Neue Sophos XGS Firewall 1U Appliances: Vergleich 2026

Am 4. November 2026 hat Sophos gleich mehrere Neuheiten vorgestellt: die NDR-5500-Appliance zur Netzwerküberwachung, das neue Lizenzpaket Xstream Plus und zu guter Letzt neue XGS-Hardware samt Erweiterungsmodulen (Flexi-Port-Module).

Mit der Sophos XGS 2380, 3380, 4580 und 5580 kommt mehr Leistung für höhere Anforderungen: mehr Reserven für die Prüfung verschlüsselter Verbindungen, schnellere Netzwerkanschlüsse und zusätzliche Erweiterungsmöglichkeiten. Das ist eine erfreuliche Ergänzung für Unternehmen, deren Netzwerk und Datenverkehr wachsen. In diesem Artikel vergleichen wir die Ausstattung und Durchsätze mit den bisherigen Modellen und zeigen, was die neuen Appliances und Flexi-Port-Module laut Preisliste kosten.

Die neue XGS-Hardware im Vergleich

XGS 2380 und 3380: kurzes Gehäuse, eine CPU

Die beiden kleineren Geräte verwenden eine Intel-x86-CPU mit reservierten Kernen für Xstream FastPath. Ein separater Xstream Flow Processor ist hier nicht verbaut. Das kurze Gehäuse ist 305 mm tief und passt damit auch in Racks, in denen eine grössere Appliance schwierig unterzubringen wäre.

Die XGS 3380 bietet insbesondere für 25-GbE-Anbindungen und höhere Verbindungszahlen mehr Reserven. Eine schnellere Schnittstelle allein erhöht allerdings nicht die Leistung der Inhaltsprüfung. Wer einen 25-GbE-Uplink weitgehend mit entschlüsseltem und geprüftem Verkehr auslasten möchte, muss die TLS-Werte gesondert berücksichtigen.

XGS 4580 und 5580: eigener Netzwerkprozessor und SSD-Redundanz

Die grösseren Geräte kombinieren eine AMD-x86-CPU mit einem Marvell Octeon CN9670 als Xstream Flow Processor. Beide bleiben bei einer Höheneinheit, benötigen aber 510 mm Gehäusetiefe. Dazu kommen zwei Flexi-Port-Steckplätze und zwei NVMe-SSDs mit Software-RAID-1.

RAID-1 spiegelt die SSDs. Zwei SSDs mit je 512 GB ergeben somit keinen 1-TB-Nutzspeicher. Die neue Bauweise erleichtert den Service: Defekte SSDs lassen sich vor Ort im RMA-Verfahren ersetzen, ohne die gesamte Firewall zurückzusenden. Die SSDs sind nicht hot-swappable und kein frei bestellbares Speicherupgrade. Ersatz erfolgt mit von Sophos bereitgestellten Laufwerken.

Alle vier Modelle besitzen zusätzlich einen RJ45-Managementport, RJ45- und Micro-USB-Konsolenanschlüsse, zwei frontseitige USB-3.0-Anschlüsse und ein LCD. Optische Transceiver werden separat verkauft. Feste Bypass-Portpaare und PoE gehören bei diesen Modellen nicht zur Ausstattung.

Firewall-Durchsatz, Threat Protection und TLS Inspection

Die folgende Tabelle übernimmt die Werte der zum Launch vorliegenden Sophos-Firewall-Broschüre. Sämtliche Durchsatzangaben sind in Gbit/s angegeben.

Wie viel schneller sind die neuen Modelle?

Für den Vergleich mit den bisherigen Geräten konzentrieren wir uns auf Threat Protection und TLS Inspection. Alle Werte stammen aus derselben aktuellen Sophos-Firewall-Broschüre. Die Tabelle zeigt jeweils den bisherigen und den neuen Durchsatz in Gbit/s, dahinter den auf ganze Prozent gerundeten Zuwachs gegenüber dem bisherigen Modell.

Die grössten Sprünge zeigen hier XGS 2380 und 3380. Bei der XGS 4580 gegenüber der 4500 und der XGS 5580 gegenüber der 5500 fällt das Plus deutlich kleiner aus. Beim letzten Vergleich kommt die Bauform hinzu: Die XGS 5500 benötigt zwei Höheneinheiten, die XGS 5580 nur eine.

