Sophos Endpoint Agent Mode und Software verwalten
Sophos Fusion (ehemals Sophos Central) verwaltet den Produktumfang eines bereits registrierten Computers über Manage device software. Entscheidend ist zuerst der Agent Mode. Er legt fest, ob Sophos selbst schützt oder nur Detection-and-Response-Daten neben einem Drittanbieterprodukt liefert.
Der frühere Dialog mit einzelnen Spalten für «Endpoint Protection» und «Intercept X» entspricht nicht mehr dem aktuellen Modell. Heute werden Agent Mode und weitere lizenzierte Produkte direkt in der gemeinsamen Geräteansicht gesteuert. Der Schnellweg lautet: My Environment > Computers & Servers, Zielgeräte auswählen, Manage software öffnen, Sollzustand wählen und mit Save bestätigen.
Agent Modes
| Agent Mode | Sophos-Schutz | Detection und Response | Drittanbieter-Antivirus nötig |
|---|---|---|---|
| Endpoint | ja | nein | nein |
| XDR | ja | ja | nein |
| XDR Sensor | nein | ja | ja |
⚠️ XDR Sensor schützt nicht vor Malware. Er darf nur verwendet werden, wenn ein separates und funktionsfähiges Schutzprodukt vorhanden ist. Ein Wechsel von XDR Sensor auf Endpoint oder XDR kann vorhandenen Drittanbieter-Schutz entfernen.
Welche Modi angeboten werden, hängt von Lizenz, Betriebssystem und Gerätetyp ab. Sophos nennt für Detection-and-Response-Funktionen eine XDR- oder MDR-Lizenz; der separate XDR-Sensor-Installer setzt laut aktueller Hilfe eine Lizenz voraus, die XDR einschliesst.
Offener MDR-Konflikt: Die MDR-Installationshilfe nennt für XDR Sensor noch MDR Essentials, die Service-Übersicht dagegen MDR und MDR Plus. Das bestätigt keine Sensor-Berechtigung jeder aktuellen Stufe. Die MDR-Windows-Anleitung verwendet zudem mdr, die Windows-CLI-Produktliste führt diesen Wert aber nicht auf. Er wird weder als ungültig erklärt noch durch xdr oder xdrsensor ersetzt.
Vor einer MDR-Sensor-Zuweisung Vertragsstufe/SKU, aktive Tenant-Lizenz, Plattform und Installationsweg mit Sophos oder dem zuständigen Partner bestätigen; bei Unklarheit die Änderung stoppen. Für den Windows-Produktwert ist eine schriftliche Bestätigung zur Installer-Version und zum Softwareumfang erforderlich. Eine sichtbare Option allein bestätigt keine Berechtigung. Nach einem freigegebenen Pilotwechsel Agent mode, Agent mode status (Installed), lokale Komponenten und weiterhin funktionierenden Drittanbieter-Schutz prüfen; diese Kontrollen ersetzen keine MDR-Service-Abnahme. Die Bereitstellungsorientierung erläutert den Vorabklärungspunkt.
Endpoint enthält Sophos-Schutz. XDR kombiniert diesen Schutz mit Detection and Response. XDR Sensor liefert nur Detection and Response und ersetzt weder Anti-Malware-Schutz noch das Drittanbieterprodukt. Pauschale gegenseitige Ausnahmen werden nur bei einem konkret bestätigten Kompatibilitätsproblem eingerichtet.
Status des Softwareumfangs prüfen
Unter My Environment > Computers & Servers zeigen die Spalten und Filter Agent mode sowie Agent mode status den aktuellen Zustand.
Besonders relevant sind:
Product unassigned: lizenzierte Software ist dem Gerät noch nicht zugewiesen.Upgrade available: zusätzliche lizenzierte Funktionen können installiert werden.Installed: der vorgesehene Agent Mode ist installiert.Not Supported: Produkt oder Modus wird auf diesem Gerät nicht unterstützt.
Der Account Health Check meldet Geräte, die nicht den verfügbaren Lizenzen entsprechen. Ein automatischer Fix kann sämtliche lizenzierte Software auf viele Geräte verteilen und wird deshalb zuerst gegen das gewünschte Betriebsmodell geprüft. Sophos protokolliert diese Änderungen im Audit Log.
Software auf einem Gerät ändern
- My Environment > Computers & Servers öffnen.
- Ein oder mehrere gleichartige Geräte auswählen.
- Manage software wählen.
- Unter Agent mode den vorgesehenen Modus festlegen.
- Weitere angezeigte Produktzeilen wie Encryption, ZTNA oder DNS & ZTNA nur bei geklärter Lizenz, Plattform und bestehender Nutzung ändern.
- Änderung mit Save bestätigen.
- Warten, bis die Geräte online sind und aktualisieren.
Sophos nennt für die Installation beim nächsten Online- und Updatezyklus üblicherweise ungefähr eine Stunde. Das ist keine garantierte Frist. Offline-Geräte übernehmen die Änderung erst beim nächsten Kontakt.
Vor einem Wechsel prüfen
Ein Produktwechsel ist eine Softwareänderung und braucht dieselbe Sorgfalt wie ein Rollout:
- Zielmodus und Lizenz sind dokumentiert.
- Pilotgruppe enthält repräsentative Geräte.
- vorhandener Drittanbieter-Schutz ist berücksichtigt.
- Wartungsfenster und möglicher Neustart sind eingeplant.
