Sophos Firewall Admin-Passwort vergessen und zurücksetzen

Ist das Passwort des eingebauten admin-Kontos wirklich vergessen, muss eine physische Sophos Firewall nicht vollständig auf Werkseinstellungen zurückgesetzt werden. Über die serielle Konsole öffnet RESET in Grossbuchstaben ein Recovery-Menü. Option 4 setzt nur das Passwort des Default-Admins auf den Factory-Wert zurück.

⚠️ Für die reine Passwortwiederherstellung ausschliesslich Option 4 verwenden. Die Optionen 1 bis 3 löschen Konfigurationen oder weitere Daten und sind kein alternativer Passwort-Reset.

Zuerst das Fehlerbild unterscheiden

Nicht jeder fehlgeschlagene Login benötigt diesen Recovery-Ablauf:

Das aktuelle Passwort ist bekannt: Unter Administration > Device access > Default admin password settings lässt es sich regulär ändern. Auch 2 System Configuration > 1 Set password for user admin verlangt das aktuelle Passwort und ist deshalb kein Recovery-Weg für ein vergessenes Passwort.
Das Passwort funktioniert, aber der MFA-Token fehlt: Dann wird nur MFA übersprungen oder zurückgesetzt. Der Ablauf steht unter MFA für Sophos Firewall wiederherstellen.
WebAdmin und SSH sind nicht erreichbar: Dann liegt das Problem meist bei Management-IP, Routing oder Device Access. Ein Passwort-Reset ändert diese Einstellungen nicht. Die Zugriffswege erklärt Device Access und Local Service ACL.
Ein Named Admin oder eine externe Anmeldung schlägt fehl: Option 4 gilt nur für das fest eingebaute Konto admin. Named Admins, RADIUS oder SSO werden über den jeweiligen zweiten Administrator beziehungsweise den Identity Provider wiederhergestellt.
Das Passwort des Default-Admins ist unbekannt oder wird sicher abgelehnt: Für eine physische Appliance folgt der serielle Recovery-Weg in diesem Artikel.

Diese Trennung verhindert einen unnötigen Reset. Insbesondere eine fehlende Loginseite oder ein verlorener MFA-Token wird durch Option 4 allein nicht behoben.

Voraussetzungen für den seriellen Recovery-Weg

Benötigt werden:

eine physische Sophos Firewall mit RJ45-COM- oder Micro-USB-Konsolenanschluss;
ein passendes Konsolenkabel und ein Rechner mit seriellem Terminalprogramm, beispielsweise PuTTY;
der tatsächlich verwendete COM-Port und eine Verbindungsgeschwindigkeit von 38400 Baud;
ein vertrauenswürdiger lokaler Managementpfad für den ersten WebAdmin-Login;
bei HA Zugriff auf beide Geräte, weil der serielle Passwortreset nicht zum Peer synchronisiert wird.

Bei produktiven oder HA-Systemen sollte der Ablauf vorbereitet und nach Möglichkeit in einem Wartungsfenster durchgeführt werden. Sophos beschreibt Option 4 als Passwortreset, macht aber keine Aussage zur Unterbrechungsfreiheit. Ein vorhandenes Backup bleibt sinnvoll, auch wenn Option 4 bewusst vom Factory Reset getrennt ist.

Admin-Passwort über die serielle Konsole zurücksetzen

Serielle Verbindung öffnen

Rechner mit dem RJ45-COM- oder Micro-USB-Anschluss der Firewall verbinden.
Unter Windows im Device Manager den COM-Port unter Ports ermitteln, beispielsweise COM7.
In PuTTY Connection type: Serial auswählen.
Unter Serial line den ermittelten Port eintragen. COM7 ist nur ein Beispiel und wird durch den lokal angezeigten Port ersetzt.
Unter Speed den Wert 38400 eintragen und die Verbindung mit Open starten.

Auf macOS oder Linux kann ein anderes serielles Terminalprogramm verwendet werden. Entscheidend sind das richtige serielle Gerät und 38400 Baud; dies ist keine normale SSH-Verbindung über das Netzwerk.

Nur Option 4 wählen

Sobald die serielle Konsole geöffnet ist, folgenden Wert vollständig in Grossbuchstaben eingeben:

RESET

Das daraufhin angezeigte Menü enthält mehrere sehr unterschiedlich wirkende Aktionen:

Option 1 löscht eigene Konfigurationen.
Option 2 löscht eigene Konfigurationen und setzt aktualisierte Pattern-Signaturen zurück.
Option 3 löscht zusätzlich Reports, Logs und personenbezogene Daten und setzt aktualisierte Pattern-Signaturen zurück.
Option 4 setzt das Passwort des Default-Admins zurück.

Für diesen Ablauf Option 4 eingeben und die Rückfrage bestätigen. RESET ist hier kein Linux- oder Device-Console-Befehl, sondern der Einstieg in das spezielle Menü der seriellen Konsole. Gerade deshalb sollte man die Optionsnummer vor der Bestätigung nochmals kontrollieren.

