen während der Umstellung nicht ausfallen.
Auch Produktionsumgebungen sind betroffen: Wer externe Dienstleister per VPN auf Maschinen und Anlagen zugreifen lässt, sollte die Umstellung mit einem Konzept für sichere Fernwartung von Maschinen und Anlagen verbinden.
Wer ist betroffen und ab wann?
Auf FortiOS 7.2 und 7.4 steht das SSL-VPN noch zur Verfügung. Akut wird es mit dem Wechsel auf 7.6.3 oder höher. Da 7.6 die empfohlene Version ist, ist dieser Wechsel für die meisten Umgebungen nur eine Frage der Zeit. Unsere Empfehlung: Migrieren Sie geplant und im Parallelbetrieb, nicht unter Zeitdruck nach einem Upgrade.
Welche Alternativen gibt es zum Fortinet SSL-VPN?
Agentless VPN: der eingeschränkte Ersatz
Der bisherige Webmodus bleibt als „Agentless VPN“ erhalten. Wie der Name sagt, ist keine Client-Installation erforderlich: Der Zugriff erfolgt über den Webbrowser. Anwender melden sich an und greifen direkt auf freigegebene Anwendungen zu.
Die Einschränkung: Es lassen sich nur Dienste nutzen, die browserbasiert bereitgestellt werden können, etwa WebRDP, WebSMB oder WebSSH. Für gelegentliche Zugriffe auf einzelne Anwendungen ist das praktisch, ein vollwertiger Remote Access ist es aber nicht.
IPsec-VPN: die direkte Alternative
Das IPsec-VPN ist der designierte Nachfolger für den klassischen Remote Access und ein bewährter Industriestandard mit hoher Sicherheit und Stabilität. Standardmäßig nutzt es die Ports UDP/500 und TCP/4500.
Genau hier liegt aber die Herausforderung: In restriktiven Netzwerken wie Hotels, Gäste-WLANs oder öffentlichen Hotspots sind diese Ports gelegentlich gesperrt. Die Folge: Die VPN-Verbindung schlägt fehl, obwohl die Infrastruktur einwandfrei funktioniert. Zudem ist die Grundkonfiguration komplexer als beim bisherigen SSL-VPN, wodurch ein zentrales Management des VPN-Clients sinnvoll ist.
IPsec über TCP 443: die Lösung für restriktive Netzwerke
Mit neueren FortiOS-Versionen lässt sich IPsec über TCP auf Port 443 betreiben, also über denselben Port wie HTTPS-Traffic. Damit verhält sich die VPN-Verbindung aus Sicht des fremden Netzwerks wie ein normaler Website-Aufruf.
Ihre Vorteile:
- Deutlich höhere Erfolgsquote in fremden und restriktiven Netzwerken
- Ideal für mobiles Arbeiten und Homeoffice
- Volle Netzwerkkonnektivität, anders als beim Agentless VPN
Voraussetzung ist eine aktuelle FortiClient-Version, die IPsec über TCP unterstützt.
FortiZTNA: Zugriff nur auf das, was wirklich benötigt wird
Mit FortiZTNA (Zero Trust Network Access) wird der klassische VPN-Ansatz grundlegend weiterentwickelt. Statt pauschalem Zugriff auf ganze Netzwerke gilt das Zero-Trust-Prinzip: Jeder Zugriff wird individuell geprüft und auf einzelne Anwendungen beschränkt, egal von wo er erfolgt.
Konkret: Benötigt ein Benutzer ausschließlich RDP-Zugriff auf einen Server, erhält er genau diese eine Verbindung und keinen darüber hinausgehenden Netzwerkzugang. Zusätzlich prüft FortiZTNA bei jedem Zugriff die Sicherheitslage des Endgeräts (Device Posture), unter anderem:
- Aktuelles Betriebssystem (z. B. Windows 11)
- Installierter und aktiver Virenschutz
- Vollständig eingespielte Sicherheitsupdates
Nur wenn Benutzer und Gerät die Anforderungen erfüllen, wird der Zugriff freigegeben. Für die Umsetzung wird ein FortiClient-EMS-Server benötigt, der gemeinsam mit der lokalen FortiGate die Zugriffe steuert. Das Ergebnis: minimierte Angriffsflächen und granulare Kontrolle auf Applikationsebene. Konzeptionell ist dieser Ansatz eng mit einer sauberen Netzwerksegmentierung verwandt.
