FortiGate NGFW

FortiGate NGFW ist die Next-Generation-Firewall-Familie von Fortinet, die auf dem Betriebssystem FortiOS und der FortiASIC-Hardwarebeschleunigung aufbaut. Firewall, IPS, Virenschutz, Anwendungskontrolle, SSL-/TLS-Prüfung, SD-WAN und ZTNA sind in einem einzigen Gerät gebündelt; dasselbe Policy-Modell läuft unverändert auf 20 Modellen von der Desktop-Appliance FortiGate 40F bis zum 12U-Chassis FortiGate 7081F. Das richtige Modell wird weniger nach der Benutzerzahl als nach dem Bedarf an geprüftem Datenverkehr ausgewählt.

Warum diese Schicht so kritisch geworden ist, zeigen unabhängige Daten. Im Data Breach Investigations Report 2025 von Verizon stieg das Ausnutzen von Schwachstellen als initialer Zugriffsvektor auf 20 %, und 22 % dieser Ausnutzungshandlungen zielten direkt auf Edge-Geräte und VPNs — im vorherigen Bericht lag dieser Anteil bei lediglich 3 % (Verizon DBIR, 2025). Derselbe Bericht misst, dass Organisationen im Jahresverlauf nur rund 54 % der Schwachstellen in Edge-Geräten vollständig schließen konnten und dies im Median 32 Tage dauerte (Verizon DBIR, 2025). Die offizielle Produktseite von Fortinet wiederum bezeichnet FortiGate als "die am häufigsten eingesetzte Netzwerk-Firewall mit mehr als 50 % globalem Marktanteil" (Fortinet, 2026). Die Schicht, die Angreifer am häufigsten attackieren, und die im Feld am weitesten verbreitete Gerätefamilie treffen also am selben Ort aufeinander; Sizing- und Patch-Disziplin sind deshalb nicht verhandelbar.

Welche Sicherheitsfunktionen vereint FortiGate NGFW in einem einzigen Gerät?

FortiGate betreibt Stateful Firewall, Intrusion Prevention (IPS), Virenschutz, Anwendungskontrolle, Web- und DNS-Filterung, SSL-/TLS-Prüfung, IPsec VPN, SD-WAN und das ZTNA-Zugriffsgateway in einer einzigen FortiOS-Instanz. Das sind keine getrennten Boxen, sondern Sicherheitsprofile, die an dieselbe Policy-Engine angehängt werden: Wenn Sie einer Firewall-Regel ein IPS- und ein Virenschutzprofil zuweisen, wird der Datenverkehr nicht an ein zweites Gerät weitergeleitet, sondern innerhalb derselben Sitzung geprüft.

Der betriebliche Nutzen ist eindeutig. Statt am Standort einen separaten VPN-Konzentrator, einen separaten Web-Proxy und eine separate SD-WAN-Box vorzuhalten, positionieren Sie ein einziges Gerät. Und da in der Zentrale dasselbe FortiOS läuft, gilt eine am Standort geschriebene Policy mit identischer Syntax auch auf dem großen Modell im Rechenzentrum. Die Portabilität der Konfiguration ist in einer Familie mit 20 Modellen die am häufigsten übersehene Eigenschaft — und zugleich diejenige, die die Gesamtbetriebskosten am stärksten senkt: Ein Geräte-Upgrade ist dann kein Migrationsprojekt mehr, sondern eine Konfigurationsübertragung.

Zu unterscheiden, welche Fähigkeit mit dem Gerät und welche mit einem Abonnement kommt, ist der erste Schritt der Budgetplanung:

• Im Gerät enthalten, ohne zusätzliches Abonnement: Firewall-Policies, NAT, VLAN, dynamisches Routing, IPsec VPN, SD-WAN-Routing und SLA-Messung, HA-Clustering, VDOMs bis zur Modellgrenze, integrierter WLAN-Controller und FortiSwitch-Management über FortiLink.
• Im FortiGuard-Abonnement enthalten: IPS-Signaturen, Virendefinitionen, Kategorien für Web- und DNS-Filterung, Signaturdatenbank der Anwendungskontrolle, IoT-/OT-Geräteerkennung, Botnet- und Reputationslisten für IP-Adressen.
• Mit FortiCare enthalten: Hardwareaustausch, technischer Support und Zugang zu FortiOS-Versionen; Long-Term-Supported-Versionen werden ausschließlich mit einem FortiCare-Elite-Vertrag freigeschaltet.

