Sophos Connect Client prüfen und sicher aktualisieren

Die aktuelle Sophos-Anleitung beschreibt ein Upgrade unter Windows und macOS als Download und Installation des neuen Pakets vom VPN Portal oder vom Administrator; sie schreibt keine allgemeine vorherige Deinstallation vor. Daraus folgt noch keine Bestätigung, dass jedes Paket über jede bestehende Installation aktualisiert werden kann. Dieser Artikel behält den kontrollierten Remove-and-reinstall-Weg für eine ausdrücklich freigegebene Neuinstallation oder einen Rückweg bei. Vor der Änderung die für Ausgangs- und Zielversion geeignete Methode klären und im Pilot prüfen; Profile, Installationspakete und Rückweg müssen bereitliegen.

Die installierte Version findet man in Sophos Connect über drei Punkte > About. Die Installationsanleitungen für Windows und macOS erklären die Erstinstallation; hier geht es um die Versionsentscheidung und den kontrollierten Wechsel.

Wer noch zwischen IPsec, SSL VPN und anderen Remote-Access-Verfahren entscheidet, beginnt mit dem Vergleich der Remote-Access-Lösungen, bevor ein Client als Rollout-Ziel festgelegt wird.

Zielversion entscheiden

Nicht automatisch das neueste Paket breit verteilen. Zuerst werden die unten erklärten Versionsänderungen, unterstützten Betriebssysteme und tatsächlich genutzten VPN-Funktionen mit der eigenen Umgebung verglichen. Die redaktionelle Prüfung am 7. September 2026 ergab die folgende datierte Momentaufnahme:

• Windows: Sophos Connect 2.5 MR1, veröffentlicht am 18. Juni 2026.
• macOS: Sophos Connect 2.0 MR1, veröffentlicht am 21. Mai 2026.

Aktualisierung am 9. Oktober 2026: Die Release Notes führen Sophos Connect 2.1 für macOS, veröffentlicht am 6. Oktober 2026, mit nativer ARM-Unterstützung, .pro-Provisioning und Microsoft Entra ID SSO für IPsec und SSL VPN. Die Momentaufnahme vom 7. September bleibt historisch. Ein dokumentiertes Release belegt weder das tatsächlich im eigenen Portal verfügbare Paket noch einen bestandenen Gerätetest; daraus wird keine zusätzliche GA- oder Rollout-Freigabe abgeleitet.

Diese Versionsangaben sind eine Momentaufnahme und keine zeitlich unbegrenzte Freigabe. Vor einem neuen Rollout werden die Versionsmatrix und die beschriebenen Korrekturen mit der Version des tatsächlich verfügbaren Pakets abgeglichen; die verantwortliche IT bestätigt dessen aktuelle Plattformunterstützung und Eignung für die benötigten VPN-Funktionen. Eine neuere Version wird zunächst im Pilot getestet; eine ältere Version bleibt nur dann Ziel, wenn sie für die vorhandene Plattform noch unterstützt wird und ein dokumentierter Grund gegen die neuere spricht. Aus der allgemeinen Sophos-Produkt-Lifecycle-Seite lassen sich keine client-spezifischen Enddaten ableiten.

Für die Entscheidung sind folgende Grenzen wichtig:

Sophos Connect ist kein Client für iOS oder Android. Wenn eine Plattform oder Funktion ausserhalb dieser Grenzen liegt, wird nicht probeweise ausgerollt, sondern zuerst ein Migrationsweg festgelegt.

Die geprüften Releases enthalten zudem Korrekturen, die eine Entscheidung beeinflussen können. Windows 2.5 MR1 behebt unter anderem Autostart für zusätzliche Benutzer (NCL-2570), einen falschen SSO-Status nach Internetunterbruch (NCL-2783), abweichende OTP-Abfragen beim Reconnect (NCL-2992) und SSL-VPN-Provisioning bei Sonderzeichen im Zertifikat (NCL-2795). macOS 2.0 MR1 behebt unter anderem DNS-Probleme mit SSL VPN und stellt das Speichern von Zugangsdaten wieder her. Eine Fehler-ID allein ersetzt trotzdem keinen Pilot mit dem eigenen Profil.

