Sophos Fusion erklärt: Produkt, Lizenz oder neue Plattform?

Sophos Fusion sieht alles, verbindet alles und lässt die Verteidigung als Einheit reagieren. So lautet die Botschaft im 66 Sekunden langen Einführungsvideo. Dazu kommen Begriffe wie AI-native, Agentic AI, Unified Context Lake, Compounding Intelligence und Synchronized Security. Das klingt gross, beantwortet aber die naheliegenden Fragen nicht: Ist Sophos Fusion ein neues Produkt? Braucht es eine neue Lizenz? Wird Sophos Central ersetzt? Und was passiert mit Endpoint, XDR, MDR, Firewall und den anderen Central-Produkten?

Die kurze Antwort lautet: Sophos Fusion ist weder ein einzelnes Produkt noch eine eigene Lizenz. Das AI-Native Cybersecurity Defense System bezeichnet die zugrunde liegende Architektur. Sophos Fusion ist die Weiterentwicklung von Sophos Central und die Verwaltungsumgebung, in der Kunden ihre Kontrollpunkte verbinden und ihre Sicherheit auf dieser Architektur verwalten. Die bisherige Central-Konsole wird nicht durch ein zweites Portal ersetzt. Stattdessen werden bestehende Accounts automatisch und schrittweise auf Fusion aktualisiert und die Oberfläche entsprechend umbenannt; eine Kundenaktion ist dafür nicht erforderlich. Gleichzeitig ist Fusion mehr als ein neues Logo, denn mit der Secureworks-Integration werden XDR und MDR technisch deutlich erweitert, Next-Gen SIEM kommt als neues Add-on hinzu und weitere Angebote wie AI Defense und CISO Advantage werden unter diesem Dach eingeführt.

Fusion ist deshalb am besten als Kombination aus drei Dingen zu verstehen: technische Plattformstrategie, neues Portfoliomodell und neue Markenbotschaft. Wer nur eine Sophos Firewall betreibt, erhält dadurch nicht plötzlich ein autonomes Security Operations Center. Wer mehrere Kontrollpunkte, XDR oder MDR nutzt und die Integrationen sauber konfiguriert, kann dagegen tatsächlich von mehr Kontext und schnelleren Reaktionen profitieren.

Die wichtigsten Antworten auf einen Blick

Diese Trennung ist wichtig. Sophos formuliert selbst ausdrücklich, dass Fusion kein SKU, kein Bundle und nichts separat Kaufbares ist. Gleichzeitig nutzt der Hersteller den Launch natürlich, um neue Produkte und Erweiterungen zu positionieren. «Keine Fusion-Lizenz» bedeutet daher nicht «alle Fusion-Funktionen sind in jeder bestehenden Lizenz enthalten».

Was Sophos mit einem Cyber Defense System meint

Klassische Security-Portfolios bestehen aus vielen Werkzeugen: Endpoint Protection, Firewall, E-Mail-Sicherheit, Identity Security, NDR, XDR, SIEM, ZTNA, Switches, Access Points und Cloud Security. Jedes Produkt sieht einen anderen Teil eines Angriffs. Das Problem ist selten ein Mangel an Daten. Das Problem ist, dass diese Daten in unterschiedlichen Konsolen, Formaten und Zuständigkeiten landen.

Sophos Fusion soll diese Teile zu einem System verbinden. Die Architektur lässt sich auf fünf Bausteine reduzieren:

1. Kontrollpunkte: Sophos Endpoint, Firewall, E-Mail, Identity, NDR, Workspace Protection, Switches, Wireless und Cloud-Produkte liefern Telemetrie oder können Schutzmassnahmen umsetzen. Dazu kommen laut der aktuellen Produktseite mehr als 500 Integrationen mit Drittanbietern.
2. Gemeinsamer Kontext: Ein Unified Context Lake soll Ereignisse, Geräte, Benutzer, Identitäten und Angriffsindikatoren zusammenführen. Technisch knüpft das an den bestehenden Sophos Data Lake und die Secureworks-Taegis-Technologie an.
3. Koordinierte Reaktion: Synchronized Security und weitere bidirektionale Integrationen sollen Erkenntnisse aus einem Kontrollpunkt in Massnahmen an anderen Stellen übersetzen.
4. KI, Automatisierung und menschliche Kontrolle: Agentische KI soll Untersuchungen strukturieren, Kontext anreichern, Entscheidungen vorbereiten und in definierten Grenzen Reaktionen auslösen. Sophos X-Ops, MDR-Analysten und festgelegte Vertrauensgrenzen bleiben Teil des Systems.
5. Compounding Intelligence: Erkenntnisse aus realen Angriffen sollen nicht in einem einzelnen Kunden-Tenant enden, sondern Detektoren, KI-Modelle und Reaktionslogik für alle Kunden verbessern.

