Sophos Firewall v23: Die wichtigsten Neuerungen im Überblick
Das Wichtigste in 30 Sekunden
Moderne API für Skripte, Integrationen und standardisierte Verwaltungsprozesse auf Sophos Firewalls.
KI unterstützt bei Analyse und Regelerstellung – der Administrator behält die Kontrolle.
Das dokumentierte Erkennungsfenster für den Verlust des HA-Partners sinkt von 4 Sekunden auf 300 ms.
DNS over HTTPS und DNSSEC schützen unterschiedliche Bereiche der Namensauflösung.
Microsoft Entra ID und Google Workspace werden stärker eingebunden.
Neue Pfadaktionen, im EAP optional bis zu 100 WAF-Regeln sowie Verbesserungen bei DHCP und mDNS.
Sophos Firewall v23 EAP: Was bringt SFOS v23?
Mit Sophos Firewall OS v23 (SFOS v23) bereitet Sophos eines der umfangreicheren Firewall-Releases der vergangenen Jahre vor. Der aktuelle SFOS-v23-Early-Access zeigt bereits, welche Funktionen Administratoren mit der nächsten Version erwarten können.
Dabei geht es nicht nur um einzelne neue Security-Funktionen. Sophos überarbeitet gleichzeitig mehrere Bereiche, mit denen Administratoren täglich arbeiten: Firewall-Regeln, Automatisierung, High Availability, DNS, Identity, WAF, DHCP und Netzwerkdienste.
Besonders interessant sind die neue REST API, der AI Firewall Assistant, die überarbeitete Regelverwaltung, die Änderungen an High Availability sowie Neuerungen bei DNSSEC, WAF, Entra ID, DHCP und weiteren Netzwerkdiensten.
Das Early Access Program startete am 28. September 2026.
Quelle: Sophos Firewall v23 – Early Access Announcement
Direkt zu den wichtigsten Neuerungen
AI & Automatisierung
Neue REST API: Firewall-Verwaltung automatisieren
Eine der technisch wichtigsten Neuerungen von SFOS v23 ist die neue REST API.
Die neue REST API ermöglicht Create-, Read-, Update- und Delete-Operationen und ist damit für moderne Automatisierungs- und Integrationsszenarien ausgelegt.
Skripte, API-Clients oder eigene Verwaltungssysteme können Konfigurationen dadurch programmatisch bearbeiten.
| Einsatzbereich | Möglicher Nutzen |
|---|---|
| Objekte | Netzwerkobjekte standardisiert erstellen oder auslesen |
| Audits | Konfigurationen automatisch prüfen und vergleichen |
| Provisionierung | wiederkehrende Konfigurationsaufgaben standardisieren |
| Monitoring | Zustände und Konfigurationsinformationen automatisiert abrufen |
Wie wird die REST API abgesichert?
Die Authentifizierung erfolgt über einen API Key, der als Bearer Token verwendet wird.
Zusätzlich muss der API-Zugriff auf der Firewall aktiviert und auf erlaubte Quell-IP-Adressen beziehungsweise Netzwerke begrenzt werden.
Eine technisch erfolgreiche API-Anfrage bedeutet außerdem nicht automatisch, dass die daraus resultierende Firewall-Konfiguration fachlich korrekt ist. Reihenfolge von Regeln, NAT, Routing und vorhandene Objekte müssen weiterhin berücksichtigt werden.
Quelle: Sophos Firewall v23 – REST API
AI Firewall Assistant: Regeln mit natürlicher Sprache vorbereiten
Der neue AI Firewall Assistant in Sophos Fusion soll Administratoren bei der Analyse von Konfigurationen und bei der Vorbereitung neuer Regeln unterstützen.
Die Buchhaltung soll auf einen internen Dateiserver über einen bestimmten Dienst zugreifen. Der Administrator beschreibt diesen gewünschten Zugriff in natürlicher Sprache. Der Assistant kann daraus einen Regelentwurf vorbereiten.
Der AI Firewall Assistant aktiviert die neue Regel nicht selbstständig.
