Sophos Fusion Anmeldung mit MFA, Passkeys und IdP absichern

Sophos Fusion (ehemals Sophos Central) steuert Policies, Ausnahmen, Live Response und Geräteisolation. Ein kompromittiertes Administratorkonto kann deshalb mehr Schaden verursachen als ein einzelner infizierter Endpoint. MFA ist die Mindestanforderung, ersetzt aber weder passende Rollen noch einen Wiederherstellungsprozess.

Partner-, Customer- und Enterprise-Zugang unterscheiden

Für Sophos Fusion Partner gilt ausdrücklich: Jeder Partner-Administrator muss mindestens zwei MFA-Methoden registrieren und sich bei jeder Anmeldung mit MFA authentifizieren. Unterstützt werden Passkeys und TOTP-Authenticator-Apps; zur Anmeldung kann eine der registrierten Methoden verwendet werden. Beim ersten Enrollment werden ein Kennwort und mindestens eine TOTP-App eingerichtet, Passkeys können anschliessend ergänzt werden. Sobald Sophos zur Registrierung zweier Methoden auffordert, wird diese abgeschlossen. Die Einrichtung von TOTP und Passkeys sowie die Wahl unabhängiger Geräte werden in den folgenden Abschnitten erklärt.

Ein Partner-Konto und ein verwalteter Customer-Tenant sind jedoch nicht derselbe Verwaltungsbereich. Die Partner-Anforderung ist keine Aussage darüber, dass MFA-, SSO- oder Recovery-Einstellungen automatisch auf Customer- oder Enterprise-Konten vererbt werden. Vor einer Änderung wird geprüft, in welchem Portal man angemeldet ist und zu welchem Konto die betroffene Identität gehört. Beim MFA-Reset bestimmt dieser Bereich den berechtigten Administrator und den richtigen Ablauf: Im Customer-Tenant ist dies der dortige Super Admin, im Partner-Portal der Partner Super Admin. Die unten beschriebenen Customer- und Partner-Wege ersetzen keinen separat geprüften Enterprise-Recovery-Ablauf.

MFA sofort und redundant einrichten

Jeder Administrator muss mindestens zwei MFA-Methoden registrieren und wird bei jeder Anmeldung nach MFA gefragt. Sophos unterstützt Passkeys sowie Authenticator-Apps mit zeitbasierten Einmalcodes, kurz TOTP.

Für privilegierte Konten werden zwei unabhängige Methoden registriert, beispielsweise ein Passkey auf einem Hardware-Schlüssel und eine Authenticator-App auf einem getrennten Gerät. Zwei Passkeys auf demselben Notebook sind keine echte Redundanz. Sophos nennt auch zwei Passkeys auf getrennten Geräten oder zwei getrennte Authenticator-Registrierungen als mögliche Kombinationen.

Ersatz-Hardware-Schlüssel und dokumentierte Wiederherstellungsinformationen gehören in einen geschützten Unternehmens-Tresor. Sie werden nicht im persönlichen Passwortmanager eines einzelnen Mitarbeiters oder in einem offenen Ticket abgelegt.

Pro Administratorkonto lassen sich höchstens zehn TOTP-Authenticator-Apps registrieren. Eine browserbasierte Authenticator-Erweiterung ist technisch möglich, stammt aber von einem Drittanbieter und wird nicht von Sophos entwickelt oder unterstützt. Vor der Installation werden Herausgeber, Berechtigungen, Updateweg und Unternehmensrichtlinie geprüft. Für privilegierte Konten ist eine Erweiterung im selben Browserprofil wie die Sophos Fusion-Sitzung keine gute Trennung der Faktoren.

Die registrierten Methoden werden im Profil unter Manage login settings beziehungsweise Manage MFA verwaltet. Das reine Löschen eines Eintrags in der lokalen Authenticator-App entfernt die Methode nicht aus Sophos Fusion. Beim Gerätewechsel wird deshalb zuerst eine zweite Methode getestet, danach die alte Sophos Fusion-Registrierung entfernt und erst zum Schluss das alte Gerät zurückgesetzt.

Authenticator-App einrichten

Nach einer Anmeldung mit der bisherigen Methode wird Profilsymbol > My info > Manage MFA geöffnet. Alternativ führt Sophos ID > My Profile > Manage MFA zur gleichen Verwaltung. Nach erneuter Authentifizierung wird auf Multi-Factor Authentication das Pluszeichen, unter Set up MFA method die Option Authentication App und danach Set up now gewählt.

Der einmalige QR-Code wird mit der freigegebenen Authenticator-App gescannt. Danach wird der dort erzeugte Sicherheitscode in Sophos Fusion eingegeben, optional ein eindeutiger Gerätename vergeben und Continue gewählt. Successful enrollment bestätigt die Registrierung; ein weiteres Continue schliesst den Ablauf. Bei der nächsten Testanmeldung folgen auf E-Mail-Adresse und Kennwort der aktuelle Verifikationscode der App.

