Sophos Firewall Firmware Update: Vorbereitung und Best Practices

Ein Sophos Firewall Firmware Update sollte erst freigegeben werden, wenn Upgrade-Pfad, Backup, Zugriff, Systemzustand, HA und Rückweg geklärt sind. Die eigentliche Installation im WebAdmin oder über Sophos Central beschreibt Sophos Firewall Firmware Update durchführen.

⚠️ Vor jedem Update: Ein aktuelles Backup, der zum Backup gehörende Secure Storage Master Key und ein konkreter Rollback-Plan müssen verfügbar sein. Für SFOS 22 oder neuer zusätzlich den SFOS 22 Upgrade-Check durchführen.

Freigabe in zehn Punkten

Ein Firmware-Change ist bereit, wenn alle zehn Punkte mit Ja beantwortet werden können:

Aktuelle Version, Zielversion und unterstützter Upgrade-Pfad sind dokumentiert.
Release Notes und Known Issues wurden für die eigene Plattform und Konfiguration geprüft.
Lizenz und Support-Berechtigung erlauben die Installation.
Ein frisches Backup, Backup-Passwort und passender Secure Storage Master Key sind verfügbar.
Freier Speicherplatz, Systemzustand und bei betroffenen XGS-Modellen die SSD-Firmware passen.
HA-Status, Rollen und Synchronisation sind fehlerfrei; beide Nodes erfüllen die Voraussetzungen.
Wartungsfenster, Verantwortliche, Abbruchzeitpunkt und Rollback-Kriterien sind festgelegt.
Ein lokaler oder alternativer Managementzugriff ist vorbereitet.
Tests für WAN, VPN, DNS, NAT, WAF, Authentifizierung und zentrale Applikationen sind definiert.
Monitoring, Kommunikation und Change-Nachweis sind vorbereitet.

Fehlt einer dieser Punkte, sollte das Update nicht aus Zeitdruck gestartet werden. Ein verschobenes Wartungsfenster ist günstiger als ein ungeplanter Reimage- oder Vor-Ort-Einsatz.

Version, Plattform und Berechtigung prüfen

Release Notes und Upgrade-Pfad

Vor dem Change zuerst die aktuelle SFOS-Version, die Zielversion und den unterstützten Pfad in den Release Notes abgleichen. Zusätzlich die Sophos Known Issues nach Plattform, HA, VPN, Routing, Authentifizierung und den tatsächlich eingesetzten Funktionen durchsuchen.

Bei einem nicht freigegebenen Migrationspfad kann Sophos Firewall eine Warnung anzeigen. Wird der Wechsel trotzdem bestätigt, kann die Firewall mit Factory Configuration starten und die bestehende Konfiguration verlieren. Ein automatischer Rollback schützt bei einem nicht unterstützten Upgrade-Pfad nicht. Deshalb nur einen freigegebenen Pfad verwenden; für einen inkompatiblen Versionswechsel ist ein Reimage mit anschliessendem Restore der saubere Weg.

⚠️ Plattformgrenze: SFOS 21.0 GA und neuere Versionen unterstützen XG- und SG-Hardware-Appliances nicht mehr. Vor dem Upgrade muss bei diesen Geräten eine Migration auf XGS geplant werden.

Versionsspezifische Blocker gehören nicht als lange Liste in jeden Firmware-Artikel. Für SFOS 22 prüft der separate Upgrade-Check unter anderem zusätzlichen Speicherbedarf, Interface-Namen, Legacy Remote Access IPsec, STAS, SSD-Firmware und Plattformunterstützung. Für andere Zielversionen sind deren aktuelle Release Notes massgebend.

⚠️ Vor dem ersten Upgrade auf SFOS 21 oder neuer: Unter Certificates > Certificate authorities nach den reservierten Let’s-Encrypt-CA-Namen suchen. Ein bereits konfigurierter Eintrag mit exakt demselben Namen kann die Migration durch NC-146082 abbrechen. Die CA nicht blind löschen, sondern zuerst Backup, Private Key und abhängige Zertifikate sowie Dienste sichern und prüfen.

Lizenz und Support

Seit SFOS 19.0 MR1 sind ohne Enhanced Support oder Enhanced Plus Support drei kostenlose Wechsel auf GA-, MR- oder EAP-Versionen möglich. Danach kann die Firmware weiterhin heruntergeladen, aber nicht installiert werden; Install ist deaktiviert.

Pattern Updates, Hotfixes, Reimage sowie Mandatory und Assistant Firmware Upgrades sind von dieser Supportregel ausgenommen. Vor dem Wartungsfenster sollte trotzdem geprüft werden:

Administration > Licensing zeigt die erwartete Lizenz und Support-Berechtigung.
Sophos Central führt die richtige Firewall und Seriennummer.
Zielversion und Download sind verfügbar.
Supportzugang, Ansprechpartner und Eskalationsweg sind bekannt.

Wenn für den Change ein externer Zugriff benötigt wird, muss dieser vorher getestet sein. Für Avanet passt Support-Zugriff auf Sophos Firewall einrichten.

