Sophos Endpoint unter Windows deinstallieren

Eine saubere Endpoint-Deinstallation besteht aus zwei getrennten Arbeiten: Zuerst wird die Sophos-Software auf dem Windows-Gerät entfernt. Erst danach wird der nicht mehr benötigte Gerätedatensatz in Sophos Fusion (ehemals Sophos Central) gelöscht.

Diese Reihenfolge ist wichtig. Das Löschen in Sophos Fusion ist keine Remote-Deinstallation. Es entfernt den Datensatz und die zugehörigen Alerts, lässt einen noch installierten Agent aber auf dem Computer zurück.

Vor dem Start

• lokaler Administratorzugriff
• aktives Wartungsfenster
• Tamper Protection für dieses Gerät deaktiviert
• Sprache des Deinstallationsprogramms entspricht der Sprache der installierten Sophos-Endpoint-Version
• Wiederherstellungs- oder Rollback-Plan
• keine laufende Bereinigung oder Untersuchung, die den Endpoint noch benötigt

Wie der Manipulationsschutz lokal für vier Stunden oder in Sophos Fusion pro Gerät deaktiviert wird, steht unter Sophos Fusion Tamper Protection sicher deaktivieren.

Nicht vorschnell löschen: Ein Gerät bleibt bis zur erfolgreichen lokalen Deinstallation in Sophos Fusion. So bleiben Passwort, Status und Diagnoseinformationen erreichbar.

Unterstützter Deinstallationsweg

Sophos stellt unter Windows ein zentrales Deinstallationsprogramm bereit:

C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe

1. Tamper Protection für das Gerät deaktivieren.
2. Eine Eingabeaufforderung oder PowerShell mit Administratorrechten öffnen.
3. SophosUninstall.exe aus dem genannten Pfad starten.
4. Den Assistenten abschliessen und Windows danach neu starten, um die Entfernung abzuschliessen.
5. Danach prüfen, ob Sophos-Dienste, Schutzoberfläche und installierte Sophos-Anwendungen entfernt sind.

Alternativ kann Sophos Endpoint Agent unter Windows 10 über Settings > Apps > Apps & features oder unter Windows 11 über Settings > Apps > Installed apps deinstalliert werden. Windows startet dabei dasselbe unterstützte Deinstallationsprogramm.

Unbeaufsichtigte Deinstallation

Für Softwareverteilung oder ein kontrolliertes Offboarding unterstützt das Programm den stillen Aufruf:

PowerShell

& "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Eingabeaufforderung oder .bat-Datei

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Für wenige Geräte bleibt die interaktive Entfernung über Settings > Apps beziehungsweise das Deinstallationsprogramm der Normalweg; --quiet ist für kontrollierte, wiederholbare Verteilung gedacht. Dieser Aufruf gilt für Windows 10 (x64) und neuer sowie für Windows Server 2016 und neuer mit einem unterstützten Core Agent. Auf Legacy-Plattformen nennt Sophos stattdessen uninstallcli.exe --quiet im selben Verzeichnis; für die interaktive Legacy-Deinstallation gilt uninstallgui.exe. Betriebssystem, Architektur und Core-Agent-Version werden deshalb vor einer Massenverteilung inventarisiert. In einer Batchdatei muss der vollständige Pfad in Anführungszeichen stehen und die Datei mit .bat gespeichert werden.

Mit --language=<LanguageID> lässt sich die Sprache des Deinstallationsprogramms über eine standardmässige dezimale oder hexadezimale Sprach-ID festlegen. Sie muss der Sprache der installierten Sophos-Endpoint-Version entsprechen. Der Exit-Code, die installierten Anwendungen und ein möglicher Neustart werden im Deployment-System ausgewertet. Ein Prozessende allein ist kein ausreichender Erfolgsnachweis.

Die numerischen Rückgabewerte werden nicht als allgemeine Windows-Codes interpretiert:

Sophos dokumentiert das Deinstallationslog als C:\Windows\Temp\Sophos Endpoint Agent. Bei Code 8 wird zuerst der bereits ausstehende Neustart abgearbeitet und der Gerätezustand danach erneut geprüft. Bei anderen Fehlercodes empfiehlt Avanet, nicht mit wiederholten Neustarts oder Aufrufen weiterzuarbeiten. Nach der Entfernung muss Windows vor der unten beschriebenen Abnahme neu gestartet werden. Dieser abschliessende Neustart ist sowohl nach der interaktiven als auch nach der Command-Line- oder Batch-Deinstallation Pflicht, selbst wenn Code 0 bedeutet, dass das Deinstallationsprogramm ihn nicht selbst anfordert.

