Sophos Endpoint trotz Manipulationsschutz deinstallieren

Wurde ein Windows-Gerät aus Sophos Central gelöscht, bevor der Endpoint Agent lokal entfernt war, braucht es keinen pauschalen Registry-Hack. Für aktuelle Sophos-Core-Agent-Versionen gibt es unterstützte Abläufe für gelöschte Geräte und Geräte mit abgelaufener Lizenz.

Der richtige Weg hängt davon ab, ob das Gerät nur gelöscht wurde, ob die Lizenz abgelaufen ist und ob es wieder verwaltet oder endgültig deinstalliert werden soll.

⚠️ Nicht mit alten Registry-Anleitungen beginnen: Sophos dokumentiert eine manuelle Wiederherstellung nur als letzten Ausweg, wenn alle normalen Methoden zum Ausschalten von Tamper Protection nicht möglich sind. Zuerst werden die Central- und lokalen Standardwege unten verwendet. Safe Mode, manuelles Löschen und fremde Registry-Skripte gehören nicht in diesen Ablauf.

Zuerst den Fall bestimmen

Die Zeiträume und das Verhalten können sich mit Agent-Versionen ändern. Vor Eingriffen werden Betriebssystem, Core-Agent-Version, Löschzeitpunkt und Tenant dokumentiert.

Voraussetzungen und Sicherheitsgrenzen

• lokaler Administratorzugriff und ein angekündigtes Wartungsfenster
• aktuelles Backup beziehungsweise ein getesteter Wiederherstellungsplan
• dokumentierte Windows-Version, Architektur, Core-Agent-Version und installierte Sophos-Komponenten
• Zugriff auf den richtigen Central-Tenant oder ein benannter Tenant-Administrator
• geklärter Zielzustand: endgültiger Rückbau oder erneuter Schutz im selben Tenant
• bei Servern deaktivierter Server Lockdown; bei ZTNA, Device Encryption oder MDR der jeweilige Central-Offboarding-Ablauf

Das Gerät bleibt bis zur erfolgreichen lokalen Abnahme in Central. So bleiben Tamper-Protection-Passwort, Health State, Alerts und Diagnoseinformationen verfügbar. Eine fehlgeschlagene Deinstallation wird nicht in einer Schleife wiederholt; zuerst werden Rückgabecode, Log und Gerätezustand gesichert.

Verhalten aktueller Windows-Geräte

Seit Core Agent 2023.2 gilt für Windows 10 und neuer sowie Windows Server 2016 und neuer grundsätzlich:

• Nach dem Löschen in Central wird Tamper Protection lokal deaktiviert.
• Aktive Schutzkomponenten werden entfernt oder deaktiviert.
• Der Core Agent bleibt zurück, damit eine unterstützte Deinstallation oder erneute Registrierung möglich ist.
• Eine manuelle Passwortwiederherstellung ist normalerweise nicht nötig.

Das Gerät kann einige Zeit benötigen, um die Löschung beziehungsweise den geänderten Lizenzstatus zu verarbeiten. Ein Offline-Gerät erhält diese Information erst nach erfolgreichem Kontakt.

Auf Geräten mit Update Cache oder Message Relay werden auch diese Rollen entfernt. Nach einer Wiederherstellung müssen sie bei Bedarf neu installiert und geprüft werden.

Manipulationsschutz kontrolliert aufheben

1. Das Gerät eindeutig über Computername, Betriebssystem und letzte Aktivität identifizieren.
2. Ist es noch aktiv in Central, in den Gerätedetails zu Tamper Protection scrollen und den Schutz ausschalten oder View password details wählen.
3. Ist Central erreichbar, aber eine kurze lokale Wartung geeigneter, in Sophos Endpoint Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours verwenden.
4. Ist das Gerät bereits gelöscht, innerhalb der Aufbewahrungsfrist den Wiederherstellungs- oder Passwortablauf weiter unten verwenden.
5. Lokal bestätigen, dass Tamper Protection ausgeschaltet ist; erst danach den Uninstaller oder --registeronly starten.

Der vollständige Standardablauf steht unter Sophos Central Tamper Protection sicher deaktivieren. Ist keiner dieser Wege verfügbar, endet der lokale Eingriff am Support-Handoff; Boot-, Treiber- und Registry-Änderungen werden nicht eigenständig abgeleitet.

