Was Fortinet FortiGate ist

FortiGate ist eine Firewall der nächsten Generation mit dem Betriebssystem FortiOS. Sie filtert Datenverkehr, verbindet Standorte per IPsec-VPN und SD-WAN und prüft Verkehr mit Intrusion Prevention, Antivirus, Webfilter und Anwendungserkennung. Die Signaturen und Bewertungen dafür liefert der Abodienst FortiGuard.

Hersteller ist die börsennotierte Fortinet Inc. aus Sunnyvale in Kalifornien. FortiGate gibt es als Hardware in vielen Größen und als virtuelle Maschine für gängige Hypervisoren und Clouds. Die aktuelle Hauptversion FortiOS 8.0 erschien im März 2026.

Wofür es eingesetzt wird

Unternehmen, Verwaltungen und Dienstleister nutzen FortiGate als zentrales Internet-Gateway, für Standortvernetzung und Fernzugriff sowie als Steuerzentrale für Switches und WLAN-Zugangspunkte von Fortinet. Größere Umgebungen verwalten viele Geräte zentral, etwa mit FortiManager.

Die Firewall steht im eigenen Haus, Signaturen, Webfilter-Bewertungen und Firmware kommen aber von Fortinet. Nach Ablauf der Abonnements laufen Grundfunktionen weiter, die Schutzfunktionen veralten. Ein Wechsel bedeutet, das Regelwerk neu aufzubauen, weil die Konfiguration herstellerspezifisch ist.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz der selbst betriebenen Firewall im Unternehmen; Fragen zum Rechtsraum und zur Datenhoheit sind für eine im eigenen Haus betriebene Appliance sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Fortinet Inc. hat ihren Hauptsitz in Sunnyvale (Kalifornien, USA) und ist an der Nasdaq notiert. Vertragspartner für Serviceverträge ist laut Service Terms die Fortinet, Inc. Eine Konzernmutter oder Vertragsgesellschaft in EU, EWR oder Schweiz wurde nicht gefunden. Beleg: Global Offices · Fortinet Introduces FortiOS 8.0 to Expand Secure… · Fortinet Service Terms & Conditions
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Regelwerk, Logs und Datenverkehr auf der eigenen FortiGate; eine Anordnung gegen Fortinet erfasst sie nicht unmittelbar. Daten, die an Fortinet fließen (FortiGuard-Abfragen, Statistiken, Supportfälle), verarbeitet ein US-Unternehmen; laut Service Terms auch in den USA oder jedem anderen Land, in dem Fortinet tätig ist. Übermittlungen stützt Fortinet auf das EU-U.S. Data Privacy Framework und Standardvertragsklauseln. Beleg: Fortinet Service Terms & Conditions · Privacy Policy
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Konfiguration, Schlüssel und Logs liegen auf der kundeneigenen FortiGate. Für Webfilter-Bewertungen, Reputationsdaten und Signaturen braucht sie aber laufend FortiGuard; eine VM ohne Verbindung zu den Lizenzservern kann nach etwa 30 Tagen den Verkehr einstellen, sofern keine Offline-Lizenz vorliegt. Registrierungspflichtige Modelle verlangen nach sieben Tagen eine Registrierung für Up- und Downgrades. Beleg: Technical Tip: List of features that will still… · FortiOS 7.6.7 Release Notes
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Fortinet, Inc. ist in Delaware gegründet, an der Nasdaq notiert (FTNT) und legt seine Struktur im Jahresbericht Form 10-K für 2025 offen. Ein Kontrollwechsel im Prüfzeitraum ab 05.11.2024 ist nicht belegt. Der Sitz in den USA ist unter 1.1 bewertet. Beleg: Fortinet, Inc. Form 10-K für das Geschäftsjahr 2…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Auslegung: Verkehrs-, Log- und Konfigurationsdaten sowie Backups bleiben im Selbstbetrieb beim Kunden. An FortiSandbox Cloud übermittelte Dateien lassen sich der Region „Europe“ zuordnen, Updates und Abfragen technisch auf EU-Server beschränken. Vertraglich behält sich Fortinet vor, Kundendaten in den USA oder jedem anderen Land zu verarbeiten und zu speichern (Service Terms Ziff. 11.5). Bewertet als „teilweise“, weil für übermittelte Kundeninhalte nur eine Region „Europa“ ohne vertragliche EU-Bindung wählbar ist. Beleg: FortiOS 6.2.4 Cookbook – FortiSandbox Cloud regi… · FortiOS 7.0 New Features: Use only EU servers fo… · Fortinet Service Terms & Conditions
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	FortiGate gibt es als Hardware und als virtuelle Maschine für VMware ESXi, KVM, Hyper-V, Xen und Citrix Hypervisor sowie für große Cloud-Plattformen. Betrieb im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister ist damit möglich. Beleg: FortiOS 7.6.7 Release Notes
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	FortiOS sendet standardmäßig verschlüsselte Malware-Statistiken (Antivirus, IPS, Anwendungserkennung) und Security-Rating-Ergebnisse an FortiGuard; beides lässt sich per CLI abschalten. Eine vollständige Liste aller Daten, die die FortiGate an Fortinet überträgt, wurde nicht gefunden; die Datenschutzerklärung beschreibt Gerätekennungen, Logs und Verkehrsdaten nur allgemein. Beleg: Technical Tip: Disable sending malware statistic… · Hardening your FortiGate: Send Security Rating s… · Privacy Policy
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Die Datenschutzerklärung nennt als Zweck der Verarbeitung von Kundendaten das Analysieren und Verbessern der Fortinet-Dienste einschließlich der Entwicklung neuer Funktionen sowie Sicherheitsforschung; ein Ausschluss des KI-Trainings fehlt. Laut Data Privacy Practices (Juli 2026) trainiert Fortinet bei einzelnen Diensten Modelle mit Kundendaten. Die DSGVO-Seite bietet einen Auftragsverarbeitungsvertrag nur auf Anfrage an. Beleg: Privacy Policy · Data Privacy Practices (DPP-DAT-R10-20260722) · GDPR