Update und Rückweg vorbereiten

Vor dem Wartungsfenster wird pro Plattform und Benutzergruppe erfasst:

• installierte Client- und Betriebssystemversion;
• IPsec oder SSL VPN sowie Profilquelle (.scx, .ovpn oder .pro); eine .tgb-Datei ist dagegen ein Export für IPsec-Clients von Drittanbietern und kein Sophos-Connect-Profil;
• Authentifizierung über lokale Benutzer, AD, RADIUS oder Entra ID SSO;
• MFA- und Reconnect-Verhalten;
• Profilabhängigkeiten wie Gateway, Zertifikat, DNS, VPN-Pool und erlaubte Netze.

Zusätzlich werden das Zielpaket, das vorherige intern freigegebene Paket und die ursprünglichen Profilquellen in der Softwareverteilung gesichert. Ein Screenshot der Profilbezeichnung genügt nicht als Sicherung. Für einen Rückweg braucht man den tatsächlich verwendeten Export oder eine reproduzierbare Provisioning-Quelle. Profile mit Zertifikaten oder privaten Schlüsseln nur geschützt und für die vorgesehene Benutzeridentität ablegen.

Der Installer steht für Admins unter Remote access VPN > IPsec beziehungsweise Remote access VPN > SSL VPN über Download client bereit; Benutzer können ihn aus dem VPN Portal beziehen. Backup & Firmware > Pattern updates kann das Downloadpaket auf der Firewall erneuern, aktualisiert aber keine bereits installierten Endpoints. Vor der Verteilung werden Herkunft, Plattform und Version des Pakets kontrolliert und alte Pakete eindeutig gesperrt oder gekennzeichnet.

Pilot durchführen

Der Pilot umfasst mindestens ein Gerät je produktiv genutzter Kombination. Nicht nur IT-Admins auswählen, sondern auch ein bis drei typische Benutzer. Wenn vorhanden, werden Windows x64, Windows ARM, macOS mit IPsec, macOS mit SSL VPN, Entra SSO sowie OTP/MFA-Reconnect getrennt abgedeckt. Auf dem Mac werden 2.0/Rosetta und 2.1/native ARM, die tatsächlich eingesetzte macOS-Version sowie direkte Profile und Provisioning getrennt geprüft. Für Entra SSO ab 2.1 gehören Browsermodus, erforderlicher Fallback und Rückkehr zum Client zum macOS-SSO-Pilot. Ein Compliance-Fehler wird behoben oder an die IT eskaliert, nicht durch Abschwächen von Conditional Access umgangen.

Vor dem Upgrade wird auf jedem Pilotgerät ein Basistest dokumentiert: Anmeldung, zugewiesene VPN-IP, interne DNS-Auflösung, Zugriff auf ein repräsentatives internes Ziel, Split- oder Full-Tunnel-Verhalten und Reconnect nach einem Netzwerkwechsel. Genau dieselben Tests werden nachher wiederholt. So lässt sich ein Clientfehler von einem bereits vorher vorhandenen Firewall-, Routing- oder Profilproblem unterscheiden.

Erst wenn alle erwarteten Kombinationen erfolgreich sind und der Helpdesk Zielversion sowie Rückweg kennt, folgt die gestaffelte breite Verteilung. Ein einzelner erfolgreicher Windows-Test ist keine Freigabe für macOS.

Vorhandenen Client entfernen und neu installieren

Vor der Deinstallation die aktive VPN-Verbindung trennen. Wenn der Client der einzige Fernzugang zum Gerät ist, braucht man ein lokales Wartungsfenster oder einen zweiten Administrationsweg: Während Entfernung und Neuinstallation ist der VPN-Zugang unterbrochen.

Windows

1. Unter Control Panel > Programs > Uninstall a program den Eintrag Sophos Connect auswählen und Uninstall starten.
2. Warten, bis die Deinstallation abgeschlossen ist. Einen möglicherweise verlangten Neustart nicht aufschieben.
3. Das für Windows freigegebene Zielpaket mit Administratorrechten installieren.
4. Sophos Connect öffnen und über drei Punkte > About prüfen, ob die geplante Version angezeigt wird.
5. Das vorhandene Profil prüfen beziehungsweise aus der gesicherten Quelle erneut importieren und den Pilottest ausführen.