Pro Konto sind höchstens zehn Authenticator-Apps möglich. Der QR-Code und das zugrunde liegende TOTP-Geheimnis werden nicht als Screenshot gespeichert. Nach dem Test wird eine zweite unabhängige Methode eingerichtet, bevor ein altes Gerät oder eine alte Registrierung entfernt wird.

Browserbasierte Authenticator-App einrichten

Eine Browser-Erweiterung kann TOTP-Codes erzeugen, sollte für privilegierte Konten aber nur nach einer bewussten Risikoprüfung verwendet werden. Der ausführbare Ablauf lautet:

1. In Sophos Fusion Profilsymbol > My info > Manage MFA öffnen und zur Bestätigung eine bestehende Methode verwenden.
2. Unter Multi-factor Authentication das Pluszeichen wählen, Authentication App markieren und Set up now öffnen.
3. Den einmalig angezeigten QR-Code geöffnet lassen. In einem separaten Tab im offiziellen Extension Store des Browsers die freigegebene Erweiterung installieren.
4. Zur QR-Code-Seite zurückkehren, die Erweiterung neben der Adressleiste öffnen und darin Add Account > Scan QR from screen wählen.
5. Den erzeugten Einmalcode unter Verify Your Device > Security Code eingeben, optional einen eindeutigen Gerätenamen vergeben und Continue wählen.
6. Unter Profilsymbol > My info > Manage MFA prüfen, ob die neue Methode registriert ist. Bei einer Testanmeldung müssen Benutzername und Kennwort sowie der Code der Erweiterung funktionieren.

Der QR-Code ist ein einmaliges Registrierungsgeheimnis und darf weder als Screenshot abgelegt noch im Ticket versendet werden. Publisher, angeforderte Browserrechte, Updatequelle und Datensynchronisation der Erweiterung werden vor der Freigabe geprüft. Da Browserprofil, Sophos Fusion-Sitzung und TOTP-Geheimnis sonst am selben Ort liegen, bleibt eine getrennte Methode auf einem anderen Gerät oder Hardware-Schlüssel erforderlich.

Registrierte MFA-Methoden verwalten

Die Verwaltungsseite wird über Profilsymbol > My info > Manage MFA oder alternativ über Sophos ID > My Profile > Manage MFA geöffnet. Nach erneuter Authentifizierung zeigt Sophos Fusion alle registrierten Methoden, ihren Standard- oder Anzeigenamen sowie die letzte Verwendung.

Über das Pluszeichen wird eine weitere Authenticator-App oder ein Passkey hinzugefügt. Pro Methodentyp sind höchstens zehn Registrierungen möglich. Über das Drei-Punkte-Menü einer Methode kann Rename gewählt, ein neuer Name erfasst und mit dem Häkchen bestätigt werden. Delete entfernt die Registrierung aus Sophos Fusion.

Mindestens zwei MFA-Methoden müssen registriert bleiben. Sobald nur noch der vorgeschriebene Mindestbestand vorhanden ist, lässt Sophos Fusion keine weitere Methode löschen. Continue schliesst die Verwaltung und führt zum Sophos Fusion-Dashboard zurück. Vor dem Entfernen einer alten Methode wird die neue Methode in einer separaten Anmeldung getestet.

Passkey einrichten und Speicherort wählen

Ein Passkey wird erst nach einer bereits eingerichteten Authenticator-App als weitere Methode hinzugefügt. Unter Profilsymbol > My info > Manage MFA wird nach der erneuten Authentifizierung das Pluszeichen und danach Passkey gewählt. Das Betriebssystem oder der Credential Manager führt durch PIN- oder Biometrieprüfung. Unter Windows kann dies beispielsweise ein Fingerabdruck über Windows Hello sein. Nach Passkey Saved wird mit OK bestätigt, die neue Registrierung in der Methodenliste kontrolliert und mit Continue abgeschlossen.

Der Speicherort ist Teil des Sicherheitsentscheids. Möglich sind ein Credential Manager auf dem lokalen Computer, etwa Browser, Betriebssystem oder Unternehmens-Passwortmanager, ein gerätegebundener Authenticator wie ein YubiKey oder ein mobiles Gerät über einen QR-Code-Ablauf. Für Ausfallsicherheit werden Passkeys auf mehr als einem kontrollierten Gerät registriert. Sophos Fusion erlaubt höchstens zehn Passkeys.

Mit Passkey oder Authenticator-App anmelden

Bei der Passkey-Anmeldung wird zuerst fusion.sophos.com geöffnet, die E-Mail-Adresse eingegeben und Continue gewählt. Auf der Passkey-Seite startet Login with passkey die zuvor registrierte Methode, beispielsweise Fingerabdruck, Geräte-PIN oder Hardware-Schlüssel. Nach erfolgreicher Prüfung öffnet sich das Sophos Fusion-Dashboard.