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	FortiOS ist proprietäre Software; laut Rechtsseite unterliegen alle Fortinet-Produkte dem Fortinet-EULA. Der Quellcode ist nicht öffentlich. Beleg: Legal
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt das proprietäre FortiOS voraus; die Schutzfunktionen hängen an FortiGuard-Abonnements und den Servern von Fortinet. Beleg: Legal · Technical Tip: List of features that will still…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Nach Ablauf der Abos laufen Firewall-Regeln, NAT, VPN, Routing, SD-WAN und Authentifizierung weiter. IPS, Antivirus und Anwendungserkennung nutzen nur noch die zuletzt geladenen Signaturen; Webfilter-Kategorien, Reputationsdaten und Sandbox fallen weg. Ab FortiOS 7.4.2 sind Firmware-Upgrades ohne aktive Lizenz gesperrt; Geräte ohne gültigen Vertrag werden aber zwangsweise auf den neuesten Patch ihrer Unterversion gehoben. Beleg: Technical Tip: List of features that will still… · Technical Tip: The FortiGate license is needed f… · FortiOS New Features: Automatic firmware upgrade…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Fortinet bietet ISO-Zertifikate für FortiGuard und FortiCloud auf Anfrage an; für den Managed FortiGate Service werden ISO 27001 und SOC 2 Type 2 genannt. Zertifikat und Geltungsbereich wurden nicht eingesehen, ein BSI-C5-Testat wurde nicht gefunden. Produktseitig ist FortiOS 7.2.8 nach Common Criteria EAL4+ (Niederlande, Februar 2026) zertifiziert. Beleg: Product Certifications · Managed FortiGate Service FAQ: Data security and… · Certification Report FortiOS 7.2 (NSCIB-CC-24000…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Fortinet hat eine veröffentlichte Richtlinie für Schwachstellen: Meldung über ein PSIRT-Formular, Bewertung nach CVSS 3.1, Fehlerbehebung je Schweregrad und Veröffentlichung am zweiten Dienstag jedes Monats, bei aktiver Ausnutzung auch außer der Reihe. Die Advisories (z. B. FG-IR-26-181, Oktober 2026) nennen CVE-Nummern. Ein Bug-Bounty-Programm gibt es nicht. Beleg: Fortinet Security Vulnerability Policy · FortiGuard PSIRT Advisories
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Die Service Terms nennen die Fortinet, Inc. als Vertragspartner, kalifornisches Recht und ein Schiedsverfahren in Santa Clara. Fortinet unterhält einen Supportstandort in Kelsterbach und technischen Support in Sophia Antipolis (Frankreich). Ein Vertrag nach deutschem oder EU-Recht wurde nicht gefunden; das EULA selbst war nicht abrufbar. Beleg: Fortinet Service Terms & Conditions · Global Offices
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Das Trust Resource Center führt einen Bereich zu Unterauftragsverarbeitern; laut Änderungshinweisen enthält er Standortangaben, Änderungen erscheinen in einem abonnierbaren Update-Feed. Eine Frist für die Vorankündigung ist nicht dokumentiert, und der Auftragsverarbeitungsvertrag ist nur auf Anfrage erhältlich. Die Liste selbst ließ sich beim Abruf nicht darstellen. Beleg: Trust Resource Center · GDPR
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration liegen beim Kunden. Laut Service Terms verbindet sich Fortinet nicht ohne vorherige Autorisierung mit dem Netz des Kunden, nur nach vereinbarten Sicherheitsmaßnahmen, und der Kunde darf den Zugriff überwachen (Ziff. 2.13). Dass der FortiCare-Support global organisiert ist, ist damit nur mit Freigabe je Fall verbunden. Beleg: Fortinet Service Terms & Conditions

