Sophos Firewall Lizenzschlüssel aktivieren

Ein Sophos Firewall Lizenzschlüssel ist ein Aktivierungscode. Er verknüpft eine Subscription mit einer bestimmten Firewall oder wird für ein Renewal angewendet. Neue Subscriptions starten dabei nicht erst mit dem Klick in der Firewall, sondern mit der Auftragserfüllung. Das Einspielen des Schlüssels sorgt dafür, dass die Subscription der richtigen Appliance zugeordnet wird.

Vor der Aktivierung sollte man Seriennummer, Account-Zuordnung, Lizenzunterlagen und Internetzugriff der Firewall prüfen. Bei falscher Seriennummer, falschem Account oder falschem Firewall-Modell kann ein Lizenzschlüssel nicht zur erwarteten Appliance passen. Die Seriennummer findet man mit Seriennummer der Sophos Firewall finden.

⚠️ Wichtig: Lizenzaktivierung und Firewall-Konfiguration sind unterschiedliche Themen. Ein Lizenzschlüssel ändert nicht automatisch Firewall-Regeln, VPN, Device Access oder Central Management. Trotzdem sollte vor Lizenz- und Renewal-Arbeiten klar sein, welche Firewall und welcher Sophos Central Account betroffen sind.

Für die Einordnung von Base License, Support, Bundles und einzelnen Security-Subscriptions passt zusätzlich Sophos Firewall Base License verstehen. Wenn es nicht nur um das Einspielen eines Schlüssels, sondern um die Wahl eines passenden Bundles geht, hilft Welche Sophos Firewall Bundles gibt es?.

Wenn die Firewall bewusst ohne direkten Internetzugriff betrieben wird, ist ein normaler Lizenzschlüssel nicht der ganze Prozess. Dann sollte vor der Aktivierung Air-Gap-Lizenzierung und Pattern-Updates geprüft werden, weil dort Freigabe, Lizenzdatei, manueller Upload und Pattern-Updates zusammengehören.

Lizenzkey, Subscription oder Lizenztransfer?

Vor der Aktivierung sollte klar sein, welcher Vorgang wirklich gemeint ist. Viele Lizenzprobleme entstehen nicht durch den Schlüssel selbst, sondern durch eine falsche Erwartung an den Prozess.

Typische Vorgänge:

• Lizenzschlüssel aktivieren: Eine Subscription wird einer Firewall zugeordnet oder ein Renewal angewendet. Das passt bei Renewal, neuem Modul oder manuell geliefertem Schlüssel.
• Lizenzen synchronisieren: Der Firewall-Lizenzstatus wird mit Sophos Central abgeglichen. Das ist sinnvoll, wenn eine Lizenz gekauft wurde, lokal aber noch nicht sichtbar ist.
• Firewall in anderes Central-Konto übertragen: Registrierung und Lizenzansicht wechseln zu einem anderen Konto. Typische Gründe sind falscher Tenant, Dienstleisterwechsel oder Account-Konsolidierung.
• Subscription auf andere Firewall übertragen: Eine Lizenz wird einer anderen Appliance zugeordnet. Das betrifft Ersatzgeräte, RMA-Fälle oder eine falsche Aktivierung auf anderer Seriennummer.

Dieser Artikel behandelt die Aktivierung eines Lizenzschlüssels und die direkte Nachkontrolle auf der Firewall. Für Account-Wechsel passt Sophos Firewall in anderes Sophos Central Konto übertragen. Für Hardwaretausch oder Restore sollte zusätzlich Sophos Firewall Backup erstellen oder wiederherstellen eingeordnet werden.

Vor der Aktivierung prüfen

Vor dem Einspielen des Lizenzschlüssels sollten diese Punkte bekannt sein:

• Seriennummer der betroffenen Sophos Firewall,
• Modell und Appliance-Typ,
• aktueller Lizenzstatus,
• erwarteter Zielstatus nach der Aktivierung,
• Sophos Central beziehungsweise SophosID-Kontext,
• Lizenzschlüssel oder Lizenz-PDF,
• Internetzugriff der Firewall für Lizenzprüfung,
• DNS, Gateway und Systemzeit der Firewall,
• bei isolierten Umgebungen: Air-Gap-Freigabe, Lizenzdatei und manueller Updateprozess,
• bei HA-Clustern: Primary/Auxiliary, beide Seriennummern und aktueller HA-Status,
• zuständige Person für Renewal oder Lizenzverwaltung.

Wenn eine Firewall im falschen Konto liegt, sollte zuerst die Account-Zuordnung geprüft werden. Der Ablauf ist in Sophos Firewall in anderes Sophos Central Konto übertragen beschrieben.

