Sophos Central Endpoint-Ausnahmen sicher konfigurieren

Eine Sophos-Endpoint-Ausnahme ist keine harmlose Kompatibilitätseinstellung. Sie nimmt Dateien, Prozesse, Webseiten oder einzelne Schutzkontrollen ganz oder teilweise aus der Prüfung. Eine zu breite Ausnahme kann genau den Pfad freigeben, den Malware später nutzt.

Der sichere Schnellweg lautet deshalb: auslösendes Event und Schutzmodul bestimmen, die engste passende Ausnahme in einer gezielten Threat-Protection-Policy anlegen, auf wenigen Geräten prüfen und mit Besitzer sowie Ablaufdatum dokumentieren. Eine globale Ausnahme ist nur richtig, wenn derselbe belegte Bedarf tatsächlich für alle betroffenen Benutzer, Computer und Server gilt.

Scope und Priorität vor der Syntax klären

Global und Policy sind keine Prioritätsstufen, die sich gegenseitig aufheben: Eine globale Ausnahme gilt überall und lässt sich durch eine strengere Policy nicht wieder einschränken. Von mehreren passenden Policies desselben Typs wendet Central nur die erste aktive Policy in der Liste an; ihre Einstellungen werden nicht mit einer tiefer stehenden Threat-Protection-Policy zusammengeführt. Deshalb gehören eine temporäre Ausnahme-Policy oberhalb einer allgemeineren Policy und die effektive Policy am Gerät in die Kontrolle. Das genaue Auswahlmodell erklärt Sophos Central Endpoint-Richtlinien richtig aufbauen.

Globale Ausnahme anlegen

1. Global Settings > Protection and Remediation > Allow and Block > Global Exclusions öffnen.
2. Add Exclusion wählen und unter Exclusion Type den Typ bestimmen.
3. Unter Value nur den belegten Pfad, Prozess, Host oder Verkehrsparameter eintragen.
4. Bei File or folder unter Active for zwischen Real-time Scanning, Scheduled Scanning oder beiden wählen. Nur den tatsächlich betroffenen Scan ausnehmen.
5. Add oder Add Another und anschliessend auf der Seite Save wählen.

Ist die Bearbeitung gesperrt, können Partner- oder Enterprise-Vorgaben die globalen Einstellungen sperren. Ausserdem benötigt die Admin-Rolle Zugriff auf Endpoint Protection und Server Protection. Die Sperre darf nicht durch eine fachlich breitere Event-Aktion umgangen werden.

Vor jeder Ausnahme den Bedarf belegen

Eine belastbare Anfrage enthält:

• Erkennungsname, Zeitstempel, betroffenes Gerät und Benutzer;
• vollständigen Pfad, Prozess oder Netzwerkendpunkt;
• Sophos-Event und das auslösende Schutzmodul;
• Herstellerempfehlung für die tatsächlich eingesetzte Produktversion;
• SHA-256 und digitale Signatur, wenn eine Datei betroffen ist;
• kleinste notwendige Zielgruppe, verantwortliche Person und Ablaufdatum;
• reproduzierbaren Vorher-/Nachher-Test und einen Rückbauplan.

«Die Anwendung läuft langsam» reicht nicht. CPU, Datenträger, betroffener Dateityp, Prozesskette und ein zeitlich passendes Sophos-Event müssen den Zusammenhang belegen. Ohne diesen Nachweis würde eine Ausnahme nur Symptome verdecken.

Hersteller-Ausnahmen für Windows-Anwendungen

Der offizielle Sophos-Katalog Empfohlene Hersteller-Ausnahmen für Drittanbieter-Anwendungen (KBA-000001664) verweist auf die Herstelleranleitungen häufig eingesetzter Windows-Anwendungen. Er ist eine Recherchehilfe, keine ungeprüft zu importierende Positivliste. Die dort genannten Ausnahmen werden auf die genaue Produktversion, installierten Komponenten und nachgewiesenen Zugriffe begrenzt, in der engsten passenden Richtlinie pilotiert und mit verantwortlicher Person sowie Ablaufdatum dokumentiert.