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Die Konfiguration lässt sich als Datei mit Versionskopf (Modell, Firmware, Build) sichern, wahlweise verschlüsselt oder mit maskierten Passwörtern, ab FortiOS 7.2 auch im YAML-Format. Die Struktur ist herstellerspezifisch; eine Wiederherstellung setzt passendes Modell und passende Firmware voraus. Logs lassen sich per Syslog nach RFC 5424 weiterleiten. Beleg: Technical Tip: Understanding FortiGate Configura… · Technical Tip: How to back up and restore config… · FortiOS 8.0 Supported RFCs
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Administratoren können sich per SAML-SSO anmelden (z. B. mit Entra ID); LDAP, RADIUS und TACACS+ werden unterstützt. Die RFC-Liste für FortiOS 8.0 nennt u. a. IKEv2 (RFC 7296), LDAP (RFC 4511) und Syslog (RFC 5424, auch über TLS). Für Automatisierung gibt es eine REST-API mit API-Schlüsseln. Beleg: Technical Tip: Configuring SAML SSO login for Fo… · Technical Tip: List of features that will still… · FortiOS 8.0 Supported RFCs · Technical Tip: How to create a REST API Admin us…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Backups der Konfiguration erstellt der Administrator lokal per Oberfläche, CLI, FTP oder TFTP, ohne Mitwirkung von Fortinet und ohne Zusatzlizenz. Konfigurationsrevisionen bleiben auch nach Ablauf der Abos verfügbar. Bei registrierungspflichtigen Modellen setzt der volle Zugriff nach sieben Tagen eine Registrierung voraus. Beleg: Technical Tip: How to back up and restore config… · Technical Tip: List of features that will still… · FortiOS 7.6.7 Release Notes

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welche Daten die FortiGate insgesamt an FortiGuard überträgt. Eine vollständige Produktbeschreibung der Datenflüsse wurde nicht gefunden.
Ob das EULA für Kunden in Deutschland eine andere Rechtswahl vorsieht. Das Dokument war nicht abrufbar.
Wie der Geltungsbereich der ISO-Zertifikate aussieht. Sie sind nur auf Anfrage erhältlich und wurden nicht eingesehen.
Wohin Supportfälle und Diagnosedaten übermittelt werden. Die Service Terms erlauben die Verarbeitung in jedem Land, in dem Fortinet tätig ist.
Ob eine aktuelle FortiOS-Version eine BSI-Zulassung hat. Gefunden wurde nur das Common-Criteria-Zertifikat für FortiOS 7.2.8.
Ob die Unterauftragsverarbeiter-Liste im Trust Resource Center vollständig ist und Standorte für FortiGuard und FortiCare nennt, weil die Seite beim Abruf ohne Listeninhalt geladen wurde.
Ob FortiGuard-Dienste für FortiGate Kundendaten zum Training von KI-Modellen nutzen, weil die Data Privacy Practices dies nur für andere Dienste (z. B. SOCaaS) beschreiben.
Ob die Region „Europe“ von FortiSandbox Cloud auf Rechenzentren in der EU beschränkt ist, weil die Doku nur „Europe“ nennt.
Ob die Service Terms (Doc. 875110-3.8, März 2021) noch die aktuelle Fassung sind, weil das Dokument kein jüngeres Datum trägt.

Fragen vor einer Entscheidung

Welche Schutzfunktionen fallen weg, wenn FortiGuard- oder FortiCare-Abonnements auslaufen, und wer überwacht die Laufzeiten?
Soll die FortiGate auf EU-Server für FortiGuard beschränkt werden, und sind Statistik- und Security-Rating-Übermittlung abgeschaltet?
Wie wird mit Pflicht-Patches umgegangen, die Fortinet bei fehlendem Supportvertrag automatisch einplant?
Wie aufwendig wäre der Umzug des Regelwerks auf ein anderes Produkt?

Fortinet FortiGate