Sophos AI Defense einfach erklärt: KI-Nutzung sichtbar machen, bewerten und absichern

Das Wichtigste in 30 Sekunden

Direkt zu den wichtigsten Themen

Was ist Sophos AI Defense – und was nicht?

Sophos AI Defense ist eine Funktion in Sophos Fusion, mit der Unternehmen erkennen, bewerten und steuern können, wie KI-Anwendungen im Arbeitsalltag genutzt werden. Im Mittelpunkt steht die sichere und kontrollierte Nutzung von KI-Diensten – nicht die KI-gestützte Erkennung von Viren oder Schadsoftware auf Endpoints.

Im Alltag beantwortet Sophos AI Defense vor allem vier Fragen: Welche KI wird genutzt? Wer nutzt sie? Wie riskant ist die Anwendung? Und darf sie im Unternehmen verwendet werden?

Dabei wird auch Shadow AI sichtbar – also KI-Dienste, die bereits genutzt werden, obwohl sie von der IT noch nicht ausdrücklich freigegeben wurden. Sophos ordnet solche Aktivitäten Benutzern beziehungsweise Geräten zu und bewertet verwendete Anwendungen unter anderem anhand ihrer Risikoeinstufung und weiterer Eigenschaften.

Sophos verfolgt dabei bewusst keinen isolierten Ansatz:

• Keine eigenständige KI-Governance-Plattform: Die Funktionen werden in die bestehende Sophos-Sicherheitsumgebung integriert.
• Keine Ablösung vorhandener Werkzeuge: Endpoint, Firewall, DNS Protection, Protected Browser und weitere Kontrollpunkte bleiben bestehen und liefern Daten oder setzen Richtlinien durch.
• Kein eigenes KI-Sicherheitsteam nötig: Erkenntnisse können in bestehende Security- und Incident-Response-Prozesse einfließen.
• Kein Einzelwerkzeug für nur eine Risikoebene: Erkennung, Bewertung, Durchsetzung und Reaktion greifen zusammen und decken damit mehrere Schritte der KI-Nutzung ab.

Zusätzlich entsteht ein zentraler Überblick über erkannte Anwendungen und Aktivitäten. Die IT sieht, welche KI-Dienste verwendet werden, wie Sophos deren Risiko einordnet und welche Richtlinien greifen. So lassen sich neue oder bislang nicht freigegebene Anwendungen gezielt prüfen, priorisieren und bei Bedarf einschränken.

Als Bestandteil von Sophos Fusion nutzt AI Defense vorhandene Sensoren und Kontrollpunkte, um KI-Nutzung sichtbar und steuerbar zu machen, statt eine zusätzliche isolierte Plattform aufzubauen.

Die vier Bausteine von Sophos AI Defense

Sophos AI Defense verbindet vier Bausteine, die aus reiner Sichtbarkeit eine steuerbare Sicherheitsfunktion machen: Zuerst wird erkannt, wo KI genutzt wird, anschließend wird das Risiko eingeordnet, passende Richtlinien greifen bei der Nutzung und auffällige Aktivitäten fließen in bestehende Sicherheitsabläufe ein.

Erkennung: Welche KI-Werkzeuge, Agenten und Abläufe laufen?

Sophos AI Defense schafft im ersten Schritt Transparenz darüber, welche KI im Unternehmen tatsächlich verwendet wird. Dazu gehören nicht genehmigte Dienste als Shadow AI, offiziell freigegebene Anwendungen, KI-Funktionen, die bereits in andere Programme eingebettet sind, sowie agentengesteuerte Abläufe, die selbstständig Aufgaben ausführen.

Eine ausführlichere Einordnung der vier Arten von KI im Unternehmen zeigt unser separater Beitrag.

Sophos sammelt entsprechende Signale über vorhandene Sensoren und ordnet Aktivitäten Geräten beziehungsweise – soweit entsprechender Kontext vorhanden ist – Benutzern zu.