Grenzen und Rückbau der stillen Verteilung

--quiet blendet den Assistenten aus, nicht aber Voraussetzungen oder Produktabhängigkeiten. Auf Geräten mit ZTNA, Device Encryption oder MDR wird vor dem generischen Uninstall-Befehl der Sophos-Fusion-Ablauf Install or uninstall software verwendet. Verschlüsselungs-Recovery, Zugriff auf das Gerät und die Weiterführung der vereinbarten Überwachung müssen vor dem Wartungsfenster geklärt sein.

Für Kombinationen mit anderer Security-Software gibt es keine belastbare aktuelle Matrix, aus der sich pauschale Herstellerfreigaben ableiten lassen. Vor einer breiten Deinstallation werden deshalb die tatsächlich installierten Produkte und Versionen inventarisiert und genau diese Kombination in einer kleinen Pilotgruppe geprüft. Blockiert oder beeinflusst ein Produkt den Rückbau, wird der konkrete Fall mit Logs an die beteiligten Hersteller eskaliert; nicht unterstützte oder nicht verifizierte herstellerspezifische Koexistenzannahmen sind kein Ersatz für diesen Test.

Die Deinstallation hat keinen automatischen Rollback. Avanet empfiehlt deshalb, zuerst eine kleine Pilotgruppe zu verwenden und einen aktuellen, tenantgebundenen Installer sowie den Zugriff auf Wiederherstellungsinformationen bereitzuhalten. Schlägt die Abnahme fehl, wird das Gerät nicht als erfolgreich ausgebucht: Logs und Zustand werden gesichert und das Gerät wird als Avanet-Sicherheitsempfehlung nötigenfalls isoliert; danach wird entweder der dokumentierte Schutz wiederhergestellt oder an Sophos Support eskaliert.

Nicht mit «Manage software» verwechseln

Unter My Environment > Computers & Servers kann Manage software einzelne Schutzprodukte entfernen oder den Agent Mode ändern. Dabei bleibt der Sophos Core Agent für Verwaltung und spätere Produktänderungen installiert.

Für einen vollständigen Rückbau des Geräts ist deshalb weiterhin SophosUninstall.exe nötig. Manage software eignet sich für einen kontrollierten Wechsel des Produktumfangs, nicht für das vollständige Offboarding.

Deinstallation prüfen

Nach Abschluss des Assistenten oder des stillen Befehls und dem anschliessenden Neustart von Windows werden mindestens diese Punkte kontrolliert:

• Sophos Endpoint Agent erscheint nicht mehr unter den installierten Apps.
• Das Sophos-Schild und die lokale Endpoint-Oberfläche sind entfernt.
• Sophos-Schutzdienste laufen nicht mehr.
• Das vorgesehene Nachfolgeprodukt ist aktiv und aktuell.
• Windows Security zeigt den erwarteten Schutzanbieter.
• Das Gerät hat keinen offenen Sophos-Neustart oder unvollständigen Deinstallationsprozess.

Ein verbliebener Ordner allein beweist keine aktive Installation. Laufende Dienste, registrierte Produkte und der Schutzanbieter sind aussagekräftiger.

Gerät anschliessend aus Sophos Fusion entfernen

Erst nach der lokalen Abnahme folgt die Bereinigung in Sophos Fusion:

1. My Environment > Computers & Servers öffnen.
2. Das deinstallierte Gerät auswählen.
3. Delete bestätigen.
4. Prüfen, ob der Datensatz nicht mehr in der aktiven Geräteliste erscheint.

Beim Löschen gehen die dem Gerät zugeordneten Alerts verloren. Benötigte Informationen werden deshalb vorher dokumentiert. Sophos hält gelöschte Geräte derzeit 30 Tage für eine Wiederherstellung vor.

