Sophos Fusion: Sophos Central wird zum AI-Native Cybersecurity Defense System

Sophos bündelt sein gesamtes Sicherheitsportfolio unter einem Dach und benennt dabei seine zentrale Plattform Sophos Central in Sophos Fusion um, das erste vollständige AI-Native Cybersecurity Defense System.^[1] Mit dem Launch gehen umfangreiche Erweiterungen für Sophos MDR und Sophos XDR einher, dazu kommen mit Sophos Next-Gen SIEM, Sophos AI Defense und Sophos CISO Advantage gleich drei neue Lösungen. Parallel passt Sophos Preise, Lizenzierung und einige Produktnamen an, wobei die meisten Änderungen im August 2026 in Kraft treten. Wir fassen zusammen, was sich für Bestandskunden und Neukunden konkret ändert und welche Punkte in der Beratung jetzt relevant sind.

Das Sophos AI-Native Cybersecurity Defense System im Überblick

Sophos Central wird zu Sophos Fusion

Der sichtbarste Teil des Launches ist ein neuer Name. Sophos Central, die seit 2013 genutzte zentrale Management-Konsole, wird zu Sophos Fusion und dabei auf einer offenen Architektur mit der Taegis-Analytik aus der Secureworks-Übernahme neu aufgebaut. Sophos beschreibt Fusion als Weiterentwicklung von Sophos Central für das KI-Zeitalter, in dem Angriffe die Zeit vom Erstzugriff bis zur Wirkung von Tagen auf Stunden verkürzen. Für Kunden und Partner ändert sich im Tagesgeschäft nichts, die Umbenennung erscheint über die kommenden Monate schrittweise in der Konsole, bestehende Workflows laufen unverändert weiter.

Sophos fasst darunter erstmals eine eigene Produktkategorie, das Cyber-Defense-System, das sich über vier Merkmale definiert:

• Ein gemeinsamer Context Lake, in den jedes Signal aller Kontrollpunkte in Echtzeit einfließt.
• Synchronized Security, bei der eine Detection an einem Kontrollpunkt eine koordinierte Reaktion an allen anderen auslöst.
• Agentische Autonomie mit menschlicher Kontrolle, innerhalb von Grenzen, die Analysten setzen und laufend nachjustieren.
• Sich verstärkende Intelligenz, bei der jede über die mehr als 625.000 geschützten Organisationen erkannte Bedrohung die Abwehr aller Kunden verbessert.

Die agentischen KI-Funktionen liefert Fusion AI, das direkt in Sophos Fusion eingebettet ist. Sophos grenzt das Modell bewusst vom klassischen Tool-Stack ab, in dem ein typisches Unternehmen über 45 einzelne Sicherheitsprodukte parallel betreibt.^[3]

Als Defense-System bündelt Sophos Fusion Endpoint Protection, EDR, XDR, Next-Gen SIEM, Sophos ITDR, MDR, Netzwerksicherheit, E-Mail, Cloud und Advisory Services in einem offenen System. Das Marktumfeld unterstreicht die Stoßrichtung, laut Futurum Group wächst der Bereich Security Operations von 18 auf 37 Milliarden US-Dollar bis 2029 und damit schneller als jede andere Cybersecurity-Kategorie.

Sophos Central als gemeinsame Datenbasis

Das AI-Native Cybersecurity Defense System ist eine Architektur rund um Sophos Central. Die Plattform bringt Telemetrie aus Endpoint, Firewall, Identität, Netzwerk, E-Mail, Cloud, XDR und MDR in einem gemeinsamen Datenlayer zusammen, den Sophos als „unified context lake“ bezeichnet. Darüber liegen integrierte KI-Modelle und ein durchgängiger Workflow, offen gehalten für über 500 Drittanbieter-Integrationen.

