Sophos Endpoint Application Control konfigurieren

Application Control soll unerwünschte oder riskante Software unterbinden, ohne jede unbekannte Anwendung vorschnell als Malware zu behandeln. Sophos ordnet bekannte Programme in Anwendungskategorien ein. Die Richtlinie entscheidet anschliessend, welche davon erlaubt oder blockiert werden.

Der sichere Einstieg ist deshalb nicht «alles Unnötige blockieren», sondern erkennen, auswerten, pilotieren und erst dann sperren. So werden tatsächlich genutzte Fernwartungs-, Administrations- oder Kollaborationswerkzeuge sichtbar, bevor eine produktive Sperre Geschäftsprozesse unterbricht.

Application Control ist kein Malware-Schutz

Threat Protection erkennt schädliche Dateien und Verhalten. Application Control setzt eine betriebliche Entscheidung für grundsätzlich bekannte Anwendungen durch. Ein Remote-Administration-Tool kann für den Support legitim und auf einem normalen Arbeitsplatz unerwünscht sein. Diese Bewertung kann kein pauschaler Standardschalter ersetzen.

Eine Freigabe in Application Control bedeutet zudem nicht, dass Sophos die Anwendung nicht mehr auf Malware, Exploits, Ransomware oder schädliches Verhalten prüft. Umgekehrt sollte ein echter False Positive nicht durch eine breite Application-Control-Ausnahme kaschiert werden.

Zuerst erkennen

Melden Sie sich bei Sophos Fusion (ehemals Sophos Central) an. Unter My Products > Endpoint > Policies wird eine Application-Control-Policy erstellt oder geöffnet. Auf dem Tab Settings muss die Policy eingeschaltet sein. Für eine belastbare Bestandsaufnahme empfiehlt Sophos diesen Ablauf:

1. Unter Controlled Applications auf Add/Edit List klicken.
2. Eine relevante Kategorie öffnen, zunächst Select all applications wählen und mit Save to List übernehmen. Dies für alle Kategorien wiederholen, die inventarisiert werden sollen.
3. Unter Detection Options nur Detect controlled applications during scheduled and on-demand scans aktivieren. Application Control verwendet dabei die geplanten Scans und Dateitypen aus den Threat-Protection-Einstellungen.
4. Warten, bis alle Computer mindestens einen geplanten Scan ausgeführt haben.
5. Unter Reports > Logs > Events alle Event-Typen ausser Application Control abwählen und die erkannten Anwendungen auswerten.

Wichtig sind nicht nur der Anwendungsname, sondern auch Gerät, Benutzer, Zeitpunkt und geschäftlicher Zweck. Eine Anwendung, die auf einem IT-Administrationsgerät legitim ist, kann auf allen anderen Endpoints unerwünscht sein.

Kategorien und einzelne Anwendungen

Sophos verwaltet kontrollierbare Programme in Kategorien. Eine ganze Kategorie zu blockieren ist bequem, hat aber einen grösseren Wirkungsbereich. Wo unterschiedliche Produkte innerhalb derselben Kategorie verschieden behandelt werden müssen, wird die Kategorie geöffnet und die Entscheidung auf Anwendungsebene verfeinert.

Ein wartbares Modell besteht typischerweise aus wenigen Entscheidungen:

Die Richtlinie wird nicht mit vielen vorsorglichen Einzelausnahmen gefüllt. Jede Abweichung erhält einen Verantwortlichen und einen nachvollziehbaren Grund.

Protected Browser und Island Browser nicht getrennt behandeln

Sophos Protected Browser und Island Enterprise Browser verwenden derzeit gemeinsame Kern-Binaries. Sophos Endpoint kann beide deshalb mit derselben Signatur erkennen. Eine Application-Control-Entscheidung für den Island Browser kann somit auch den Sophos Protected Browser treffen; eine technisch saubere getrennte Freigabe ist momentan nicht garantiert. Die Überschneidung betrifft ausserdem die DLP-Browsererkennung. Wird Workspace Protection eingesetzt, werden Application Control und Endpoint DLP deshalb gemeinsam getestet und die Produktgrenze dokumentiert.

Pilotgruppe blockieren

Nach der Auswertung wird Add/Edit List erneut geöffnet. Bei Anwendungen, die weiter genutzt werden dürfen, wird das Kontrollkästchen entfernt. Die übrigen Einträge bleiben kontrolliert. Danach werden unter Detection Options die Optionen Detect controlled applications when users access them und Block the detected application aktiviert und die Policy gespeichert.