Ist eine Anwendung nicht aufgeführt und verursacht sie nachweislich erhebliche Leistungseinbussen, muss der Softwarehersteller die für diese Version unterstützten Ausnahmen bestätigen. Keine Pfade erraten, Einträge vorsorglich erweitern oder Schutzfunktionen abschalten. Bleibt der Zusammenhang unklar, mit Diagnosedaten an Sophos Support eskalieren.

Die passende Ausnahmeart und Syntax wählen

Eine Scan-Ausnahme verhindert nicht automatisch Exploit-, Ransomware- oder Verhaltensprüfungen. Umgekehrt schaltet eine modulbezogene Ausnahme nicht pauschal den Malware-Scan ab. Der Event-Typ entscheidet daher über die Ausnahmeart.

Windows: Datei, Ordner oder Prozess

Ein vollständiger Pfad ist enger als ein Dateiname, eine Wildcard oder ein ganzes Verzeichnis. *.* ist keine gültige pauschale Windows-Wildcard. Ganze Laufwerke sowie hochrangige oder häufig missbrauchte Verzeichnisse wie C:\Windows\, C:\ProgramData\, C:\Users\<Username>\ oder der Startup-Ordner werden nicht ausgeschlossen.

Für Scan-Ausnahmen gilt:

• * steht für null oder mehr Zeichen, überschreitet aber keinen \- oder /-Separator.
• ** kann Separatoren erfassen, wenn es von Separatoren umschlossen ist oder am Anfang beziehungsweise Ende der Ausnahme steht. C:\foo\**\bar erfasst beispielsweise C:\foo\bar und tiefere Pfade wie C:\foo\more\bar.
• ? steht für ein Zeichen; am Ende einer Zeichenfolge kann es auch null Zeichen erfassen.
• Ein einzelner \ oder / als Ausnahme reicht vom Laufwerksstamm durch alle Ordner und ist deshalb nicht zu verwenden.

Variablen besitzen einen grossen Scope. %PROGRAMDATA% entspricht C:\ProgramData, %USERPROFILE% allen Benutzerprofilen, %TEMP% beziehungsweise %TMP% den lokalen Benutzer-Temp-Verzeichnissen und %WINDIR% C:\Windows. Sie werden nicht allein als Ausnahme verwendet. Wildcard-Ausnahmen im On-access Scan wirken zudem auf die Überwachung durch Data-Loss-Prevention-Regeln.

Für eine Netzwerkfreigabe dokumentiert Sophos die UNC-Form \\<REMOTESERVER>\<SHARENAME>\. <REMOTESERVER> und <SHARENAME> sind durch den wirklichen Server- und Freigabenamen zu ersetzen; eine gemappte Laufwerksbezeichnung darf nicht geraten werden.

Bei einer langsamen Anwendung ist ein Process (Windows)-Ausschluss häufig enger als ein kompletter Datenordner. Wenn der belegte Prozess C:\appfolder\app.exe beim Zugriff auf C:\datafolder\ die Verzögerung auslöst, wird der vollständige Anwendungspfad eingetragen, nicht nur app.exe. Die Ausnahme betrifft auch Dateien, auf die dieser Prozess zugreift, jedoch nicht Anwendungen, die der Prozess seinerseits verwendet.

macOS: Slash und Stern bedeuten Unterschiedliches

macOS akzeptiert POSIX-Pfade für Volumes, Ordner oder Dateien. Die Syntax darf nicht aus einem Windows-Muster abgeleitet werden:

• /myfolder/myapplication erfasst genau diese Datei.
• /myfolder/ erfasst den Ordner und alle Unterordner rekursiv.
• /myfolder// erfasst den Ordner, aber keine Unterordner.
• /Users/SomeUser/Documents/ExcludeMe/* erfasst Dateien direkt in ExcludeMe, aber keine darin liegenden Ordner.
• /Users/*/Documents/ExcludeMe/ erfasst ExcludeMe für alle Benutzer einschliesslich Dateien, Ordnern und Unterordnern.

