Sophos Fusion erklärt: Produkt, Lizenz oder neue Plattform?

Sophos Fusion, die Weiterentwicklung von Sophos Central, sieht alles, verbindet alles und lässt die Verteidigung als Einheit reagieren. So lautet die Botschaft im 66 Sekunden langen Einführungsvideo. Dazu kommen Begriffe wie AI-native, Agentic AI, Unified Context Lake, Compounding Intelligence und Synchronized Security. Das klingt gross, beantwortet aber die naheliegenden Fragen nicht: Ist Sophos Fusion ein neues Produkt? Braucht es eine neue Lizenz? Wird Sophos Central ersetzt? Und was passiert mit Endpoint, XDR, MDR, Firewall und den anderen Central-Produkten?

Die kurze Antwort lautet: Sophos Fusion ist weder ein einzelnes Produkt noch eine eigene Lizenz. Das AI-Native Cybersecurity Defense System bezeichnet die zugrunde liegende Architektur. Fusion ist die Weiterentwicklung von Sophos Central und inzwischen die Verwaltungsumgebung, in der Kunden ihre Kontrollpunkte verbinden und ihre Sicherheit auf dieser Architektur verwalten. Dabei entsteht kein zweites Portal: Der neue Name und die neue Oberfläche erreichen die Konsolen schrittweise. Während dieses Rollouts können Fusion-Bezeichnungen und zugrunde liegende technische Central-Bezeichner, Dokumentationspfade oder Weiterleitungen gleichzeitig vorkommen. Das allein ist weder ein Fehler noch ein Beleg für eine ausstehende Migration einzelner Objekte. Gleichzeitig ist Fusion mehr als ein neues Logo, denn mit der Secureworks-Integration werden XDR und MDR technisch deutlich erweitert, Next-Gen SIEM kommt als neues Add-on hinzu und weitere Angebote wie AI Defense und CISO Advantage werden unter diesem Dach eingeführt.

Fusion ist deshalb am besten als Kombination aus drei Dingen zu verstehen: technische Plattformstrategie, neues Portfoliomodell und neue Markenbotschaft. Wer nur eine Sophos Firewall betreibt, erhält dadurch nicht plötzlich ein autonomes Security Operations Center. Wer mehrere Kontrollpunkte, XDR oder MDR nutzt und die Integrationen sauber konfiguriert, kann dagegen tatsächlich von mehr Kontext und schnelleren Reaktionen profitieren.

Die wichtigsten Antworten auf einen Blick

Diese Trennung ist wichtig. Sophos formuliert selbst ausdrücklich, dass Fusion kein SKU, kein Bundle und nichts separat Kaufbares ist. Gleichzeitig nutzt der Hersteller den Launch natürlich, um neue Produkte und Erweiterungen zu positionieren. «Keine Fusion-Lizenz» bedeutet daher nicht «alle Fusion-Funktionen sind in jeder bestehenden Lizenz enthalten».

Was Sophos mit einem Cyber Defense System meint

Klassische Security-Portfolios bestehen aus vielen Werkzeugen: Endpoint Protection, Firewall, E-Mail-Sicherheit, Identity Security, NDR, XDR, SIEM, ZTNA, Switches, Access Points und Cloud Security. Jedes Produkt sieht einen anderen Teil eines Angriffs. Das Problem ist selten ein Mangel an Daten. Das Problem ist, dass diese Daten in unterschiedlichen Konsolen, Formaten und Zuständigkeiten landen.

Sophos Fusion soll diese Teile zu einem System verbinden. Die Architektur lässt sich auf fünf Bausteine reduzieren:

1. Kontrollpunkte: Sophos Endpoint, Firewall, E-Mail, Identity, NDR, Workspace Protection, Switches, Wireless und Cloud-Produkte liefern Telemetrie oder können Schutzmassnahmen umsetzen. Dazu kommen laut der aktuellen Produktseite mehr als 500 Integrationen mit Drittanbietern.
2. Gemeinsamer Kontext: Ein Unified Context Lake soll Ereignisse, Geräte, Benutzer, Identitäten und Angriffsindikatoren zusammenführen. Technisch knüpft das an den bestehenden Sophos Data Lake und die Secureworks-Taegis-Technologie an.
3. Koordinierte Reaktion: Synchronized Security und weitere bidirektionale Integrationen sollen Erkenntnisse aus einem Kontrollpunkt in Massnahmen an anderen Stellen übersetzen.
4. KI, Automatisierung und menschliche Kontrolle: Agentische KI soll Untersuchungen strukturieren, Kontext anreichern, Entscheidungen vorbereiten und in definierten Grenzen Reaktionen auslösen. Sophos X-Ops, MDR-Analysten und festgelegte Vertrauensgrenzen bleiben Teil des Systems.
5. Compounding Intelligence: Erkenntnisse aus realen Angriffen sollen nicht in einem einzelnen Kunden-Tenant enden, sondern Detektoren, KI-Modelle und Reaktionslogik für alle Kunden verbessern.