Option 1: Gelöschtes Gerät wiederherstellen

Sophos Central hält gelöschte Geräte derzeit 30 Tage für eine Wiederherstellung vor.

1. In Sophos Central Reports > Reports > Endpoint Protection beziehungsweise Server Protection öffnen.
2. Restore deleted devices and recover Tamper Protection passwords wählen.
3. Computername, Betriebssystem und Löschzeitpunkt eindeutig prüfen.
4. Das richtige Gerät markieren und Restore wählen.
5. Warten, bis es Central erneut kontaktiert.
6. Agent Mode, Richtlinien, Health State und letzte Aktivität kontrollieren.

Eine Wiederherstellung ist sinnvoll, wenn der Computer weiter geschützt und verwaltet werden soll. Für ein endgültiges Offboarding ist sie nur nötig, wenn Passwort oder Verwaltungszustand anders nicht sauber hergestellt werden können.

Option 2: Agent endgültig deinstallieren

Wenn Tamper Protection bereits deaktiviert ist, wird das offizielle Deinstallationsprogramm in einer als Administrator gestarteten Eingabeaufforderung ausgeführt:

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Auf einem Server muss Server Lockdown vorher in Central entsperrt werden. Nach Abschluss verlangt Sophos einen Neustart; danach werden installierte Apps, Sophos-Dienste und der registrierte Schutzanbieter geprüft. Der vollständige Ablauf steht unter Sophos Central Endpoint unter Windows deinstallieren.

Diese Programmdatei gilt für Windows 10 (x64) und neuer sowie Windows Server 2016 und neuer mit unterstütztem Core Agent. Legacy-Plattformen verwenden für die normale interaktive Deinstallation uninstallgui.exe beziehungsweise für die Kommandozeile uninstallcli.exe --quiet aus demselben Agent-Verzeichnis. Der Endpoint-Befehl ersetzt nicht den Central-Entfernungsablauf für geschützte Software wie ZTNA, Device Encryption oder MDR.

Für eine Batch-Verteilung wird der vollständige, quotierte Befehl oben unter Beibehaltung des öffnenden Anführungszeichens mit der Erweiterung .bat gespeichert und auf den vorgesehenen Geräten ausgeführt.

Option 3: Agent erneut beim Tenant registrieren

Soll das Gerät weiter verwaltet werden, kann ein aktueller Installer aus dem richtigen Sophos-Central-Tenant die Registrierung erneuern:

SophosSetup.exe --registeronly

Für --registeronly muss Tamper Protection deaktiviert sein. Nach einer Löschung oder einem Lizenzablauf übernimmt Core Agent 2023.2 oder neuer dies automatisch; in anderen Migrationsfällen wird der Schutz vor dem Befehl kontrolliert ausgeschaltet.

Der Installer ist tenantgebunden und wird unter My Environment > Installers neu bezogen. Danach werden in Central mindestens diese Punkte kontrolliert:

• richtiger Tenant und Computername
• Agent Mode und lizenzierte Produkte
• vorgesehene Computergruppe
• zugewiesene Richtlinien
• gesunder Status und aktuelle Komponenten
• keine offenen Registrierungs- oder Lizenzalerts

--registeronly ist kein Ersatz für eine beschädigte Installation. Wenn der Core Agent oder seine Kommunikationskomponenten defekt sind, werden zuerst Logs und Zustand gesichert.

Passwort eines gelöschten Geräts abrufen

Sophos Central bewahrt gelöschte Geräte und deren Tamper-Protection-Passwörter derzeit 120 Tage in diesem Report auf. Wiederherstellen lässt sich das Geräteobjekt jedoch nur während der ersten 30 Tage. Das Passwort ist vor allem für ältere Plattformen oder Agent-Versionen relevant, die noch danach fragen.

Wird der Auditnachweis länger als 120 Tage benötigt, muss der Report vor Ablauf dieser Frist exportiert und die exportierten Passwortdaten angemessen geschützt werden.