Ein erzeugter Entwurf wird deaktiviert am Ende des Regelwerks abgelegt.
| AI Assistant | Administrator |
|---|---|
| Konfiguration analysieren | Ergebnis bewerten |
| Regelentwurf erstellen | Quelle, Ziel und Dienst prüfen |
| Regel deaktiviert ablegen | Position im Regelwerk prüfen und Regel aktivieren |
Damit unterstützt die KI die Administration, ohne die Verantwortung für produktive Firewall-Regeln zu übernehmen.
KI-Anwendungskontrolle und Sophos AI Defense
SFOS v23 ergänzt unter anderem Möglichkeiten, generative KI-Dienste über Web- und Application-Control-Richtlinien besser zu klassifizieren.
Unternehmen können dadurch beispielsweise unterscheiden, welche KI-Dienste zugelassen beziehungsweise blockiert werden sollen.
Ausführliche Informationen finden Sie außerdem in unserem Beitrag Sophos AI Defense einfach erklärt .
Management & High Availability
Neue Firewall-Regeltabelle
Bei großen Firewall-Regelwerken kann bereits die Suche nach der richtigen Regel viel Zeit kosten. SFOS v23 modernisiert deshalb die Regelansicht.
| Neuerung | Praktischer Nutzen |
|---|---|
| Anpassbare Spalten | nur relevante Regeleigenschaften anzeigen |
| Fixierbare Spalten | wichtige Informationen beim Scrollen sichtbar halten |
| Freitextsuche | Regeln schneller finden |
| Filter | große Regelwerke gezielt einschränken |
Ein Regelwerk enthält 350 Einträge. Gesucht werden alle Regeln für ein bestimmtes Servernetz. Statt jede Regel einzeln zu öffnen, können relevante Spalten eingeblendet und die Ansicht gezielt gefiltert werden.
High Availability: drei entscheidende Verbesserungen
| Verbesserung | Was ändert sich? | Nutzen |
|---|---|---|
| Ausfallerkennung | 4 Sekunden → 300 ms | Ausfall des HA-Partners schneller erkennen |
| Hardware Monitoring | zusätzliche Zustände wie SSD-Gesundheit berücksichtigen | kritische Hardwarezustände früher berücksichtigen |
| Heartbeat | priorisierte Verarbeitung unter hoher Last | geringeres Risiko lastbedingter Fehlumschaltungen |
Wie funktioniert HA grundsätzlich?
In einem Active-Passive-Cluster arbeiten beispielsweise zwei Sophos XGS Firewalls zusammen.
Eine Firewall verarbeitet den produktiven Datenverkehr. Die zweite Firewall steht für die Übernahme bereit. Beide Geräte senden regelmäßig Keepalive- beziehungsweise Heartbeat-Nachrichten.
4 Sekunden → 300 Millisekunden
SFOS v23 reduziert das dokumentierte Erkennungsfenster für den Verlust des HA-Partners von vier Sekunden auf 300 Millisekunden.
Hardwarezustand kann einen Failover beeinflussen
Die aktive XGS beantwortet weiterhin Ping-Anfragen und verarbeitet Datenverkehr. Ihre SSD zeigt jedoch einen kritischen Zustand. SFOS v23 kann diesen Hardwarezustand berücksichtigen und einen Failover einleiten, bevor daraus ein vollständiger Geräteausfall entsteht.
Stabilere Heartbeats unter Last
Hohe CPU- oder Netzwerklast kann dazu führen, dass zeitkritische Verwaltungsaufgaben verzögert werden. Sophos priorisiert die HA-Kommunikation deshalb stärker und trennt deren Verarbeitung besser vom normalen Datenverkehr.
HTTP/2 für WebAdmin
Auch die Administrationsoberfläche wird technisch modernisiert. HTTP/2 soll insbesondere beim initialen Laden und bei Verbindungen mit höherer Latenz Vorteile bringen.
Firmware-Zeitpläne richtig einordnen
Wiederkehrende Firmware-Zeitpläne sind insbesondere für Dienstleister mit vielen Firewalls interessant.