Hinter dem sperrigen Begriff Compounding Intelligence steckt damit ein zentraler Lernkreislauf. Sophos nennt als Datenbasis mehr als 625'000 geschützte Organisationen und über 380'000 MDR-Untersuchungen pro Jahr. Gemeint ist nicht, dass Kunden gegenseitig auf ihre Rohdaten zugreifen. Erkenntnisse aus Angriffsmustern und Untersuchungen sollen vielmehr in aktualisierte Erkennungen, Modelle und Response-Logik zurückfliessen. Wie schnell und bei welchen Produkten dieser Kreislauf tatsächlich greift, lässt sich von aussen allerdings kaum überprüfen.

Das Ziel ist nachvollziehbar. Ein kompromittiertes Konto, ein verdächtiger Prozess auf einem Endpoint und eine ungewöhnliche Verbindung durch die Firewall sind einzeln vielleicht nicht eindeutig. Zusammen können sie einen Angriff zeigen. Fusion soll diese Zusammenhänge schneller erkennen und eine passende Reaktion koordinieren.

Der entscheidende Punkt lautet aber: Eine Architekturzeichnung ist noch keine aktivierte Integration. Damit Daten tatsächlich zusammenkommen, müssen die beteiligten Produkte lizenziert, in Central registriert, korrekt konfiguriert und für Logging oder Data-Lake-Uploads freigeschaltet sein. Für eine automatische Reaktion braucht es zusätzlich unterstützte Response Actions, Berechtigungen und einen definierten Incident-Prozess.

Wird Sophos Central jetzt doch zu Sophos Fusion?

Offenbar war sich Sophos bei der Kommunikation selbst noch nicht ganz einig. Noch vor zwei Monaten erklärte Paul Murray, Senior Product Marketing Director bei Sophos, in der Community, Central werde weder umbenannt noch ersetzt. Offenbar hatte damals selbst ein Senior Product Marketing Director noch nicht alle News.

Inzwischen ist die Linie klar: Sophos Central wird zu Sophos Fusion. Die bestehende Verwaltungsumgebung wird automatisch und schrittweise umbenannt und erweitert; Kunden müssen dafür nichts auslösen. Es entsteht weder ein zweiter Tenant noch eine neue Konsole. Kurz gesagt: Die Plattform bleibt, der Name ändert sich. Für reine Endpoint-, Email- oder Firewall-Administrationen dürfte sich im Alltag zunächst wenig ändern. Deutlicher wird der Wechsel dort, wo heute bereits mit XDR, MDR, Integrationen und dem Threat Analysis Center gearbeitet wird.

Die echten Produktänderungen hinter dem Fusion-Launch

Der Begriff Fusion umfasst das ganze Portfolio. Die konkretsten Änderungen betreffen zum Start aber Sophos XDR, Sophos MDR und Next-Gen SIEM. Diese Erweiterungen basieren stark auf der 2025 abgeschlossenen Übernahme von Secureworks und der Taegis-Technologie.

Sophos hat Fusion am 15. Juli 2026 vorgestellt und die neuen XDR-, MDR- und SIEM-Funktionen für den 15. August 2026 angekündigt. Der Rollout bestehender XDR- und MDR-Tenants soll ab August schrittweise über mehrere Monate erfolgen. Ein Agent muss dafür nicht neu verteilt werden, und Sophos erwartet weder eine Unterbrechung noch eine Änderung der bestehenden XDR- oder MDR-Lizenz allein durch das Plattform-Upgrade.

