Sophos DNS Protection

Sophos DNS Protection ist ein cloudbasierter DNS-Dienst in Sophos Fusion. Er verbindet sichere DNS-Auflösung mit Threat Blocking, eigenen Policies, Domain Lists und Reports. Bevor man etwas konfiguriert, muss man jedoch den richtigen Bereitstellungspfad wählen: Xstream Protection deckt den eigenständigen Schutz von Netzwerken und Locations ab, Workspace Protection den verwalteten DNS-Schutz von Windows-Endpoints über Sophos Endpoint. Beide Lizenzpfade unterstützen DNS over HTTPS, sind aber nicht austauschbar.

Direkte Entscheidung: Für ein Standortnetz, eine Firewall oder nicht verwaltete Geräte den Netzwerkpfad wählen. Für verwaltete Windows-Geräte, die auch ausserhalb des Firmennetzes geschützt werden sollen, den Endpoint-Pfad wählen. Nicht beide Wege ungeplant auf demselben Gerät kombinieren.

Den passenden Bereitstellungspfad wählen

Netzwerke und nicht verwaltete Geräte mit Xstream Protection

Standalone DNS Protection gehört zur Xstream-Protection-Subscription von Sophos Firewall und enthält Sophos Endpoint nicht. Die Netzwerkgeräte verwenden einen zentralen Resolver, eine Firewall oder direkt die für den Tenant vorgesehenen DNS-Ziele. Locations, Policies und Reports werden in Sophos Fusion verwaltet.

Für die Lizenzabgrenzung zuerst Sophos Firewall Bundles vergleichen. Danach hilft DNS Protection im Netzwerk planen und einrichten bei der Wahl des DNS-Pfads. Wer eine Sophos Firewall als Resolver und Forwarder verwendet, folgt der gerätespezifischen Anleitung Sophos DNS Protection mit Sophos Firewall einrichten.

Windows-Endpoints mit Workspace Protection

DNS Protection for endpoints ist eine Workspace-Protection-Funktion. Sophos Endpoint leitet den DNS-Verkehr unterstützter Windows-Geräte geschützt an DNS Protection weiter. Dieser Pfad wird nach Geräten lizenziert; eine Xstream-Subscription allein berechtigt ihn nicht.

Workspace Protection bündelt ausserdem Protected Browser, ZTNA und Email Monitoring System. Das macht DNS Protection aber nicht zu einer Funktion dieser anderen Produkte: Auch eine Integration mit Protected Browser bleibt ein eigener Endpoint-DNS-Pfad. Lizenzierung und Verbrauchslogik erklärt Sophos Fusion lizenzieren; Installation, Policy und Erprobung stehen unter DNS Protection für Endpoints konfigurieren.

Voraussetzungen vor der Konfiguration

1. Lizenzpfad bestätigen: Xstream für Standalone-Netzwerk-DNS oder Workspace Protection für Endpoint DNS. Nicht vom sichtbaren Produktnamen auf die Berechtigung schliessen.
2. Zugriff prüfen: Der Einstieg lautet My Products > DNS Protection. Welche Bereiche ein Administrator dort sehen und ändern darf, hängt von den in Sophos Fusion definierten Administrationsrollen ab. Rechte nach dem Least-Privilege-Prinzip vergeben.
3. Schutzobjekt festlegen: Dokumentieren, ob Networks, Endpoints oder Unmanaged devices geschützt werden. Diese Wahl bestimmt DNS-Pfad, Lizenz und zuständige Anleitung.
4. Testgruppe und Erfolgskriterium bestimmen: Eine begrenzte Location oder Gerätegruppe wählen und vorab festhalten, welche erlaubte und blockierte Anfrage später in Dashboard und Reports erscheinen soll.
5. Datenschutz prüfen: Vor der Einführung klären, welche DNS-Daten verarbeitet werden und welche Sophos-Fusion-Region für den Tenant gewählt wurde.

Als anpassbares Beispiel kann ein Unternehmen das Standortnetz Zentrale zuerst über den Netzwerkpfad erproben und eine kleine Gruppe Windows-Pilot getrennt über den Endpoint-Pfad testen. Die Namen sind frei wählbar; entscheidend ist, dass jede Gruppe genau einem dokumentierten Pfad folgt und ihre Anfragen der erwarteten Policy zugeordnet werden können.

Was in Sophos Fusion zusammengehört

Unter My Products > DNS Protection bilden mehrere Bereiche einen gemeinsamen Betriebsablauf:

• Locations ordnen DNS-Anfragen einem Netzwerk- oder Secure-DNS-Kontext zu.
• Policies bestimmen die gewünschte Filterung.
• Domain lists ergänzen gezielte Allow- oder Block-Entscheidungen.
• Dashboard liefert die schnelle Betriebsübersicht.
• Reports dienen der Validierung und Untersuchung.

Die verlinkten Detailanleitungen beschreiben die jeweiligen Verfahren. Diese Themenübersicht dient der Orientierung und wiederholt keine Schritte zum Einrichten von Locations, Policies und Zertifikaten oder zum Arbeiten mit Reports.