DNS, Routing & Secure by Design
DNS over HTTPS und DNSSEC verständlich erklärt
DNS over HTTPS und DNSSEC werden häufig miteinander verwechselt. Beide betreffen DNS, lösen aber unterschiedliche Sicherheitsprobleme.
| Technik | Schützt hauptsächlich | Vereinfacht gesagt |
|---|---|---|
| DoH | Transport der DNS-Anfrage | „Wer kann meine DNS-Anfrage unterwegs lesen?“ |
| DNSSEC | Authentizität signierter DNS-Daten | „Kann ich dieser DNS-Antwort vertrauen?“ |
| DNS Protection | Sicherheitsrichtlinien für DNS-Ziele | „Soll diese Domain überhaupt erreichbar sein?“ |
DNS over HTTPS
Bei DoH werden DNS-Anfragen über eine verschlüsselte HTTPS-Verbindung an einen unterstützten Resolver übertragen.
SFOS v23 kann dafür unter anderem benutzerdefinierte DoH-Resolver und Sophos DNS Protection verwenden.
Wenn die Sophos Firewall DoH zu ihrem Resolver verwendet, bedeutet das nicht automatisch, dass jeder Client im LAN selbst DoH verwendet.
DNSSEC
DNSSEC ermöglicht die kryptografische Prüfung signierter DNS-Daten.
Eine Domain soll auf 203.0.113.10 zeigen. Ein Angreifer versucht eine manipulierte Antwort einzuschleusen. Ist die Zone korrekt mit DNSSEC signiert, kann eine ungültige kryptografische Signatur erkannt werden.
Quelle: Sophos Firewall v23 – DNS Server
Hotfix-Transparenz: Was wurde wirklich installiert?
Sophos-Hotfixes selbst sind nicht neu. Neu ist vor allem die bessere Sichtbarkeit bereits angewendeter Sicherheitskorrekturen.
Fragt ein Kunde, ob eine bestimmte Sophos-CVE bereits korrigiert wurde, lassen sich Firmwareversion, Advisory und angewendete Hotfixes deutlich leichter gegeneinander prüfen.
Routing und BFD
SFOS v23 aktualisiert die Routing-Basis und führt außerdem Unterstützung für Bidirectional Forwarding Detection (BFD) ein.
NDR: Erkennung und Reaktion stärker trennen
Beim Zusammenspiel mit Sophos NDR können Alerts ausgelöst werden, ohne dass ein Endpoint in jedem Fall automatisch isoliert werden muss.
Identity & Access
Microsoft Entra ID und Google Workspace
Über OpenID Connect unterstützt SFOS v23 Microsoft Entra ID und Google Workspace als Identity Provider.
Benutzer öffnet das VPN Portal → Firewall leitet zur Google-Anmeldung → Google prüft Benutzer und gegebenenfalls MFA → Firewall erhält die benötigten Identitätsinformationen → Anmeldung wird entsprechend der Firewall-Konfiguration fortgesetzt.
Entra ID für Synchronized Security
Quell-IP: 192.168.10.55
Ziel-IP: 203.0.113.20
Protokoll: TCP
Zielport: 443
Daraus ist noch nicht automatisch ersichtlich, welcher Benutzer hinter der Quell-IP arbeitet.
SFOS v23 erweitert die Verwendung von Entra-ID-Identitäten innerhalb von Synchronized Security und ist damit besonders für hybride Microsoft-Umgebungen interessant.
MFA-Onboarding per E-Mail
QR-Codes zur MFA-Einrichtung können per E-Mail an Benutzer zugestellt werden. Dadurch muss ein entsprechendes Portal nicht allein für das MFA-Onboarding unnötig öffentlich angeboten werden.
Terminalserver: Benutzer trotz gemeinsamer IP unterscheiden
Bei einem Terminalserver können viele Benutzer über dieselbe Server-IP kommunizieren.
| Benutzer | sichtbare Quell-IP |
|---|---|
| Max | 192.168.10.20 |
| Anna | 192.168.10.20 |
| Peter | 192.168.10.20 |
WAF & Netzwerk
WAF: unterschiedliche Aktionen pro URL-Pfad
Die Web Application Firewall erhält mit v23 eine der größeren strukturellen Änderungen.
Eine normale Firewall-Regel kann beispielsweise TCP 443 freigeben. Die WAF arbeitet dagegen als Reverse Proxy und kann HTTP-/HTTPS-Verkehr auf Anwendungsebene behandeln.