Agentischer SOC-Betrieb als Grundlage

Die Grundlage dafür liefert der agentische SOC-Betrieb, den Sophos nach eigenen Angaben als weltweit größten agentischen SOC in Sophos MDR produktiv gefahren hat. Der Service verteidigt inzwischen 40.000 Kunden mit einem Wachstum von 39 Prozent im Jahresvergleich, bei einer durchschnittlichen Reaktionszeit von 89 Sekunden und 52 Prozent der Fälle, die vollständig KI-gestützt abgeschlossen werden.^[2] Sophos kombiniert dabei ein Human-on-the-loop-Modell für stark standardisierte, zeitkritische Aufgaben mit einem Human-in-the-loop-Modell für Entscheidungen mit hoher Tragweite. Ergänzend stoppt Sophos Endpoint ganze Angriffsklassen verhaltensbasiert, etwa Memory-Missbrauch sowie die Verschlüsselung und Exfiltration von Daten.

Für Partner und Kunden ist vor allem relevant, dass Sophos dieses Betriebsmodell 2026 über das restliche Portfolio ausrollt. XDR und das neue Next-Gen SIEM wandern in denselben Datenlayer, die Secure-AI-Funktionen werden erweitert, und mit Sophos CISO Advantage folgt ab Oktober 2026 eine strategische Ebene.

„Sophos Fusion ist als Defense-System für Mensch-KI-Workflows konzipiert.“

Joe Levy, CEO Sophos

Sophos Fusion im Wettbewerb: Defense System als neue Kategorie

Der Schritt zu einem integrierten Defense-System ist kein Alleingang. Auch Anbieter wie CrowdStrike, Palo Alto Networks und Microsoft konsolidieren ihre Portfolios in Richtung durchgängiger Plattformen, und Gartner beschreibt mit dem autonomen Cyber-Defense-System eine eigene, aufkommende Kategorie. Sophos setzt dabei auf eine Kombination aus nativer Tiefe und offener Architektur, den nach eigenen Angaben weltweit größten agentischen SOC sowie eine über die geschützte Kundenbasis kompoundierende Bedrohungsintelligenz. Bemerkenswert ist, dass genau diese Wettbewerber zugleich als Integrationsquellen in den gemeinsamen Datenlayer einfließen. Aus unserer Sicht entscheidet weniger das Etikett als die Frage, wie native Tiefe, offene Integration und Betriebsmodell im Einzelfall zusammenpassen.

Sophos Next-Gen SIEM: die neue Datenschicht für XDR und MDR

Sophos Next-Gen SIEM ist die zentrale Neuerung des Launches. Es fungiert als durchgehende Datenschicht für moderne Security Operations und Compliance und ist vollständig in Sophos XDR und Sophos MDR integriert. Beide Lösungen decken damit das gesamte Spektrum von der Echtzeit-Bedrohungserkennung und -reaktion bis zur langfristigen Compliance-Bereitschaft ab.

XDR und Next-Gen SIEM: die Aufgabenteilung

Sophos XDR ist zu hundert Prozent auf Threat Detection, Investigation und Response ausgelegt. Das Next-Gen SIEM ergänzt genau die Bereiche, die XDR bewusst nicht abdeckt. Die folgende Übersicht zeigt die Aufgabenteilung.

Custom Parser: beliebige Daten nutzbar machen

Der interessanteste technische Baustein ist der Custom Parser. Generische Log-Formate wie Syslog werden geparst, normalisiert und in ein passendes Event-Schema überführt, etwa für Auth, Filemod, Netflow oder HTTP. Auf diese strukturierten Daten lassen sich anschließend alle regulären XDR-Funktionen inklusive Detection Engine anwenden. Ergänzend erlauben Custom Rules eigene Erkennungslogik auf beliebigen Datenquellen. Beide Funktionen setzen eine Next-Gen-SIEM-Lizenz voraus. KI-gestützte Parser erzeugen die nötige Logik anhand von Beispielen, sodass auch Analysten ohne tiefe SIEM-Erfahrung neue Quellen anbinden können.