Hinter dem sperrigen Begriff Compounding Intelligence steckt damit ein zentraler Lernkreislauf. Sophos nennt als Datenbasis mehr als 625'000 geschützte Organisationen und über 380'000 MDR-Untersuchungen pro Jahr. Gemeint ist nicht, dass Kunden gegenseitig auf ihre Rohdaten zugreifen. Erkenntnisse aus Angriffsmustern und Untersuchungen sollen vielmehr in aktualisierte Erkennungen, Modelle und Response-Logik zurückfliessen. Wie schnell und bei welchen Produkten dieser Kreislauf tatsächlich greift, lässt sich von aussen allerdings kaum überprüfen.

Das Ziel ist nachvollziehbar. Ein kompromittiertes Konto, ein verdächtiger Prozess auf einem Endpoint und eine ungewöhnliche Verbindung durch die Firewall sind einzeln vielleicht nicht eindeutig. Zusammen können sie einen Angriff zeigen. Fusion soll diese Zusammenhänge schneller erkennen und eine passende Reaktion koordinieren.

Der entscheidende Punkt lautet aber: Eine Architekturzeichnung ist noch keine aktivierte Integration. Damit Daten tatsächlich zusammenkommen, müssen die beteiligten Produkte lizenziert, in Central registriert, korrekt konfiguriert und für Logging oder Data-Lake-Uploads freigeschaltet sein. Für eine automatische Reaktion braucht es zusätzlich unterstützte Response Actions, Berechtigungen und einen definierten Incident-Prozess.

Wird Sophos Central jetzt doch zu Sophos Fusion?

Offenbar war sich Sophos bei der Kommunikation selbst noch nicht ganz einig. Noch vor zwei Monaten erklärte Paul Murray, Senior Product Marketing Director bei Sophos, in der Community, Central werde weder umbenannt noch ersetzt. Offenbar hatte damals selbst ein Senior Product Marketing Director noch nicht alle News.

Inzwischen ist die Linie klar: Sophos Fusion ist die aktuelle Verwaltungsplattform und die Weiterentwicklung von Sophos Central. Die Bezeichnung wird schrittweise in den Kunden-, Enterprise- und Partner-Konsolen ausgerollt; dafür entsteht kein zweites Portal. Der Übergang ist dennoch nicht überall gleichzeitig abgeschlossen. Eine bereits sichtbare Fusion-Oberfläche kann mit Central-Dokumentationspfaden, API-Namen und Weiterleitungen über technische Central-Hosts koexistieren. Solche Bezeichner dürfen deshalb nicht pauschal ersetzt werden. Wer nach dem früheren Namen Sophos Central sucht, wird solchen Begriffen daher weiterhin begegnen. Für reine Endpoint-, Email- oder Firewall-Administrationen dürfte sich im Alltag zunächst wenig ändern. Deutlicher wird der Wechsel dort, wo heute bereits mit XDR, MDR, Integrationen und dem Threat Analysis Center gearbeitet wird.

Die echten Produktänderungen hinter dem Fusion-Launch

Der Begriff Fusion umfasst das ganze Portfolio. Die konkretsten Änderungen betreffen zum Start aber Sophos XDR, Sophos MDR und Next-Gen SIEM. Diese Erweiterungen basieren stark auf der 2025 abgeschlossenen Übernahme von Secureworks und der Taegis-Technologie.

Sophos hat Fusion am 15. Juli 2026 vorgestellt und die neuen XDR-, MDR- und SIEM-Funktionen für den 15. August 2026 angekündigt. Der Rollout bestehender XDR- und MDR-Tenants soll ab August schrittweise über mehrere Monate erfolgen. Ein Agent muss dafür nicht neu verteilt werden, und Sophos erwartet weder eine Unterbrechung noch eine Änderung der bestehenden XDR- oder MDR-Lizenz allein durch das Plattform-Upgrade.

Sophos XDR wird deutlich ausgebaut

Sophos XDR behält seinen Namen, erhält aber eine neue Security-Operations-Oberfläche, die das bisherige Threat Analysis Center ersetzt, und wesentlich mehr Funktionen aus der Secureworks-Welt:

• Tausende zusätzliche Detektoren aus Taegis,
• eigene Detection Rules,
• KI-gestützte Detection Analysis,
• mehr Telemetrie und Threat Intelligence von Sophos X-Ops,
• SOAR-Playbooks und zusätzliche Connectors,
• mehr bidirektionale Integrationen mit Response Actions,
• ein integriertes Email Monitoring System und
• die Möglichkeit, Next-Gen SIEM als Add-on zu ergänzen.

