Sophos Firewall Login-Disclaimer und Messages konfigurieren

Sophos Firewall kann Administratoren vor dem Zugriff einen Login-Disclaimer anzeigen. Zusätzlich lassen sich unter Administration > Messages Texte für Authentifizierung, SMTP-Ereignisse und SMS-Zugangsdaten anpassen. Alle diese Meldungen sind auf 256 Zeichen begrenzt.

Meine Einordnung ist bewusst deutlich: Der Login-Disclaimer erhöht die technische Sicherheit der Firewall praktisch nicht. Er verhindert weder automatisierte Anmeldeversuche noch die Verwendung gestohlener Zugangsdaten, prüft keine Identität und begrenzt keine Berechtigungen. Im normalen Betrieb erzeugt er vor allem einen zusätzlichen Klick bei jeder Anmeldung, der meist routinemässig bestätigt wird.

SFOS 22 bewertet einen deaktivierten Disclaimer im Firewall health check dennoch als Noncompliant. Die Prüfung Login disclaimer should be enabled gehört zum Standard CIS und hat den Schweregrad Medium. Durch die Aktivierung wird dieser Punkt grün beziehungsweise Compliant, aber damit ist nur der Hinweis eingeschaltet. Die Anmeldung selbst wird dadurch nicht sicherer. Wenn keine rechtliche, vertragliche oder interne Compliance-Vorgabe besteht, sollte man die Funktion nicht nur für einen besseren Score aktivieren. Der Health Check erlaubt für solche bewussten Entscheidungen Override status; Sophos Firewall Health Check richtig einordnen erklärt die Kennzeichnung und Dokumentation.

Der Disclaimer ist damit eine Hinweis- und Compliance-Funktion, keine technische Zugriffskontrolle. Er ersetzt weder Device Access noch Local Service ACL, persönliche Admin-Konten, Rollen, starke Passwörter, MFA oder Audit Logs. Ein rechtlich relevanter Text wird mit der zuständigen Rechts- oder Compliance-Stelle abgestimmt und nicht aus einer beliebigen Vorlage übernommen.

Login-Disclaimer in sieben Schritten

1. Zweck, Zielgruppe, Sprache, Kontakt und maximal 256 Zeichen festlegen.
2. Einen zweiten getesteten Admin- oder Recovery-Zugang offenhalten.
3. Unter Administration > Admin settings > Login disclaimer settings die Option Enable login disclaimer aktivieren und mit Apply speichern.
4. Den Modify-Link öffnen oder unter Administration > Messages > Administration den Disclaimer bearbeiten und speichern.
5. Unter Login disclaimer settings die Vorschau öffnen und Text, Zeilenumbrüche und Vollständigkeit prüfen.
6. In einem privaten Browserfenster einen echten Admin-Login durchführen, den Hinweis lesen und mit I accept bestätigen.
7. Ablehnung, falsche Zugangsdaten, erlaubte Rollen, Audit Trail und bei HA eine frische Anmeldung nach einem geplanten Failover getrennt prüfen.

⚠️ Der Disclaimer darf keine Passwörter, internen IP-Adressen, Recovery-Codes, Support-Geheimnisse oder unnötigen Systemdetails enthalten. Eine Checkbox oder I accept macht einen Text nicht automatisch rechtswirksam. Gleichzeitig darf die Aktivierung nicht die einzige getestete Admin-Sitzung gefährden: Vor der Änderung bleiben ein zweites Admin-Konto und der Recoveryweg verfügbar.

Welche Messages SFOS 22 anpassen kann

Unter Administration > Messages gruppiert SFOS die Vorlagen nach Ereignis:

• Authentication: Bestätigung bei Anmeldung und Abmeldung, fehlgeschlagene Anmeldung und Trennung.
• SMTP: Meldungen zu blockierten und empfangenen E-Mails.
• Administration: Disclaimer für die Admin-Anmeldung.
• SMS customization: SMS-Text mit den dynamischen Attributen {username}, {password} und {expirydate}.