Backup, Recovery und Nachweis vorbereiten

Backup, SSMK und Firmware-Slots

Vor dem Update ein frisches Konfigurationsbackup herunterladen und prüfen, welcher Secure Storage Master Key zum Backup gehört. Zusätzlich Backup-Passwort, Admin-Zugang, aktive Firmwareversion und Zielversion im Change festhalten.

Sophos Firewall hält höchstens zwei Firmwarestände: eine aktive und eine inaktive Version. Beide Partitionen besitzen ihren eigenen Konfigurationsstand. Ein Rollback aktiviert daher nicht nur die vorherige Firmware, sondern auch deren Konfiguration. Änderungen, die nach dem Upgrade vorgenommen wurden, können beim Zurückwechseln verloren gehen.

Ein automatischer Rollback ist ab SFOS 20.0 bei bestimmten Fehlern der Konfigurationsmigration verfügbar. Er ist eine Sicherheitsfunktion, ersetzt aber weder Backup noch Ursachenanalyse und steht bei einem nicht unterstützten Upgrade-Pfad nicht zur Verfügung.

Der vollständige Backup- und Restore-Ablauf steht in Sophos Firewall Backup erstellen oder wiederherstellen. Wenn ein normaler Versionswechsel nicht möglich ist, hilft Sophos Firewall OS mit USB-Stick neu installieren.

Rollback-Kriterien vorab festlegen

Vor dem Start definieren, wie lange ein Fehler analysiert wird und wann der Rückweg beginnt. Ein Rollback ist sinnvoll, wenn WAN, HA, zentrale VPNs oder produktionskritische Veröffentlichungen im vereinbarten Zeitfenster nicht stabilisiert werden können. Bei einer einzelnen Regel, einem Objekt oder einem externen Dienst ist gezieltes Troubleshooting oft besser.

Für den Nachweis reichen bei einem normalen Maintenance Release Backup, Screenshot der Firmwareseite, Zeitfenster und Testergebnis. Bei grösseren Changes helfen Sophos Firewall Config Studio für Konfigurationsvergleiche und der Audit Trail für Änderungen während des Wartungsfensters.

Systemzustand, Speicher und HA prüfen

Speicherplatz und SSD

Vor einem grösseren Upgrade im WebAdmin kontrollieren:

Control center zeigt keine ungeklärten kritischen Warnungen.
Backup & Firmware > Firmware zeigt die erwarteten Firmware-Slots.
Diagnostics > Log viewer enthält keine wiederkehrenden System- oder Migrationsfehler.
Relevante Dienste laufen stabil.
Der Firewall Health Check enthält keine offenen Punkte, die den Change beeinflussen.

Nach der SSH-Anmeldung unter Device Management > Advanced Shell den freien Speicherplatz prüfen:

df -kh

Ist eine Partition fast voll, nicht blind Dateien, Logs oder Reports in der Advanced Shell löschen. Zuerst die Ursache bestimmen und den dokumentierten Bereinigungsweg verwenden. Der praktische Ablauf steht in Sophos Firewall Speicherplatz prüfen und Reports verwalten.

Für SFOS 22 kann zusätzlicher Speicherplatz nötig sein. Bei bestimmten XGS-Modellen muss ausserdem zuerst die SSD-Firmware aktualisiert werden; eine Meldung im WebAdmin weist darauf hin. In einem HA-Cluster wird jeder Node separat bewertet. Wenn eine Appliance die Anforderungen nicht erfüllt, kann dies das gesamte Upgrade blockieren.

Bei älteren Appliances oder I/O-, Datenbank- und Reportproblemen zusätzlich die SSD-Gesundheit per SMART prüfen. Ohne konkreten Befund sind manuelle Änderungen an Datenbanken oder Dateisystemen kein sinnvoller Vorbereitungsschritt.

HA-Cluster

HA muss für ein normales Firmware-Update nicht deaktiviert werden. Vor der Freigabe müssen aber beide Appliances verbunden, synchron und eindeutig als Primary beziehungsweise Auxiliary erkennbar sein. Auch ein HA-Update braucht ein Wartungsfenster, weil beim Failover einzelne Sessions, VPN-Tunnel oder Pings kurz unterbrochen werden können.

Vor dem Start dokumentieren:

Rollen, HA-Status und Synchronisation.
Zustand des HA-Links.
Firmware-, Speicher- und SSD-Voraussetzungen beider Nodes.
alternativen Managementzugriff.
erwarteten Failover und mögliche kurze Unterbrüche.

Die Auxiliary Appliance darf nicht separat aktualisiert werden. Den genauen Ablauf mit Auxiliary-Update, Failover und Update des bisherigen Primary erklärt der Durchführungsartikel. Weitere HA-Sonderfälle stehen in Sophos Firewall HA-Cluster: Varianten und Wartung.