Sophos XDR wird deutlich ausgebaut

Sophos XDR behält seinen Namen, erhält aber eine neue Security-Operations-Oberfläche, die das bisherige Threat Analysis Center ersetzt, und wesentlich mehr Funktionen aus der Secureworks-Welt:

• Tausende zusätzliche Detektoren aus Taegis,
• eigene Detection Rules,
• KI-gestützte Detection Analysis,
• mehr Telemetrie und Threat Intelligence von Sophos X-Ops,
• SOAR-Playbooks und zusätzliche Connectors,
• mehr bidirektionale Integrationen mit Response Actions,
• ein integriertes Email Monitoring System und
• die Möglichkeit, Next-Gen SIEM als Add-on zu ergänzen.

In einzelnen Upgrade-Unterlagen taucht dafür vorübergehend die Bezeichnung Sophos XDR Powered by Secureworks auf. Das ist kein separates XDR-Produkt, sondern beschreibt die technisch erweiterte Plattform.

Für Analysten wird die KI damit erstmals direkt in der täglichen Oberfläche greifbarer. Verwandte Aktivitäten werden zu Fällen gruppiert, komplexe Sicherheitsdaten verständlicher aufbereitet und Untersuchungen lassen sich in natürlicher Sprache durchsuchen. Sophos wirbt dafür ausdrücklich mit «no SQL required». Das senkt die Einstiegshürde, ersetzt aber weder die Prüfung der Ergebnisse noch das Verständnis der zugrunde liegenden Telemetrie.

Für bestehende XDR-Teams ist das wahrscheinlich die wichtigste Fusion-Änderung. Aus der bisherigen Abfrage- und Investigation-Plattform wird stärker eine vollständige SOC-Arbeitsumgebung. Die zusätzliche Technik nimmt aber nicht automatisch die Betriebsarbeit ab. Detection Rules, Datenquellen, Playbooks, Berechtigungen und Eskalationswege müssen weiterhin gepflegt werden.

Nach dem Upgrade müssen Integrationen für Microsoft 365 und Okta erneut autorisiert werden, wenn dort Response Actions konfiguriert sind. Solche Details zeigen, warum ein Plattform-Upgrade trotz «keine Downtime» nicht einfach ignoriert werden sollte.

Das integrierte Email Monitoring System (EMS) ist laut Sophos in XDR und MDR enthalten und keine zusätzliche Fusion-Lizenz. Es ersetzt weder Sophos Email, Microsoft Defender for Office 365 noch ein anderes E-Mail-Gateway. EMS nutzt Journaling-Regeln in Microsoft 365 oder Google Workspace und arbeitet im Monitoring-Modus neben der bestehenden E-Mail-Sicherheit. Der ursprüngliche E-Mail-Fluss und die Zustellung bleiben dabei unverändert. EMS liefert eine zweite Erkennungs- und Untersuchungsschicht; bei Microsoft 365 können bereits zugestellte schädliche Nachrichten zudem nachträglich entfernt werden.

Meine Einschätzung: So viele neue XDR-Funktionen ohne separate neue Lizenz und ohne angekündigten Aufpreis zum Start wirken fast ungewohnt grosszügig. Microsoft hat gerade vorgemacht, wie es danach weitergehen kann: Zusammen mit zusätzlichen AI-, Security- und Management-Funktionen wurden die Preise ausgewählter Microsoft-365-Pläne per 1. Juli 2026 angehoben. Bei Sophos haben wir zuletzt 2022 über eine Preiserhöhung von 7 bis 9 Prozent für Intercept X Advanced with XDR berichtet. Eine weitere XDR-Preiserhöhung innerhalb der nächsten zwölf Monate würde mich deshalb nicht überraschen. Dafür gibt es aktuell keine Ankündigung – das ist ausdrücklich eine persönliche Prognose.

Sophos MDR erhält mehr Automatisierung und wieder neue Namen

Auch bei MDR dreht Sophos wieder am Namensrad: MDR Essentials wird zu MDR, MDR Complete wird zu MDR Plus. Überraschend ist das kaum. Bei Sophos Central wechseln Produkt- und Lizenznamen so regelmässig, dass mir spontan kaum ein Angebot einfällt, das vier Jahre lang unverändert hiess. Die Umbenennung selbst würde ich deshalb nicht als wesentliche Fusion-Neuerung werten. Relevant sind die technischen Änderungen dahinter.

Sophos spricht von kontinuierlichem, KI-gestütztem Threat Hunting, mehr Integrationen und zusätzlichen Reaktionsmöglichkeiten. Das Email Monitoring System wird ebenfalls integriert.

