Neue Sophos XGS 1U Firewall-Serie: Wir haben die XGS 5580 schon getestet

Als einer von wenigen Partnern weltweit hatte der UTMshop die Gelegenheit, die neue Sophos XGS 5580 zu testen. Bereits Anfang Juli bekamen wir die Nachricht, dass wir als Beta-Tester ausgewählt wurden. Auch wenn noch nicht genau feststand, was wir testen sollten, haben wir sofort mit der Vorbereitung begonnen: Platz für zwei Firewalls und einen Switch, eine eigene öffentliche IP-Adresse, ein Backup-Gateway, ein Hyper-V-Host.

Am 14. Juli ging es los. In diesem Artikel lesen Sie, was die neue Firewall von außen und innen mitbringt, wie unser Test lief, welche Besonderheiten uns bei der Einrichtung begegnet sind und für wen sich der Wechsel lohnt und für wen nicht.

Das Wichtigste in 30 Sekunden

• Die Sophos XGS 5580 ist Teil einer neuen Modellreihe (Sophos XGS 2380, 3380, 4580 und 5580), die für neue Kundenanforderungen entwickelt wurde.
• Die fest verbauten Ports sind schneller: Kupfer mit 2,5 statt 1 Gbit/s und Glasfaser mit SFP28 statt SFP+.
• Mit 1 HE statt 2 HE braucht die Firewall nur noch halb so viel Platz im Rack.
• Die SSDs lassen sich vor Ort tauschen, ohne das Gerät zu öffnen, und innen arbeiten eine neue CPU-Generation und DDR5-Arbeitsspeicher.
• Wir haben die Firewall vor dem Launch selbst getestet. Für wen sich der Umstieg lohnt, lesen Sie im Abschnitt zum Wechsel.

Was ist die Sophos XGS 5580? Ein neues Modell, kein Nachfolger

Die Sophos XGS 5580 ist Teil einer neuen Next-Generation-Firewall-Reihe für den Rackeinbau. Die neuen Modelle lösen keine bestehenden Modelle ab, sondern ergänzen das Portfolio für Kunden mit neuen Anforderungen, vor allem bei der internen Bandbreite.

Die Modelle der neuen Reihe liegen in der Benennung sehr nah an den ursprünglichen Modellen. Es handelt sich um die XGS 2380, 3380, 4580 und 5580. Auch wenn die Benennung eine Ablöse ähnlich den 2nd Gen Desktop Modellen vermuten lässt, gibt es keine EOL-Ankündigung für die 19 Zoll Rack Modelle. Sophos versicherte auch in partnerexklusiven Webinaren, dass keine Absicht besteht, die ursprünglichen Modelle auslaufen zu lassen und betont, dass es sich bei den neuen Geräten um eine eigenständige Modellreihe handelt, mit der sie auf neue Kundenanforderungen reagieren wollen.

Platzmangel im Serverschrank war dabei wohl nicht der Grund. Vor allem der Bedarf an interner Bandbreite ist in den letzten Jahren stetig gewachsen. Vor fünf Jahren reichten 10 Gbit/s noch aus, heute kommen vor allem große Standorte mit SFP+ an ihre Grenzen. Diese Lücke will Sophos mit SFP28-Ports und 25 Gbit/s schließen.

Auch bei anderen Änderungen merkt man, dass Sophos Kundenfeedback ernst nimmt. Die SSDs lassen sich tauschen, ohne die Maschine aufzuschrauben und damit die Garantie zu verlieren. Neue Hardware bei CPU und Arbeitsspeicher zeigt, dass Sophos die Rechenleistung an die Gefahren der modernen IT-Welt anpasst. Allgemein ist die neue Modellreihe deutlich leistungsstärker im Vergleich zu den ursprünglichen Rack-Modellen, bei einer gleichzeitigen Verbesserung der Leistungseffizienz. Die Sophos XGS 2380 hat laut Sophos bis zu viermal mehr Inspection-Leistung als die Sophos XGS 2300.

Die Sophos XGS 5500 bleibt im Programm, erhält weiterhin Updates und hat kein EOL-Datum. Preise und Lizenzen der neuen Firewall finden Sie unter Sophos XGS 5580 im Shop (Link zum Modell folgt, sobald es bestellbar ist).

