Sophos Firewall v22 im Early Access
Die Sophos Firewall v22 ist ab sofort im Early Access Programm (EAP) für XGS Hardware Firewalls und Virtual/Software Firewalls mit SFOS verfügbar. Das Update steht ganz im Zeichen von Secure by Design und bringt tiefgreifende Sicherheits- und Architekturverbesserungen. Neben der Härtung des Betriebssystems führt Sophos neue Analyse- und Integritätsfunktionen ein, die die Plattform gezielt gegen Manipulation und Fehlkonfiguration absichern.
Zu den wichtigsten Neuerungen zählen der neue Firewall Health Check mit Bewertung nach CIS-Benchmarks, eine komplett überarbeitete Xstream Architektur mit gehärtetem Kernel, Remote Integrity Monitoring sowie eine KI-gestützte Anti-Malware-Engine. Ergänzend dazu integriert v22 mehrere UTM-Funktionen, um den Wechsel von SG UTM-Systemen auf aktuelle XGS Firewalls zu erleichtern.
Secure by Design: Fokus der neuen SFOS Version
Mit SFOS v22 hebt Sophos das Secure-by-Design-Prinzip auf ein neues Niveau. Die Entwicklungsarchitektur wurde konsequent auf Sicherheit, Modularität und Isolierung ausgerichtet, um Angriffsflächen zu minimieren und eine kompromissresistente Systembasis zu schaffen. Ziel ist es, sicherheitskritische Prozesse strikt voneinander zu trennen und die Ausführung privilegierter Dienste auf das technisch notwendige Minimum zu beschränken.
Kern der Neuerungen ist die Next-Gen Xstream Architecture. Sie trennt erstmals vollständig zwischen Daten- und Steuerungsebene und führt eine containerbasierte Service-Struktur ein. Module wie IPS oder Web-Protection laufen dadurch isoliert als eigenständige Instanzen und lassen sich künftig unabhängig aktualisieren. Diese Architektur ermöglicht es, neue Sicherheitsfunktionen als „Apps“ auf der Firewall bereitzustellen – mit klar definierten Schnittstellen, getrennten Berechtigungen und höherer Ausfallsicherheit.
Darüber hinaus wurde die Systemstabilität durch ein Self-Healing-Konzept erweitert: Hochverfügbarkeits-Cluster überwachen ihren Zustand kontinuierlich und gleichen Konfigurationsabweichungen automatisch ab. Die Trennung von Benutzer- und Root-Kontexten, kombiniert mit strenger Privilegientrennung und Rollenbasiertem Zugriff, erschwert gezielte Angriffe auf Verwaltungsprozesse erheblich. Damit rückt SFOS v22 einen weiteren Schritt in Richtung einer vollständig gehärteten, zukunftssicheren Sicherheitsplattform.
Neu in v22: Sophos Firewall Health Check
Mit dem neuen Firewall Health Check erweitert Sophos die SFOS-Oberfläche um ein zentrales Analysewerkzeug für Sicherheits- und Konfigurationsbewertungen. Das Feature überprüft Dutzende Systemeinstellungen der Firewall und gleicht sie mit CIS-Benchmarks sowie weiteren Best-Practice-Richtlinien ab. Dadurch lässt sich auf einen Blick erkennen, welche Bereiche der Konfiguration potenzielle Risiken oder Optimierungsbedarf aufweisen.
Ergebnisse und Empfehlungen werden direkt im Control Center angezeigt. Ein eigenes Widget liefert eine zusammengefasste Gesundheitsbewertung des Systems, während detaillierte Berichte über das Menü „Firewall Health Check“ abrufbar sind. Administratoren erhalten dort eine priorisierte Übersicht aller erkannten Abweichungen inklusive Vorschlägen zur Behebung – beispielsweise für zu großzügige Regeldefinitionen, unverschlüsselte Managementzugänge oder veraltete Firmwarestände.
Damit vereinfacht SFOS v22 das Sicherheitsmanagement deutlich. Der Health Check sorgt für Transparenz über den aktuellen Sicherheitsstatus, unterstützt Audits nach CIS Controls und hilft dabei, Compliance-Vorgaben effizient umzusetzen. Die Funktion steht in allen SFOS Lizenzvarianten standardmäßig zur Verfügung.
