Sophos Fusion Endpoint installieren (macOS)

Sophos Fusion Endpoint schützt einen Mac erst vollständig, wenn nicht nur der Agent installiert ist, sondern auch die von macOS verlangten Erweiterungen und Datenschutzberechtigungen freigegeben sind. Diese Anleitung führt durch die manuelle Installation, erklärt die Auswahl des passenden Installers und zeigt, wie sich der Schutz anschliessend prüfen lässt.

Den vollständigen plattformübergreifenden Ablauf mit Planung, Voraussetzungen und Rollout-Reihenfolge finden Sie im Onboarding-Pfad für Sophos Endpoint.

Wichtig: Ein vollständiger Sophos Endpoint sollte nicht parallel zu einem anderen Virenschutz betrieben werden. Die Ausnahme ist der separate XDR Sensor: Er ist für den Betrieb neben einem vorhandenen Drittanbieter-Virenschutz vorgesehen, bietet selbst aber keinen Malware-Schutz.

Vor der Installation

Folgende Voraussetzungen sollten vor dem Download geklärt sein:

• eine macOS-Version, die gemäss den aktuellen Systemanforderungen und Lifecycle-Grenzen freigegeben ist
• ein Sophos-Fusion-Administratorkonto mit Zugriff auf die Installer
• lokale Administratorrechte auf dem Mac
• Internetzugriff gemäss den Netzwerk- und Proxy-Anforderungen für Sophos Endpoint
• kein parallel aktiver Virenschutz, sofern der vollständige Sophos Endpoint installiert werden soll

Bei einem Wechsel von einer anderen Endpoint-Lösung sollte deren Entfernung zuerst auf wenigen Macs getestet werden. So lässt sich prüfen, ob alte System- oder Network-Extensions zurückbleiben und den neuen Agent beeinträchtigen.

Prüfen Sie vor der Installation die aktuell freigegebenen macOS- und Agentversionen in der laufend gepflegten Sophos-Support-Matrix. Der verlinkte Lifecycle-Artikel erklärt, wie diese dynamischen Angaben einzuordnen sind; hier steht bewusst keine feste Matrix, weil sie sich unabhängig von der Installationsanleitung ändert.

macOS 27 Golden Gate – Stand 16. Oktober 2026: Sophos Endpoint für macOS 2026.2 unterstützt diese macOS-Version und ist im Kanal Recommended verfügbar; die Release Notes führen den Stand als 2026.2.0. Ein Early Access Program ist für diese Unterstützung nicht erforderlich. Die Versionsnummer von Sophos Home ist dafür nicht massgebend: Home ist ein anderes Produkt.

Apple erlaubt macOS 27 nur auf Macs mit Apple Silicon, nicht auf Intel-Macs. Die Sophos-Anforderungen nennen Apple Silicon M Series sowie Intel für die insgesamt aufgeführten macOS-Versionen; daraus folgt keine Intel-Freigabe für macOS 27. Apple nennt auch A-Series-Macs als macOS-27-kompatibel. Für einen solchen Mac muss die konkrete Sophos-Unterstützung vor der Bereitstellung geklärt werden, weil die Sophos-Matrix ausdrücklich M Series nennt.

Passenden macOS-Installer herunterladen

1. Unter fusion.sophos.com am Sophos Fusion Admin anmelden.
2. My Environment > Installers öffnen.
3. Unter Endpoint den passenden macOS-Installer auswählen.
4. SophosInstall.zip herunterladen.

Sophos Fusion (ehemals Sophos Central) bietet mehrere Varianten an:

• Download Complete macOS Installer: Installiert die Endpoint-Produkte, die durch die Lizenzen des Central-Accounts abgedeckt sind.
• Choose Components: Erstellt einen Installer nur mit den ausgewählten Komponenten. Das ist sinnvoll, wenn beispielsweise Device Encryption oder ZTNA nicht auf diesem Mac installiert werden soll.
• XDR Sensor Installers: Installiert nur den XDR Sensor für Erkennung und Untersuchung neben einem vorhandenen Drittanbieter-Virenschutz. Dafür wird eine XDR-fähige Lizenz benötigt; die aktuell unterstützte macOS-Version steht in den Systemanforderungen. Dieser Sensor ersetzt keinen Virenschutz.

