Sophos Hardwaredefekt: RMA und Austausch vorbereiten

Bei einem Hardwaredefekt zählt ein klarer Ablauf: Betrieb absichern, Fehler eingrenzen, Gerätedaten und Backup sichern, einen technischen Support Case eröffnen, das Ersatzgerät wiederherstellen und die Rücksendung dokumentieren. Ein RMA ersetzt weder ein aktuelles Backup noch HA oder einen Notfallplan.

Der Kurzablauf:

1. Hardwarefehler mit einfachen Gegenprüfungen belegen.
2. Garantie, Supportstatus und RMA-Variante klären.
3. Seriennummer, Fehlerbild, Logs, Backup und Versanddaten vorbereiten.
4. Technischen Support Case mit RMA-Formular eröffnen.
5. Ersatzgerät prüfen, Lizenz übertragen, Konfiguration wiederherstellen und Betrieb testen.
6. Defektes Gerät gemäss RMA-Anweisung fristgerecht zurücksenden.

Hardwaredefekt und Anspruch prüfen

Fehlerbild eingrenzen

Vor dem RMA-Fall sollte man ausschliessen, dass Netzteil, Kabel, Gegenstelle, Provider, Firmware oder Konfiguration die Ursache sind. Typische Hardwarehinweise sind:

• Das Gerät startet nicht oder bleibt beim Booten hängen.
• Power-, Status- oder Laufwerks-LEDs zeigen keinen normalen Zustand.
• Lüfter, Netzteil oder Temperaturwerte sind wiederholt auffällig. Bei einer XGS Appliance kann man Temperatur und Lüfterstatus per SSH prüfen.
• Ein Port bleibt ohne Link, obwohl Kabel und Gegenstelle geprüft wurden.
• SSD-, Speicher- oder I/O-Fehler treten wiederholt auf. Für Firewalls hilft zusätzlich Sophos Firewall SSD-Zustand prüfen.
• Das Gerät ist physisch beschädigt oder seit einem Stromereignis instabil.
• SD-RED, Switch oder Access Point bleibt trotz korrekter Versorgung und Netzwerkprüfung offline.

Bei einer Sophos Firewall sollte man prüfen, ob WebAdmin, SSH, Log Viewer oder ein HA-Peer noch erreichbar sind. Hängt nur WebAdmin, ist die Appliance nicht automatisch defekt; dann passt zuerst Sophos Firewall WebAdmin GUI neu starten.

Startet die Appliance, aber WebAdmin und SSH bleiben unerreichbar, ist die serielle Konsole der nächste zustandserhaltende Prüfweg. Man verbindet sie direkt mit dem mitgelieferten seriellen Kabel beziehungsweise dem zum Modell passenden USB-Konsolenkabel und stellt 38400 Baud ein. Zuerst werden nur Bootausgabe, Zeitpunkt und Fehlermeldung aufgezeichnet; ein Factory Reset, Reimage oder eine Änderung im Bootmenü ist für diese Diagnose nicht nötig. Bleibt die Konsole stumm, bestätigt ein zweites Kabel oder ein anderer Rechner, ob das Problem am Konsolenweg oder an der Appliance liegt.

Bei einem Portfehler zeigt die Device Console über SSH mit Menüpunkt 4, ob SFOS das Interface erkennt:

show network interfaces

In der Advanced Shell unter 5. Device Management > 3. Advanced Shell kann man beim Ein- und Ausstecken des Kabels die Systemmeldungen beobachten:

tail -f /log/syslog.log

Erwartet werden Link- oder Fehlermeldungen zum betroffenen Port. Die Ausgabe mit Ctrl+C beenden und relevante Zeilen im Support Case sichern. Weitergehende Porttests können den Betrieb unterbrechen und sollten nur nach Wartungsplanung oder auf Anweisung des Supports ausgeführt werden.

Garantie und Supportanspruch

Ob Sophos ein Gerät ersetzt, hängt von Produkt, Seriennummer, Kaufdatum, Supportvertrag, Lizenzstatus und Lifecycle ab. Bei HA werden beide Seriennummern und die Rolle des defekten Nodes benötigt. Die Unterschiede zwischen Basisgarantie, Support und Advance Hardware Replacement erklärt Sophos Hardware Garantie, Support und RMA; eine sichtbare Base License allein belegt keinen Advance-RMA-Anspruch.

Standard- oder Advance-Austausch

• Beim Standard Hardware Replacement wird das defekte Gerät zuerst zurückgesendet. Sophos versendet den Ersatz nach Eingang der Hardware.
• Beim Advance Hardware Replacement kann Sophos das Ersatzgerät nach genehmigter RMA vor dem Rückerhalt der defekten Hardware versenden. Dafür muss die passende aktive Supportabdeckung bestehen.

Welcher Ablauf gilt, steht in der konkreten RMA-Freigabe. Erst nach Sophos-Bestätigung sollte man von einem Vorabaustausch ausgehen.

