Sophos Central Endpoint-Lizenzen verstehen
Sophos Central Endpoint wird bei den meisten Kunden pro Benutzer lizenziert. Ein Benutzer kann mehrere Geräte besitzen, ohne für jedes Gerät eine separate Endpoint-Lizenz zu verbrauchen. Entscheidend ist die in Central erkannte Zuordnung von Login, Benutzer und geschütztem Gerät.
Die Anzeige ist eine technische Berechnung. Bei einer Abweichung hat die Definition im Sophos End User License Agreement Vorrang. Eine scheinbar zu niedrige Anzeige hebt die vertraglich korrekte Lizenzierung nicht auf.
Benutzer, Geräte und Lizenztypen
Ein Gerät ist gleichzeitig nur einem Benutzer zugeordnet. Meldet sich nach der Installation ein anderer Benutzer an, kann sich diese Zuordnung ändern. Ein Benutzer darf dagegen mehrere Geräte besitzen.
Jeder Lizenztyp wird separat berechnet. Ein Benutzer kann beispielsweise eine Endpoint- und eine XDR-Lizenz verbrauchen. Device Encryption zählt nur, wenn die Funktion entsprechend konfiguriert ist.
Lokale Konten mit unterschiedlichen Namen werden als unterschiedliche Benutzer erkannt. PC1\Jane und PC2\Jane können daher zwei Lizenzen ausweisen, obwohl dieselbe Person arbeitet. Die Logins lassen sich in Central einem gemeinsamen Benutzer zuordnen. Anschliessend kann ein leerer doppelter Benutzer bereinigt werden.
Workspace Protection ist nicht automatisch Endpoint Protection
Die eigenständige Lizenz Sophos Workspace Protection enthält Protected Browser, ZTNA, DNS Protection for endpoints und Email Monitoring System, aber keine Sophos-Endpoint-Lizenz. Vollständiger Endpoint-Schutz ist nur im kombinierten Bundle Sophos Endpoint Plus Workspace Protection oder über eine separat gekaufte Endpoint-Lizenz enthalten.
Für das Workspace-Bundle zählt Sophos den höchsten Verbrauch eines enthaltenen Produkts. Sind beispielsweise 80 Benutzer und 100 DNS-Protection-Geräte aktiv, ist ein 100er-Bundle erforderlich. Diese Berechnung ersetzt nicht die produktspezifische Endpoint-Lizenzlogik. Insbesondere berechtigt auch eine Firewall-Xstream-Protection-Subscription nicht zu DNS Protection for endpoints.
Was nicht zählt
Ein Gerät, das länger als 30 Tage offline ist, wird während der Inaktivität nicht mehr für den Verbrauch berücksichtigt. Bei einer späteren Verbindung zählt es automatisch wieder und aktualisiert Core Agent und Komponenten.
Ein kürzlich gelöschtes Gerät kann während seiner 30-tägigen Wiederherstellungsfrist weiterhin eine Lizenz verbrauchen. Das gilt, wenn der zugeordnete Benutzer kein weiteres Gerät besitzt und das gelöschte Gerät vor der Löschung nicht bereits mindestens 30 Tage offline war. Die Lizenz fällt erst nach Ende der Wiederherstellbarkeit weg. Das sofortige Löschen und Wiederanlegen von Objekten ist deshalb keine verlässliche Lizenzbereinigung.
Ist Real-time Scanning ausgeschaltet, zählt das Gerät nicht für die Endpoint-Protection-Nutzung. Das ist kein sinnvoller Weg zur Lizenzoptimierung, weil gleichzeitig der Echtzeitschutz fehlt und Account Health Check beziehungsweise Alerts auf das Risiko hinweisen.
RDS-Sitzungen werden über Server Protection abgedeckt. Eine zusätzliche Endpoint-Lizenz pro Sitzung ist nicht das vorgesehene Modell.
Anzeige prüfen
Die Lizenzseite wird über das Profilmenü und Licensing geöffnet. Welche Benutzer den Verbrauch erzeugen, zeigt der Benutzerbericht unter Reports > Users. Die Geräte- und Benutzer-Summary beziehungsweise Hero Reports liefern Betriebsübersichten, sind aber nicht immer ein exakter Lizenznachweis.
Für XDR und MDR wird zusätzlich unter Manage Endpoint Software geprüft, welchen Geräten die Funktion zugewiesen ist. So lassen sich Lizenzanzeige, Agent Mode und tatsächlich installierter Softwareumfang zusammen beurteilen.