Video folgt: Passt Ihre Firewall noch? Unser Gespräch mit Sophos

In den nächsten Tagen ergänzen wir hier unser Video: Im Gespräch mit unserem Sophos Sales Engineer geht es darum, was die neue Firewall auszeichnet, welche Anforderungen Sophos damit adressiert und für welche Einsatzszenarien sie interessant ist. Bis dahin finden Sie unsere Erfahrungen aus dem Praxistest, unseren Testaufbau und den Vergleich mit der Sophos XGS 5500 hier im Artikel.

Sophos XGS 5580 von außen: Ports, Netzteile und tauschbare SSDs

Am auffälligsten ist die Bauhöhe: Statt 2 HE belegt die Firewall nur noch 1 HE (1U) im Rack.

Auf der Front sitzen vier SFP28-Ports mit 25 Gbit/s und acht Kupferports mit 2,5 Gbit/s. Bisher waren es SFP+ und Gigabit-Kupfer. Zwei Erweiterungsschächte machen die Firewall flexibel für weitere Einsatzzwecke. Das gewohnte LCD-Display, die COM-Ports für eine serielle Verbindung und die USB-Ports sind ebenfalls vorhanden.

Gerade in Netzwerken, in denen hoher Durchsatz wichtig ist, sind die SFP28-Ports ein echter Zugewinn. Wenn Sie viele Glasfaserleitungen anbinden, planen Sie die passenden Transceiver und Module gleich mit ein. Was Sie dazu wissen müssen, lesen Sie im Abschnitt zu Transceivern und Zubehör.

Auf der Rückseite befinden sich der Netzschalter, zwei Hot-Swap-Schächte für Netzteile (ein Netzteil ist im Lieferumfang) und die vor Ort tauschbaren SSDs. Das ist vor allem praktisch, wenn ein Laufwerk ausfällt: Sie tauschen die SSD selbst vor Ort, ohne das Gerät einzuschicken und ohne es aufzuschrauben.

Von innen: CPU, RAM und Speicher

An dieser Stelle wollen wir nochmal kurz auf die gesamte Modellreihe eingehen. Während die Sophos XGS 4580 und die XGS 5580 bei der klassischen Architektur mit AMD-CPU und eigenständigem XStream Flow-Prozessor (NPU) geblieben sind, haben die Modelle 2380 und 3380 eine überarbeitete Architektur bekommen. Da die verbauten Intel-Prozessoren so leistungsstark sind, konnte hier auf die NPU verzichtet werden. Stattdessen setzt Sophos, ähnlich wie bereits bei den Desktop-Modellen, auf sogenannte Integrated FastPath Cores. Das sind dedizierte Kerne der CPU, die die Aufgaben der NPU übernehmen. So spart Sophos in diesem Leistungsbereich ein Modul ein und erreicht trotzdem einen deutlichen Leistungszuwachs. Gleichzeitig wird in den Modellen XGS 4580 und XGS 5580 weiterhin auf eine NPU gesetzt, da in diesem Bereich die Leistung eines eigenen Flow-Prozessors noch messbare Vorteile bringt.

In der Sophos XGS 5580 arbeitet ein AMD EPYC 7798P. Er hat 12 Kerne und 24 Threads und taktet mit 3,4 GHz. Dazu kommen 64 GB DDR5-Arbeitsspeicher, aufgeteilt auf zwei Module mit je 32 GB. Als Systemspeicher stehen 512 GB zur Verfügung, gespiegelt auf zwei SSDs im RAID 1.

Im Vergleich zur Sophos XGS 5500 hat sich bei den reinen Zahlen wenig getan. Die XGS 5500 arbeitet mit 16 Kernen und 32 Threads, ebenfalls auf AMD-Basis. Der Arbeitsspeicher wurde auf DDR5 umgestellt, die Speichermenge ist aber gleich geblieben.

Sophos hat uns gegenüber bereits bestätigt, dass die neue Modellreihe mehr TLS-Durchsatz pro Watt erreicht. Die Maschinen haben sowohl einen besseren TLS-Durchsatz als auch eine verbesserte Leistungseffizienz.

• SFP28-Transceiver: separat bestellen. Welche Module Sophos für die neue Reihe freigibt, steht noch nicht fest. Wir ergänzen sie in unserer Kompatibilitätsliste für Transceiver , sobald Sophos sie veröffentlicht. Fragen Sie uns vor der Bestellung.
• FlexiPort-Module: separat bestellen, falls die fest verbauten Ports nicht reichen.
• Zweites Netzteil: separat bestellen, im Lieferumfang ist eines. Für Ausfallsicherheit planen Sie das zweite gleich mit ein.
• Rackschienen: im Lieferumfang von Sophos.
• Kabel: im Lieferumfang von Sophos.