Auf der FortiLink-Seite kann eine FortiGate je nach Modell 8 bis 300 FortiSwitches wie eine eigene logische Erweiterung verwalten und liefert Basis-NAC-Funktionen wie Profiling angeschlossener Geräte, IoT-Segmentierung und Quarantäne im Verletzungsfall ohne Aufpreis (Fortinet FortiSwitch Datenblatt, 2026). Auf der ZTNA-Seite besteht die Architektur aus drei Teilen: dem FortiClient-ZTNA-Agenten auf dem Endpunkt, FortiClient EMS, das Identitäts- und Posture-Informationen vorhält, und dem FortiGate-ZTNA-Application-Gateway, das die Zugriffsentscheidung durchsetzt. Fortinet hat dieses Modell mit FortiOS 7.0 eingeführt (Fortinet Docs, 2026) und positioniert es seither als primäre Fernzugriffsmethode, die SSL-VPN ablösen soll; entsprechend steht in den Datenblättern der FortiGate 40F und 60F ausdrücklich, dass SSL-VPN ab FortiOS 7.6.0 nicht mehr unterstützt wird (FortiGate 60F Datenblatt, 2026).

Welches FortiGate-Modell sollte ich wählen?

Die ausschlaggebende Zahl bei der Auswahl ist nicht der reine Firewall-Durchsatz, sondern der Threat Protection Throughput. Fortinet misst diese Kennzahl mit Enterprise-Mix-Verkehr, während Firewall, IPS, Anwendungskontrolle und Malware-Schutz gleichzeitig aktiv sind und Logging läuft; das Ergebnis liegt bei den 18 Modellen der folgenden Tabelle nur zwischen 5 % und 19 % des reinen Firewall-Werts. Beispielsweise beträgt der IPv4-Firewall-Wert der FortiGate 600F 139 Gbps, ihr Threat-Protection-Wert dagegen 10,5 Gbps (FortiGate 600F Datenblatt, 2026). Ein Gerät nach 139 Gbps auszuwählen und dann mit der Realität von 10,5 Gbps konfrontiert zu werden, ist der Sizing-Fehler, den wir im Feld am häufigsten sehen.

Die Nutzungsszenarien in der folgenden Tabelle sind kein Wert aus dem Fortinet-Datenblatt — Fortinet veröffentlicht keine Benutzerzahlen pro Modell. Die Szenariospalte ist ein Ausgangspunkt aus unserer Installationserfahrung; die Throughput-Spalte dagegen ist die Threat-Protection-Zeile aus dem offiziellen Datenblatt des jeweiligen Modells. Wenn nicht Threat Protection, sondern die SSL-Prüfung die entscheidende Einschränkung ist, ändert sich die Reihenfolge: Die FortiGate 900G liefert 16,7 Gbps, die FortiGate 2600F 20 Gbps und die FortiGate 3700F 55 Gbps SSL Inspection; in diesem Fall ist statt der Stufe in der Tabelle direkt die Zeile SSL Inspection maßgeblich. Die endgültige Entscheidung muss immer auf dem tatsächlich an Ihrem Internetausgang gemessenen Verkehr und einem Wachstumspuffer für drei Jahre beruhen.