„Sophos XDR ist zu hundert Prozent auf Threat Detection and Response ausgelegt. Das Next-Gen SIEM ergänzt genau das, was XDR bewusst nicht abdeckt, nämlich beliebige Telemetrie, langfristige Protokollaufbewahrung und Compliance-Reporting. Für uns am spannendsten ist der Custom Parser, der generische Log-Formate wie Syslog in ein sauberes Event-Schema überführt. Dadurch lässt sich die komplette XDR-Detection-Engine auch auf Legacy-Systeme, IoT-Daten und Quellen anwenden, für die es keine native Integration gibt.“

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

Datenaufbewahrung und Preismodell

Zwei Eigenschaften heben Sophos Next-Gen SIEM von klassischen SIEM-Systemen ab. Die Datenaufbewahrung reicht bis zu zehn Jahre, und das Preismodell ist schlicht nutzer- und serverbasiert, ohne die schwer kalkulierbaren Kostenstrukturen herkömmlicher SIEMs. Damit adressiert Sophos ein Kernproblem vieler Projekte, in denen Lizenzkosten und Datenvolumen bislang nicht planbar waren. Für Audits stellt die Lösung eigene Dashboards bereit, die genau die Daten, Aktivitäten und Nachweise aufbereiten, die für Reporting und Prüfung gebraucht werden.

Für wen sich Next-Gen SIEM eignet

Sinnvoll ist die Lösung vor allem für Organisationen, die Daten über die bisherigen 90 Tage hinaus vorhalten müssen, in regulierten Branchen mit Audit-Pflichten arbeiten, Compliance-Reporting heute manuell über mehrere Tools zusammentragen oder ein bestehendes Legacy-SIEM ablösen wollen. Wie sich Sophos gegenüber dedizierten SIEM-Produkten schlägt, haben wir bislang in unserem Beitrag zu SIEM-Alternativen beschrieben, den wir im Zuge dieses Launches aktualisieren. Die technologische Grundlage stammt aus der Secureworks-Übernahme, deren Taegis-Plattform mit ihren Next-Gen-SIEM-Funktionen inzwischen Teil des Sophos-Portfolios ist.

Sophos MDR: neue Servicestufen und Preisanpassungen

Bei Sophos MDR ordnet Sophos die Servicestufen neu. Aus Sophos MDR Essentials wird schlicht Sophos MDR, aus Sophos MDR Complete wird Sophos MDR Plus. Für Bestandskunden ändert sich am Leistungsumfang nichts, die Umbenennung dient der Vereinfachung des Portfolios.

Preislich wird die MSRP der Sophos MDR Plus Term License in den volumenstarken Preisbändern reduziert, was größere Umgebungen attraktiver macht. Zusätzlich integriert Sophos das Sophos Email Monitoring System ohne Aufpreis in Sophos MDR, Sophos MDR Plus und Sophos XDR, sowohl für Laufzeitlizenzen als auch für MSP Flex. E-Mail-Telemetrie fließt damit standardmäßig in die Analyse ein, ohne dass eine separate Lizenz nötig ist.

Darüber hinaus baut Sophos den MDR-Service aus. Neu sind kontinuierliches, KI-gestütztes Threat Hunting, gespeist vom Forschungsteam Sophos X-Ops, sowie eine breitere Two-Way-Response über Endpoint, Firewall, Cloud, E-Mail und Identität. Bedrohungen werden so neutralisiert, bevor sie den Betrieb stören, ohne dass Kunden ein eigenes SOC aufbauen müssen. Der Ausbau ist ab 15. August 2026 allgemein verfügbar.

Wer die Servicestufen und Betreibermodelle gegeneinander abwägen möchte, findet die Grundlagen in unserem MDR-Vergleich.

