Welche Sophos Firewall Firmware empfehlen wir aktuell?

Das Wichtigste in 30 Sekunden

Welche Sophos Firewall Firmware empfehlen wir aktuell?

Bei einer Firewall ist die Frage nach dem richtigen Firmwarestand komplexer als die Frage nach der neuesten verfügbaren Version.

Ein neues Maintenance Release behebt bekannte Fehler und kann wichtige Sicherheitskorrekturen enthalten. Gleichzeitig verändert jedes Firmwareupgrade ein produktives System.

Abhängig von Hardware, VPNs, HA, Routing, SD-WAN, WAF, RED, veröffentlichten Diensten, Authentifizierung oder älteren Konfigurationen können sich die Auswirkungen eines Updates von Umgebung zu Umgebung unterscheiden.

Deshalb gelten aus unserer Sicht zwei Grundsätze gleichzeitig:

• Firewalls sollten auf einem aktuellen und unterstützten Firmwarestand gehalten werden.
• Ein neuer Maintenance-Stand sollte auf geschäftskritischen Systemen kontrolliert und nicht ungeprüft flächendeckend ausgerollt werden.

Direkt zu den wichtigsten Themen

Unsere Einordnung der aktuellen SFOS-Versionen

Wer noch aus einer älteren v21-Umgebung kommt, findet in unserem Beitrag Sophos Firewall OS v21.0 MR2 – Ihr Fahrplan fürs sichere Update zusätzliche Hinweise zu älteren Ausgangskonfigurationen und damaligen Upgrade-Themen.

Warum ist SFOS v22 MR3 unsere Zielversion?

SFOS v22 MR3 Build 576 wurde am 16. Oktober 2026 veröffentlicht.

Sophos bezeichnet MR3 als Release mit mehr als 15 wichtigen Korrekturen für Zuverlässigkeit, Stabilität und Sicherheit.

Die vollständigen Release Notes dokumentieren konkret 16 behobene NC-Issues.

Sophos empfiehlt Kunden mit v22 sowie anderen unterstützten SFOS-Versionen ausdrücklich das Upgrade und weist darauf hin, dass unterstützte Firewalls MR3 erhalten sollten, damit aktuelle Security-, Reliability- und Performance-Korrekturen vorhanden sind.

Von welchen Versionen ist MR3 ein unterstütztes Upgrade?

Laut Sophos ist SFOS v22 MR3 ein vollständig unterstütztes Upgrade von den jeweils noch unterstützten Versionen aus:

• SFOS v22,
• SFOS v21.5,
• SFOS v21,
• SFOS v20.

Ausgewählte dokumentierte Fixes in v22 MR3

Die vollständige Liste aller 16 Fixes finden Sie in den offiziellen Sophos Firewall v22 Release Notes .

Neue Option für Site-to-Site IPsec mit Drittanbieter-Peers

MR3 ergänzt außerdem einen neuen Befehl, mit dem die strikte Policy-Prüfung für Site-to-Site-IPsec-Tunnel in bestimmten Szenarien deaktiviert werden kann.

Das ist relevant, wenn ein Drittanbieter-Peer eine gemeinsame Security Association über mehrere Subnetzpaare verwendet.

Ohne die Anpassung konnte eingehender IPsec-Traffic verworfen werden, wenn dieser nicht der von SFOS erwarteten Security Association entsprach.

Wie ist SFOS v22 MR2 heute einzuordnen?

SFOS v22 MR2 Build 546 wurde am 14. Juli 2026 veröffentlicht und ist damit länger im produktiven Einsatz als MR3.

MR2 selbst brachte neue Funktionen und zahlreiche Fehlerkorrekturen innerhalb der v22-Plattform.

Dass MR3 weitere Probleme behebt, bedeutet nicht, dass jede bestehende MR2-Firewall instabil arbeitet.

Einen ausführlichen Überblick über SFOS v22 MR2 Build 546, die enthaltenen Änderungen, Fehlerkorrekturen und unsere damalige Einordnung finden Sie in unserem FAQ zu Sophos Firewall v22 MR2 Build 546 .

