FortiGate 40F, 60F, 70G und 90G im Vergleich: Welches Modell für welches Büro?

Der Vergleich FortiGate 60F und 70G entscheidet sich, sobald 40F und 90G in derselben Tabelle stehen, weniger an der Nutzerzahl als an der zu inspizierenden Datenmenge: Laut Fortinet-Datenblättern passt die 40F zum Mikrobüro mit 5–10 Nutzern, die 60F zum Kleinbüro mit 10–30 Nutzern, die 70G zur Filiale mit 20–50 Nutzern und die 90G zum stark ausgelasteten Standort mit 100–150 Nutzern. Die eigentlichen Unterschiede liegen bei SSL-Inspektion, Session-Kapazität und Port-Layout.

Vier Modelle im Überblick: Was trennt die F-Serie von der G-Serie?

Die F-Serie (40F, 60F) arbeitet mit Fortinets SoC4-System-on-a-Chip, die G-Serie (70G, 90G) mit dem neueren SP5 Secure SD-WAN ASIC. Laut Datenblättern bringt die G-Serie einen Firewall-Durchsatz, der bei kleinen Paketen nicht einbricht, mindestens die doppelte Session-Kapazität, ein TPM und einen Schalter für signierte Firmware; die F-Serie bleibt dank lüfterlosem Design und geringerer Leistungsaufnahme für Mikro- und Kleinbüros gültig.

Die folgende Tabelle stellt die vier Modelle mit den Werten der offiziellen Fortinet-Datenblätter nebeneinander. Die Durchsatzwerte sind Maximalwerte unter Laborbedingungen. Für die Dimensionierung sind die Zeilen Threat Protection (alle Profile inklusive Antivirus aktiv) und, falls der gesamte verschlüsselte Verkehr geöffnet werden soll, SSL Inspection verbindlich.

Ein häufiges Missverständnis vorab: IPS-Durchsatz und Threat-Protection-Durchsatz sind nicht dasselbe. Der IPS-Wert wird nur mit aktiver Intrusion-Prevention-Engine gemessen; der Threat-Protection-Wert gilt, wenn Firewall, IPS, Application Control und Antivirus gemeinsam aktiv sind. Soll eine Filialleitung unter „vollem Schutz“ laufen, ist die zweite Zeile die maßgebliche. Wie diese Werte mit dem Lizenzpaket zusammenhängen, behandeln wir gesondert im Beitrag zu den Faktoren, die den FortiGate-Preis bestimmen.

Für welches Büro eignet sich die FortiGate 40F?

Die FortiGate 40F ist ein lüfterloses Desktop-Modell mit fünf GE-RJ45-Ports, das laut Fortinet-Datenblatt 5 Gbit/s IPv4-Firewall, 600 Mbit/s Threat Protection und 310 Mbit/s SSL Inspection liefert. Sie ist die richtige Größe für ein Einzelstandort-Büro mit 5–10 Nutzern, ein Homeoffice, eine kleine Praxis oder eine Verkaufsstelle ohne Festnetzanschluss; die Variante 40F-3G4G trägt ein integriertes LTE-Modem und zwei Nano-SIM-Steckplätze.

Zwei Werte setzen die praktische Obergrenze der 40F. Der erste ist die SSL-Inspection-Kapazität von 310 Mbit/s: Da heute der Großteil des Webverkehrs verschlüsselt ist, wird eine Richtlinie „gesamten HTTPS-Verkehr öffnen und prüfen“ auf diesem Modell schnell zum Engpass. Der zweite ist die Grenze von 2.000 Firewall-Richtlinien und 700.000 gleichzeitigen Sessions; in Installationen mit vielen VLANs und stark genutztem Gastnetz füllt sich diese Tabelle früher als erwartet. Eine durchschnittliche Aufnahme von 7,74 W und 0 dBA Geräuschpegel bedeuten, dass das Gerät im Besprechungsraum oder auf dem Schreibtisch stehen kann.

Für die Access-Schicht definiert das Datenblatt die Verwaltung von 16 FortiAPs (8 im Tunnelmodus) und 8 FortiSwitches, ausreichend für ein kleines Büro auf einer Etage. Eine Fußnote in der Abonnementtabelle hält fest, dass Content Disarm and Reconstruct, Video Filtering und Inline CASB ab FortiOS 7.4.4 auf der 40F-Serie nicht verfügbar sind. Hängt eine Compliance-Anforderung an einem dieser drei Dienste, sollte von Anfang an die 70G statt der 40F betrachtet werden. Die vollständige Spezifikation finden Sie auf unserer Produktseite zur FortiGate 40F.