FortiSASE: Zero Trust aus der Cloud
Eine sinnvolle Erweiterung ist FortiSASE. Hier übernimmt eine cloudbasierte FortiGate-Infrastruktur die Sicherheitsprüfung und Zugriffskontrolle anstelle der lokalen Firewall. Der Vorteil: Nicht nur der Zugriff auf interne Anwendungen wird abgesichert, sondern sämtliche Verbindungen zu Web- und Cloud-Diensten werden zentral kontrolliert.
FortiSASE eignet sich besonders für Unternehmen, die stark verteilte Standorte oder viele mobile Mitarbeitende haben, Cloud-Anwendungen wie Microsoft 365 intensiv nutzen oder deren zentrale Dienste nicht mehr im eigenen Rechenzentrum liegen. Sicherheitsrichtlinien gelten dann einheitlich, unabhängig vom Standort und ohne zusätzliche lokale Infrastruktur.
SSL-VPN vs. IPsec-VPN: die wichtigsten Unterschiede
Kriterium | SSL-VPN (bisher) | IPsec-VPN (Nachfolger) |
|---|---|---|
Status | Mit FortiOS 7.6.3 entfernt | Bewährter Industriestandard |
Ports | TCP 443 | UDP 500/TCP 4500, optional TCP 443 |
Restriktive Netzwerke | Funktioniert meist | Mit IPsec über TCP 443 ebenfalls |
Sicherheitshistorie | Wiederholt kritische CVEs | Robust, weniger Angriffsfläche |
Konfigurationsaufwand | Gering | Höher, einmalig bei Migration |
MFA / 2FA | Ja | Ja |
So gelingt die Migration: Schritt für Schritt
Parallelbetrieb einrichten, dann schrittweise umstellen
Der sicherste Weg: IPsec-VPN parallel zum bestehenden SSL-VPN konfigurieren, mit einer Pilotgruppe testen und die Anwender schrittweise umziehen. Erst danach folgt das Firmware-Upgrade. So vermeiden Sie einen Stichtag, an dem alles auf einmal funktionieren muss.
Zentrale Verteilung mit FortiClient EMS
Die Einrichtung eines IPsec-VPN ist komplexer als die des klassischen SSL-VPN. Mit FortiClient EMS verteilen Sie Konfigurationen und Client-Updates zentral, setzen einheitliche Sicherheitsstandards durch und reduzieren den Supportaufwand spürbar. Alternativ ist die Verteilung über eine bestehende Softwareverteilung möglich, allerdings mit deutlichem Mehraufwand. Wie Sie Endgeräte zentral und sicher verwalten, zeigen wir auch in unserem Bereich Endpoint Management.
Authentifizierung: von FortiToken bis Entra ID
Für den Zugriff stehen mehrere sichere Verfahren zur Verfügung:
- Lokale Benutzer + FortiToken: Benutzer direkt auf der FortiGate, Passwort plus Zwei-Faktor-Authentifizierung
- Active Directory + MFA: Integration bestehender AD-Benutzer mit zentraler Verwaltung, erweitert um FortiToken, FortiAuthenticator oder Yubikey
- SAML SSO mit Entra ID: Anbindung an Microsoft Entra ID (Azure AD) mit Single Sign-On und vorhandenen MFA-Methoden wie Microsoft Authenticator
Welche Option ist die richtige für Ihr Unternehmen?
Die richtige Lösung hängt von Ihrer Ausgangssituation ab. Diese Fragen bringen schnell Klarheit:
- Wie arbeiten Ihre Mitarbeitenden heute und morgen? Überwiegend im Büro, stark im Homeoffice oder viel unterwegs?
- Wie intensiv nutzen Sie Cloud-Anwendungen? Greifen Ihre Nutzer überwiegend auf interne Systeme zu oder zunehmend auf SaaS-Dienste wie Microsoft 365?
- Welche Sicherheits- und Compliance-Anforderungen müssen Sie erfüllen (z. B. NIS2, ISO 27001)? Reicht klassischer Netzwerkzugriff oder brauchen Sie granulare Kontrolle?
- Wie ist Ihre Fortinet-Umgebung aufgebaut? Nutzen Sie bereits FortiClient EMS oder zentrale Authentifizierung über AD/Entra ID?
