End-of-Life der Sophos SG-Serie und UTM: Was Unternehmen jetzt beachten sollten

Kurz zusammengefasst: Das End-of-Life der Sophos SG-Serie und der darauf eingesetzten UTM-Plattform ist kein einzelner technischer Schalter, sondern ein Übergang mit Folgen für Support, Lizenzen, Sicherheitsbetrieb und Ersatzplanung. Unternehmen sollten ihre konkrete Appliance, den Lizenzstatus, die eingesetzte UTM-Version und alle abhängigen Dienste erfassen. Für viele Umgebungen führt der Weg zu Sophos Firewall auf aktueller Hardware oder zu einer bewusst geprüften Alternative. Entscheidend ist, die Migration nicht erst beim Lizenzablauf zu beginnen: Regeln, VPNs, Authentifizierung, Web- und E-Mail-Schutz, Routing, Protokollierung und Betriebsverantwortung müssen vorab getestet und dokumentiert werden.

Was End-of-Life bei Sophos SG und UTM bedeutet

Die Sophos SG-Serie bezeichnet Hardware-Appliances, auf denen häufig Sophos UTM 9 betrieben wurde. Sophos hat für Sophos UTM und die SG-Serie den 30. Juni 2026 als End-of-Life und Ende des Supports festgelegt. Betroffen sind neben UTM auf SG-Hardware auch Softwareinstallationen auf Fremdhardware, virtuelle Installationen, UTM auf AWS sowie die Home Edition.

End-of-Life bedeutet nicht zwingend, dass eine Appliance am Folgetag nicht mehr startet. Es bedeutet jedoch, dass der reguläre Produktlebenszyklus endet. Für den Betrieb sind deshalb Supportfähigkeit, Lizenzlaufzeit, Sicherheitsupdates, Ersatzhardware und ein reproduzierbarer Wiederanlauf zu prüfen. Bei SG-Appliances, auf denen bereits Sophos Firewall OS läuft, gelten die jeweiligen Lebenszyklusdaten der entsprechenden XG-Modelle; das muss für das konkrete Modell separat geprüft werden.

Sophos Firewall gilt als vorgesehene Nachfolgeplattform. Eine Migration ist aber kein einfaches Firmware-Update. UTM und Sophos Firewall verwenden unterschiedliche Konfigurationsmodelle. Daher müssen übertragene Einstellungen geprüft und teilweise manuell nachgebaut werden.

Modell, Seriennummer, Firmware beziehungsweise UTM-Version und Lizenzstatus erfassen
Klären, ob UTM oder bereits Sophos Firewall OS betrieben wird
Herstellerfristen für Gerät, Software und Vertrag getrennt prüfen
Support-, Ersatzteil- und Wiederanlaufkonzept bewerten

Warum jetzt Handlungsbedarf besteht

Eine weiter betriebene, aber nicht mehr regulär unterstützte Sicherheitsplattform erhöht das Betriebs- und Sicherheitsrisiko. Neue Schwachstellen, Änderungen bei Zertifikaten oder Cloud-Diensten und technische Störungen lassen sich dann möglicherweise nicht mehr mit Herstellerunterstützung bearbeiten. Zusätzlich kann ein Ausfall kritisch werden, wenn Ersatzhardware, aktuelle Konfigurationssicherungen oder dokumentierte Notfallzugänge fehlen.

Die SG-Appliance ist in kleinen Unternehmen häufig mehr als eine Firewall. Sie kann zugleich Internet-Gateway, VPN-Endpunkt, DHCP- und DNS-Dienst, Webfilter, E-Mail-Schutz, Authentifizierungsinstanz und Standortkopplung sein. Wird nur die Firewall-Regelbasis betrachtet, bleiben oft wichtige Betriebsfunktionen ungetestet.