Ist die FortiGate 60F 2026 noch die richtige Wahl?

Die FortiGate 60F mit zehn GE-RJ45-Ports (2 WAN + 1 DMZ + 5 intern + 2 FortiLink), 10 Gbit/s IPv4-Firewall, 700 Mbit/s Threat Protection und 630 Mbit/s SSL Inspection ist seit Langem das Standardmodell für Kleinbüros und Filialen mit 10–30 Nutzern. Fortinet hat kein Bestellende-Datum veröffentlicht; bei neuen Mehrjahresanschaffungen sollte sie wegen der SSL-VPN-Einschränkung und der Session-Kapazität jedoch zusammen mit der 70G bewertet werden.

Die eigentliche Stärke der 60F liegt in Portdichte und Access-Kapazität. Zwei getrennte Ethernet-WAN-Ports, die vielen Alternativen derselben Klasse fehlen, erlauben SD-WAN über zwei Leitungen ohne Zusatzlizenz; die Verwaltung von 64 FortiAPs (32 Tunnel) und 24 FortiSwitches bündelt die kabelgebundene und drahtlose Infrastruktur eines mehrstöckigen Kleinbüros unter einer Richtlinien-Engine. Die Variante FG-61F ergänzt eine interne 128-GB-SSD für begrenzte lokale Protokollierung; Organisationen mit langfristiger Aufbewahrungspflicht sollten dennoch mit FortiAnalyzer planen.

Die Grenzen sind ebenso klar. Bei 64 Byte UDP sinkt der Firewall-Durchsatz auf 6 Gbit/s, gleichzeitige Sessions bleiben bei 700.000 und neue Sessions pro Sekunde bei 35.000; in Umgebungen mit vielen kurzlebigen Verbindungen wie POS-Terminals, IoT-Sensoren und vollen Gastnetzen liegen diese Werte hinter den 1,4 Millionen / 100.000 der 70G. Die Datenblatt-Fußnote hält zudem fest, dass SSL-VPN ab FortiOS 7.6.0 nicht unterstützt wird. Ein bestehender 60F-Bestand muss nicht dringend ersetzt werden; bei einer Neuanschaffung empfehlen wir die Kriterien aus unserem Firewall-Auswahlleitfaden für KMU. Detaillierte Werte stehen auf der Produktseite zur FortiGate 60F.

Ersetzt die FortiGate 70G die 60F wirklich?

Die FortiGate 70G liefert auf dem SP5-ASIC 10 Gbit/s Firewall-Durchsatz sowohl bei 1518 als auch bei 64 Byte, 1,3 Gbit/s Threat Protection, 1,4 Gbit/s SSL Inspection, 1,4 Millionen gleichzeitige Sessions und 100.000 neue Sessions pro Sekunde. Fortinets aktueller Bestellleitfaden führt die 70G unter den neuesten verfügbaren Modellen jeder Serie; deshalb positionieren wir sie als Nachfolgepfad der 60F in Filialen mit 20–50 Nutzern.

Die Behauptung „die 70G ist doppelt so schnell wie die 60F“ deckt sich nicht mit den Datenblättern; die Firewall-Kapazität bei großen Paketen beträgt bei beiden 10 Gbit/s. Der reale Gewinn liegt an drei Stellen: Kleinpaket-Leistung (10 gegenüber 6 Gbit/s), Session-Tabelle (1,4 Millionen gegenüber 700.000) und inspizierter Verkehr (1,4 Gbit/s gegenüber 630 Mbit/s SSL Inspection, rund das 2,2-Fache). Die Richtliniengrenze steigt von 2.000 auf 5.000, was in Filialen mit feiner Segmentierung Spielraum schafft. Die durchschnittliche Aufnahme liegt bei 12,3 W, der Kapazitätszuwachs schlägt sich also nicht auf der Stromrechnung nieder.