Mit dem Factory-Passwort anmelden und absichern

Nach dem Reset die bestehende Management-IP und den konfigurierten WebAdmin-Port verwenden. Wenn der Standardport nicht geändert wurde, sieht ein lokales Beispiel so aus:

https://192.0.2.1:4444

192.0.2.1 ist eine Dokumentationsadresse und wird durch die echte Management-IP ersetzt. Danach mit diesen Factory-Credentials anmelden:

Benutzername: admin
Passwort:     admin

Die Firewall fordert anschliessend ein neues Passwort an. Es muss mindestens zehn Zeichen sowie Grossbuchstabe, Kleinbuchstabe, Zahl und Sonderzeichen enthalten und darf kein häufig verwendetes Passwort oder Wörterbuchwort sein. Das neue Passwort wird im vorgesehenen Passwortmanager gespeichert, mit Apply übernommen und danach durch Ab- und erneutes Anmelden geprüft.

Das Factory-Passwort darf nicht länger als für diesen ersten Login aktiv bleiben. WebAdmin wird nicht eigens über WAN freigegeben; der Wechsel erfolgt über den bereits vorgesehenen vertrauenswürdigen Managementpfad.

Option 4 ist kein MFA-Reset. Passwort und MFA sind zwei getrennte Recovery-Aktionen. Falls MFA nach Option 4 weiterhin blockiert, kann man über eine zugängliche Device Console 2 System Configuration > 7 Reset multi-factor authentication for Admin user ausführen. Ist auch dieser Zugang nicht möglich, sollte Sophos Support eingeschaltet werden. Der vollständige MFA-Ablauf steht unter MFA für Sophos Firewall wiederherstellen.

Besonderheiten bei HA, virtuellen und Cloud-Firewalls

HA-Paar auf denselben Passwortstand bringen

Bei einem HA-Cluster muss der Passwortreset einzeln auf beiden Geräten erfolgen. Ein Reset nur auf dem Primary genügt nicht, weil dieser Schritt nicht zum Auxiliary synchronisiert wird.

Option 4 über die serielle Konsole des aktuellen Geräts ausführen.
Option 4 separat am Peer-Gerät ausführen.
Am WebAdmin des Primary mit admin / admin anmelden.
Ein neues sicheres Passwort setzen.
HA-Zustand und Anmeldung anschliessend kontrollieren.

Der Grund für diese Reihenfolge: Das neu gesetzte Passwort wird nur synchronisiert, wenn beide Geräte zuvor dasselbe Passwort besitzen. Nach dem individuellen Reset beider Knoten auf den Factory-Wert kann der Primary das neue Passwort wieder zum Auxiliary synchronisieren.

Virtuelle, Software- und Cloud-Firewalls

Der öffentlich dokumentierte SFOS-22-Recovery-Weg nennt ausdrücklich die physischen RJ45-COM- und Micro-USB-Anschlüsse. Für virtuelle, Software- oder Cloud-Firewalls ist daraus kein allgemeiner, unterstützter RESET-Ablauf über jede Hypervisor- oder Provider-Konsole ableitbar.

Ist die Firewall bereits in Sophos Central verwaltet, online und mit einem Central-Konto mit vollständigen Administrationsrechten erreichbar, kann man WebAdmin über Central öffnen und dort das lokale admin-Passwort ändern. Andernfalls sollten Hypervisor- beziehungsweise Provider-Konsole, vorhandenes Recovery-Konzept und Sophos Support geprüft werden, bevor man die Instanz neu bereitstellt oder ein Backup restauriert.

Nach der Wiederherstellung prüfen

Der Login ist erst der erste Erfolg. Danach sollten diese Punkte kontrolliert werden:

Abmelden und mit dem neuen Passwort erneut anmelden.
MFA für den Default-Admin testen und zusätzliche Einmalcodes sicher ablegen.
Einen zweiten autorisierten Administrationsweg und vorhandene SSH Public Keys prüfen. Die Schlüsselverwaltung erklärt Sophos Firewall per SSH verbinden.
WebAdmin und SSH unter Administration > Device access weiterhin nur aus den vorgesehenen Netzen erlauben.
Passwort, verantwortliche Personen und Recovery-Ablauf im Passwortmanager beziehungsweise Notfallhandbuch aktualisieren.
Konfigurationsänderungen und dabei protokollierte Central-Benutzeridentitäten im Audit Trail prüfen; Central-Zugriffe zusätzlich in Sophos Central kontrollieren.
Backup-Datei, Backup-Passwort und SSMK getrennt, aber auffindbar halten. Ein Backup-Restore ersetzt das vorhandene Default-Admin-Passwort nicht.

FAQ

Löscht Option 4 die Firewall-Konfiguration?

Option 4 ist im seriellen Reset-Menü ausschliesslich für das Passwort des Default-Admins vorgesehen. Die löschenden Aktionen stehen getrennt unter den Optionen 1 bis 3. Vor der Bestätigung muss deshalb die Optionsnummer nochmals geprüft werden.

Kann ein Backup das vergessene Admin-Passwort wiederherstellen?

Nein. Beim Restore wird das Passwort des Default-Admins nicht aus dem Backup übernommen. Die Ziel-Firewall behält ihr bereits vorhandenes Passwort; Passwort-Recovery und Backup-Restore sind zwei getrennte Abläufe.

Funktioniert RESET auch auf einer virtuellen oder Cloud-Firewall?

Sophos dokumentiert den beschriebenen SFOS-22-Ablauf für physische Konsolenanschlüsse. Für virtuelle und Cloud-Plattformen sollte man keinen allgemeinen RESET-Ablauf annehmen, sondern zuerst einen bereits funktionierenden Central-Zugang mit vollständigen Administrationsrechten, die Plattformkonsole und den von Sophos unterstützten Recovery-Weg prüfen.