Sicherheits- und Support-Risiko bei fehlender regulärer Pflege
Ausfallrisiko durch alte Hardware oder fehlende Ersatzgeräte
Migrationsrisiko bei nicht dokumentierten Regeln, VPNs und Sonderrouten
Betriebsrisiko durch übersehene Zertifikate, Identitätsdienste oder externe Abhängigkeiten

Bestand und Abhängigkeiten sauber erfassen

Am Anfang steht eine belastbare Ist-Dokumentation. Dazu gehören WAN-Anbindungen, öffentliche IP-Adressen, VLANs, interne Netze, Routing, NAT, Firewall-Regeln, Portfreigaben, Site-to-Site-VPNs, Remote-Access-VPNs, DNS, DHCP und gegebenenfalls WLAN- oder Access-Point-Anbindungen.

Ebenso wichtig sind verknüpfte Systeme wie Active Directory, Entra ID, RADIUS, LDAP, Multifaktor-Anbieter, Mailserver, Backup, Monitoring und zentrale Protokollierung. Regeln sollten nicht nur exportiert, sondern fachlich bewertet werden. Jede Freigabe braucht einen nachvollziehbaren Zweck und einen verantwortlichen Ansprechpartner.

Unklare Altregeln, temporäre Ausnahmen und nicht mehr benötigte Portfreigaben sind vor der Übernahme zu identifizieren. Das ist eine Gelegenheit zur Bereinigung, darf aber nicht dazu führen, dass Sicherheitskontrollen ohne Test entfernt werden.

Netz- und Datenflussübersicht erstellen
Regeln, Objekte, NAT, VPNs und Zertifikate inventarisieren
Abhängigkeiten zu Identität, Mail, DNS, Backup und Monitoring dokumentieren
Nicht mehr benötigte Freigaben fachlich bestätigen lassen

Zielplattform und Migrationsweg planen

Für eine Migration zu Sophos Firewall müssen Zielhardware, Lizenzmodell, zentrale Verwaltung, Reporting, Hochverfügbarkeit und Updateprozess geklärt werden. Sophos stellt für UTM-zu-Sophos-Firewall-Migrationen eine Migrationsunterstützung und ein Config-Studio bereit. Die Herstellerdokumentation unterscheidet zwischen vollständig unterstützten, teilweise unterstützten, manuell zu übertragenden und nicht unterstützten Konfigurationen.

Eine konvertierte Konfiguration ist deshalb eine Arbeitsgrundlage und keine fertige Abnahme. Zertifikate, Passwörter und bestimmte Funktionen können eine manuelle Nacharbeit erfordern. Bei einer Umwandlung einer SG-Appliance oder einer UTM-Lizenz sind außerdem die jeweiligen Lizenzbedingungen zu beachten. Eine Lizenzmigration kann die weitere Nutzung auf dem bisherigen UTM-System ausschließen.

Für kleine Unternehmen kann ein geplanter Wartungszeitraum mit vorbereiteter Ersatzkonfiguration ausreichen. Bei mehreren Standorten, kritischen VPNs, Telefonie, Produktionsnetzen oder hohen Verfügbarkeitsanforderungen ist ein gestuftes Vorgehen mit Rückfallplan sinnvoll.

Zielarchitektur mit Leitungen, Ports, Segmentierung und Redundanz definieren
Lizenz-, Support- und Updatebedingungen vor Beschaffung prüfen
Konfiguration in einer Testumgebung oder parallel vorbereiten
Rückfallplan, Kommunikationsplan und Abnahmekriterien festlegen

Technische Prüfpunkte vor der Umschaltung

Vor dem Produktivwechsel sollten die tatsächlichen Geschäftsabläufe getestet werden. Dazu zählen Internetzugang, Namensauflösung, E-Mail-Versand und -Empfang, Telefonie, Fernzugriff, Standortverbindungen, Cloud-Anwendungen, Druck- und Dateidienste sowie administrative Zugänge.

Sicherheitsseitig sind mindestens Regelreihenfolge, NAT, Zertifikatsketten, Web- und DNS-Schutz, Malware- und Intrusion-Prevention-Einstellungen, Protokollierung, Alarmierung, Administrationsschutz und Zeitquelle zu prüfen. Werden alte UTM-Dienste nicht gleichartig ersetzt, muss das Risiko bewusst bewertet und dokumentiert werden.