Interner Webserver: 10.20.30.50:443
Externe Adresse: https://portal.firma.de
Die Sophos WAF steht als Reverse Proxy zwischen Internet und internem Webserver.
Vier Aktionen pro URL-Pfad
| Aktion | Bedeutung | Beispiel |
|---|---|---|
| Protect | WAF-Schutz anwenden | /login |
| Block | Pfad sperren | /admin |
| Redirect | auf anderes Ziel umleiten | /alt → /neu |
| Passthrough | geeigneten Verkehr direkt weiterleiten | z. B. dokumentierte WebSocket-Szenarien |
Bestehende WAF-Regeln werden migriert
Bestehende WAF-Regeln werden beim Upgrade in das neue Modell übernommen. Vorhandene Regeln werden als Protect-Aktionen migriert und bestehende Pfadrouten bleiben erhalten.
Authentifizierung, Redirects, Datei-Uploads, WebSockets, Backend-Routing und besondere Anwendungspfade.
WAF-Performance bei parallelen Requests
Sophos modernisiert auch die Verarbeitung paralleler WAF-Anfragen.
Das neue Verarbeitungsmodell soll Threads effizienter nutzen und Lastspitzen besser verarbeiten.
WAF-Skalierung: 100 Regeln im EAP, bis zu 200 für GA vorgesehen
Auch bei der maximalen Anzahl von WAF-Regeln soll SFOS v23 deutlich zulegen.
| Version / Stand | WAF-Regeln | Einordnung |
|---|---|---|
| SFOS v22 | bis zu 60 | bisherige Obergrenze |
| SFOS v23 EAP | optional bis zu 100 | aktueller Early-Access-Stand |
| SFOS v23 GA | bis zu 200 vorgesehen | für die finale Version geplant |
DHCP wird modernisiert
Sophos überführt den DHCP-Dienst auf eine modernisierte interne Architektur. Das DHCP-Protokoll selbst ändert sich dadurch nicht.
DHCP kurz erklärt
| Schritt | Bedeutung |
|---|---|
| Discover | Client sucht DHCP-Server |
| Offer | Server bietet Adresse an |
| Request | Client fordert Adresse an |
| Acknowledge | Server bestätigt die Zuweisung |
mDNS Reflector für getrennte VLANs
VLAN 10 enthält Mitarbeiter-Notebooks.
VLAN 20 enthält AirPrint-Drucker.
Das Notebook soll den Drucker automatisch finden, ohne beide Netze zusammenzulegen. Der mDNS Reflector vermittelt die Diensterkennung zwischen den dafür ausgewählten Interfaces.
IPv6 IPoE und 4in6
Einige Neuerungen richten sich an besondere IPv6- und Provider-Szenarien. Entscheidend ist die vom jeweiligen Provider verwendete Zugangstechnik.
Upgrade auf SFOS v23 vorbereiten
eDirectory wird nicht mehr unterstützt
Novell eDirectory wird ab SFOS 23.0 nicht mehr unterstützt. Eine bestehende eDirectory-Konfiguration muss vor dem Upgrade auf eine unterstützte Authentifizierung migriert und entfernt werden.
Andernfalls schlägt das Upgrade laut Sophos fehl.
XG- und SG-Hardware
XG- und SG-Series-Hardware-Appliances werden von SFOS v23 nicht unterstützt.
Das ist allerdings keine neue Einschränkung von v23. Bereits seit SFOS 21.0 werden diese Hardwaregenerationen nicht mehr von neuen SFOS-Versionen unterstützt.
Für aktuelle Hardware finden Sie die Sophos XGS Firewalls im UTMshop .
Aktuelle EAP-Einschränkung: v22 MR3 → v23 EAP1
Im derzeitigen Early Access ist kein direktes Upgrade von SFOS v22 MR3 auf v23 EAP1 möglich.
Daraus sollte nicht geschlossen werden, dass derselbe Upgradepfad später auch für die GA-Version gilt.
