Sophos hat das Early Access Program für Sophos Firewall v23 gestartet. Das neue Major Release SFOS v23 bündelt eine ganze Reihe von Funktionen, die Administratoren seit Längerem gefordert haben. Im Mittelpunkt stehen KI-Governance über Sophos AI Defense, eine moderne REST API mit tokenbasierter Authentifizierung, ein KI-Assistent für Firewall-Regeln, eine neu aufgebaute Regelverwaltung und ein deutlich schnellerer HA-Failover. Dazu kommen DNS over HTTPS, DNSSEC, Google Workspace als Identity Provider und eine überarbeitete Web Application Firewall. Wir haben die offizielle Ankündigung von Sophos Firewall v23 ausgewertet und zeigen, welche Neuerungen für den Betrieb besonders relevant sind.
Key Takeaways: Sophos Firewall v23 EAP 2026
- Sophos Firewall v23 (SFOS v23) ist als Early Access Version verfügbar. Firmware-Datei und Installer erhalten Sie nach Registrierung auf der EAP-Seite von Sophos per E-Mail.
- Eine neue Web-Kategorie „Generative AI" und passende Anwendungsfilter machen die Firewall zum Kontrollpunkt für KI-Tools im Unternehmen.
- Die neue REST API mit Token-Authentifizierung ermöglicht die Automatisierung von Konfigurationen, Richtlinien und Orchestrierung.
- Der AI Firewall Assistant in Sophos Fusion beantwortet Fragen zu Firewall-Regeln in natürlicher Sprache und legt Regelentwürfe nur deaktiviert an.
- HA überwacht jetzt auch Hardware wie die SSD, das Zeitfenster für die Failover-Erkennung sinkt von 4 Sekunden auf 300 Millisekunden.
- DNS over HTTPS und DNSSEC schützen DNS-Anfragen und DNS-Antworten gegen Mitlesen, Manipulation und Spoofing.
- Entra ID für Synchronized Security, Google Workspace SSO und Chromebook-SSO erweitern die Anbindung an Cloud-Identitäten.
- Die WAF arbeitet mit parallelem Processing und unterstützt Aktionen pro Pfad, womit eine bisherige Lücke gegenüber SG UTM 9 geschlossen wird.
SFOS v23: alle Neuerungen im Überblick
Sophos gliedert die Neuerungen von SFOS v23 in fünf Bereiche. Neben den großen Themen KI, Automatisierung und Hochverfügbarkeit enthält das Release zahlreiche Verbesserungen in Routing, DHCP, IPv6 und Identitätsanbindung, die im Alltag vieler Administratoren spürbar sein dürften.
Die wichtigsten Funktionen von SFOS v23 nach Bereich
| Bereich | Neuerung | Nutzen im Betrieb |
|---|---|---|
| KI und Automatisierung | Sophos AI Defense mit Web-Kategorie „Generative AI" | Freigegebene KI-Tools erlauben, alle anderen blockieren |
| KI und Automatisierung | REST API mit Token-Authentifizierung | Konfigurationen und Richtlinien automatisiert ausrollen |
| KI und Automatisierung | AI Firewall Assistant in Sophos Fusion | Fragen zum Regelwerk in natürlicher Sprache stellen |
| Verwaltung und Resilienz | Neue Regelverwaltung mit flexibler Tabellenansicht | Große Regelwerke schneller durchsuchen und filtern |
| Verwaltung und Resilienz | HA mit Hardware-Monitoring und 300 ms Failover-Erkennung | Kürzere Ausfallzeiten, weniger Fehl-Failover unter Last |
| Verwaltung und Resilienz | Firmware-Zeitpläne in Sophos Fusion | Gestaffelte, wiederkehrende Updates für viele Firewalls |
| Secure by Design | DNS over HTTPS und DNSSEC | Schutz vor DNS-Manipulation und Cache Poisoning |
| Secure by Design | Sichtbarkeit von Hotfixes und CVEs | Nachvollziehbar dokumentieren, welche Schwachstellen gepatcht sind |
| Identität und Zugriff | Entra ID, Google Workspace, Chromebook-SSO | Hybride und Cloud-Identitäten ohne Captive Portal nutzen |
| Netzwerk und Anwendungen | Neue WAF-Architektur, DHCP-Dienst und mDNS-Reflector | Mehr Last, mehr Regeln, Geräte-Discovery über VLANs |
KI und Automatisierung: AI Defense, REST API und AI Firewall Assistant
KI-Governance mit Sophos AI Defense
Mit SFOS v23 und Sophos AI Defense erhalten Sie Transparenz darüber, welche KI-Dienste in Ihrer Organisation tatsächlich genutzt werden. Eine neue Web-Kategorie „Generative AI" und zusätzliche Anwendungsfilter machen die Firewall zum Durchsetzungspunkt. Freigegebene KI-Tools bleiben erreichbar, alle anderen lassen sich blockieren, bevor vertrauliche Daten in externe Dienste gelangen. Die Steuerung erfolgt über dieselben Mechanismen wie beim klassischen Web Filtering, also über Kategorien und Application Control.
