Was Sophos Firewall ist

Sophos Firewall ist eine Firewall der nächsten Generation mit dem Betriebssystem SFOS. Sie filtert Datenverkehr, verbindet Standorte und Nutzer per VPN und prüft Verkehr mit Intrusion Prevention, Webfilter, Anwendungserkennung und Sandbox. Die Schutzfunktionen werden als Abonnement lizenziert, gebündelt als Xstream Protection.

Hersteller ist die Sophos Limited aus Abingdon im Vereinigten Königreich. Seit 2020 gehört Sophos dem US-Finanzinvestor Thoma Bravo, 2025 kam Secureworks hinzu. Die Firewall läuft auf Sophos-Hardware oder als virtuelle Maschine und lässt sich lokal oder über die Cloud-Konsole Sophos Central, heute Sophos Fusion, verwalten.

Wofür es eingesetzt wird

Mittelständische Unternehmen und Verwaltungen nutzen Sophos Firewall als zentrales Gateway zum Internet, für Standortvernetzung per SD-WAN und VPN sowie für Fernzugriff. Oft wird sie mit Sophos-Endpoint-Schutz kombiniert, damit Firewall und Endgeräte Informationen über Bedrohungen austauschen.

Die Firewall selbst steht im eigenen Haus. Lizenzierung, Signaturen und Firmware kommen aber von Sophos, und nach Ablauf der Abonnements enden die Schutzfunktionen. Ein Wechsel bedeutet, das Regelwerk neu aufzubauen, weil der Konfigurationsexport nur in SFOS importierbar ist.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz der selbst betriebenen Firewall im Unternehmen; Fragen zum Rechtsraum und zur Datenhoheit sind für eine im eigenen Haus betriebene Appliance sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner für Kunden außerhalb Amerikas ist laut End User Terms of Use die Sophos Limited mit Sitz in Abingdon (Vereinigtes Königreich); das Vereinigte Königreich gehört nicht zur EU, zum EWR oder zur Schweiz. Sophos gehört seit März 2020 dem US-Finanzinvestor Thoma Bravo (Sekundärquelle). Eine Fachmeldung vom April 2026 beschreibt Sophos weiter als von Thoma Bravo getragen (Sekundärquelle). Beleg: Sophos End User Terms of Use (Revision Date: 01… · ISO/IEC 27001:2022 Certificate Sophos Limited · Sophos · Thoma Bravo-Backed Sophos Weighs Private Credit…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Regelwerk, Logs und Datenverkehr auf der eigenen Firewall; eine Anordnung gegen Sophos erfasst sie nicht unmittelbar. An Sophos fließen aber Lizenz-, Diagnose- und Bedrohungsdaten, die laut Datenschutzblatt in AWS-Rechenzentren verarbeitet werden. Ob US-Recht über die Konzernmutter auf diese Daten durchgreift, ist nicht belegt; vertraglich gilt englisches Recht. Beleg: Sophos Firewall – Product Privacy Information · Sophos End User Terms of Use (Revision Date: 01… · Sophos
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Konfiguration, Schlüssel und Logs liegen auf der kundeneigenen Appliance; Fernzugriff für Diagnose muss der Kunde laut Datenschutzblatt selbst freischalten. Für die Lizenzierung ist jedoch eine Registrierung bei Sophos Pflicht; ohne Registrierung ist die Weboberfläche nach 30 Tagen gesperrt. Ein Betrieb ohne Internetverbindung ist nur mit Airgap-Lizenz möglich, die Sophos für Hardware gesondert genehmigen muss. Beleg: Sophos Firewall – Product Privacy Information · Licensing Guide: Firewall license expiration · Licensing Guide: Download an airgap license · Sophos Firewall Licensing and Management in Soph…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Gegenprüfung an der Quelle: Companies House zeigt nur die britische Holding-Kette; Thoma Bravo als Eigentümer (seit 2020, kein Wechsel erkennbar) ist nur über Presse und Wikipedia belegt, die Fondsstruktur ist nicht offengelegt. Kein Wechsel in den 24 Monaten, aber Struktur nur teilweise belegt. Beleg: Sophos Limited (02096520) – Persons with signifi… · Sophos Group Limited (09608658) – Persons with s… · Sophos

