FortiMail

FortiMail ist das Unternehmens-E-Mail-Security-Gateway von Fortinet. Es prüft den gesamten ein- und ausgehenden SMTP-Verkehr mehrschichtig auf Spam, Phishing, schädliche Anhänge, Ransomware, Identitätsfälschung und Business Email Compromise (BEC). Positionieren lässt es sich als Hardware-Appliance, virtuelle Maschine, Cloud-Dienst oder als API-Integration für Microsoft 365 / Google Workspace.

E-Mail ist nach wie vor das meistgenutzte Einfallstor in das Unternehmensnetzwerk. Im Threat-Landscape-Bericht der ENISA, der 4.875 Vorfälle im Zeitraum 1. Juli 2024 bis 30. Juni 2025 auswertet, lag Phishing mit 60 % der initialen Zugriffsvektoren mit deutlichem Abstand auf Platz eins (ENISA Threat Landscape 2025). Im Untersuchungsbericht zu Datenschutzverletzungen 2025 von Verizon, der den Zeitraum 1. November 2023 bis 31. Oktober 2024 abdeckt, war Ransomware in 44 % der untersuchten Sicherheitsverletzungen vorhanden; bei Organisationen in KMU-Größenordnung stieg dieser Anteil auf 88 % (Verizon DBIR, 2025). Das erste Glied dieser Kette ist fast immer eine zugestellte Nachricht; die Aufgabe von FortiMail besteht darin, genau diese Nachricht zu stoppen, bevor sie den Anwender erreicht.

Welche E-Mail-Bedrohungen stoppt FortiMail?

FortiMail adressiert sechs grundlegende Risikoklassen: unerwünschte Massen-E-Mails (Spam), Phishing und Spear-Phishing, Anhänge mit Schadsoftware, unbekannte (Zero-Day-)Dateien, Identitätsfälschung samt BEC-Angriffen sowie Datenabfluss in ausgehender Richtung. Die Erkennung beruht nicht auf einer einzelnen Engine, sondern auf Schichten, die aufeinander aufbauen; was eine Schicht durchlässt, fängt die nächste ab.

Die erste Schicht ist die Verbindungs- und Absenderprüfung: IP- und Domain-Reputation, Greylisting, Empfängerverifizierung, geolokationsbasierte Richtlinien, SPF-, DKIM- und DMARC-Prüfungen sowie Drittanbieterlisten wie SURBL/RBL greifen an dieser Stelle. Die zweite Schicht ist die Inhaltsanalyse: digitale Signaturen, kontextbezogene Schlüsselwortanalyse, Prüfung eingebetteter URIs, PDF- und Bildanalyse, Newsletter-Erkennung (Greymail) und Verhaltensanalyse laufen hier. Die dritte Schicht ist die Schadsoftware-Erkennung: signaturbasierte, heuristische und verhaltensbasierte Engines werden gemeinsam mit dem FortiGuard Virus Outbreak Protection Service eingesetzt. Die vierte Schicht ist der erweiterte Bedrohungsschutz: Content Disarm and Reconstruction (CDR), Cloud-Sandbox-Analyse, URL-Klickschutz und Impersonation-Analyse arbeiten auf dieser Stufe.

Die Threat Intelligence, die diese Engines speist, stammt von FortiGuard Labs. Fortinet gibt an, dass FortiGuard Labs täglich mehr als 100 Milliarden Ereignisse mit KI- und Machine-Learning-Systemen verarbeitet (Fortinet, 2026); dass für die Antiviren-Engine wöchentlich 1,8 Millionen neue Signaturen erzeugt werden, führt Fortinet ebenfalls in seinen offiziellen Datenblättern auf (Fortinet FortiSASE Datenblatt, 2026). Auf der Seite unabhängiger Tests nennt Fortinet im FortiMail-Datenblatt eine von Virus Bulletin stammende Spam-Erkennungsrate von 99,99 % (Fortinet FortiMail Datenblatt); dabei handelt es sich um ein von Fortinet ausgewiesenes Ergebnis, und das Jahr des Tests wird im Datenblatt nicht genannt. Auf Analystenseite wurde Fortinet im Gartner Magic Quadrant for Email Security 2025 als Challenger positioniert (Fortinet, Gartner Magic Quadrants) — in dieser Kategorie ist Fortinet kein Leader. Diese Unterscheidung sauber zu treffen, stellt die Produktauswahl auf eine realistische Grundlage: Die Stärke von FortiMail liegt nicht in der höchsten Analystenbewertung für sich genommen, sondern darin, dass es auf derselben Managementebene wie Ihre Fortinet-Investitionen in Netzwerk und Endpoint arbeitet.