Windows ARM darf nicht auf eine Version vor 2.5 zurückgesetzt werden. Ein 32-Bit-Windows-Endpoint darf nicht auf 2.5 aktualisiert werden; er benötigt einen Plattform-Migrationsplan.

macOS

Bei installiertem Sophos Endpoint dessen Tamper Protection nicht pauschal vor der Entfernung deaktivieren. Die aktuelle Deinstallationsanleitung nennt dies nicht mehr als Voraussetzung; die Fehlerhilfe beschreibt aber weiterhin blockierte Sophos-Connect-Prozesse durch Endpoint-Tamper-Protection und empfiehlt einen Neustart. Bei diesem Fehlerbild Logs sichern, im Wartungsfenster neu starten und den Zustand erneut prüfen. Bleibt die Entfernung blockiert, die konkrete Endpoint-/Clientkombination mit der IT oder Sophos klären. Nur nach ausdrücklicher Freigabe für diesen Fall den Schutz vorübergehend ändern; die Wiederaktivierung gehört dann auch bei einem fehlgeschlagenen Versuch zum Abschluss. Für eine freigegebene Entfernung im Terminal mit Administratorrechten ausführen:

sudo /Library/Sophos\ Connect/uninstall.sh

Die erwartete Bestätigung lautet Sophos Connect has been uninstalled. Danach:

1. Falls verlangt, den Mac neu starten.
2. Das freigegebene macOS-Paket installieren und notwendige Systemdialoge bestätigen.
3. Sophos Connect öffnen und unter drei Punkte > About die Version prüfen.
4. Profil aus der gesicherten Quelle bereitstellen und die Pilotprüfungen wiederholen.
5. Falls Tamper Protection für diesen Vorgang ausdrücklich deaktiviert wurde, wieder aktivieren und den aktiven Status am Endpoint und in der Verwaltung kontrollieren; bei fehlgeschlagener Neuinstallation ebenso.

Für SSL VPN auf macOS ist eine Version vor 2.0 kein gültiger Rückweg. Nach einem Wechsel auf 2.0 MR1 muss die Konfiguration erneut importiert werden, wenn die wiederhergestellte Option zum Speichern der Zugangsdaten verwendet werden soll. Ein Rückweg auf macOS-Client 2.0 erhält weder native ARM-Ausführung noch .pro-Provisioning oder Entra ID SSO. Wenn diese 2.1-Funktionen erforderlich sind, ist 2.0 kein gleichwertiger Rückweg; einen unterstützten Ersatzweg vorab freigeben und testen.

Profiländerungen getrennt behandeln

Ein Clientupgrade aktualisiert nicht automatisch jede VPN-Konfiguration. Bei manuell verteilten IPsec-.scx-Dateien wird nach Änderungen an den erweiterten Einstellungen ein neuer Export verteilt. Unter Windows mit passendem Client und auf macOS ab 2.1 ruft eine importierte .pro-Datei Konfigurationen über das VPN Portal ab. Werden unter Remote access VPN > SSL VPN > SSL VPN global settings Port oder Protokoll geändert, klickt der Benutzer beim Profil auf das Zahnrad und auf Update policy. Auf macOS 2.0 bleiben direkte Importe und manuelle Profilpflege erforderlich. Die Konfiguration der Provisioning-Datei gehört in Sophos Connect Provisioning.

Für SFOS 22 ist dokumentiert: Ein importiertes SSL-VPN-Profil ist an Benutzeridentität, Domain und die beim Import verwendete Authentifizierungsmethode gebunden. Beim Wechsel etwa von AD zu Entra ID SSO oder zwischen Domains muss eine separate .pro- oder .ovpn-Konfiguration importiert werden; die Wiederverwendung desselben importierten Profils kann zu Login failed. Wrong fingerprint of certificate. führen. Eine .ovpn-Datei enthält benutzerspezifische Zertifikate und private Schlüssel. Eine .pro-Datei ist dagegen nicht von sich aus benutzerspezifisch: Erst beim Import werden die SSL-VPN-Konfiguration und Zertifikate erzeugt und der verwendeten Identität und Authentifizierungsmethode zugeordnet. Diese für SFOS 22 dokumentierte Einschränkung betrifft SSL VPN, nicht IPsec-.scx-Profile.