REST API mit tokenbasierter Authentifizierung
Die neue REST API bindet die Firewall direkt in IT-, Security- und Automatisierungs-Workflows ein. Konfigurationen lassen sich ausrollen, Richtlinien aktualisieren und Orchestrierungsplattformen anbinden. Die Authentifizierung läuft über Tokens, ein integrierter Guide zeigt die Schemas der einzelnen Endpunkte direkt in der Oberfläche an. Für Umgebungen mit vielen Firewalls und für Managed Service Provider ist das ein spürbarer Fortschritt gegenüber der bisherigen XML-API.
AI Firewall Assistant in Sophos Fusion
Sophos Fusion ist der neue Name der Management-Plattform Sophos Central. Dort beantwortet der AI Firewall Assistant Fragen zur Firewall-Konfiguration in natürlicher Sprache. In Phase 1 konzentriert sich der Assistent auf Firewall-Regeln und arbeitet bewusst nur lesend. Die einzige Ausnahme sind Regelentwürfe. Diese legt der Assistent immer deaktiviert und an letzter Position im Regelwerk an, sodass eine Regel erst wirksam wird, nachdem ein Administrator sie geprüft und aktiviert hat.
Regelverwaltung und Hochverfügbarkeit: 13-fach schnellerer Failover
Neu aufgebaute Regelverwaltung
Die Verwaltung der Firewall-Regeln basiert in SFOS v23 auf einer neuen, flexiblen Tabellenansicht. Spalten lassen sich auswählen, in der Breite anpassen und fixieren. Regelnamen durchsuchen Sie per Freitext, Filter greifen über alle Daten hinweg. Wie Sophos im EAP-Forum erklärt, bleibt die bisherige Ansicht in v23.0 parallel verfügbar. Administratoren mit umfangreichen, gruppierten Regelwerken müssen also nicht sofort umsteigen.
Weitere Verbesserungen betreffen den Alltag in der Admin-Oberfläche. HTTP/2 beschleunigt das erste Laden von Seiten, vor allem über Verbindungen mit hoher Latenz. Seriennummer und HA-Cluster-Status sind jetzt auf jeder Seite sichtbar. In Sophos Fusion planen Sie wiederkehrende Firmware-Updates mit gestaffeltem Rollout, sodass auch große Firewall-Flotten automatisch aktuell bleiben.
HA mit Hardware-Monitoring und 300 Millisekunden Failover-Erkennung
Im HA-Cluster überwacht die Firewall künftig nicht nur Links und Dienste, sondern auch Hardware-Komponenten wie die SSD. Beschleunigte Keepalives verkürzen das Zeitfenster für die Failover-Erkennung laut Sophos von 4 Sekunden auf 300 Millisekunden, also um etwa den Faktor 13. Heartbeat-Pakete laufen außerdem über einen priorisierten Pfad, der vom Datenverkehr isoliert ist. Lastspitzen, hohe CPU-Auslastung oder DDoS-Situationen sollen dadurch keine Fehl-Failover mehr auslösen.
HA-Failover-Erkennung vor und mit SFOS v23 (in Millisekunden)
Secure by Design: DNS over HTTPS, DNSSEC und CVE-Transparenz
DNS over HTTPS und DNSSEC
Mit DNS over HTTPS verschlüsselt die Firewall DNS-Anfragen und schützt sie so vor Mitlesen und Manipulation auf dem Übertragungsweg. DNS Protection lässt sich dabei mit einem Klick bereitstellen. DNSSEC ergänzt die Verschlüsselung um die Authentifizierung von DNS-Antworten und wehrt DNS-Spoofing sowie Cache Poisoning ab.