Der operative Vorteil der 70G-Familie ist die Variantenvielfalt: Die FG-70G-POE versorgt IP-Telefone, Kameras oder einen FortiAP ohne separaten Switch über vier GE-RJ45-PoE/+-Ports mit 60 W Budget; die FortiWiFi 70G trägt einen integrierten Dualband-Wi-Fi-6-Access-Point; die FG-71G ergänzt eine 64-GB-SSD. Alle werden über eine einzige Konfigurationsvorlage verwaltet, sodass die Hardware je Filialtyp variiert, während das zentrale Richtlinienset gleich bleibt. Bei der Hardware-Sicherheit führt die 70G ein TPM und einen physischen Schalter für signierte Firmware ein, die 40F und 60F fehlen, eine greifbare Schutzschicht an Standorten ohne vollständig kontrollierten physischen Zugang. Ein wichtiger Hinweis: Das Datenblatt listet den SSL-VPN-Durchsatz der 70G als „N/A“, und FortiOS 7.6.3 ersetzte den SSL-VPN-Tunnelmodus auf allen Modellen durch IPsec; da die 70G in Fortinets Liste der Modelle ohne Agentless VPN nicht genannt wird, prüfen Sie den Status dieser Funktion in den aktuellen Versionshinweisen. Der Fernzugriff sollte von Beginn an auf IPsec (7,1 Gbit/s) oder ZTNA ausgelegt werden. Quelle: FortiGate FortiWiFi 70G Series Data Sheet. Zur Variantenwahl siehe unsere Produktseite zur FortiGate 70G.

Wann braucht man die FortiGate 90G?

Die FortiGate 90G ist für stark ausgelastete Filialen mit 100–150 Nutzern und kleine Zentralen gebaut, die im Desktop-Formfaktor nahezu 1U-Leistung wollen: 28 Gbit/s IPv4-Firewall, 4,5 Gbit/s IPS, 2,2 Gbit/s Threat Protection, 2,6 Gbit/s SSL Inspection, 25 Gbit/s IPsec-VPN und 3 Millionen gleichzeitige Sessions. Die zwei Shared-Media-Paare lassen sich als 10GE SFP+ nutzen; PoE und integriertes WLAN gibt es nicht.

Die Zahl, die die 90G von den drei anderen abhebt, ist der IPsec-VPN-Durchsatz von 25 Gbit/s gegenüber 7,1 Gbit/s bei der 70G und 6,5 Gbit/s bei der 60F. In der Praxis wächst die Verschlüsselungslast schnell, wenn SD-WAN pro WAN-Leitung einen eigenen Overlay-Tunnel aufbaut oder ein Regionalknoten die Tunnel nachgelagerter Filialen bündelt; die 90G trägt diese Last, ohne sie auf die CPU zu verlagern, und terminiert 200 Gateway-zu-Gateway- sowie 2.500 Client-zu-Gateway-Tunnel. Die SSL-Inspection-Kapazität von 2,6 Gbit/s erlaubt es, den gesamten HTTPS-Verkehr einer Leitung der 1-Gbit/s-Klasse zu prüfen, was in Finanzfilialen unter PCI-DSS entscheidend ist.

Das Port-Design unterscheidet sich von den drei anderen Modellen: zwei Shared-Media-Paare (10/5/2,5/GE RJ45 oder 10GE/GE SFP+) plus acht interne GE-RJ45-Ports. RJ45 und SFP+ können auf demselben Paar nicht gleichzeitig genutzt werden, was in der Planung zu berücksichtigen ist. Für Softwarebüros oder Produktionsstandorte am 10GE-Backbone ist dies die einzige Option der Desktop-Klasse. WLAN wird über separate FortiAPs (bis zu 128, 64 im Tunnelmodus) abgedeckt, PoE über einen dazwischengeschalteten FortiSwitch-PoE. Das Gerät erzeugt 21,73 dBA und ist damit nicht lautlos wie die F-Serie. Einen detaillierten Vergleich mit 80F und 120G finden Sie in unserem Beitrag zur FortiGate 90G, die vollständige Spezifikation auf der Produktseite zur FortiGate 90G.

Welche fünf Kriterien entscheiden über das Modell?