In einzelnen Upgrade-Unterlagen taucht dafür vorübergehend die Bezeichnung Sophos XDR Powered by Secureworks auf. Das ist kein separates XDR-Produkt, sondern beschreibt die technisch erweiterte Plattform.

Für Analysten wird die KI damit erstmals direkt in der täglichen Oberfläche greifbarer. Verwandte Aktivitäten werden zu Fällen gruppiert, komplexe Sicherheitsdaten verständlicher aufbereitet und Untersuchungen lassen sich in natürlicher Sprache durchsuchen. Sophos wirbt dafür ausdrücklich mit «no SQL required». Das senkt die Einstiegshürde, ersetzt aber weder die Prüfung der Ergebnisse noch das Verständnis der zugrunde liegenden Telemetrie.

Für bestehende XDR-Teams ist das wahrscheinlich die wichtigste Fusion-Änderung. Aus der bisherigen Abfrage- und Investigation-Plattform wird stärker eine vollständige SOC-Arbeitsumgebung. Die zusätzliche Technik nimmt aber nicht automatisch die Betriebsarbeit ab. Detection Rules, Datenquellen, Playbooks, Berechtigungen und Eskalationswege müssen weiterhin gepflegt werden.

Nach dem XDR-/MDR-Upgrade müssen bestehende Microsoft-365-Response-Actions-Verbindungen wegen einer zusätzlichen Berechtigung erneut autorisiert werden. Die bisherigen Credentials laufen am 1. Oktober 2027 ab; einzelne Microsoft-Aktionen können aber bereits vorher fehlschlagen – auch wenn die Microsoft-Integration und der bestehende Schutz weiterlaufen. Die Neuautorisierung sollte deshalb nicht bis zur Ablaufgrenze warten. Bei Sophos Firewall ist zusätzlich in einem Case zu prüfen, ob die Firewall-Response-Aktionen verfügbar sind: Nur wenn sie fehlen, wird eine Sophos Firewall (Actions)-Verbindung ergänzt. Den Ablauf für bestehende und fehlende Verbindungen erklärt das Runbook MDR- und XDR-Integrationen in Sophos Fusion. Solche Details zeigen, warum ein Plattform-Upgrade trotz «keine Downtime» nicht einfach ignoriert werden sollte.

Das integrierte Email Monitoring System (EMS) ist laut Sophos in XDR und MDR enthalten und keine zusätzliche Fusion-Lizenz. Es ersetzt weder Sophos Email, Microsoft Defender for Office 365 noch ein anderes E-Mail-Gateway. EMS nutzt Journaling-Regeln in Microsoft 365 oder Google Workspace und arbeitet im Monitoring-Modus neben der bestehenden E-Mail-Sicherheit. Der ursprüngliche E-Mail-Fluss und die Zustellung bleiben dabei unverändert. EMS liefert eine zweite Erkennungs- und Untersuchungsschicht; bei Microsoft 365 können bereits zugestellte schädliche Nachrichten zudem nachträglich entfernt werden.

Meine Einschätzung: So viele neue XDR-Funktionen ohne separate neue Lizenz und ohne angekündigten Aufpreis zum Start wirken fast ungewohnt grosszügig. Microsoft hat gerade vorgemacht, wie es danach weitergehen kann: Zusammen mit zusätzlichen AI-, Security- und Management-Funktionen wurden die Preise ausgewählter Microsoft-365-Pläne per 1. Juli 2026 angehoben. Bei Sophos haben wir zuletzt 2022 über eine Preiserhöhung von 7 bis 9 Prozent für Intercept X Advanced with XDR berichtet. Eine weitere XDR-Preiserhöhung innerhalb der nächsten zwölf Monate würde mich deshalb nicht überraschen. Dafür gibt es aktuell keine Ankündigung – das ist ausdrücklich eine persönliche Prognose.

Sophos MDR erhält mehr Automatisierung und wieder neue Namen

Auch bei MDR dreht Sophos wieder am Namensrad: MDR Essentials wird zu MDR, MDR Complete wird zu MDR Plus. Überraschend ist das kaum. Bei Sophos Central wechseln Produkt- und Lizenznamen so regelmässig, dass mir spontan kaum ein Angebot einfällt, das vier Jahre lang unverändert hiess. Die Umbenennung selbst würde ich deshalb nicht als wesentliche Fusion-Neuerung werten. Relevant sind die technischen Änderungen dahinter.

Sophos spricht von kontinuierlichem, KI-gestütztem Threat Hunting, mehr Integrationen und zusätzlichen Reaktionsmöglichkeiten. Das Email Monitoring System wird ebenfalls integriert.