Quelle: Sophos Dokumentation – AI Defense Setup

Praxisbeispiel: Ein Mitarbeiter nutzt neben einem freigegebenen KI-Assistenten plötzlich einen neuen Online-KI-Dienst, den die IT bisher nicht kennt. Statt dass diese Nutzung unbemerkt bleibt, erscheint sie in AI Defense als nicht genehmigte Anwendung. Die IT kann die Aktivität einordnen und anschließend entscheiden, ob die Anwendung freigegeben, mit einer Warnung versehen oder blockiert werden soll.

Bewertung: Welche Nutzung ist riskant?

Sophos AI Defense betrachtet KI-Nutzung nicht nur als Liste verwendeter Anwendungen. Die Risikoeinstufung hilft dabei, auffällige oder besonders relevante KI-Aktivitäten zu priorisieren.

Praxisbeispiel: Ein Mitarbeiter verwendet einen bekannten Chatbot nur zum Formulieren allgemeiner Texte. Ein anderer Benutzer setzt dagegen KI-Agenten mit weitergehenden Zugriffsrechten ein, die auf interne Daten oder Arbeitsabläufe zugreifen können.

Obwohl in beiden Fällen KI eingesetzt wird, unterscheiden sich mögliche Auswirkungen und Schutzbedarf erheblich. Die Bewertung hilft dabei, die Aktivitäten zuerst zu prüfen, bei denen Risiko und mögliche Auswirkungen höher sind.

Durchsetzung: Richtlinien dort, wo KI genutzt wird

Sophos AI Defense ermöglicht Richtlinien für erkannte KI-Anwendungen. Anwendungen können erlaubt, mit einer Warnung versehen oder blockiert werden. Der Geltungsbereich kann auf Benutzer, Gruppen oder Netzwerke begrenzt werden.

Für browserbasierte GenAI-Nutzung kann Sophos Protected Browser zusätzliche Kontrollen bereitstellen, beispielsweise für Datei-Uploads oder Copy & Paste. Dafür ist eine separate Workspace-Protection-Lizenz erforderlich; Workspace Protection ist nicht Bestandteil des AI-Defense-Add-ons.

Weitere Funktionen zur tiefergehenden Prüfung von Prompts und Uploads sind nach der Sophos-Auskunft an UTMshop vom 1. Oktober 2026 für einen weiteren Ausbauschritt vorgesehen. Als damaliger Zielzeitraum wurde Q1 2027 genannt.

Quelle: Sophos Dokumentation – AI Defense Policies

Praxisbeispiel: Ein Mitarbeiter öffnet einen nicht freigegebenen Chatbot, den Sophos als hohes Risiko einstuft. Eine AI-Defense-Richtlinie kann die Anwendung blockieren oder zunächst eine Warnung anzeigen.

Wird ein freigegebener GenAI-Dienst über den separat lizenzierten Protected Browser genutzt, können zusätzlich Browser-Regeln etwa Uploads oder Copy & Paste einschränken.

Reaktion: Einbindung in Detection and Response

Sophos AI Defense bindet auffällige KI-Aktivitäten in bestehende Prozesse für Erkennung, Untersuchung und Reaktion ein.

Detections können beispielsweise entstehen, wenn erstmals eine neue KI-Anwendung auftaucht, eine High-Risk-Aktivität erkannt wird oder ein nicht freigegebener Dienst verwendet wird.

Quelle: Sophos Dokumentation – AI Defense Detections

Praxisbeispiel: In einer Umgebung taucht erstmals ein bislang unbekannter KI-Dienst auf und wird von mehreren Geräten genutzt. Das Security-Team kann die Detection untersuchen, bewerten und anschließend die passende Richtlinie anpassen.

Im Zusammenspiel mit Sophos XDR oder MDR können solche KI-bezogenen Aktivitäten in bereits etablierte Detection-, Investigation- und Response-Abläufe einbezogen werden. Dadurch entsteht kein separater Prozess nur für KI, sondern zusätzlicher Sicherheitskontext innerhalb der vorhandenen Arbeitsweise.

Wo setzt Sophos AI Defense an? Endpoint, Netzwerk, Identität und Browser

Sophos AI Defense nutzt vorhandene Sophos-Komponenten. Nach Auskunft von Sophos an UTMshop vom 1. Oktober 2026 ist dafür kein zusätzlicher AI-Defense-Agent vorgesehen.

