Sophos Protected Browser-Erweiterung installieren und entfernen

Die Sophos Protected Browser-Erweiterung lässt sich auf einzelnen Windows- und Mac-Geräten manuell oder zentral mit Active Directory GPO, Google Enterprise Core, Microsoft Intune und Jamf Pro installieren. Der passende Installer wird jeweils in Sophos Central bezogen. Kontrollieren Sie für Chrome danach sowohl die erzwungene Richtlinie als auch die sichtbare Erweiterung.

Diese Anleitung behandelt die Erweiterung für vorhandene Browser. Die Bereitstellung und Aktualisierung des vollständigen Sophos Protected Browser ist eine getrennte Aufgabe.

Den passenden Bereitstellungsweg wählen

Manuell: für einen kleinen Pilot oder einzelne Windows- und Mac-Geräte. Dieser Weg enthält auch die von Sophos dokumentierten Rückbauschritte.
Active Directory GPO: für domänengebundene Windows-Geräte mit Google Chrome.
Google Enterprise Core: für registrierte Chrome-Browser auf Windows und macOS.
Microsoft Intune: für verwaltete Windows- und Mac-Geräte mit Google Chrome oder Microsoft Edge.
Jamf Pro: für verwaltete Macs mit Google Chrome oder Microsoft Edge.

Beginnen Sie mit wenigen Geräten und genau dem später verwendeten Browser. Die ZIP-Dateien enthalten je nach Weg Richtlinien-, Profil-, Skript- und Utility-Dateien. Mischen Sie keine Dateien aus unterschiedlichen Bereitstellungswegen.

Voraussetzungen, Lizenz und Rollen

Vor dem Download müssen Meine Produkte > Protected Browser sowie der Bereich Browser-Erweiterung unter Meine Umgebung > Installer beziehungsweise Meine Umgebung > Installers > Protected Browser im richtigen Sophos-Central-Tenant verfügbar sein. Eine eigenständige Lizenzbezeichnung ist für diese Verfahren nicht angegeben. Leiten Sie deshalb aus der Sichtbarkeit eines Menüs keine weitergehende Lizenz- oder Rollenannahme ab. Die benötigten Rollen unterscheiden sich je nach Verfahren:

Manuell unter Windows: Das Windows-Gerät ist in einer MDM-Lösung registriert; benötigt wird Administratorzugriff auf Windows-Gerät und Sophos Central. Unterstützt werden in diesem Weg Google Chrome, Comet und Microsoft Edge; die heruntergeladene ZIP-Datei nennt zusätzlich Atlas.
Manuell unter macOS: Der Mac ist in einer MDM-Lösung registriert; benötigt wird Administratorzugriff auf Mac und Sophos Central. Sophos nennt Google Chrome, Atlas, Comet und Microsoft Edge als unterstützte Browser, das aktuelle Download-Paket kann jedoch nur Profile für Chrome, Atlas und Edge enthalten. Fehlen im aktuellen Paket die zu Comet gehörenden Profile, darf man keine Profile eines anderen Browsers verwenden. Laden Sie das Paket erneut herunter und klären Sie die fehlenden Comet-Dateien mit Sophos Support, bevor Sie fortfahren. Bestehende MDM-Konfigurationen für ExtensionForceinstallList müssen vor der manuellen Installation entfernt werden: macOS führt ein verwaltetes und ein lokal installiertes Profil nicht zusammen, sondern wendet nur eines davon an.
Active Directory GPO: Erforderlich sind ein AD-Administratorkonto für den Gruppenrichtlinien-Editor, ein Sophos-Central-Admin-Konto, lokale Administratorrechte auf den Zielgeräten, die Chrome-ADMX-Vorlage und die Berechtigung zur Installation von Erweiterungen aus externen Quellen. Das GPO ist bereits mit der Ziel-OU verknüpft. Für das Erweiterungsprogramm steht eine SMB-Freigabe bereit, auf die die Domänencomputer lesend zugreifen können.
Google Enterprise Core: Die Chrome-Browser sind registriert und der vorgesehenen Organisationseinheit zugewiesen. Erforderlich ist Administratorzugriff auf Zielgeräte, Google-Admin-Konsole und Sophos Central.
Microsoft Intune: Erforderlich sind je ein Konto für Intune und Sophos Central sowie Administratorzugriff auf die Zielgeräte. Chrome und Edge dürfen Erweiterungen aus externen Ressourcen installieren.
Jamf Pro: Erforderlich sind ein Jamf-Pro-Admin-Konto, ein Sophos-Central-Admin-Konto und Administratorzugriff auf die Zielgeräte. Chrome und Edge dürfen Erweiterungen aus externen Ressourcen installieren.