RMA-Fall vorbereiten

Gerät, Fehlerbild und Auswirkung

Folgende Angaben beschleunigen die Prüfung:

• Produkt, Modell, Seriennummer und Hardware-Revision
• Firmwareversion und Build
• Lizenz- und Sophos-Central-Zuordnung
• Kauf- oder Lieferdatum
• Standort und betroffenes Land
• genaue Fehlerbeschreibung, Beginn und Häufigkeit
• geprüfte Netzteile, Kabel, Ports und Gegenstellen
• LED-Zustände, Fotos, Screenshots und relevante Logs
• Auswirkung auf Benutzer, Standort und Dienste
• bei HA: beide Seriennummern, Rolle des defekten Nodes und Clusterstatus
• vorhandener Workaround oder Ersatzhardware

Statt nur defekt zu schreiben, hilft ein konkretes Fehlerbild:

• XGS 2100 does not boot after power event
• Port3 no link with tested cable and switch port
• SSD errors and reporting database failures

Die Seriennummer der Sophos Firewall findet man je nach Zustand in WebAdmin, Sophos Central, auf dem Gehäuse oder in den Lizenzunterlagen.

Wiederherstellung vorbereiten

Bei einer Firewall muss parallel zur RMA geklärt werden, wie der Betrieb wiederhergestellt wird:

• aktuelles Backup vorhanden
• Backup-Verschlüsselungspasswort bekannt
• falls für das Backup gesetzt: Secure Storage Master Key zusätzlich vorhanden
• Firmware- und Modellkompatibilität für den Restore geprüft
• WAN-Zugangsdaten, Zertifikate und lokale Admin-Zugänge verfügbar
• HA-Rollen, Central-Registrierung und Lizenztransfer verstanden
• Wartungsfenster, Rückfallplan und Ansprechpartner definiert
• relevante Logs gesichert, solange das alte Gerät noch erreichbar ist

Die Detailabläufe stehen in Backup und Restore auf Sophos Firewall, Sophos Firewall Logs für Support sichern und bei Bedarf Sophos Firewall OS mit USB-Stick neu installieren.

Bei einem Cluster muss zusätzlich der HA-Zustand und die Rolle der defekten Appliance dokumentiert werden.

⚠️ Bei einem produktiven Ausfall sollten Wiederherstellung und RMA parallel laufen. Der Austauschprozess stellt Hardware bereit, aber keine funktionierende Konfiguration.

Support Case für RMA eröffnen

Eine RMA beginnt mit einem technischen Support Case. Im Support Portal startet man ihn über den Sophos Support Assistant. Der Assistant kann Diagnosevorschläge machen, eröffnet den Fall aber erst nach Prüfung und Absenden der gesammelten Angaben. Erfolgskriterium ist die angezeigte Case-Nummer. Sophos Support prüft danach Fehler und Anspruch; Customer Care erzeugt die RMA und die Compliance-Prüfung gibt den Versand frei. Der genaue Portalablauf steht in Sophos Supportticket eröffnen.

Diese Vorlage vereint die technischen Angaben mit dem aktuellen RMA-Formular und kann in den Case kopiert werden:

Subject: RMA request - Sophos Firewall XGS 2100 - serial C123456789

===================================================
Technical Issue
===================================================
Description/RMA Reason:
Troubleshooting performed:
Business impact:
Attachments:
Fault Code: (leave it for Sophos Support to fill)
Sub Fault Code: (leave it for Sophos Support to fill)

======================================
Defective Product Details/License Details
======================================
Model/Product:
Revision:
Firmware version:
Serial # of faulty device:
License #:
Dead on arrival: Y/N
Is this part of a HA Cluster: Y/N
HA role and peer serial number:

======================================
Shipping Info (All fields required)
======================================
Company:
TAX ID / VAT number:
Contact name:
Address:
City:
Zip/Postal code:
Country:
Phone:
Email:
Special Instructions:

Für Sendungen nach Europa verlangt Sophos die Umsatzsteuer-ID, für Brasilien CNPJ und IR-Nummer und für Indien die GST-Nummer; ohne die benötigten Steuerangaben kann kein Ersatzgerät versendet werden. Sophos versendet grundsätzlich in das Land, in dem die Originalhardware gekauft wurde. Abweichende Standorte oder Importvorgaben sollten deshalb bereits im Case geklärt werden.

Englisch ist keine veröffentlichte Sophos-Pflicht, kann die internationale Weitergabe des Falls aber vereinfachen. Anhänge sollten nur die nötigen Fotos, Screenshots und Logauszüge enthalten und keine unnötigen vertraulichen Daten.

Nach vollständig bearbeiteter und vor dem regionalen Cut-off genehmigter Advance RMA bemüht sich Sophos um den Versand am nächsten Geschäftstag. Ein Lieferdatum ist nicht garantiert; Compliance, Rückfragen, Import, Wochenenden, Feiertage und Carrier können verzögern.