- Wie stabil läuft Ihr Remote Access heute? Gibt es Verbindungsprobleme in Hotels, Gäste-WLANs oder Mobilfunknetzen?
- Wohin entwickelt sich Ihre IT? Eher klassisch On-Premises oder stärker in Richtung Cloud und Zero Trust?
Als Faustregel:
Ihre Situation | Empfohlene Lösung |
|---|---|
Klassische On-Premises-IT, Homeoffice-Zugriffe | IPsec-VPN (über TCP 443) + FortiClient EMS |
Nur punktuelle Browser-Zugriffe einzelner Nutzer | Agentless VPN als Ergänzung |
Hohe Compliance-Anforderungen, sensible Systeme | FortiZTNA mit Device-Posture-Prüfung |
Verteilte Standorte, mobile Teams, Cloud-first | FortiSASE |
Häufige Fragen zum Fortinet SSL-VPN
Warum schafft Fortinet das SSL-VPN ab?
Wegen wiederholter kritischer Sicherheitslücken in den Jahren 2022/2023, träger Patch-Zyklen bei vielen Anwendern und der strategischen Ausrichtung auf Zero-Trust-Konzepte setzt Fortinet künftig auf IPsec, ZTNA und SASE.
Ab welcher FortiOS-Version ist das SSL-VPN nicht mehr verfügbar?
Mit FortiOS 7.6.3 ist der SSL-VPN-Tunnelmodus auf allen FortiGate-Modellen vollständig entfernt. Auf kleinen Modellen mit 2 GB RAM entfiel er bereits früher. Unter FortiOS 7.2 und 7.4 ist er noch nutzbar.
Was passiert mit meiner SSL-VPN-Konfiguration beim Upgrade?
Sie wird nicht übernommen, das gilt auch für die zugehörigen Firewall-Richtlinien. Die Migration auf IPsec-VPN muss vor dem Upgrade auf 7.6.3 erfolgen, sonst fällt der Remote-Zugang aus.
Was ist die beste Alternative zum Fortinet SSL-VPN?
Für die meisten Unternehmen ist das IPsec-VPN der direkte Nachfolger, idealerweise über TCP 443 für restriktive Netzwerke. Wer granulare Zugriffskontrolle braucht, geht den Schritt zu FortiZTNA; Cloud-first-Organisationen prüfen FortiSASE.
Funktioniert IPsec-VPN auch in Hotels und Gäste-WLANs?
Mit der Standardkonfiguration (UDP 500/TCP 4500) oft nicht, da diese Ports gesperrt werden. Die Lösung ist IPsec über TCP auf Port 443: Die Verbindung verhält sich dann wie normaler HTTPS-Traffic und kommt in fast allen Netzwerken zustande.
Ist Agentless VPN ein vollwertiger Ersatz?
Nein. Agentless VPN (der bisherige Webmodus) eignet sich nur für browserbasierte Dienste wie WebRDP, WebSMB oder WebSSH, nicht für vollständigen Netzwerkzugriff.
Brauche ich FortiClient EMS für die Migration?
Zwingend erforderlich ist EMS nur für FortiZTNA. Für die IPsec-Migration ist EMS aber dringend empfohlen: zentrale Verteilung der Konfiguration, einheitliche Standards und deutlich weniger Supportaufwand.
Fazit: Jetzt handeln, bevor das Upgrade kommt
Die Abschaffung des Fortinet SSL-VPN ist mehr als ein technisches Update: Sie zwingt Unternehmen, ihre Remote-Access-Strategie neu zu denken. Die gute Nachricht: Mit IPsec über TCP 443, FortiZTNA und FortiSASE stehen ausgereifte Alternativen bereit, die in puncto Sicherheit deutlich über das klassische SSL-VPN hinausgehen. Entscheidend ist, die Migration geplant im Parallelbetrieb anzugehen und nicht erst zu starten, wenn das Firmware-Upgrade vor der Tür steht.
Als Spezialist für sichere IT- und OT-Infrastrukturen und Fortinet-Partner begleiten wir Sie von der Analyse über die Migration bis zum laufenden Betrieb, auf Wunsch auch als Managed Service.
Lassen Sie uns in einer kostenlosen Erstberatung herausfinden, welcher Weg für Ihre Umgebung der richtige ist. Jetzt Kontakt aufnehmen oder rufen Sie uns an: +49 7644 59599-00.