Produktbereich öffnen

Aktueller Menüpfad in SFOS:

Administration > Licensing

Je nach Version und UI-Kontext ist der Lizenzbereich auch über das Benutzer-Menü erreichbar:

WebAdmin > Benutzer-Menü > About product

Vorgehen:

1. An der Sophos Firewall WebAdmin Console anmelden.
2. Administration > Licensing öffnen.
3. Falls die ältere Ansicht genutzt wird, oben rechts das Benutzer- oder Account-Menü öffnen und About product beziehungsweise Über das Produkt auswählen.

In diesem Bereich sieht man Lizenzstatus, Appliance-Informationen, Subscriptions und die Option zur Aktivierung beziehungsweise Synchronisierung.

Abonnement aktivieren

Sophos unterscheidet heute zwischen Aktivierung und lokaler Lizenzanzeige. Die Subscription wird je nach Prozess in Sophos Central beziehungsweise im Lizenzportal aktiviert oder verwaltet. Auf der Firewall selbst prüft man danach unter Administration > Licensing, ob die Lizenz korrekt angekommen ist, und synchronisiert bei Bedarf.

In manchen SFOS-Ansichten wird die Lizenzaktivierung direkt über Activate subscription beziehungsweise Abonnement aktivieren gestartet.

Danach öffnet sich ein Dialog, in dem der Lizenzschlüssel eingetragen werden kann. Wenn der Schlüssel stattdessen in Sophos Central verarbeitet wurde, ist der nächste Schritt die Synchronisierung auf der Firewall.

Lizenzstatus synchronisieren

Wenn eine Lizenz in Sophos Central bereits sichtbar ist, auf der Firewall aber noch nicht erscheint, sollte man nicht sofort denselben Schlüssel erneut testen. Zuerst den Lizenzstatus synchronisieren.

Unter Administration > Licensing kann man mit Synchronize den aktuellen Lizenzstatus abrufen. Bei Firewalls mit Internetzugriff erfolgt die Synchronisierung normalerweise automatisch, ein manueller Abgleich ist aber hilfreich nach Renewals, Account-Änderungen oder Supportfällen.

Wichtig für den Betrieb: Wenn eine Firewall längere Zeit keine Lizenzsynchronisierung durchführen kann, ist der angezeigte Lizenzstatus kein verlässlicher Nachweis mehr. In HA-Umgebungen ist das besonders kritisch, weil Sophos für die lizenzhaltende Initial Primary eine Synchronisierung innerhalb von 90 Tagen beschreibt. Bleibt diese aus, können Base-Lizenz, HA und Schutzfunktionen betroffen sein. Bei isolierten Umgebungen muss deshalb der Air-Gap-Prozess mit Lizenzdatei und Pattern-Updates sauber geplant sein.

Lizenz aktivieren heisst nicht Feature fertig

Nach einer erfolgreichen Aktivierung ist zuerst nur die Berechtigung sichtbar. Ob eine Funktion danach wirklich produktiv nutzbar ist, hängt von Konfiguration, Policy, Logging und Betrieb ab.

Nach der Lizenzaktivierung sollten je nach Modul zusätzliche Punkte geprüft werden:

• Support oder Bundle: Firmware-Update-Berechtigung, Ablaufdatum und Supportzuständigkeit.
• Web Protection: Firewall-Regeln, Web Policy, HTTPS/TLS-Inspection-Plan und Ausnahmen.
• Zero-Day Protection: passende Web- oder Download-Policy, Benutzerakzeptanz, Logs und False-Positive-Prozess.
• Central-Funktion: Central-Registrierung, Rollen, Task Queue, Reporting oder Orchestration-Status.
• Mail oder WAF: MX-, DNS-, NAT- und Zertifikatsdesign, Regeln, Logs und Rückfallplan.
• Network Protection: IPS-Status, Firewall-Regeln, Logging, Threat Feeds und DoS/Spoof-Einstellungen.

Diese Trennung ist wichtig, weil ein aktivierter Schlüssel keinen fachlichen Rollout ersetzt. Wenn nach der Lizenzaktivierung neue Schutzmodule eingeführt werden, sollten sie wie ein normaler Change geplant und getestet werden.

Lizenzschlüssel eintragen

Den Lizenzschlüssel aus den Lizenzunterlagen kopieren und in das Eingabefeld einfügen. Danach den Schlüssel verifizieren beziehungsweise aktivieren.

Nach der Aktivierung sollte man prüfen, ob der erwartete Lizenzstatus angezeigt wird. Dazu gehören je nach Lizenz:

• Laufzeit,
• aktivierte Module,
• Supportstatus,
• betroffene Seriennummer,
• Hinweise auf abgelaufene oder nicht zugewiesene Lizenzen.

