Sophos Fusion Admin: Übergang von Sophos Central

Sophos Fusion ist der aktuelle Name der Plattform, die zuvor Sophos Central hiess. Für Administratoren betrifft der Übergang vor allem sichtbare Namen, den Einstieg ins Portal und die Navigation. Er ist kein Auftrag, Tenants, Geräte, Policies, Rollen, Lizenzen oder Integrationen neu anzulegen. Dieses Runbook deckt nur die kontrollierte Umstellung des administrativen Zugangs ab; Produktkonfigurationen bleiben unverändert.

Sichtbare Namen und Portaltypen unterscheiden

Je nach Rolle und Kontotyp erscheint eine andere Oberfläche:

Kontext	Sichtbarer Name	Orientierung in der aktuellen Navigation
Kundentenant	Sophos Fusion Admin	My Environment bündelt unter anderem Alerts, Users & Groups, Devices und Account Health Check. Global Settings wird über das Zahnrad in der Taskbar geöffnet, Sophos Help über das Help-Symbol.
Enterprise-Verwaltung	Sophos Fusion Enterprise	My Environment führt unter anderem zu Alerts und Installern. Der frühere Bereich Configure ist entfernt; Settings & Policies heisst Global Settings und wird über das Symbol in der Taskbar geöffnet.
Partner-Verwaltung	Sophos Fusion Partner	Auch hier führt My Environment unter anderem zu Alerts und Installern. Configure ist entfernt; Settings & Policies heisst Global Settings und liegt in der Taskbar.

Die drei Namen bezeichnen unterschiedliche Verwaltungskontexte und sind nicht austauschbar. Welche Kunden, Sub-Estates oder Produkte sichtbar sind, hängt weiterhin von Konto, Rolle und Berechtigung ab. Die detaillierte Orientierung im Kundentenant steht in Sophos Fusion Tenant sicher in Betrieb nehmen; die verschiedenen Portaltypen ordnet Sophos Portale im Überblick ein.

Umstellung vorbereiten

Betroffenen Kontotyp, Tenant, Datenregion und verwendete Adminrolle dokumentieren.
Eine funktionierende Anmeldung in einem unterstützten, aktuellen Desktop-Browser bestätigen. Nicht gleichzeitig Authentifizierung, Rolle oder Identity Provider ändern.
Lokale Verweise auf den bisherigen Portal-Einstieg erfassen: Browser-Lesezeichen, Passwortmanager-Eintrag, interne Dokumentation und Startseiten sowie, sofern eingesetzt, Proxy- oder Web-Filter-Regeln und Conditional-Access-Zieldefinitionen.
Verwendete technische Verweise getrennt inventarisieren: API-Hosts, Redirect URIs, OIDC-Callbacks, Webhooks, Self-Service-Links, Skripte und fest konfigurierte Produktendpunkte.
Für den Abnahmetest einen Testaccount mit der für den Betrieb vorgesehenen Adminrolle bereithalten. Wird zusätzlich das Enterprise- oder Partnerportal genutzt, ist je verwendetem Portaltyp ein entsprechender Testaccount nötig. Ausserdem einen zweiten berechtigten Admin und ein privates Browserfenster bereithalten.

MFA, Passkeys und Recovery werden nicht in diesem Runbook umgebaut. Dafür gilt Sophos Fusion Anmeldung mit MFA, Passkeys und IdP absichern. Änderungen an Entra ID, Conditional Access oder OIDC folgen den separaten Anleitungen für Microsoft Entra ID beziehungsweise OpenID Connect und Okta.