Für einen normalen, vollständig durch Sophos geschützten Arbeitsplatz passt in der Regel der komplette Installer. Choose Components sollte verwendet werden, wenn die gewünschte Produktkombination bewusst vom Lizenzumfang abweicht.

Sophos Endpoint manuell installieren

Seit macOS Monterey 12.4 muss SophosInstall.zip vor dem Entpacken aus Downloads, Documents oder vom Desktop in das persönliche Home-Verzeichnis verschoben werden. Andernfalls kann der Installer seine Arbeitsdateien nicht korrekt anlegen und die Installation schlägt fehl.

Ein möglicher Zielordner ist:

~/SophosInstall

Danach:

1. ZIP-Datei im Zielordner entpacken.
2. Sophos Installer.app starten.
3. Administratoranmeldung bestätigen.
4. Installation vollständig abschliessen.
5. Die von macOS angeforderten Sophos-Erweiterungen und Berechtigungen freigeben.

Der Installer lädt weitere Komponenten aus Sophos Fusion. Ein erfolgreich gestarteter Assistent reicht deshalb noch nicht als Nachweis, dass der Mac vollständig geschützt ist.

Installer vor einer Ausnahme verifizieren

Bevor ein Quarantäneattribut entfernt oder ein Installer in die Softwareverteilung übernommen wird, wird seine Apple-Notarisierung und Signatur geprüft:

spctl -a -t exec -vv ~/SophosInstall/Sophos\ Installer.app
codesign -vvvd ~/SophosInstall/Sophos\ Installer.app

spctl muss den Installer als akzeptierten Notarized Developer ID melden. codesign muss bestätigen, dass das Bundle auf dem Datenträger gültig ist und seine Designated Requirement erfüllt. In der ausführlichen Ausgabe gehört die Signaturkette zu Developer ID Application: Sophos (2H5GFH3774), der Apple Developer ID Certification Authority und der Apple Root CA. Ein abweichendes oder abgelehntes Ergebnis wird nicht mit einem Gatekeeper-Bypass übergangen; stattdessen wird ein neuer Installer direkt aus dem eigenen Central-Tenant geladen.

Installation im Terminal

Für eine unbeaufsichtigte Installation von Sophos Anti-Virus und Intercept X kann der entpackte Installer im Terminal ausgeführt werden:

cd ~/SophosInstall
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --quiet

--products antivirus intercept bestimmt die installierten Schutzkomponenten. --quiet blendet den Installationsdialog aus, ersetzt aber nicht die erforderlichen macOS-Berechtigungen. Für einen Rollout sollten Produktnamen und Optionen zuerst mit einem aktuellen Installer auf einem Testgerät geprüft werden.

Soll der Mac direkt einer Central-Gerätegruppe zugeordnet werden, kann diese beim Installieren angegeben werden:

sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
  --products antivirus intercept \
  --devicegroup Firma\\Macs \
  --quiet

Im Beispiel ist Firma\Macs eine vorhandene Central-Untergruppe. Der doppelte Backslash sorgt dafür, dass die Shell den Gruppenpfad korrekt an den Installer übergibt.

Wenn macOS den Installer blockiert

Quarantäne, App Translocation und Folder Insecurity benötigen klare Sicherheitsgrenzen. Das macOS-Troubleshooting-Runbook führt durch die Diagnose und erklärt, wann ohne pauschale Berechtigungsänderung angehalten und eskaliert wird.