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Auslegung: Verkehrs-, Log- und Konfigurationsdaten sowie Backups bleiben im Selbstbetrieb beim Kunden. Mit Zero-Day Protection (Teil von Xstream Protection) gehen verdächtige Dateien aus dem Datenverkehr an Sophos; die Zuordnung zum europäischen Rechenzentrum erfolgt über die DNS-Konfiguration, bösartige Dateien behält Sophos. Das DPA erlaubt internationale Übermittlungen unabhängig vom gewählten Speicherort (Ziff. 7.2). Bewertet als „teilweise“, weil für diese Kundeninhalte nur eine Region „Europa“ wählbar und keine EU-Bindung vereinbart ist. Beleg: Sophos Sandstorm – Product Privacy Information (… · Sophos Firewall – Product Privacy Information · Data Processing Addendum (Revision Date 1 July 2…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Sophos Firewall läuft auf eigenen XGS-Appliances sowie als virtuelle, Cloud- oder Software-Appliance; NDR Essentials wurde mit v22 MR1 auf diese Plattformen erweitert. Die Verwaltung über Sophos Central (heute Sophos Fusion) ist kein Muss; die lokale Verwaltung über den Einrichtungsassistenten und die Weboberfläche bleibt möglich. Beleg: Sophos Firewall v22 MR1 is now available · Sophos Firewall Licensing and Management in Soph… · Enable Sophos Central management of Sophos Firew…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Das Datenschutzblatt nennt die verarbeiteten Datenarten (u. a. Benutzernamen, IP-Adressen, Systemereignisse, Dateiinhalte) und die Zwecke Remote-Diagnose-Telemetrie und Business Intelligence. Die Übermittlung von IPS- und Anwendungserkennungsdaten an SophosLabs ist abschaltbar; ob Diagnose- und Nutzungstelemetrie abschaltbar ist, steht dort nicht. Die End User Terms of Use erlauben die Erhebung von Nutzungs- und Bedrohungsdaten ohne beschriebene Abwahl. Beleg: Sophos Firewall – Product Privacy Information · Sophos End User Terms of Use (Revision Date: 01…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Die End User Terms of Use (Stand 01.07.2026) erlauben Sophos, Security Data einschließlich Diagnose- und Nutzungsdaten zur Verbesserung des Produkts und zur Entwicklung neuer Funktionen zu nutzen (Ziff. 4.3); ein Ausschluss des KI-Trainings fehlt. Laut Produkt-Datenschutzinformation zur Firewall werten SophosLabs und Sophos-AI-Teams die Daten aus; abschaltbar ist nur die Weitergabe von IPS- und Anwendungsklassifizierungsdaten. Beleg: Sophos End User Terms of Use (Revision Date: 01… · Sophos Firewall – Product Privacy Information

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	SFOS ist proprietäre Software; die End User Terms of Use untersagen, den Quellcode abzuleiten. Enthaltene Open-Source-Komponenten stehen unter ihren eigenen Lizenzen. Beleg: Sophos End User Terms of Use (Revision Date: 01…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt das proprietäre SFOS und eine bei Sophos registrierte Lizenz voraus; ohne Registrierung laufen nach 30 Tagen alle Lizenzen außer Base Firewall aus. Beleg: Sophos End User Terms of Use (Revision Date: 01… · Licensing Guide: Firewall license expiration
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Laut Lizenzhandbuch bleibt die Konfiguration nach Ablauf erhalten, aber die Schutzfunktionen enden: Ohne Network Protection keine IPS-Signaturen, ohne Web Protection keine Webfilter- und Malwareprüfung, ohne Zero-day Protection keine Sandbox. Ohne Support-Abo gibt es nur noch drei kostenlose Firmware-Upgrades. Die Base Firewall (Stateful Firewall, VPN, HA) läuft laut Händlerquelle weiter, bei Hardware gebunden an deren Lebenszyklus (Sekundärquelle). Beleg: Licensing Guide: Firewall license expiration · Sophos Firewall OS Base License

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Sophos Limited hat ein ISO/IEC-27001:2022-Zertifikat von Coalfire, gültig bis Februar 2027. Der Geltungsbereich nennt Sophos Central, SophosLabs Intelix, Cloud Optix, MDR und Taegis XDR sowie die Produktteams, aber nicht ausdrücklich Sophos Firewall. Ein C5-Bericht ist laut Trust Center auf Anfrage erhältlich; ein Common-Criteria-Zertifikat (EAL4+, Italien) betrifft nur SFOS 19.0.2. Beleg: ISO/IEC 27001:2022 Certificate Sophos Limited · Trust Center: Security compliance and certificat… · CC EAL4+ Certificate and Report SFOS v19.0.2
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Sophos veröffentlicht Security Advisories mit Schweregrad und CVE-Nummern, für Sophos Firewall zuletzt mit kritischen Lücken im Juli 2025. Meldungen nimmt ein Bug-Bounty-Programm bei Bugcrowd entgegen; der Eingang wird binnen 48 Geschäftsstunden bestätigt. Feste Fristen für Patches sind nicht genannt. Beleg: Security Advisories · Sophos Responsible Disclosure Policy
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	nein	Vertragspartner ist die Sophos Limited (Vereinigtes Königreich); es gilt englisches Recht mit Gerichtsstand England und Wales. Eine deutsche Gesellschaft (Sophos Technology GmbH, Wiesbaden) besteht, der Standort des technischen Supports ist aber nicht angegeben. Eine Klausel zu deutschem oder EU-Recht wurde nicht gefunden. Beleg: Sophos End User Terms of Use (Revision Date: 01… · Contact Us – Europe
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Sophos veröffentlicht eine Liste der Unterauftragsverarbeiter mit Standorten (Stand Mai 2026). Das DPA sieht Benachrichtigung über die Liste, per E-Mail oder im Produkt vor, mit 30 Tagen Widerspruchsfrist (Ziff. 6.2, 6.3); die Standardvertragsklauseln verlangen 30 Tage Vorankündigung. Die ebenfalls eingesetzten Sophos-Konzerngesellschaften sind nicht mit Standorten aufgeführt, die Liste verweist dafür nur auf die Kontaktseite. Beleg: Sophos Sub-processor List · Data Processing Addendum (Revision Date 1 July 2…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration liegen beim Kunden. Sophos Support erhält Zugang zu WebAdmin und Shell nur über die Funktion „Support access“, die der Administrator für eine gewählte Dauer (1 Tag bis 2 Monate) einschaltet; die Firewall erzeugt dafür eine Access ID, die der Kunde dem Support mitteilt (Beschreibung des Ablaufs bei Avanet, Sekundärquelle). Diese Freigabe je Supportfall gilt auch für Supportpersonal außerhalb von EU, EWR oder Schweiz. Beleg: Sophos Firewall 21.5 API – Operation: Support Ac… · Sophos Firewall SSH access