Sophos Endpoint liefert Geräte- und Identitätskontext, Sophos Firewall stellt Netzwerksicht bereit und Sophos Workspace Protection mit Protected Browser ergänzt den Browser-Kontext. Sophos Fusion führt die Informationen zentral zusammen.

Die aktuelle öffentliche Sophos-Dokumentation nennt für den Einrichtungsassistenten unter anderem Sophos Endpoint, Sophos Firewall und Sophos Linux Server als auswählbare Sensoren. In der allgemeinen AI-Defense-Dokumentation werden darüber hinaus weitere Datenquellen wie DNS Protection, Protected Browser und Sophos Data Lake genannt.

Sophos dokumentiert für einzelne AI-Defense-Aktivitäten unter anderem Anwendung, Actor beziehungsweise Gerät, Risikostufe, erkennenden Sensor, Zeitpunkt und ausgeführte Aktion.

Dashboard, Inventory, Activity und Detections ergänzen diese Sicht um Informationen zu verwendeten Anwendungen, nicht genehmigter KI-Nutzung sowie erlaubten, gewarnten oder blockierten Aktivitäten.

Zum aktuellen Stand konzentriert sich Sophos AI Defense vor allem auf zentrale Sichtbarkeit, Risikoeinordnung und Policy-Steuerung.

Weitere Funktionen zur tiefergehenden Prüfung von Prompts und Uploads – darunter Prompt Monitoring, DLP-Prüfung, Input Sanitization und Output Interception – waren nach der Sophos-Auskunft vom 1. Oktober 2026 für einen weiteren Ausbauschritt vorgesehen. Als damaliger Zielzeitraum wurde Q1 2027 genannt.

Voraussetzungen und Lizenzierung: Add-on für EDR, XDR und MDR

Sophos AI Defense ist keine eigenständige Sicherheitslösung, sondern ein optionales Add-on für Unternehmen, die bereits Sophos EDR, XDR oder MDR einsetzen.

Voraussetzung ist außerdem, dass der betreffende Account auf die neue Plattform mit Security Operations aktualisiert wurde. Erst dann steht AI Defense innerhalb von Sophos Fusion zur Einrichtung zur Verfügung.

Für Bestandskunden bedeutet dieses Upgrade keine klassische Migration auf ein völlig neues System. Sophos stellt bestehende Umgebungen schrittweise auf die Fusion-Architektur um.

Wer bereits EDR, XDR oder MDR einsetzt, sollte daher zunächst prüfen, ob der eigene Account bereits für Sophos Fusion mit Security Operations freigeschaltet wurde. Anschließend kann das AI-Defense-Add-on ergänzt und eingerichtet werden.

Der Einrichtungsassistent prüft dabei, welche Sensoren zur Verfügung stehen und ob deren Voraussetzungen erfüllt sind.

Passende Ausgangslösungen finden Sie bei UTMshop unter Sophos Endpoint und XDR sowie Sophos MDR .

Was Sie für Sophos AI Defense brauchen – je nachdem, was Sie heute haben

Sophos AI Defense setzt als Lizenzbasis Sophos EDR, XDR oder MDR voraus. Zusätzlich muss der betreffende Account auf Sophos Fusion mit Security Operations aktualisiert sein.

Wer nur eine Sophos Firewall oder Central Endpoint ohne EDR nutzt, benötigt deshalb zunächst eine passende EDR-Basis. Bei vorhandenem EDR, XDR oder MDR ist zu prüfen, ob das von Sophos gesteuerte Fusion-Upgrade des Accounts bereits erfolgt ist. Anschließend kann die Sophos AI Defense Lizenz ergänzt werden.

Wichtig: Sophos Workspace Protection ist keine Voraussetzung für die AI-Defense-Lizenz und nicht Bestandteil des AI-Defense-Add-ons.

Wenn zusätzlich Browser-Kontrollen über Sophos Protected Browser genutzt werden sollen, wird Workspace Protection separat lizenziert.