- Festplattenverschlüsselung und Recovery Keys sind geprüft.
- Proxy, Update Cache und Downloadpfad funktionieren.
- Fachanwendungen werden nach dem Wechsel getestet.
Besonders ein Wechsel von XDR Sensor zu Endpoint oder XDR kann Konkurrenzschutz entfernen. Ohne Pilot kann daraus kurzfristig ein doppelter oder fehlender Schutz entstehen.
Zusatzkomponenten und gemeinsame Produktzeilen
Zusatzprodukte erscheinen nur, wenn Lizenz und Plattform passen. Für ausgewählte Computer lassen sich angezeigte Komponenten wie Encryption und ZTNA auf Install oder Uninstall setzen; nicht unterstützte Kombinationen zeigt Sophos Fusion als Not Supported an. Für ausgewählte Server bietet Manage software nur Agent mode an.
Bei Device Encryption werden vor der Verteilung mindestens TPM beziehungsweise FileVault-Voraussetzungen, Benutzerzuordnung, Recovery-Key-Prozess und bestehende BitLocker- oder FileVault-Konfiguration geklärt. Die sichtbare Plus-Schaltfläche ist noch keine Rollout-Planung.
Besondere Vorsicht gilt für DNS & ZTNA. Diese gemeinsame Bezeichnung bedeutet nicht, dass man die DNS-Komponente separat entfernen oder reparieren kann. Die offiziell dokumentierte DNS-Integration unterstützt nur Windows-Endpoints, setzt einen bereits installierten Endpoint Agent und das Paket Windows > Recommended voraus. Installation, Policy und Funktionsprüfung beschreibt Sophos DNS Protection für Endpoints konfigurieren.
Soll nur DNS Protection beendet werden, wird zuerst die DNS-Endpoint-Policy deaktiviert oder ihre Gerätezuweisung entfernt und die normale Namensauflösung geprüft. Eine Änderung an DNS & ZTNA darf erst folgen, wenn ausgeschlossen ist, dass das Gerät ZTNA benötigt. Sophos dokumentiert öffentlich keinen DNS-only-Uninstall, keine DNS-only-Reparatur und keine lokale DNS-Komponentenversion; ein solcher Ablauf darf aus der gemeinsamen Zeile nicht abgeleitet werden.
Software entfernen
Manage device software kann angezeigte Produktkomponenten entfernen oder den Agent Mode ändern. Eine Komponentenaktion entfernt nicht automatisch den gesamten lokalen Sophos-Agenten. Für den Agent Mode lautet die Auswahl Uninstall (Remove any current protection). Der Sophos Core Agent bleibt dabei installiert, damit Sophos Fusion das Gerät weiterhin verwalten und später wieder Software zuweisen kann. Prüfen Sie vor einer Änderung des Agent Mode im Sophos Endpoint Update- und Change-Prozess, welche Änderungen am Agenten zu berücksichtigen sind.
Das ist nicht dasselbe wie eine vollständige Deinstallation. Für das endgültige Offboarding unter Windows folgt man Sophos Endpoint unter Windows deinstallieren; andere Betriebssysteme benötigen ihr plattformspezifisches Deinstallationsverfahren.
Änderung abnehmen
Nach der Zuweisung werden Sophos Fusion und das Gerät geprüft:
- Agent mode status zeigt
Installed. - Jede geänderte Produktzeile zeigt die vorgesehene Zuweisung und keinen offenen Installationszustand.
- Auf der Registerkarte Policies greifen die erwarteten Richtlinien.
- Lokal zeigt About die erwarteten Komponenten und Versionen.
- Health State und letzte Aktivität sind plausibel.
- Drittanbieter-Schutz ist je nach Zielmodus korrekt vorhanden oder entfernt.
- Es bestehen keine offenen Installations-, Update- oder Neustart-Alerts.
Ein grüner Health State allein bestätigt nicht den richtigen Agent Mode.
Typische Probleme
Änderung bleibt auf «pending»
Letzte Aktivität, Netzwerk, Proxy, Update Cache, freier Speicher und ausstehender Neustart werden geprüft. Ein Offline-Gerät kann die Softwarezuweisung nicht umsetzen.
XDR-Funktionen fehlen
Lizenz, Agent Mode und Plattform werden gemeinsam kontrolliert. Endpoint enthält Schutz, aber keine vollständigen XDR-Funktionen. Für XDR muss der Modus entsprechend zugewiesen und installiert sein.
Drittanbieter-Antivirus wurde entfernt
Das ist beim Wechsel auf Sophos-Schutz möglich. Nur XDR Sensor ist für Detection neben einem separaten Schutzprodukt vorgesehen. Der Zielmodus muss vor der Massenänderung eindeutig sein.
Manage software entfernt nicht alles
Das ist erwartbar. Sophos Fusion entfernt bei Uninstall die Schutzkomponenten, lässt den Core Agent aber für Kommunikation und Policy-Verwaltung installiert. Eine vollständige Entfernung erfolgt über den verlinkten Deinstallationsablauf.
DNS und ZTNA erscheinen in einer gemeinsamen Zeile
Die Zeile nicht versuchsweise auf Uninstall setzen. Zuerst prüfen, ob ZTNA genutzt wird. Für einen reinen DNS-Rückweg die DNS-Endpoint-Policy zurücknehmen und funktional validieren; für eine weitergehende Komponentenbereinigung den für den Tenant bestätigten Sophos-Prozess verwenden.