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Die Konfiguration lässt sich vollständig oder teilweise als TAR-Archiv mit einer Datei Entities.xml exportieren (Sekundärquelle). Das XML-Schema ist über die dokumentierte XML-API einsehbar, aber herstellerspezifisch und nur in SFOS importierbar. Logs lassen sich per Syslog an eigene Server weiterleiten. Beleg: Sophos Firewall: Configuration import/export · Sophos Firewall 20.0 API: Introduction · Sophos Firewall 22.0 API: Add Syslog Servers / U…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Für die Anmeldung unterstützt die Firewall Active Directory, LDAP und RADIUS sowie Entra ID über OAuth 2.0 und OpenID Connect für das Fern-VPN; SAML wurde nicht gefunden. VPN nutzt IPsec, Logs gehen per Syslog an Fremdsysteme, die Verwaltung ist über eine dokumentierte XML-API per HTTPS zugänglich. Eine REST-API mit OpenAPI-Beschreibung ist für v23 angekündigt (Sekundärquelle). Beleg: Sophos Firewall: Authentication methods · Sophos Firewall v21.5: Entra ID SSO for Sophos C… · Sophos Firewall v22 MR1 is now available · Sophos Firewall 22.0 API: Add Syslog Servers / U… · Sophos Firewall 20.0 API: Introduction · Sophos Firewall v23: nouvelles fonctionnalités (…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Export und Backup erstellt der Administrator lokal auf der Firewall, ohne Mitwirkung von Sophos und ohne gesonderte Lizenz. Für Exporte mit Passwörtern und Schlüsseln wird der lokal gesetzte Secure Storage Master Key gebraucht (Sekundärquelle). Voraussetzung ist eine registrierte Firewall, da die Weboberfläche sonst nach 30 Tagen gesperrt ist. Beleg: Sophos Firewall: Configuration import/export · Licensing Guide: Firewall license expiration

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob Diagnose- und Nutzungstelemetrie der Firewall abschaltbar ist. Das Datenschutzblatt nennt nur die IPS-Datenübermittlung als abschaltbar.
Wo der technische Support für Kunden in Deutschland sitzt. Die Kontaktseite nennt dafür keinen Standort.
Ob Sophos Verträge nach deutschem Recht anbietet. Die geprüften Bedingungen sehen nur englisches oder Massachusetts-Recht vor.
Ob der ISO-27001-Geltungsbereich die Entwicklung von Sophos Firewall umfasst. Das Zertifikat nennt Produktteams, aber nicht die Firewall.
Welche Firewall-Version aktuell zertifiziert ist. Das gefundene Common-Criteria-Zertifikat betrifft SFOS 19.0.2.
Welche Gesellschaft an der Spitze der britischen Holdingkette steht und wie Thoma Bravo sie kontrolliert, weil die Kette über Sophos Intermediate II Limited hinaus nicht abgerufen wurde.
Aus welchen Ländern Sophos-Konzerngesellschaften Support für die Firewall leisten, weil die Liste sie nicht mit Standorten nennt.
Ob „Support access“ ab Werk ausgeschaltet ist, weil die API-Doku den Standardwert „ON“ für den Parameter nennt, ohne den Auslieferungszustand anzugeben.
Wo Sophos bösartige Dateiproben aus Zero-Day Protection dauerhaft speichert, weil die Sandstorm-Datenschutzinformation (2018) das nicht angibt und nicht aktuell ist.

Fragen vor einer Entscheidung

Welche Schutzfunktionen fallen weg, wenn ein Abonnement nicht rechtzeitig verlängert wird, und wer überwacht die Laufzeiten?
Welche Daten gehen als Telemetrie, Dateiprobe oder Supportfall an Sophos, und welche Region ist für das Sophos-Konto gewählt?
Ist ein Betrieb ohne Internetverbindung nötig, und erfüllt die eigene Umgebung die Bedingungen für eine Airgap-Lizenz?
Wie aufwendig wäre der Umzug des Regelwerks auf ein anderes Produkt?

Sophos Firewall