Sophos nennt zwei Zahlen, um die Automatisierung zu belegen: Nach Angaben des Herstellers werden 52 Prozent der MDR-Fälle durch KI von Anfang bis Ende innerhalb der von Analysten definierten Grenzen bearbeitet. Bei den 89 Sekunden sind die öffentlichen Formulierungen allerdings nicht einheitlich. Die Fusion-Mitteilung und die MDR-Produktseite messen vom Alert bis zur automatisierten Reaktion. In einer früheren Mitteilung zum Agentic SOC beginnt die Zeit dagegen erst mit der Erstellung eines Falls und gilt für Fälle, die die KI vollständig bearbeiten darf. Alert und Fallerstellung sind nicht dasselbe. Die Zahl ist deshalb als Sophos-Betriebskennzahl und nicht als unabhängig geprüfte End-to-End-Reaktionszeit oder Garantie für jeden Vorfall zu lesen.

Eine konkrete Änderung dürfte im Alltag schneller auffallen als der neue Name: Mit dem Upgrade werden die bisherigen wöchentlichen und monatlichen MDR-Berichte eingestellt. Eine neue Self-Service-Berichterstattung ist erst für später im Jahr 2026 geplant. Bis dahin bleibt das MDR Dashboard mit frei wählbaren Zeiträumen, anpassbaren Ansichten und PDF-Export. Wer die regelmässigen Berichte für Kunden, Audits oder interne Kontrollen verwendet, sollte den bisherigen Versand deshalb vor dem Upgrade durch einen neuen Ablauf ersetzen.

Für bestehende MDR-Kunden ist damit vor allem wichtig, den angekündigten Upgrade-Zeitpunkt zu beobachten, Integrationen zu kontrollieren und Änderungen an Reports oder Workflows einzuplanen. Wer MDR bereits mit Drittanbieter-Telemetrie nutzt, findet im Beitrag Sophos MDR integriert Telemetriedaten von Drittanbietern die Grundlagen dieser Entwicklung.

Next-Gen SIEM ist neu und kostet zusätzlich

Next-Gen SIEM ist kein kostenloses Geschenk für jeden Central-Account. Es wird als optionales Add-on für XDR und MDR angeboten. Der Nutzen liegt vor allem in längerer Datenhaltung, zusätzlichen Compliance-Funktionen und eigenen Integrationen. Laut öffentlicher Sophos-FAQ ist ein Jahr Aufbewahrung der Standard; Optionen für drei, fünf, sieben oder zehn Jahre sind vorgesehen.

Bemerkenswert ist das Lizenzmodell: Sophos will Next-Gen SIEM nach der Anzahl geschützter Benutzer und Server und nicht nach dem ingestierten Datenvolumen berechnen. Das kann die sonst bei SIEM-Produkten schwer kalkulierbaren Kosten für Logvolumen reduzieren. Ob das Angebot günstiger ist, lässt sich daraus allein noch nicht ableiten; dafür müssen Benutzer, Server, Aufbewahrung und benötigte Integrationen gemeinsam gerechnet werden.

Eigene Datenquellen sollen über Custom Integrations angebunden werden können. Die dafür angekündigten KI-gestützten Parser bezeichnet Sophos in der öffentlichen Upgrade-FAQ allerdings noch als coming soon. Sie sollten deshalb nicht als bereits verfügbare Funktion in ein Einführungsprojekt eingeplant werden.

Für Organisationen, die bereits Splunk, Microsoft Sentinel, Google Security Operations, Elastic, QRadar oder eine andere SIEM-Plattform betreiben, ist das kein automatischer Wechselgrund. Interessant wird das Angebot dort, wo XDR oder MDR bereits der zentrale Security-Operations-Prozess ist und eine separate SIEM-Plattform zu aufwendig oder zu teuer wäre. Vor einem Wechsel gehören Datenquellen, Retention, Suchmöglichkeiten, Export, Compliance, Kosten und Exit-Strategie verglichen.

Für Schweizer und europäische Unternehmen gehört ausserdem die Datenresidenz auf die Prüfliste. Sophos Central führt unter anderem Datenregionen in Frankfurt, Deutschland, und Dublin, Irland; eine Schweizer Central-Region ist aktuell nicht aufgeführt. Die Region wird bei der Erstellung eines Accounts gewählt. Die Kundendaten bleiben daran gebunden und können nicht zwischen Regionen übertragen werden. Ein späterer Regionswechsel ist damit keine einfache Kontooption.

Das aktuelle XDR-Datenschutzblatt bestätigt diese Regionsbindung für Sophos Central und den bisherigen Data Lake. Die Secureworks-Dokumentation nennt für Taegis getrennte Standorte in den USA und in der EU beziehungsweise Deutschland. Öffentlich nicht eindeutig erklärt ist dagegen, wie ein bestehender Central-Tenant beim Fusion-Upgrade auf diese Taegis-Regionen abgebildet wird und ob sämtliche neuen Context-Lake-, SIEM- und Drittanbieter-Datenflüsse unverändert in der bisherigen Region bleiben. Genau das sollte vor einer Einführung schriftlich bestätigt werden.