Sind Passkey und Authenticator-App registriert, bevorzugt Sophos Fusion den Passkey. Über Try another way kann stattdessen nach Eingabe des Kennworts eine andere Methode gewählt werden. Für die klassische Authenticator-Anmeldung folgen auf E-Mail-Adresse und Continue das Kennwort und Sign in. Auf MFA Validation Required wird der aktuelle Code der Authenticator-App eingegeben.

Beide Wege werden nach Einrichtung, Gerätewechsel und Browser-Update getestet. Ein gespeicherter Passkey allein genügt nicht als Recovery, wenn Credential Manager, Gerätezugang und Sophos Fusion-Sitzung am gleichen Fehler oder Account-Lockout hängen.

My info, Rolle und lokales Kennwort

Unter Profilsymbol > My info sieht ein Administrator seine aktuelle Rolle, die Sophos Fusion-Anmeldeadresse sowie die Einstellungen für Kennwort und MFA. Ein Klick auf den Rollennamen öffnet deren vollständige Berechtigungen. Die E-Mail-Adresse ist damit zugleich ein wichtiges Zuordnungsmerkmal für Anmeldung, Rollenprüfung und Supportfall.

Ein lokales Sophos-Kennwort wird unter My info > Password > Change password geändert. Nach der Verifikation zeigt Sophos Fusion das aktuelle Kennwort bereits vorausgefüllt an. Das neue Kennwort benötigt mindestens acht Zeichen sowie je einen Kleinbuchstaben, Grossbuchstaben und eine Zahl oder ein Sonderzeichen. Nach Reset Password meldet Sophos Fusion den Administrator automatisch mit dem neuen Kennwort an und kehrt ins Portal zurück; das alte Kennwort ist sofort ungültig. Bei föderierter Anmeldung wird das Kennwort dagegen beim zuständigen Identity Provider geändert.

Die Account-Details enthalten ausserdem persönliche E-Mail-Subscription-Einstellungen. Diese persönlichen Abonnements sind nicht dasselbe wie die tenantweiten Alert-Empfänger unter Configure Email Alerts. Welche Administratoren, Verteiler und Ticket-Systeme Sicherheitsmeldungen erhalten, wird im separaten Ablauf für Sophos Fusion Alert-E-Mails und Benachrichtigungen verwaltet.

Sensible Aktionen mit Transaktions-MFA absichern

Transaction Authentication using MFA verlangt eine zusätzliche Authentifizierung vor ausgewählten sensiblen Aktionen im Customer-Tenant (CDB). Diese Funktion ist keine allgemeine Aktionssicherung im Partner- oder Enterprise-Dashboard. Die Bestätigung erfolgt mit dem bereits für Sophos-MFA registrierten Passkey beziehungsweise der Authenticator-App. Laut Ankündigung vom 15. September 2026 ist die Funktion standardmässig ausgeschaltet.

Vor der Aktivierung werden der richtige Customer-Tenant, ein Super Admin für die Änderung und eine funktionierende registrierte MFA-Methode geprüft. Die benötigten Rechte und Lizenzen für Live Response oder die jeweilige Response Action bleiben davon unabhängig. Ist für einen Administrator ausschliesslich föderierte Anmeldung erlaubt und wird MFA ausschliesslich vom föderierten IdP erbracht, ist diese Einstellung für ihn nicht verfügbar. Die IdP-Konfiguration wird nicht allein für diesen Test umgestellt.

1. Als Super Admin im Customer-Tenant Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication öffnen und den bisherigen Zustand dokumentieren. Fehlt die Option, werden zunächst Tenant, Rolle und Anmeldeweg geprüft; aus der Ankündigung allein wird keine Freischaltung im eigenen Tenant abgeleitet.
2. Vor dem Einschalten die betroffenen Administratoren informieren und Pop-ups für die Sophos-Anmeldung zulassen. Falls der Browser sie blockiert, eine gezielte Ausnahme für sophos.com prüfen, statt den Pop-up-Schutz generell abzuschalten.
3. Unter Transaction Authentication using MFA die Option Require re-authentication before executing high risk operations einschalten. Nicht versehentlich die separate Option Expand MFA Coverage aktivieren: Diese erweitert MFA auf weitere Portalanmeldungen und lässt sich nach der Aktivierung nicht wieder ausschalten.
4. Die Seite erneut öffnen und den aktivierten Zustand kontrollieren. Danach müssen sich die betroffenen Administratoren ab- und neu anmelden, damit die Änderung für ihre neue Fusion-Sitzung wirksam wird. Eine bereits offene Sitzung ist kein gültiger Wirkungstest.

In der neuen Sitzung wird bei jedem Start einer Live Response-Sitzung eine erneute Authentifizierung erwartet. Bei einer Response Action ist sie erforderlich, wenn die letzte erneute Authentifizierung nicht innerhalb der vergangenen 15 Minuten erfolgt ist. Das ist kein pauschales 15-Minuten-Fenster für Live Response und keine Zusage, dass jeder beliebige Aktionstyp erfasst wird.