Das zusätzliche Erweiterungsprogramm ist nur nötig, wenn Gerätestatus-Richtlinienobjekte in Webrichtlinien verwendet werden sollen. Es heisst unter Windows ExtensionUtility.exe und unter macOS ExtensionUtility.pkg. Installieren Sie diese zusätzliche Komponente nicht vorsorglich, wenn Sie die Funktion nicht nutzen.

Installationsdateien in Sophos Central herunterladen

Je nach Verteilweg bezeichnet Sophos diesen Schritt als Installationsdateien von Sophos Central herunterladen oder Laden Sie den Installer von Sophos Central herunter. Gemeint ist in beiden Fällen das zum gewählten Verfahren gehörende ZIP-Paket.

Öffnen Sie in Sophos Central Meine Umgebung > Installer. Beim manuellen Weg und bei Google Enterprise Core nennt Sophos den genaueren Pfad Meine Umgebung > Installers > Protected Browser.
Wählen Sie unter Browser-Erweiterung den vorgesehenen Weg und das Betriebssystem:
- Manuell > Windows oder Manuell > Mac,
- Active Directory (GPO) > Windows,
- Google Enterprise mit dem passenden Betriebssystem,
- Microsoft Intune mit dem passenden Betriebssystem,
- JAMF > Mac.
Entpacken Sie die heruntergeladene ZIP-Datei in einen kontrollierten Arbeitsordner. Verwenden Sie für den Pilot ausschliesslich die darin enthaltenen Dateien und Werte.

Bei GPO und Intune wird die Erweiterungs-URL aus diesem Paket benötigt. Google Enterprise Core benötigt Erweiterungs-ID, Erweiterungs-URL und ExtensionSettings.json. Jamf und der manuelle Mac-Weg verwenden browserabhängige .mobileconfig-Dateien. Beim manuellen Mac-Weg muss das Paket die zum vorgesehenen Browser gehörenden Profile enthalten. Fehlen Comet-Profile, ist das eine Stop-Bedingung und kein Anlass, Chrome-, Atlas- oder Edge-Profile umzubenennen oder wiederzuverwenden.

Erweiterung manuell installieren

Erweiterung auf Windows-Geräten installieren

Öffnen Sie den entpackten Ordner auf dem Zielgerät.
Doppelklicken Sie auf die Installationsdatei des Browsers. Für Chrome ist dies ChromeForceInstallExtension.reg; bestätigen Sie Ausführen und Ja. Dadurch werden die Erweiterungsdetails in die Windows-Registry geschrieben.
Doppelklicken Sie auf die Datei mit den Erweiterungseinstellungen. Für Chrome ist dies ChromeExtensionSettings.reg; bestätigen Sie erneut Ausführen und Ja.
Nur wenn Gerätestatus-Richtlinienobjekte benötigt werden: Starten Sie ExtensionUtility.exe und bestätigen Sie Ja.

Nach der Einrichtung fordert die Erweiterung den Benutzer zur Anmeldung mit seinen Zugangsdaten auf.

Erweiterung auf Mac-Geräten installieren

Wichtig: Prüfen Sie vor diesem Schritt, ob ExtensionForceinstallList bereits per MDM verwaltet wird. Entfernen Sie diese MDM-Konfiguration zuerst. Ohne diese Bereinigung kann macOS statt der lokalen Profile weiterhin nur das verwaltete Profil anwenden.

Doppelklicken Sie im entpackten Ordner auf die Force-Install-Datei des Browsers, für Chrome beispielsweise ChromeForceInstallExtension.mobileconfig.
Öffnen Sie Systemeinstellungen, suchen Sie nach Profiles und installieren Sie das heruntergeladene Profil. Für Chrome heisst das Beispielprofil Install Island Extension Chrome. Bestätigen Sie Installieren mit dem Administratorpasswort.
Doppelklicken Sie auf die Datei mit den Erweiterungseinstellungen, für Chrome beispielsweise ChromeExtensionSettings.mobileconfig.
Installieren Sie unter Profile > Heruntergeladen das Einstellungsprofil. Das Chrome-Beispiel heisst Setup Island Extension on Chrome.
Nur wenn Gerätestatus-Richtlinienobjekte benötigt werden: Starten Sie ExtensionUtility.pkg, klicken Sie auf Weiter und Installieren und geben Sie das Administratorpasswort ein.