Warum wir keine starre N-1-Regel empfehlen

Die Regel, grundsätzlich immer einen Maintenance-Stand hinter der neuesten Version zu bleiben, klingt zunächst konservativ.

Bei einer Security-Appliance ist eine starre N-1-Regel jedoch nicht automatisch die sicherste Strategie.

Sophos weist darauf hin, dass nicht dringende Security-Fixes häufig Bestandteil regulärer Maintenance Releases sind.

Wer grundsätzlich dauerhaft einen Stand zurückbleibt, kann deshalb ebenfalls relevante Sicherheits- und Stabilitätskorrekturen verzögern.

Warum wir neue Firmwarestände kontrolliert ausrollen

Release Notes zeigen, welche Änderungen und Fehlerkorrekturen ein neuer Firmwarestand enthält.

Für die Entscheidung über ein produktives Upgrade reicht die Versionsnummer allein jedoch nicht aus.

In der Praxis unterscheiden sich Sophos-Firewall-Umgebungen erheblich: von einer einzelnen Standalone-Appliance über virtuelle Firewalls bis zu HA-Clustern mit komplexen VPN-, Routing-, WAF-, RED- und Provider-Konfigurationen.

Unsere Erfahrungen und Beobachtungen zeigen dabei ein typisches Bild: Viele Upgrades verlaufen problemlos, während einzelne Konstellationen nach einem Versionswechsel zusätzliche Analyse erfordern.

Solche Fälle sind kein Beweis für einen allgemeinen Fehler einer Firmware.

Sie zeigen aber, warum wir vor allem bei geschäftskritischen Systemen keine pauschale „Update sofort überall“-Empfehlung aussprechen.

Eigene Laborumgebung als zusätzliche Orientierung

Soweit ein Szenario sinnvoll nachstellbar ist, beziehen wir eigene technische Tests in unsere Bewertung neuer SFOS-Versionen ein.

Dabei betrachten wir beispielsweise:

• Upgrade- und Bootverhalten,
• Firewall- und NAT-Regeln,
• Routing und Netzwerkinterfaces,
• Site-to-Site- und Remote-Access-VPN,
• Web- und SSL/TLS-Inspection,
• Logging und Systemmeldungen,
• zentrale Verwaltung,
• und auffällige Veränderungen nach einem Versionswechsel.

Was zeigen erste öffentliche Erfahrungen mit MR3?

Neben den offiziellen Herstellerinformationen beobachten wir auch öffentlich zugängliche Betriebserfahrungen aus der Sophos Community.

Im aktuellen MR3-Feedback-Thread werden bereits mehrere erfolgreiche Upgrades auf SFOS v22 MR3 Build 576 beschrieben.

Im Thread werden unter anderem erfolgreiche Updates eines XGS126-HA-Clusters sowie auf XGS136 und XGS138 genannt. Ein weiterer Nutzer berichtet zudem von erfolgreichen Updates auf XGS88, mehreren XGS108 und einem XGS3300 Active-Passive-Cluster.

Gleichzeitig gibt es dort auch Diskussionen zu bestehenden Problemen einzelner Umgebungen, bei denen nicht eindeutig dokumentiert ist, ob MR3 diese überhaupt adressiert.

Die öffentliche Diskussion finden Sie im Sophos Community Thread: SFOS v22 MR3 – Feedback and experiences .

Warum auch Sophos selbst gestaffelt ausrollt

Sophos verteilt neue Firewall-Firmware ebenfalls nicht unmittelbar gleichzeitig an alle Systeme.

Dass eine neue Firmware auf einer einzelnen Firewall noch nicht automatisch angeboten wird, bedeutet deshalb nicht zwangsläufig, dass mit dem System oder dem Release ein Problem besteht.

Daraus ergibt sich auch für uns ein sinnvoller Grundsatz: aktuell bleiben – aber kontrolliert aktualisieren.

