Alten Sophos SSL VPN Client ersetzen und Autostart migrieren

Der alte Sophos SSL VPN Client for Windows sollte nicht mehr eingerichtet oder weiterbetrieben werden. Er ist seit dem 31. Januar 2022 End of Life und CVE-2021-36809 betrifft alle Versionen. Ein lokaler Angreifer kann mit Administratorrechten beliebige Systemdateien mit VPN-Client-Protokollen überschreiben; dies kann zu einem Denial of Service und Datenverlust führen. Sophos wird die Schwachstelle nicht beheben; als Abhilfe ist die Migration auf Sophos Connect v2 erforderlich. Seit SFOS 20.0 MR1 baut der Legacy-Client zudem keine Remote-Access-SSL-VPN-Tunnel mehr auf.

Kompatibilitätsstand vom 7. September 2026: Für SFOS 22 ist Sophos Connect der unterstützte Sophos-Client. Für Windows sind Sophos Connect 2.5 MR1 und älter sowie für macOS 2.0 MR1 und älter als kompatibel aufgeführt. Diese Angaben sind eine Kompatibilitätsobergrenze der Firewall, keine Empfehlung für einen alten Clientstand. Vor einem Rollout hilft Sophos Connect Client Version prüfen und sicher aktualisieren bei der Wahl der aktuellen freigegebenen Version und der Prüfung ihrer Known Issues.

Die sichere Lösung ist die Migration zu Sophos Connect: aktuelles Profil und Installer vorbereiten, alten Client deinstallieren, Verbindung importieren, testen und erst danach Autostart, Klartextdateien und alte Profile vollständig bereinigen. Für die grundsätzliche Wahl des Remote-Access-Modells hilft Sophos Connect oder SSL VPN: Welche Lösung passt?.

⚠️ Ist das betroffene Gerät der einzige Remote-Adminzugang, muss vor der Deinstallation ein alternativer Zugang oder ein Wartungsfenster mit lokalem Zugriff stehen. Der EOL-Client ist kein sicherer Rückfallweg.

Zu Sophos Connect migrieren

1. Betroffene Windows-Versionen, CPU-Architekturen, Benutzergruppen, MFA/SSO und die installierte Legacy-Version inventarisieren. Für den Piloten einen alternativen Adminzugang sowie ein freigegebenes Sophos-Connect-Paket bereithalten.
2. Aktuellen Sophos-Connect-Installer und eine frische .ovpn-Datei aus dem VPN Portal vorbereiten. Auf SFOS 22 führt der WebAdmin-Pfad über Remote access VPN > SSL VPN > Download client; Benutzer laden Client und Profil im VPN Portal > VPN. Die vollständigen Klickpfade stehen in Sophos SSL VPN mit Sophos Connect auf Windows einrichten.
3. Falls das VPN Portal nicht erreichbar ist, nur die vorhandene .ovpn aus dem Legacy-Konfigurationsordner in einen geschützten temporären Ordner kopieren. Eine password.txt darf nicht mitkopiert werden.
4. Enthält die Profilkopie auth-user-pass password.txt, den Dateinamen aus der Kopie entfernen, sodass nur auth-user-pass bleibt.
5. VPN trennen und den alten Sophos SSL VPN Client unter Settings > Apps > Installed apps regulär deinstallieren. Sophos Connect wird nicht parallel zum Legacy-Client installiert; unbekannte Treiber oder Dienste nicht manuell löschen.
6. Windows neu starten, Sophos Connect installieren und die aktuelle .ovpn beziehungsweise die bereinigte Profilkopie über Import connection importieren.
7. Verbindung mit einem Pilotbenutzer und, falls konfiguriert, MFA oder SSO aufbauen. VPN-IP, DNS, erlaubte und gesperrte Ziele sowie Reconnect prüfen. Erst danach den Rollout erweitern und die verbliebenen Legacy-Artefakte entfernen.

Sophos Connect und Profile sollten anschliessend über einen definierten Updateprozess gepflegt werden. Dafür passt Sophos Connect Client Version prüfen und sicher aktualisieren.

Legacy-Autostart und Klartextzugang erkennen

Autostart und Run-Wert prüfen

Im Task Manager unter Startup apps beziehungsweise Autostart nach SSL VPN Client for Windows suchen und den Eintrag deaktivieren.