Für SFOS 23 ist dieses Verhalten nicht verifiziert. Die entsprechende Anleitung enthält den Abschnitt zur Profilbindung und dieser Fehlermeldung nicht. Das belegt weder, dass die Bindung entfallen ist, noch, dass sie unverändert weitergilt. Bei einem Wechsel von Domain oder Authentifizierungsmethode empfiehlt sich deshalb vorsorglich ein separater SSL-Profilimport aus einer von der IT bestätigten, vertrauenswürdigen Quelle; dies ist keine bestätigte SFOS-23-Vorgabe. Vorher die vorgesehene Benutzeridentität, Domain und Authentifizierungsmethode sowie den Zielserver mit der IT abgleichen und bei Bedarf eine aktuelle .ovpn-Datei vom bestätigten VPN Portal beziehen beziehungsweise die freigegebene .pro-Quelle verwenden. Anschliessend das Client-/Profilpaar im Pilot prüfen. Tritt die Fingerprint-Meldung auf, die Verteilung stoppen und Client- sowie SFOS-Version, vorgesehene Identität, Domain, Authentifizierungsmethode und den Eintrag unter Events für die IT oder Sophos festhalten. Die Meldung allein beweist weder ein abgelaufenes Zertifikat noch einen Signatur- oder Vertrauenskettenfehler. Zertifikatsprüfungen nicht umgehen.

Firewallseitige Änderungen gehören in die Anleitungen für Sophos Connect mit IPsec, SSL VPN Remote Access beziehungsweise Entra ID SSO. Danach kehrt man hierher zurück und testet das aktualisierte Client-/Profilpaar im Pilot.

Ergebnis prüfen und Rollout freigeben

Eine angezeigte Zielversion und ein grüner Verbindungsstatus reichen nicht. Pro Pilotkombination werden folgende Ergebnisse festgehalten:

• Zielversion unter About stimmt;
• Anmeldung und MFA oder SSO verhalten sich wie erwartet;
• richtige VPN-IP wird zugewiesen;
• interne DNS-Namen und ein repräsentatives Ziel funktionieren;
• passende Regel der Zone VPN erscheint im Log Viewer;
• Split oder Full Tunnel entspricht dem Soll;
• Reconnect nach Netzwerkwechsel sowie Ab- und Anmeldung funktionieren.

Schlägt ein Test fehl, wird die Verteilung für diese Kombination gestoppt. Zuerst kontrolliert man Zielversion, Betriebssystemgrenze und tatsächlich geladenes Profil. Danach werden Zeitpunkt, sichtbare Meldung und der passende Eintrag unter Events erfasst. Die systematische Diagnose von Verbindungs-, DNS-, Authentifizierungs-, Policy- und Dienstfehlern steht in Sophos Connect Client Troubleshooting; der Updateartikel führt diesen Fehlerkatalog bewusst nicht doppelt.

Rollback und Eskalation

Ein Rollback stellt den Dienst vorübergehend wieder her. Er ist keine dauerhafte Lösung für einen veralteten oder verwundbaren Client.

1. Breite Verteilung stoppen und betroffene Plattform-/Profilkombination kennzeichnen.
2. Fehlgeschlagenen Client über denselben dokumentierten Weg deinstallieren.
3. Nur das vorher intern freigegebene und für die Plattform geeignete Paket installieren.
4. Die gesicherte Profilquelle erneut importieren.
5. Version, Anmeldung, VPN-IP, DNS, internes Ziel, Log Viewer und Reconnect erneut prüfen.
6. Ergebnis dokumentieren und erst nach Ursachenklärung einen neuen Pilot starten.

Funktioniert auch der Rückweg nicht, öffnet man drei Punkte > About > Generate Technical Support Report. Der Report enthält VPN-Konfigurationen, Verbindungsereignisse, Provisioning-Details, SSO-Authentifizierungsinformationen, Browserdetails und Endpoint-Informationen. Er wird nach den internen Datenschutzvorgaben nur über einen kontrollierten Übertragungsweg an berechtigte Empfänger weitergegeben. Für die Eskalation gehören Ziel- und Ausgangsversion, Betriebssystem, Profiltyp, Zeitpunkt, sichtbare Fehlermeldung sowie das Resultat des Rollbacks zusammen; Kennwörter, OTPs oder private Schlüssel gehören nie in den Tickettext.