Die MFA-Abfrage wird bei der nächsten ausdrücklich freigegebenen Aktion kontrolliert; eine Geräteisolation, andere Response Action oder produktive Live Response-Sitzung wird nicht nur zum Test ausgelöst. Fehlt die erwartete Abfrage, werden zuerst neue Anmeldung, gespeicherte Einstellung, Customer-Kontext, IdP-Ausnahme und Pop-up-Blockierung geprüft. Bleibt das Verhalten abweichend, wird die sensible Aktion nicht als ausreichend abgesichert freigegeben, sondern mit Tenant, Zeitpunkt und Beobachtung ohne Zugangsdaten an Sophos Support eskaliert. Die gelesene Hilfe beschreibt das Einschalten, aber keinen belastbaren Ausschalt- oder Rollbackablauf; eine Rücknahme wird deshalb nicht ungeprüft zugesichert.

Gerätegebundene Sitzungen mit DBSC einordnen

Device Bound Session Credentials (DBSC) binden eine Sitzung an einen kryptografischen Schlüssel auf dem Gerät. Der Browser weist regelmässig nach, dass er diesen Schlüssel besitzt; ein gestohlenes Sitzungscookie ist dadurch auf einem anderen Gerät weniger nutzbar. Das ist eine zusätzliche Schutzschicht gegen Sitzungsdiebstahl, kein Ersatz für MFA, sichere Endpoints oder bewusstes Abmelden.

Sophos kündigte DBSC für Customer-, Enterprise- und Partner-Dashboards (CDB, EDB und PDB) an. Bei unterstütztem Browser und unterstützter Plattform arbeitet die Funktion transparent; ein Kundenschalter oder eine eigene DBSC-Implementierung ist nicht erforderlich. Die Sophos-Ankündigung vom 15. September 2026 nennt Google Chrome und Microsoft Edge ab Version 146 auf Windows mit TPM sowie ab Version 147 auf macOS. Diese Angaben beschreiben den Sophos-Unterstützungsstand der Ankündigung, keine selbst geprüfte Plattformfreigabe oder Zusage zur Freischaltung jeder Sitzung.

Google beschreibt die grundlegende DBSC-Fähigkeit dagegen bereits für Chrome 145 auf Windows. Das ist nicht mit der höheren Sophos-Schwelle gleichzusetzen und bestätigt weder Edge- noch macOS-Unterstützung für Sophos Fusion. Ohne passende Browser-/Plattformunterstützung darf DBSC nicht als vorhandener Schutz eingeplant werden. Für die Einführung werden die tatsächlich eingesetzten Browser- und Betriebssystemstände erfasst; eine erfolgreiche Anmeldung allein weist keine DBSC-Bindung nach.

Inaktive Administratorsitzungen begrenzen

MFA schützt die Anmeldung, nicht aber eine bereits offene Sitzung auf einem unbeaufsichtigten Computer. Unter Connected Sessions legt Session Idle Timeout fest, nach wie vielen Stunden Inaktivität sich ein Administrator erneut anmelden muss. Sophos dokumentiert diese Einstellung für das Customer-, Enterprise- und Partner-Portal jeweils separat. Vor einer Änderung werden daher das verwendete Portal, das zugehörige Konto beziehungsweise der Tenant und der Anmeldeweg geprüft. Beim Zugriff auf Customer-Konten über eine Partner- oder Enterprise-Sitzung ist laut Session-Ankündigung deren Timeout massgebend. Der Customer-Wert allein beschreibt diese Sitzung deshalb nicht. Diese Priorität ist keine automatische Kopie der Customer-Einstellungen und keine allgemeine Vererbung von MFA-, SSO- oder anderen Kontovorgaben.

1. Im betreffenden Portal das Symbol Global Settings öffnen und Access Control > Sign-in and Identity > Connected Sessions wählen.
2. Den bisherigen Wert unter Session Idle Timeout für einen möglichen Rückweg dokumentieren. Zulässig sind 1 bis 23 Stunden, der dokumentierte Standardwert beträgt 3 Stunden.
3. Die maximale Inaktivitätsdauer eintragen und Save wählen. Für privilegierte Administratorkonten ist 1 Stunde ein bewusst strenges Avanet-Pilotbeispiel, kein Sophos-Standard. Ein kürzerer Wert begrenzt die Zeit, in der eine unbeaufsichtigte inaktive Sitzung nutzbar bleiben kann, verlangt im Betrieb aber häufiger eine erneute Anmeldung. Die Wahl wird mit den zuständigen Administratoren abgestimmt; der Timeout ersetzt weder Bildschirmsperre noch bewusstes Abmelden.