Zusätzlich kann unter dem aktuellen Benutzer ein eigener Startwert liegen:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Ein Legacy-Wert kann an openvpn-gui.exe, --config_dir und --connect erkennbar sein. Das folgende Muster dient nur zur Identifikation und darf nicht neu angelegt werden:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profilname>.ovpn

Nur den eindeutig zum alten Sophos-Client gehörenden Wert entfernen, niemals den gesamten Run-Schlüssel oder unbekannte Einträge. Bei älteren Installationen zusätzlich den klassischen Windows-Autostartordner prüfen. In verwalteten Umgebungen ist zudem zu klären, ob GPO oder Softwareverteilung den Wert erneut erstellt.

OVPN-Profil und password.txt prüfen

Legacy-Profile liegen häufig unter einem dieser Pfade:

• 64-Bit-Windows: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• ältere 32-Bit-Installationen: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

Der tatsächlich vorhandene Run-Wert und die lokale Installation sind verlässlicher als ein angenommener Standardpfad.

Eine problematische Dateireferenz sieht so aus:

auth-user-pass password.txt

Die referenzierte Datei enthält Benutzername und Passwort im Klartext. Diese Datei nicht öffnen, ausgeben oder an Supportdaten anhängen. Für die Migration wird in einer Kopie des Profils nur die normale interaktive Anmeldung belassen:

auth-user-pass

Sobald der alternative Adminzugang und das bereinigte Profil bereitstehen, werden die referenzierte Passwortdatei und sämtliche Kopien noch vor der ersten Anmeldung mit Sophos Connect gelöscht. Danach das Passwort des betroffenen Kontos über das zuständige Identitätssystem ändern, die VPN-Logs auf unerwartete Anmeldungen prüfen und den Pilottest mit dem neuen Passwort durchführen. Nicht mehr benötigte Legacy-Profile erst nach erfolgreicher Migration löschen. Nur die Datei zu löschen reicht nicht.

Auto-Connect ohne password.txt

Eine Sophos-Connect-Provisioning-Datei (.pro) kann Profile automatisch importieren und aktualisieren. Mit auto_connect_host prüft der Client einen Host, der nur im internen Netz erreichbar ist. Ist dieser nicht erreichbar, aktiviert Sophos Connect die Verbindung; der Tunnel wird nur mit gespeicherten Zugangsdaten oder nach einer vorherigen SSO-Anmeldung automatisch aufgebaut.

[
  {
    "display_name": "Firmen-VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Mit can_save_credentials: false speichert der Client kein Benutzerpasswort. Ohne SSO muss sich der Benutzer weiterhin anmelden. War SSO die letzte Anmeldemethode, kann Sophos Connect den Tunnel automatisch über SSO aufbauen. Das Beispiel ist bewusst minimal; klassisches Sophos-Firewall-OTP benötigt zusätzliche otp- und 2fa-Felder. Der verlinkte Provisioning-Artikel erklärt diese Felder und die GPO-Verteilung; für die Authentifizierung helfen MFA auf Sophos Firewall oder Microsoft Entra ID SSO für Sophos Connect.

Dabei sind drei Funktionen zu trennen: Windows startet die Sophos-Connect-Anwendung, .pro importiert beziehungsweise aktualisiert Profile, und auto_connect_host löst abhängig vom Netz eine Verbindung aus. Keine davon ist ein unterstützter Ersatz für password.txt. Das Beispiel enthält weder Benutzername noch Passwort und baut ohne vorherige SSO-Anmeldung keinen unbeaufsichtigten Tunnel auf. Auto-Connect ist auch kein Pre-Logon-Gerätetunnel vor der Windows-Benutzeranmeldung.

Für Microsoft Entra ID SSO nennt Sophos Sophos Connect 2.4 oder neuer auf Windows mit SFOS 21.5 oder neuer. Der Leitfaden für Sophos-Connect-Updates behandelt ausserdem Versionswahl und bekannte Probleme: Für 2.5 und neuer sind 64-Bit-Windows 10/11 sowie Windows 10/11 auf ARM dokumentiert; Windows 11 Enterprise Multi-session einschliesslich Azure Virtual Desktop wird nicht unterstützt. .pro-Provisioning ist für Windows dokumentiert, nicht für macOS.