Welche Rolle spielen Sophos Hotfixes?

Sophos Hotfixes sind ein wichtiger Bestandteil der Firewall-Sicherheitsstrategie.

Damit kann Sophos bestimmte dringende oder wichtige Korrekturen auf einen bestehenden Firmwarestand verteilen, ohne dass dafür unmittelbar ein vollständiges Firmwareupgrade notwendig ist.

Automatische Hotfixes aktiviert lassen

Sophos dokumentiert, dass die automatische Hotfix-Funktion standardmäßig aktiviert ist und empfiehlt, sie eingeschaltet zu lassen.

Hotfixes sind versionsspezifisch.

Die Firewall installiert sie so, dass dafür kein vollständiger Neustart erforderlich ist.

In HA-Umgebungen wird ein Hotfix zunächst auf dem aktuellen Primary-System angewendet. Anschließend synchronisiert das Primary mit dem Auxiliary-System, auf dem der Hotfix ebenfalls angewendet wird.

Wie prüfe ich den Hotfix-Status?

Auf der Device Console lässt sich der Status prüfen mit:

Angewendete Security Updates können außerdem in der Weboberfläche unter Backup & firmware → Hotfix: Security updates nachvollzogen werden.

Ist jeder Hotfix mit einer CVE verbunden?

Nein.

Viele Hotfixes adressieren öffentlich bekannte Schwachstellen und verweisen dann auf ein Sophos Security Advisory.

Sophos dokumentiert jedoch ausdrücklich, dass einzelne Hotfixes auch interne Security-Probleme adressieren können und dann weder eine CVE-ID noch einen öffentlichen Advisory-Link besitzen müssen.

Ersetzt ein Hotfix das nächste Maintenance Release?

Nein.

Hotfixes ermöglichen schnelle Korrekturen, insbesondere bei dringenden Security-Themen.

Nicht dringende Sicherheitskorrekturen können dagegen in reguläre Maintenance Releases einfließen.

Zusätzlich enthalten Maintenance Releases weitere Fehler-, Zuverlässigkeits- und Stabilitätskorrekturen.

Ist MR2 mit allen Hotfixes automatisch gleichwertig zu MR3?

Nein.

Ein Hotfix korrigiert definierte Probleme.

MR3 enthält darüber hinaus die von Sophos dokumentierten Maintenance-Fixes des neuen Builds.

Deshalb wäre die Aussage „MR2 plus Hotfixes entspricht MR3“ technisch nicht korrekt.

Umgekehrt bedeutet die Veröffentlichung eines neuen Maintenance Releases aber auch nicht, dass eine bis dahin stabil laufende ältere Maintenance-Version am Veröffentlichungstag automatisch unbrauchbar wird.

Vor dem Upgrade: Nicht nur auf die Versionsnummer schauen

Der richtige Zielstand allein garantiert noch kein problemloses Upgrade.

Vor einem Versionswechsel sollten Ausgangsversion, Hardware, Ressourcen, Upgradepfad und Konfiguration geprüft werden.

Virtuelle Sophos Firewalls

Gerade bei virtuellen Appliances können neben der SFOS-Version auch Hypervisor, zugewiesene Ressourcen und virtueller Storage relevant sein.

Vor einem Upgrade prüfen wir deshalb unter anderem:

• den unterstützten Upgradepfad,
• freien Speicherplatz,
• CPU- und RAM-Ausstattung,
• virtuellen Storage,
• Hypervisor-Kompatibilität,
• und die vorhandene Firewall-Konfiguration.

Hardwaremodell und Dimensionierung

Ein Firmwareupgrade kann auch ein sinnvoller Zeitpunkt sein, die eingesetzte Appliance und deren Leistungsreserven zu überprüfen.

Welche Faktoren bei Benutzerzahl, Bandbreite, SSL Inspection, IPS und Cloud-Nutzung relevant sind, zeigen wir ausführlicher im Beitrag Welche Sophos XGS Firewall ist die richtige? Dimensionierung für Unternehmen .

