Sophos Firewall v23 GA: Die wichtigsten Neuerungen im Überblick
Sophos Firewall OS v23 (SFOS v23) ist seit dem 4. November 2026 allgemein verfügbar.
Sophos hat SFOS 23.0 GA Build 371 veröffentlicht. Die bisherige Early-Access-Phase ist damit beendet.
Das Wichtigste in 30 Sekunden
SFOS 23.0 GA Build 371 wurde am 4. November 2026 veröffentlicht.
Moderne API für Skripte, Integrationen und standardisierte Verwaltungsprozesse.
KI unterstützt bei Analyse und Regelerstellung – der Administrator behält die Kontrolle.
Das dokumentierte Erkennungsfenster für den Verlust des HA-Partners sinkt von 4 Sekunden auf 300 Millisekunden.
DNS over HTTPS und DNSSEC schützen unterschiedliche Bereiche der Namensauflösung.
Microsoft Entra ID und Google Workspace werden stärker eingebunden.
Neue Pfadaktionen, höhere Skalierung und modernisierte Verarbeitung paralleler Anfragen.
Der frühere EAP-Hinweis zu v22 MR3 → v23 EAP1 ist für die GA-Version nicht mehr relevant.
Sophos Firewall v23 GA: Was bringt SFOS v23?
Mit Sophos Firewall OS v23 veröffentlicht Sophos eines der umfangreicheren Firewall-Releases der vergangenen Jahre.
Dabei geht es nicht nur um einzelne neue Security-Funktionen. Sophos modernisiert gleichzeitig mehrere Bereiche, mit denen Administratoren täglich arbeiten: Firewall-Regeln, Automatisierung, High Availability, DNS, Identity, WAF, DHCP und Netzwerkdienste.
Besonders interessant sind die neue REST API, der AI Firewall Assistant, die überarbeitete Regelverwaltung, die Änderungen an High Availability sowie Neuerungen bei DNSSEC, WAF, Entra ID, DHCP und weiteren Netzwerkdiensten.
Dieser Beitrag wurde ursprünglich während des SFOS-v23-Early-Access veröffentlicht.
Die Angaben wurden auf den Stand der finalen SFOS 23.0 GA Build 371 aktualisiert.
Direkt zu den wichtigsten Neuerungen
AI & Automatisierung
Neue REST API: Firewall-Verwaltung automatisieren
Eine der technisch wichtigsten Neuerungen von SFOS v23 ist die neue REST API.
Wer viele Firewalls betreut, muss wiederkehrende Konfigurationen, Prüfungen oder Abfragen häufig mehrfach durchführen.
Bei 30 oder 40 Systemen entsteht dadurch schnell erheblicher manueller Aufwand.
Die REST API ermöglicht Create-, Read-, Update- und Delete-Operationen und ist damit für moderne Automatisierungs- und Integrationsszenarien ausgelegt.
Die API unterstützt die OpenAPI-3.0-Spezifikation. Skripte, API-Clients oder eigene Verwaltungssysteme können Konfigurationen dadurch programmatisch bearbeiten.
| Einsatzbereich | Möglicher Nutzen |
|---|---|
| Objekte | Netzwerkobjekte standardisiert erstellen oder auslesen |
| Audits | Konfigurationen automatisch prüfen und vergleichen |
| Provisionierung | Wiederkehrende Konfigurationsaufgaben standardisieren |
| Monitoring | Zustände und Konfigurationsinformationen automatisiert abrufen |
Wie wird die REST API abgesichert?
Die Authentifizierung erfolgt über einen API Key, der als Bearer Token verwendet wird.
Zusätzlich muss der API-Zugriff auf der Firewall aktiviert und auf erlaubte Quell-IP-Adressen beziehungsweise Netzwerke begrenzt werden.
Für Automatisierungen ein eigenes Administratorkonto mit möglichst wenigen Berechtigungen verwenden, API Keys geschützt speichern und Änderungen zunächst in einer Testumgebung prüfen.
Eine technisch erfolgreiche API-Anfrage bedeutet außerdem nicht automatisch, dass die daraus resultierende Firewall-Konfiguration fachlich korrekt ist. Reihenfolge von Regeln, NAT, Routing und vorhandene Objekte müssen weiterhin berücksichtigt werden.