1. Reports > Reports > Endpoint Protection beziehungsweise Server Protection öffnen.
2. Restore deleted devices and recover Tamper Protection passwords wählen.
3. Das Gerät anhand mehrerer Merkmale eindeutig identifizieren.
4. In der Spalte Tamper Protection password auf Password details klicken. Central führt das aktuelle, also zuletzt verwendete Passwort zuerst auf, gefolgt von früheren Passwörtern.
5. Das aktuelle Passwort nur für das Wartungsfenster verwenden und temporäre Kopien danach entfernen.

Das Passwort eines anderen Geräts funktioniert nicht. Ist der Datensatz älter als die Aufbewahrungszeit, wird nicht mit Registry-Manipulationen experimentiert, sondern der aktuelle Sophos-Supportweg verwendet.

Abgelaufene Lizenz

Nach Aktivierung einer neuen Lizenz können aktuelle Windows-Geräte wiederhergestellt werden, wenn seit dem Lizenzablauf höchstens 90 Tage vergangen sind. Nach 90 Tagen wird ein aktueller tenantgebundener Installer mit --registeronly ausgeführt, um den Agent neu zu installieren und zu registrieren. Vorher müssen Tenant und gültige Lizenz geklärt sein.

Wird das Gerät endgültig ausser Betrieb genommen, folgt die lokale Deinstallation. Wird es weiter genutzt, muss nach der Registrierung überprüft werden, ob alle erwarteten Schutzprodukte und Richtlinien tatsächlich wieder aktiv sind.

Troubleshooting

Gerät ist in Central wiederhergestellt, bleibt aber offline

Netzwerk, Proxy, DNS, Systemzeit und Sophos-Managementdienste werden geprüft. Zusätzlich muss sichergestellt sein, dass der Installer beziehungsweise Datensatz zum richtigen Tenant gehört.

Tamper Protection bleibt aktiv

Zuerst wird gewartet, bis der Agent seinen gelöschten oder wiederhergestellten Zustand synchronisiert. Danach werden die oben beschriebenen Central-, Passwort-, Vier-Stunden-Override- und Wiederherstellungswege genau einmal geprüft. Bleibt der Schutz aktiv, wird weder der Uninstaller erzwungen noch SophosZap gestartet.

SophosUninstall.exe fehlt oder bricht ab

Das deutet auf eine beschädigte oder unvollständige Installation hin. Installations- und Deinstallationslogs sowie Rückgabecode werden gesichert. Bei einem bereits ausstehenden Neustart wird dieser zuerst ausgeführt und der Zustand danach erneut geprüft. Einzelne MSI-Pakete, Services oder Registry-Schlüssel werden nicht auf Verdacht entfernt, weil dadurch eine spätere Reparatur erschwert werden kann.

SophosZap nur nach fehlgeschlagener Standard-Deinstallation

SophosZap ist ein Windows-Bereinigungstool als letzter Ausweg, wenn Tamper Protection nachweislich ausgeschaltet ist und die Standard-Deinstallation trotzdem fehlgeschlagen oder unvollständig geblieben ist. Seine heuristische Erkennung birgt Zusatzrisiken und kann Tamper Protection nicht selbst ausschalten. Es ist kein Weg um ein unbekanntes Passwort, Server Lockdown oder einen geschützten Central-Offboarding-Ablauf herum.

Unterstützt werden problematische Installationen von HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, Enterprise-Console-verwalteten Endpoints, Sophos Home, Sophos Anti-Virus, Sophos Clean und anderen eigenständigen Sophos-Produkten. Bei Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin oder Sophos Update Manager stoppt das Tool; das inkompatible Produkt wird zuerst regulär deinstalliert.