XG- und SG-Hardware beachten

XG- und SG-Hardware-Appliances werden bereits seit SFOS v21.0 GA nicht mehr unterstützt. Sie können daher auch nicht auf SFOS v22 oder spätere Versionen aktualisiert werden.

Wer noch entsprechende Alt-Hardware betreibt, muss deshalb zunächst die Hardwareplattform beziehungsweise eine Migration auf eine unterstützte XGS-, virtuelle oder Cloud-Plattform in die Upgradeplanung einbeziehen.

Legacy Remote Access IPsec

Die alte Legacy Remote Access IPsec-Konfiguration wird seit SFOS v22 MR1 nicht mehr unterstützt.

Firewalls, die diese Legacy-Konfiguration noch enthalten, können nicht einfach auf MR1, MR2 oder spätere v22-Versionen aktualisiert werden.

Unser v22-MR1-Praxisartikel behandelt die damaligen Änderungen rund um Remote-Access-IPsec und weitere wichtige Upgrade-Hinweise.

Legacy VLAN Tagging auf Bridge-Interfaces

Enthält die Firewall noch Legacy CLI VLAN Tagging auf Bridge-Interfaces, ist ein Upgrade auf SFOS v22 MR2 oder spätere Versionen nicht möglich.

Sophos weist außerdem darauf hin, dass Backups mit dieser Legacy-Konfiguration nicht auf SFOS v22 GA und spätere Versionen wiederhergestellt werden können.

Die Legacy-Konfiguration sollte deshalb vor dem Upgrade gezielt geprüft, entfernt und – falls weiterhin benötigt – über die aktuelle Konfiguration in der Weboberfläche neu umgesetzt werden.

Policy-based IPsec und weitere v22-GA-Änderungen

Seit SFOS v22 GA haben sich verschiedene technische Details bei VPN, NAT, Bridge/VLAN und anderen Netzwerkfunktionen geändert.

Diese Hintergründe haben wir in unserem Beitrag SFOS v22.0 GA: Technische Änderungen und bekannte Fallstricke zusammengefasst.

Unsere Update-Strategie für produktive Sophos Firewalls

1. Security-Hotfixes aktiviert lassen

Damit stehen wichtige Herstellerkorrekturen unabhängig vom nächsten geplanten Wartungsfenster zur Verfügung.

2. Release Notes und Security Advisories prüfen

Nicht nur nach der Versionsnummer entscheiden:

• Welche Fehler behebt das Release?
• Ist die eigene Umgebung davon betroffen?
• Gibt es relevante Security-Hinweise?
• Existieren Änderungen bei VPN, HA, WAF, RED oder Routing?
• Gibt es bekannte Upgradeblocker?

3. Backup und Zustand der Firewall prüfen

Vor einem Upgrade empfehlen wir mindestens:

• aktuelles Sophos-Konfigurationsbackup erstellen,
• Firmware- und Pattern-Stand dokumentieren,
• freien Speicherplatz kontrollieren,
• bestehende Warnungen und Fehler prüfen,
• bei HA Zustand und Synchronisierung beider Nodes prüfen,
• kritische VPN-, RED- und WAN-Verbindungen dokumentieren,
• und den Firewall Health Check berücksichtigen.

4. Pilot statt sofortiger Massenrollout

Wenn mehrere vergleichbare Systeme vorhanden sind, sollte ein neuer Maintenance-Stand nicht zwingend gleichzeitig auf allen Firewalls installiert werden.

Ein möglicher Rollout kann beispielsweise so aussehen:

1. Labor- oder Testsystem,
2. weniger kritischer Standort,
3. vergleichbare produktive Appliance,
4. weitere Standorte,
5. besonders sensible HA- oder Spezialumgebungen.

5. Security-Risiko kann das Beobachtungsfenster verkürzen

Ein kritisches Security Advisory kann wichtiger sein als ein übliches konservatives Beobachtungsfenster.