Einstiegsklasse (KMU und Standorte). Die FortiGate 40F ist eine lüfterlose Desktop-Appliance mit einer durchschnittlichen Leistungsaufnahme von 7,74 W und 0 dBA Geräuschentwicklung; sie ist für Orte wie den Bereich hinter der Kasse oder ein kleines Lager konzipiert, an denen mechanische Kühlung problematisch ist (FortiGate 40F Datenblatt, 2026). Die FortiGate 60F ist mit zehn GE-RJ45-Ports und 700.000 gleichzeitigen Sitzungen das klassische Standortgerät. Die FortiGate 70G wiederum wirkt zwar wie dieselbe Klasse, bietet aber 10 Gbps bei 64-Byte-Paketen (60F: 6 Gbps), 100.000 neue Sitzungen pro Sekunde (60F: 35.000) und 1,4 Gbps SSL-Prüfung (60F: 630 Mbps) (FortiGate 70G Datenblatt, 2026); in neuen Standortprojekten sind es genau diese drei Zeilen, die den Unterschied machen. Die FortiGate 90G sticht mit 25 Gbps IPsec VPN im Desktop-Formfaktor hervor (FortiGate 90G Datenblatt, 2026), während die FortiGate 120G mit 2,8 Gbps Threat Protection und 35 Gbps IPsec VPN im 1U-Gehäuse an der Schwelle zur Zentrale steht (FortiGate 120G Datenblatt, 2026).

Mittelklasse (Campus und Regionalzentrale). Die FortiGate 400F liefert 79,5 Gbps IPv4 Firewall, 9 Gbps Threat Protection und 8 Gbps SSL-Prüfung; ihre schnellsten Schnittstellen sind acht 10GE-SFP+-Ports, von denen vier ultraniedrige Latenz bieten (FortiGate 400F Datenblatt, 2026). Eine 25GE-SFP28-Schnittstelle begegnet uns in dieser Familie erstmals bei der FortiGate 600F (4x 25GE SFP28 / 10GE SFP+ Slot mit ultraniedriger Latenz) (FortiGate 600F Datenblatt, 2026). Die FortiGate 900G ist der Leistungssprung dieser Gruppe: 164 Gbps Firewall, 30 Gbps Threat Protection, 16,7 Gbps SSL-Prüfung und 28 Millionen gleichzeitige Sitzungen (FortiGate 900G Datenblatt, 2026). Die FortiGate 1000F hat demgegenüber zwar den höheren Firewall-Wert (198 Gbps), bleibt bei Threat Protection aber bei 13 Gbps (FortiGate 1000F Datenblatt, 2026) — die beiden Modelle sind also nicht nach "groß/klein", sondern nach Portbedarf und Prüfintensität zu unterscheiden.

Oberklasse (Rechenzentrum und Hyperscale). Die FortiGate 1800F und die 2600F teilen sich denselben Firewall-Wert von 198 Gbps; der tatsächliche Unterschied liegt bei Threat Protection (15 Gbps gegenüber 25 Gbps), SSL-Prüfung (12 Gbps gegenüber 20 Gbps) und Sitzungskapazität (12 Millionen gegenüber 24 Millionen) (FortiGate 2600F Datenblatt, 2026). Die FortiGate 3700F bietet vier 400GE-QSFP-DD-Ports und an den Ports mit ultraniedriger Latenz eine Firewall-Latenz von 1,45 µs (FortiGate 3700F Datenblatt, 2026). Die FortiGate 4400F erreicht bei 1518-Byte-Paketen 1,15 Tbps Firewall-Durchsatz und 210 Millionen gleichzeitige Sitzungen; mit der Hyperscale-Firewall-Lizenz steigt die Sitzungskapazität auf 700 Millionen und die Rate neuer Sitzungen auf 10 Millionen pro Sekunde (FortiGate 4400F Datenblatt, 2026). Die 7081F an der Spitze der Familie ist ein 12U hohes Chassis mit acht Slots und erzeugt mit sechs FPM-Modulen 1,89 Tbps Firewall und 312 Gbps Threat Protection (FortiGate 7000F Datenblatt, 2026).

Ein Hinweis: Die FortiGate 100F und 200F sind im Feld nach wie vor sehr verbreitet, doch Fortinet veröffentlicht für diese beiden Modelle kein englischsprachiges Datenblatt mehr; ihre Nachfolger sind die 120G und die 200G. Für neue Projekte empfehlen wir den Wechsel auf die G-Serie, für eine bestehende 100F-/200F-Flotte die Planung des Erneuerungskalenders gemeinsam mit den FortiOS-Support-Terminen.

