Das Sophos UTM End-of-Life ist zum 30. Juli 2026 erreicht. Für Unternehmen in Wertheim und im Main-Tauber-Kreis, die noch eine SG-Appliance mit UTM 9 im Einsatz haben, ist das kein Termin, den man in die nächste Budgetrunde schieben kann. Ab jetzt läuft eine Firewall im Netz, für die es keine neuen Sicherheitsupdates mehr gibt.
Was das End-of-Life konkret bedeutet
End-of-Life heißt nicht, dass die Appliance abschaltet. Sie arbeitet weiter, routet weiter, filtert weiter. Genau das ist das Problem: Von außen ist nichts sichtbar, was auf ein Risiko hindeutet. Der Unterschied liegt darin, was ab sofort nicht mehr passiert.
Neue Schwachstellen im Betriebssystem der UTM werden nicht mehr geschlossen. Ein Gerät, das an der Internetschnittstelle steht und VPN-Zugänge terminiert, ist damit ein dauerhaft offener Punkt. Angreifer arbeiten heute automatisiert und scannen gezielt nach Systemen, deren Versionsstand als nicht mehr gepflegt bekannt ist. Eine ungepatchte Firewall ist für diese Suche ein bevorzugtes Ziel, weil sie per Definition erreichbar sein muss.
Zusätzlich zu beachten: Die aktuelle Sophos-Firewall-Software SFOS unterstützt ab Version 21.0 die alte XG- und SG-Hardware nicht mehr. Ein reines Software-Upgrade auf den aktuellen Stand ist auf bestehender SG-Hardware also nicht möglich. Der Weg führt über einen Hardwarewechsel auf die XGS-Serie.
Warum der Weiterbetrieb teurer wird als der Wechsel
In der Praxis hören wir zwei Argumente für das Abwarten: Die Appliance läuft stabil, und neue Hardware kostet Geld. Beides stimmt. Trotzdem rechnet sich das Abwarten in den meisten Fällen nicht.
Der erste Grund ist die Versicherungsseite. Cyberversicherer fragen im Schadensfall nach dem Patchstand der eingesetzten Sicherheitskomponenten. Eine Firewall ohne Herstellersupport ist ein Argument, das gegen die versicherte Sorgfaltspflicht spricht. Der zweite Grund betrifft alle Unternehmen, die inzwischen unter NIS2 fallen oder als Zulieferer eines betroffenen Unternehmens in dessen Lieferkettenbewertung auftauchen. Der Nachweis eines geordneten Schwachstellen- und Patchmanagements lässt sich mit einer abgekündigten Firewall nicht führen.
Der dritte Grund ist rein wirtschaftlich und aktuell besonders relevant: Die Preise für Netzwerk- und Serverhardware ziehen an. Sophos hat die Preise für XGS-Appliances, Zubehör, Bundles und Subscriptions zum 1. Juli 2026 angehoben und dies mit der angespannten Lage bei RAM und SSD begründet. Wer den Wechsel weiter aufschiebt, kauft nicht günstiger ein, sondern voraussichtlich teurer.
Sophos UTM und Sophos Firewall XGS im Vergleich
| Kriterium | SG-Appliance mit UTM 9 | XGS mit Sophos Firewall v22 |
|---|---|---|
| Herstellersupport | Seit 30.07.2026 beendet | Aktueller Release-Zweig mit MR-Updates |
| Sicherheitsupdates | Keine neuen Patches | Laufende Hotfixes und Firmware-Updates |
| Zentrale Verwaltung | Eingeschränkt | Verwaltung und geplante Updates über Sophos Central |
| Konfigurationsprüfung | Manuell | Health Check erkennt risikoreiche Konfigurationen |
| Integration Endpoint | Basis | Zusammenspiel mit Sophos Endpoint und MDR |
Der Migrationsweg in fünf Schritten
Eine Firewall-Migration ist planbar, wenn man sie nicht als reinen Gerätetausch behandelt. Die Regelwerke gewachsener UTM-Installationen enthalten meist Einträge, die seit Jahren niemand mehr angefasst hat. Der Wechsel ist der richtige Moment, um aufzuräumen.
Bestand und Lizenzstand aufnehmen
Modell, Firmwarestand, Laufzeit der Subscriptions und angebundene Standorte erfassen. Dazu gehören auch RED-Appliances an Außenstellen und bestehende IPsec- oder SSL-VPN-Verbindungen.