Sophos XDR wird zu Sophos XDR Powered by Secureworks

Bei Sophos XDR gibt es weder bei der Preisgestaltung noch bei der Lizenzierung Änderungen. Die erweiterte Lösung wird künftig als „Sophos XDR Powered by Secureworks“ positioniert und erhält zusätzliche Funktionen zum gleichen Preis. Hinzu kommt, wie bei MDR, die kostenfreie Integration des Email Monitoring System.

Am deutlichsten zeigt sich der Zugewinn bei den Integrationen. Die Zahl der vorgefertigten Anbindungen steigt von gut 60 auf über 350, dazu kommen Custom Integrations und Custom Parser für alles, was darüber hinausgeht. Hinter der neuen Bezeichnung steht die Taegis-Technologie aus der Secureworks-Übernahme, die Erkennungstechniken, automatisierte Reaktion und skalierbare Speicherung in einer offenen Plattform zusammenführt. In Kombination mit dem neuen Next-Gen SIEM entsteht so eine durchgehende Kette von der Echtzeit-Detection bis zur langfristigen Datenhaltung.

Technisch wird Sophos XDR Powered by Secureworks auf der Secureworks-Taegis-Analytik neu aufgebaut und um tausende zusätzliche Detektoren, ein integriertes SOAR mit Playbooks und eine neue Analyst-Experience in Sophos Fusion ergänzt. Das reduziert manuelle Arbeit und erhöht die Trefferqualität. Der Ausbau ist ab 15. August 2026 allgemein verfügbar.

Sophos AI Defense und Sophos CISO Advantage: zwei neue Lösungen

Sophos AI Defense

Mit Sophos AI Defense adressiert Sophos die Absicherung der KI-Nutzung im Unternehmen selbst. Die Lösung schafft Transparenz und Kontrolle darüber, welche KI-Werkzeuge im Einsatz sind, inklusive Schatten-KI, und wie sie genutzt werden. Sie startet im August 2026 im Early Access und ist ab Oktober 2026 allgemein verfügbar, als Add-on für Sophos EDR, Sophos XDR und Sophos MDR. Informationen zur Preisgestaltung stehen noch aus.

Sophos CISO Advantage

Die zweite neue Lösung, Sophos CISO Advantage, richtet sich an die Führungsebene. Sie bietet Zugang zu CISO-Expertise, um Cyberrisiken und Compliance-Anforderungen strukturiert zu managen. Hintergrund ist die sogenannte Cybersecurity Poverty Line. Weltweit kommt statistisch nur etwa ein CISO auf 10.000 Unternehmen, sodass die große Mehrheit der Organisationen ohne strategische Sicherheitsleitung arbeitet. Genau diese Lücke soll CISO Advantage mit KI schließen.

In unseren Augen ist das der spannendste Baustein des Launches, denn dahinter steht eine KI aus einer Vielzahl unterschiedlicher Modelle, die die eigene Infrastruktur kontinuierlich überwacht und die Ergebnisse und offenen Baustellen so aufbereitet, wie es ein erfahrener CISO für die Geschäftsführung tun würde. Sophos liefert die Lösung über sein MSP-Netzwerk und ergänzt sie um kontinuierliche Kontrollvalidierung, Compliance-Mapping, Peer-Benchmarking und Risikobewertung. Der Launch ist ab Oktober 2026 vorgesehen.

Umbenennungen und Auslaufmodelle: DFIR und Central Data Storage

Neben den großen Neuerungen gibt es zwei kleinere, aber praktisch relevante Änderungen. Sophos Emergency Incident Response wird in Sophos DFIR (Digital Forensics and Incident Response) umbenannt. Am Service selbst ändert sich nichts, lediglich die Bezeichnung wird an die gängige Branchenterminologie angeglichen.

Das Central Data Storage 1Y Pack Add-on wird für Neukunden eingestellt. Wer künftig längere Datenaufbewahrung benötigt, greift stattdessen auf Sophos Next-Gen SIEM als Nachfolgelösung zurück, die diese Anforderung deutlich umfassender abdeckt.