Transparenz bei Hotfixes und Sicherheitsupdates
Sophos spielt Hotfixes für kritische Schwachstellen automatisch ein. In SFOS v23 sehen Sie jede angewendete CVE-Korrektur mit Schweregrad, Datum und Link zum Advisory, und zwar in der Oberfläche, im Log Viewer und in Central Firewall Reporting. Damit lässt sich gegenüber Geschäftsführung, Auditoren oder im Rahmen von NIS-2 sauber belegen, welcher Patch-Stand auf welcher Firewall aktiv ist.
Modernisiertes Routing und Threat Response
Eine aktualisierte FRR-Engine und eine einheitliche Konsole verwalten alle Routing-Protokolle an einer Stelle. Dazu kommt eine experimentelle Unterstützung für BFD, das Verbindungsausfälle schneller meldet. Bedrohungsalarme aus Sophos NDR Essentials und NDR Active werden jetzt ausgelöst, ohne den betroffenen Endpunkt zu isolieren. Sie erhalten so die Sichtbarkeit, ohne dass Anwender den Zugriff verlieren. Ergänzend hat Sophos die Plattform an weiteren Stellen gehärtet.
Identität und Zugriff: Entra ID, Google Workspace und Chromebook-SSO
Für Synchronized Security authentifiziert die Firewall Clients mit Sophos Endpoint jetzt über Entra ID und das lokale Active Directory gemeinsam. In hybriden Umgebungen entfällt damit die Anmeldung am Captive Portal. Google Workspace lässt sich als Identity Provider für Captive Portal, VPN Portal, Sophos Connect und WebAdmin einbinden, die MFA wird dabei vom IdP erzwungen.
Auch das MFA-Onboarding wird sicherer. QR-Codes für die Einrichtung verschickt die Firewall per E-Mail statt sie im Portal anzuzeigen. Das verringert die Angriffsfläche für Brute-Force-Angriffe und Credential Stuffing. Für Chromebook-Flotten gibt es Single Sign-on über ein Plug-in aus dem Chrome Web Store. Auf Terminalservern und gemeinsam genutzten Systemen sorgt ein schlanker XDR Sensor neben dem vorhandenen Endpoint- oder AV-Produkt für eine korrekte Zuordnung von Identität und Richtlinie pro Benutzer, auch bei RDP-Sitzungen.
Netzwerk, WAF und Skalierung
Web Application Firewall mit neuer Architektur
Die Web Application Firewall arbeitet in SFOS v23 mit einem neu entwickelten, parallelen Verarbeitungsmodell. Worker bleiben über mehrere gleichzeitige Anfragen hinweg ausgelastet, statt an einer einzelnen Anfrage zu blockieren. Während die bisherige Architektur laut Sophos bei rund 800 parallelen Anfragen an ihre Grenze kommen konnte, fängt das neue Modell Lastspitzen ab, ohne Verbindungen zu verlieren.
Pro Site-Pfad lassen sich jetzt die Aktionen Protect, Block, Redirect oder Passthrough zuweisen. Damit schließt Sophos eine Funktionslücke gegenüber Sophos SG UTM 9, die bei vielen Migrationen bisher Nacharbeit erfordert hat. Bis zu 128 Pfade lassen sich pro Eintrag gruppieren, insgesamt skaliert die WAF auf 200 Regeln. Lizenziert wird die WAF weiterhin über Sophos Web Server Protection.
DHCP-Dienst und mDNS-Reflector
Der DHCP-Dienst wurde auf der modernen Control Plane neu aufgebaut. Leases werden auch bei großen Umgebungen schneller verarbeitet, es stehen mehr statische Zuordnungen zur Verfügung und DHCP-Datenverkehr ist gegen Floods und DoS-Angriffe geschützt. Erweiterte Einstellungen, die bisher nur über die CLI erreichbar waren, liegen jetzt in der Oberfläche. Neu ist außerdem ein mDNS-Reflector für Bonjour. Drucker, Displays und freigegebene Geräte lassen sich damit über isolierte VLANs hinweg finden, ohne die Netzwerksegmentierung aufzuweichen. Das gilt für IPv4 und IPv6 und ist vor allem für Schulen, Hochschulen und Campus-Netze interessant.