Neue Xstream Architektur & gehärteter Kernel
Die Xstream Architektur wurde in Sophos Firewall v22 vollständig neu konzipiert. Das System basiert nun auf einer modularen Control Plane, die Sicherheit, Skalierbarkeit und Zukunftsfähigkeit deutlich erhöht. Einzelne Dienste wie Intrusion Prevention (IPS), Application Control oder Web Protection laufen künftig isoliert als separate Containerprozesse. Diese Trennung verhindert, dass Sicherheitsvorfälle in einem Modul Auswirkungen auf das Gesamtsystem haben, und erlaubt unabhängige Updates einzelner Komponenten.
Mit der neuen Architektur führt Sophos auch einen gehärteten Kernel (v6.6+) ein, der die Plattform auf aktuelle und zukünftige Hardwaregenerationen vorbereitet. Der Kernel bietet erweiterte Schutzmechanismen gegen Seitenkanalangriffe und CPU-Schwachstellen wie Spectre, Meltdown, L1TF, MDS, Retbleed, ZenBleed und Downfall. Zusätzlich kommen Funktionen wie Kernel Address Space Layout Randomization (KASLR), Stack Canaries und eine hardened usercopy-Implementierung zum Einsatz, um Speicherzugriffe besser zu kontrollieren und Manipulationen zu verhindern.
Die überarbeitete Systemarchitektur verbessert nicht nur die Sicherheit, sondern auch die Stabilität und Performance der Plattform. Damit wird SFOS v22 zur bislang robustesten und zugleich leistungsfähigsten Version des Firewall-Betriebssystems.
Remote Integrity Monitoring & XDR-Integration
Mit Sophos Firewall v22 hält eine neue Sicherheitskomponente Einzug in das Betriebssystem: das Remote Integrity Monitoring. Die Funktion basiert auf dem in Sophos XDR eingesetzten Linux-Sensor und überwacht in Echtzeit die Integrität der Systemumgebung. Dabei werden alle relevanten Konfigurationsänderungen, Dateioperationen und Prozessereignisse kontinuierlich erfasst und auf potenziell unautorisierte Aktivitäten geprüft.
Das Monitoring erkennt beispielsweise unzulässige Regeländerungen, Manipulationen an Systemdateien oder versuchte Programmausführungen außerhalb definierter Pfade. Auffälligkeiten werden zentral an die Sophos Sicherheitsinfrastruktur übermittelt und dort automatisiert analysiert. Auf diese Weise kann Sophos schnell auf mögliche Angriffe reagieren und die gesamte installierte Firewall-Basis proaktiv absichern – ein Alleinstellungsmerkmal im Firewall-Markt.
Die Integration des Sensors schafft zudem eine enge Anbindung an Sophos XDR und Sophos MDR. Ereignisdaten aus der Firewall fließen in die zentrale Threat-Analyse ein und unterstützen Security-Teams bei der Korrelation von Netzwerk- und Endpoint-Telemetrie. Das Resultat ist eine schnellere Erkennung und Reaktion auf komplexe Angriffsszenarien – inklusive forensischer Rückverfolgung bis auf Regel- und Prozess-Ebene.
Neue Anti-Malware-Engine & Telemetrie
Mit Version 22 setzt Sophos auf eine weiterentwickelte Anti-Malware-Engine, die fortschrittliche Erkennungstechniken mit Echtzeit-Cloud-Intelligenz kombiniert. Die Engine nutzt globale Reputationsdaten, die im Fünf-Minuten-Takt aus dem SophosLabs Threat Intelligence Network aktualisiert werden, und erkennt neu auftretende Bedrohungen nahezu in Echtzeit. KI- und ML-Modelle analysieren Codeverhalten, Dateistrukturen und Kontextinformationen, um Schadsoftware auch ohne Signaturen zuverlässig zu identifizieren.
Durch die enge Integration mit Sophos Central werden Telemetriedaten aus Firewalls, Endpoints und Servern konsolidiert und zentral ausgewertet. Diese erweiterte Datenbasis verbessert die Analysegeschwindigkeit in den SophosLabs und ermöglicht eine schnellere Reaktion auf Zero-Day-Bedrohungen. Anwender profitieren von kürzeren Update-Zyklen, höherer Erkennungsgenauigkeit und geringerer Systembelastung.
