Sophos Endpoint Scans planen und troubleshooten
Real-time Scanning prüft Dateien beim Lesen, Schreiben oder Umbenennen. Ein geplanter oder manuell gestarteter Scan untersucht dagegen einen definierten Bestand. Diese beiden Kontrollen ersetzen einander nicht: Ein ruhendes Schadprogramm auf einem Datenträger wird möglicherweise nie geöffnet, und eine Datei kann zu einem früheren Zeitpunkt gespeichert worden sein, als die passende Erkennung noch nicht verfügbar war.
Ein Scan wird trotzdem nicht reflexartig täglich über alle Laufwerke gestartet. Scope, Zeitpunkt und Tiefe müssen zum Gerät passen, sonst erzeugt die zusätzliche Kontrolle viel I/O, lange Laufzeiten und unnötige Störungen.
Scanarten richtig wählen
Ein Quick Scan konzentriert sich auf häufig missbrauchte und aktive Bereiche wie laufende Prozesse, Autostarts, Arbeitsspeicher und Bootinformationen. Er eignet sich für eine schnelle erste Prüfung, ist aber keine vollständige Datenträgerinventur.
Ein Full Scan beziehungsweise ein Scan des gesamten Computers untersucht wesentlich mehr Dateien. Ein gezielter Datei-, Ordner- oder Laufwerkscan ist sinnvoll, wenn der Verdacht bereits räumlich eingegrenzt ist. On-demand Scans verwenden dieselbe Scan-Engine wie der Echtzeitschutz, unterscheiden sich aber durch den gewählten Scope.
Für automatisierte oder genau abgegrenzte Windows-Prüfungen steht zusätzlich die Sophos-Endpoint-Scan-CLI mit Exitcodes und JSON-Ausgabe zur Verfügung.
Geplante Scans als Policy betreiben
Scheduled Scanning wird in der wirksamen Threat Protection Policy konfiguriert. Die Policy erhält eine klar definierte Computergruppe, einen lokalen Startzeitpunkt und ein Wartungsfenster. Ein Gerät, das zum geplanten Zeitpunkt ausgeschaltet ist, holt den Scan nicht automatisch später nach.
Bei aktivem Real-time Scanning ist ein geplanter Scan nicht grundsätzlich erforderlich. Er wird gezielt für ältere, selten geöffnete Dateien oder eine Untersuchung eingesetzt. Background Scanning steht nur auf Windows-Computern zur Verfügung; diese Plattformgrenze gehört in die Entscheidung, ob ein zusätzlicher Zeitplan sinnvoll ist.
Für mobile Geräte werden deshalb mehrere realistische Online-Zeitfenster oder ein separates RMM-Runbook geprüft. Scan all files, Archive Scanning und Deep Scanning erhöhen Abdeckung und Laufzeit deutlich. Sie werden nicht gleichzeitig für alle Geräte aktiviert, ohne vorher einen repräsentativen Pilot mit grossen Profilen, Entwicklerdateien und langsamen Datenträgern durchgeführt zu haben.
Laufzeit realistisch beurteilen
Die Dauer hängt insbesondere von belegtem Datenvolumen, Dateitypen, Archivanteil, Datenträgerdurchsatz und verfügbarer CPU ab. Sophos-Scanaufgaben laufen mit niedriger Priorität; ein ausgelastetes Gerät scannt deshalb langsamer. Ein 100-MB-Archiv kann nach dem Entpacken ein Mehrfaches an Daten erzeugen, während viele reine Textdateien standardmässig gar nicht denselben Prüfaufwand verursachen.
Major- und VDL-Updates können einen geplanten Scan durch einen Dienstneustart unterbrechen. Reine IDE-Threat-Updates tun dies nicht. Für einen langsamen oder abgebrochenen Scan werden daher Policy, Updatezeitpunkt, SophosScanCoordinator.log, Datenträger-I/O und Systemlast aus demselben Zeitraum verglichen.
Eine Option wird nur auf einer Pilotgruppe verändert, damit die Wirkung messbar bleibt. Archive Scanning oder Scan all files global auszuschalten, nur weil ein einzelner Entwicklerrechner langsam war, wäre keine belastbare Korrektur.
Wenn Quick Scan oder Scheduled Scan nicht startet
Zuerst wird zwischen Policy-, Coordinator- und File-Scanner-Fehler unterschieden:
- Wirksame Threat-Protection-Policy und letzten Central-Kontakt prüfen.
- Lokalen Health State und installierte Core-Agent-Version kontrollieren.
SophosScanCoordinator.logauf den ersten Fehler zum Startzeitpunkt prüfen.- Status des Sophos File Scanner und dessen Worker-Prozess verifizieren.
- Erst nach der Ursache über Update, Neustart, ACL-Korrektur oder Support entscheiden.
Ein historischer Fehler der FTS-2025.2.1-Linie liess Quick Scans mit The file cannot be accessed by the system (1920) abbrechen. Er wurde in FTS 2025.2.1 MR2 behoben. Auf einem weiterhin betroffenen Paket wird daher zuerst auf eine aktuelle unterstützte Maintenance-Version gewechselt. Auch ein älterer Core-Agent-2023.1-Fehler mit Google Drive File Stream oder RamDisk wurde durch eine damalige Maintenance Release behoben; alte Paket-Tokens gehören nicht in ein heutiges Runbook.
Sophos File Scanner läuft als Dienst, startet aber keinen Worker
Der Windows-Dienst kann als aktiv erscheinen, obwohl der eigentliche File-Scanner-Prozess nicht startet. Das Scanner-Log unterscheidet dabei aktuelle Core-Agent-Versionen von Legacy- und älteren modernen Versionen. Ein dokumentierter Auslöser sind fehlende Rechte für LOCAL SERVICE auf den von Sophos verwendeten Registry-Schlüsseln.
Registry-ACLs werden nicht pauschal auf Full Control gesetzt. Zuerst müssen Logsignatur, betroffene Schlüssel und bestehende Vererbung exakt mit dem aktuellen Sophos-KBA übereinstimmen. Vor einer Änderung werden Schlüssel und ACLs exportiert. Danach erhält LOCAL SERVICE nur am dokumentierten Schlüssel und seinen Untereinträgen die benötigte Berechtigung, das Gerät wird neu gestartet und der Agent aktualisiert.
Roter Health State wegen Cryptographic Services
Eine weitere Ursache ist eine gehärtete GPO für Windows Cryptographic Services. Entfernt sie das Recht Query status für NT AUTHORITY\SERVICE, kann Sophos File Scanner den Zustand von CryptSvc nicht abfragen und startet nicht.
Die Korrektur erfolgt an der verwalteten GPO-Quelle unter Computer Configuration > Policies > Windows Settings > Security Settings > System Services > Cryptographic Services. Dort erhält NT AUTHORITY\SERVICE gezielt Query status. Nach gpupdate beziehungsweise dem normalen Policy-Refresh wird der File Scanner erneut geprüft. Lokale ACL-Änderungen wären wirkungslos, solange die GPO sie wieder überschreibt.
Nach dem Scan
Ein erfolgreicher Scan ohne Detection ist ein gutes Signal, aber kein vollständiger Incident-Abschluss. Unzugängliche oder verschlüsselte Dateien, wirksame Ausnahmen und fehlende Live-Protection-Verbindung werden separat bewertet. Bei einer Detection folgt das Threat-Cleanup-Runbook, nicht die automatische Erstellung einer Ausnahme.