Sophos führt unter anderem ISO 27001, ISO 27017, ISO 27018, SOC 2 und C5 Germany in seinen Unternehmenszertifizierungen auf. C5 ist der Kriterienkatalog des deutschen Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste. Diese Liste ist hilfreich, ersetzt aber keine Prüfung des konkreten Geltungsbereichs. Für ein Compliance-Projekt muss geklärt werden, ob die benötigte Fusion-Komponente, Region und Datenverarbeitung tatsächlich vom jeweiligen Zertifikat oder Bericht erfasst werden.

AI Defense und CISO Advantage sind weitere Angebote

Mit Fusion führt Sophos nicht nur eine Architektur ein, sondern baut das Portfolio aus:

• Sophos AI Defense ist seit 13. Oktober 2026 allgemein verfügbar. Das kostenpflichtige Add-on für qualifizierende EDR-, XDR- und MDR-Kunden macht KI-Nutzung und Shadow AI sichtbar, bewertet App-Risiken und bietet Zugriffspolicies sowie Reporting. Sophos nennt zusätzlich Sophos EDR Endpoint Protection als Voraussetzung. Das dokumentierte Setup verlangt einen auf die neue Fusion-Plattform mit Security Operations aktualisierten Account. Berechtigte Taegis-Kunden können bereits zur GA kaufen, ohne ihre Fusion-Migration abzuwarten; diese Kaufausnahme ist keine Zusage, das Fusion-Setup schon vor dem Upgrade nutzen zu können.
• Sophos CISO Advantage ist kein technischer Agent für Endpoint oder Firewall, sondern ein Security-Programm. Die allgemeine Verfügbarkeit wurde am 1. Oktober 2026 bekanntgegeben; der regionale Rollout beginnt in Nordamerika, Grossbritannien und dem übrigen Europa. Zum aktuellen Umfang gehören initiale Sicherheitsbewertungen, die Zuordnung zu Frameworks wie NIST CSF und CIS, Vergleiche mit ähnlichen Organisationen, eine priorisierte Verbesserungsroadmap und Berichte für technische Teams, Geschäftsleitung und Verwaltungsrat. Das Angebot wird separat als jährliche Term-Lizenz oder monatlich über MSP Flex lizenziert und ist nicht automatisch in bestehenden Fusion-/MDR-Umgebungen enthalten. Die konkrete Länderbereitstellung und der benötigte Leistungsumfang sind vor der Beschaffung zu bestätigen. CISO Advantage Plus mit kontinuierlicher Assurance sowie erweiterten Risiko-, Governance- und automatisierten Compliance-Funktionen ist für Mitte 2027 anvisiert, nicht heute verfügbar. Eine automatische, fortlaufende Kontrollvalidierung sollte deshalb nicht als zugesicherte Basisfunktion eingeplant werden.

Bei AI Defense muss das längerfristige Schutzmodell vom heute dokumentierten Umfang getrennt werden. Aktuell lassen sich beobachtete KI-Anwendungen auswerten, Risiken einordnen und Zugriffe über unterstützte Sophos-Sensoren erlauben, mit Warnungen versehen oder blockieren. Die GA-Pressekommunikation beschreibt zwar bereits die Echtzeitprüfung von Prompts und Uploads; die spätere Partnerinformation nennt Promptprüfung und -schutz jedoch ausdrücklich als Roadmap. Auch die Unterscheidung privater und geschäftlicher Accounts sowie zusätzliche Agentenschutzfunktionen sind dort künftigen Releases zugeordnet. Diese Funktionen sollten deshalb nicht als zugesicherter aktueller Schutz eingeplant werden. Der Grundlagenartikel Sophos AI Defense: KI-Nutzung erkennen und kontrollieren erklärt Voraussetzungen, Sensoren, Policy-Priorität und einen begrenzten Pilot mit Validierung und Rückweg.

Damit wird die kommerzielle Seite von Fusion sichtbar. Das System selbst hat keine Lizenz, aber es schafft den Rahmen, in dem zusätzliche Produkte und Services verkauft werden. Das ist nicht automatisch schlecht. Es sollte nur sauber von der technischen Architektur getrennt werden.

Was ändert sich für Sophos Firewall?

Für bestehende Sophos-Firewall-Installationen gilt zunächst: Fusion ersetzt weder die Firewall noch SFOS oder die Firewall-Lizenzierung. Eine XGS Firewall arbeitet weiterhin lokal, setzt Regeln durch, prüft Traffic und behält ihre Network-, Web-, Zero-Day- oder Xstream-Protection-Funktionen. Auch Central Firewall Management bleibt Central Firewall Management.