Meldet der Installer eine abweichende systemweite umask, setzen Sie nicht blind einen beliebigen Wert. Eine systemweit konfigurierte umask beeinflusst alle Dateien, die Systemkonten erstellen, und kann Sicherheit sowie Anwendungen beschädigen. Vergleichen Sie die verursachende LaunchDaemon-Konfiguration nach einem Backup mit der geltenden macOS-Baseline; nur ein Administrator, der die Auswirkung auf das gesamte Gerät geprüft hat, darf sie entfernen oder korrigieren.

macOS-Berechtigungen freigeben

Sophos benötigt je nach Produktumfang eine Security Extension, eine Network Extension, die Proxy- beziehungsweise Web-Content-Filter-Zulassung (Web Content Filter), Full Disk Access und Benachrichtigungen. Fehlt eine dieser Freigaben, kann der Agent installiert und in Central sichtbar sein, während einzelne Schutzfunktionen trotzdem nicht arbeiten oder Warnungen unbemerkt bleiben.

Sophos zeigt eine Benachrichtigung an, sobald eine Freigabe fehlt. Über Open System Settings führt sie direkt zur passenden macOS-Einstellung; die Meldung sollte erst geschlossen werden, wenn die Berechtigung erteilt und in Self Help geprüft ist.

Die genaue Darstellung unterscheidet sich nach macOS-Version. Sophos fasst den aktuellen Berechtigungsablauf unter «macOS 26 und neuer» zusammen; dies ist kein separat auf jedem macOS-27-Build geprüfter Menüpfad. Massgebend bleiben die Sophos-Benachrichtigung mit Open System Settings und die anschliessende Prüfung in Self Help:

• macOS 14 und älter: Die Sophos-Systemerweiterungen werden unter Privacy & Security erlaubt.
• macOS 15: System Settings > General > Login Items & Extensions öffnen. Unter Endpoint Security Extensions die Sophos Detection.app und unter Network Extensions die Sophos Network Extension.app aktivieren.
• macOS 26: Am gleichen Ort unter By App die Security Extension von Sophos Detection und die Network Extension von Sophos Network Extension aktivieren.

Nach dem Aktivieren der Network Extension fragt macOS, ob Sophos Network Extension als Netzwerk-Proxy zugelassen werden darf. Dieser Dialog muss mit Allow bestätigt werden, damit Scan- und Webschutz vollständig arbeiten.

Bestätigen Sie ebenso die Anfrage für den Web Content Filter und erlauben Sie Sophos-Benachrichtigungen. Der Filter gehört zum Webschutz; Benachrichtigungen sorgen dafür, dass Benutzer Schutz- und Berechtigungsmeldungen sehen. Bleibt eine Anfrage aus, verwenden Sie nicht eine pauschale macOS-Ausnahme, sondern prüfen den fehlenden Eintrag über Self Help.

Full Disk Access lässt sich am zuverlässigsten über Sophos Endpoint prüfen und freigeben:

Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites

Unter Prerequisites zeigt Sophos, welche Berechtigung fehlt, und führt zur passenden macOS-Einstellung. Die benötigten Einträge können sich mit Agent und Lizenzumfang ändern; deshalb ist diese Prüfung zuverlässiger als eine statische Liste.

Der Sophos Service Manager kontrolliert diese Berechtigungen automatisch etwa alle 30 Minuten. Nach einer manuellen Freigabe lässt sich die Prüfung beschleunigen, indem der Sophos Service Manager neu gestartet wird; der neue Zustand erscheint ungefähr 30 Sekunden später.

Installation und Schutz prüfen

Nach der Installation sollten drei Ebenen kontrolliert werden:

1. Lokal: Unter Endpoint Self Help > Prerequisites fehlen keine Berechtigungen.
2. Sophos Fusion: Unter My Environment > Computers & Servers erscheint der Mac mit aktueller Central-Kommunikation und ohne roten Health-Status.
3. Schutzumfang: Auf der Gerätedetailseite sind die erwarteten Produkte und Richtlinien aktiv.