Welche Neuerung ist für welche Umgebung besonders wichtig?
| Umgebung | Besonders interessant |
|---|---|
| HA-Cluster | Ausfallerkennung, SSD-Überwachung und priorisierte Heartbeats |
| Dienstleister / viele Firewalls | REST API, neue Regelverwaltung und zentrale Automatisierung |
| Microsoft-Umgebung | Entra ID und Synchronized Security |
| Google-Workspace-Umgebung | OpenID Connect und MFA |
| Terminalserver / RDS | verbesserte Benutzeridentifikation |
| Webanwendungen | WAF-Pfadaktionen, höhere Skalierung und neue Parallelverarbeitung |
| BGP-Netze | aktualisierte Routing-Basis und experimentelles BFD |
| Audits / Compliance | Hotfix-Transparenz und CVE-Nachvollziehbarkeit |
Unsere Empfehlung
Besonders relevant sind aus unserer Sicht die REST API, die neue Regelverwaltung, die HA-Verbesserungen, moderne Identity-Integration und das neue WAF-Modell.
Für produktive Umgebungen würden wir den aktuellen EAP-Stand jedoch nicht wie ein reguläres GA-Update behandeln.
Häufige Fragen zu Sophos Firewall v23
Ist Sophos Firewall v23 bereits allgemein verfügbar?
Nein. Stand 22. Oktober 2026 befindet sich SFOS v23 noch im Early Access Program.
Wann erscheint SFOS v23 als GA?
Sophos hat in den aktuell geprüften öffentlichen Quellen noch keinen verbindlichen GA-Termin genannt.
Kann der AI Firewall Assistant Regeln selbst aktivieren?
Nein. Ein erzeugter Regelentwurf wird deaktiviert abgelegt und muss vom Administrator geprüft und aktiviert werden.
Bedeutet 300 ms HA eine Unterbrechung von nur 300 ms?
Nein. Die 300 Millisekunden beziehen sich auf die Erkennung des Ausfalls eines HA-Partners.
Wie viele WAF-Regeln unterstützt SFOS v23?
In SFOS v22 liegt die bisherige Obergrenze bei 60 WAF-Regeln. Im aktuellen SFOS-v23-Early-Access kann die Obergrenze nach aktueller Auskunft von Sophos optional auf bis zu 100 Regeln erhöht werden. Für die finale GA-Version ist eine Skalierung auf bis zu 200 WAF-Regeln vorgesehen.
Da die v23-EAP-Dokumentation in diesem Bereich aktuell noch nicht vollständig ist, sollte für produktive Planungen die finale GA-Dokumentation herangezogen werden.
Ist Sophos AI Defense Bestandteil von SFOS v23?
Nein. Sophos AI Defense ist ein eigenständiges Sophos-Fusion-Add-on.
Ist BFD bereits regulär freigegeben?
Nein. Sophos kennzeichnet die aktuelle BFD-Unterstützung ausdrücklich als experimentell.
Fazit: SFOS v23 modernisiert weit mehr als einzelne Security-Funktionen
Sophos Firewall OS v23 ist vor allem deshalb interessant, weil mehrere grundlegende Bereiche gleichzeitig modernisiert werden.
- 300 Millisekunden bei HA bedeuten nicht 300 Millisekunden Gesamtausfall.
- BFD ist noch experimentell.
- eDirectory kann ein Upgrade blockieren.
- AI Defense ist ein separates Produkt.
- Firmware-Zeitpläne sind keine reine v23-Funktion.
- Im aktuellen v23 EAP sind optional bis zu 100 WAF-Regeln möglich; für GA sind bis zu 200 vorgesehen.
SFOS v23 ist deshalb aktuell eine sehr interessante Basis für Tests und Upgrade-Planungen – aber noch keine finale GA-Grundlage für einen pauschalen produktiven Rollout.
Fragen zu Sophos Firewall v23?
Sie möchten wissen, welche Neuerungen für Ihre bestehende Sophos-Firewall-Umgebung relevant sind oder welche Sophos Firewall zu Ihren Anforderungen passt?
Unsere Kaufberatung unterstützt Sie bei Auswahl, Dimensionierung und Lizenzierung einer passenden Sophos Firewall.
Kontakt
Zertifizierung:
- Sophos MDR Sales Consultant
- Sophos Firewall Sales Consultant
- Sophos Central Sales Consultant
- Sophos Central Engineer
- Sophos Central Technician
- Sophos Central Architect
- Sophos Firewall Engineer
- Sophos Firewall Technician
- Sophos Firewall Architect