Sophos Fusion FAQ: Technik, KI und zentrale Begriffe erklärt

Sophos Fusion verbindet Schutzprodukte, Datenquellen, agentische KI und menschliche Expertise in einem gemeinsamen Cyberabwehrsystem. Dieses FAQ vertieft die zentralen technischen Begriffe und zeigt, was sie für den praktischen Betrieb bedeuten.

Zum Grundlagenartikel: Sophos Fusion einfach erklärt: So arbeitet das Cyberabwehrsystem

Technische Begriffe direkt aufrufen

• Kontrollpunkte (Control Points)
• Unified Context Lake
• Synchronized Security
• Agentische Autonomie
• Compounding Intelligence
• Strongest First Line of Defense
• Fusion AI

Was ist Sophos Fusion?

Kurzantwort: Sophos Fusion ist das KI-native Cyberabwehrsystem von Sophos. Es führt angebundene Kontrollpunkte, Telemetrie, Sicherheitskontext, agentische KI und menschliche Expertise in einem gemeinsamen Verteidigungsmodell zusammen.

Das zugrunde liegende AI-Native Cybersecurity Defense System bezeichnet die Architektur. Sophos Fusion ist die Umgebung, in der Kunden diesen gemeinsamen Kontext sehen, Sophos-Produkte verwalten und – abhängig von den eingesetzten Produkten und Integrationen – Reaktionen koordinieren.

Fusion ist kein zusätzliches Lizenzpaket und keine eigene SKU. Produkte und Services wie Endpoint, Firewall, XDR, MDR oder Next-Gen SIEM bleiben eigenständig lizenziert. Mit jedem angebundenen Kontrollpunkt können Datenabdeckung und Reaktionsmöglichkeiten wachsen.

Was sind Kontrollpunkte (Control Points) in Sophos Fusion?

Kurzantwort: Control Points sind angebundene Sicherheits- und IT-Lösungen, die Telemetrie bereitstellen und – sofern technisch unterstützt und freigegeben – Reaktionsmaßnahmen ausführen können.

Dazu gehören beispielsweise:

• Endpoints und Server,
• Firewalls und Netzwerkkomponenten,
• E-Mail-Sicherheit,
• Identitäts- und Produktivitätslösungen,
• Cloud-Plattformen,
• unterstützte Produkte anderer Hersteller.

Vereinfachtes Beispiel: Ein Endpoint meldet einen verdächtigen Prozess. Gleichzeitig registriert die Firewall eine Verbindung zu einer auffälligen externen Adresse. Der gemeinsame Kontext kann dabei helfen, beide Signale als Teile desselben Vorfalls zu betrachten.

Wichtig: Nicht jeder Control Point stellt dieselbe Datentiefe bereit und nicht jede Integration unterstützt aktive Reaktionen. Manche Anbindungen liefern lediglich Warnmeldungen oder Protokolldaten, andere ermöglichen beispielsweise die Isolation eines Endpoints oder das Blockieren einer Verbindung.

Was ist der Unified Context Lake?

Kurzantwort: Der Unified Context Lake ist die gemeinsame Echtzeit-Kontextebene von Sophos Fusion. In ihr werden Telemetrie und Beziehungen aus angebundenen Control Points zusammengeführt.

Einzelne Warnungen erhalten dadurch zusätzlichen Zusammenhang. Ereignisse aus E-Mail, Identität, Endpoint und Netzwerk können als zusammenhängender Vorgang betrachtet werden, statt lediglich als getrennte Meldungen in mehreren Konsolen zu erscheinen.

Vereinfachtes Beispiel: Eine verdächtige E-Mail, eine ungewöhnliche Anmeldung, ein unbekannter Prozess und eine auffällige Netzwerkverbindung können im gemeinsamen Kontext als zusammengehörige Ereignisse sichtbar werden.

Abgrenzung zu Next-Gen SIEM: Der Unified Context Lake stellt den gemeinsamen Sicherheitskontext bereit. Next-Gen SIEM ergänzt unter anderem langfristige Datenaufbewahrung, erweiterte Analyse und Compliance-Reporting. Beide Begriffe sind daher nicht gleichbedeutend.

Wie funktioniert Synchronized Security in Sophos Fusion?

Kurzantwort: Synchronized Security verbindet die Erkenntnisse der Control Points mit koordinierten Reaktionen über mehrere Schutzebenen hinweg.