Die Abnahme ist erst abgeschlossen, wenn alle drei Ebenen passen. Ein grüner Central-Status allein beweist nicht, dass macOS alle lokalen Freigaben erteilt hat; eine lokal fehlerfreie Self-Help-Anzeige allein beweist wiederum keine aktuelle Central-Kommunikation. Dokumentieren Sie bei einem Pilotgerät Installer-Variante, Agentversion und Zeitpunkt der erfolgreichen Prüfung, bevor Sie denselben Ablauf breiter ausrollen.

Für macOS 27 werden zusätzlich vollständiger OS-Build, Apple-Chip und tatsächlicher Endpoint-Build samt Kanal erfasst. Neuinstallation und Upgrade eines bereits geschützten Macs werden getrennt pilotiert. Nach dem Upgrade sind Extensions, Berechtigungen, Updates, Richtlinienempfang sowie der benötigte Web- und Netzwerkschutz erneut zu prüfen; die veröffentlichte Kompatibilität ersetzt diese Abnahme nicht.

Ein Gerät darf nicht vorschnell aus Sophos Fusion gelöscht werden. Das Entfernen des Central-Objekts deinstalliert den Agent nicht, kann aber den normalen Zugriff auf das gerätespezifische Manipulationsschutz-Kennwort erschweren. Deshalb zuerst den Manipulationsschutz kontrolliert deaktivieren und den Agent deinstallieren.

Wurde ein Mac bereits aus Central gelöscht, kann eine bestehende Installation nicht einfach durch erneutes Starten des Installers registriert werden: Der Installer erkennt sie als Upgrade und behält die alte Geräteidentität. Für Endpoint 2024.1 und neuer empfiehlt Sophos die vollständige Deinstallation und anschliessende Neuinstallation. Ältere Anleitungen, die den schreibgeschützten Sophos-Keychain-Eintrag löschen und den Agent mit internen Befehlen neu registrieren, gelten für diese Versionen nicht mehr.

Der vollständige unterstützte Rückbau steht unter Sophos Fusion Endpoint unter macOS deinstallieren.

Sophos Fusion erfasst angemeldete Benutzer normalerweise automatisch. Eine manuelle Benutzer- oder Lizenzzuordnung ist vor allem dann nötig, wenn durch unterschiedliche lokale Anmeldenamen doppelte Benutzerobjekte entstanden sind.

Nachträglich installierte Funktionen lassen sich separat verwalten. Der Artikel Sophos Endpoint Features installieren oder deinstallieren erklärt diesen Vorgang.

Mehrere Macs per MDM ausrollen

Bei mehreren Macs sollten Berechtigungen, Web Content Filter und Benachrichtigungen nicht einzeln bestätigt werden. Die dedizierte MDM-Anleitung beschreibt die aktuellen Sophos-Profile, die Reihenfolge von Profil und Installer sowie die Abnahme einer Pilotgruppe.

Typische Installationsprobleme

Wenn Installation, Central-Registrierung, Konfiguration, Berechtigungen oder Updates nicht erfolgreich sind, wechseln Sie in das symptomorientierte Troubleshooting-Runbook für Sophos Endpoint unter macOS. Dort finden Sie die Diagnose für blockierte Installer, Netzwerk- und Proxyfehler, unvollständige Berechtigungen, erneute Installation und Eskalation. So bleiben Reparaturschritte klar vom normalen Installations- und Abnahmeweg getrennt.

Policy, Systemseite und Prozessrollen einordnen

Die Policy-Seite zeigt den letzten Empfang einer Central-Policy und aktualisiert sich automatisch. Für einen kontrollierten Test ändern Sie eine tatsächlich zugewiesene Einstellung minimal, speichern sie und prüfen nach ungefähr 30 Sekunden erneut. Bleibt der Zeitstempel unverändert, untersuchen Sie zuerst Management Communication. Eine unbekannte dreistellige Policy-Abkürzung bedeutet, dass Self Help den angekommenen Policy-Typ nicht kennt; sie ist kein Grund, wahllos weitere Policies zu ändern.