Sophos nennt zwei Zahlen, um die Automatisierung zu belegen: Nach Angaben des Herstellers werden 52 Prozent der MDR-Fälle durch KI von Anfang bis Ende innerhalb der von Analysten definierten Grenzen bearbeitet. Bei den 89 Sekunden sind die öffentlichen Formulierungen allerdings nicht einheitlich. Die Fusion-Mitteilung und die MDR-Produktseite messen vom Alert bis zur automatisierten Reaktion. In einer früheren Mitteilung zum Agentic SOC beginnt die Zeit dagegen erst mit der Erstellung eines Falls und gilt für Fälle, die die KI vollständig bearbeiten darf. Alert und Fallerstellung sind nicht dasselbe. Die Zahl ist deshalb als Sophos-Betriebskennzahl und nicht als unabhängig geprüfte End-to-End-Reaktionszeit oder Garantie für jeden Vorfall zu lesen.

Eine konkrete Änderung dürfte im Alltag schneller auffallen als der neue Name: Mit dem Upgrade werden die bisherigen wöchentlichen und monatlichen MDR-Berichte eingestellt. Eine neue Self-Service-Berichterstattung ist erst für später im Jahr 2026 geplant. Bis dahin bleibt das MDR Dashboard mit frei wählbaren Zeiträumen, anpassbaren Ansichten und PDF-Export. Wer die regelmässigen Berichte für Kunden, Audits oder interne Kontrollen verwendet, sollte den bisherigen Versand deshalb vor dem Upgrade durch einen neuen Ablauf ersetzen.

Für bestehende MDR-Kunden ist damit vor allem wichtig, den angekündigten Upgrade-Zeitpunkt zu beobachten, Integrationen zu kontrollieren und Änderungen an Reports oder Workflows einzuplanen. Wer MDR bereits mit Drittanbieter-Telemetrie nutzt, findet im Beitrag Sophos MDR integriert Telemetriedaten von Drittanbietern die Grundlagen dieser Entwicklung.

Next-Gen SIEM ist neu und kostet zusätzlich

Next-Gen SIEM ist kein kostenloses Geschenk für jeden Central-Account. Es wird als optionales Add-on für XDR und MDR angeboten. Der Nutzen liegt vor allem in längerer Datenhaltung, zusätzlichen Compliance-Funktionen und eigenen Integrationen. Laut öffentlicher Sophos-FAQ ist ein Jahr Aufbewahrung der Standard; Optionen für drei, fünf, sieben oder zehn Jahre sind vorgesehen.

Bemerkenswert ist das Lizenzmodell: Sophos will Next-Gen SIEM nach der Anzahl geschützter Benutzer und Server und nicht nach dem ingestierten Datenvolumen berechnen. Das kann die sonst bei SIEM-Produkten schwer kalkulierbaren Kosten für Logvolumen reduzieren. Ob das Angebot günstiger ist, lässt sich daraus allein noch nicht ableiten; dafür müssen Benutzer, Server, Aufbewahrung und benötigte Integrationen gemeinsam gerechnet werden.

Eigene Datenquellen sollen über Custom Integrations angebunden werden können. Die dafür angekündigten KI-gestützten Parser bezeichnet Sophos in der öffentlichen Upgrade-FAQ allerdings noch als coming soon. Sie sollten deshalb nicht als bereits verfügbare Funktion in ein Einführungsprojekt eingeplant werden.

Für Organisationen, die bereits Splunk, Microsoft Sentinel, Google Security Operations, Elastic, QRadar oder eine andere SIEM-Plattform betreiben, ist das kein automatischer Wechselgrund. Interessant wird das Angebot dort, wo XDR oder MDR bereits der zentrale Security-Operations-Prozess ist und eine separate SIEM-Plattform zu aufwendig oder zu teuer wäre. Vor einem Wechsel gehören Datenquellen, Retention, Suchmöglichkeiten, Export, Compliance, Kosten und Exit-Strategie verglichen.

Für Schweizer und europäische Unternehmen gehört ausserdem die Datenresidenz auf die Prüfliste. Sophos Central führt unter anderem Datenregionen in Frankfurt, Deutschland, und Dublin, Irland; eine Schweizer Central-Region ist aktuell nicht aufgeführt. Die Region wird bei der Erstellung eines Accounts gewählt. Die Kundendaten bleiben daran gebunden und können nicht zwischen Regionen übertragen werden. Ein späterer Regionswechsel ist damit keine einfache Kontooption.