Berechnet wird der Zuwachs als (neuer Wert ÷ bisheriger Wert − 1) × 100. +300 % bedeutet den vierfachen Durchsatz. Die Gegenüberstellung dient der Einordnung und bezeichnet keine offiziellen Nachfolger oder preisgleichen Alternativen. Es sind Unterschiede zwischen Hersteller-Laborwerten, keine garantierten Beschleunigungen in einer bestehenden Installation.

Was die Messwerte aussagen

Sophos misst unter idealen Laborbedingungen mit Keysight-Ixia BreakingPoint. Beim Firewall- und IPsec-Test werden HTTP-Antworten mit 512 KB verwendet; der IPsec-Wert verteilt sich auf mehrere Tunnel. IMIX verwendet einen Mix aus UDP-Paketen mit 66, 570 und 1518 Byte.

Threat Protection umfasst Firewall, IPS, Application Control und Malware-Prävention mit einem Enterprise Traffic Mix. NGFW wird mit IPS und Application Control anhand eines anderen HTTP-Testprofils gemessen. Deshalb kann ein Threat-Protection-Wert höher ausfallen als der NGFW- oder IPS-Wert. Die Zahlen stammen aus unterschiedlichen Messverfahren und lassen sich nicht als einfache aufeinander aufbauende Leistungsstufen lesen.

TLS Inspection wird mit IPS, HTTPS-Verbindungen und unterschiedlichen Cipher Suites gemessen. Für eine Umgebung mit viel verschlüsseltem Verkehr ist dieser Wert meist aussagekräftiger als der reine Firewall-Durchsatz. Paketgrössen, Anwendungen, Regeln, Protokollierung und tatsächlicher TLS-Mix beeinflussen das Ergebnis. Der schrittweise TLS-Inspection-Rollout bleibt auch mit leistungsfähiger Hardware wichtig.

Die Werte sind Herstellerangaben, keine Messungen in unserem eigenen Testlabor. Für die XGS 5580 verwenden wir hier die 58 Gbit/s aus der detaillierten Broschüre; eine abweichende gerundete Launch-Angabe ersetzt keine modellbezogene Messtabelle.

Verbindungen und VPN-Kapazität

Tunnelanzahl und VPN-Durchsatz sind getrennte Grenzen. Eine hohe maximale Tunnelzahl verspricht nicht, dass sämtliche Tunnel gleichzeitig mit hoher Bandbreite arbeiten können. Bei vielen kurzen Verbindungen kann wiederum die Rate neuer Verbindungen wichtiger sein als die reine Bandbreite.

Strombedarf und Aufstellung

Für alle vier Modelle nennt Sophos 0 bis 40 °C Betriebstemperatur und 10 bis 90 Prozent relative Luftfeuchtigkeit, nicht kondensierend. Insbesondere die langen Modelle gehören aufgrund ihrer Geräuschentwicklung in einen dafür geeigneten Technikraum. Redundante Netzteile entfalten ihren Nutzen erst mit entsprechend getrennten Strompfaden; sie ersetzen keinen zweiten Firewall-Knoten.

Neue Flexi-Port-Module für XGS 4580 und 5580

Zusammen mit den neuen Geräten kommen zwei neue Module. Die Kompatibilität ist modellgebunden: Diese Module sind keine pauschalen Erweiterungen für jede XGS-Firewall.

Das 40-GbE-QSFP+-Modul ergänzt einen schnellen Anschluss, beispielsweise für eine passende Core-Anbindung. Es erhöht weder den TLS-Durchsatz noch die Leistungsfähigkeit der Sicherheitsengines. Optik, Gegenstelle und Verkabelung müssen zur geplanten Verbindung passen.

Das 10-GbE-Fiber-Bypass-Modul stellt zwei LC-Glasfaserports für einen Bypass-Pfad bereit. Bei einem Inline-Einsatz ist vorab festzulegen und zu testen, wie sich die Verbindung bei einem Ausfall verhalten soll. Bypass kann den Verkehrsfluss erhalten; ungeprüft weitergeleiteter Verkehr erhält dabei nicht automatisch den bisherigen Schutz.

Daneben unterstützen die neuen Modelle bereits bekannte Flexi-Port-Optionen, darunter 8 × 1-GbE-Kupfer, 8 × 1-GbE-SFP, 4 × 10-GbE-SFP+, 4 × 1-GbE-Kupfer mit zwei Bypass-Paaren sowie das gemischte Modul mit 2 × 10-GbE-NBASE-T und 2 × 10-GbE-SFP+. Die vorhandenen PoE-Module sind für diese vier neuen Modelle nicht vorgesehen.