Nach Abschluss fordert die Erweiterung den Benutzer zur Anmeldung auf.

Erweiterung zentral verteilen

Gruppenrichtlinienobjekt für die Installation der Erweiterung konfigurieren

Öffnen Sie das vorbereitete GPO und gehen Sie zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > Google > Google Chrome > Erweiterungen.
Öffnen Sie Liste der automatisch installierten Apps und Erweiterungen konfigurieren, wählen Sie Aktiviert und klicken Sie unter Optionen auf Anzeigen.
Fügen Sie unter Inhalte anzeigen die aus Sophos Central kopierte Erweiterungs-URL ein. Bestätigen und speichern Sie die Einstellung.
Kopieren Sie den Inhalt der heruntergeladenen ChromeExtensionSettings.xml.
Gehen Sie im selben GPO zu Computerkonfiguration > Einstellungen > Windows-Einstellungen > Registry. Klicken Sie mit der rechten Maustaste auf Registry, fügen Sie den XML-Inhalt ein, benennen Sie den Registry-Eintrag und speichern Sie ihn.

Erweiterungsprogramm installieren: Die Browser-Erweiterung kann mit den vorstehenden GPO-Einstellungen verteilt werden. Für das optionale ExtensionUtility.exe beschreibt Sophos zusätzlich ein Startskript über Computerkonfiguration > Richtlinien > Windows-Einstellungen > Skripte (Start/Herunterfahren) > Start und eine SMB-Freigabe. Der dabei verwendete Prüfpfad ist jedoch nicht eindeutig als lokaler Installationsindikator beschrieben. Verwenden Sie das Skript deshalb nicht als ausführbare Vorlage. Wenn Gerätestatus-Richtlinienobjekte das Utility erfordern, stoppen Sie an dieser Stelle und lassen Sie Prüfpfad, Ausführungskontext sowie Vorher-/Nachher-Kontrolle für Ihre Umgebung durch Sophos Support oder eine freigegebene, getestete interne Paketierung bestätigen. Die Erweiterungsrichtlinie kann unabhängig davon zunächst auf einer Pilot-OU validiert werden.

Google Enterprise Core

Für den Schritt Installieren Sie die Protected Browser-Erweiterung auf Ihren Geräten. werden Erweiterungs-ID, benutzerdefinierte URL und Einstellungsdatei gemeinsam in der Google-Admin-Konsole hinterlegt:

Öffnen Sie in der Google-Admin-Konsole Chrome-Browser > Anwendungen und Erweiterungen > Benutzer und Browser und wählen Sie die vorgesehene Organisationseinheit.
Klicken Sie unten rechts auf das Plus-Symbol und danach auf Chrome-App oder -Erweiterung anhand der ID hinzufügen.
Tragen Sie die in Sophos Central kopierte Erweiterungs-ID ein.
Wählen Sie Von einer benutzerdefinierten URL aus und tragen Sie die kopierte Erweiterungs-URL ein. Speichern Sie.
Wählen Sie unter Installationsrichtlinie zuerst Installation zulassen und danach Installation erzwingen.
Öffnen Sie Richtlinien für Erweiterungen, laden Sie ExtensionSettings.json aus der Sophos-ZIP-Datei hoch und speichern Sie erneut.
Installieren Sie ExtensionUtility.exe beziehungsweise ExtensionUtility.pkg auf den Zielgeräten nur dann zusätzlich, wenn Webrichtlinien Gerätestatus-Richtlinienobjekte verwenden.

Die Organisationseinheit bestimmt den Umfang. Wählen Sie für den Pilot deshalb eine begrenzte OU mit wenigen registrierten Browsern, statt die Einstellung sofort tenantweit zu erzwingen.