Wie lauten die offiziellen Leistungswerte der FortiGate-Modelle?

Die folgende Tabelle stammt für jedes Modell aus dessen eigenem offiziellen Fortinet-Datenblatt. Die Firewall-Spalte ist der mit 1518-Byte-UDP-Paketen gemessene IPv4-Wert; Fortinet veröffentlicht in derselben Zeile auch die Werte für 512 und 64 Byte, und je kleiner das Paket, desto niedriger die Zahl. IPsec-VPN-Werte werden mit AES256-SHA256-Verschlüsselung und 512-Byte-Paketen gemessen (Fortinet Product Matrix, 2026). Fortinet stellt allen diesen Werten ein "up to" voran: Es sind Laborobergrenzen, keine Produktionsgarantie. Für 16 Modelle der Tabelle wurde das aktuelle englischsprachige Datenblatt verwendet; die Zeilen FortiGate 100F und 200F stammen dagegen aus dem letzten offiziellen Datenblatt, das Fortinet für diese Modelle veröffentlicht hat (koreanische Lokalisierung von 2023, FG-100F-DAT-R30 und FG-200F-DAT-R17) — für diese beiden Modelle veröffentlicht Fortinet kein aktuelles englischsprachiges Datenblatt mehr.

Warum unterscheiden sich diese Kennzahlen so stark voneinander?

Weil jede von ihnen eine andere Anzahl von Sicherheits-Engines aktiviert. Der IPv4 Firewall Throughput misst ausschließlich die zustandsbehaftete Paketweiterleitung. Der IPS Throughput wird bei aktiver Intrusion-Prevention-Engine gemessen. Der NGFW Throughput ist der Wert, bei dem Firewall, IPS und Anwendungskontrolle zusammenarbeiten. Der Threat Protection Throughput fügt dem noch den Malware-Schutz hinzu und wird bei aktivem Logging gemessen. Der SSL Inspection Throughput wiederum ist der Durchschnitt von HTTPS-Sitzungen über verschiedene Cipher Suites hinweg. Der häufigste Fehler auf Websites und in Angeboten besteht darin, den IPS- oder NGFW-Wert als "Bedrohungsschutz" auszugeben; bei manchen Modellen liegt der Unterschied bei mehr als dem Doppelten. In der Tabelle auf dieser Seite werden die Metriknamen exakt so verwendet wie im Datenblatt.

Wie verändern die Prozessoren NP7 und CP9 die Leistung?

Der Punkt, an dem sich FortiGate von Wettbewerbern abhebt, ist die Auslagerung eines Teils der Sicherheitsoperationen von der Allzweck-CPU auf spezialisierte ASICs. Der Netzwerkprozessor NP7 entlastet die CPU von Sitzungen und liefert so eine "Fastpath"-Beschleunigung; jeder NP7 unterstützt über zwei 100-Gigabit-Schnittstellen eine Datenrate von maximal 200 Gbps, und ein einzelner NP7-Prozessor kann bis zu 12 Millionen gleichzeitige Sitzungen tragen (Fortinet Docs — NP7 acceleration, 2026). Auf Geräten mit Hyperscale-Lizenz übernimmt der NP7 zusätzlich den Sitzungsaufbau, Carrier Grade NAT, hardwarebasiertes Logging, die HA-Hardware-Sitzungssynchronisation und den DoS-Schutz (Fortinet Docs, 2026); darin liegt die Antwort darauf, warum die Sitzungstabelle in Carrier- und Großprovider-Szenarien derart groß werden kann.

