Sophos Firewall Admin-Passwort vergessen und zurücksetzen

Ist das Passwort des eingebauten admin-Kontos wirklich vergessen, muss eine physische Sophos Firewall nicht vollständig auf Werkseinstellungen zurückgesetzt werden. Über die serielle Konsole öffnet RESET in Grossbuchstaben ein Recovery-Menü. Option 4 setzt nur das Passwort des Default-Admins auf den Factory-Wert zurück.

⚠️ Für die reine Passwortwiederherstellung ausschliesslich Option 4 verwenden. Die Optionen 1 bis 3 löschen Konfigurationen oder weitere Daten und sind kein alternativer Passwort-Reset.

Versionsstand: Der Ablauf ist gegen SFOS 22.0 MR2 (Build 546) geprüft. SFOS 22.0 unterstützt keine XG- und SG-Hardware mehr. Auf solchen Appliances oder mit einer älteren SFOS-Version sollte man die Dokumentation zur tatsächlich installierten Version verwenden und die Menüfolge nicht ungeprüft übertragen.

Zuerst das Fehlerbild unterscheiden

Nicht jeder fehlgeschlagene Login benötigt diesen Recovery-Ablauf:

• Das aktuelle Passwort ist bekannt: Unter Administration > Device access > Default admin password settings lässt es sich regulär ändern. Auch 2 System Configuration > 1 Set password for user admin verlangt das aktuelle Passwort und ist deshalb kein Recovery-Weg für ein vergessenes Passwort.
• Das Passwort funktioniert, aber der MFA-Token fehlt: Dann wird nur MFA übersprungen oder zurückgesetzt. Der Ablauf steht unter MFA für Sophos Firewall wiederherstellen.
• WebAdmin und SSH sind nicht erreichbar: Dann liegt das Problem meist bei Management-IP, Routing oder Device Access. Ein Passwort-Reset ändert diese Einstellungen nicht. Die Zugriffswege erklärt Device Access und Local Service ACL.
• Ein Named Admin oder eine externe Anmeldung schlägt fehl: Option 4 gilt nur für das fest eingebaute Konto admin. Für Named Admins, RADIUS oder SSO muss der dokumentierte Recovery-Weg des jeweiligen Kontos beziehungsweise Identity Providers verwendet werden; dieser serielle Reset hilft dabei nicht.
• Das Passwort des Default-Admins ist unbekannt oder wird sicher abgelehnt: Für eine physische Appliance folgt der serielle Recovery-Weg in diesem Artikel.

Diese Trennung verhindert einen unnötigen Reset. Insbesondere eine fehlende Loginseite oder ein verlorener MFA-Token wird durch Option 4 allein nicht behoben.

Bekanntes Passwort regulär ändern

Ist der WebAdmin noch zugänglich, führt der kürzeste Weg über Administration > Device access > Default admin password settings. Dort das aktuelle Passwort, das neue Passwort und dessen Bestätigung eintragen und mit Apply speichern. Eine Firewall mit funktionierendem Zugang zu Sophos Fusion (ehemals Sophos Central) kann dafür auch über Central geöffnet werden. Das fest eingebaute Konto admin lässt sich weder umbenennen noch löschen; es bleibt ein gesondert geschützter Notfallzugang.

Funktioniert die Anmeldung mit dem aktuellen admin-Passwort noch, wird kein Recovery-Menü benötigt. In der CLI 2 System Configuration > 1 Set password for user admin öffnen, das neue Passwort zweimal eingeben und danach eine frische Anmeldung prüfen. Das neue Passwort muss dieselben Komplexitätsanforderungen erfüllen, die weiter unten für den Factory-Wert beschrieben sind.

Beim ersten CLI-Zugriff fordert SFOS zur Änderung des Default-Passworts auf. Wird es dort geändert, startet der Setup-Wizard im WebAdmin anschliessend nicht mehr; dieser Effekt gehört besonders bei einer Erstbereitstellung in den Ablaufplan. Bei einem HA-Cluster verlangt Sophos die reguläre CLI-Änderung auf beiden Firewalls einzeln. Danach werden die Anmeldung an beiden Geräten und der HA-Status kontrolliert.