Die System-Seite ist reine Inventarinformation und beeinflusst den Health State nicht. Standardmässig übernimmt Central den macOS-Computernamen aus Sharing; ohne Verzeichniszuordnung kann als Benutzerdomain der lokale Computername erscheinen. Andere Namen werden nur über dokumentierte Installer-Overrides gesetzt und danach auf neue Geräteobjekte oder Duplikate geprüft.

Bewerten Sie bei der Prozessdiagnose Rollen statt nur Namen: SophosServiceManager überwacht Agentkomponenten, SophosMcsAgentD kommuniziert mit Central, SophosUpdater aktualisiert, die Sophos Network Extension verarbeitet Netzwerkinterzeption, SophosCryptoGuard schützt vor Ransomware, SophosOSQuery und SophosLiveQuery liefern Abfragedaten und SophosLiveResponse stellt die privilegierte Sitzung bereit. Verschlüsselung nutzt eigene Prozesse unter dem angemeldeten Benutzer und _sophosencryption. Ein fehlender Prozess ist nur dann ein Fehler, wenn die zugehörige lizenzierte Funktion installiert und aktiviert sein sollte.

Captive Portal auf öffentlichem WLAN

Erscheint die Anmeldeseite eines Hotel-, Flugzeug- oder Gäste-WLANs nicht, kann unter Endpoint Self Help > Captive Portal Mode die Netzwerkinterzeption für höchstens fünf Minuten ausgesetzt werden. Der Modus endet früher, wenn er manuell deaktiviert wird, und benötigt kein Tamper-Protection-Kennwort. Er ist nur für die Portal-Anmeldung gedacht; danach werden Schutzstatus und Verbindung erneut kontrolliert. Sophos meldet seit Anfang 2024 keine weiteren Fälle des historischen Apple-Problems, hält den Modus aber als eng begrenzte Hilfe bereit.

Dateien auf SMB-Freigaben bleiben gesperrt

Bleiben von einem Mac geöffnete Dateien auf einer SMB-Freigabe vorübergehend gesperrt, wird zuerst Agentversion, reproduzierbarer Pfad, Anwendung und Dauer dokumentiert. Eine reine On-Access-Ausnahme ändert das Verhalten nicht zwingend. Sophos nennt als eng begrenzten Workaround denselben Netzwerkpfad sowohl bei den On-Access- als auch bei den CryptoGuard-/Ransomware-Ausnahmen. Damit entfallen zwei Schutzschichten auf diesem Pfad; Freigabe, Schreibrechte und serverseitiger Schutz müssen daher bewertet werden. Das globale Abschalten von Real-time Scanning - Network ist weiterreichend und keine bevorzugte Lösung.

Mit Reset summary lässt sich der lokale Detection-Zähler zurücksetzen. Die Aktion löscht weder Malware noch Central-Events oder die Incident-Historie. Sie erfolgt erst nach technischer Bereinigung, damit eine leere lokale Anzeige nicht mit einem gelösten Vorfall verwechselt wird.

Ein anderer Virenschutz ist bereits installiert

Für vollständigen Sophos-Schutz sollte der bisherige Virenschutz kontrolliert migriert und entfernt werden. Soll der bestehende Schutz bewusst erhalten bleiben, ist nur der separate XDR Sensor für diese Koexistenz vorgesehen. Da er keinen eigenen Malware-Schutz bietet, muss der Drittanbieter-Virenschutz aktiv und gesund bleiben.

Das lokale Konto _Sophos erscheint

Der Installer legt auf macOS das eingeschränkte Dienstkonto _Sophos an. Es besitzt keine interaktive Login-Shell, gehört nicht zur normalen Benutzergruppe und führt Sophos-Prozesse mit weniger Rechten als root aus. Das Konto ist daher kein unbekannter Benutzer und wird nicht gelöscht. Sein automatisch erzeugtes Passwort wird vom Agent nicht für eine Anmeldung gespeichert oder verwendet.

Häufige Fragen