Erkennt ein Kontrollpunkt eine Bedrohung, können andere angebundene Komponenten den neuen Kontext berücksichtigen. Sophos nennt als Beispiele eine Endpoint-Erkennung, die eine Reaktion an der Firewall auslöst, sowie eine kompromittierte Identität, nach deren Erkennung Zugriffe in der Umgebung eingeschränkt werden.

Vereinfachtes Beispiel: Eine Erkennung am Endpoint kann eine Reaktion an der Firewall auslösen. Welche Maßnahme tatsächlich erfolgt, hängt von den eingesetzten Control Points und den verfügbaren Integrationsmöglichkeiten ab.

Wichtig: Welche Reaktionen tatsächlich verfügbar sind, hängt von den eingesetzten Produkten, den konfigurierten Richtlinien, den Berechtigungen und der jeweiligen Integration ab. Synchronized Security bedeutet nicht, dass jede Drittanbieteranbindung automatisch jede Reaktion ausführen kann.

Was bedeutet agentische Autonomie mit menschlichem Urteil?

Kurzantwort: Agentische KI kann Sicherheitsereignisse analysieren, Zusammenhänge untersuchen und innerhalb definierter Vertrauensgrenzen Reaktionen anstoßen. Menschen legen diese Grenzen fest und bleiben verantwortlich.

Sophos grenzt diesen Ansatz von einer reinen Ausführung vorgegebener Playbooks ab und beschreibt ihn als KI, die auch neue Situationen bewerten kann. Automatische Maßnahmen müssen dennoch zum Risiko der jeweiligen Umgebung passen.

Mögliches Regelmodell: Die automatische Isolation eines Arbeitsplatzrechners kann innerhalb der festgelegten Vertrauensgrenzen zulässig sein. Für einen Produktionsserver oder ein privilegiertes Administratorkonto kann dagegen eine menschliche Freigabe vorgesehen werden. Dies ist eine betriebliche Einordnung und keine von Sophos vorgegebene Standardregel.

Nach Herstellerangaben werden 52 Prozent der Sophos-MDR-Fälle vollständig durch KI abgeschlossen. Bei Fällen, die für eine automatische Bearbeitung autorisiert sind, vergehen durchschnittlich 89 Sekunden von der Fallerstellung bis zur vollständig automatisierten Reaktion. Diese Werte stammen aus dem Sophos-MDR-Betrieb und stellen keine Reaktionszeitgarantie für einzelne Kundenumgebungen dar.

Was bedeutet Compounding Intelligence?

Kurzantwort: Compounding Intelligence bezeichnet den Ansatz, Erkenntnisse aus erkannten Bedrohungen, KI-gestütztem Threat Hunting und menschlicher Analystenarbeit zur Verbesserung künftiger Erkennung und Abwehr zu nutzen.

Nach Angaben von Sophos fließen Erkenntnisse aus Bedrohungen, die innerhalb der geschützten Kundenbasis erkannt werden, wieder in das Defense System ein. Neue Kunden sollen dadurch nicht bei null beginnen, sondern von bereits vorhandenem Bedrohungswissen profitieren.

Vereinfachtes Beispiel: Wird eine neue Bedrohung erkannt oder ein Sonderfall von einem MDR-Analysten gelöst, fließt die daraus gewonnene Erkenntnis laut Sophos wieder in das Defense System ein.

Einordnung: Compounding Intelligence ist eine Herstellerbezeichnung für die sich fortlaufend verbessernde Bedrohungsintelligenz. Die konkrete Schutzwirkung in einer Kundenumgebung hängt weiterhin von den eingesetzten Produkten, Datenquellen und aktivierten Funktionen ab.

Was bedeutet „Strongest First Line of Defense“?

Kurzantwort: Mit „Strongest First Line of Defense“ beschreibt Sophos die präventive Schutzwirkung der angebundenen Sophos-Lösungen gegen menschliche und KI-gestützte Angriffe.

Zur ersten Verteidigungslinie können beispielsweise Endpoint Protection, Firewall, E-Mail-Sicherheit, Identitätsschutz und Cloud-Security gehören. Diese Kontrollpunkte sollen Angriffe möglichst früh erkennen oder stoppen, bevor eine umfangreiche Untersuchung und Reaktion erforderlich wird.

Wichtig: „Strongest First Line of Defense“ ist kein eigenständiges Produkt und keine separate Lizenz. Es handelt sich um eine Herstellerbezeichnung für die Schutzwirkung der im Defense System zusammenarbeitenden Lösungen – nicht um eine Garantie, dass jeder Angriff verhindert wird.