Voraussetzungen für den seriellen Recovery-Weg

Benötigt werden:

• eine physische Sophos Firewall mit RJ45-COM- oder Micro-USB-Konsolenanschluss;
• ein passendes Konsolenkabel und ein Rechner mit seriellem Terminalprogramm, beispielsweise PuTTY;
• der tatsächlich verwendete COM-Port und eine Verbindungsgeschwindigkeit von 38400 Baud;
• ein vertrauenswürdiger lokaler Managementpfad für den ersten WebAdmin-Login;
• bei HA Zugriff auf beide Geräte, weil der serielle Passwortreset nicht zum Peer synchronisiert wird.

Die physische Konsole ist ein privilegierter Recovery-Zugang: Wer sie bedienen kann, kann das Passwort des Default-Admins auf einen bekannten Factory-Wert setzen. Deshalb gehören Appliance und Konsolenanschlüsse in einen kontrollierten Bereich.

Bei produktiven oder HA-Systemen sollte der Ablauf vorbereitet und nach Möglichkeit in einem Wartungsfenster durchgeführt werden. Sophos beschreibt Option 4 als Passwortreset, macht aber keine Aussage zur Unterbrechungsfreiheit. Ein vorhandenes Backup bleibt sinnvoll, auch wenn Option 4 bewusst vom Factory Reset getrennt ist. Ein Factory Reset oder Restore ist kein sinnvoller erster Ausweg: Die Optionen 1 bis 3 löschen Daten, und ein Restore übernimmt das Default-Admin-Passwort gerade nicht aus dem Backup.

Admin-Passwort über die serielle Konsole zurücksetzen

Serielle Verbindung öffnen

1. Rechner mit dem RJ45-COM- oder Micro-USB-Anschluss der Firewall verbinden.
2. Unter Windows im Device Manager den COM-Port unter Ports ermitteln, beispielsweise COM7.
3. In PuTTY Connection type: Serial auswählen.
4. Unter Serial line den ermittelten Port eintragen. COM7 ist nur ein Beispiel und wird durch den lokal angezeigten Port ersetzt.
5. Unter Speed den Wert 38400 eintragen und die Verbindung mit Open starten.

Auf macOS oder Linux kann ein anderes serielles Terminalprogramm verwendet werden. Entscheidend sind das richtige serielle Gerät und 38400 Baud; dies ist keine normale SSH-Verbindung über das Netzwerk. Sind Micro-USB und RJ45 gleichzeitig angeschlossen, leitet die Firewall die Konsolenausgabe bevorzugt an Micro-USB. Bleibt das Terminal leer, zuerst COM-Port, Kabel, 38400 Baud und diese Priorität prüfen.

Nur Option 4 wählen

Sobald die serielle Konsole geöffnet ist, folgenden Wert vollständig in Grossbuchstaben eingeben:

RESET

Das daraufhin angezeigte Menü enthält mehrere sehr unterschiedlich wirkende Aktionen:

• Option 1 löscht eigene Konfigurationen.
• Option 2 löscht eigene Konfigurationen und setzt aktualisierte Pattern-Signaturen zurück.
• Option 3 löscht zusätzlich Reports, Logs und personenbezogene Daten und setzt aktualisierte Pattern-Signaturen zurück.
• Option 4 setzt das Passwort des Default-Admins zurück.

Für diesen Ablauf Option 4 eingeben und die Rückfrage bestätigen. RESET ist hier kein Linux- oder Device-Console-Befehl, sondern der Einstieg in das spezielle Menü der seriellen Konsole. Gerade deshalb sollte man die Optionsnummer vor der Bestätigung nochmals kontrollieren.

Mit dem Factory-Passwort anmelden und absichern

Nach dem Reset die bestehende Management-IP und den konfigurierten WebAdmin-Port verwenden. Wenn der Standardport nicht geändert wurde, sieht ein lokales Beispiel so aus:

https://192.0.2.1:4444

192.0.2.1 ist eine Dokumentationsadresse und wird durch die echte Management-IP ersetzt. Danach mit diesen Factory-Credentials anmelden:

Benutzername: admin
Passwort:     admin

Die Firewall fordert anschliessend ein neues Passwort an. Es muss mindestens zehn Zeichen sowie Grossbuchstabe, Kleinbuchstabe, Zahl und Sonderzeichen enthalten und darf kein häufig verwendetes Passwort oder Wörterbuchwort sein. Das neue Passwort wird im vorgesehenen Passwortmanager gespeichert, mit Apply übernommen und danach durch Ab- und erneutes Anmelden geprüft.