Welche Sensoren in einer konkreten Umgebung eingesetzt werden können und ob alle Voraussetzungen erfüllt sind, prüft der AI-Defense-Einrichtungsassistent.

Unsicher, ob Sophos AI Defense zu Ihren bestehenden Lizenzen passt? In unserer Kaufberatung prüfen wir Ihren aktuellen Lizenzstand und zeigen, welche Erweiterung tatsächlich benötigt wird.

Preise und Verfügbarkeit von Sophos AI Defense

Stand: 13.10.2026

Sophos AI Defense ist seit dem 13. Oktober 2026 allgemein verfügbar. Zuvor wurde die Lösung seit August 2026 im Early Access bereitgestellt.

Sophos AI Defense wird als einheitliches Add-on für Sophos EDR, XDR und MDR angeboten. Der Preis ist dabei unabhängig davon, welche dieser Lizenzen als Grundlage eingesetzt wird.

Im UTMshop kostet die Sophos AI Defense Lizenz in der kleinsten Staffel (1 bis 9) 60,62 € netto je User oder Server für 12 Monate, größere Staffeln sind günstiger. Alle Lizenzen und Verlängerungen finden Sie unter Sophos AI Defense .

Sophos AI Defense, XDR und MDR: Wer übernimmt welche Aufgabe?

Sophos AI Defense, Sophos XDR und Sophos MDR erfüllen unterschiedliche Aufgaben innerhalb der Sophos-Sicherheitsarchitektur.

AI Defense konzentriert sich darauf, KI-Nutzung sichtbar zu machen, Risiken einzuordnen und den Zugriff auf KI-Anwendungen per Richtlinie zu steuern.

XDR richtet den Blick dagegen auf die Erkennung, Untersuchung und Reaktion auf Cyberbedrohungen anhand von Telemetrie aus verschiedenen Quellen.

MDR ergänzt diese technischen Funktionen um einen rund um die Uhr verfügbaren Managed Service mit Sophos-Sicherheitsexperten.

Die Lösungen ersetzen sich daher nicht gegenseitig, sondern unterscheiden sich vor allem darin, welches Problem sie lösen und wer die laufende Analyse beziehungsweise Reaktion übernimmt.

Quelle: Sophos Dokumentation – AI Defense

Einordnung: Was Sophos AI Defense in der Praxis bringt – und wo die Grenzen liegen

Sophos AI Defense kann vor allem für IT- und Security-Teams hilfreich sein, weil die KI-Nutzung nicht als separates Spezialthema behandelt wird, sondern in bestehende Sophos-Abläufe einfließt.

Der praktische Nutzen liegt vor allem darin, Informationen zusammenzuführen: Welche KI-Anwendungen werden genutzt? Von wem? Wie wird die Anwendung bewertet? Und welche Richtlinie gilt dafür?

Dadurch kann die IT nicht genehmigte oder auffällige Nutzung schneller erkennen, priorisieren und bei Bedarf einschränken. Richtlinien können Anwendungen erlauben, Benutzer warnen oder Zugriffe blockieren. Auffällige Aktivitäten lassen sich außerdem in bestehende Prozesse für Untersuchung und Reaktion einordnen.

Zum aktuellen Stand konzentriert sich Sophos AI Defense vor allem auf zentrale Sichtbarkeit, Risikoeinordnung und Policy-Steuerung: Welche KI-Anwendungen werden genutzt, von wem, über welchen Sensor und mit welcher Risikoeinstufung?

Weitere Funktionen zur tiefergehenden Prüfung von Prompts und Uploads – darunter Prompt Monitoring, DLP-Prüfung, Input Sanitization und Output Interception – waren nach der Sophos-Auskunft vom 1. Oktober 2026 für einen weiteren Ausbauschritt vorgesehen. Als damaliger Zielzeitraum wurde Q1 2027 genannt.

Auch organisatorisch ist die Einführung nicht nur ein technisches Thema. Wenn KI-Aktivitäten Benutzern oder Geräten zugeordnet und Richtlinien auf Benutzer oder Gruppen angewendet werden, kann die Mitbestimmung des Betriebsrats eine Rolle spielen.

