Kurze Information für Administratoren und IT-Mitarbeiter, die auf Produkte von Fortinet setzen. Der Anbieter hatte in der Vergangenheit auch einen kostenfreien VPN-Client in seinem FortiClient-Paket im Portfolio. Ich hatte Ende 2025 bereits berichtet, dass Fortinet den kostenfreien VPN-Client "aufgekündigt" habe. Wer das Produkt weiter einsetzen möchte, werde "zukünftig lizenzieren müssen". War damals noch unklar – nun liegt mir eine indirekte Bestätigung aus Leserkreisen vor.
Ich hatte Anfang September 2025 im Beitrag Hat Fortinet gerade den kostenfreien VPN-Client aufgekündigt? über das angebliche Ende des kostenfreien VPN-Clients berichtet. Blog-Leser Daniel hatte mich seinerzeit in einer Mail vom 10. September 2025 über den Sachverhalt informiert und schrieb: "So wie es aussieht hat Fortinet heute den kostenfreien FortiClient VPN only aufgekündigt, damit Kunden diesen künftig lizenzieren müssen."
Fortinet hatte in den Special notices 7.4.4 eine Reihe an Informationen untergebracht. Dort findet sich auch der Passus "No new version of VPN-only agent", wo es heißt:
FortiClient (Windows) 7.4.4 does not include a new version of the free VPN-only agent as no feature updates were made to the free VPN-only agent between 7.4.3 and 7.4.4. Users can continue to use the FortiClient (Windows) 7.4.3 free VPN-only agent.
Mit der FortiClient Version 7.4.4 für Windows kommt also kein VPN-only Agent mehr in der Free-Version. Nutzer können weiterhin den FortiClient (Windows) 7.4.3 free nutzen – irgendwann fällt diese Version dann aber wegen nicht mehr geschlossener Sicherheitslücken weg, lautete meine damalige Botschaft.
In den Diskussionen hier wurde das aber nach meiner Lesart angezweifelt. So hieß es dazu von einem Leser:
Wenn man sich die Quelle durchliest gibt es einfach keine Änderungen an der VPN Funktion. Der vollwertige Forticlient kann ja noch mehr als VPN.
Dementsprechend gibt es zwar eine 7.4.4 von "Forticlient" aber keine 7.4.4 von "Forticlient VPN". Da steht aber nirgends, dass der "Forticlient VPN" eingestellt wird.
Laut diesem Kommentar sollte sollte der kostenlose FortiClient VPN bleiben. Ich habe es nicht mehr verfolgt, möglicherweise ist das alles längst bekannt. Aber den oben verlinkten Beitrag hatte ich auch auf Englisch in meinem zweiten IT-Blog. Und dort ist zum 28. Juli 2026 dieser Kommentar eingeschlagen.
Just had a confirmation from a friend working at Fortinet, they have discontinued the free client. It's done. Either you go to EMS or SASE but the free ride is done.
Ist zwar der "berühmte Freund", der was wusste. Aber die Botschaft klingt für mich so, als ob die Schamfrist abgelaufen ist und der kostenlose FortiClient VPN verschwindet. Frage an die Leserschaft: Ist da inzwischen was offizielles bekannt? Und meine zweite Frage: Tangiert das überhaupt noch jemanden?
MVP: 2013 – 2016
Ich arbeite unter GNU/Linux mit dem freien openFortiVPN client https://github.com/adrienverge/openfortivpn im beruflichen Umfeld. Der läuft absolut stabil. Das Problem ist eher die Authentifizierung, weil das meist in Windows/AD/Azure Netzwerken eingesetzt wird. Die Admins haben das mit GNU/Linux eher nicht im Blick und brauchen dann etwas Nachhilfe. Abgesehen davon würde ich von FORTI eher abraten, da sind zuviele Bugs und die Qualität läßt wirklich zu wünschen übrig. Aber Windows Admins lieben FORTI.
Bin zwar Windows Admin, haben uns aber 2024 gegen FORTI entschieden. Wie du schon sagt, zu viele Bugs.
Da würde mich nun interessieren wo ihr gelandet seid.
Forti-Bugs gravierend? Ja zum Teil, aber bei Palo-Alto, Cisco, Juniper usw. kaum besser.
Wir nutzen hauptsächlich Securepoint.
Schauen wir mal in das Securepoint Wiki in das CVE Advisories (https://wiki.securepoint.de/Advisory) (Stand 30.07.2026 17:00 Uhr).
Dort ist dokumentiert, dass das letzte Update dieser Seite am 18.09.2024 erfolgt ist. Am Seitenende ist festzustellen, dass die Seite das letzte Mal am 23.04.2025 bearbeitet wurde. Also seit mindestens einem Jahr ist dort kein neuer Eintrag erfolgt. Wenn ich mir aber nun den Changelog der aktuelle Securepoint UTM v14 anschaue, dann werden sehr wohl aktuelle CVEs gepatcht. Die CVEs sind dann vermutlich in eingesetzten Software-Paketen innerhalb der UTM und nicht in der Eigenentwicklung, dennoch erwarte ich als Sicherheitsanbieter, dass die CVEs die in dem Gesamtprodukt Securepoint UTM auftreten in solch einer Liste dargestellt werden.