Quelle: Sophos Firewall v23 – REST API
AI Firewall Assistant: Regeln mit natürlicher Sprache vorbereiten
Der AI Firewall Assistant in Sophos Fusion unterstützt Administratoren bei der Analyse von Konfigurationen und bei der Vorbereitung neuer Regeln.
Die Buchhaltung soll auf einen internen Dateiserver über einen bestimmten Dienst zugreifen.
Der Administrator beschreibt den gewünschten Zugriff in natürlicher Sprache. Der Assistant kann daraus einen Regelentwurf vorbereiten.
Der AI Firewall Assistant aktiviert eine neue Regel nicht selbstständig.
Ein erzeugter Entwurf wird deaktiviert am Ende der Regeltabelle abgelegt.
| AI Assistant | Administrator |
|---|---|
| Konfiguration analysieren | Ergebnis bewerten |
| Regelentwurf erstellen | Quelle, Ziel und Dienst prüfen |
| Regel deaktiviert ablegen | Position prüfen und Regel aktivieren |
KI-Anwendungskontrolle und Sophos AI Defense
SFOS v23 erweitert die Möglichkeiten, generative KI-Dienste über Web- und Application-Control-Richtlinien besser zu klassifizieren.
Unternehmen können dadurch beispielsweise unterscheiden, welche KI-Dienste zugelassen beziehungsweise blockiert werden sollen.
Management & High Availability
Neue Firewall-Regeltabelle
Bei großen Firewall-Regelwerken kann bereits die Suche nach der richtigen Regel viel Zeit kosten. SFOS v23 modernisiert deshalb die Regelansicht.
| Neuerung | Praktischer Nutzen |
|---|---|
| Anpassbare Spalten | Nur relevante Regeleigenschaften anzeigen |
| Fixierbare Spalten | Wichtige Informationen beim Scrollen sichtbar halten |
| Freitextsuche | Regeln schneller finden |
| Filter | Große Regelwerke gezielt einschränken |
High Availability: drei entscheidende Verbesserungen
| Verbesserung | Was ändert sich? | Nutzen |
|---|---|---|
| Ausfallerkennung | 4 Sekunden → 300 ms | Ausfall des HA-Partners schneller erkennen |
| Hardware Monitoring | Zusätzliche Zustände wie SSD-Gesundheit berücksichtigen | Kritische Hardwarezustände früher berücksichtigen |
| Heartbeat | Priorisierte Verarbeitung unter hoher Last | Geringeres Risiko lastbedingter Fehlumschaltungen |
4 Sekunden → 300 Millisekunden
SFOS v23 reduziert das dokumentierte Erkennungsfenster für den Verlust des HA-Partners von vier Sekunden auf 300 Millisekunden.
300 Millisekunden bedeuten nicht, dass jede Anwendung nach exakt 300 ms vollständig weiterläuft.
Der Wert beschreibt die Erkennung des HA-Ausfalls. Routing, Verbindungstabellen, ARP beziehungsweise Neighbor Discovery, angrenzende Netzwerkgeräte und Anwendungen beeinflussen die tatsächliche Unterbrechungsdauer ebenfalls.
Hardwarezustand kann einen Failover beeinflussen
Die aktive XGS beantwortet weiterhin Ping-Anfragen und verarbeitet Datenverkehr. Ihre SSD zeigt jedoch einen kritischen Zustand.
SFOS v23 kann diesen Hardwarezustand berücksichtigen und einen Failover einleiten, bevor daraus ein vollständiger Geräteausfall entsteht.
Stabilere Heartbeats unter Last
Hohe CPU- oder Netzwerklast kann dazu führen, dass zeitkritische Verwaltungsaufgaben verzögert werden.
Sophos priorisiert die HA-Kommunikation deshalb stärker und trennt deren Verarbeitung besser vom normalen Datenverkehr.
HTTP/2 für WebAdmin
Auch die Administrationsoberfläche wird technisch modernisiert. HTTP/2 soll insbesondere beim initialen Laden und bei Verbindungen mit höherer Latenz Vorteile bringen.
Firmware-Zeitpläne richtig einordnen
Wiederkehrende Firmware-Zeitpläne sind insbesondere für Dienstleister mit vielen Firewalls interessant.
Wiederkehrende Firmware-Zeitpläne sind keine reine SFOS-v23-Funktion. Die Funktion gehört zur zentralen Firewall-Verwaltung in Sophos Fusion.