Microsoft Intune zur Installation der Erweiterung konfigurieren

Windows

Gehen Sie im Microsoft Intune Admin Center zu Geräte > Windows > Konfigurationsprofile > Erstellen > Neue Richtlinie.
Wählen Sie Windows 10 und höher als Plattform und Einstellungskatalog als Profiltyp. Erstellen und benennen Sie das Profil.
Klicken Sie unter Konfigurationseinstellungen auf Einstellungen hinzufügen.
Für Chrome öffnen Sie Google > Google Chrome > Erweiterungen, aktivieren Liste der automatisch installierten Apps und Erweiterungen konfigurieren und tragen die Erweiterungs-URL aus Sophos Central ein. Für Edge verwenden Sie entsprechend Microsoft Edge > Erweiterungen.
Bestätigen Sie mit OK und Anwenden.
Gehen Sie zu Geräte > Windows > PowerShell-Skripte und laden Sie das aus Sophos Central bezogene Skript für den Browser hoch, für Chrome beispielsweise ChromeExtensions.ps1.
Wählen Sie unter Zuordnungen zuerst nur die Pilotgeräte. Prüfen Sie Überprüfen + Erstellen und klicken Sie auf Erstellen.

macOS

Gehen Sie zu Geräte > macOS > Konfigurationsprofile und klicken Sie auf Profil erstellen.
Wählen Sie Vorlagen, danach Benutzerdefiniert und Erstellen. Benennen Sie das Profil und wählen Sie Gerätekanal als Bereitstellungskanal.
Laden Sie unter Konfigurationsprofildatei die Force-Install-Datei aus der Sophos-ZIP-Datei hoch, für Chrome beispielsweise ChromeForceInstallExtension.mobileconfig.
Ordnen Sie das Profil zuerst den Pilotgeräten zu und erstellen Sie es.
Wiederholen Sie den Vorgang mit einem zweiten Profil für die Erweiterungseinstellungen, bei Chrome mit ChromeExtensionSettings.mobileconfig.

Falls Gerätestatus-Richtlinienobjekte benötigt werden, führen Sie zusätzlich den im Paket enthaltenen ExtensionUtility.exe- beziehungsweise ExtensionUtility.pkg-Installer auf den Geräten aus, auf denen die Erweiterung installiert ist.

Jamf Pro

Der Jamf-Ablauf umfasst hier die beiden Konfigurationsprofile:

Erstellen Sie ein Konfigurationsprofil für die Einstellungen zur Erzwingung der Installation. Öffnen Sie Computer > Konfigurationsprofile, klicken Sie auf Hochladen und laden Sie die Force-Install-Datei hoch: ChromeForceInstallExtension.mobileconfig oder EdgeForceInstallExtension.mobileconfig.
Vergeben Sie Name und Beschreibung, wählen Sie Browser als Kategorie, Computerebene als Ebene und Automatisch installieren als Verteilungsmethode. Begrenzen Sie unter Umfang zunächst auf die Pilotgeräte und speichern Sie.
Konfigurationsprofil für die benutzerdefinierten Erweiterungseinstellungen erstellen: Wiederholen Sie den Vorgang für ChromeExtensionSettings.mobileconfig beziehungsweise EdgeExtensionSettings.mobileconfig.

Benötigen die Webrichtlinien zusätzlich das optionale ExtensionUtility.pkg, stoppen Sie nach diesen beiden Konfigurationsprofilen. Lassen Sie Paketierung, Richtlinie, Auslöser und Rückbau in einem separaten, freigegebenen und getesteten Jamf-Verfahren festlegen; übernehmen Sie dafür nicht die Intune- oder manuellen Installationsschritte. Die beiden Browserprofile können zunächst ohne diese Zusatzkomponente auf den Pilotgeräten geprüft werden.

Installation validieren

Für eine Chrome-Bereitstellung mit GPO oder Google Enterprise Core ist die Prüfung eindeutig:

Öffnen Sie Chrome auf einem Pilotgerät.
Rufen Sie chrome://policy auf und klicken Sie auf Richtlinien neu laden.
Prüfen Sie in Chrome Policies, ob ExtensionInstallForcelist vorhanden ist und den Status OK besitzt.
Rufen Sie chrome://extensions auf und prüfen Sie, ob die Protected Browser-Erweiterung sichtbar ist. Die Meldung Sophos extension is installed and managed by the organization. kann angezeigt werden.