Das aktuelle XDR-Datenschutzblatt bestätigt diese Regionsbindung für Sophos Central und den bisherigen Data Lake. Die Secureworks-Dokumentation nennt für Taegis getrennte Standorte in den USA und in der EU beziehungsweise Deutschland. Öffentlich nicht eindeutig erklärt ist dagegen, wie ein bestehender Central-Tenant beim Fusion-Upgrade auf diese Taegis-Regionen abgebildet wird und ob sämtliche neuen Context-Lake-, SIEM- und Drittanbieter-Datenflüsse unverändert in der bisherigen Region bleiben. Genau das sollte vor einer Einführung schriftlich bestätigt werden.

Sophos führt unter anderem ISO 27001, ISO 27017, ISO 27018, SOC 2 und C5 Germany in seinen Unternehmenszertifizierungen auf. C5 ist der Kriterienkatalog des deutschen Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste. Diese Liste ist hilfreich, ersetzt aber keine Prüfung des konkreten Geltungsbereichs. Für ein Compliance-Projekt muss geklärt werden, ob die benötigte Fusion-Komponente, Region und Datenverarbeitung tatsächlich vom jeweiligen Zertifikat oder Bericht erfasst werden.

AI Defense und CISO Advantage sind weitere Angebote

Mit Fusion führt Sophos nicht nur eine Architektur ein, sondern baut das Portfolio aus:

• Sophos AI Defense soll Nutzung von generativer KI und Shadow AI sichtbar machen, Risiken bewerten und Zugriffe kontrollieren. Das Angebot ist als Add-on für qualifizierende EDR-, XDR- und MDR-Lösungen geplant und setzt einen für Fusion aktivierten Account voraus. Ein Early-Access-Programm ist für August angekündigt, die allgemeine Verfügbarkeit für Oktober 2026.
• Sophos CISO Advantage ist kein technischer Agent für Endpoint oder Firewall, sondern ein Security-Programm. Vorgesehen sind kontinuierliche Control Validation, Compliance-Mapping, Risikobewertungen, Vergleiche mit ähnlichen Organisationen und eine für Geschäftsleitung oder Verwaltungsrat verständliche Berichterstattung. Der Start ist ab Oktober 2026 vorgesehen.

Bei AI Defense beschreibt Sophos vier Schritte: eingesetzte KI-Tools und autonome Agenten erkennen, Risiken anhand von Identität, Berechtigungen, Standort, Datenzugriff und Verhalten bewerten, Leitplanken für Prompts und Agenten durchsetzen und auffällige KI-Aktivitäten in bestehende Detection-and-Response-Workflows übergeben. Das ist konkreter als nur ein weiterer AI-Aufkleber. Wie fein diese Kontrollen in der Praxis greifen und welche Anwendungen vollständig unterstützt werden, wird sich aber erst mit Early Access und allgemeiner Verfügbarkeit zeigen.

Damit wird die kommerzielle Seite von Fusion sichtbar. Das System selbst hat keine Lizenz, aber es schafft den Rahmen, in dem zusätzliche Produkte und Services verkauft werden. Das ist nicht automatisch schlecht. Es sollte nur sauber von der technischen Architektur getrennt werden.

Was ändert sich für Sophos Firewall?

Für bestehende Sophos-Firewall-Installationen gilt zunächst: Fusion ersetzt weder die Firewall noch SFOS oder die Firewall-Lizenzierung. Eine XGS Firewall arbeitet weiterhin lokal, setzt Regeln durch, prüft Traffic und behält ihre Network-, Web-, Zero-Day- oder Xstream-Protection-Funktionen. Auch Central Firewall Management bleibt Central Firewall Management.

Die Firewall ist in der Fusion-Architektur ein Kontrollpunkt. Sie kann Netzwerkdaten liefern und auf Erkenntnisse anderer Produkte reagieren. Dazu gehören je nach Lizenz und Konfiguration unter anderem:

• Synchronized Security und Security Heartbeat,
• Central Firewall Management und Central Reporting,
• Firewall-Telemetrie im Data Lake,
• XDR- und MDR-Integrationen,
• Active Threat Response,
• NDR Essentials und NDR Active Threat Intelligence sowie
• APIs für Management- und Automatisierungsaufgaben.