Neue UTM-Funktionen für einfachere Migration
Da die Sophos SG UTM am 30. Juli 2026 ihr Supportende erreicht, richtet sich SFOS v22 gezielt an Umsteigerinnen und Umsteiger von der bisherigen UTM-Plattform. Mehrere Funktionen wurden übernommen oder erweitert, um eine reibungslose Migration auf die aktuelle XGS Firewall-Serie zu ermöglichen.
- SHA-256 / SHA-512-Unterstützung für OTP-Tokens: Stärkere Hash-Algorithmen für Einmalpasswörter erhöhen die Sicherheit bei Zwei-Faktor-Authentifizierung und VPN-Zugängen.
- MFA für WAF-Form-Based Authentication: Der integrierte Web Application Firewall (WAF) unterstützt nun Multi-Faktor-Authentifizierung für formularbasierte Logins – ein häufig gefordertes Feature vieler SG-UTM-Kunden.
- Audit-Trail-Logs nach NIST-Standard: Änderungen an der Firewall-Konfiguration werden vollständig nachvollziehbar mit Vorher-/Nachher-Vergleich protokolliert. Damit erfüllt SFOS v22 die aktuellen NIST-Anforderungen an Änderungsnachweise und Audit-Sicherheit.
SG-User, die aktuell eine Migration auf SFOS planen, empfehlen wir ergänzend die All-in-One Migrations-Promo. Damit lassen sich Hardware, Lizenz und Support beim Umstieg gebündelt und zu starken Sonderkonditionen beschaffen.
Teilnahme am Early Access Programm (EAP)
Die Early Access Version von SFOS v22 steht ab sofort über die offizielle Sophos Firewall v22 EAP-Registrierungsseite zur Verfügung. Nach der Anmeldung erhalten Teilnehmende die Installationspakete per E-Mail und können die neue Version direkt auf Testsystemen oder sekundären Appliances bereitstellen.
Während der Early-Access-Phase erfolgt der Support ausschließlich über die Sophos Community. Dort steht auch ein spezieller Bereich für Rückmeldungen und Fehlerberichte bereit. Feedback kann außerdem direkt aus der Benutzeroberfläche über den Menüpunkt „Feedback senden“ eingereicht werden – alle Meldungen werden automatisiert an das Entwicklungsteam übermittelt.
Für Tests empfiehlt sich der Einsatz auf separaten oder nicht produktiven Systemen. So lassen sich neue Funktionen wie Health Check, Remote Integrity Monitoring und die aktualisierte Xstream Architektur unter realistischen Bedingungen evaluieren, ohne laufende Infrastrukturen zu beeinträchtigen.
Fazit: Ein großer Schritt Richtung Secure by Design
Mit SFOS v22 setzt Sophos den Schwerpunkt klar auf Sicherheitsarchitektur, Transparenz und Integrität. Die Kombination aus gehärtetem Kernel, modularer Xstream-Architektur und Remote Integrity Monitoring markiert einen deutlichen Fortschritt in der Absicherung der Plattform selbst. Gleichzeitig erleichtern Funktionen wie der neue Firewall Health Check und die erweiterten UTM-Features die tägliche Administration und die Migration älterer Systeme. Insgesamt zeigt das SFOS-v22-Update deutlich, dass Sophos den eingeschlagenen Weg konsequent fortsetzt – hin zu einer stärker gehärteten, integren und zukunftssicheren Firewall-Plattform.
Unser Team freut sich darauf, die neue Version ausgiebig zu testen und die erweiterten Sicherheitsmechanismen im praktischen Einsatz zu evaluieren. Besonders die neue Audit-Funktion klingt vielversprechend – auch wenn wir davon ausgehen, dass sie in ihrer Tiefe nicht mit unserem umfassenden Firewall Audit vergleichbar ist. Im Anschluss an ein Audit unterstützen wir übrigens gerne mit gezielter Firewall-Härtung, um Konfigurationen und Sicherheitsrichtlinien zu optimieren.