Die erste blockierende Policy wird einer kleinen Computergruppe zugewiesen. Diese Gruppe muss typische Benutzer, wichtige Fachanwendungen und mindestens einen IT-Arbeitsplatz enthalten. Nach der Zuweisung wird am Gerät unter Policies kontrolliert, ob wirklich diese Application-Control-Policy effektiv ist.

Während des Piloten werden folgende Punkte geprüft:

• erwartete Anwendung wird blockiert und erzeugt ein Event,
• erlaubte Anwendungen starten weiterhin,
• Benutzer erhält unter Windows die konfigurierte Desktop-Meldung,
• Helpdesk kennt Anwendung, Regel und Freigabeprozess,
• Umgehungsversuche über portable oder umbenannte Programme werden erkannt.

Desktop Messaging ist standardmässig eingeschaltet. Ein eigener Meldungstext ergänzt die Standardmeldung; bleibt das Feld leer, erscheint nur die Standardmeldung. Anpassen oder ausschalten lässt sich diese Funktion laut Sophos nur für Windows-Computer. Auf anderen Plattformen darf der Betriebsprozess daher nicht davon abhängen, dass der Benutzer denselben Dialog sieht.

Script-Hosts nur nach einer Bestandsaufnahme sperren

Application Control kann unter Programming / Scripting tool beispielsweise Microsoft WSH WScript kontrollieren. Das kann eine zusätzliche Hürde gegen schädliche JavaScript-Dateien schaffen, blockiert aber ebenso legitime Anmelde-, Verwaltungs- oder Fachanwendungsskripte. Ein Script-Host wird deshalb zuerst im Erkennungsmodus inventarisiert und nur für passende Gerätegruppen blockiert. Die Sperre ersetzt weder AMSI noch Threat Protection und ist keine pauschale Malware-Bereinigung.

Neue Anwendungen automatisch behandeln

Sophos kann neue Anwendungen einer bereits kontrollierten Kategorie automatisch erfassen. Das hält Richtlinien aktuell, vergrössert aber den automatischen Wirkungsbereich. Bei einer blockierten Kategorie kann ein neu klassifiziertes, betrieblich benötigtes Produkt dadurch ohne separate Freigabe blockiert werden.

Sophos kennzeichnet New applications added to this category by Sophos als optional und warnt davor, die Option unüberlegt zu aktivieren. Sie wird nur eingesetzt, wenn neue Katalogeinträge dieser Kategorie bewusst automatisch kontrolliert werden sollen. Die Bequemlichkeit einer aktuellen Liste ersetzt keine Change-Kontrolle; bei blockierten Kategorien ist eine periodische Prüfung mit anschliessender Pilotierung meist besser steuerbar.

Neue Kategorie GenAI

Sophos führt Anwendungen mit generativer KI inzwischen in der Kategorie GenAI. Dazu gehören je nach Plattform unter anderem Desktop-Clients, lokale Modelle, Coding-Assistenten und Content-Tools. Bestehende Programme wie Cursor, Microsoft Copilot, Ollama, Perplexity oder Windsurf wurden aus früheren Kategorien dorthin verschoben.

Die Reklassifizierung ändert laut Sophos den bisherigen Allow- oder Block-Status nicht. Sie verändert aber, wo eine Anwendung künftig in Reports und Policy-Pflege gefunden wird. Die GenAI-Kategorie wird daher nach einem Katalogupdate erneut inventarisiert. Eine pauschale Blockierung ersetzt keine Regelung zu Browserdiensten, Datenklassifikation und erlaubten geschäftlichen AI-Anwendungen.

Katalogstand 18. August 2026: Application Control 6.27

Das Datenupdate 6.27 wurde am 18. August 2026 ausgerollt; die zugehörige Meldung erschien am 19. August 2026. Dieser Stand ergänzt die GenAI-Bewertung oben, ist aber weder eine vollständige Anwendungsliste noch ein Nachweis für spätere Releases. Für die Policy-Pflege sind beispielsweise diese Einträge relevant:

• Windows-Prüfung: GitHub Copilot, Zed AI und Warp Terminal stehen als GenAI in der ersten Katalogliste der Meldung. Diese Liste trägt keine eigene Plattformüberschrift; die Einträge sind deshalb Prüfkandidaten für den Windows-Piloten, kein pauschaler Nachweis für jede Windows-Version oder Programmvariante.
• macOS: GitHub Copilot, Zed AI und Warp Terminal stehen zusätzlich ausdrücklich im separaten macOS-Abschnitt als GenAI. Die macOS-Zuordnung wird unabhängig von der ersten Liste geprüft; aus einem Eintrag auf einer Plattform folgt keine identische Erkennung auf der anderen.