In unserer Projekterfahrung entscheiden fünf Kriterien zwischen den vier Modellen: die Menge des zu inspizierenden verschlüsselten Verkehrs (Zeile SSL Inspection), das Session-Profil (Dichte kurzlebiger Verbindungen wie POS und IoT), der Port- und Uplink-Bedarf (ob 10GE nötig ist), die Größe der Access-Schicht (wie viele FortiAPs und FortiSwitches verwaltet werden) und die PoE-/WLAN-Anforderungen. Die Nutzerzahl ist nur der Ausgangspunkt.

Die folgende Entscheidungsmatrix ordnet typische Bürotypen diesen Kriterien zu. Die Werte stammen aus Fortinet-Datenblättern; die Bürotypen sind die Szenarien, die uns in Projekten am häufigsten begegnen.

Beziehen Sie die Access-Schicht in dieselbe Entscheidung ein: Alle vier Modelle verwalten FortiSwitches über FortiLink, doch zwischen der Grenze von 8 Switches bei der 40F und 24 Switches bei 60F/70G/90G liegt ein Unterschied im Wachstumsspielraum. Was FortiLink leistet und welches Switch-Modell zu welcher FortiGate passt, erklären wir in unserem Auswahlleitfaden zu FortiSwitch und FortiLink. Werden die kabelgebundenen Ports knapp, ist ein FortiSwitch am FortiLink-Port meist die bessere Ausgabe als ein größeres Firewall-Modell.

Wie beeinflussen SSL-VPN und FortiOS-Versionsgrenzen die Entscheidung?

Auf aktuellen FortiOS-7.6-Versionen hat keines der vier Modelle noch den SSL-VPN-Tunnelmodus: Laut Fortinet-Versionshinweisen wurden Web- und Tunnelmodus auf 40F und 60F mit 7.6.0 entfernt, die 90G bietet sie ab 7.6.1 nicht an, und 7.6.3 ersetzte den Tunnelmodus auf allen Modellen durch IPsec. Agentless VPN, der Nachfolger des Webmodus, fehlt auf 40F, 60F und 90G; für die 70G prüfen Sie die aktuellen Versionshinweise.

Diese Einschränkung ist das teuerste Detail, das bei der Modellwahl übersehen wird. Bleiben die FortiClient-Profile auf SSL-VPN, während eine 60F gegen eine 70G getauscht wird, können sich Remote-Mitarbeitende am Installationstag nicht verbinden. Die richtige Reihenfolge: zuerst die Client-Profile auf IPsec oder das ZTNA-Application-Gateway umstellen, dann die Hardware tauschen. Versionsdetails und was in welcher FortiOS-Version entfernt wurde, behandeln wir in unserem Migrationsplan zu FortiOS 7.6 und SSL-VPN; verbindliche Angaben liefern die Fortinet-Release-Notes. Laut den Release Notes zu FortiOS 7.6.3 wird der SSL-VPN-Tunnelmodus ab dieser Version auf allen Modellen durch IPsec VPN ersetzt; Tunnelkonfigurationen müssen daher vor dem Upgrade migriert werden.

Die zweite Versionsgrenze betrifft die Abonnementseite. Die Fußnote in den Datenblättern von 40F und 60F hält fest, dass Content Disarm and Reconstruct, Video Filtering und Inline CASB ab FortiOS 7.4.4 auf diesen Serien nicht verfügbar sind; 70G und 90G erscheinen in dieser Fußnote nicht. Gehört einer dieser drei Dienste zu Ihrer Compliance-Anforderung, geht es um Hardware, nicht um Versionen. Nach Fortinets Produktlebenszyklus-Richtlinie erhalten Standard-FortiOS-Versionen 36 Monate Engineering-Support und anschließend 18 Monate „Must Fix“-Support; da versionsspezifische Enddaten revidiert werden können, prüfen wir den aktuellen Kalender vor jedem Kauf gemeinsam. Quelle: FortiGate 60F Series Data Sheet.

Häufig gestellte Fragen

Was ist der Unterschied zwischen FortiGate 60F und 70G?

Der Firewall-Durchsatz bei großen Paketen beträgt bei beiden 10 Gbit/s. Der Unterschied zeigt sich bei kleinen Paketen (10 gegenüber 6 Gbit/s), bei gleichzeitigen Sessions (1,4 Millionen gegenüber 700.000), bei neuen Sessions pro Sekunde (100.000 gegenüber 35.000) und bei der SSL-Inspektion (1,4 Gbit/s gegenüber 630 Mbit/s). Die 70G bietet zudem ein TPM sowie PoE- und Wi-Fi-6-Varianten.