Wenn das Gerät bereits gelöscht oder die Lizenz abgelaufen ist

Mit Core Agent 2023.2 oder neuer unter Windows 10 oder neuer beziehungsweise Windows Server 2016 oder neuer ist eine manuelle Wiederherstellung des Tamper-Protection-Kennworts nach einer Gerätelöschung oder einem Lizenzablauf normalerweise nicht nötig. Ein gelöschtes Gerät lässt sich 30 Tage lang wiederherstellen; sein Tamper-Protection-Kennwort bleibt 120 Tage unter Reports > Reports > Endpoint Protection (oder Server Protection) > Restore deleted devices and recover Tamper Protection passwords aufgeführt. Der alte Registry- und Safe-Mode-Weg gilt nicht. Der unterstützte Ablauf und die Ausnahmen stehen unter Sophos Endpoint nach Löschung aus Sophos Fusion deinstallieren.

Troubleshooting

SophosUninstall.exe meldet aktiven Manipulationsschutz

Der Status von Tamper Protection wird erneut geprüft: My Environment > Computers & Servers öffnen, den Gerätenamen auswählen und zu Tamper Protection scrollen. Für kurze Arbeiten ist der lokale Vier-Stunden-Override geeignet. Wurde das Gerät bereits gelöscht oder ist die Lizenz abgelaufen, gilt stattdessen der oben verlinkte Recovery-Ablauf.

Die Datei SophosUninstall.exe fehlt

Zuerst wird geprüft, ob der Sophos Core Agent noch korrekt installiert ist. Ein beschädigter oder bereits teilweise entfernter Agent wird nicht mit zufälligen Einzel-MSI-Dateien oder Registry-Löschungen bereinigt. In diesem Fall werden die Sophos-Installationslogs gesichert und der aktuelle Sophos-Reparatur- beziehungsweise Supportweg verwendet.

Gerät erscheint nach der Deinstallation wieder in Sophos Fusion

Dann besteht wahrscheinlich noch eine aktive oder erneut installierte Management-Komponente. Softwareverteilung, Golden Image, RMM-Aufträge und der lokale Core Agent werden geprüft. Ein erneutes Löschen des Datensatzes ohne Ursachenanalyse löst das Problem nicht.

Deinstallation läuft, endet aber nicht

Zuerst wird geprüft, ob die Sprache des Deinstallationsprogramms der Sprache der installierten Sophos-Endpoint-Version entspricht. Ausserdem werden laufende Sophos-Bereinigungen, Windows Installer, ausstehende Neustarts und andere Security-Software geprüft. Danach werden die Installations- und Deinstallationslogs gesichert, bevor weitere Eingriffe erfolgen.

RemoveSIPSSubmitterUserAccount schlägt fehl

Ein Fehler bei RemoveSIPSSubmitterUserAccount weist auf einen bereits teilweise entfernten Agent hin. Es werden vollständige SDU- und Uninstall-Logs gesichert, aber keine nicht verifizierten Registry-Werte angelegt oder geändert. Avanet empfiehlt, SophosUninstall.exe nach Beseitigung eines eindeutig belegten Blockers höchstens einmal erneut auszuführen.

Bleibt der Rückbau unvollständig, werden keine manuellen MSI-, Registry- oder Safe-Mode-Bereinigungen und kein SophosZap auf Verdacht ausprobiert. An Sophos Support gehen SDU-Archiv, Deinstallationslog, Rückgabecode, Betriebssystem und Architektur, Core-Agent-Version, exakter Befehl und Zeitpunkt sowie der Status von Tamper Protection und gegebenenfalls ZTNA, Device Encryption oder MDR.

SophosZap ist nur der letzte Ausweg

SophosZap ist weder der normale Deinstallationsweg noch eine Umgehung für aktive Tamper Protection. Das heuristische Bereinigungstool kommt erst infrage, wenn Tamper Protection nachweislich ausgeschaltet ist und SophosUninstall.exe trotzdem fehlgeschlagen ist oder Reste einer unvollständigen Deinstallation zurückgelassen hat. Sind diese Voraussetzungen nicht eindeutig erfüllt, endet der lokale Versuch und der Fall geht an Sophos Support.

Der kontrollierte Ablauf mit aktuellem, signiertem Download, unterstützten und inkompatiblen Sophos-Produkten, Neustartbehandlung, Logpfad und Abbruchgrenzen steht im Abschnitt zu SophosZap unter Sophos Endpoint trotz Manipulationsschutz deinstallieren. Diese Detailanleitung wird unmittelbar vor dem Einsatz erneut geprüft; SophosZap wird nicht vorsorglich in allgemeine Deinstallationspakete aufgenommen.

Häufige Fragen