Mit Edit wird ein Text bearbeitet, mit Apply gespeichert und mit Reset auf die Sophos-Standardmeldung zurückgesetzt. Reset ist kein Undo für nur ein Wort, sondern verwirft die eigene Fassung dieses Message-Texts. Vor Änderungen wird der bisherige Text deshalb in der Change-Dokumentation gesichert.

Diese Vorlagen sind von den Transportwegen getrennt. Administration > Messages ändert den Inhalt, aber konfiguriert weder SMTP-Server noch Notification List oder SMS-Gateway. Den E-Mail-Transport erklärt Benachrichtigungs-E-Mail auf Sophos Firewall einrichten; Guest User und SMS-Gateway bleiben im Ablauf Gastbenutzer auf Sophos Firewall sicher erstellen.

Disclaimer-Text planen

Ein guter Login-Hinweis bleibt kurz, eindeutig und ohne technische Geheimnisse. Er kann diese Punkte enthalten:

• Zugriff nur für autorisierte Administratoren.
• Nutzung und Änderungen können protokolliert werden.
• Fortfahren bedeutet, dass der Hinweis gelesen wurde.
• Kontakt für versehentliche oder nicht autorisierte Zugriffsversuche.
• Referenz auf eine intern gepflegte Richtlinie, sofern der Link aus dem Managementnetz erreichbar ist.

Ein neutraler Dokumentationstext kann so aussehen:

Zugriff nur für autorisierte Administratoren. Anmeldungen und Änderungen können protokolliert werden. Mit dem Fortfahren wird dieser Hinweis bestätigt. Kontakt: noc@example.com

.example ist eine reservierte Dokumentationsdomain. Kontakt, Wortlaut und gegebenenfalls Richtlinienreferenz werden an die eigene Organisation angepasst. Der Text bleibt unter 256 Zeichen und wird nicht als universelle Rechtsvorlage bezeichnet.

Vermeiden sollte man:

• lange Richtlinien, die im kleinen Login-Fenster niemand zuverlässig lesen kann;
• Aussagen wie «vollständig sicher», «lückenlos überwacht» oder «automatisch rechtsverbindlich»;
• konkrete Firmwarestände, interne Hostnamen oder Netzpläne;
• personenbezogene Daten eines einzelnen Mitarbeiters, wenn ein Funktionskontakt möglich ist;
• widersprüchliche Texte in mehreren Sprachen ohne verantwortlichen Owner.

Login-Disclaimer aktivieren

Der Schalter und der Text liegen in zwei Bereichen. Diese Trennung ist wichtig:

1. Administration > Admin settings öffnen.
2. Zu Login disclaimer settings wechseln.
3. Enable login disclaimer auswählen.
4. Apply anklicken.
5. Den Link zum Ändern des Texts verwenden oder zu Administration > Messages wechseln.

Nach Eingabe der Credentials müssen Administratoren I accept anklicken. Die aktuelle Sophos-Anleitung nennt den Hinweis vor dem Zugriff auf WebAdmin, User Portal und CLI. Daraus wird keine Netzwerkfreigabe abgeleitet: Erreichbarkeit und Authentifizierung werden weiterhin unabhängig gesteuert.

Die Schutzebenen bleiben getrennt:

• Lokale Administratoren und Device-Access-Profile bestimmen Identität und Rechte.
• Device Access und Local Service ACL begrenzen, aus welchen Netzen WebAdmin oder SSH erreichbar sind.
• MFA, Passwortschutz und Login Restrictions bleiben unverändert aktiv.
• Der Disclaimer ergänzt diese Kontrollen nur um einen sichtbaren Hinweis.

Disclaimer-Text unter Messages pflegen

Unter Administration > Messages wird der eigentliche Inhalt geändert:

1. Den Bereich Administration aufklappen.
2. Edit wählen.
3. Den abgestimmten Text mit höchstens 256 Zeichen eintragen.
4. Apply wählen.
5. Zu Administration > Admin settings > Login disclaimer settings zurückkehren.
6. Den Preview-Link öffnen.