In welchen Betriebsmodi wird FortiMail positioniert?

FortiMail lässt sich in drei klassischen Betriebsmodi (Gateway, Transparent, Server) positionieren; ergänzend kann es ohne Änderung des MX-Eintrags über die Cloud-E-Mail-APIs von Microsoft und Google außerhalb des Datenpfads (out of line) betrieben werden (Fortinet FortiMail Datenblatt, 2026). Die Wahl des Modus richtet sich danach, wo Ihre bestehende Mail-Infrastruktur steht und wie viel Spielraum Sie im DNS haben.

Das Bereitstellungsmodell ist eine eigene Entscheidung: Dieselben Fähigkeiten stehen als physische Appliance, als virtuelle Maschine auf einem Hypervisor (VMware, Citrix XenServer, Hyper-V, KVM), auf großen Cloud-Plattformen (AWS, Azure, Google Cloud, Oracle, AliCloud) oder als FortiMail Cloud zur Verfügung, bei dem Fortinet die Betriebsverantwortung übernimmt. In Projekten mit Anforderungen an die Datenresidenz stehen Hardware oder eine virtuelle Maschine in Ihrer eigenen Cloud im Vordergrund, bei Teams ohne Kapazität für zusätzlichen Betriebsaufwand das Cloud-Modell. Diese Auswahl klären wir gemeinsam anhand Ihres aktuellen Mail-Volumens, Ihrer Erwartungen an die Notfallwiederherstellung und Ihres Betriebsmodells im Rahmen unserer DevOps- und Infrastrukturdienstleistungen.

Brauchen wir FortiMail, wenn wir Microsoft 365 oder Google Workspace nutzen?

Zwingend ist es nicht; wenn der eingebaute Filter des Cloud-Postfachs jedoch die einzige Schicht bleibt, konzentriert sich das Risiko. FortiMail positioniert sich in diesem Szenario ohne Änderung des MX-Eintrags über die Microsoft- und Google-APIs als zweite Prüfschicht außerhalb des Datenpfads; mit Echtzeit- und geplanten Postfach-Scans kann es eine bereits zugestellte Nachricht nachträglich zurückholen (Fortinet FortiMail Datenblatt, 2026).

Der praktische Wert dieser Fähigkeit ist folgender: Eine Phishing-Kampagne kann in den ersten Minuten sauber wirken und wenige Stunden später scharf geschaltet werden. Da sich Regeln für die Rückholung nach Zustellung nach Schlüsselwort, Dateiname oder Inhaltstyp definieren lassen, räumt das Incident-Response-Team mit einer einzigen Richtlinie auf, statt Postfach für Postfach durchzugehen. Auch das allgemeine Tempo auf Angreiferseite weist in dieselbe Richtung: Im Global Threat Landscape Report 2026 von Fortinet heißt es, dass die Zeitspanne bis zur Ausnutzung von Schwachstellen bei kritischen Meldungen auf 24–48 Stunden gesunken ist und die weltweiten Exploit-Versuche im Jahresvergleich um 25,49 % zugenommen haben (Fortinet, 2026). Diese Zahl misst nicht unmittelbar, wie schnell Phishing-Links scharf geschaltet werden; sie verweist aber auf dieselbe betriebliche Realität: Eine einmalige Entscheidung, die im Moment der Zustellung getroffen wird, kann innerhalb von Stunden ungültig werden. Deshalb macht eine Prüfung nach der Zustellung gegenüber einem einschichtigen Filter einen konkreten Unterschied.

In einer auf Cloud-Mail ausgerichteten Architektur müssen die Alternativen offen bewertet werden. Bei Microsoft 365 und Defender for Office 365 ist der Großteil des Schutzes bereits in Ihrer Lizenz enthalten; als Drittanbieterschicht decken auch E-Mail-Security-Lösungen von Trend Micro denselben Bedarf ab. Was FortiMail hervorhebt, ist der Umstand, dass die übrigen Sicherheitsinvestitionen des Unternehmens auf Fortinet basieren und die E-Mail-Telemetrie in derselben Fabric zusammenläuft. In Organisationen, die ihren eigenen Mailserver betreiben, ist FortiMail dagegen meist unmittelbar die erste Wahl; die Modi Gateway und Transparent bieten eine Flexibilität bei der Positionierung, die rein cloudbasierte Wettbewerber nicht liefern.