DNS, Routing & Secure by Design
DNS over HTTPS und DNSSEC verständlich erklärt
DNS over HTTPS und DNSSEC werden häufig miteinander verwechselt. Beide betreffen DNS, lösen aber unterschiedliche Sicherheitsprobleme.
| Technik | Schützt hauptsächlich | Vereinfacht gesagt |
|---|---|---|
| DoH | Transport der DNS-Anfrage | „Wer kann meine DNS-Anfrage unterwegs lesen?“ |
| DNSSEC | Authentizität signierter DNS-Daten | „Kann ich dieser DNS-Antwort vertrauen?“ |
| DNS Protection | Sicherheitsrichtlinien für DNS-Ziele | „Soll diese Domain überhaupt erreichbar sein?“ |
DNS over HTTPS
Bei DoH werden DNS-Anfragen über eine verschlüsselte HTTPS-Verbindung an einen unterstützten Resolver übertragen.
SFOS v23 kann dafür unter anderem benutzerdefinierte DoH-Resolver und Sophos DNS Protection verwenden.
Wenn die Sophos Firewall DoH zu ihrem Resolver verwendet, bedeutet das nicht automatisch, dass jeder Client im LAN selbst DoH verwendet.
DNSSEC
DNSSEC ermöglicht die kryptografische Prüfung signierter DNS-Daten.
Eine Domain soll auf 203.0.113.10 zeigen.
Ein Angreifer versucht eine manipulierte Antwort einzuschleusen. Ist die Zone korrekt mit DNSSEC signiert, kann eine ungültige kryptografische Signatur erkannt werden.
Hotfix-Transparenz: Was wurde wirklich installiert?
Sophos-Hotfixes selbst sind nicht neu. Neu ist vor allem die bessere Sichtbarkeit bereits angewendeter Sicherheitskorrekturen.
Fragt ein Kunde, ob eine bestimmte Sophos-CVE bereits korrigiert wurde, lassen sich Firmwareversion, Advisory und angewendete Hotfixes leichter gegeneinander prüfen.
Eine leere Hotfix-Liste bedeutet nicht automatisch, dass eine Firewall ungepatcht ist. Die Korrektur kann bereits Bestandteil der installierten Firmware sein.
Für die Kernel-Schwachstelle CVE-2026-98432 hat Sophos den Hotfix HF110626.1 veröffentlicht.
Für die Installation ist ein Neustart der Firewall erforderlich. Bei diesem Hotfix mit manueller Aktion wird der Installationsstatus derzeit noch nicht auf der Seite „Hotfix: Security updates“ angezeigt.
Die Prüfung erfolgt aktuell über
system hotfix list.
Routing und BFD
SFOS v23 aktualisiert die Routing-Basis und führt außerdem Unterstützung für Bidirectional Forwarding Detection (BFD) ein.
Sophos kennzeichnet BFD in SFOS v23 weiterhin ausdrücklich als experimentelle Funktion.
Identity & Access
Microsoft Entra ID und Google Workspace
Über OpenID Connect unterstützt SFOS v23 Microsoft Entra ID und Google Workspace als Identity Provider.
Benutzer öffnet das VPN Portal → Firewall leitet zur Google-Anmeldung → Google prüft Benutzer und gegebenenfalls MFA → Firewall erhält die benötigten Identitätsinformationen → Anmeldung wird entsprechend der Firewall-Konfiguration fortgesetzt.
Entra ID für Synchronized Security
SFOS v23 erweitert die Verwendung von Entra-ID-Identitäten innerhalb von Synchronized Security und ist damit besonders für hybride Microsoft-Umgebungen interessant.
Entra ID allein bedeutet nicht, dass jede Sophos Firewall automatisch jeden Benutzer erkennen kann.
Die entsprechende Sophos-Endpoint- und Identity-Integration muss vorhanden und korrekt konfiguriert sein.
MFA-Onboarding per E-Mail
QR-Codes zur MFA-Einrichtung können per E-Mail an Benutzer zugestellt werden. Dadurch muss ein entsprechendes Portal nicht allein für das MFA-Onboarding unnötig öffentlich angeboten werden.
Terminalserver: Benutzer trotz gemeinsamer IP unterscheiden
Bei einem Terminalserver können viele Benutzer über dieselbe Server-IP kommunizieren.
SFOS v23 verbessert die Möglichkeiten zur Benutzeridentifikation in Multi-User- und Terminalserver-Szenarien.