Ein realistisches Beispiel: Auf einem Endpoint wird ein verdächtiger Prozess erkannt. Identitätsdaten zeigen, dass das betroffene Konto kurz zuvor ungewöhnlich angemeldet wurde. Die Firewall sieht gleichzeitig eine Verbindung zu einer verdächtigen Infrastruktur. XDR oder MDR korreliert diese Signale, isoliert den Endpoint und kann über eine unterstützte Integration den Netzwerkzugriff einschränken. Genau diese Kette meint Sophos mit «respond as one».

Wer nur eine Firewall mit lokalen Regeln betreibt, keine Telemetrie an Central sendet und weder XDR noch MDR nutzt, erhält durch das Wort Fusion praktisch keinen neuen Schutz. Wer die Firewall dagegen bewusst mit NDR Active Threat Intelligence, Data Lake und Active Threat Response verbindet, kann Netzwerkentscheidungen in einen schnelleren Incident-Prozess einbauen.

Auch die übrigen Central-Produkte zeigen diese Richtung. Sophos hat Live-Discover-Abfragen für Switches und AP6 Access Points angekündigt. Daten aus Workspace Protection können in XDR-Abfragen einfliessen. ZTNA unterstützt mehrere Domänencontroller, und der Protected Browser beziehungsweise die Browser-Erweiterung liefert zusätzliche Sicht auf Web- und KI-Anwendungen. Das sind keine Funktionen, die durch Fusion über Nacht entstanden sind. Sie illustrieren aber, wie mehr Kontrollpunkte in dieselbe Investigation- und Response-Schicht eingebunden werden.

Was steckt wirklich hinter «AI-native»?

Der Begriff verdient eine nüchterne Einordnung. Sophos setzt Machine Learning und Deep Learning seit Jahren in Endpoint-, E-Mail- und Netzwerkschutz ein. Fusion wird nicht deshalb AI-native, weil plötzlich zum ersten Mal ein Modell Malware klassifiziert. Neu ist der Anspruch, KI über den gesamten Security-Operations-Prozess einzusetzen:

• Alerts priorisieren und zusammenfassen,
• Ereignisse aus verschiedenen Quellen korrelieren,
• Detection-Entscheidungen erklären,
• Untersuchungsschritte planen,
• Threat Hunting kontinuierlich ausführen,
• passende Response Actions vorbereiten oder auslösen und
• Ergebnisse aus vielen Vorfällen wieder in Detektoren und Modelle zurückführen.

Mit Agentic AI meint Sophos Systeme, die nicht nur eine einzelne Frage beantworten, sondern innerhalb eines vorgegebenen Auftrags mehrere Arbeitsschritte selbstständig ausführen. In einem SOC kann das bedeuten, dass ein Agent einen Alert prüft, Kontext zu Benutzer und Gerät sammelt, verwandte Ereignisse sucht, eine Risikobewertung erstellt und bei ausreichend klarer Lage eine vorher erlaubte Eindämmungsmassnahme startet.

Der wichtige Zusatz lautet innerhalb definierter Vertrauensgrenzen. Welche Massnahmen automatisch erlaubt sind, welche eine Freigabe brauchen und wann ein menschlicher Analyst übernimmt, ist entscheidender als das Label AI-native. Eine KI, die schnell entscheidet, aber unvollständige Telemetrie, falsche Berechtigungen oder schlecht definierte Playbooks vorfindet, automatisiert im schlimmsten Fall die falsche Reaktion.

Im eigenen AI Security 2026 Report argumentiert Sophos zudem wesentlich differenzierter als in den kurzen Fusion-Videos: KI komprimiert Angriffsabläufe und verbessert Social Engineering, Reconnaissance und Automatisierung. Sie hat aber nicht plötzlich völlig neue Angriffskategorien erfunden. Sophos beschreibt die Realität zwischen übertriebenem Hype und der ebenso falschen Annahme, KI spiele für Angreifer keine Rolle.

Das ist auch für Fusion die sinnvollste Lesart: KI macht ein gutes Security-System schneller und skalierbarer, ersetzt aber keine Datenqualität, keine Berechtigungsstruktur und keinen Incident-Prozess.