Vergleichen wir das einmal mit Fortinet. Zum einen hat Fortinet verdammt breite Produktpalette, von FortiOS für Firewalls (FortiGates) bis hin zu FortiADC als Application Delivery Controller. In den Medien wird da leider oftmals alles in ein Topf geworfen. Aber auch so, brauchen wir uns nichts vor machen, es gibt für FortiOS einige CVEs und Bugs. Fortinet verfolgt aber die Policy, dass schonungslos offengelegt wird, sobald eine CVE gefunden wird, völlig egal, ob diese intern gefunden wird und direkt gepatcht wird oder von einem Externen gefunden wird, es wird transparent dargelegt und das auch, wenn die CVE in einer Komponente steckt wie z.B. dem SSH-Server.
Meine persönliche Meinung ist, dass Fortinet hier als Sicherheitsunternehmen vorbildlich agiert, die Policy alles offenzulegen ist genau richtig, davon kann sich so mancher anderer Hersteller eine gewaltige Scheibe von abschneiden. Am Ende hat jeder Hersteller, ob das nun Fortinet, Palo Alto, Cisco oder sonst was ist Bugs und CVEs.
Der Kommentar von dem "Freund" der bei Fortinet arbeitet kommt scheinbar aus der Zukunft, wenn der dort "zum 28. Juli 2028 dieser Kommentar eingeschlagen" ist. ;-)
Auf solche Kommentare gebe ich nichts, für mich zählt was der Hersteller offiziell verkündet und dort ist es lediglich, dass es für den kostenlosen VPN-Client schlicht keine Updates für Version 7.4.4 gab und man 7.4.3 weiter nutzen kann/soll. Da steht *nicht*, dass die Weiterentwicklung oder der Support gänzlich eingestellt wurde.
Also das SSL-VPN ist schon in den neuen Versionen von Forti OS nicht mehr möglich. Geht nur noch in der 7.4 und die ist mit Ende nächsten Jahres Geschichte. Bleibt nur IPSEC (kostenlos) oder Zero Trust was Geld kostet. Wenn es aber keinen Gratis Client mehr geben sollte dann muss man in jedem Fall Geld bezahlen. Ich habe jetzt schon ein paar Kunden auf Unifi … ich denke das wird mehr werden. Dort gibt es kostenlosen Wireguard als Client VPN.
Allerdings ist Fortinet mit der Entscheidung gegen SSL-Vpn nicht alleine. Ob die Sicherheitsprobleme bei den anderen bei der Implementierung ähnlich gravierend waren, kann ich nicht beurteilen.
Schwachstellen werden in der 7.4.3 weiterhin per backport gefixt. Zuletzt im April. In den Release Notes der Version 7.4.3 sind die geschlossenen CVEs aufgeführt.
Ein Thema was gern vergessen wird: Notwendige IPSEC Umstellung ikev1 auf ikev2 mit TTLS (MSCHAP) also ohne Zertifikate mit Preshared Key und LDAPs und AD-Auth (Natürlich nur mit dem Forti EMS Bezahl-Client und Forti-OS 7.6 ( weil es vorher natürlich ein timeout Bug hab, der nun über Konfiguration eines neuen Parameters in der neuen OS Version wegkonfigurierbar ist (Fortinet Style)). Das geht mit dem VPNonlyClient 7.4.3 nicht.
Warum könnte die Runde fragen? Weil die meisten neuen Home-Office Anschlüsse KEIN Dual Stack mehr haben. Sondern CGNAT / DS-Lite / private ipv6 ( Glasfaser, DSL + Mobilgunk (Hybrid-Anschlüsse) oder Kabelprovider). Das wiederum führt zu Paketgrößenproblemen (Mtu-size) mit ikev1. Was für ein Misst. Wireguard funktioniert einfach.
Kann man mit einem Einzeiler wegskripten:
netsh interface ipv4 set subinterface "Ethernet 2" mtu=1300 store=persistent
Am schlimmsten ist bisher o2 via Kabel-Vodafone-Physik, da muss man mtu tatsächlich auf 1280 absenken, aber es funktioniert dann trotzdem alles.
Neue VPN Only Versionen bekommen lediglich eine neue Build Nummer. Also aus 7.4.3.2345 wird 7.4.3.4567. Zusätzlich gibt es ein Release PDF was build number und fixes aufschlüsselt.
MMn. ist das problematisch, weil man sich nicht mehr an Semantic Versioning hält und es auch keine News zu updates über die standard RSS feeds gibt.
Best Practice wäre es für CVE patches und Fehlerbehebung wenigstens ein Patch release zu machen.
Meinetwegen kann alles außer Wireguard weg, allein schon, weil der Rest ein historisch gewachsener Moloch ist, was leider immer noch gern mit "gut abgehangen" verwechselt wird.