Auf gemeinsam genutzten Windows-Geräten mindestens mit zwei Benutzerkonten testen. Laut demselben Leitfaden behebt Sophos Connect 2.5 MR1 als NCL-2570, dass der Client für zusätzliche Windows-Benutzer nicht automatisch startete, wenn ein anderer Benutzer ihn installiert hatte. Ein Update ersetzt den Mehrbenutzertest nicht; und „Client startet“ bedeutet weiterhin nicht „VPN ist verbunden“.

Provisioning benötigt ein erreichbares VPN Portal. Wird es aus dem WAN freigegeben, gehören ein vertrauenswürdiges Zertifikat, MFA, Monitoring und eine möglichst enge Device-Access- und Local-Service-ACL-Konfiguration dazu.

Migration prüfen und Fehler eingrenzen

Nach dem Wechsel müssen Verbindung und Bereinigung getrennt geprüft werden:

• Der alte Client, sein Task-Manager-Autostart und der konkrete HKCU-Run-Wert sind entfernt.
• Im alten Profilpfad und in der Softwareverteilung liegt keine password.txt mehr.
• Ein migriertes Profil enthält keine Dateireferenz hinter auth-user-pass.
• Sophos Connect verwendet die vorgesehene aktuelle Verbindung und Clientversion.
• Anmeldung, MFA oder SSO funktionieren.
• Der Client erhält eine Adresse aus dem erwarteten VPN-Pool.
• Interne DNS-Namen und erlaubte Ziele funktionieren; ausdrücklich gesperrte Netze bleiben gesperrt.
• Log Viewer zeigt den erwarteten Benutzer und die passende Remote-Access-Regel.

Sophos Connect lässt sich nicht installieren

Prüfen, ob der alte Sophos SSL VPN Client noch installiert ist. Diesen regulär deinstallieren, Windows neu starten und die Installation wiederholen. Bei Konflikten mit anderen VPN-Clients keine Treiber oder Dienste auf Verdacht entfernen.

Profil ist importiert, aber der Tunnel startet nicht

Ein aktuelles .ovpn aus dem VPN Portal erneut importieren und Policy-Zuordnung, Benutzerkonto, MFA sowie die Sophos-Connect-Ereignisse prüfen. Auf der Firewall helfen je nach Fehlerbild sslvpn.log, openvpn-status*.log und bei Authentifizierungsproblemen access_server.log.

Tunnel steht, aber interne Ziele funktionieren nicht

Dann liegt das Problem meist bei Policy, Firewall-Regel, DNS, Routing oder MTU. Für die Eingrenzung helfen Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture, Sophos Firewall Services und Logs und bei hängenden Anwendungen MTU und MSS bei VPN-Problemen.

Sophos Connect startet, verbindet aber nicht automatisch

Zuerst prüfen, ob ein .pro-Profil verwendet wird und auto_connect_host einen stabilen, nur intern erreichbaren FQDN enthält. Danach denselben Host im Firmennetz und von extern testen. Ist er extern ebenfalls erreichbar, bleibt Auto-Connect aus; ist er intern unzuverlässig, kann die Verbindung unnötig aktiviert werden. Anschliessend kontrollieren, ob sich der Benutzer zuvor per SSO angemeldet hat. Bei can_save_credentials: false und ohne vorherige SSO-Anmeldung ist eine interaktive Anmeldung das erwartete Verhalten.

Sicherer Rückweg

Der Rückweg führt nicht zum verwundbaren Legacy-Client. Vor der Pilotmigration bleiben das freigegebene Sophos-Connect-Paket, das bereinigte Profil und ein alternativer Adminzugang verfügbar. Schlägt der neue Client fehl, zuerst Sophos-Connect-Ereignisse und scvpntsr.zip sichern, dann Rollout und GPO-Verteilung stoppen. Die fehlerhafte Sophos-Connect-Version regulär deinstallieren, bei Bedarf neu starten und die zuletzt freigegebene Sophos-Connect-Version mit dem dazu geprüften Profil installieren.

Danach Anmeldung, MFA/SSO, VPN-IP, DNS, erlaubte und gesperrte Ziele erneut prüfen. Firewall-, Portal- oder Policy-Änderungen erst zurücknehmen, wenn keine bereits migrierten Benutzer mehr davon abhängen. Legacy-Installer, password.txt und der alte Run-Wert werden nicht als Rollback wiederhergestellt.

FAQ