Nach dem Speichern wird die Seite erneut geöffnet und der gespeicherte Wert kontrolliert. Für den Wirkungstest meldet sich ein Testadministrator im gleichen Portal in einer separaten Browser-Sitzung an. Diese bleibt ohne Bedienung länger als die konfigurierte Dauer geöffnet; anschliessend wird eine geschützte Seite aufgerufen. Erwartet wird eine erneute Anmeldeaufforderung. Danach wird der tatsächlich verwendete lokale oder föderierte Anmeldeweg einschliesslich der dort erforderlichen MFA erfolgreich durchlaufen. Der Test wird für jedes betroffene Portal separat durchgeführt.

Bleibt die Sitzung nach der vorgesehenen Inaktivität verwendbar, werden zuerst Portal, Tenant, gespeicherter Wert und mögliche Aktivität während des Tests geprüft. Danach wird mit einer frisch angemeldeten Sitzung erneut getestet; bleibt das Ergebnis abweichend, werden Portal, Zeitpunkt und Beobachtung ohne Zugangsdaten für Sophos Support dokumentiert. Muss die Änderung zurückgenommen werden, wird der dokumentierte vorherige Wert wieder gespeichert und die Kontrolle wiederholt.

Session Idle Timeout ist keine Zusage, alle bereits offenen Sitzungen sofort zu widerrufen, und kein Ersatz für Massnahmen bei einem kompromittierten Konto. Auch eine automatische Übernahme zwischen Customer-, Enterprise- und Partner-Portal wird daraus nicht abgeleitet. Bei einem Sicherheitsvorfall werden Kontozugang, Rollen, IdP und Audit Logs zusätzlich geprüft.

Passkeys richtig einordnen

Passkeys sind phishing-resistent, wenn der Schlüssel an die echte Sophos Fusion-Domain gebunden und durch Geräte-PIN oder Biometrie geschützt ist. Ein synchronisierter Passkey ist bequem, übernimmt aber die Sicherheits- und Recovery-Eigenschaften des verwendeten Apple-, Google- oder Microsoft-Kontos.

Für Super Admins eignet sich ein verwalteter Hardware-Schlüssel als besonders robuste Methode. Vor der tenantweiten Vorgabe wird geprüft, ob Notfallzugang, Ersatzschlüssel und Offboarding funktionieren.

Microsoft Authenticator wird für einen Sophos-Passkey ausserhalb einer föderierten Entra-ID-Anmeldung nicht unterstützt. Die App kann weiterhin als TOTP-Authenticator verwendet werden. Cross-Device-Passkeys benötigen je nach Plattform Bluetooth, Nähe der Geräte und einen QR-Code-Workflow.

Pro Konto lassen sich höchstens zehn Passkeys registrieren. Die Ablösung alter Faktoren und die Sperrlogik werden im folgenden Abschnitt getrennt behandelt, weil sie sowohl TOTP- als auch Passkey-Konten betreffen.

Der aktuell dokumentierte Passkey-Support umfasst Windows 10 und 11, macOS 10.15.7 oder neuer, Android 9 oder neuer sowie iOS und iPadOS 16 oder neuer. Als Mindeststände nennt Sophos Chrome 118, Firefox 119, Safari 16 oder neuer und Edge 119. Gängige Speicher sind Windows Hello, Google Password Manager, iCloud Keychain und 1Password; als gerätegebundene Schlüssel nennt Sophos YubiKey 5 und YubiKey NFC. Weitere Kombinationen können funktionieren, wenn Browser- und Betriebssystemhersteller die nötigen Passkey-Protokolle implementieren.

Sophos schätzt, dass diese Unterstützung ungefähr 98 Prozent der verwendeten Browser- und Betriebssystemkombinationen sowie gängige Credential Manager abdeckt. Das ist eine Reichweitenangabe, keine Plattformgarantie. Betriebssystem, Browser, Credential Manager, Synchronisationsrichtlinie und Recovery werden mit den tatsächlich eingesetzten Versionen getestet.

Synchronisierte Passkeys funktionieren für die Sophos-Anmeldung, die Synchronisation selbst bleibt jedoch eine Funktion des Credential Managers. iCloud Keychain kann Passkeys beispielsweise zwischen Macs, iPhones und iPads derselben iCloud-Identität bereitstellen. Bei einem Synchronisationsfehler ist daher der Hersteller des Credential Managers zuständig. Für Cross-Device-Passkeys müssen Bluetooth auf Computer und Mobilgerät aktiv, beide Geräte nahe beieinander und ein QR-Code-Scanner verfügbar sein.

Microsoft Authenticator kann einen Sophos-Passkey nur im Kontext einer föderierten Entra-ID-Anmeldung verwenden. Ohne diesen Anmeldeweg erscheinen bei der Registrierung typischerweise Failed to add passkey oder Microsoft Authenticator doesn’t support this passkey. Als TOTP-App bleibt Microsoft Authenticator davon unabhängig nutzbar.

Bei 1Password Business können Team- oder Shared-Vault-Policies die Passkey-Registrierung blockieren. 1Password erscheint dann im Enrollment-Dialog, ist aber ausgegraut. Der zuständige 1Password-Administrator muss die Enrollment-Berechtigung in den Team Policies freigeben; wiederholtes Löschen der Sophos-MFA-Methode behebt diese externe Richtlinie nicht.