Ein Muster ohne führenden / kann den passenden Namen lokal oder im Netzwerk an beliebiger Stelle erfassen und ist damit breiter. Ein Stern am Ende eines Pfads ist nur für Dateiausnahmen zulässig und erfasst nicht automatisch Unterordner.

Linux: Scan- und Data-Lake-Scope getrennt prüfen

Für Linux-Server ist die vollständige absolute Syntax am einfachsten zu kontrollieren. /mnt/hgfs/excluded erfasst die Datei oder den Ordner dieses Namens, aber nicht den Inhalt des Ordners. /mnt/hgfs/excluded/ erfasst beim Scannen den Ordner mit allen Dateien und Unterordnern. Ein Name oder relativer Pfad kann dagegen an mehreren Stellen des Dateisystems passen.

Server Protection for Linux (SPL) benötigt bei relativen Ausdrücken die dokumentierten Wildcards: Beispielsweise wird ein relativer Pfad bar/file.name als */bar/file.name und ein Verzeichnisname bar/ als */bar/* angegeben. Solche Muster sind breiter als ein absoluter Pfad und werden nur verwendet, wenn genau dieser ortsunabhängige Scope benötigt wird.

Data-Lake-Ausschlüsse interpretieren den abschliessenden Slash anders als Scan-Ausschlüsse. Damit der Scan-Scope von /mnt/hgfs/excluded/ auch für Data-Lake-Events erreicht wird, dokumentiert Sophos zwei Einträge: /mnt/hgfs/excluded für das Verzeichnis selbst und /mnt/hgfs/excluded/* für dessen Inhalt. Eine Scan-Ausnahme allein garantiert daher nicht, dass keine Data-Lake-Events erscheinen.

Website, PUA und weitere Global-Exclusion-Typen

• Website (Windows/Mac): akzeptiert IP-Adresse, CIDR-Bereich oder Domain; Wildcards sind nicht erlaubt. Sophos prüft dafür weder die Website-Kategorie noch Web Control. Die Domain oder Adresse wird deshalb so eng wie der Anwendungsfall erlaubt gewählt.
• Potentially Unwanted Application (Windows/Mac/Linux): verwendet exakt den von Sophos erkannten PUA-Namen. Eine globale Autorisierung gilt überall; eine Policy begrenzt den Scope.
• AMSI Protection (Windows): nimmt Code in einem vollständigen Datei-, Ordner- oder Laufwerkspfad aus dem AMSI-Scan. * ist nur für Dateiname oder Erweiterung vorgesehen.
• Hashing exclusions (Windows): verhindert für angegebene Ordner, Dateien oder Prozesse die Hash-Erzeugung in Sophos Event Journals und Data Lake. Sophos verlangt, diesen Typ nur auf eigene Aufforderung zu verwenden.
• Driver Detection (Windows): autorisiert einen erkannten Treiber. Dieser Typ ist nur für Windows-Geräte vorgesehen. Der Treiber muss mindestens einen gültigen Signierer ausser Microsoft Windows Hardware Compatibility Publisher besitzen.

Ransomware und Exploit Mitigation

Ransomware Protection (Windows/Mac) nimmt eine Anwendung oder einen Ordner nur aus dem Ransomware-Schutz. Unter macOS sind keine benutzerdefinierten Prozessausnahmen möglich; dort wird ein Ordner oder der Dateipfad der Anwendung verwendet. Windows kann Process oder Folder verwenden. Unter Global Exclusions darf ein Ordner einen lokalen Pfad oder einen UNC-Pfad wie \\servername\shared-folder\ verwenden. In einer Endpoint-Threat-Protection-Policy wird dagegen nur ein lokaler Ordnerpfad unterstützt, kein entfernter UNC-Pfad.

Exploit Mitigation and Activity Monitoring (Windows) unterstützt nur pfadbasierte Anwendungsausnahmen. Unter Mitigations bleibt Protect Application eingeschaltet und nur die nachweislich störende Mitigation wird abgewählt. Wird Protect Application ausgeschaltet, entfallen sämtliche Exploit-Prüfungen für die Anwendung; Malware- und Ransomware-Prüfungen bleiben bestehen. Dieser breite Schritt ist die letzte Option.

