Sophos Firewall auf Werkseinstellungen zurücksetzen

Ein Factory Reset setzt die Konfiguration der aktuell gestarteten SFOS-Firmware auf Werkseinstellungen zurück. Er passt, wenn SFOS selbst intakt ist, die Konfiguration aber bewusst verworfen oder eine Appliance für einen kontrollierten Neuaufbau vorbereitet werden soll.

⚠️ Nicht mit Reimage verwechseln: Der Factory Reset löscht die eigene Konfiguration und unterbricht den gesamten Datenverkehr. Pattern-Signaturen, Reports und Logs bleiben jedoch auf dem Gerät. Beim SSMK widerspricht sich die öffentliche SFOS-22-Hilfe; der Schlüssel muss deshalb vorher extern gesichert werden. Für eine vollständige Neuinstallation oder sichere Bereinigung ist Sophos Firewall OS per USB neu installieren der passende Weg.

Factory Reset in sechs Schritten

Bestätigen, dass ein Factory Reset und nicht Rollback, Restore oder Reimage benötigt wird.
Aktuelles Backup, Backup-Passwort, SSMK, Seriennummer, Firmware-Build und Managementdaten extern sichern.
Lokalen Zugriff auf Port 1, Konsolenzugang und einen Ansprechpartner vor Ort vorbereiten.
Reset im WebAdmin oder mit der exakt zum XGS-Modell passenden Tastensequenz auslösen.
Neustart und Setup Assistant abwarten, ohne die Appliance vorzeitig auszuschalten.
Firewall neu aufbauen oder das vorgesehene Backup restaurieren und alle Funktionen testen.

Ohne getestetes Backup und erreichbaren lokalen Recovery-Weg wird nicht zurückgesetzt. Bei einer noch laufenden Fehleranalyse werden zuerst Logs, Zeitlinie und Supportdaten gesichert; ein Factory Reset beseitigt genau die Konfiguration, die den Fehler erklären könnte.

Factory Reset, Rollback und Reimage unterscheiden

Die drei Wege haben unterschiedliche Ziele. Ein Factory Reset behält die installierte Firmware, setzt aber deren aktuelle Konfiguration zurück. Ein Rollback startet die vorherige Firmwarepartition samt deren damaliger Konfiguration. Ein Reimage installiert SFOS neu und entfernt auch lokale Betriebsdaten, die ein Factory Reset bewusst behält.

Ein langsames WebAdmin, ein einzelner fehlerhafter Dienst oder ein volles Report-Dateisystem sind deshalb noch kein Grund für einen Factory Reset. Zuerst den konkreten Dienst, Speicherzustand und die Logs prüfen. Ist nur das Passwort des eingebauten admin verloren, setzt die serielle Passwort-Recovery gezielt dieses Passwort zurück, ohne die gesamte Konfiguration zu löschen.

Was nach dem Reset erhalten bleibt

SFOS 22 entfernt eigene Konfigurationen einschliesslich selbst erstellter Signaturen, etwa eigener IPS-Signaturen. Auch die Firewall-Regeln werden gelöscht; anschliessend besteht nur die automatisch erzeugte Regel Auto added firewall policy for MTA.

Ein Factory Reset ist aber keine vollständige Datenlöschung:

Über Pattern updates aktualisierte Signaturen bleiben erhalten.
Reports und Logs bleiben erhalten.
Zum Secure Storage Master Key (SSMK) macht Sophos widersprüchliche Angaben: Die spezifische Reset-Seite sagt, er werde nicht gelöscht, während die allgemeine Firmware-Seite seine Entfernung nennt. Der Schlüssel wird daher vor dem Reset extern gesichert und sein Zustand danach geprüft.
Zurückgesetzt wird die Konfiguration der aktuell gestarteten Firmwarepartition. Die andere Firmwarepartition behält ihren eigenen Konfigurationsstand; ein späteres Rollback kann ihn wieder aktivieren.

Diese Eigenschaften sind für Recovery hilfreich, aber ungeeignet, wenn eine Appliance ausgemustert, weitergegeben oder vollständig bereinigt werden soll. Dafür ist ein Reimage beziehungsweise der von Sophos vorgegebene RMA- oder Entsorgungsprozess nötig.

Reset sicher vorbereiten

Vor dem Wartungsfenster wird ein frisches Sophos Firewall Backup heruntergeladen. Zum Recovery-Paket gehören ausserdem Backup-Passwort, aktueller und frühere SSMK, aktuelle Management-IP, WAN-Daten, Interface-Belegung, Lizenz- und Central-Zuordnung sowie der genaue SFOS-Build.

Bei einer entfernten Appliance reicht der normale WebAdmin-Zugang nicht als Rückweg. Nach dem Reset gelten wieder Werkseinstellungen, und bestehende WAN-, VPN- oder Central-Pfade können verschwinden. Deshalb müssen eine lokale Person, direkter Port-1-Zugang oder eine serielle Konsole vor Beginn tatsächlich verfügbar sein.

Ein HA-Mitglied wird nicht spontan einzeln zurückgesetzt. Zuerst Rollen, Initial Primary, Firmware-Build, HA-Link, Central-Registrierung und die vorgesehene Wiederaufbau-Reihenfolge dokumentieren. Der vollständige Ablauf steht unter Sophos Firewall HA-Varianten und Wartung.

Factory Reset auslösen

Im WebAdmin

Unter Backup & Firmware > Firmware steht die Aktion Boot with factory default configuration zur Verfügung. Sie beendet laufende Sessions und startet die Firewall mit Werkseinstellungen neu. Vor der Bestätigung müssen das Wartungsfenster und der lokale Rückweg bereits aktiv sein.