Der Content-Prozessor CP9 wiederum liefert bei flussbasierter Prüfung — also bei IPS und Anwendungskontrolle — eine Pattern-Matching-Beschleunigung von über 10 Gbps (Fortinet Docs — CP9 capabilities, 2026). Die VPN-Bulk-Data-Engine des CP9 verarbeitet DES/3DES und AES-128/192/256 sowie die Algorithmen MD5/SHA-1/SHA-256/384/512 in Hardware; der Key-Exchange-Prozessor führt Public-Key-Operationen bei RSA mit CRT bis 8K und allgemein bis 4096 Bit sowie die ECC-Unterstützung (P-256) für NSA Suite B aus (Fortinet Docs, 2026). Aktuelle FortiGate-Geräte nutzen die Content-Prozessoren CP10, CP9, CP9Lite und CP9XLite; CP4, CP5, CP6 und CP8 gehören der älteren Generation an (Fortinet Docs — Content processors, 2026). Beim Prüfen eines Geräts aus dem Gebrauchtmarkt sollte man als Erstes darauf achten, welcher Content-Prozessor-Generation das Modell angehört.

Wie bewerten unabhängige Tests und Analysten FortiGate NGFW?

Kurze Antwort: stark in Analystenberichten, in unabhängigen Labortests dagegen abhängig von der Signaturaktualität. Fortinet wurde im Gartner Magic Quadrant for Hybrid Mesh Firewall 2025 als Leader positioniert und auf der Achse "Ability to Execute" am höchsten eingeordnet (Fortinet, 2025); dieser MQ war die erste Ausgabe, die Gartners klassischen Network Firewalls MQ ablöste, und erhöhte die Gesamtzahl der Gartner-MQ-Berichte, in denen Fortinet vertreten ist, auf 12 (Fortinet, 2025). Bei Forrester wurde Fortinet im Bericht The Forrester Wave™: Enterprise Firewall Solutions, Q4 2024 als Leader eingestuft und erhielt in 10 Kriterien — darunter Automatisierungseffektivität, DNS-Sicherheit, Performance, SD-WAN, Entschlüsselung des Datenverkehrs sowie ZTE/SASE — mit 5/5 die höchstmögliche Punktzahl (Fortinet, 2024).

Das Bild auf der Seite der unabhängigen Tests ist lehrreicher. Im Enterprise-Firewall-Test des vierten Quartals 2025, den CyberRatings.org gemeinsam mit NSS Labs durchgeführt hat, wurden sieben Unternehmens-Firewalls nach der Enterprise Firewall Test Methodology v3.0 geprüft, und die Sicherheitswirksamkeit schwankte zwischen 46,37 % und 99,59 % (CyberRatings.org, 2025). Die Geräte durchliefen unter verschlüsselten Workloads 3.326 Exploits, 11.311 Schadsoftware-Samples, 5.752 über 53 Kategorien verteilte Evasion-Techniken, 6.481 Falsch-Positiv-Samples und 55 Performance-Tests (CyberRatings.org, 2025). CyberRatings berichtete zudem, dass mehr als 95 % des weltweiten Web-Verkehrs verschlüsselt sind und einige Produkte beim Prüfen verschlüsselten Verkehrs deutliche Leistungsverluste erleiden (CyberRatings.org, 2025) — es gibt kaum bessere Daten dafür, warum die Zeile SSL Inspection im Zentrum der Modellauswahl steht.

Fortinet erzielte in diesem Test ein zweistufiges Ergebnis, und es gehört zu einer ehrlichen Bewertung, dieses Ergebnis vollständig wiederzugeben. In der ersten Runde zeigte die FortiGate-200G (FortiOS 7.6.4, IPS v7.01154) eine Schwäche gegenüber Layer-4-TCP-Evasion-Techniken; gemessen wurden eine Sicherheitswirksamkeit von 79,24 % und eine Exploit-Evasion-Resistenz von 60 %, das Produkt erhielt die Note "Caution" (CyberRatings.org, 2025). Fortinet veröffentlichte innerhalb weniger Tage ein aktuelles IPS-Paket; im Nachtest stieg die Exploit-Evasion-Resistenz auf 100 %, die Gesamtwirksamkeit auf 99,24 % und die Note auf "Recommended" (CyberRatings.org, 2025). In derselben Runde erreichte die Palo Alto Networks PA-1410 zunächst 46,37 % und stieg im Nachtest auf 96,07 % (CyberRatings.org, 2025). Die Lehre daraus betrifft weniger die Produktauswahl als die Betriebsdisziplin: Eine NGFW ohne aktuelles Signaturpaket liefert mit derselben Hardware einen um zwanzig Punkte schlechteren Schutz.