Lizenz aktivieren und Änderungen einplanen
Eine neue Lizenz wird im Profilmenü unter Licensing mit dem Activation Code beziehungsweise License Key aktiviert, sofern dies nicht der Sophos Partner übernimmt. Für einen Trial ist noch keine Aktivierung nötig; der Schlüssel wird beim Wechsel auf eine bezahlte Lizenz verwendet.
Ein Produkt kann nicht erneut als Trial gestartet werden, wenn dafür bereits eine Vollizenz aktiv ist. Nach Ablauf eines Trials ist ein Neustart desselben Trials erst nach 30 Tagen wieder möglich; eine Verlängerung innerhalb dieses Zeitraums läuft über Sophos Partner oder Account Manager.
Eine Lizenzänderung kann Endpoint-Software sofort hinzufügen oder ändern und damit ein geplantes Updatefenster übergehen. Wird beispielsweise XDR oder Device Encryption neu zugewiesen, können die zugehörigen Komponenten unmittelbar installiert werden. Lizenzaktivierung und Softwarezuweisung gehören deshalb in denselben Change- und Pilotprozess.
Renewal und Ablaufwarnungen
Sophos zeigt ab 30 Tagen vor Ablauf bei jeder Anmeldung eine Warnung. Sie kann vorübergehend geschlossen werden, erscheint aber bis zur Erneuerung erneut. Nach Ablauf wird der Zugriff zunehmend eingeschränkt; bei einer letzten nicht schliessbaren Warnung ist nur noch die Licensing-Seite erreichbar und der Tenant kann bei dauerhaft fehlender Lizenz gefährdet sein.
Renewal wird deshalb vor dem Warnzeitraum mit Partner, Verantwortlichem und neuem Schlüssel geplant. Die erfolgreiche Bestellung allein genügt nicht, solange Central die neue Laufzeit nicht anzeigt.
Überschreitung
Sophos erzwingt eine in Central berechnete Überschreitung nicht sofort, weil die automatische Zuordnung ungenau sein kann. Verwaltung und Schutz bleiben zunächst verfügbar. Das ist keine dauerhafte Kulanzlizenz. Doppelbenutzer, alte Geräte und der vertragliche Bedarf werden zeitnah geklärt.
Was beim Ablauf passiert
Die Wirkung hängt vom Lizenzstatus ab:
| Status | Zentrale Folgen |
|---|---|
| Trial abgelaufen | Lizenzen entfernt, keine Updates oder neuen geschützten Geräte, stark eingeschränkte Oberfläche |
| Vollizenz abgelaufen | Lizenz sichtbar aber abgelaufen, keine Updates, keine neuen Geräte oder Policy-Änderungen, unlizenzierte Produkte werden entfernt |
| Vollizenz widerrufen oder beendet | Lizenzen entfernt, stark eingeschränkte Oberfläche, Tamper Protection bleibt aktiv |
Ein vorhandener Agent verschwindet bei Ablauf nicht einfach vollständig. Besonders kritisch ist, dass Geräte keine aktuellen Schutzupdates mehr erhalten. Vor dem Enddatum werden deshalb Renewal, Softwarepakete und Deinstallations- beziehungsweise Migrationsplan geklärt.
Auf aktuellen Windows-Geräten ab Core Agent 2023.2 entfernt der Agent nach Lizenzablauf die Schutzkomponenten und zeigt lokal an, dass das Gerät nicht mehr von der IT verwaltet wird. Wird innerhalb von 90 Tagen eine neue Lizenz aktiviert, kann das Gerät wieder übernommen werden. Nach diesem Zeitfenster ist eine erneute Registrierung beziehungsweise Installation erforderlich. --registeronly passt nur zu einer vorhandenen, technisch gesunden Agent-Basis und ist kein Ersatz für eine beschädigte Installation.
Bleibt Tamper Protection nach einer beendeten Lizenz aktiv, gelten die dokumentierten Wege für gelöschte oder abgelaufene Geräte. Auf aktuellen Windows-Versionen ist für die unterstützte Deinstallation nicht in jedem Fall ein wiederhergestelltes altes Kennwort nötig.
Monatliche Lizenzpflege
Ein sinnvoller Betriebscheck vergleicht Lizenzlimit, angezeigte Nutzung, Benutzer ohne einheitliche Identität, Geräte länger als 30 Tage offline und XDR-Zuweisungen. Ein plötzlicher Rückgang kann auf inaktive oder ungeschützte Geräte hinweisen und ist nicht automatisch eine Verbesserung.
Verwandte Artikel
Agent Mode und Softwarezuweisung erklärt Sophos Endpoint Agent Mode und Software verwalten. Für abgelaufene oder gelöschte Geräte dient Sophos Endpoint nach Löschung aus Central deinstallieren.