Ob und in welchem Umfang das zutrifft, hängt von der konkreten Ausgestaltung im Unternehmen ab und sollte intern geprüft werden. Sinnvoll ist deshalb, Datenschutz, Betriebsrat und interne Richtlinien frühzeitig in die Einführung einzubeziehen.

Vor der Einführung sollten Unternehmen außerdem die jeweils aktuellen Datenschutz-, Vertrags- und Datenverarbeitungsinformationen von Sophos prüfen und diese mit den eigenen Datenschutz- und Compliance-Anforderungen abgleichen.

Ebenso wichtig: Die Nutzung des Produkts bedeutet nicht automatisch, dass gesetzliche oder regulatorische Anforderungen erfüllt sind. Funktionen für Sichtbarkeit, Bewertung und Steuerung können Governance-Prozesse unterstützen, ersetzen aber keine rechtliche Prüfung und keine eigene Bewertung der Anforderungen im Unternehmen.

Häufige Fragen zu Sophos AI Defense

Ist Sophos AI Defense eine weitere Plattform?

Sophos AI Defense ist keine zusätzliche eigenständige Plattform, sondern eine Funktion in Sophos Fusion, die Sophos als optionales Add-on für EDR, XDR und MDR anbietet.

Sichtbarkeit, Richtlinien, Inventar und Detections werden in der bestehenden Sophos-Umgebung bereitgestellt. Voraussetzung ist, dass die passende EDR-, XDR- oder MDR-Basis vorhanden ist und der jeweilige Account bereits auf Sophos Fusion mit Security Operations aktualisiert wurde.

Muss ich vorhandene Sophos-Produkte ersetzen?

Sophos AI Defense baut auf einer vorhandenen EDR-, XDR- oder MDR-Umgebung auf; diese muss dafür nicht ersetzt werden.

Entscheidend ist, dass die erforderliche Basislizenz vorhanden ist, der Account auf Sophos Fusion mit Security Operations aktualisiert wurde und die für die gewünschte Sichtbarkeit benötigten Sensoren die Voraussetzungen erfüllen.

Ist Sophos AI Defense nur für große Unternehmen sinnvoll?

Sophos AI Defense ist nicht auf den Einsatz in Großunternehmen beschränkt. Der Ansatz kann auch für kleinere und mittlere IT- und Security-Teams interessant sein, die KI-Nutzung mit ihren bereits vorhandenen Sophos-Komponenten sichtbar machen, bewerten und steuern möchten.

Ob sich das Add-on lohnt, hängt weniger von der Unternehmensgröße als davon ab, wie stark KI bereits eingesetzt wird und welche Anforderungen an Sichtbarkeit, Richtlinien und Nachweisbarkeit bestehen.

Warum sollte ich mich jetzt mit Sophos AI Defense beschäftigen?

KI wird längst nicht mehr nur über bekannte Chatbots genutzt. KI-Funktionen sind zunehmend direkt in Anwendungen eingebettet; zusätzlich kommen Coding-, Desktop- und Agent-Anwendungen hinzu.

Dadurch kann die tatsächliche KI-Nutzung breiter sein, als es auf den ersten Blick erscheint. Wer früh Transparenz schafft, kann Anwendungen einordnen und anschließend gezielt entscheiden, welche Nutzung freigegeben, mit einer Warnung versehen oder blockiert werden soll.

Welche Lizenz brauche ich für Sophos AI Defense?

Sophos AI Defense wird als Add-on für Sophos EDR, XDR und MDR angeboten; zusätzlich muss der betreffende Account auf Sophos Fusion mit Security Operations aktualisiert sein.

Nach den UTMshop vorliegenden Sophos-Lizenzierungsinformationen muss die AI-Defense-Lizenzmenge der vorhandenen EDR-, XDR- oder MDR-Menge entsprechen; User und Server werden dabei zusammen berücksichtigt.

Der AI-Defense-Preis ist unabhängig davon, ob EDR, XDR oder MDR die zugrunde liegende Lizenz ist. Workspace Protection wird separat lizenziert und ist nicht Bestandteil des Add-ons.