Listenpreise und Bestellstart

Die angegebenen Hardwarepreise sind EUR-Listenpreise zum Launch. Lizenzen, optionale Module, Transceiver und Dienstleistungen kommen separat hinzu.

Der erste Bestelltag ist der 4. November 2026. Davon zu unterscheiden sind Lagerbestand und bestätigter Liefertermin.

Die neuen Appliances und Flexi-Port-Module werden in Kürze in unserem Shop verfügbar sein. Sobald die Produktseiten bereitstehen, ergänzen wir hier die direkten Links. Bis dahin dienen die Listenpreise zur Orientierung. Welche laufenden Leistungen zusätzlich zum Hardwarekauf sinnvoll sind, erklärt der separate Vergleich von Xstream Protection und Xstream Plus.

Unser Fazit zu den neuen Sophos XGS-Modellen

Mehr Leistung für geprüften Verkehr, zeitgemässe Anschlüsse und neue Erweiterungsmöglichkeiten: Die XGS 2380, 3380, 4580 und 5580 sind eine willkommene Ergänzung. Besonders bei der XGS 2380 und 3380 zeigen die Vergleichswerte grosse Sprünge gegenüber den älteren Modellen mit ähnlicher Nummer. Wer diese Leistung braucht, bekommt damit zusätzliche Möglichkeiten für den Ausbau seines Netzwerks.

Was aus unserer Sicht noch fehlt, ist die längst überfällige Erneuerung im günstigeren Rackmount-Segment. Die XGS 2100, 2300, 3100 und 3300 sind seit April 2021 erhältlich; die XGS 4300 und 4500 folgten im Juni desselben Jahres. Diese Generation ist inzwischen rund fünfeinhalb Jahre alt. Wir hätten uns auch für XGS 2100 und Co. modernisierte Geräte gewünscht, die preislich näher an den bisherigen Modellen liegen.

Ein Beispiel ist die Grundausstattung mit Netzwerkanschlüssen: XGS 2100 und XGS 2300 haben kein 10-GbE onboard; die XGS 3100 besitzt bereits zwei 10-GbE-SFP+-Ports. Das zeigt der offizielle Quick Start Guide. Selbst das Desktop-Modell XGS 138 bringt inzwischen zwei solche Anschlüsse mit. Bei XGS 2100 und 2300 kostet die Nachrüstung über das Vier-Port-Modul (XSAZTCHF4) zusätzlich 1’301,85 EUR netto laut Preisliste, zuzüglich Transceivern. Hier wäre eine zeitgemässe Grundausstattung ohne Zusatzmodul besonders willkommen.

Gleichzeitig wird die Auswahl umfangreicher. Aus unserer Beratungssicht gibt es inzwischen fast zu viele Appliances mit teilweise überlappenden Einsatzbereichen. Das erschwert Kunden die Entscheidung: Welches Modell reicht heute, wie viel Reserve braucht es für das Wachstum und wann lohnt sich der nächste Preissprung? Eine übersichtlichere Staffelung mit deutlicheren Leistungsabständen würde die Dimensionierung und die langfristige Planung erleichtern. Ähnliche Modellnummern helfen dabei nur bedingt, wie die Durchsatzvergleiche zeigen.

Bei den meisten unserer Kunden mit weniger als 100 Mitarbeitenden entscheidet neben der benötigten Leistung vor allem das verfügbare Budget. Schon die XGS 2380 beginnt bei 9’134,66 EUR Listenpreis für die reine Appliance; die laufenden Lizenzen kommen hinzu. Mehr Leistung ist willkommen, muss aber über die geplante Nutzungsdauer bezahlbar bleiben. Für diese Kunden wünschen wir uns deshalb neue Modelle, die aktuelle Anschlüsse und passende Leistungsreserven auch im günstigeren Preissegment bieten.

Für die Beratung hätten wir uns zudem mehr Vorlauf gewünscht. Die genauen technischen Informationen und Preise lagen uns bei Avanet erst am 4. November 2026 vor. Aus früheren Produkteinführungen kennen wir einen früheren Informationszugang. Etwas mehr Zeit vor dem öffentlichen Start würde uns helfen, die Modelle einzuordnen und Kunden bereits zum Launch fundiert zu beraten.

Quellen

• Sophos Firewall Solution Brochure
• Sophos: Technische Spezifikationen der neuen 1U-Modelle, 3. November 2026
• Sophos: Ankündigung zum Netzwerklaunch