So haben wir die Sophos XGS 5580 getestet

Als Sophos Titanium Partner konnten wir die Sophos XGS 5580 vor dem Launch testen. Dafür haben wir bei uns eine eigene Testumgebung mit eigener WAN-Leitung aufgebaut. Unser Ziel war es, die Firewall nach Vorgaben zu konfigurieren und verschiedene Anwendungsszenarien wie den klassischen Büroalltag und einen Webserver-Betrieb darzustellen.

Die Testumgebung

Für den Test hat uns Sophos zwei Geräte zugeschickt. Dazu haben wir einen Sophos CS110-24FP als Switch verwendet. Die WAN-Anbindung bestand aus einer öffentlichen IP-Adresse auf unserer Zweitleitung und einem Backup-Gateway über eine Leitung, die wir sonst nicht nutzen.

Intern haben wir ein Client-Netz und ein Server-Netz eingerichtet. Im Server-Netz lief auf einem Hyper-V-Host ein Active Directory, ein File-Sharing-Server und ein IIS-Webserver. Die Anbindung ins interne Netz lief über Glasfaser.

Da wir zwei Firewalls hatten, konnten wir beide im HA-Verbund (Aktiv-Passiv) betreiben. Bevor das erste Gerät ausgepackt war, stand bereits ein Plan für Konfiguration und Tests.

Die Einrichtung

Die Firewall haben wir mit der damals noch nicht veröffentlichten Firmware-Version 22.0.2_MR-2.SF310-546 eingerichtet. Die Grundeinrichtung verlief reibungslos.

Erste Probleme gab es bei den SFP28-Ports. Da wir keine vollständige SFP28-Infrastruktur abbilden konnten, wollten wir mit SFP+-Transceivern arbeiten. Die liefen in den SFP28-Ports aber nicht. Gelöst haben wir das mit SFP28-Transceivern auf der Firewall, Details finden Sie in der Infobox zu Transceivern und Zubehör.

Schwierigkeiten machte außerdem der Aufbau des HA-Clusters. Ursache war ein Bug in der damals noch unveröffentlichten MR2-Version. Dieser wurde in der offiziellen Version behoben. Nachdem der Verbund stand, lief er im Test stabil. Das Umschalten bei einem Ausfall haben wir nicht getestet. Alle weiteren Einstellungen ließen sich problemlos abbilden.

Ergebnisse der Tests

Wir haben verschiedene Anwendungsszenarien für Nord-Süd- und Ost-West-Traffic sowie für die Web Application Firewall (WAF) nachgestellt. Ziel war es, die Funktionalität der Dienste im Zusammenspiel mit der noch unveröffentlichten Software- und Hardwareversion zu überprüfen.

Bis auf die bereits beschriebenen Probleme mit HA und den SFP28-Ports konnten wir bei der Einrichtung keine Probleme feststellen. Auch bei den folgenden Anwendungsszenarien funktionierte die Maschine tadellos.

Aufgrund der Abhängigkeiten von unserer lokalen Infrastruktur konnten wir die Firewall dabei nicht innerhalb ihrer vorgesehenen Leistungsbereiche auslasten. Die Tests dienten daher der Funktionsprüfung und erlauben keine belastbaren Aussagen über die tatsächliche Leistungsfähigkeit der Firewall.

Welche Leistungswerte wirklich zählen

Für die neue Reihe liegt uns aktuell noch kein Datenblatt vor. Wichtiger als einzelne Zahlen ist ohnehin, welcher Wert im Datenblatt für Ihren Einsatz entscheidet.

Der große Firewall-Durchsatz misst reinen Paketdurchsatz mit Stateful Inspection, meist mit großen UDP-Paketen. Das ist der Bestwert. Sobald IPS, Webfilter oder App Control aktiv sind, gilt er nicht mehr. Realistischer ist der Threat-Protection-Wert, der mehrere Schutzfunktionen gleichzeitig misst.

Am kritischsten ist heute meist die TLS-Inspection, auch SSL-Inspection genannt. Über 90 % des Datenverkehrs sind verschlüsselt. Ohne TLS-Inspection sind IPS, Malware-Scan und Webfilter weitgehend blind. Gleichzeitig ist es meist der niedrigste Wert im Datenblatt.