Was ist der Unterschied zwischen Sophos AI Defense und Fusion AI?

Sophos AI Defense konzentriert sich auf die Sichtbarkeit, Bewertung und Steuerung der KI-Nutzung im Unternehmen.

Fusion AI ist dagegen der Intelligence Layer innerhalb von Sophos Fusion und unterstützt Security-Abläufe mit KI. Beide gehören zu Sophos Fusion, erfüllen aber unterschiedliche Aufgaben und sollten nicht gleichgesetzt werden.

Mehr zu Sophos Fusion und Fusion AI finden Sie in unserer Sophos Fusion FAQ .

Wie erkennt Sophos AI Defense die KI-Nutzung technisch?

Sophos AI Defense nutzt vorhandene Sophos-Komponenten und führt deren Signale innerhalb von Sophos Fusion zusammen.

Die aktuelle Sophos-Dokumentation nennt unter anderem Sophos Endpoint, Sophos Firewall und Sophos Linux Server im Setup sowie weitere mögliche Datenquellen wie DNS Protection, Protected Browser und Sophos Data Lake.

Dadurch kann AI Defense KI-Aktivitäten aus mehreren Kontrollpunkten zentral sichtbar machen und Richtlinien auf erkannte KI-Nutzung anwenden.

Muss der Betriebsrat zustimmen?

Sophos AI Defense kann KI-Aktivitäten Benutzern beziehungsweise Geräten zuordnen und Richtlinien auf Benutzer oder Gruppen anwenden.

Deshalb kann die Einführung Fragen zu Datenschutz und betrieblicher Mitbestimmung aufwerfen. Ob der Betriebsrat beteiligt werden muss und in welchem Umfang, hängt von der konkreten Nutzung, den erhobenen Daten und den internen Prozessen des Unternehmens ab.

Diese Frage sollte deshalb vor der Einführung intern geprüft werden. Die Darstellung hier ist keine Rechtsberatung.

Fazit: KI-Nutzung absichern, ohne neue Plattform

Sophos AI Defense ergänzt bestehende Sophos-Security-Operations-Umgebungen um zentrale Sichtbarkeit, Risikoeinordnung und Steuerung der KI-Nutzung.

Die IT kann erkennen, welche Dienste verwendet werden, wie Sophos deren Risiko einordnet und welche Anwendungen erlaubt, mit einer Warnung versehen oder blockiert werden sollen. Auffällige Aktivitäten lassen sich in bestehende Detection- und Response-Abläufe einbinden, ohne dafür eine zusätzliche isolierte Plattform aufzubauen.

Der nächste Schritt hängt vom vorhandenen Lizenzstand ab. Sophos AI Defense setzt Sophos EDR, XDR oder MDR sowie einen auf Sophos Fusion mit Security Operations aktualisierten Account voraus.

Workspace Protection ist nicht Bestandteil des Add-ons und wird zusätzlich benötigt, wenn die Browser-Ebene über Protected Browser mit entsprechenden Browser-Kontrollen einbezogen werden soll.

Unternehmen mit Central Endpoint ohne EDR müssen zunächst auf EDR erweitern; reine Firewall-Kunden benötigen zuerst eine geeignete EDR-Basis.

Vor der Einführung sollten Unternehmen außerdem ihren vorhandenen Sensor- und Lizenzstand sowie Datenschutz- und Mitbestimmungsanforderungen prüfen. So lässt sich AI Defense gezielt in die bestehende Sophos-Sicherheitsarchitektur integrieren.

Fragen zu Sophos AI Defense?

Sie möchten wissen, ob Ihre vorhandenen Sophos-Lizenzen bereits die Voraussetzungen erfüllen oder welche Erweiterung noch benötigt wird?

Wir prüfen gemeinsam mit Ihnen den aktuellen Stand und zeigen, welcher nächste Schritt für Ihre Umgebung sinnvoll ist.

Kontakt

Verwandte Artikel

• Schatten-KI im Unternehmen erkennen und kontrollieren
• Sophos Fusion FAQ