Wo die Marketingaussagen zu kurz greifen

«Sees everything» und «responds as one» sind starke Versprechen. In der Praxis gelten mehrere Einschränkungen:

Eine entstehende Kategorie ist noch kein Marktstandard

Sophos bezeichnet Cybersecurity Defense Systems als neue, entstehende Kategorie und Fusion als deren erstes und vollständigstes System. Als Beleg verweist die Fusion-Pressemitteilung auf den Gartner-Report «Tech FutureSight: Protect the Global Attack Surface with an Autonomous Cyber Defense System» vom 12. Dezember 2025. Das ist weder ein Magic Quadrant noch ein Market Guide oder eine Produktbewertung von Sophos Fusion. Der Report beschreibt die übergeordnete Richtung autonomer Verteidigungssysteme.

Auch die in der Pressemitteilung genannte Marktprognose stammt nicht von Gartner. Die Futurum Group erwartet, dass der Markt für Security Operations von 18 Milliarden US-Dollar auf 37 Milliarden US-Dollar im Jahr 2029 wächst. Das macht die technische Idee hinter Fusion nicht falsch. Es zeigt aber, dass «Cybersecurity Defense System» derzeit ebenso eine von Sophos aktiv besetzte Kategorie-Erzählung wie ein allgemein etablierter Marktstandard ist. Für einen Produktvergleich sind die konkret verfügbaren Datenquellen, Response Actions und Betriebsprozesse deshalb aussagekräftiger als das Kategorienlabel.

Nicht jede Integration kann reagieren

Die mehr als 500 Integrationen sind eine systemweite Zahl für die offene Fusion-Architektur. Sie sagt nicht, wie viele davon als vorgefertigte XDR-Anbindungen bereitstehen oder eine bidirektionale Reaktion erlauben. Manche Integrationen liefern nur Logs, andere unterstützen Abfragen, wieder andere erlauben konkrete Response Actions. Vor einer Planung muss deshalb pro Produkt geklärt werden, welche Telemetrie einfliesst und welche Aktionen tatsächlich unterstützt werden.

Mehr Sophos erhöht den Integrationsnutzen

Fusion unterstützt ausdrücklich auch Drittanbieter. Der grösste Automatisierungsvorteil entsteht aber erwartungsgemäss dort, wo viele Sophos-Kontrollpunkte bereits vorhanden sind. Das ist technisch plausibel und zugleich eine klare Portfolio- und Cross-Selling-Strategie. Gemischte Umgebungen bleiben möglich, müssen aber anhand der konkreten Integrationen bewertet werden.

«Teil von Fusion» bedeutet nicht «alles enthalten»

Sophos bezeichnet jedes Produkt als Teil des Systems. Daraus folgt nicht, dass jede Funktion in jeder Lizenz verfügbar ist. Firewall-Schutzpakete, Endpoint-Lizenzen, XDR, MDR, Next-Gen SIEM, AI Defense und Beratungsleistungen behalten unterschiedliche Voraussetzungen und Preise.

Automatisierung braucht Betriebsverantwortung

Eine automatische Isolation kann im Ernstfall entscheidende Minuten sparen. Sie kann aber auch einen produktionskritischen Server vom Netz trennen. Deshalb braucht es Freigaben, Ausnahmen, Rollen, Notfallkontakte und regelmässig getestete Runbooks. Die Network Security Best Practices für Sophos Firewall bleiben auch in einer Fusion-Architektur relevant.

Was jetzt konkret zu tun ist

Für die meisten bestehenden Kunden ist kein hektisches Migrationsprojekt notwendig. Sinnvoll ist ein gestuftes Vorgehen.

Bei reiner Endpoint-, Email- oder Firewall-Nutzung

• Bestehende Lizenzen und Schutzfunktionen weiter normal betreiben.
• Central-Registrierung, Rollen, MFA, Logging und Datenübertragung prüfen.
• Nicht davon ausgehen, dass Fusion automatisch neue XDR-, MDR- oder SIEM-Rechte freischaltet.
• Entscheiden, ob zusätzliche Telemetrie im eigenen Incident-Prozess überhaupt ausgewertet wird.