Validierung und erwartetes Ergebnis

Nach dem Pilottest muss mehr stimmen als nur die Namensauflösung:

• erlaubte Domains werden aufgelöst und bewusst gesperrte Domains werden blockiert;
• die Testanfragen erscheinen nach der produktbedingten Verzögerung in Dashboard beziehungsweise Reports;
• Netzwerkabfragen werden der vorgesehenen Location zugeordnet;
• bei Endpoint DNS Protection sind – soweit verfügbar – zusätzlich Geräte- oder Benutzermetadaten erkennbar;
• der nicht gewählte Pfad greift nicht versehentlich als zweiter Resolverweg ein.

Fehlt dieses Ergebnis, nicht sofort Policies verbreitern. Zuerst feststellen, ob das Problem beim Netzwerkpfad oder beim Endpoint-Pfad liegt. Für die weitere Fehlerbehebung bei Netzwerk, Firewall oder Location die oben verlinkten Netzwerk-Anleitungen verwenden; bei Agent, Gerätezuweisung oder Endpoint Policy die Endpoint-Anleitung. So bleibt die Fehlersuche auf den aktiven Datenpfad begrenzt und vermischt nicht zwei unterschiedliche Datenpfade.

Datenschutz und Regionen einplanen

DNS Protection verarbeitet DNS-Abfragedaten wie öffentliche Quell-IP, angefragte Domain, Zeitpunkt und DNS-Antwort. Benutzername und Name des Endpoint-Geräts werden ausschliesslich bei Endpoint DNS Protection verarbeitet. Die Daten dienen unter anderem der Policy-Anwendung, Berichterstattung, Bedrohungsanalyse und Fehlerbehebung. Darüber hinaus dienen sie Produktverbesserungen und Innovationen, etwa bei Erkennungs- und Sicherheitstechniken oder der Leistungsoptimierung. Sophos Engineering, SophosLabs und Sophos AI können sie zudem für Produktentwicklung, Analyse, Bedrohungserkennung, Forschung und kontinuierliche Verbesserung nutzen.

Nach dem Sophos Privacy Data Sheet werden für Kunden nutzbare DNS-Protection-Daten in Sophos Fusion 90 Tage, diagnostische Logs 30 Tage und Konfigurationsdaten bis zur Beendigung der Nutzung aufbewahrt. Die Verarbeitung und Speicherung erfolgt in der beim Erstellen des Sophos-Fusion-Kontos gewählten Region. DNS-Anfragen werden dagegen zum geeigneten globalen Resolver Point of Presence geleitet und dort nur vorübergehend verarbeitet, bevor die Daten an die Fusion-Region gehen. Management-Region und Resolver-Standort sind daher nicht dasselbe.

Als Management-Regionen nennt Sophos neben US und EU auch Australia, Brazil, India, Japan und Canada. Regionale Verfügbarkeit und Unterauftragsverarbeiter können sich ändern; die aktuellen Angaben dazu sollten deshalb vor der Einführung und bei regelmässigen Überprüfungen erneut geprüft werden. Den übergreifenden Governance-Prozess beschreibt Datenschutz und Datenfreigaben in Sophos Fusion.

Sicherer Rückweg und Grenzen der Fehlerbehebung

Diese Übersichtsseite enthält absichtlich keinen pauschalen Schalter zum Abschalten: Der sichere Rückweg unterscheidet sich zwischen Netzwerk-DNS, Sophos Firewall und Endpoint Policy. Vor einer Änderung den bisherigen Resolver oder die bisherige Policy, die Zuordnung der Testgruppe und das erwartete Verhalten dokumentieren. Beim Fehler nur den betroffenen Bereitstellungspfad nach seiner verlinkten Anleitung zurücknehmen und danach interne sowie öffentliche Namensauflösung erneut prüfen.

Lässt sich der aktive Pfad nicht eindeutig bestimmen oder fehlt eine belegte Rücknahme für die eingesetzte Variante, ist das der sichere Stopppunkt. Keine Locations, Policies oder Agent-Komponenten auf Verdacht löschen; zuerst die für das Netzwerk oder die Endpoints verantwortlichen Administratoren einbeziehen und bei Bedarf mit den aufgezeichneten Testdaten an Sophos Support eskalieren.

Betrieb und Produktlebenszyklus

Der Freigabeverlauf erklärt, warum die beiden Pfade getrennt behandelt werden: Standalone DNS Protection erreichte am 11. Juni 2024 General Availability. Die Integration von DNS Protection mit Sophos Endpoint wurde am 24. November 2025 als Early Access angekündigt und leitete DNS-Anfragen per HTTPS um. Diese Daten sind historische Meilensteine, keine Aussage über einen aktuellen EAP-, EOL- oder Retirement-Status.

Im laufenden Betrieb regelmässig Lizenz, Administrationsrollen, Locations, Policies, Domain Lists, Reports, Datenaufbewahrung und den getesteten Rückweg prüfen. Änderungen zuerst mit einer begrenzten Location oder Gerätegruppe validieren. Aktuelle Hilfe- und Versionsstände haben für den Betrieb Vorrang vor historischen Ankündigungen.