Veraltete MFA-Methoden und Account Lockout

SMS sowie E-Mail plus PIN sind veraltete MFA-Methoden. Neue Sophos Fusion-Benutzer müssen eine TOTP-Authenticator-App oder einen Passkey verwenden. Wird bei einem bestehenden Benutzer mit SMS oder E-Mail-plus-PIN die MFA zurückgesetzt, behandelt Sophos Fusion ihn beim erneuten Enrollment ebenfalls wie einen neuen Benutzer und verlangt TOTP oder Passkey.

Nach fünf aufeinanderfolgenden falschen Anmeldeversuchen sperrt Sophos Fusion das Konto zunächst für eine Minute. Weitere Fehlversuche mit demselben Konto verlängern die Sperre schrittweise bis maximal fünf Stunden. Deshalb wird nach einem Lockout nicht automatisiert weiterprobiert. Ist keine zweite Methode oder kein anderer Super Admin verfügbar, kann Sophos Support das Konto nach Identitätsprüfung entsperren.

Föderierte Anmeldung über einen Identity Provider

Mit einem unterstützten Identity Provider kann Sophos Fusion die Anmeldung an die zentrale Unternehmensidentität delegieren. Das vereinfacht Conditional Access, Lifecycle und zentrale Sperrung. Sophos Fusion verwendet dabei einen vom Service Provider gestarteten Ablauf, kurz SP-initiated SSO: Die Anmeldung beginnt bei Sophos Fusion und wird von dort an den IdP weitergeleitet.

Die Einrichtung erfolgt in einer festen Reihenfolge. Zuerst wird die eigene Domain über einen DNS-TXT-Record verifiziert. Die DNS-Propagation kann bis zu 24 Stunden dauern. Eine erfolgreiche Verifizierung gilt ein Jahr und muss danach erneuert werden. Anschliessend wird der Identitätsanbieter der verifizierten Domain zugeordnet und erst zum Schluss die gewünschte Anmeldeoption aktiviert. Diese Arbeiten erfordern Super-Admin-Rechte.

Sophos Fusion kann entweder nur föderierte Zugangsdaten oder zusätzlich E-Mail-Adresse und Kennwort von Sophos Fusion zulassen. Bei Microsoft Entra ID zeigt Sophos Fusion trotz der Einstellung Federated credentials only weiterhin beide Optionen an. Bei anderen Identitätsanbietern führt diese Einstellung dagegen ohne Auswahlschritt direkt zum IdP. Dieses unterschiedliche Verhalten gehört in den Lockout-Test.

Die Auswahl wird unter Global Settings > Access Control > Sign-in and Identity > Sophos sign-in vorgenommen. Sie gilt grundsätzlich für alle Sophos Fusion-Produkte. Für einzelne Administratoren lassen sich Custom Sign-in Rules definieren, etwa um während der Pilotierung einen kontrollierten Sophos-Login als Rückfallweg zu behalten. Ein Benutzer kann jeweils nur einer verifizierten Domain und einem Identity Provider zugeordnet sein.

Bei Federated credentials only können Benutzer ihr Sophos-Kennwort nicht selbst zurücksetzen. Wird später wieder auf ausschliesslichen Sophos-Login gewechselt, besitzen diese Konten möglicherweise noch kein verwendbares Kennwort und müssen Reset Password durchlaufen. Self-Service-Portal-Benutzer mit rein föderierter Anmeldung erhalten keine separate Einladung zur Kennworterstellung, sondern melden sich direkt über den IdP an.

Die Option Expand MFA Coverage erweitert die MFA-Abfrage auf verwaltete Benutzer in weiteren Sophos-Portalen wie Self Service Portal, Partner Portal oder Support Portal. Nach der Aktivierung lässt sie sich nicht wieder ausschalten. Sie wird deshalb erst nach einem Pilot mit den tatsächlich betroffenen Portalbenutzern tenantweit gespeichert.

Vor der Aktivierung werden folgende Punkte geklärt:

• eindeutige Zuordnung von E-Mail-Adresse und Sophos Fusion-Login,
• MFA und Zugriffsregeln beim IdP,
• Verhalten für Gast- und Partnerkonten,
• mindestens ein getesteter Notfallzugang,
• Ausschluss eines Lockouts bei fehlerhafter Domain- oder IdP-Konfiguration.

Föderierte Anmeldung synchronisiert nicht automatisch Endpoint-Benutzer oder Gerätegruppen. Das sind getrennte Funktionen.

Wenn UPN und E-Mail-Adresse abweichen

Sophos Fusion identifiziert das Konto zunächst über die hinterlegte E-Mail-Adresse. Verwendet Microsoft Entra ID intern einen anderen User Principal Name, braucht die Entra-App eine angepasste OpenID-Connect-Konfiguration mit dem optionalen email-Claim und den passenden Microsoft-Graph-Berechtigungen. Der Benutzer gibt bei Sophos Fusion weiterhin seine zugeordnete E-Mail-Adresse ein und authentifiziert sich anschliessend auf der Microsoft-Seite mit dem UPN.