Bei bestehendem XDR oder MDR

• Den Upgrade-Hinweis in Sophos Central beobachten. Ungefähr eine Woche vor der Umstellung soll ein Hinweis erscheinen.
• Microsoft-365- und Okta-Integrationen nach dem Upgrade erneut autorisieren, falls Response Actions verwendet werden.
• Gespeicherte Abfragen, Detection Rules, Dashboards, Workflows und Integrationen dokumentieren oder exportieren und nach der Umstellung testen. Sophos beschreibt öffentlich nicht für jedes dieser Objekte, wie es migriert wird.
• Den automatischen Versand wöchentlicher oder monatlicher MDR-Berichte ersetzen und prüfen, ob Dashboard und PDF-Export die internen Reporting- und Audit-Anforderungen erfüllen.
• Prüfen, welche neuen Detektoren, SOAR-Funktionen und Response Actions sinnvoll aktiviert werden können.
• Namensänderungen von MDR Essentials zu MDR beziehungsweise MDR Complete zu MDR Plus in Dokumentationen, Angeboten und internen Prozessen nachführen.

Bei SIEM-, SOC- oder Compliance-Anforderungen

• Next-Gen SIEM nicht nur nach Produktnähe, sondern gegen das bestehende SIEM vergleichen.
• Datenquellen, Retention, Suchsyntax, Export, Datenresidenz, Rollen, Kosten und Exit-Strategie festhalten.
• Testen, ob Drittanbieter-Integrationen nur Events liefern oder auch Response Actions unterstützen.

Bei Interesse an AI Defense

• Prüfen, ob eine qualifizierende EDR-, XDR- oder MDR-Lizenz vorhanden und der Account bereits für Fusion aktiviert ist.
• Zuerst inventarisieren, welche KI-Dienste bereits genutzt werden und welche Daten dort landen.
• Shadow AI, Browser-Nutzung, API-Zugriffe und bestehende Web-, DNS-, Endpoint- oder SSE-Kontrollen gemeinsam betrachten.
• Early Access nicht mit produktiver Reife verwechseln. Policies und Blockieraktionen zunächst in einer begrenzten Gruppe testen.

Meine Einschätzung zu Sophos Fusion

Sophos Fusion ist keine neue Lizenz und kein einzelnes Produkt, aber sehr wohl eine neue Ausrichtung. Der Hersteller will nach der Secureworks-Übernahme nicht mehr nur Endpoint, Firewall und einzelne Central-Produkte verkaufen, sondern ein gemeinsames Cyber Defense System. Technisch ist das konsequent: Angriffe verlaufen über Identitäten, Endpoints, E-Mail, Browser, Cloud und Netzwerk. Eine Verteidigung, die diese Signale zusammenführt und schneller reagiert, ist sinnvoller als fünf isolierte Konsolen.

Der Launch enthält trotzdem viel Marketing. Das kurze Video bleibt bei Aussagen wie «alles sehen» und «als Einheit reagieren», ohne die notwendigen Lizenzen, Integrationen und Betriebsprozesse zu erklären. Auch der Begriff AI-native sagt allein wenig aus. Relevant sind die konkreten Neuerungen: Secureworks-Detektoren in XDR und MDR, ein gemeinsamer Kontext, mehr Response Actions, SOAR, Next-Gen SIEM und ein klarer Ausbau der Kontrollpunkte.

Für bestehende Sophos-Kunden lautet das Fazit daher:

• Keine Zwangsmigration und keine Fusion-Lizenz.
• Die Central-Verwaltungsumgebung entwickelt sich automatisch zu Fusion; eine Kundenaktion ist nicht erforderlich.
• Firewall, Endpoint, Email, Switch, Wireless und ZTNA bleiben eigenständige Produkte.
• XDR und MDR erhalten die grössten unmittelbaren Änderungen.
• Neue Funktionen können zusätzliche Lizenzen oder Add-ons benötigen.
• Der praktische Nutzen hängt von aktivierter Telemetrie, unterstützten Integrationen und guten Incident-Prozessen ab.

Fusion ist damit weder eine leere Umbenennung noch das vollautomatische Sicherheitsversprechen aus dem Video. Es ist eine ernsthafte Plattformstrategie, deren Wert sich erst im Betrieb beweisen muss.

FAQ

Mehr Informationen

• Sophos: Sophos Fusion im Überblick
• Sophos Community: XDR und MDR Expansion Upgrade Center