Was ist Fusion AI?

Kurzantwort: Fusion AI bezeichnet die direkt in Sophos Fusion eingebetteten agentischen KI-Funktionen. Sie unterstützen Erkennung, Untersuchung und Reaktion.

Fusion AI verarbeitet den gemeinsamen Kontext aus den angebundenen Control Points und soll Sicherheitsabläufe beschleunigen. Menschliche Experten definieren den Vertrauensrahmen und bleiben für Entscheidungen mit hoher organisatorischer Tragweite verantwortlich.

Fusion AI ist kein separates Zusatzprodukt. Welche Funktionen nutzbar sind, hängt von den eingesetzten Sophos-Produkten und Services ab. Nach Angaben von Sophos wird mit jedem zusätzlich eingesetzten Produkt ein größerer Teil der gemeinsamen Architektur nutzbar.

Was ist der Unterschied zwischen Fusion AI und Sophos AI Defense?

Fusion AI ist die in Sophos Fusion eingebettete Intelligenzschicht für Cyberabwehr. Sophos AI Defense ist dagegen eine eigene Lösung innerhalb des Defense Systems, die Transparenz und Kontrolle über die KI-Nutzung im Unternehmen schaffen soll – einschließlich sogenannter Shadow AI.

Funktioniert Sophos Fusion mit Produkten anderer Hersteller?

Ja, sofern eine unterstützte Integration vorhanden ist. Sophos nennt mehr als 500 integrierte Drittanbietertechnologien. Diese Herstellerangabe sagt jedoch noch nicht, welche Daten und Reaktionsmöglichkeiten eine konkrete Integration bereitstellt. Für die praktische Bewertung sollten daher folgende Punkte anhand der jeweiligen Integrationsdokumentation geprüft werden:

• Datentiefe: Welche Alarme, Ereignisse und Kontextinformationen werden übertragen?
• Aktualität: Werden Daten in Echtzeit oder zeitverzögert bereitgestellt?
• Response-Fähigkeit: Liefert die Integration nur Informationen oder unterstützt sie auch Reaktionsmaßnahmen?
• Verwaltung: Drittanbieterprodukte werden weiterhin in ihren eigenen Konsolen administriert.

Die Anzahl der Integrationen allein beschreibt daher nicht deren jeweilige Datentiefe oder Response-Fähigkeit. Kritische Anbindungen sollten vor einem Projekt hinsichtlich Telemetrie, Aktualität, Reaktionsmöglichkeiten und Betriebsaufwand geprüft werden.

Benötigt Sophos Fusion eine eigene Lizenz?

Nein. Sophos Fusion ist laut Sophos kein separates Produkt, keine eigene SKU und keine zusätzliche Plattform. Für die Aktivierung von Fusion ist daher keine gesonderte Lizenz erforderlich. Lizenziert werden die jeweils eingesetzten Produkte und Services – etwa Endpoint, Firewall, XDR, MDR oder Next-Gen SIEM.

Wer nur einen einzelnen Sophos-Control-Point einsetzt, erhält dadurch nicht automatisch sämtliche weiteren Schutz- und Analysefunktionen. Der verfügbare Funktionsumfang wächst mit den tatsächlich lizenzierten Produkten, Services und unterstützten Integrationen.

Quellen und Stand der Informationen

Die technischen Beschreibungen und Herstellerangaben wurden anhand der offiziellen Sophos-Informationen zu Sophos Fusion geprüft:

• Sophos Fusion – offizielle Produktübersicht
• Sophos Community – AI-Native Cybersecurity Defense System FAQ
• Sophos – Ankündigung des Sophos-Fusion-Verteidigungssystems

Herstellerangaben können sich im Zuge der schrittweisen Bereitstellung ändern. Verfügbarkeit, Funktionsumfang, unterstützte Integrationen und Lizenzierung sollten deshalb vor einer konkreten Planung geprüft werden.

Fragen zu Sophos Fusion?

Sie haben Fragen zu Sophos Fusion oder möchten wissen, welche Möglichkeiten sich für Ihre Sicherheitsumgebung ergeben? Ob Erweiterung, Migration oder Absicherung eines neuen Standorts: Unsere erfahrenen Sophos-Fachberater prüfen kostenlos, welche Produkte, Integrationen und Services zu Ihrer Umgebung passen.

Telefonische Beratung: +49 351 81077-50

E-Mail schreiben