Die Standardanleitung genügt, wenn E-Mail-Adresse und UPN identisch sind. Eine abweichende Konfiguration sollte zuerst mit einem Testkonto geprüft werden, da ein fehlender oder falscher Claim die Zuordnung verhindert, obwohl die Authentifizierung bei Entra erfolgreich war.

Identity Provider verwalten und aktivieren

Nur ein Super Admin kann einen föderierten Identity Provider verwalten. Vorher muss mindestens eine passende Domain verifiziert sein. Unter Global Settings > Access Control > Sign-in and Identity > Federated identity providers wird mit Add identity provider Microsoft Entra ID, OpenID Connect oder Microsoft AD FS angelegt. Teilweise ausgefüllte Provider lassen sich speichern, aber erst nach vollständiger und gültiger Konfiguration einschalten.

Zur Aktivierung wird der fertige Provider ausgewählt und Turn on gewählt. Danach kann er für den föderierten Sign-in verwendet werden. Provider lassen sich an derselben Stelle bearbeiten oder löschen. Vor Federated credentials only muss jeder betroffene Administrator und Benutzer einer verifizierten Domain und einem eingeschalteten Provider zugeordnet sein; andernfalls entsteht ein Lockout. Der Provider wird deshalb zuerst mit einzelnen Konten und einem erhaltenen Rückfallzugang getestet.

Die ausführbaren Provider-Anleitungen stehen unter Microsoft Entra ID als Identity Provider einrichten, OpenID Connect und Okta für Sophos Fusion konfigurieren und Microsoft AD FS mit Sophos Fusion verbinden.

Rollen bleiben entscheidend

MFA schützt die Identität, begrenzt aber nicht deren Rechte. Super Admin wird nur für Tenant-, Rollen-, API- und besonders weitreichende Änderungen verwendet. Help Desk, Read-only und Custom Roles reduzieren den möglichen Schaden eines Fehlers oder kompromittierten Kontos.

Die produktspezifische Zuweisung erklärt Sophos Central Endpoint Rollen und Berechtigungen planen.

Verlorenes MFA-Gerät und Lockout

Der Wiederherstellungsprozess wird getestet, bevor er benötigt wird. Zuerst wird eine zweite registrierte Methode verwendet. Wenn keine Methode mehr verfügbar ist, wird vor dem Reset die Identität über einen bekannten, unabhängig bestätigten Kontaktweg geprüft; eine E-Mail mit einer Reset-Bitte allein genügt nicht. Der betroffene Benutzer wird über den vereinbarten Kontaktweg informiert. Kennwörter, Passkeys, QR-Codes und Sicherheitscodes werden weder beim Anrufer angefordert noch im Ticket abgelegt.

Für ein Benutzerkonto im Customer-Tenant lautet der Wiederherstellungsweg:

1. Zweite registrierte Methode verwenden.
2. Einen Super Admin des Tenants um Reset MFA am Benutzerobjekt bitten.
3. Den von Sophos per E-Mail zugestellten Sicherheitscode bei der nächsten Anmeldung eingeben.
4. Zwei neue MFA-Methoden registrieren und deren unabhängige Verfügbarkeit testen.
5. Falls kein anderer Super Admin verfügbar ist, Sophos Support mit verifizierbaren Kontodaten kontaktieren.

Für eine Partner-Identität wird dagegen der Partner Super Admin und der unten beschriebene Partner-Ablauf verwendet. Die Customer-Verifikationsmail ist keine Zusage über den Partner-Recovery-Dialog. Nach dem Partner-Reset folgt der Benutzer den tatsächlich angezeigten Anmelde- und Enrollment-Aufforderungen und stellt mindestens zwei unabhängige Methoden wieder her. Fehlt ein anderer Super Admin für das Partner-Konto, wird Sophos Support kontaktiert; weitere fehlgeschlagene Anmeldeversuche ersetzen diese Wiederherstellung nicht.

Nach einer Wiederherstellung werden alte Methoden entfernt, neue Methoden registriert und Audit Logs auf ungewöhnliche Anmeldungen oder Änderungen geprüft.

Das Löschen des Sophos-Eintrags direkt in der Authenticator-App entfernt die Methode nicht aus Sophos Fusion. Sie bleibt dort registriert, liefert aber keine gültigen Codes mehr. Die Methode muss daher zusätzlich in Sophos Fusion entfernt oder durch einen Super Admin zurückgesetzt werden. Werden alle lokalen Methoden gelöscht, bleibt nur eine zweite registrierte Methode, der Reset durch einen anderen Super Admin oder der verifizierte Weg über Sophos Support.