Die ähnlich klingende Auswahl Factory reset with default configuration language setzt die Firewall ebenfalls zurück. Sie ändert die Sprache der Standardobjekte in der Konfigurationsdatenbank, nicht bloss die WebAdmin-Anzeigesprache. Ein Restore bringt auch die im Backup gespeicherte Konfigurationssprache zurück; diese Auswahl ist deshalb für die Erstbereitstellung und nicht für einen beiläufigen Sprachwechsel gedacht.

Mit der Reset-Taste einer XGS Appliance

Die Hardwaresequenz ist modellabhängig. Vor dem Drücken muss die Modellbezeichnung auf dem Gerät eindeutig bestätigt sein.

XGS 116/116w und grössere Modelle:

Reset-Taste auf der Rückseite länger als 10 Sekunden gedrückt halten.
Taste loslassen und den Reset abwarten.

XGS 88/88w und XGS 108/108w, nur mit Reset-Taste:

Reset-Taste mindestens drei Sekunden drücken und loslassen.
Reset-Taste 21 Sekunden drücken und loslassen.
Reset-Taste erneut gedrückt halten, bis die Status-LED dreimal rot blinkt, nach ungefähr 21 Sekunden.
Taste loslassen.

Mit angeschlossener serieller Konsole kann bei diesen Modellen stattdessen ein Neustart ausgelöst und während der GRUB-Anzeige die Reset-Taste gehalten werden. Erst bei der Meldung Hard reset button is pressed, performing default factory reset wird die Taste losgelassen.

XGS 87/87w und XGS 107/107w:

Reset-Taste drücken und sofort loslassen.
Drei Sekunden warten.
Reset-Taste gedrückt halten, bis die Status-LED dreimal rot blinkt.
Taste loslassen.

Bei XG Series löst die Taste auf der Rückseite nur einen Neustart aus und keinen Factory Reset. Eine Tastensequenz eines anderen Modells wird nicht ausprobiert. Wenn Beschriftung, Revision oder LED-Verhalten unklar sind, ist der dokumentierte WebAdmin- oder Konsolenweg sicherer.

Nach dem Reset wieder in Betrieb nehmen

Nach dem Neustart wird die Appliance lokal über den vorgesehenen Initialzugang erreicht und der Setup Assistant kontrolliert abgeschlossen. Erst danach wird entschieden, ob eine neue Konfiguration aufgebaut oder ein kompatibles Backup restauriert wird.

Bei einem Restore gelten Management-IP, Interfaces, Device Access, Routen und Dienste aus dem Backup. Das Passwort des standardmässigen admin-Kontos wird dagegen nicht aus dem Backup übernommen; die Ziel-Firewall behält ihr aktuelles Default-Admin-Passwort.

Die Abnahme umfasst mindestens aktive SFOS-Version, Interfaces, WAN, DNS, DHCP, Routing, SD-WAN, Firewall-Regeln, NAT, VPN, RED, HA, Authentifizierung, Zertifikate, Logging und Sophos Central. Ein erfolgreicher Login allein beweist nicht, dass der produktive Datenpfad wiederhergestellt ist.

Wenn der Reset anders verläuft als erwartet

Die Taste startet das Gerät nur neu: Zuerst Modell und Sequenz prüfen. Bei XG Series ist dieses Verhalten beabsichtigt. Nicht mit zunehmend langen Tastendrücken experimentieren.

Reports oder Logs sind noch vorhanden: Das entspricht dem dokumentierten Factory-Reset-Verhalten. Wenn auch lokale Betriebsdaten entfernt werden müssen, ist Reimage der passende Vorgang.

Nach einem Rollback erscheint die alte Konfiguration wieder: Jede Firmwarepartition besitzt ihren eigenen Konfigurationsstand. Der Factory Reset der aktiven Partition löscht nicht automatisch die Konfiguration der anderen Partition.

WebAdmin ist nicht mehr unter der bisherigen Adresse erreichbar: Nach dem Reset gilt der Initialzugang. Verkabelung, Client-IP, Port 1 und lokalen Setup-Pfad prüfen, statt weitere Resets auszulösen.

Checkliste

Factory Reset gegen Rollback, Restore und Reimage abgegrenzt.
Backup-Datei, Passwort und SSMK extern gesichert.
Lokaler Port-1- oder Konsolenzugang getestet.
Genaues XGS-Modell und passende Tastensequenz bestätigt.
HA-, Lizenz- und Central-Folgen dokumentiert.
Setup-, Restore- und Funktionstests vorbereitet.
Reports, Logs und zweite Firmwarepartition nicht als gelöscht angenommen.

FAQ

Löscht ein Sophos Firewall Factory Reset wirklich alle Daten?

Nein. Eigene Konfigurationen werden zurückgesetzt, Pattern-Signaturen, Reports und Logs bleiben jedoch erhalten. Beim SSMK widerspricht sich die Sophos-Hilfe, weshalb er vor dem Reset extern gesichert werden muss. Eine vollständige Neuinstallation erfolgt per Reimage.

Kann man das Backup nach dem Factory Reset wiederherstellen?

Ja, wenn Backup, Passwort, SSMK, Zielversion und Plattform kompatibel sind. Beim Restore wird auch die Managementkonfiguration aus dem Backup aktiv.

Setzt die Reset-Taste jede Sophos Firewall auf Werkseinstellungen?

Nein. Die Sequenz ist vom XGS-Modell abhängig; bei XG Series führt die Taste nur einen Neustart aus.