Download und Signatur prüfen

Vor dem Einsatz werden Windows 7 oder neuer, Administratorzugriff, ausgeschaltete Tamper Protection und aktuelle Backups bestätigt. ARM64 benötigt SophosZap 1.2.3.0 oder neuer. Eine aktuelle SophosZap-Kopie wird direkt vor dem Wartungsfenster heruntergeladen. Unter Properties > Details wird die File version geprüft; unter Properties > Digital Signatures muss eine gültige Sophos-Signatur vorhanden sein. Alternativ prüft PowerShell den lokalen Download:

$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
    throw 'SophosZap signature validation failed'
}

PowerShell prüft hier absichtlich nur fail-closed, ob der Authenticode-Status Valid ist und ein Zertifikat vorhanden ist; die angezeigte vollständige Subject-Zeichenfolge wird nicht per Teilstring freigegeben. Ein Administrator muss sie exakt mit der erwarteten Publisher-Identität vergleichen, die getrennt über eine aktuelle offizielle Sophos-Dokumentation oder Sophos Support verifiziert wurde. Ohne exakte Übereinstimmung, bei fehlender oder ungültiger Signatur oder einer für ARM64 zu alten Version wird die Datei nicht ausgeführt, sondern gelöscht und erneut über den Downloadlink bezogen. Ein lokal berechneter Hash darf für die Einsatzdokumentation gespeichert werden, ersetzt ohne einen unabhängig veröffentlichten Sollwert aber keine Signaturprüfung.

Anwenden und Ausgabe behandeln

Das geprüfte Tool wird aus seinem lokalen Verzeichnis in einer erhöhten Eingabeaufforderung gestartet:

SophosZap --confirm

Die Tool-Ausgabe wird exakt befolgt. Bei Reboot and re-execute wird neu gestartet, derselbe Befehl genau einmal erneut als Administrator ausgeführt und danach nochmals neu gestartet. Zusätzliche Neustarts können verlangt werden. Das fortschreibbare Log liegt unter %TEMP%. Ein nicht abgeschlossener Update wird als INFO : Reboot will be required. An update remains in progress. gemeldet; hier wird der verlangte Neustart abgeschlossen, statt die Bereinigung parallel zu erzwingen. SophosZap ist nur für Windows verfügbar. Unter manchen Windows-8.1-Systemen muss Windows Defender danach manuell gestartet werden.

Ergebnis validieren und an Support übergeben

Nach dem abschliessenden Neustart werden installierte Apps, laufende Sophos-Dienste, Sophos-Oberfläche und der in Windows Security registrierte Schutzanbieter geprüft. Ein verbliebener Ordner allein gilt nicht als Fehler. Beim endgültigen Rückbau muss das vorgesehene Nachfolgeprodukt aktiv sein; soll das Gerät geschützt bleiben, wird Sophos neu installiert beziehungsweise erneut registriert und in Central auf richtigen Tenant, Agent Mode, Produkte, Richtlinien und gesunden Status geprüft. Erst nach erfolgreicher lokaler Abnahme wird ein nicht mehr benötigtes Geräteobjekt in Central gelöscht.

Bleibt Tamper Protection aktiv oder ist keine unterstützte Aufhebung möglich, wird direkt ein Sophos-Supportfall eröffnet. Gleiches gilt, wenn die Standard-Deinstallation und der genau einmal wiederholte SophosZap-Lauf unvollständig bleiben. Die manuelle Last-Resort-Recovery von Sophos hat drei getrennte, nicht austauschbare Zweige: aktuelles Desktop-/Server-Windows, Server Core 2012 oder neuer sowie Windows 7 oder Windows Server 2008 R2. Da sie Windows Recovery und den Endpoint-Defense-Treiber betreffen kann, werden die plattform- und versionsabhängigen Boot-, Treiber- und Registry-Eingriffe hier bewusst nicht reproduziert und nur nach aktueller Sophos-Anweisung ausgeführt.

An den Support gehen Tenant und Gerätekennung, Windows-Version und Architektur, Core-Agent- und SophosZap-Version, installierte Sophos-Komponenten, Tamper-Protection- und Server-Lockdown-Status, Zielzustand, exakte Befehle mit Zeitpunkten und Rückgabecodes sowie SophosZap log.txt, relevante Dateien mit Sophos aus %TEMP% und C:\Windows\Temp, Deinstallationslogs und eine frische SDU. Vertrauliche Archive werden nur über den vorgesehenen Upload des Supportfalls übermittelt.

Nach –registeronly fehlen Produkte

Die erneute Registrierung stellt nicht automatisch jede gewünschte Produktkomponente her. Unter My Environment > Computers & Servers werden Agent Mode und Manage device software geprüft. Anschliessend muss das Gerät die vollständige Konfiguration und Updates erhalten.

Häufige Fragen