Pattern Updates werden auf dem Primary aktualisiert und danach zum Auxiliary synchronisiert. Hotfixes und ihr Status müssen davon getrennt betrachtet und nach dem Wartungsfenster auf beiden Geräten kontrolliert werden.

Wartungsfenster, Central und Tests planen

Wartungsfenster und Zugriff

Ein Wartungsfenster enthält mehr als den Installationszeitpunkt:

Startzeit, spätesten Abbruchzeitpunkt und Rollback-Entscheid.
verantwortliche Personen für Firewall, Netzwerk, Server, Applikationen und Support.
lokaler Kontakt, Out-of-Band-Zugang oder zweiter Managementpfad.
Kommunikationsweg, falls WAN oder Remote Access ausfällt.
Wartungsmodus für Monitoring und Alarmierung.
Testreihenfolge für die wichtigsten Geschäftsprozesse.

Bei entfernten Standorten nicht nur auf Sophos Central oder die bestehende VPN-Verbindung vertrauen. Fällt genau dieser Pfad während des Updates aus, muss weiterhin ein definierter Zugriff oder Eskalationsweg bestehen.

Firmware über Sophos Central planen

Central-geplante Firmware-Upgrades werden unter My Products > Firewall Management > Firewalls vorbereitet und überwacht. Die Task Queue gehört zu Gruppenrichtlinien sowie MDR-/API-Konfigurationsaufträgen und zeigt keine Firmware-Upgrades.

Über Central können nur Zielversionen installiert werden, die im Release-Prozess die Phase Available to all erreicht haben. Geplante Updates starten nach der auf der Firewall eingestellten Zeitzone, nicht nach der Browserzeit des Admins. Bei internationalen Standorten gehören Zeitzone, lokales Wartungsfenster und Zielversion deshalb in den Change.

Während des Upgrades dreht sich neben der Firewall ein Statussymbol; nach Abschluss verschwindet es. Danach bleibt die lokale Prüfung der aktiven Firmwareversion Pflicht. Bei einem automatischen Rollback zeigt Central neben der Firmwareversion eine entsprechende Meldung.

Echte Funktionstests

Ein Ping allein beweist nicht, dass die Firewall nach dem Update korrekt arbeitet. Vorher konkrete Tests mit Quelle, Ziel und erwartetem Ergebnis festlegen:

Internetzugriff und DNS-Auflösung.
DHCP, VLANs, WAN-Uplinks und SD-WAN-Routen.
Site-to-Site VPN, Remote Access VPN und RED.
Firewallregeln, NAT und veröffentlichte Dienste.
WAF, Web Protection und TLS Inspection.
LDAP, RADIUS, Microsoft Entra ID und andere zentrale Authentifizierung.
Mailfluss und geschäftskritische Applikationen.
Syslog, SIEM und Monitoring.

Nach dem Update abnehmen

Nach dem Neustart zuerst unter Backup & Firmware > Firmware die aktive Version und den erwarteten inaktiven Slot prüfen. Danach:

Control center auf neue Warnungen oder automatischen Rollback kontrollieren.
Interfaces, WAN, SD-WAN, HA-Rollen und Synchronisation prüfen.
VPNs, RED, DNS, DHCP, Regeln, NAT, WAF und Authentifizierung mit den vorbereiteten Tests abnehmen.
Pattern- und Hotfix-Status kontrollieren.
Sophos-Central-Synchronisation sowie Monitoring, Syslog und SIEM prüfen.
Ergebnis, Zeitpunkte, Abweichungen und allfällige Folgearbeiten im Change festhalten.

Wenn eine einzelne Funktion ausfällt, zuerst Log Viewer, Policy Test, Packet Capture und zuständige Service-Logs verwenden. Dafür passen Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture und Sophos Firewall Troubleshooting: Services und Logs.

FAQ

Wie oft sollte man Sophos Firewall Firmware Updates installieren?

Security-Fixes und Maintenance Releases sollten nicht unnötig lange liegen bleiben. Ein geplanter Rhythmus mit Release-Notes-Prüfung, Test- und Rollback-Plan ist besser als spontane Updates.

Muss man vor jedem Firmware-Update ein Backup erstellen?

Ja. Auch bei vorhandenem Rollback sollte ein frisches Backup samt passendem Secure Storage Master Key verfügbar sein.

Kann man ein Firmware-Update ohne Enhanced Support installieren?

Ohne Support sind ab SFOS 19.0 MR1 drei kostenlose GA-, MR- oder EAP-Wechsel möglich. Danach kann die Firmware heruntergeladen, aber nicht installiert werden.

Muss HA vor einem Firmware-Update deaktiviert werden?

Nein. Der Cluster muss aber verbunden und synchron sein, beide Nodes müssen die Voraussetzungen erfüllen, und ein Wartungsfenster bleibt nötig.

Was ist der Unterschied zwischen Rollback und Reimage?

Ein Rollback startet eine vorhandene kompatible Firmwarepartition mit deren Konfigurationsstand. Ein Reimage installiert Sophos Firewall OS neu und benötigt danach einen Restore.