Bei einer manuellen Installation ist zusätzlich die Anmeldeaufforderung ein erwartetes Ergebnis. Für Intune und Jamf steht keine gleichwertige, genaue Statusanzeige zur Verfügung. Der Rollout bleibt deshalb auf den Pilot begrenzt, bis die vorgesehenen Profile beziehungsweise Skripte auf dem Gerät angekommen sind und das erwartete Browser-Ergebnis sichtbar ist. Eine erfolgreiche Zuweisung in der Verwaltungskonsole allein beweist die lokale Installation nicht.

Wenn das Erweiterungsprogramm benötigt wird, prüfen Sie separat, ob dessen Installer auf dem Pilotgerät beendet wurde. Leiten Sie aus einer sichtbaren Browser-Erweiterung nicht ab, dass das Utility ebenfalls installiert ist.

Troubleshooting nach Symptom

`ExtensionInstallForcelist` fehlt oder hat nicht den Status `OK`

Prüfen Sie zuerst, ob das Gerät wirklich in der zugewiesenen OU oder Pilotgruppe liegt. Kontrollieren Sie danach, ob genau die Erweiterungs-URL aus dem aktuellen Sophos-Paket eingetragen wurde. Bei GPO kommen die installierte Chrome-ADMX-Vorlage, die GPO-Verknüpfung und die aus ChromeExtensionSettings.xml importierten Registry-Einträge hinzu. Laden Sie die Richtlinien in chrome://policy danach erneut und wiederholen Sie die Kontrolle.

Die Richtlinie ist vorhanden, die Erweiterung aber nicht sichtbar

Öffnen Sie chrome://extensions und prüfen Sie dort erneut. Bei Google Enterprise Core müssen neben ID und benutzerdefinierter URL auch Installation erzwingen sowie die hochgeladene ExtensionSettings.json vorhanden sein. Bei GPO muss Liste der automatisch installierten Apps und Erweiterungen konfigurieren aktiviert sein. Ändern Sie nicht mehrere Ebenen gleichzeitig; korrigieren Sie zuerst den fehlenden Teil auf einem Pilotgerät und validieren Sie erneut.

Die manuelle Installation auf dem Mac wirkt nicht

Prüfen Sie, ob ExtensionForceinstallList bereits durch MDM verwaltet wird. Entfernen Sie die verwaltete Konfiguration vor dem lokalen Profil. Kontrollieren Sie anschliessend unter Systemeinstellungen > Profiles > Heruntergeladen, ob sowohl das Force-Install-Profil als auch das Profil mit den Erweiterungseinstellungen installiert wurden. macOS kombiniert diese lokalen Profile nicht mit einer konkurrierenden MDM-Konfiguration.

Die Erweiterung ist sichtbar, Gerätestatusobjekte funktionieren aber nicht

Die Browser-Erweiterung und das Erweiterungsprogramm sind zwei getrennte Bestandteile. Prüfen Sie, ob ExtensionUtility.exe beziehungsweise ExtensionUtility.pkg auf genau diesem Gerät installiert wurde. Bei GPO reicht der Lesezugriff des Computerkontos auf die vorgesehene SMB-Freigabe allein nicht aus: Verwenden Sie das Startskript erst, wenn Prüfpfad, Ausführungskontext und Vorher-/Nachher-Kontrolle freigegeben und getestet sind. Für Jamf müssen Paketierung, Richtlinie, Auslöser und Rückbau ebenfalls in einem separaten, freigegebenen und getesteten Verfahren festgelegt sein. Prüfen Sie danach erneut auf demselben Pilotgerät, bevor Sie den Umfang erweitern.

Ein zentraler Rollout lässt sich nicht belastbar zurückbauen

Weiten Sie die Zuweisung nicht aus und lassen Sie die Pilotgruppe unverändert. Versuchen Sie keinen lokalen Teilrückbau, solange eine zentrale Force-Install-Richtlinie aktiv ist. Die verbindlichen Grenzen und das weitere Vorgehen für zentral verwaltete Deinstallationen stehen im folgenden Offboarding-Abschnitt.

Erweiterung deinstallieren und Offboarding abschliessen

Dokumentieren Sie vor dem Rückbau Browser, Installationsweg und vorhandene Profile beziehungsweise Registry-Dateien. Nutzer verlieren danach die über die Erweiterung bereitgestellte Funktion. Beginnen Sie den Rückbau daher auf einem Testgerät und prüfen Sie ihn vor einer breiten Entfernung.