Der Fairness halber: Fortinet ist nicht in jeder Kategorie Leader. Zu den aktuellen Positionen, die das Unternehmen auf seiner eigenen Gartner-MQ-Seite auflistet, gehört die Position Challenger in den Magic Quadrants für SASE Platforms 2026, SIEM 2025, E-Mail-Sicherheit 2025 und CPS-Schutzplattformen 2026 (Fortinet, 2026). Das bedeutet: Wenn Sie sich auf der Firewall-Schicht für Fortinet entscheiden, müssen Sie auf den anderen Schichten nicht automatisch zum selben Ergebnis kommen; es ist sinnvoller, die Produktfamilie Schicht für Schicht zu bewerten, statt sie als Ganzes zu kaufen. Auf der Seite der Unternehmensgröße meldet Fortinet mehr als 1 Million Kunden; die Zahl der bis zum 30. Juni 2026 ausgelieferten Geräte erreicht 17,2 Millionen, die Zahl der weltweiten Patente 1.448 (Fortinet, 2026).

Wie sollten FortiOS-Version, Lizenz und Support-Kalender geplant werden?

Die Regel lautet: Jede FortiGate im Produktivbetrieb sollte auf einer FortiOS-Version laufen, für die noch Engineering-Support besteht. Fortinet gewährt für eine reguläre Haupt-/Zwischenversion ab dem Datum der allgemeinen Verfügbarkeit 36 Monate Engineering-Support und anschließend 18 Monate "Must Fix"-Support; bei Long-Term-Supported-Versionen verlängert sich dieser Zeitraum einschließlich einer 18-monatigen Urgent-Fix-Phase auf insgesamt 72 Monate, und der Zugang zu LTS ist ausschließlich mit einem FortiCare-Elite-Vertrag möglich (Fortinet Community — Product Life Cycle, 2026).

Der aktuelle Kalender wurde mit dem im März 2026 veröffentlichten Bulletin CSB-260330-1 um ein Jahr verschoben. Das Ende des Engineering-Supports für FortiOS 7.4 wurde auf den 11. Mai 2027 und das Ende des vollständigen Supports auf den 11. November 2028 gelegt; bei FortiOS 7.6 endet der Engineering-Support am 25. Juli 2028 und der Support am 25. Januar 2030 (Fortinet Community — CSB-260330-1, 2026). Praktisch gelesen: Für eine Flotte, die heute auf 7.4 läuft, besteht kein Notfall, doch der Wechsel auf 7.6 sollte im Laufe des Jahres 2027 geplant werden. Fortinet hat außerdem FortiOS 8.0 am 10. März 2026 angekündigt; die Version bringt FortiView zur Erkennung von Schatten-KI, KI-bewusste Anwendungskontrolle, Sichtbarkeit für das Model Context Protocol, OCR-gestützte DLP und mit Post-Quantum-Kryptografie-Zertifikaten quantensichere Kryptografie-Kontrollen (Fortinet, 2026). Für Teams, die den Einsatz künstlicher Intelligenz im Unternehmen kontrollieren wollen, ist 8.0 kein übersprungener Release, sondern ein einzuplanender Punkt auf der Roadmap.