Kein einzelner Wert entscheidet über das passende Modell. Es ergibt sich aus Ihrem Lastprofil: Wie viel Verkehr läuft wirklich durch die Firewall, welche Funktionen sind gleichzeitig aktiv, wie hoch sind die Lastspitzen und wie viel Reserve brauchen Sie für die nächsten Jahre? Für das Sizing hilft Ihnen unser Sizing Guide für Sophos XGS . Wie Sie grundsätzlich herausfinden, welche Sophos XGS Firewall die richtige ist , lesen Sie in unserem Ratgeber zur Dimensionierung oder sprechen Sie uns gern direkt an.

Drei Einsatzprofile im Vergleich

Welche Sophos XGS Firewall passt, entscheidet nicht die Branche allein. Entscheidend ist, was real durch die Firewall läuft und welche Funktionen dabei aktiv sind. Ost-West-Verkehr zählt nur, soweit er wirklich über die Firewall geroutet wird.

Für wen sich die Sophos XGS 5580 lohnt und für wen nicht

Mit der Sophos XGS 5580 will Sophos keine aktuellen Firewall-Modelle ablösen. In unseren Gesprächen hat der Hersteller immer wieder betont, dass das neue Modell eine Reaktion auf neue Kundenanforderungen ist, zum Beispiel aus Ausschreibungen. Die Sophos XGS 5500 erhält weiterhin Updates und hat kein EOL-Datum.

Ein neues Modell ist also kein Grund, eine funktionierende Firewall zu ersetzen. Sie sollten immer Ihr jeweiliges Einsatzszenario prüfen und entsprechend ein Modell auswählen.

Der Wechsel lohnt sich, wenn Sie einen hohen Bandbreitenbedarf im internen Netz haben, zum Beispiel im Rechenzentrum oder in großen Büros mit vielen On-Premises-Diensten. Des Weiteren kann es Compliance-Anforderungen zum Beispiel durch DORA geben, die einen einfachen Austausch von Netzteilen und Festplatten voraussetzen.

Der Wechsel lohnt sich nicht, wenn

• Ihre Firewall unter realer Last noch Reserven hat. Dann empfehlen wir ein Renewal für die bestehende Firewall.
• die neue Firewall für Ihre Last zu groß ist. Dann passt ein kleineres Modell besser.
• Sie mehr Glasfaserports brauchen, als fest verbaut sind.

Wenn Ihre Firewall Ihre Anforderungen weiterhin erfüllt, können Sie sie beibehalten.

Preis, Lizenzen und Verfügbarkeit der Sophos XGS 5580

Sophos hat die neue XGS 1U-Reihe am 27. Oktober 2026 auf der it-sa in Nürnberg vorgestellt. Bestellbar ist die Sophos XGS 5580 voraussichtlich ab dem 04.11.2026. Die Preisliste erwarten wir zum Verkaufsstart. Dann finden Sie die Listenpreise für Appliance und Bundles in unserem Shop: Sophos XGS 5580 im Shop (Link zum Modell folgt, sobald es bestellbar ist).

Wie bisher gibt es Standard Protection, Network Protection und Xstream Protection. Neu kommt für alle vier Modelle das Bundle Xstream Protection Plus dazu, das zusätzlich Sophos Workspace Protection enthält. Die Preise ergänzen wir mit der Preisliste.

Häufige Fragen zur Sophos XGS 5580

Welche Modelle gehören zur neuen Sophos XGS 1U-Reihe?

Zur neuen Reihe gehören diese Modelle: Sophos XGS 2380, Sophos XGS 3380, Sophos XGS 4580 und Sophos XGS 5580. Sie ergänzen die bisherigen Sophos XGS Rack-Modelle und lösen sie nicht ab. Preise und Artikelnummern ergänzen wir zum Verkaufsstart am 04.11.

Welches Modell löst die Sophos XGS 5580 ab?

Die Sophos XGS 5580 löst kein anderes Modell ab. Sie ergänzt das aktuelle Portfolio für neue Kundenanforderungen, zum Beispiel hohen Bandbreitenbedarf im internen Netz oder Compliance-Anforderungen wie DORA. Die Sophos XGS 5500 erhält weiterhin Updates und hat kein EOL-Datum. Ein sofortiger Wechsel ist deshalb nicht nötig. Mehr dazu lesen Sie im Abschnitt Was ist die Sophos XGS 5580?