Die Abnahme sollte nicht nur durch die IT erfolgen. Fachverantwortliche müssen bestätigen, dass relevante Arbeitsabläufe funktionieren. Für kritische Dienste sind Sollwerte, Testfälle und eine verantwortliche Freigabe festzuhalten.

Funktionstests intern, extern und über VPN durchführen
Zertifikate, MFA, Adminrollen und Notfallzugänge prüfen
Logging, Monitoring, Alarmierung und Aufbewahrung kontrollieren
Leistung, Latenz und Verhalten bei Leitungs- oder Geräteausfall testen

Betrieb nach der Migration

Nach der Umschaltung ist die Arbeit nicht beendet. Die neue Plattform braucht einen definierten Update- und Reviewprozess, gesicherte Konfigurationen, überwachte Systemzustände und einen dokumentierten Notfallbetrieb. Änderungen an Regeln und VPNs sollten nachvollziehbar genehmigt werden.

Die alte SG-Appliance sollte erst aus dem Betrieb genommen werden, wenn die Abnahme abgeschlossen, die Dokumentation aktualisiert und die Datenaufbewahrung geklärt ist. Vor einer Entsorgung sind administrative Zugangsdaten, Zertifikate, Schlüssel, gespeicherte Verbindungen und lokale Protokolle nach der internen Sicherheits- und Aufbewahrungsregel zu behandeln.

Konfigurationsbackup und Wiederherstellung praktisch testen
Verantwortung für Updates, Regeln und Störungsannahme festlegen
Nachlaufprüfung nach den ersten Betriebstagen einplanen
Außerbetriebnahme und Datenlöschung nachvollziehbar dokumentieren

Beispiel aus der Praxis

Beispiel: Ein Unternehmen mit rund 40 Beschäftigten betreibt eine SG-Appliance für zwei Internetleitungen, ein Standort-VPN, einen Remote-Zugang und mehrere VLANs. Vor der Ablösung werden alle Freigaben, VPN-Teilnehmer, DNS- und DHCP-Abhängigkeiten sowie die Telefonie dokumentiert. Die Zielplattform wird parallel vorbereitet. Ein Test mit ausgewählten Arbeitsplätzen prüft Cloud-Dienste, Telefonie, Dateizugriff und den Fernzugang. Für den Umschalttag gibt es einen abgestimmten Wartungszeitraum, eine gesicherte Ausgangskonfiguration, einen Rückfallplan und eine Liste der Personen, die die Fachfunktionen abnehmen. Das Beispiel beschreibt ein typisches Vorgehen und ist keine Kundenreferenz.

Chancen für Unternehmen

Die Migration kann genutzt werden, um unnötige Portfreigaben, unklare Regelobjekte und veraltete Fernzugänge zu bereinigen.
Eine aktualisierte Netz- und Abhängigkeitsdokumentation verkürzt spätere Störungsanalysen und erleichtert Vertretungen.
Ein definierter Update-, Backup- und Testprozess macht den Sicherheitsbetrieb planbarer.
Die Zielarchitektur kann Segmentierung, MFA, zentrale Protokollierung und eine belastbare Ausfallplanung besser berücksichtigen.

Grenzen und Prüfpunkte

Eine Übernahme der UTM-Konfiguration ist keine automatische Funktions- und Sicherheitsabnahme.
Ob Sophos Firewall, eine andere Plattform oder eine Übergangslösung geeignet ist, hängt von Leitungen, Standorten, Anwendungen, Compliance, Budget und internem Know-how ab.
Herstellerfristen und Lizenzbedingungen können sich je nach Modell, Softwarestand und Vertrag unterscheiden und müssen für die konkrete Umgebung geprüft werden.
Ein technisch erfolgreicher Wechsel beweist nicht automatisch, dass alle Geschäftsprozesse, Sicherheitsanforderungen und Notfallverfahren ausreichend getestet wurden.
Ohne vollständige Ist-Dokumentation bleiben unbekannte Abhängigkeiten und nicht reproduzierbare Sonderkonfigurationen ein relevantes Risiko.