Ausserdem wurde Notion Desktop App in Notion AI umbenannt und von BusinessIntelligenceTool nach GenAI verschoben. Bei der Bestandsaufnahme wird deshalb auch nach dem bisherigen Namen gesucht und die bisherige Freigabe- oder Sperrentscheidung mit dem neuen Eintrag abgeglichen. Die Reklassifizierung allein ist kein Anlass, eine bestehende Freigabe ungeprüft durch eine Kategoriesperre zu ersetzen.

Die Veröffentlichung erfolgt in zwei Teilen: Neue Einträge können in der Verwaltungsoberfläche bereits 24 bis 48 Stunden vor dem Identity-Release sichtbar sein. Erst dieses Release liefert die Erkennungsdaten für die Anwendung. Für gerade neu veröffentlichte Einträge ist daher das genannte Zeitfenster abzuwarten, bevor deren Allow-/Block-Wirkung beurteilt wird. Ein sichtbarer Eintrag oder ein gespeicherter Schalter beweist noch keine wirksame Kontrolle am Endpoint; das Zeitfenster ist auch keine Zusage, dass jedes Gerät danach bereits aktualisiert ist.

Für diesen Katalogwechsel wird der bestehende Pilot getrennt auf einem Windows- und einem macOS-Gerät mit der tatsächlich eingesetzten Anwendungsversion durchgeführt:

1. Vor der Änderung die effektive Application-Control-Policy, den bisherigen Eintrag und dessen Kontrollstatus sowie New applications added to this category by Sophos dokumentieren. Ist diese Option für die Kategorie aktiv und Block the detected application eingeschaltet, werden neu hinzugefügte Anwendungen automatisch blockiert. Soll das nicht geschehen, wird die Kategorieoption vor dem Rollout deaktiviert; bereits kontrollierte Einträge werden dadurch nicht automatisch freigegeben.
2. Nach dem Veröffentlichungsfenster und einem erfolgreichen Endpoint-Update unter Policies die effektive Pilot-Policy prüfen. Zunächst im bestehenden Erkennungsmodus die Anwendung scannen und unter Reports > Logs > Events mit dem Filter Application Control nach dem erwarteten Eintrag suchen. Für Notion wird der Name Notion AI mit der bisherigen Entscheidung abgeglichen. Gerätename, Betriebssystem, Anwendungsversion und Zeitpunkt gehören zum Prüfnachweis.
3. Nur in der Pilotgruppe die beabsichtigte Sperre aktivieren, den Policy-Eingang prüfen und die Anwendung erneut öffnen. Erfolg bedeutet: Die ausgewählte Anwendung wird blockiert, ein passendes Event ist vorhanden und eine bewusst erlaubte Vergleichsanwendung funktioniert weiterhin. Unter macOS wird nicht dieselbe Desktop-Meldung wie unter Windows vorausgesetzt.
4. Fehlt die Erkennung oder Sperre, zuerst Policy-Zuweisung, Endpoint-Update, Anwendungsversion und tatsächlichen Prozess prüfen. Die GenAI-Kategorie wird nicht als Ersatz pauschal für alle Geräte gesperrt. Für den Rückweg den dokumentierten Kontrollstatus der betroffenen Anwendung in der Pilot-Policy wiederherstellen, speichern, den Policy-Eingang abwarten und den Start erneut testen. Die Kategorieoption wird nur dann auf ihren vorherigen Wert zurückgesetzt, wenn auch die automatische Behandlung neuer Einträge wieder gewünscht ist.