Fordert Sophos aufgrund eines Security-Themas ausdrücklich ein Firmwareupgrade oder betrifft ein dokumentiertes Sicherheitsproblem die eigene Umgebung, muss das Security-Risiko entsprechend höher gewichtet werden.

6. Nach dem Upgrade aktiv testen

Ein erfolgreicher Neustart allein reicht für eine technische Freigabe nicht aus.

Nach dem Update sollten mindestens geprüft werden:

• WAN- und LAN-Interfaces,
• Internetverbindung,
• Firewall- und NAT-Regeln,
• Site-to-Site-VPN,
• Remote-Access-VPN,
• HA-Status und Synchronisierung,
• RED-Verbindungen,
• DNS und DHCP,
• Routing und SD-WAN,
• Web- und SSL/TLS-Inspection,
• WAF-Veröffentlichungen,
• Authentication und SSO,
• E-Mail/MTA, sofern eingesetzt,
• Sophos Central beziehungsweise zentrale Verwaltung,
• Pattern Updates,
• Log Viewer und Systemmeldungen.

Wenn nach einem Update nicht sofort klar ist, welche Komponente eine Störung verursacht, hilft unser Admin-Guide: Sophos Firewall Logs richtig lesen bei der strukturierten Eingrenzung über Log Viewer, CLI und relevante Logdateien.

Wann würden wir von MR2 schneller auf MR3 wechseln?

Was ist mit SFOS v23?

SFOS v23 ist technisch besonders interessant und bringt unter anderem:

• AI-gestützte Administration,
• eine moderne REST API,
• vereinfachtes Regelmanagement,
• Verbesserungen bei High Availability,
• DNSSEC und DNS over HTTPS,
• zusätzliche Identity-Funktionen,
• und ein überarbeitetes WAF-Modell.

Stand dieses Artikels befindet sich SFOS v23 jedoch weiterhin im Early Access Program.

Alle derzeit bekannten Neuerungen, Einschränkungen und Upgrade-Hinweise haben wir in unserem ausführlichen Beitrag Sophos Firewall v23: Die wichtigsten Neuerungen im Überblick zusammengefasst.

Wichtig für Tester: Von SFOS v22 MR3 ist aktuell kein direkter Wechsel auf v23 EAP1 vorgesehen.

Diese Einschränkung betrifft den derzeitigen Early-Access-Pfad und sollte nicht ohne die spätere GA-Upgrade-Matrix auf die finale v23-Version übertragen werden.

Häufige Fragen zur empfohlenen Sophos-Firewall-Version

Ist SFOS v22 MR3 aktuell unsere Empfehlung?

Ja.

Für neu geplante produktive Upgrades ist MR3 Build 576 derzeit unser bevorzugter Zielstand, sofern die jeweilige Umgebung und der Upgradepfad dazu passen.

Empfiehlt Sophos selbst den Wechsel auf MR3?

Ja.

Sophos empfiehlt Kunden mit v22 und anderen unterstützten SFOS-Versionen ausdrücklich das Upgrade auf MR3.

Sollte ich eine stabile MR2-Firewall sofort auf MR3 aktualisieren?

Sophos empfiehlt das Upgrade auf MR3.

Bei einer stabil laufenden, geschäftskritischen MR2-Firewall kann der Wechsel aus unserer Sicht kontrolliert innerhalb eines Wartungsfensters erfolgen.

Ist die eigene Umgebung von einem mit MR3 behobenen Fehler betroffen oder besteht ein relevantes Security-Thema, spricht dies für einen schnelleren Wechsel.

Ist MR2 aktuell sicher?

Das lässt sich nicht allein anhand der Versionsnummer beantworten.

Entscheidend sind unter anderem:

• der tatsächlich installierte Build,
• angewendete Security-Hotfixes,
• aktuelle Sophos Security Advisories,
• bekannte Fehler des Firmwarestands,
• und die geplante weitere Firmwarepflege.

Sind Hotfixes genauso gut wie ein Firmwareupgrade?

Nein – beide erfüllen unterschiedliche Aufgaben.