Die Firewall ist in der Fusion-Architektur ein Kontrollpunkt. Sie kann Netzwerkdaten liefern und auf Erkenntnisse anderer Produkte reagieren. Dazu gehören je nach Lizenz und Konfiguration unter anderem:

• Synchronized Security und Security Heartbeat,
• Central Firewall Management und Central Reporting,
• Firewall-Telemetrie im Data Lake,
• XDR- und MDR-Integrationen,
• Active Threat Response,
• NDR Essentials und NDR Active Threat Intelligence sowie
• APIs für Management- und Automatisierungsaufgaben.

Ein realistisches Beispiel: Auf einem Endpoint wird ein verdächtiger Prozess erkannt. Identitätsdaten zeigen, dass das betroffene Konto kurz zuvor ungewöhnlich angemeldet wurde. Die Firewall sieht gleichzeitig eine Verbindung zu einer verdächtigen Infrastruktur. XDR oder MDR korreliert diese Signale, isoliert den Endpoint und kann über eine unterstützte Integration den Netzwerkzugriff einschränken. Genau diese Kette meint Sophos mit «respond as one».

Wer nur eine Firewall mit lokalen Regeln betreibt, keine Telemetrie an Central sendet und weder XDR noch MDR nutzt, erhält durch das Wort Fusion praktisch keinen neuen Schutz. Wer die Firewall dagegen bewusst mit NDR Active Threat Intelligence, Data Lake und Active Threat Response verbindet, kann Netzwerkentscheidungen in einen schnelleren Incident-Prozess einbauen.

Auch die übrigen Central-Produkte zeigen diese Richtung. Sophos hat Live-Discover-Abfragen für Switches und AP6 Access Points angekündigt. Daten aus Workspace Protection können in XDR-Abfragen einfliessen. ZTNA unterstützt mehrere Domänencontroller, und der Protected Browser beziehungsweise die Browser-Erweiterung liefert zusätzliche Sicht auf Web- und KI-Anwendungen. Das sind keine Funktionen, die durch Fusion über Nacht entstanden sind. Sie illustrieren aber, wie mehr Kontrollpunkte in dieselbe Investigation- und Response-Schicht eingebunden werden.

Was steckt wirklich hinter «AI-native»?

Der Begriff verdient eine nüchterne Einordnung. Sophos setzt Machine Learning und Deep Learning seit Jahren in Endpoint-, E-Mail- und Netzwerkschutz ein. Fusion wird nicht deshalb AI-native, weil plötzlich zum ersten Mal ein Modell Malware klassifiziert. Neu ist der Anspruch, KI über den gesamten Security-Operations-Prozess einzusetzen:

• Alerts priorisieren und zusammenfassen,
• Ereignisse aus verschiedenen Quellen korrelieren,
• Detection-Entscheidungen erklären,
• Untersuchungsschritte planen,
• Threat Hunting kontinuierlich ausführen,
• passende Response Actions vorbereiten oder auslösen und
• Ergebnisse aus vielen Vorfällen wieder in Detektoren und Modelle zurückführen.

Mit Agentic AI meint Sophos Systeme, die nicht nur eine einzelne Frage beantworten, sondern innerhalb eines vorgegebenen Auftrags mehrere Arbeitsschritte selbstständig ausführen. In einem SOC kann das bedeuten, dass ein Agent einen Alert prüft, Kontext zu Benutzer und Gerät sammelt, verwandte Ereignisse sucht, eine Risikobewertung erstellt und bei ausreichend klarer Lage eine vorher erlaubte Eindämmungsmassnahme startet.

Der wichtige Zusatz lautet innerhalb definierter Vertrauensgrenzen. Welche Massnahmen automatisch erlaubt sind, welche eine Freigabe brauchen und wann ein menschlicher Analyst übernimmt, ist entscheidender als das Label AI-native. Eine KI, die schnell entscheidet, aber unvollständige Telemetrie, falsche Berechtigungen oder schlecht definierte Playbooks vorfindet, automatisiert im schlimmsten Fall die falsche Reaktion.

Im eigenen AI Security 2026 Report argumentiert Sophos zudem wesentlich differenzierter als in den kurzen Fusion-Videos: KI komprimiert Angriffsabläufe und verbessert Social Engineering, Reconnaissance und Automatisierung. Sie hat aber nicht plötzlich völlig neue Angriffskategorien erfunden. Sophos beschreibt die Realität zwischen übertriebenem Hype und der ebenso falschen Annahme, KI spiele für Angreifer keine Rolle.

Das ist auch für Fusion die sinnvollste Lesart: KI macht ein gutes Security-System schneller und skalierbarer, ersetzt aber keine Datenqualität, keine Berechtigungsstruktur und keinen Incident-Prozess.