IPv6, IPoE und neue Cloud-Option
SFOS v23 unterstützt Verbindungen über IPv6 IPoE und 4in6-Tunneling, einschließlich des japanischen Dienstes Xpass. VNE-fähiges DDNS hält öffentliche IPv6-Adressen aktuell. Die Sophos Virtual Software Firewall lässt sich außerdem als SFOS-Image in der IONOS Cloud bereitstellen. Für Organisationen, die bewusst auf einen deutschen Cloud-Anbieter setzen, ist das aus unserer Sicht eine sinnvolle Ergänzung zu den großen Hyperscalern.
Teilnahme am SFOS v23 Early Access Program
Die Firmware-Datei für das Upgrade oder den Installer für eine Neuinstallation laden Sie über die EAP-Registrierungsseite von Sophos herunter. Nach Eingabe Ihrer Daten erhalten Sie die Download-Links direkt per E-Mail. Support gibt es während des EAP ausschließlich über die Foren der Sophos Firewall Community. Feedback geben Sie über die entsprechende Option oben auf jeder Seite der Firewall oder direkt im Forum. Einen Termin für die allgemeine Verfügbarkeit nennt Sophos in der Ankündigung noch nicht. Wie schon bei Sophos Firewall v22 EAP folgen erfahrungsgemäß weitere Builds, bevor die Version allgemein verfügbar wird.
Aus unserer Sicht gehört eine EAP-Version nicht auf produktive Firewalls und schon gar nicht in einen HA-Cluster, der kritische Standorte absichert. Für Tests eignet sich eine Laborumgebung oder eine virtuelle Firewall. Sichern Sie vor jedem Upgrade die Konfiguration und prüfen Sie, wie Sie im Fehlerfall auf die vorherige Firmware zurückkehren. Typische Stolpersteine beschreiben wir in unserer Anleitung zu Firmware-Update- und HA-Problemen.
Unsere Empfehlung für Administratoren
In unseren Augen ist SFOS v23 das inhaltlich stärkste Release seit Längerem. Die REST API und die KI-Governance greifen Anforderungen auf, die wir in Projekten regelmäßig hören. Unsere Befragung Aphos Cyberlage 2026 unter 31 Organisationen zeigt die Lücke deutlich. 97 Prozent sehen die Gefahr durch KI, aber nur 29 Prozent haben verbindliche Regeln für die Nutzung von KI-Tools, 32 Prozent haben gar keine. 58 Prozent befürchten, dass über KI-Tools Daten an Dritte abfließen. Mit der Kategorie „Generative AI" lässt sich die Nutzung künftig direkt an der Firewall steuern. Die Verbesserungen im HA-Cluster und an der WAF sind besonders für Umgebungen relevant, die noch von Sophos SG UTM migrieren oder hohe Verfügbarkeitsanforderungen haben.
„Eine Web-Kategorie ersetzt keine KI-Richtlinie. Sie setzt aber technisch durch, was Geschäftsführung, Datenschutz und Fachabteilungen vorher festgelegt haben. Genau diese Verbindung aus Regelwerk und Durchsetzung fehlt heute in vielen Organisationen. Mit SFOS v23 lässt sie sich dort umsetzen, wo der Datenverkehr ohnehin geprüft wird."
Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH
Für produktive Systeme bleibt bis zur allgemeinen Verfügbarkeit die aktuelle v22-Linie maßgeblich. Was sich zuletzt mit Sophos Firewall v22 MR1 geändert hat, haben wir bereits zusammengefasst. Nutzen Sie die Zeit bis zum Release, um Regelwerke aufzuräumen, KI-Richtlinien mit Datenschutz und Fachabteilungen abzustimmen und Automatisierungsszenarien für die REST API zu planen. Bei Planung, Tests und Rollout unterstützen wir Sie mit der Einrichtung und Konfiguration Ihrer Sophos Firewall sowie einem Firewall Audit vor dem Upgrade.