Die Vorschau bestätigt Darstellung und Inhalt, aber nicht den vollständigen Login. Erst eine neue private Browsersitzung zeigt, ob der Disclaimer nach den Credentials erscheint und I accept erforderlich ist. Eine bereits bestehende Admin-Sitzung ist dafür kein belastbarer Test.

Wenn der Text unbrauchbar ist, stellt Reset die Sophos-Standardmeldung wieder her. Für ein kontrolliertes Rollback ist die vorherige eigene Fassung trotzdem dokumentiert, weil Reset nicht zu dieser kundenspezifischen Version zurückkehrt.

Authentication- und SMTP-Messages sicher ändern

Authentifizierungs- und SMTP-Meldungen wirken direkt auf Benutzer oder Mailabläufe. Änderungen werden deshalb nicht nur redaktionell, sondern auch funktional geprüft.

Bei Authentifizierungsfehlern sollte der Text keine unnötige Information darüber liefern, ob ein Benutzername existiert, ein Passwort falsch war oder MFA fehlt. Eine allgemeine Fehlermeldung reduziert Hinweise für Angreifer. Positiver Login, falsches Passwort, Abmeldung und erzwungene Trennung werden mit Testkonten geprüft.

SMTP-Message-Texte ändern weder Mailrouting noch die Ursache einer Blockierung. Nach einer Anpassung werden eine kontrollierte erlaubte und eine kontrollierte blockierte Nachricht getestet. Mail-Logs und Message History bleiben die technische Evidenz; der sichtbare Text allein beweist keine korrekte SMTP-Verarbeitung.

SMS-Template mit Provider abgleichen

Für SMS customization erlaubt SFOS diese Platzhalter:

• {username}
• {password}
• {expirydate}

Die Platzhalter bleiben exakt geschrieben. Der SMS-Provider kann eine vorab freigegebene Vorlage verlangen. Wenn Wortlaut, Reihenfolge oder Zusatztext davon abweichen, kann der SMS-Server die Nachricht ablehnen. Deshalb wird zuerst das verbindliche Provider-Template beschafft und dann die SFOS-Message daran angepasst.

Ein Preview des Login-Disclaimers testet keine SMS. Auch Test connection am SMS-Gateway bestätigt nur den dort vorgesehenen Testpfad. Der vollständige Nachweis besteht aus einem kontrollierten Guest User, einer tatsächlich empfangenen SMS, korrekten Platzhalterwerten und einem erfolgreichen Login.

SMS mit {password} enthält Zugangsdaten. Empfänger, Gültigkeitsdauer, Geräteschutz und Löschung werden daher wie bei Passwörtern behandelt. Der Text enthält keine zusätzlichen internen Details, und Screenshots oder Tickets werden ohne reale Credentials erstellt.

Änderung abnehmen

Die Abnahme trennt Darstellung, Zugriff und Zustellung:

1. Vorschau: Disclaimer vollständig, lesbar und unter 256 Zeichen.
2. Positiver Admin-Login: Hinweis erscheint nach den Credentials und I accept ermöglicht den vorgesehenen Zugriff.
3. Negativer Test: Falsche Credentials bleiben abgewiesen; der Disclaimer umgeht keine Authentifizierung.
4. Rollen: Ein Read-only-Admin erhält durch die Zustimmung keine zusätzlichen Rechte.
5. Device Access: Nicht erlaubte Quellnetze erreichen WebAdmin weiterhin nicht.
6. CLI: Den in der eigenen Umgebung genutzten CLI-Zugriff separat prüfen, ohne SSH dafür breiter freizugeben.
7. E-Mail und SMS: Jeweils einen echten kontrollierten Zustelltest durchführen; Preview und Message-Text allein genügen nicht.
8. Audit: Änderung, Administrator und Zeitpunkt im Audit Trail kontrollieren; den erwarteten Text zusätzlich mit Preview und der Change-Dokumentation abgleichen. Die Einordnung erklärt Configuration Audit Logs auf Sophos Firewall auswerten.
9. HA: Nach einem geplanten Failover eine neue Anmeldung am aktiven Node prüfen; keine Fortsetzung bestehender WebAdmin- oder CLI-Sitzungen versprechen.