Bei Exploit- oder Ransomware-Ausnahmen gelten andere Variablen als bei Windows-Scan-Ausnahmen. Beispielsweise steht $ für alle verfügbaren Laufwerke, $temp unter anderem für C:\Windows\Temp, $appdata für AppData-Bereiche, $profile für Benutzerprofile und $windows für C:\Windows. Diese Variablen werden nicht mit %TEMP% oder anderen Scan-Variablen verwechselt und nie ohne Prüfung ihres expandierten Scopes übernommen. Am Anfang eines Pfads wird nur ** als Wildcard unterstützt.

IPS und Device Isolation

Eine Malicious Network Traffic Prevention (IPS) (Windows)-Ausnahme grenzt Direction, Remote address, Remote port und Local port ein; mindestens eine Adress- oder Portoption muss gesetzt sein. Remote bezeichnet dabei den anderen Computer, Local den geschützten Endpoint. Für eingehendes RDP zum isoliert betrachteten Adminfall ist deshalb Local Port 3389 relevant; zusätzlich wird die exakte Remote Address des freigegebenen Administrationsgeräts gesetzt, wenn nur dieses Gerät kommunizieren soll.

Eine Device isolation-Ausnahme erlaubt trotz Isolation begrenzte Kommunikation. Bei Inbound Connection macht ein Local Port wie 3389 für RDP oder 22 für SSH diesen Dienst auf dem isolierten Gerät erreichbar. Bei Outbound Connection begrenzt die Remote Address den Zielserver, etwa einen Server für Cleanup-Tools. Eine allgemeine Internetfreigabe würde den Zweck der Isolation unterlaufen.

False Positives möglichst eng freigeben

Legitimate Anwendung erlauben

Eine nachweislich sichere, als Threat erkannte Anwendung wird nicht über eine breite Dateipfadausnahme freigegeben. Unter My Environment > Computers & Servers > Gerät > Events > Erkennung > Details > Allow this application stehen je nach Plattform folgende Identitäten zur Verfügung:

• Certificate ist die Sophos-Empfehlung, erlaubt aber auch andere Anwendungen mit demselben Zertifikat. Herausgeber und Zertifikat müssen daher stimmen.
• SHA-256 erlaubt genau diese Dateiversion. Nach einem Update kann eine neue Erkennung auftreten.
• Path (Windows/Linux) erlaubt die Anwendung am angegebenen Ort. Für Linux sind Forward Slashes erforderlich; nicht UTF-8-codierte Linux-Pfade lassen sich darüber nicht wiederherstellen und benötigen SHA-256.

Allow gilt für alle Computer und Benutzer, verhindert dieselbe Threat Detection und kann bereinigte Kopien wiederherstellen. Beim Ausführen prüft Sophos die Anwendung weiterhin auf Exploits, Ransomware und bösartiges Verhalten. Verwaltet und wieder entfernt werden diese Einträge unter Allowed Applications.

Erkannte Exploits und Ransomware

Bei einem bestätigten Exploit-False-Positive bietet Don’t detect this again zwei sehr unterschiedliche globale Aktionen:

1. Exclude this Detection ID from checking unterdrückt dieses Verhalten für die Anwendung. Abweichende Pfade, Dateien oder Verhaltensweisen können eine andere Detection ID erzeugen.
2. Exclude this application from checking schaltet alle Exploit-Prüfungen für die Anwendung aus und ist der risikoreichste letzte Schritt.

Detection-ID-Ausnahmen landen in Global Exclusions, Anwendungsausnahmen in Exploit Mitigation Exclusions. Für eine begrenzte Zielgruppe wird stattdessen die passende Endpoint- oder Server-Threat-Protection-Policy geöffnet und unter Settings > Exclusions > Add Exclusion > Detected Exploits (Windows/Mac) die Erkennung ausgewählt. Andere Exploit-Prüfungen der Anwendung bleiben dabei aktiv.