Manuell unter Windows

Verwenden Sie den uninstall-Ordner aus derselben Sophos-ZIP-Datei wie für die Installation.
Doppelklicken Sie auf ExtensionUninstaller.reg, um die Erweiterung zu entfernen.
Falls das Erweiterungsprogramm installiert wurde, öffnen Sie PowerShell mit den erforderlichen Administratorrechten und führen Sie den von Sophos dokumentierten Befehl aus:

powershell.exe -Command "& { msiexec /q /x $((New-Object -ComObject 'WindowsInstaller.Installer').RelatedProducts('{B0D532EB-39A8-497B-8DD8-6A3ACCE97532}')); }"

Öffnen Sie danach den Browser auf dem Testgerät und prüfen Sie, dass die Erweiterung nicht mehr angezeigt wird. Bleibt sie vorhanden, stoppen Sie den breiten Rückbau und prüfen Sie, ob eine GPO-, Intune- oder andere MDM-Richtlinie sie erneut erzwingt.

Manuell unter macOS

Öffnen Sie Systemeinstellungen und suchen Sie nach Profiles.
Entfernen Sie sowohl das Force-Install-Profil als auch das Profil mit den benutzerdefinierten Erweiterungseinstellungen. Bestätigen Sie jeweils mit dem Administratorpasswort.
Falls ExtensionUtility.pkg installiert wurde, öffnen Sie ein Terminal mit einem Administratorkonto und führen Sie den von Sophos dokumentierten Uninstaller aus:

sudo /usr/local/island/island-nmh/uninstall

Prüfen Sie danach auf dem Testgerät, dass beide Profile entfernt sind und die Erweiterung im Browser nicht mehr erscheint. Wird ein Profil weiterhin per MDM zugewiesen, beenden Sie den lokalen Rückbau und entfernen Sie zuerst die verwaltete Zuweisung über den zuständigen MDM-Prozess.

Für Google Enterprise Core, Intune und Jamf Pro steht kein vollständiger, getesteter Deinstallationsablauf zur Verfügung. Beim GPO-Verfahren gibt es zwar Schritte für den Rückbau, aber kein vollständiges Verfahren für die gemeinsame Bereinigung von Zuweisung, Registry-Einträgen, Force-Install-Richtlinie und gegebenenfalls Utility. Lassen Sie den Rückbau anhand der tatsächlich erstellten Profile, Richtlinien und Pakete durch Sophos Support oder einen intern freigegebenen und getesteten Prozess festlegen. Weiten Sie die Zuweisung bis dahin nicht aus und lassen Sie die Pilotgruppe unverändert. Entfernen Sie weder lokale Dateien noch einzelne Profile, Registry-Einträge, Richtlinien oder das Utility auf Verdacht, solange eine zentrale Force-Install-Richtlinie aktiv ist.

Betrieb und Lifecycle

Bewahren Sie nicht dauerhaft eine alte entpackte ZIP-Datei als vermeintliche Referenzinstallation auf. Laden Sie die Dateien vor einer geplanten Änderung erneut über den für den gewählten Weg vorgesehenen Sophos-Central-Pfad und halten Sie fest, welche Datei auf welche Pilotgruppe verteilt wurde. Prüfen Sie nach Änderungen in GPO, OU-Zuordnung, Intune-Profilen oder Jamf-Umfang erneut Richtlinie und Erweiterung auf einem Pilotgerät.

Zur regelmässigen Betriebskontrolle gehören:

stimmt der zugewiesene Umfang noch mit den vorgesehenen Geräten und Browsern überein;
existieren konkurrierende lokale und MDM-Profile auf Macs;
wird das Erweiterungsprogramm nur dort betrieben, wo Gerätestatus-Richtlinienobjekte benötigt werden;
funktioniert der dokumentierte manuelle Rückweg weiterhin auf einem Testgerät;
sind Verantwortliche und Eskalationsweg für zentral verwaltete Deinstallationen festgelegt.

Planen Sie Migrations- oder Ausserbetriebnahmetermine nur anhand aktueller Produktinformationen von Sophos. Bei einer Änderung des Bereitstellungswegs validieren Sie zuerst die neue Pilotkonfiguration und nehmen den alten Weg erst danach kontrolliert ausser Betrieb.