WAF & Netzwerk
WAF: unterschiedliche Aktionen pro URL-Pfad
Die Web Application Firewall erhält mit v23 eine der größeren strukturellen Änderungen.
Eine normale Firewall-Regel kann beispielsweise TCP 443 freigeben. Die WAF arbeitet dagegen als Reverse Proxy und kann HTTP-/HTTPS-Verkehr auf Anwendungsebene behandeln.
Vier Aktionen pro URL-Pfad
| Aktion | Bedeutung | Beispiel |
|---|---|---|
| Protect | WAF-Schutz anwenden | /login |
| Block | Pfad sperren | /admin |
| Redirect | Auf anderes Ziel umleiten | /alt → /neu |
| Passthrough | Geeigneten Verkehr direkt weiterleiten | Geeignete Spezialfälle |
Bestehende WAF-Regeln werden migriert
Bestehende WAF-Regeln werden beim Upgrade in das neue Modell übernommen. Vorhandene Regeln werden als Protect-Aktionen migriert und bestehende Pfadrouten bleiben erhalten.
Authentifizierung, Redirects, Datei-Uploads, WebSockets, Backend-Routing und besondere Anwendungspfade.
WAF-Skalierung: bis zu 200 Regeln in SFOS v23 GA
Die während des Early Access kommunizierte Obergrenze von optional bis zu 100 WAF-Regeln ist mit der GA-Version überholt.
SFOS 23.0 GA unterstützt bis zu 200 WAF-Regeln.
WAF-Performance bei parallelen Requests
Sophos modernisiert auch die Verarbeitung paralleler WAF-Anfragen. Das neue Verarbeitungsmodell soll Threads effizienter nutzen und Lastspitzen besser verarbeiten.
Der tatsächliche Gewinn hängt unter anderem von XGS-Modell, TLS, WAF-Profil, Backend, Request-Größe und Webanwendung ab.
DHCP wird modernisiert
Sophos überführt den DHCP-Dienst auf eine modernisierte interne Architektur. Das DHCP-Protokoll selbst ändert sich dadurch nicht.
mDNS Reflector für getrennte VLANs
VLAN 10 enthält Mitarbeiter-Notebooks.
VLAN 20 enthält AirPrint-Drucker.
Das Notebook soll den Drucker automatisch finden, ohne beide Netze zusammenzulegen.
Der mDNS Reflector vermittelt die Diensterkennung zwischen den dafür ausgewählten Interfaces.
mDNS ermöglicht die Diensterkennung. Die eigentliche Kommunikation zwischen den VLANs benötigt weiterhin eine passende Firewall-Regel.
IPv6 IPoE und 4in6
Einige Neuerungen richten sich an besondere IPv6- und Provider-Szenarien. Entscheidend ist die vom jeweiligen Provider verwendete Zugangstechnik.
Upgrade auf SFOS v23 vorbereiten
eDirectory wird nicht mehr unterstützt
Novell eDirectory wird ab SFOS 23.0 nicht mehr unterstützt.
Eine bestehende eDirectory-Konfiguration muss vor dem Upgrade auf eine unterstützte Authentifizierung migriert und entfernt werden.
Andernfalls schlägt das Upgrade laut Sophos fehl.
XG- und SG-Hardware
XG- und SG-Series-Hardware-Appliances werden von SFOS v23 nicht unterstützt.
Für aktuelle Hardware finden Sie die Sophos XGS Firewalls im UTMshop .
Upgrade von SFOS v22 MR3 auf v23 GA
Der frühere Early-Access-Hinweis, dass kein direktes Upgrade von SFOS v22 MR3 auf v23 EAP1 möglich war, ist für die finale GA-Version nicht mehr relevant.
SFOS v22 MR3 ist in der offiziellen Upgrade-Matrix als unterstützter Ausgangsstand für ein Upgrade auf SFOS 23.0 GA Build 371 aufgeführt.