Regelwerk bereinigen
Nicht mehr genutzte Portfreigaben, verwaiste Objekte und Altlasten aus früheren Projekten identifizieren. Was nicht mehr gebraucht wird, wird nicht mitmigriert.
Passende XGS-Appliance dimensionieren
Die Größe richtet sich nicht nur nach der Bandbreite, sondern nach den aktiven Sicherheitsfunktionen: TLS-Inspection, IPS und Sandboxing kosten Leistung. Zu klein dimensioniert wird die Firewall zum Flaschenhals.
Migration im Wartungsfenster mit Rückfallplan
Vollbackup der Altkonfiguration, definierte Testfälle für VPN, Telefonie und Anwendungszugriff, klare Kriterien für einen Rollback. Ohne Rückfallplan wird aus einem Abend schnell eine Nacht.
Nachlauf und Monitoring
In den ersten Tagen nach der Umstellung Logs und blockierte Verbindungen prüfen. Erfahrungsgemäß tauchen erst im Betrieb Spezialfälle auf, etwa Branchensoftware mit ungewöhnlichen Portanforderungen.
Ein Beispiel aus der Region
Ein Handwerksbetrieb im Main-Tauber-Kreis mit Hauptstandort und zwei angebundenen Lagerhallen betreibt seine Standortkopplung über RED-Appliances an einer SG-Firewall. Die Verbindung läuft seit Jahren unauffällig, das Thema stand deshalb nie auf der Tagesordnung. Mit dem Sophos UTM End-of-Life ändert sich die Bewertung: Die Standortkopplung hängt an einem Gerät ohne Sicherheitsupdates, und über dieselbe Verbindung läuft auch die IP-Telefonie.
Der geordnete Weg ist hier keine Notabschaltung, sondern eine terminierte Migration mit klarem Testplan für VoIP-Registrierungen und Standort-Tunnel. Wer die Telefonie über dieselbe Infrastruktur betreibt, sollte die Firewall-Migration und die Telefonanlagen-Konfiguration gemeinsam betrachten, statt nacheinander zwei Störungen zu produzieren.
Arztpraxen
Praxisnetze mit TI-Anbindung, Praxisverwaltungssystem und Gerätezugriffen brauchen eine saubere Segmentierung. Der Firewallwechsel ist der Moment, diese Trennung sauber aufzusetzen.
Produktion und Handwerk
Maschinen und Fernwartungszugänge von Anlagenherstellern gehören in ein eigenes Segment, nicht ins Büronetz.
Kanzleien und Büros
Mandantendaten, Homeoffice-Zugänge und Cloud-Anwendungen verlangen belastbare VPN-Konfigurationen und nachvollziehbare Protokollierung.
Mehrere Standorte
Wo Filialen über RED oder IPsec angebunden sind, muss die Migrationsreihenfolge geplant werden, damit nicht alle Standorte gleichzeitig betroffen sind.
Was jetzt sinnvoll ist
Der erste Schritt ist keine Bestellung, sondern eine Bestandsaufnahme. Viele Unternehmen wissen nicht sicher, welches Modell und welcher Firmwarestand bei ihnen tatsächlich läuft und wann die Subscriptions enden. Diese Zahlen entscheiden darüber, ob eine Migration in den nächsten Wochen ansteht oder ob noch Spielraum bleibt.
Die CoKom GmbH ist Sophos-Partner und begleitet Migrationen von der SG-Hardware auf die XGS-Serie einschließlich Regelwerksbereinigung, Standortkopplung und Test der Telefonie. Details zu unserem Leistungsumfang finden Sie unter Leistungen.
Fazit
Das Sophos UTM End-of-Life ist seit dem 30. Juli 2026 Realität. Eine Firewall ohne Sicherheitsupdates ist kein Restrisiko, sondern eine bekannte offene Flanke, und die Hardwarepreise entwickeln sich derzeit nicht zugunsten des Abwartens. Wer den Wechsel jetzt plant, entscheidet über Termin und Umfang selbst statt unter Druck.
Die CoKom Computer & Kommunikation GmbH aus Wertheim unterstützt Unternehmen und Arztpraxen im Main-Tauber-Kreis und in ganz Baden-Württemberg bei der Migration auf die aktuelle Sophos Firewall. Eine Bestandsaufnahme Ihrer vorhandenen Appliance ist der schnellste Weg zu einer belastbaren Aussage: Zu unseren Leistungen.