Bei einem bestätigten Ransomware-False-Positive bietet das Event nur Exclude this Detection ID from checking. Die Aktion erstellt ebenfalls eine globale Ausnahme für alle Benutzer und Computer. Hash, Signatur, Prozesskette, betroffene Dateien und Reproduzierbarkeit müssen deshalb vor dem Klick geprüft sein.

Test, Validierung und Rückbau

1. Vor der Änderung Event, Erkennungszeitpunkt und wirksame Policy am Gerät sichern.
2. Die Ausnahme in einer kleinen, höher priorisierten Pilot-Policy anlegen. Muss sie global sein, zunächst nur in einem kontrollierten Wartungsfenster testen.
3. Warten, bis das Pilotgerät wieder mit Central kommuniziert, und unter My Environment > Computers & Servers > Gerät > Policies den angewendeten Policy-Namen kontrollieren.
4. Den ursprünglichen Fehler reproduzieren und gleichzeitig Events, Alerts und Health State beobachten. Erfolg bedeutet: Die belegte Störung verschwindet, ohne dass ein anderer Scope als geplant freigegeben wurde.
5. Einen Negativtest ausserhalb des Ausnahme-Scope durchführen, etwa mit einer nicht ausgenommenen Datei oder einem nicht zugewiesenen Testgerät. Der Schutz muss dort unverändert reagieren.
6. Erst danach die Zielgruppe erweitern. Verantwortliche Person, Grund, kompensierende Kontrolle und Ablaufdatum dokumentieren.
7. Nach einem Hersteller- oder Sophos-Fix die Ausnahme entfernen, den ursprünglichen Test wiederholen und auf neue Events prüfen.

Verschwindet lediglich das Event, beweist das nur, dass die Prüfung umgangen wurde. Bleibt die Anwendung gestört, war wahrscheinlich ein anderes Modul wie Exploit Mitigation, Web Control, Peripheral Control oder DLP beteiligt. Dann wird die Ausnahme nicht verbreitert, sondern der neue Event-Typ untersucht.

Scheint nur eine breite Ausnahme zu funktionieren, bleiben wirksame Policy oder Syntax unklar oder kehrt ein bestätigtes False Positive zurück, wird die Pilotänderung zurückgebaut und mit Event, Detection ID, Zeitstempeln, Prozesskette und relevanten Diagnoselogs an den Softwarehersteller oder Sophos Support eskaliert. Solange die Ursache nicht belegt ist, wird die Ausnahme nicht erweitert.

Bestehende Ausnahmen betreiben

Mindestens quartalsweise werden Global Exclusions, Allowed Applications und die Ausnahmen der tatsächlich angewendeten Policies geprüft. Entfernt werden Einträge ohne Besitzer, abgelaufene Workarounds, nicht mehr installierte Anwendungen, Duplikate und zu breite Wildcards oder Variablen.

Der Account Health Check zeigt erkannte Probleme mit Global- und Policy-Ausnahmen. Ein Score von 100 bedeutet nur, dass dieser Check kein Problem gefunden hat; er ersetzt weder die fachliche Begründung noch Ablauf- und Negativtest.

Häufige Fragen

Quellen

Alle Sophos-Quellen wurden am 11. September 2026 abgerufen:

• Global Exclusions
• Using exclusions safely
• Recommended vendor exclusions for third-party applications (KBA-000001664)
• Windows scanning exclusions
• macOS scanning exclusions
• Linux scanning exclusions
• Process exclusions (Windows)
• Website exclusions
• Device isolation exclusions
• Exploit Mitigation and Activity Monitoring exclusions
• Detected exploits exclusions
• Ransomware Protection exclusions
• Exploit mitigation or ransomware wildcards and variables
• Malicious Network Traffic Prevention (IPS) exclusions
• Threat Protection Policy
• Allowed applications
• Stop detecting an application
• Stop detecting an exploit
• Stop detecting ransomware
• Account Health Check