Katalogstand 6. Oktober 2026: Application Control 6.28

Das Datenupdate 6.28 wurde am 6. Oktober 2026 ausgerollt; die abschliessende Meldung vom 7. Oktober 2026 bestätigt dies. Die Vorankündigung vom 25. September beschrieb dagegen nur den geplanten Stand. Für die Bestandsprüfung zählt die finale Liste, nicht die Vorankündigung:

• In der ersten Liste ohne eigene Plattformüberschrift stehen beispielsweise ToDesk, Gorelo und TiFlux Agent als RemMan sowie Google Antigravity IDE und Google Antigravity CLI als GenAI. Gegenüber der Vorankündigung kamen dort Claude Science und Taskade Agent, beide GenAI, hinzu. Diese Liste ist keine ausdrücklich beschriftete Windows-Kompatibilitätsmatrix; geprüft werden nur tatsächlich eingesetzte Programme und Varianten.
• Der ausdrücklich getrennte macOS-Abschnitt enthält unter anderem Claude Science, Taskade Agent und Google Antigravity IDE als GenAI. Diese Einträge standen dort bereits in der Vorankündigung. Die Ergänzungen der ersten Liste sind daher nicht zugleich neue macOS-Ergänzungen; Erkennung und Policy-Wirkung werden pro Plattform geprüft.

Ausserdem wechselt Google Antigravity von ProgrammingScriptTool nach GenAI. Otter AI Assistant heisst nun Otter und wechselt von SystemTool nach GenAI. Dynalist Obsidian wird zu Obsidian, weiterhin in DocumentViewer. Bei Reports und Policy-Pflege deshalb jeweils alten und neuen Namen suchen. Die frühere Aussage zur Beibehaltung des Kontrollstatus bei der Einführung von GenAI ist keine ausdrückliche Zusage für diese Oktober-Änderungen: Den tatsächlichen Allow-/Block-Status jedes betroffenen Eintrags mit der vorherigen Aufzeichnung abgleichen.

Für vorhandene betroffene Anwendungen gilt der oben beschriebene Ablauf mit Erkennung, Plattform-Pilot und begrenztem Rückweg auch bei 6.28. Vor einer Policy-Änderung insbesondere die Kategorieautomatik und Block the detected application prüfen: Sind beide aktiv, können neue Einträge automatisch gesperrt werden. Die 24 bis 48 Stunden zwischen Konsoleneintrag und Identity-Release bleiben ein Veröffentlichungsfenster, keine Updategarantie für jedes Gerät. Eine Katalogaufnahme ist weder ein Malware-Urteil noch eine Empfehlung, alle genannten Anwendungen zu sperren.

Wenn eine Anwendung fehlt

Nicht jede Software ist sofort im Sophos-Katalog vorhanden. Am unteren Rand des Tabs Settings führt Application Control Request zum offiziellen Aufnahmeantrag. Bis Sophos die Anwendung klassifiziert hat, lässt sie sich nicht über eine erfundene Kategorie oder Signatur nachbilden.

⚠️ Eine unspezifische Threat-Protection-Ausnahme ist kein Ersatz für einen fehlenden Application-Control-Eintrag. Application Control und Malware-Ausnahmen lösen unterschiedliche Aufgaben.

Troubleshooting

Wird eine erwartete Anwendung nicht blockiert, werden zuerst effektive Policy, Zielgruppe und Policy-Reihenfolge kontrolliert. Danach folgen Anwendungsversion, tatsächlicher Prozess und Zeitpunkt des letzten Agent-Updates. Ein Eintrag im Katalog ist nicht gleichbedeutend damit, dass jede Variante oder jeder Launcher identisch erkannt wird.

Wird eine geschäftlich notwendige Anwendung blockiert, wird die Richtlinie auf Anwendungsebene korrigiert und erneut gespeichert. Eine globale Deaktivierung von Application Control ist dafür nicht nötig. Anschliessend wird am betroffenen Gerät geprüft, ob die aktualisierte Policy eingetroffen ist.

Verwandte Artikel

Die Policy-Reihenfolge und effektive Zuweisung erklärt Sophos Endpoint-Richtlinien richtig aufbauen. Einen sicheren Gesamt-Rollout der Kontrollfunktionen beschreibt Sophos Endpoint Control Policies praxisnah einführen.

Häufige Fragen

Aktueller Anwendungskatalog

Prüfen Sie vor einer Policy-Änderung im aktuellen Sophos-Katalog kontrollierter Anwendungen, ob die betreffende Anwendung derzeit kontrollierbar ist und welcher Kategorie Sophos sie zuordnet. Der Hersteller ergänzt den Katalog laufend um Anwendungen und neue Klassifizierungen.