Wie viele Nutzer unterstützt die FortiGate 40F?

Fortinet veröffentlicht keine Nutzerzahlen; die Größe wird aus den Kapazitätswerten abgeleitet. 700.000 gleichzeitige Sessions, 35.000 neue Sessions pro Sekunde und 2.000 Richtlinien entsprechen typischerweise einem Einzelstandort-Büro mit 5–10 Nutzern. Die entscheidende Grenze ist meist die SSL-Inspection-Kapazität von 310 Mbit/s.

Ist die FortiGate 70G doppelt so schnell wie die 60F?

Nein. Diese verbreitete Aussage deckt sich nicht mit den Datenblättern; bei 1518-Byte-Paketen liefern beide Modelle 10 Gbit/s. Der reale Gewinn liegt bei Kleinpaket-Leistung, Session-Kapazität und inspiziertem Verkehr. Das Verhältnis bei der SSL-Inspektion beträgt rund das 2,2-Fache (1,4 Gbit/s / 630 Mbit/s), nicht das Doppelte und schon gar nicht das Fünffache.

Hat die FortiGate 90G integriertes WLAN oder PoE?

Nein. Die Hardwaretabelle des Datenblatts führt für FG-90G und FG-91G weder eine Funkschnittstelle noch einen PoE-Port. WLAN liefern separate FortiAPs (bis zu 128), für PoE wird ein FortiSwitch-PoE dazwischengeschaltet. Werden WLAN und PoE in einem Gerät gewünscht, kommt die FortiWiFi 70G-POE in Betracht.

Welches dieser vier Modelle unterstützt SSL-VPN?

Ab FortiOS 7.6.3 hat keines den SSL-VPN-Tunnelmodus; er wurde auf allen Modellen durch IPsec VPN ersetzt. 40F, 60F und 90G fehlt zudem Agentless VPN, der Nachfolger des Webmodus; für die 70G prüfen Sie die aktuellen Versionshinweise. Neue Installationen sollten den Fernzugriff auf IPsec-Dial-up-Tunneln oder ZTNA aufbauen.

Sollte eine Neuanschaffung 2026 F-Serie oder G-Serie sein?

Bei neuen Mehrjahresanschaffungen stellen wir 70G und 90G voran: SP5-ASIC, TPM, größere Session-Tabelle und keine Einschränkungen in den Versionsfußnoten. 40F und 60F bleiben für Mikro- und Kleinbüros gültige Optionen, da Fortinet kein Bestellende-Datum veröffentlicht hat; ein bestehender Bestand muss nicht dringend ersetzt werden.

Können alle vier Modelle FortiSwitch und FortiAP verwalten?

Ja, alle vier verwalten FortiSwitches über FortiLink und FortiAPs über den integrierten WLAN-Controller. Die Kapazität unterscheidet sich: 40F 8 Switches / 16 APs, 60F 24 Switches / 64 APs, 70G 24 Switches / 96 APs, 90G 24 Switches / 128 APs. Büros mit Wachstumsplänen sollten diese Grenzen in die Modellentscheidung einbeziehen.

Fazit

Die Wahl zwischen FortiGate 40F, 60F, 70G und 90G ist kein Geschwindigkeitsrennen, sondern ein Profilabgleich. Die leise, sparsame 40F passt ins Mikrobüro, die 60F ins Kleinbüro mit Portbedarf, die 70G in die Filiale mit Session- und SSL-Inspektionslast und die 90G an den stark ausgelasteten Standort, der VPNs bündelt oder am 10GE-Backbone hängt. Klären Sie vor der Entscheidung Ihre SSL-VPN-Abhängigkeit, den Anteil des zu inspizierenden verschlüsselten Verkehrs und den Wachstumsplan der Access-Schicht; alle Datenblattwerte finden Sie im Vergleich auf unserer Seite zur FortiGate-Produktfamilie.

Als Projekt-, Beschaffungs- und Implementierungspartner für Fortinet-Lösungen planen wir mit Ihnen die Migration vom bestehenden Gerät, das Lizenzpaket und das Design der Access-Schicht. Um zu klären, welches Modell die richtige Größe für Ihr Büroprofil ist, fordern Sie über unsere Kontaktseite ein kostenloses Erstgespräch an.