Fehler nach Symptom eingrenzen

Der Disclaimer erscheint nicht

Prüfen, ob Enable login disclaimer aktiviert und unter Admin settings mit Apply gespeichert wurde. Danach neue private Browsersitzung verwenden. Eine alte Sitzung oder nur der bearbeitete Text unter Messages beweist nicht, dass der Schalter aktiv ist.

Der Text ist falsch oder abgeschnitten

Zeichenzahl, Zeilenumbrüche und Sonderzeichen prüfen. Auf höchstens 256 Zeichen kürzen und erneut in der Vorschau kontrollieren. Wenn die eigene Fassung nicht sicher repariert werden kann, Reset verwenden und den abgestimmten Text aus der Change-Dokumentation neu eintragen.

Der Login scheitert nach der Änderung

Nicht den Disclaimer als Ursache voraussetzen. Credentials, MFA, Administrator authentication methods, Login Restrictions, Block login, Device Access und Zertifikat getrennt prüfen. Mit der offenen Recovery-Sitzung den Disclaimer vorübergehend deaktivieren, wenn nur so die Ursache sicher abgegrenzt werden kann. Keine ACL oder Authentifizierungsmethode breit öffnen.

Die SMS wird nicht zugestellt

Provider-Template, exakte Platzhalter, SMS-Gateway, Mobilnummernformat und Providerantwort prüfen. Wenn der Provider eine registrierte Vorlage verlangt, darf der Text nicht auf Verdacht weiter verändert werden. Den vollständigen Guest-User-Ablauf und nicht nur Test connection abnehmen.

Der Health Check fordert einen Login-Disclaimer

Der Sophos Firewall Health Check bewertet die Funktion als Compliance-Empfehlung. Der Disclaimer bietet keinen technischen Schutzgewinn wie MFA oder eine enge ACL. Die Entscheidung wird anhand der eigenen Audit-, Kunden- und Rechtsanforderungen getroffen; Sophos Firewall Health Check richtig einordnen erklärt diese Grenze.

Rollback

1. Vorherigen eigenen Text aus der Change-Dokumentation bereithalten.
2. Bei einem reinen Textfehler unter Administration > Messages die vorherige Fassung wieder eintragen oder bewusst Reset verwenden.
3. Bei einem Loginproblem mit der offenen Recovery-Sitzung Enable login disclaimer deaktivieren und Apply wählen.
4. Authentication-, SMTP- oder SMS-Templates einzeln auf den dokumentierten Vorzustand zurücksetzen; nicht alle Message-Bereiche gleichzeitig ändern.
5. Neue private Anmeldung, Rollen, Device Access sowie gegebenenfalls E-Mail- und SMS-Zustellung erneut prüfen.
6. Änderung und Rollback im Audit Trail sowie im Change dokumentieren.

Checkliste

• Zweck, Owner, Sprache und maximal 256 Zeichen festgelegt.
• Text durch Rechts- oder Compliance-Verantwortliche geprüft, falls erforderlich.
• Zweiter Admin- und Recovery-Zugang getestet.
• Disclaimer unter Admin settings aktiviert und mit Apply gespeichert.
• Message unter Administration > Messages gepflegt.
• Vorschau und neue private Anmeldung getestet.
• I accept erweitert weder Rolle noch Device Access.
• Authentication-, SMTP- und SMS-Texte jeweils mit echtem Ereignis geprüft.
• SMS-Template und Platzhalter stimmen mit dem Provider überein.
• Audit Trail, HA-Test und Rollback dokumentiert.

FAQ