Wie werden BEC- und Phishing-Angriffe in FortiMail erkannt?

Bei BEC-Angriffen gibt es meist weder einen schädlichen Anhang noch einen bekannten bösartigen Link; der Angriff besteht aus reinem Text, der sich als vertrauenswürdige Identität ausgibt. Deshalb behandelt FortiMail BEC nicht über Signaturabgleich, sondern über Identitäts- und Kontextprüfungen.

Wie funktioniert die Erkennung von Identitätsfälschung und ähnlichen Domains?

Der mehrstufige Spoofing-Schutz (Anti-Spoof) erkennt Widersprüche zwischen Absenderadresse und Anzeigename. Die Impersonation-Analyse arbeitet sowohl mit manuell definierten als auch mit automatisch erlernten Adressen aus Geschäftsführung und Buchhaltung. Die Erkennung ähnlicher Domains (Cousin Domains) markiert Kopien Ihrer Unternehmensdomain, bei denen ein oder zwei Zeichen verändert wurden — das ist der zentrale Träger des klassischen Szenarios „geänderte Lieferanten-IBAN“. Wenn diese drei Kontrollen zusammenwirken, kann selbst eine Zahlungsanweisung ohne jede schädliche Nutzlast als verdächtig eingestuft werden.

Was passiert auf Link- und Dateiebene?

Der URL-Klickschutz schreibt die Links in der Nachricht um und scannt das Ziel erneut, sobald der Anwender klickt; so wird verhindert, dass eine zum Zustellzeitpunkt saubere Adresse nachträglich scharf geschaltet wird. Content Disarm and Reconstruction (CDR) entfernt Makros, aktive Inhalte und eingebettete Add-ins aus Office- und PDF-Dateien und stellt dem Anwender eine sichere Kopie zu; auch das Entfernen oder Umschreiben von Hyperlinks im HTML-Body gehört zu demselben Mechanismus. Für unbekannte Dateien greift die Cloud-Sandbox-Analyse, beim Freigeben aus der Quarantäne wird erneut gescannt und es lassen sich eigene Datei-Hash-Listen definieren. Zur Neutralisierung browserbasierter Bedrohungen kann zusätzlich eine Isolationsintegration mit FortiIsolator eingerichtet werden.

Werden Absender-Authentifizierungsstandards durchgesetzt?

Ja. FortiMail führt in eingehender Richtung SPF-, DKIM- und DMARC-Prüfungen durch und wendet gemäß DMARC-Richtlinie Ablehnung oder Quarantäne an; in ausgehender Richtung signiert es Nachrichten und erschwert damit die Fälschung Ihrer eigenen Domain. Mit DANE-Unterstützung lässt sich die TLS-Pflicht auf der Gegenseite verifizieren. DMARC von der Richtlinie „none“ auf „reject“ zu heben, ist in der Regel ein Projekt für sich: Wird dieser Übergang ohne eine Inventarisierung der ausgehenden Mailquellen vollzogen, fällt auch legitime Post aus. Deshalb haben wir es zu unserer Standardarbeitsweise gemacht, den Übergang über stufenweises Reporting zu steuern.

Bis zu welchen Kapazitäten skaliert FortiMail?

Die FortiMail-Hardwaremodelle bieten eine E-Mail-Routing-Kapazität zwischen 50.000 und 3,5 Millionen Nachrichten pro Stunde und verwalten zwischen 20 und 2.000 geschützte E-Mail-Domains (Fortinet FortiMail Datenblatt, 2026). Die folgende Tabelle fasst die Stufen aus dem offiziellen Datenblatt zusammen.

Es ist wichtig zu wissen, wie diese Zahlen gemessen wurden. Die Werte des Datenblatts basieren auf einer durchschnittlichen Nachrichtengröße von 100 KB, wurden ohne Queuing und mit FortiMail 7.0 getestet; sobald FortiGuard Antispam, Virus Outbreak Protection und die Enterprise-ATP-Profile aktiviert werden, sinkt die reale Kapazität schrittweise. Beim Betrieb über die Cloud-E-Mail-API-Integration gilt eine eigene, niedrigere Leistungstabelle (Fortinet FortiMail Datenblatt, 2026). Die Modellauswahl sollte deshalb nicht allein an der Nutzerzahl erfolgen, sondern am tatsächlichen Nachrichtenvolumen in Spitzenzeiten und an den Profilen, die Sie aktivieren wollen. Die Versionen als virtuelle Maschine bieten denselben Funktionsumfang und skalieren mit der Anzahl zugewiesener virtueller Kerne; in Niederlassungen oder Testumgebungen wird häufig eine virtuelle statt einer Hardware-Installation gewählt. Für die richtige Dimensionierung sehen wir uns gemeinsam die Statistiken Ihres bestehenden Mail-Gateways aus den letzten 12 Monaten an und erarbeiten anschließend einen projektspezifischen Konfigurationsvorschlag.