Funktionieren SFP+-Transceiver in den SFP28-Ports?

Nach unserem letzten Stand nicht. In unserem Test liefen SFP+-Transceiver in den SFP28-Ports nicht. Gelöst haben wir das mit SFP28-Transceivern, die Ports haben wir von Hand auf 10G Full Duplex gesetzt. Damit lief der LAG-Uplink auf unseren Switch mit SFP+-Ports. Prüfen Sie vor dem Kauf, ob Sie passende SFP28-Transceiver haben. Welche Module freigegeben sind, sagen wir Ihnen gern vor der Bestellung.

Kann ich die Konfiguration der Sophos XGS 5500 auf die Sophos XGS 5580 übernehmen?

Ja. Die Sophos XGS 5580 läuft wie alle Sophos XGS Firewalls auf dem Sophos Firewall OS. Backups anderer Sophos XGS Firewalls sind deshalb kompatibel. Weil sich die Ports ändern, sollten Sie die Port-Zuordnung neu planen. Ob Ihr konkretes Szenario passt, prüfen Sie dies in der Kompatibilitätsprüfung von Sophos oder sprechen Sie mit unserem zertifizierten Expertenteam.

Wie lange wird die Sophos XGS 5500 noch unterstützt?

Es gibt kein EOL-Datum für die 19-Zoll-Modelle von Sophos. Nach unserem Stand werden sie auch nicht zeitnah abgelöst. Die offiziellen Lifecycle-Daten finden Sie bei Sophos, alle Termine im Überblick in unserer EOL-Übersicht.

Welche Firmware braucht die Sophos XGS 5580?

Welche SFOS-Version die Sophos XGS 5580 mindestens braucht, hat Sophos noch nicht veröffentlicht. Wir haben sie mit einer Vorabversion von SFOS 22.0.2 MR2 (Build 22.0.2_MR-2.SF310-546) getestet. Seit dem Test ist zudem die v23-EAP-Version erschienen, auf der wir sie aktuell betreiben.

Lohnt sich der Wechsel, wenn mein Gerät noch gut läuft?

In der Regel nicht. Wenn Ihre Firewall noch gut läuft, unter realer Last Reserven hat und Sie keine anderen Einschränkungen haben, können Sie sie weiter betreiben. Lohnend wird der Wechsel vor allem bei hohem Bandbreitenbedarf im internen Netz. Die Kriterien finden Sie im Abschnitt Für wen sich die Sophos XGS 5580 lohnt und für wen nicht. Wenn Sie unsicher sind, vereinbaren Sie gern einen Beratungstermin mit uns.

Was kostet die Sophos XGS 5580?

Preise haben wir noch nicht erhalten. Sobald sie bekannt sind, aktualisieren wir den Artikel. Den aktuellen Stand finden Sie im Abschnitt Preis, Lizenzen und Verfügbarkeit.

Fazit: Was der Test zeigt und was Sie vor dem Kauf planen sollten

Die Sophos XGS 5580 hat in unserem Test einen starken Eindruck hinterlassen. Sie lief in unseren Funktionstests unauffällig, die Grenze setzte immer unsere WAN-Leitung und nie die Firewall. Mit 1 HE spart sie Platz im Rack, und die SSDs tauschen Sie im Fehlerfall in Abstimmung mit dem Sophos Support selbst vor Ort. Planen Sie die SFP28-Transceiver aber von Anfang an ein, denn SFP+-Transceiver liefen in unserem Test nicht.

Wichtig ist auch, was sie nicht ist: kein Nachfolger, der Ihre bestehende Firewall überholt. Sie richtet sich an Umgebungen mit hohem Bandbreitenbedarf im internen Netz.

Ihr nächster Schritt hängt von Ihrer Ausgangslage ab:

• Ihre Firewall hat noch Reserven: weiter betreiben.
• Das Gerät passt, die Lizenz läuft aus: Lizenz verlängern.
• Ihr internes Netz braucht mehr Bandbreite: Wechsel auf die Sophos XGS 5580 prüfen.

Noch Fragen?

Haben Sie weitere Fragen? Kontaktieren Sie uns. Unsere geschulten Techniker helfen Ihnen, die richtigen nächsten Schritte zu planen.

Kontakt

Verwandte Artikel