Warum Patch-Disziplin so wichtig ist, zeigt der Global Threat Landscape Report 2026 der FortiGuard Labs: Die Zeit bis zur Ausnutzung sank bei kritischen Meldungen auf 24–48 Stunden, und die weltweiten Ausnutzungsversuche stiegen im Jahresvergleich um 25,49 % (Fortinet, 2026). Derselbe Bericht hält fest, dass die Zahl der bestätigten Ransomware-Opfer 2025 auf 7.831 stieg, was gegenüber dem vorherigen Bericht einer Zunahme von 389 % entspricht (Fortinet, 2026). Die FortiGuard Labs erzeugen diese Threat Intelligence, indem sie täglich mehr als 100 Milliarden Ereignisse mit KI- und Machine-Learning-Systemen verarbeiten (Fortinet, 2026). Wie leistungsfähig ein Gerät auch sein mag: Eine FortiGate mit abgelaufenem Abonnement bleibt von diesem Informationsstrom ausgeschlossen.

Wie werden KVKK, PCI DSS und die Compliance-Anforderungen in der Türkei mit FortiGate erfüllt?

Der offizielle Leitfaden zur Sicherheit personenbezogener Daten (technische und organisatorische Maßnahmen) der KVKK (türkisches Datenschutzgesetz) schreibt ausdrücklich, dass beim Schutz von IT-Systemen mit personenbezogenen Daten gegen unbefugte Zugriffe aus dem Internet "Firewall und Gateway die vorrangigen Maßnahmen" sind und die erste Verteidigungslinie bilden (KVKK Leitfaden zur Sicherheit personenbezogener Daten, 2018). Die Übersichtstabelle der technischen Maßnahmen desselben Leitfadens führt Netzwerksicherheit, Intrusion-Detection- und -Prevention-Systeme, Log-Aufzeichnungen und Penetrationstests als eigene Punkte auf (KVKK, 2018). FortiGate erfüllt davon den Teil Netzwerksicherheit und Intrusion Prevention unmittelbar; für Log-Aufzeichnungen und Reporting muss es gemeinsam mit FortiAnalyzer positioniert werden.

In PCI DSS v4.0 hat sich die Terminologie geändert: An die Stelle des Begriffs "Firewall" traten die Network Security Controls (NSC), und Requirement 1 heißt nun "Install and Maintain Network Security Controls". Der Standard schreibt vor, dass NSC-Konfigurationen mindestens alle sechs Monate überprüft werden, um ihre Wirksamkeit zu bestätigen (1.2.7), dass der in die Karteninhaberdatenumgebung ein- und ausgehende Verkehr auf das Notwendige beschränkt und der gesamte übrige Verkehr ausdrücklich abgewiesen wird (1.3.1 und 1.3.2), dass zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzen NSC platziert werden (1.4.1) und dass bei Einsatz von Segmentierung mindestens alle zwölf Monate sowie nach jeder Segmentierungsänderung ein Penetrationstest durchgeführt wird (11.4.5) (PCI DSS v4.0, PCI SSC). Auf FortiGate-Seite entspricht dem die logische Trennung über VDOMs, policy-basierte explizite Deny-Regeln und der halbjährliche Policy-Review-Nachweis über FortiManager.

In Organisationen, die der Aufsicht der BDDK (türkische Banken- und Finanzaufsicht) unterliegen, stehen Netzwerksegmentierung, Protokollierung privilegierter Zugriffe, Change-Management und Log-Aufbewahrung im Vordergrund. Keiner dieser Punkte lässt sich allein mit einem Firewall-Produkt schließen; die Schicht aus Segmentierung und Verkehrsprotokollierung lässt sich jedoch mit dem Duo FortiGate + FortiAnalyzer aufbauen. Die FortiAnalyzer-Hardwarefamilie nimmt täglich 100 GB bis 8.300 GB Logs auf, verwaltet 180 bis 10.000 Geräte/VDOMs, und es lässt sich ein HA-Cluster mit bis zu vier Knoten aufbauen (FortiAnalyzer Datenblatt, 2026); fertige Compliance-Berichte wie PCI-DSS und HIPAA kommen ebenfalls aus demselben Produkt (Fortinet, 2026). Auch das Bedrohungsbild auf europäischer Ebene stützt diese Investition: Der Threat-Landscape-2025-Bericht der ENISA für den Zeitraum 1. Juli 2024 bis 30. Juni 2025 untersuchte 4.875 Vorfälle und stellte fest, dass das Ausnutzen von Schwachstellen 21,3 % und Phishing 60 % des initialen Zugriffs ausmachte (ENISA Threat Landscape, 2025).