MFA als Super Admin zurücksetzen

Dieser Ablauf gilt für ein Benutzerkonto im Customer-Tenant, nicht für die Partner-Seite Administer MFA.

Nur ein Super Admin kann die MFA-Registrierungen eines anderen Benutzers zurücksetzen. Der Pfad lautet My Environment > Users & Groups > Users. Dort wird der Benutzername geöffnet, Reset MFA und anschliessend nochmals Reset gewählt. Eine Statusmeldung am unteren Seitenrand bestätigt den erfolgreichen Reset.

Sophos Fusion sendet dem Benutzer danach automatisch eine Verifikationsmail mit Sicherheitscode. Bei der nächsten Anmeldung muss dieser Code eingegeben und MFA vollständig neu eingerichtet werden. Zustellung, Identität des Anrufers und erfolgreiche Neuregistrierung werden kontrolliert; ein Reset allein stellt noch keinen sicheren Zugang her. Ist das eigene Konto gesperrt und kein weiterer Super Admin verfügbar, bleibt nur die verifizierte Wiederherstellung über Sophos Support.

MFA im Partner-Konto zurücksetzen

Die Seite Administer MFA ist nur für einen Partner Super Admin sichtbar. Sie ist der Partner-Weg für verwaltete Identitäten; der Customer-Pfad My Environment > Users & Groups > Users wird dafür nicht verwendet. Die Administratoren des Partner-Kontos lassen sich über Global Settings > Access Control > Admin & Roles > Admins prüfen.

1. Im Partner-Portal das Symbol Global Settings öffnen und unter Access Control die Seite Administer MFA wählen.
2. Die vollständige E-Mail-Adresse der betroffenen Identität eingeben. Suchbar sind nur E-Mail-Adressen, die mit einem Partner-Konto verbunden sind. Eine Teiladresse genügt nicht. Wird nichts gefunden, erscheint weder ein Hinweis noch eine Fehlermeldung; das ist keine Reset-Bestätigung. In diesem Fall werden Schreibweise und Kontozuordnung geprüft, statt einen anderen Benutzer zurückzusetzen.
3. Beim eindeutig zugeordneten Treffer in der Spalte Action auf Reset MFA klicken. Eine Anzeige am unteren Seitenrand bestätigt den erfolgreichen Reset.
4. Den Benutzer die MFA neu einrichten lassen. Anschliessend werden eine erfolgreiche Anmeldung und mindestens zwei registrierte, unabhängig verfügbare Methoden geprüft. Ein erfolgreicher Reset allein bestätigt noch keinen wiederhergestellten sicheren Zugang.

Ein verlorener Passkey wird nicht aus einem Ticket rekonstruiert oder durch Weitergabe eines fremden Schlüssels ersetzt. Die Wiederherstellung erfolgt über eine noch verfügbare eigene Methode oder den berechtigten Reset; alte beziehungsweise verlorene Registrierungen werden anschliessend kontrolliert. Hat man den Sophos-Eintrag nur lokal aus der Authenticator-App gelöscht, bleibt die Registrierung im Partner-Portal bestehen, obwohl sie keine nutzbaren Codes mehr liefert. Es gilt deshalb weiterhin die oben erklärte Trennung zwischen lokaler Löschung und Entfernung der Portal-Registrierung.

MFA eines Customer-Benutzers vom Partner-Portal aus zurücksetzen

Für einen Benutzer im verwalteten Customer-Tenant dokumentiert Sophos einen getrennten Einstieg:

1. My Business > My Customers öffnen und Customers wählen.
2. Auf Sophos Central Customers den richtigen Kunden auswählen und Launch customer wählen. Das Customer-Konto öffnet sich mit seinem Dashboard; vor dem Reset wird die Kundenzuordnung kontrolliert.
3. My Environment > Users & Groups öffnen, den betroffenen Benutzer auswählen und in dessen Profil Reset MFA wählen.
4. Die Erfolgsmeldung unten rechts prüfen und die Wiederherstellung einschliesslich Benachrichtigung und erneuter Registrierung mit dem Benutzer abschliessen.

Dieser Customer-Einstieg ist nicht die E-Mail-Suche auf Administer MFA. Wer per Partner-SSO vom Partner-Dashboard in einen Customer-Tenant wechselt, kann die MFA-Einstellungen der dortigen Super Admins nicht ändern. Bei einem betroffenen Customer-Super-Admin wird daher ein anderer berechtigter Super Admin dieses Tenants hinzugezogen; fehlt ein solcher Zugang, wird Sophos Support kontaktiert. Der Wechsel in den Customer-Tenant hebt diese Grenze nicht auf.

Regelmässige Kontrolle

Mindestens quartalsweise werden Administratoren, Rollen, API-Zugangsdaten, MFA-Methoden und externe Identitäten geprüft. Bei Austritt oder Rollenwechsel wird der Sophos Fusion-Zugang nicht nur deaktiviert, sondern auch aus Admin-Rollen und relevanten IdP-Gruppen entfernt.

Häufige Fragen