Vor dem Upgrade prüfen
- Ausgangsversion und unterstützten Upgradepfad prüfen
- Release Notes und bekannte Einschränkungen berücksichtigen
- HA-Konfiguration kontrollieren
- Site-to-Site- und Remote-Access-VPN prüfen
- WAF und veröffentlichte Webanwendungen berücksichtigen
- RED-Verbindungen einplanen
- Routing und SD-WAN prüfen
- Identity Provider und Authentifizierung kontrollieren
- eDirectory-Konfigurationen vor dem Upgrade entfernen
- Wartungsfenster einplanen
Welche Neuerung ist für welche Umgebung besonders interessant?
| Umgebung | Besonders interessant |
|---|---|
| HA-Cluster | Ausfallerkennung, SSD-Überwachung und priorisierte Heartbeats |
| Dienstleister / viele Firewalls | REST API, neue Regelverwaltung und zentrale Automatisierung |
| Microsoft-Umgebung | Entra ID und Synchronized Security |
| Google-Workspace-Umgebung | OpenID Connect und MFA |
| Terminalserver / RDS | Verbesserte Benutzeridentifikation |
| Webanwendungen | WAF-Pfadaktionen, bis zu 200 Regeln und neue Parallelverarbeitung |
| BGP-Netze | Aktualisierte Routing-Basis und experimentelles BFD |
| Audits / Compliance | Hotfix-Transparenz und CVE-Nachvollziehbarkeit |
Unsere Empfehlung
Besonders relevant sind aus unserer Sicht die REST API, die neue Regelverwaltung, die HA-Verbesserungen, moderne Identity-Integration und das neue WAF-Modell.
SFOS 23.0 GA ist eine regulär unterstützte Produktversion. Das bedeutet jedoch nicht, dass jedes geschäftskritische System ungeprüft sofort aktualisiert werden sollte.
Gerade bei HA, VPN, WAF, RED, komplexem Routing oder geschäftskritischen Anwendungen empfehlen wir einen kontrollierten Rollout und ein geplantes Wartungsfenster.
Für CVE-2026-98432 stellt Sophos den Hotfix HF110626.1 bereit.
Für die Installation des Hotfixes ist ein Neustart der Firewall erforderlich.
Häufige Fragen zu Sophos Firewall v23
Die wichtigsten Fragen zu SFOS 23.0 GA, Upgrade, Funktionen, Kompatibilität und aktuellen Security-Themen auf einen Blick.
Für die Kernel-Schwachstelle CVE-2026-98432 stellt Sophos den Hotfix HF110626.1 bereit. Für die Installation ist ein Neustart der Firewall erforderlich.
Alle Details zu CVE-2026-98432, Installation, Neustart und Hotfix-Prüfung ansehen →Fazit: SFOS v23 ist von Early Access zur produktiven GA-Version geworden
Sophos Firewall OS v23 ist mit der Veröffentlichung von SFOS 23.0 GA Build 371 nicht mehr nur eine Vorschau auf kommende Funktionen.
REST API, AI Firewall Assistant, modernisierte Regelverwaltung, hardwarebewusste HA-Überwachung, DNSSEC, DNS over HTTPS, neue Identity-Funktionen und die deutlich erweiterte WAF stehen jetzt in der regulären GA-Version zur Verfügung.
Gegenüber dem Early Access sind insbesondere zwei Punkte für die Planung wichtig:
- SFOS v23 GA unterstützt bis zu 200 WAF-Regeln.
- Der Upgradepfad von SFOS v22 MR3 auf v23 GA ist unterstützt.
Für produktive Umgebungen empfehlen wir trotzdem einen kontrollierten, zur jeweiligen Umgebung passenden Rollout statt eines ungeprüften flächendeckenden Versionswechsels.
Offizielle Sophos-Quellen
Offizielle GA-Ankündigung Sophos Firewall v23 Release Notes
Build, Funktionen und Upgradeinformationen Sophos Firewall REST API
Offizielle Dokumentation zur neuen REST API Sophos Hotfix für CVE-2026-98432
Aktuelle Hotfix- und Neustartinformationen
Fragen zu Sophos Firewall v23?
Sie möchten wissen, welche Neuerungen für Ihre bestehende Sophos-Firewall-Umgebung relevant sind oder ob ein Upgrade auf SFOS 23.0 GA für Ihre Umgebung sinnvoll ist?
Unsere Kaufberatung unterstützt Sie bei Auswahl, Dimensionierung und Lizenzierung einer passenden Sophos Firewall. Bei technischen Fragen unterstützen Sie unsere Sophos-Techniker.
Kontakt
Zertifizierung:
- Sophos MDR Sales Consultant
- Sophos Firewall Sales Consultant
- Sophos Central Sales Consultant
- Sophos Central Engineer
- Sophos Central Technician
- Sophos Central Architect
- Sophos Firewall Engineer
- Sophos Firewall Technician
- Sophos Firewall Architect