Zeitplan und Preisänderungen im Überblick

Die folgende Übersicht fasst die wichtigsten Änderungen und ihren Zeithorizont zusammen. Verbindlich bleiben die offiziellen Sophos-Kommunikationen, da einzelne Termine und Preisbänder noch konkretisiert werden.

Was Sophos Fusion für Compliance im DACH-Raum bedeutet

Für den deutschsprachigen Markt ist vor allem das Next-Gen SIEM relevant. Regulierte Organisationen müssen sicherheitsrelevante Protokolle über Jahre revisionssicher vorhalten. Mit einer Retention von bis zu zehn Jahren deckt das Next-Gen SIEM die typischen Fristen ab, die aus NIS-2, DORA, KRITIS beziehungsweise dem IT-Sicherheitsgesetz und ISO 27001 resultieren. Das nutzer- und serverbasierte Preismodell hält die Kosten dabei planbar, anders als bei datenvolumenbasierten SIEMs.

Was Sophos-Kunden jetzt beachten sollten

Für MDR-Bestandskunden besteht kein akuter Handlungsbedarf. Die Umbenennung der Servicestufen läuft automatisch, die kostenfreie EMS-Integration ist ein reiner Mehrwert. Wer bereits MDR Complete nutzt, sollte lediglich die neue Bezeichnung MDR Plus im internen Reporting nachziehen.

Für Neukunden und laufende Projekte lohnt es sich, Sophos Next-Gen SIEM von Anfang an mitzudenken, sobald Compliance-Reporting oder eine Datenaufbewahrung über 90 Tage hinaus eine Rolle spielen. Wer heute noch das Central Data Storage 1Y Pack einplant, sollte direkt auf die Nachfolgelösung wechseln.

„Es freut uns, dass wir die leistungsstarken und umfassenden Schutzlösungen von Sophos jetzt auch dort anbieten können, wo bislang eine SIEM-Pflicht im Weg stand. Viele Kunden schätzen Sophos, mussten aus Compliance-Gründen aber zu einem separaten SIEM greifen. Mit dem Next-Gen SIEM geben wir ihnen endlich eine durchgängige Lösung an die Hand, ohne Brüche zwischen Detection, Response und Nachweispflichten.“

Sebastian Geide, CSO, Aphos Gesellschaft für IT-Sicherheit mbH

Welche Kombination aus Managed Security, XDR und Next-Gen SIEM für eine konkrete Umgebung sinnvoll ist, klären wir gern im direkten Gespräch. Aus unserer Sicht ergibt sich vor allem für regulierte Branchen und Organisationen mit Audit-Pflichten jetzt ein deutlich klareres Bild.

Jetzt zum Portfolio-Update beraten lassen →

Fazit: Sophos schließt eine echte Lücke im Portfolio

Der Launch von Sophos Fusion und dem dahinterliegenden AI-Native Cybersecurity Defense System ist mehr als ein Marketing-Dach. Mit dem Next-Gen SIEM schließt Sophos eine echte Lücke im Portfolio, die klare Umbenennung der MDR-Stufen und die kostenfreie EMS-Integration vereinfachen den Einkauf, und mit AI Defense und CISO Advantage besetzt Sophos zwei Themen, die 2026 an Bedeutung gewinnen. Für Bestandskunden bleibt der Übergang unaufgeregt, für Neukunden und SIEM-Projekte verschiebt sich die Ausgangslage spürbar. Wir aktualisieren unsere betroffenen Beiträge entsprechend und begleiten die Änderungen in der Beratung.

Quellen

1. Sophos, AI-Native Cybersecurity, sophos.com
2. Sophos, Agentic SOC Compresses Threat Response to 89 Seconds (Pressemitteilung, Mai 2026), sophos.com
3. Sophos, Sophos Fusion (Launch, 15. Juli 2026), sophos.com