Wie wählt man zwischen physischer FortiGate, FortiGate-VM und FortiGate CNF?

Die Entscheidung fällt danach, wo der Datenverkehr terminiert. An physischen Netzwerkrändern wie dem Internetausgang, dem Standort-WAN und der OT/IT-Grenze ist die Hardware-FortiGate passend; im virtualisierten Rechenzentrum und in VPC-/VNet-Architekturen innerhalb eines einzigen Cloud-Kontos die FortiGate-VM; in Cloud-Umgebungen mit mehreren Konten und mehreren Regionen die FortiGate CNF für Teams, die den Verwaltungsaufwand vollständig abgeben wollen. In allen drei Optionen gelten dasselbe FortiGate-NGFW-Policy-Modell und derselbe FortiGuard-Informationsstrom; was sich ändert, ist allein die Art der Bereitstellung und des Betriebs.

Die aktuellen Lizenzstufen der FortiGate-VM bilden die S-Serie: Es gibt sieben Stufen von VM-01S über VM-32S bis zur VM-ULS mit Unterstützung für unbegrenzte vCPUs (FortiGate Virtual Appliances Datenblatt, 2025). Pro Instanz lassen sich höchstens 24 Netzwerkschnittstellen definieren (ab FortiOS 6.4.0; in früheren Versionen 18) (Fortinet, 2025), und das Produkt wird auf den Marktplätzen von AWS (einschließlich GovCloud und AWS China), Azure, Google Cloud, Oracle OCI, Alibaba Cloud und IBM Cloud angeboten (Fortinet, 2025). Zu beachten ist: Fortinet veröffentlicht für die FortiGate-VM keine Durchsatz- und Sitzungszahlen, da die Leistung unmittelbar von der darunterliegenden Host-Hardware und der Anzahl der vCPUs abhängt. Wenn Sie in einem Angebot die Formulierung "FortiGate-VM schafft X Gbps" sehen, fragen Sie nach der Quelle.

FortiGate CNF ist nach Fortinets eigener Definition ein Software-as-a-Service-Dienst für Cloud-Netzwerksicherheit und beseitigt die Notwendigkeit, die Firewall-Softwareinfrastruktur zu konfigurieren, bereitzustellen und zu warten. Der Dienst ist sowohl auf AWS als auch auf Azure produktiv unterstützt; eine einzige CNF-Instanz kann mehrere VPCs/VNets, Availability Zones und Konten in einer Region mit einer einzigen gemeinsamen Policy schützen (FortiGate CNF Administration Guide, 2025). Fortinet stellte den Dienst erstmals am 28. November 2022 auf dem AWS Marketplace allgemein zur Verfügung (Fortinet, 2022); die Azure-Unterstützung kam später hinzu. Auch für CNF wird kein fester Durchsatzwert veröffentlicht, da der Dienst automatisch skaliert.

Sora Yazılım erbringt als autorisierter Fortinet-Channel-Partner in FortiGate-NGFW-Projekten Sizing, Lizenzierung, Installation, Migration von der bestehenden Firewall und Managed Services. Wir messen den tatsächlichen Verkehr an Ihrem Internetausgang, leiten daraus Ihren Threat-Protection-Bedarf ab, empfehlen ein Modell mit einem Wachstumspuffer für drei Jahre und erstellen einen Erneuerungsplan gemäß dem FortiOS-Support-Kalender. Für die gesamte Fortinet-Produktfamilie werfen Sie einen Blick auf unsere Seite zu Fortinet-Lösungen, für unseren Implementierungsansatz in Cloud und Automatisierung auf unseren DevOps- und Infrastrukturservice. Für die Modellauswahl, die Erneuerung Ihres bestehenden Geräts oder ein SD-WAN-Design mit vielen Standorten fordern Sie über unsere Kontaktseite ein Angebot an — Messung und Architekturempfehlung erledigen wir vor dem Angebot.