Der aktuelle, benutzerseitige Einstieg lautet:

➜ Sophos Fusion öffnen

https://fusion.sophos.com direkt in einem privaten Browserfenster öffnen.
Die normale Anmeldung vollständig durchlaufen und Tenant, Kontotyp sowie Rolle kontrollieren.
Erst nach erfolgreichem Test das Browser-Lesezeichen und den Portal-Link in der internen Admin-Dokumentation auf https://fusion.sophos.com ändern.
Im Passwortmanager nur den Login-URI beziehungsweise die Zuordnung für diesen Portal-Einstieg ergänzen oder aktualisieren. Zugangsdaten, Passkeys und gespeicherte technische URLs nicht pauschal verschieben.
Falls ein eingesetzter Proxy, DNS-Sicherheitsdienst oder Web-Filter den neuen Host blockiert, den tatsächlich protokollierten Zielhost mit dem kleinsten nötigen Umfang freigeben und erneut testen. Keine unbelegten Wildcard-Ausnahmen für *.sophos.com oder ganze Kategorien erstellen und TLS-Inspection nicht pauschal deaktivieren.
Falls Conditional Access für den Anmeldeweg konfiguriert ist, die echten Anmeldeereignisse prüfen. Eine neue Hostbezeichnung rechtfertigt weder eine breite Ausnahme noch eine Änderung an Benutzer-, Geräte-, Standort- oder MFA-Bedingungen.

Beim Aufruf von fusion.sophos.com kann der Browser über bestehende, Legacy-kompatible Central-Infrastruktur weitergeleitet werden. Beobachtete Hosts oder Pfade mit central.sophos.com sind dabei kein Hinweis auf ein Rollback und kein Beleg für einen falschen Tenant. Entscheidend sind ein vertrauenswürdiges Sophos-Ziel, die erwartete Anmeldung und der richtige Verwaltungskontext.

Technische Central-Bezeichner unverändert lassen

Die sichtbare Umbenennung ist keine technische Such-und-Ersetz-Aktion. Folgende Werte bleiben exakt erhalten, solange die jeweilige Integration oder Dokumentation keinen ausdrücklich neuen Wert vorgibt:

Sophos-Dokumentationspfade mit /central/;
bestehende Sophos-Central-API-Namen, API-Hosts und Basis-URLs;
konfigurierte Redirect URIs und Callback-Werte, zum Beispiel https://federation.sophos.com/login/callback;
der technisch erforderliche, Legacy-kompatible Self-Service-Einstieg https://central.sophos.com/manage/self-service;
Webhooks, Skriptvariablen, Secrets, Zertifikatsbezüge und andere technische Endpunkte mit central im Namen;
stabile interne Slugs, Suchbegriffe und historische Nachweise.

Solche Werte können Protokollverträge oder exakte Vergleiche sein. Eine redaktionelle Umbenennung kann SSO, API-Clients oder Benutzerzugänge unterbrechen. Lizenzarbeiten gehören stattdessen in Sophos Fusion Lizenzen aktivieren, prüfen und erneuern.

Validierung

Die Umstellung ist abgeschlossen, wenn die folgenden zutreffenden Punkte mit einem Testaccount in der für den Betrieb vorgesehenen Adminrolle geprüft sind. Für jeden zusätzlich verwendeten Portaltyp wird der Test mit dem dafür vorgesehenen Testaccount wiederholt:

https://fusion.sophos.com öffnet die erwartete Sophos-Anmeldung ohne Zertifikats- oder Filterwarnung.
Eine konfigurierte MFA und, falls verwendet, der föderierte Anmeldeweg funktionieren unverändert; die erwartete Rolle und der richtige Tenant sind sichtbar.
Der Kunden-, Enterprise- oder Partnerkontext trägt den passenden sichtbaren Namen.
My Environment, Global Settings, Profil und Sophos Help sind entsprechend der Rolle erreichbar.
Ein vorhandener API- oder Automations-Smoketest läuft ohne geänderten Host oder Secret durch.
Falls konfiguriert beziehungsweise verwendet, funktionieren SSO-Callback, Self-Service-Link und weitere technische Central-Endpunkte unverändert.
Sofern Proxy, DNS-Sicherheitsdienst, Web-Filter, IdP oder Conditional Access eingesetzt werden, zeigen deren Logs keine neue Blockierung oder unerwartete Ausnahme.
Alte interne Anleitungen verweisen für den Admin-Einstieg auf die Fusion-URL, bewahren aber exakte technische Central-Werte.