Auf der Seite der Betriebskontinuität unterstützt FortiMail in allen Bereitstellungsszenarien Hochverfügbarkeit: Aktiv-Passiv-Modus und Aktiv-Aktiv-Konfigurationssynchronisierung, Synchronisierung von Quarantäne und Mail-Queue, Erkennung von Geräteausfällen und redundante Schnittstellen stehen zur Verfügung. Der Stillstand des Mail-Gateways bedeutet in der Praxis den Stillstand der Kommunikation des Unternehmens nach außen; deshalb empfehlen wir Installationen mit nur einem Gerät ausschließlich in wirklich kleinen Umgebungen. Auf der Speicherseite lässt sich je nach Modell und Anzahl der Laufwerke Hardware- oder Software-RAID konfigurieren, und es können externe Speicherserver sowie iSCSI-Ziele genutzt werden.

Wie unterstützt FortiMail die Compliance mit KVKK und PCI-DSS?

FortiMail allein stellt kein Compliance-Zertifikat aus; es erfüllt jedoch unmittelbar einen Teil der technischen Maßnahmen, die Regulierungen ausdrücklich fordern: Filterung auf Gateway-Ebene, Data Loss Prevention, Verschlüsselung, Archivierung und Protokollierung.

Welchen Maßnahmen entspricht es auf Seiten der KVKK (türkisches Datenschutzgesetz)?

In der Veröffentlichung der türkischen Datenschutzbehörde mit dem Titel Leitfaden zur Sicherheit personenbezogener Daten (technische und administrative Maßnahmen) wird festgehalten, dass Firewall und Gateway die vorrangigen Maßnahmen zum Schutz von IT-Systemen mit personenbezogenen Daten gegen unbefugte Zugriffe aus dem Internet sind und die erste Verteidigungslinie bilden (KVKK, Januar 2018). In der Übersichtstabelle der technischen Maßnahmen desselben Leitfadens werden Data-Loss-Prevention-Software, Verschlüsselung, Protokollaufzeichnungen und aktuelle Antiviren-Systeme als eigene Punkte aufgeführt. FortiMail liefert das Pendant dieser Punkte für den E-Mail-Kanal: DLP mit Datei-Fingerprinting und Erkennung sensibler Daten, TLS von Server zu Server zusammen mit S/MIME und Identity-Based Encryption (IBE), die beim Empfänger keine Client-Installation erfordert, detailliertes Message Tracking und umfassende Ereignisprotokollierung. In der Praxis am wirkungsvollsten ist der Punkt, dass DLP-Regeln nach dem Vokabular der jeweiligen Organisation geschrieben werden: Ohne definierte Muster für Felder wie Ausweisnummer, IBAN oder Patientenaktennummer erzeugt DLP lediglich Rauschen.

Wie werden PCI-DSS- und Archivierungsanforderungen erfüllt?

PCI DSS v4.0 verlangt, dass Network Security Controls (NSC) zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzwerken eingesetzt und deren Konfigurationen mindestens alle sechs Monate überprüft werden (PCI SSC, PCI DSS v4.0). Das E-Mail-Gateway liegt nicht außerhalb dieses Geltungsbereichs; insbesondere DLP-Richtlinien, die den Abfluss von Karteninhaberdaten per E-Mail verhindern, liefern in Audits belastbare Nachweise. Richtlinienbasierte E-Mail-Archivierung und die Unterstützung für Exchange-Journal-Archivierung kommen in Finanz- und Gesundheitsorganisationen mit Aufbewahrungspflichten zum Einsatz. Für die Zentralisierung der Protokolle überträgt FortiMail seine Ereignisse an FortiAnalyzer; FortiAnalyzer bietet vorgefertigte Compliance-Berichte wie PCI-DSS und HIPAA und liefert über den FortiGuard-IOC-Service mit 500.000 IOCs pro Tag forensische Daten (Fortinet FortiAnalyzer Datenblatt, 2026).

Wie wird FortiMail an die Fortinet Security Fabric angebunden und wie läuft das Projekt ab?