Wo die Marketingaussagen zu kurz greifen

«Sees everything» und «responds as one» sind starke Versprechen. In der Praxis gelten mehrere Einschränkungen:

Eine entstehende Kategorie ist noch kein Marktstandard

Sophos bezeichnet Cybersecurity Defense Systems als neue, entstehende Kategorie und Fusion als deren erstes und vollständigstes System. Als Beleg verweist die Fusion-Pressemitteilung auf den Gartner-Report «Tech FutureSight: Protect the Global Attack Surface with an Autonomous Cyber Defense System» vom 12. Dezember 2025. Das ist weder ein Magic Quadrant noch ein Market Guide oder eine Produktbewertung von Sophos Fusion. Der Report beschreibt die übergeordnete Richtung autonomer Verteidigungssysteme.

Auch die in der Pressemitteilung genannte Marktprognose stammt nicht von Gartner. Die Futurum Group erwartet, dass der Markt für Security Operations von 18 Milliarden US-Dollar auf 37 Milliarden US-Dollar im Jahr 2029 wächst. Das macht die technische Idee hinter Fusion nicht falsch. Es zeigt aber, dass «Cybersecurity Defense System» derzeit ebenso eine von Sophos aktiv besetzte Kategorie-Erzählung wie ein allgemein etablierter Marktstandard ist. Für einen Produktvergleich sind die konkret verfügbaren Datenquellen, Response Actions und Betriebsprozesse deshalb aussagekräftiger als das Kategorienlabel.

Nicht jede Integration kann reagieren

Die mehr als 500 Integrationen sind eine systemweite Zahl für die offene Fusion-Architektur. Sie sagt nicht, wie viele davon als vorgefertigte XDR-Anbindungen bereitstehen oder eine bidirektionale Reaktion erlauben. Manche Integrationen liefern nur Logs, andere unterstützen Abfragen, wieder andere erlauben konkrete Response Actions. Vor einer Planung muss deshalb pro Produkt geklärt werden, welche Telemetrie einfliesst und welche Aktionen tatsächlich unterstützt werden.

Mehr Sophos erhöht den Integrationsnutzen

Fusion unterstützt ausdrücklich auch Drittanbieter. Der grösste Automatisierungsvorteil entsteht aber erwartungsgemäss dort, wo viele Sophos-Kontrollpunkte bereits vorhanden sind. Das ist technisch plausibel und zugleich eine klare Portfolio- und Cross-Selling-Strategie. Gemischte Umgebungen bleiben möglich, müssen aber anhand der konkreten Integrationen bewertet werden.

«Teil von Fusion» bedeutet nicht «alles enthalten»

Sophos bezeichnet jedes Produkt als Teil des Systems. Daraus folgt nicht, dass jede Funktion in jeder Lizenz verfügbar ist. Firewall-Schutzpakete, Endpoint-Lizenzen, XDR, MDR, Next-Gen SIEM, AI Defense und Beratungsleistungen behalten unterschiedliche Voraussetzungen und Preise.

Automatisierung braucht Betriebsverantwortung

Eine automatische Isolation kann im Ernstfall entscheidende Minuten sparen. Sie kann aber auch einen produktionskritischen Server vom Netz trennen. Deshalb braucht es Freigaben, Ausnahmen, Rollen, Notfallkontakte und regelmässig getestete Runbooks. Die Network Security Best Practices für Sophos Firewall bleiben auch in einer Fusion-Architektur relevant.

Was Administratoren jetzt beachten sollten

Für die meisten bestehenden Kunden ist kein überstürztes Migrationsprojekt notwendig. Die kompakten Übergangschecks zu Bezeichnung, Anmeldung und Bookmarks in Kunden-, Enterprise- und Partner-Konsolen stehen im Runbook Von Sophos Central zu Sophos Fusion Admin. Die folgenden produktspezifischen Arbeiten bleiben davon getrennt erforderlich.

Bei bestehendem XDR oder MDR

• Den Upgrade-Hinweis in der Konsole beobachten. Ungefähr eine Woche vor der Umstellung soll ein Hinweis erscheinen.
• Jede bestehende Microsoft-365-Response-Actions-Verbindung nach dem Produktupgrade erneut autorisieren; wegen möglicher Aktionsfehler nicht bis zum Ablauf der Credentials am 1. Oktober 2027 warten.
• Bei Nutzung von Sophos Firewall die Verfügbarkeit der Response Actions in einem Case prüfen; nur bei fehlenden Aktionen die Verbindung ergänzen. Die Response-Actions-Upgrade-Anleitung führt durch beide Prüfungen, ohne bestehende Verbindungen blind zu duplizieren.
• Gespeicherte Abfragen, Detection Rules, Dashboards, Workflows und Integrationen dokumentieren oder exportieren und nach der Umstellung testen. Sophos beschreibt öffentlich nicht für jedes dieser Objekte, wie es migriert wird.
• Den automatischen Versand wöchentlicher oder monatlicher MDR-Berichte ersetzen und prüfen, ob Dashboard und PDF-Export die internen Reporting- und Audit-Anforderungen erfüllen.
• Prüfen, welche neuen Detektoren, SOAR-Funktionen und Response Actions sinnvoll aktiviert werden können.
• Namensänderungen von MDR Essentials zu MDR beziehungsweise MDR Complete zu MDR Plus in Dokumentationen, Angeboten und internen Prozessen nachführen.