Troubleshooting

Weiterleitung auf einen Central-Host

Nicht auf einen vermeintlichen alten Zustand zurückschalten. Zuerst Zertifikat, vollständige Redirect-Kette, Zielmandant und erfolgreiche Anmeldung prüfen. Legacy-Namen in der Laufzeit-Infrastruktur können weiterhin korrekt sein.

Blockierte oder leere Seite

Browser ohne Erweiterungen beziehungsweise in einem privaten Browserfenster testen und Uhrzeit, Ausgangs-URL, finalen Host sowie Fehlertext erfassen. Danach die Logs der eingesetzten Proxy-, DNS-, Web-Filter- und TLS-Inspection-Systeme auf den konkret blockierten Host prüfen. Nur diesen belegten Bedarf ändern, nicht vorsorglich Wildcards freigeben.

Sind mehrere unabhängige Anmeldungen oder Tenants gleichzeitig betroffen, dient Sophos Status zur Prüfung auf einen möglichen übergreifenden Dienstausfall. Die Statusseite ist ein Diagnosehinweis; lokale Änderungen werden weiterhin nur anhand belegter Ursachen vorgenommen.

Fehler bei Anmeldung oder Conditional Access

Sophos-Anmeldung und, sofern ein IdP verwendet wird, dessen Ereignisse zeitlich vergleichen. Keine IdP-App, Callback-URL oder Conditional-Access-Policy allein wegen des neuen sichtbaren Namens neu erstellen. Für Diagnose und Rückbau gilt ausschliesslich das oben für den betroffenen Anmeldeweg verlinkte SSO-Runbook; der getestete Rückfall-Admin bleibt erhalten.

Fehlender Menüpunkt

Zuerst Kontotyp und Rolle prüfen. Danach unter My Environment, über das Zahnrad für Global Settings, über das Profil und über Sophos Help suchen. Ein fehlender Menüpunkt kann eine Rollen- oder Lizenzgrenze sein; er beweist keine fehlgeschlagene Umbenennung.

Fehlende Tenants, Produkte oder Kunden

Anmeldung beenden, in einem privaten Browserfenster mit der vorgesehenen Identität erneut starten und Kontotyp sowie Tenant prüfen. Keine Ersatz-Tenants, Trials oder neuen Partnerzuordnungen als Reparatur anlegen.

Bleibt der Zugang nach diesen Prüfungen gestört, werden Zeitfenster mit Zeitzone, betroffene Identität, Tenant beziehungsweise Customer ID, Browser, Ausgangs- und Zielhost, Fehlertext sowie bereinigte Screenshots gesammelt. Die Eskalation erfolgt anschliessend über Sophos Supportticket mit Support Assistant eröffnen.

Lokaler Rollback

Die vendorseitige Umbenennung von Sophos Central zu Sophos Fusion kann der Kunde nicht zurückrollen. Rückgängig gemacht werden dürfen nur die in diesem Change vorgenommenen lokalen Anpassungen:

Lesezeichen und interne Dokumentationslinks,
Login-URI-Zuordnungen im Passwortmanager,
konkrete Proxy-, DNS- oder Web-Filter-Regeln.

Vor dem Rückbau wird der vorherige Wert aus der Change-Dokumentation übernommen und danach der Zugang erneut getestet. IdP- oder Conditional-Access-Anpassungen gehören nicht zu diesem lokalen Rollback; sie werden nur nach dem für den betroffenen Anmeldeweg oben verlinkten SSO-Runbook und dessen dokumentiertem Rückbau zurückgenommen. Der alte Central-Hostname ist kein garantierter Rollback-Pfad. API-Hosts, Callbacks, Self-Service-URLs und andere technische Werte, die für diese Umstellung bewusst unverändert blieben, werden nicht angefasst.