FortiMail ist nicht als isolierte Box, sondern als E-Mail-Baustein der Security Fabric positioniert. Indicators of Compromise (IOC) und Telemetrie werden innerhalb der Fabric geteilt; so lässt sich eine Domain, die in einer Phishing-Nachricht an einen Anwender auftaucht, auch auf Netzwerk- und Endpoint-Ebene blockieren. Fortinet gibt an, dass die Security Fabric neben den eigenen Produkten in einem Ökosystem mit mehr als 500 Drittanbieterlösungen einheitliche Sichtbarkeit schafft (Fortinet, 2026).

Die Verbindungen, die wir in der Praxis am häufigsten herstellen, sind: gemeinsames Blockieren auf Netzwerkebene mit der FortiGate-Firewall, zentrale Protokollierung und Berichterstattung mit FortiAnalyzer, verhaltensbasierte Erkennung einer auf dem Endpoint ausgeführten Schaddatei mit FortiEDR und konsistente Richtlinien auf dem Anwendergerät mit FortiClient. Läuft der Datenverkehr von Remote-Mitarbeitenden über FortiSASE, werden die Web- und E-Mail-Schichten aus derselben Threat Intelligence gespeist. Wenn Sie nach außen offene Webanwendungen betreiben, erschwert die gemeinsame Positionierung mit FortiWeb, dass auf Phishing-Seiten abgegriffene Zugangsdaten gegen Ihre Anwendungen eingesetzt werden. Das gesamte Portfolio und die Frage, wie die Komponenten miteinander verbunden sind, finden Sie auf unserer Seite zu Fortinet-Lösungen.

Wie wird ein Migrationsprojekt geplant?

Eine typische FortiMail-Migration läuft in vier Phasen. Zuerst die Inventarisierung: zu schützende Domains, ausgehende Mailquellen, Anwendungsserver und das Volumenprofil des bestehenden Gateways der letzten 12 Monate werden erfasst. Anschließend der Parallelbetrieb: FortiMail wird in Betrieb genommen, die Richtlinien laufen im Monitoring-Modus und False Positives werden zusammen mit den DMARC-Berichten ausgewertet. In der dritten Phase erfolgt die Umschaltung; der MX-Eintrag wird geändert oder die API-Integration aktiviert, Quarantäne und Endanwenderbenachrichtigungen werden scharf geschaltet. Die letzte Phase ist die Härtung: CDR, URL-Klickschutz, Impersonation-Analyse und DLP-Richtlinien werden schrittweise aktiviert. Dieses stufenweise Vorgehen ist der sicherste Weg, das Schutzniveau anzuheben, ohne Beschwerden bei den Anwendern auszulösen.

Was ist bei Lizenzierung und Betrieb zu erwarten?

Die Funktionsumfänge von FortiMail werden in Paketen angeboten. Das Basispaket umfasst mehrschichtige Spam- und Schadsoftware-Erkennung, LDAP-Integration, sichere Zustellung über TLS, Message Tracking, Identity-Based Encryption und E-Mail-DLP. Das Enterprise-ATP-Paket ergänzt dies um CDR, URL-Klickschutz, Impersonation-Analyse und Cloud-Sandbox. Das Paket mit Cloud-E-Mail-API-Unterstützung deckt Echtzeit- und geplante Scans von Microsoft- und Google-Postfächern sowie die Rückholung nach Zustellung ab. Welches Paket erforderlich ist, hängt davon ab, ob Sie Cloud-Mail einsetzen, und von Ihrem BEC-Risikoprofil. Als autorisierter Fortinet-Channel-Partner übernehmen wir Lizenzierung, Installation, Migration und Managed Services; da sich die Preisgestaltung nach Modell, Paket und Vertragslaufzeit richtet, fordern Sie ein Angebot an — die Dimensionierung nehmen wir gemeinsam vor.

E-Mail-Sicherheit ist keine Frage eines einzelnen Produkts, sondern der richtigen Positionierung: Die Wahl des Modus, der DMARC-Übergang, das Schreiben der DLP-Richtlinien nach dem Vokabular der Organisation und der Aufbau der Fabric-Verbindungen bestimmen das Ergebnis. Lassen Sie uns Ihre bestehende Mail-Infrastruktur und Ihr Volumen analysieren und den passenden Vorschlag für Modell, Paket und Positionierung von FortiMail erarbeiten; nehmen Sie Kontakt mit uns auf, inklusive Optionen für Installation, Migration und Managed Services, oder sehen Sie sich unsere weiteren Unternehmenslösungen an.