Das Factory-Passwort darf nicht länger als für diesen ersten Login aktiv bleiben. WebAdmin wird nicht eigens über WAN freigegeben; der Wechsel erfolgt über den bereits vorgesehenen vertrauenswürdigen Managementpfad.

Option 4 ist kein MFA-Reset. Passwort und MFA sind zwei getrennte Recovery-Aktionen. Falls MFA nach Option 4 weiterhin blockiert, kann man über eine zugängliche Device Console 2 System Configuration > 7 Reset multi-factor authentication for Admin user ausführen. Ist auch dieser Zugang nicht möglich, sollte Sophos Support eingeschaltet werden. Der vollständige MFA-Ablauf steht unter MFA für Sophos Firewall wiederherstellen.

Besonderheiten bei HA, virtuellen und Cloud-Firewalls

HA-Paar auf denselben Passwortstand bringen

Bei einem HA-Cluster muss der Passwortreset einzeln auf beiden Geräten erfolgen. Ein Reset nur auf dem Primary genügt nicht, weil dieser Schritt nicht zum Auxiliary synchronisiert wird.

1. Option 4 über die serielle Konsole des aktuellen Geräts ausführen.
2. Option 4 separat am Peer-Gerät ausführen.
3. Am WebAdmin des Primary mit admin / admin anmelden.
4. Ein neues sicheres Passwort setzen.
5. HA-Zustand und Anmeldung anschliessend kontrollieren.

Der Grund für diese Reihenfolge: Das neu gesetzte Passwort wird nur synchronisiert, wenn beide Geräte zuvor dasselbe Passwort besitzen. Nach dem individuellen Reset beider Knoten auf den Factory-Wert kann der Primary das neue Passwort wieder zum Auxiliary synchronisieren.

Virtuelle, Software- und Cloud-Firewalls

Der öffentlich dokumentierte SFOS-22-Recovery-Weg nennt ausdrücklich die physischen RJ45-COM- und Micro-USB-Anschlüsse. Für virtuelle, Software- oder Cloud-Firewalls ist daraus kein allgemeiner, unterstützter RESET-Ablauf über jede Hypervisor- oder Provider-Konsole ableitbar.

Ist die Firewall bereits in Sophos Fusion verwaltet, online und dort für den eigenen Administrator zugänglich, kann man WebAdmin über Central öffnen und dort das lokale admin-Passwort ändern. Andernfalls sollten Hypervisor- beziehungsweise Provider-Konsole, vorhandenes Recovery-Konzept und Sophos Support geprüft werden, bevor man die Instanz neu bereitstellt oder ein Backup restauriert.

Nach der Wiederherstellung prüfen

Der Login ist erst der erste Erfolg. Danach sollten diese Punkte kontrolliert werden:

• Abmelden und mit dem neuen Passwort erneut anmelden.
• MFA für den Default-Admin testen und zusätzliche Einmalcodes sicher ablegen.
• Einen zweiten autorisierten Administrationsweg und vorhandene SSH Public Keys prüfen. Die Schlüsselverwaltung erklärt Sophos Firewall per SSH verbinden.
• WebAdmin und SSH unter Administration > Device access weiterhin nur aus den vorgesehenen Netzen erlauben.
• Passwort, verantwortliche Personen und Recovery-Ablauf im Passwortmanager beziehungsweise Notfallhandbuch aktualisieren.
• Konfigurationsänderungen und dabei protokollierte Central-Benutzeridentitäten im Audit Trail prüfen; Central-Zugriffe zusätzlich in Sophos Fusion kontrollieren.
• Backup-Datei, Backup-Passwort und SSMK getrennt, aber auffindbar halten. Ein Backup-Restore ersetzt das vorhandene Default-Admin-Passwort nicht.

FAQ