Bei SIEM-, SOC- oder Compliance-Anforderungen

• Next-Gen SIEM nicht nur nach Produktnähe, sondern mit dem bestehenden SIEM vergleichen.
• Datenquellen, Retention, Suchmöglichkeiten, Export, Datenresidenz, Rollen, Kosten und Exit-Strategie festhalten.
• Testen, ob Drittanbieter-Integrationen nur Events liefern oder auch Response Actions unterstützen.
• Vor einer Entscheidung schriftlich klären, welche Datenregionen und Zertifikate die konkret benötigten Komponenten und Datenflüsse abdecken.

Bei Interesse an AI Defense

• Qualifizierende EDR-, XDR- oder MDR-Lizenz, Sophos EDR Endpoint Protection und den technischen Fusion-Upgrade-Zustand prüfen; die Kaufberechtigung allein bestätigt noch kein nutzbares Setup.
• Zuerst inventarisieren, welche KI-Dienste bereits genutzt werden und welche Daten dort landen.
• Shadow AI, Browser-Nutzung, API-Zugriffe und bestehende Web-, DNS-, Endpoint- oder SSE-Kontrollen gemeinsam betrachten; nicht jeder Zugriffsweg ist automatisch gleich gut erfasst.
• Trotz allgemeiner Verfügbarkeit Policies und Blockieraktionen zuerst mit einer begrenzten Gruppe und erlaubten Testdaten prüfen. Promptschutz und weitere Roadmap-Funktionen nicht als vorhandene Schutzwirkung voraussetzen.

Fusion schaltet keine zusätzlichen XDR-, MDR- oder SIEM-Rechte automatisch frei. Integrationen, Response Actions und neue Angebote behalten ihre konkreten Voraussetzungen; Produkt- und Compliance-Entscheidungen sollten deshalb auf den verfügbaren Datenquellen, Funktionen, Regionen, Rollen und Lizenzen beruhen.

Meine Einschätzung zu Sophos Fusion

Sophos Fusion ist keine neue Lizenz und kein einzelnes Produkt, aber sehr wohl eine neue Ausrichtung. Der Hersteller will nach der Secureworks-Übernahme nicht mehr nur Endpoint, Firewall und einzelne Central-Produkte verkaufen, sondern ein gemeinsames Cyber Defense System. Technisch ist das konsequent: Angriffe verlaufen über Identitäten, Endpoints, E-Mail, Browser, Cloud und Netzwerk. Eine Verteidigung, die diese Signale zusammenführt und schneller reagiert, ist sinnvoller als fünf isolierte Konsolen.

Der Launch enthält trotzdem viel Marketing. Das kurze Video bleibt bei Aussagen wie «alles sehen» und «als Einheit reagieren», ohne die notwendigen Lizenzen, Integrationen und Betriebsprozesse zu erklären. Auch der Begriff AI-native sagt allein wenig aus. Relevant sind die konkreten Neuerungen: Secureworks-Detektoren in XDR und MDR, ein gemeinsamer Kontext, mehr Response Actions, SOAR, Next-Gen SIEM und ein klarer Ausbau der Kontrollpunkte.

Für bestehende Sophos-Kunden lautet das Fazit daher:

• Keine separate Fusion-Lizenz und kein zweites Verwaltungsportal.
• Die Fusion-Bezeichnung wird schrittweise ausgerollt und kann mit technischen Central-Bezeichnern und -Pfaden koexistieren.
• Firewall, Endpoint, Email, Switch, Wireless und ZTNA bleiben eigenständige Produkte.
• XDR und MDR erhalten die grössten unmittelbaren Änderungen.
• Neue Funktionen können zusätzliche Lizenzen oder Add-ons benötigen.
• Der praktische Nutzen hängt von aktivierter Telemetrie, unterstützten Integrationen und guten Incident-Prozessen ab.

Fusion ist damit weder eine leere Umbenennung noch das vollautomatische Sicherheitsversprechen aus dem Video. Es ist eine ernsthafte Plattformstrategie, deren Wert sich erst im Betrieb beweisen muss.

FAQ

Mehr Informationen

• Avanet: Von Sophos Central zu Sophos Fusion Admin
• Sophos: Sophos Fusion im Überblick
• Sophos Community: XDR und MDR Expansion Upgrade Center