Bei HA-Clustern sollte man zusätzlich beide Appliances prüfen. Entscheidend ist nicht nur, dass der aktive Node den neuen Status zeigt, sondern auch, dass die Lizenz- und Supportinformationen im Cluster erwartungsgemäss synchronisiert sind. Für spätere Supportfälle sollten beide Seriennummern, Rollen und der sichtbare Lizenzstatus dokumentiert werden.

Nach der Aktivierung kontrollieren

Nach dem Einspielen sollte man kurz dokumentieren:

1. Welche Firewall wurde aktiviert?
2. Welche Seriennummer ist betroffen?
3. Welcher Lizenzschlüssel oder welche Bestellung gehört dazu?
4. Welche Module und Laufzeiten werden angezeigt?
5. Ist die Lizenz im erwarteten Account sichtbar?
6. Stimmen Base License, Support, Bundle und Security-Subscriptions mit dem erwarteten Zielstatus überein?
7. Muss ein Renewal- oder Asset-System aktualisiert werden?
8. Muss für neu aktivierte Module ein separater Konfigurations- oder Test-Change geplant werden?
9. Bei HA-Clustern: stimmen Lizenzstatus und Seriennummern auf beiden Nodes?

Für die allgemeine Zuordnung der Sophos-Portale hilft Sophos Portale: SophosID, Central, Support und Firewall-Zugänge. Wenn der Lizenzstatus später bei Support oder RMA benötigt wird, sollte die Firewall-Dokumentation auch Seriennummer, Modell und Account-Zuordnung enthalten. Bei Clustern passt zusätzlich Sophos Firewall HA Cluster Varianten verstehen.

Typische Fehler

Lizenzschlüssel passt nicht zur Firewall

Dann zuerst Seriennummer, Lizenzunterlagen und Account-Zuordnung prüfen. Bei mehreren Firewalls oder mehreren Central-Konten entstehen schnell Verwechslungen.

Firewall kann Lizenz nicht verifizieren

Die Firewall benötigt Internetzugriff, DNS, Routing und funktionierende Systemzeit. Wenn die Aktivierung nicht klappt, sollten Gateway, DNS, Uhrzeit und grundlegende Internetverbindung geprüft werden.

Lizenz ist in Central sichtbar, aber nicht auf der Firewall

Zuerst unter Administration > Licensing manuell synchronisieren. Danach prüfen, ob die Firewall im richtigen Central-Konto registriert ist, ob die Seriennummer stimmt und ob ein Air-Gap- oder Incommunicado-Problem vorliegt.

Lizenz ist sichtbar, aber Modul funktioniert nicht wie erwartet

Nach Lizenzänderungen kann es nötig sein, den Status neu zu laden oder kurz zu warten. Danach sollte man prüfen, ob das Modul wirklich lizenziert, aktiviert und korrekt konfiguriert ist. Eine Lizenz allein aktiviert keine sinnvolle Policy.

Falscher Account oder falscher Tenant

Wenn die Firewall im falschen Konto liegt, sollte die Account- und Lizenzzuordnung bereinigt werden. Dafür ist Sophos Firewall in anderes Sophos Central Konto übertragen relevant.

Lizenz auf falscher Firewall aktiviert

Ein Lizenzschlüssel ist nicht dafür gedacht, versuchsweise auf mehreren Firewalls getestet zu werden. Wenn der Schlüssel auf der falschen Seriennummer gelandet ist oder ein Ersatzgerät beteiligt ist, sollte nicht experimentiert werden. Dann zuerst Seriennummern, Lizenzunterlagen, RMA-Fall und Central-Zuordnung zusammentragen und den passenden Transfer- oder Supportweg wählen.

Checkliste

Vor der Aktivierung:

• Seriennummer, Modell und Appliance-Typ geprüft.
• Lizenzschlüssel oder Lizenz-PDF liegt vor.
• Quellkonto, Zielkonto und Sophos Central Kontext sind klar.
• Erwarteter Zielstatus ist dokumentiert.
• DNS, Gateway, Systemzeit und Internetzugriff der Firewall geprüft.
• Bei HA-Clustern beide Seriennummern und Rollen notiert.
• Bei Air-Gap-Umgebungen Lizenzdatei- und Pattern-Update-Prozess geklärt.

Während der Aktivierung:

• Administration > Licensing oder About product geöffnet.
• Richtige Firewall anhand Seriennummer verifiziert.
• Lizenzschlüssel ohne Leerzeichen oder Übertragungsfehler eingefügt.
• Nach der Aktivierung Synchronize oder Status-Refresh geprüft.

Nach der Aktivierung:

• Laufzeit, Module, Supportstatus und Seriennummer dokumentiert.
• Bei HA-Clustern beide Nodes geprüft.
• Central-Lizenzansicht mit Firewall-Lizenzansicht abgeglichen.
• Neue Schutzmodule separat konfiguriert, getestet und geloggt.
• Renewal-, Asset- und Supportdokumentation aktualisiert.

FAQ