Hotfixes können dringende Probleme schnell adressieren.

Maintenance Releases bündeln zusätzlich weitere Sicherheits-, Stabilitäts- und Fehlerkorrekturen.

Sollte man grundsätzlich immer N-1 einsetzen?

Nein.

Ein bewusst verzögerter Rollout kann für kritische Systeme sinnvoll sein.

Eine starre N-1-Regel berücksichtigt jedoch nicht, welche Security- und Fehlerkorrekturen das jeweils neuere Maintenance Release tatsächlich enthält.

Wann sollte ein neues Maintenance Release schneller installiert werden?

• wenn ein eigener Fehler damit nachweislich behoben wird,
• wenn Sophos aufgrund eines Security-Themas ein Upgrade empfiehlt oder verlangt,
• wenn der bisherige Stand nicht mehr ausreichend unterstützt wird,
• oder wenn eine benötigte Funktion oder Kompatibilität erst im neuen Stand vorhanden ist.

Sind öffentliche Community-Erfahrungen ein Beweis für Stabilität?

Nein.

Sie können wertvolle Hinweise liefern, wie sich ein Release in unterschiedlichen Umgebungen verhält.

Sie ersetzen jedoch weder die offiziellen Release Notes noch eine Prüfung der eigenen Konfiguration.

Fazit: MR3 ist das Ziel – kontrolliert statt hektisch

Für eine Firewall zählt nicht, ob die Versionsnummer möglichst hoch ist.

Entscheidend ist, dass Security-Fixes berücksichtigt, bekannte Fehler bewertet und Firmwareupdates kontrolliert durchgeführt werden.

Sophos empfiehlt aktuell SFOS v22 MR3 Build 576.

Aufgrund der dokumentierten Korrekturen ist MR3 auch aus unserer Sicht der sinnvollste Zielstand für heute neu geplante v22-Upgrades.

Gleichzeitig ist MR3 zum Stand dieses Artikels erst seit dem 16. Oktober 2026 verfügbar.

Bei geschäftskritischen Installationen empfehlen wir deshalb einen kontrollierten Rollout statt eines ungeprüften flächendeckenden Sofortupdates.

Offizielle Sophos-Quellen

• Sophos Firewall v22 – Release Notes
• Sophos Firewall Product Team – v22 MR3 is now available
• Sophos Firewall – Firmware Release Process and Timeline
• Sophos Firewall – Hotfix Security Updates

Ergänzende Praxiseinordnung

• Sophos Community – SFOS v22 MR3 Feedback and experiences

Upgrade vorab prüfen oder technisch begleiten lassen?

Sie sind unsicher, ob SFOS v22 MR3 für Ihre Sophos Firewall bereits der richtige Zielstand ist?

Wir unterstützen Sie bei der Prüfung Ihrer bestehenden Umgebung vor dem Upgrade .

Dabei können wir unter anderem berücksichtigen:

• aktuellen Firmwarestand und Build,
• unterstützten Upgradepfad,
• Hardwaremodell oder virtuelle Appliance,
• Systemressourcen und Speicherplatz,
• HA-Konfiguration,
• Site-to-Site- und Remote-Access-VPN,
• WAF und veröffentlichte Dienste,
• RED-Verbindungen,
• Routing und SD-WAN,
• Legacy-Konfigurationen und bekannte Upgradeblocker.

Auf Wunsch begleiten wir auch die Durchführung des Firmwareupdates.

Sollte während oder nach dem Upgrade ein Fehler auftreten, unterstützen wir bei Analyse, Logauswertung und Troubleshooting.

Für eine strukturierte Vorabprüfung kann zusätzlich ein Sophos XGS Health Check sinnvoll sein.

Unternehmen, die für Störungen ihrer Sophos-Umgebung zusätzlich definierte Reaktionszeiten wünschen, finden weitere Informationen in unserem Beitrag UTMshop Care: SLA-basierter Fehlersupport für Sophos Firewalls .

Passende Sophos-Produkte & Services

Kontakt