Nach der Freigabe sollte man fünf Statuspunkte nachvollziehen können: RMA und Compliance-Prüfung, Versandkoordination, Versand mit Tracking, Zustellung mit Rücksendeanweisung und Fallabschluss. Fragen oder Probleme zu Status, Compliance, Versandadresse, Tracking, Label und Rücksendung werden im bestehenden Sophos Support Case bearbeitet und dort mit Case- und RMA-Nummer eskaliert. Ist dieser Case nicht zugänglich, folgt man dem Ablauf unter Sophos Supportticket eröffnen, um den Support zu erreichen, und nennt beide Nummern.

Fehler und Eskalation

• Keine Case-Nummer: Der Assistant-Dialog wurde noch nicht erfolgreich abgesendet. Den Vorgang über Sophos Supportticket eröffnen abschliessen und die Bestätigung sichern.
• Anspruch abgelehnt oder Produkt nicht zugeordnet: Ablehnungsgrund, Seriennummer, Kaufnachweis, Account- und Supportzuordnung im bestehenden Case schriftlich abgleichen lassen. Ohne RMA-Nummer und Freigabe nichts versenden.
• RMA genehmigt, aber Adresse, Compliance-Freigabe, Label oder Tracking fehlt: Im bestehenden Case antworten und dabei Case- und RMA-Nummer nennen und dort eskalieren. Ist der Case nicht zugänglich, über Sophos Supportticket eröffnen den Support erreichen und beide Nummern angeben.
• Falsches, unvollständiges oder transportbeschädigtes Ersatzgerät: Verpackung, Label, Seriennummer, Lieferumfang und Schaden vor der Inbetriebnahme fotografieren und im bestehenden Case melden. Weder Defekt- noch Ersatzgerät ohne schriftliche Anweisung weitersenden oder entsorgen.
• Fehler nach Restore oder Austausch weiterhin vorhanden: Neue Seriennummer, Firmware, Restore-Ergebnis, Testzeitpunkt und betroffene Dienste im ursprünglichen technischen Case ergänzen. So kann Sophos zwischen Ersatzhardware, Software, Konfiguration und Umgebung unterscheiden.
• Rücksendung ohne Fortschritt oder Zustellbestätigung: Tracking und Abholbeleg zuerst beim angegebenen Carrier prüfen, danach im bestehenden Support Case mit Case- und RMA-Nummer eskalieren. Ist der Case nicht zugänglich, den Support über Sophos Supportticket eröffnen erreichen und beide Nummern angeben. Nachweise bis zur schriftlichen Annahme oder genehmigten Entsorgung aufbewahren.

⚠️ Auch Advance Hardware Replacement ist kein Hochverfügbarkeitskonzept. Für kritische Standorte braucht es HA, passende Ersatzhardware oder einen dokumentierten Notfallplan.

Ersatzgerät wiederherstellen und prüfen

Sobald das Ersatzgerät eintrifft:

1. Modell, Revision und Lieferumfang gegen die RMA prüfen. Ersatzhardware kann neu, refurbished, repariert oder eine andere geeignete Revision sein.
2. Bei SG/XG-Appliances und XGS Appliances mit SFOS das Ersatzgerät im selben Sophos-Central-Account claimen und den angebotenen Lizenztransfer kontrollieren. Das defekte Gerät wird dadurch deregistriert. Lizenztransfer auf ein Ersatz- oder RMA-Gerät und HA-Rolle vor der Bestätigung getrennt prüfen.
3. Nicht von vorinstallierter Firmware oder derselben SFOS-Version ausgehen. Die Sophos Replacement Policy nennt Ersatzhardware ohne vorinstallierte Firmware; benötigten Firmwarestand, Zielmodell und Backup-Kompatibilität deshalb vor dem Restore abgleichen. Bei Active-Passive-HA muss der Build zum gesunden Peer passen.
4. Backup mit dem Verschlüsselungspasswort und gegebenenfalls zusätzlich dem Secure Storage Master Key wiederherstellen.
5. WAN, LAN, VLANs, Routing, DNS und DHCP testen.
6. Firewall-Regeln, NAT, VPN und Remote Access prüfen. Für den Paketfluss hilft Firewall-Regel mit Log Viewer, Policy Test und Packet Capture testen.
7. HA, Sophos Central, Reporting, Logs und Monitoring kontrollieren.
8. Ergebnis, neue Seriennummer und Rücksende-Tracking im bestehenden Case dokumentieren.

Bleiben Fehler bestehen, wird der bestehende Case mit konkreten Testergebnissen ergänzt. Ein neuer Case ohne Bezug zur RMA erschwert die Nachverfolgung.

Defektes Gerät zurücksenden

Beim Advance-Austausch nennen der aktuelle Sophos-RMA-Prozess und die Replacement Policy eine Rücksendefrist von 15 Tagen nach Erhalt des Ersatzgeräts. Die übergeordnete Warranty Policy verlangt die Rückgabe dagegen innerhalb von 15 Kalendertagen nach Erhalt der RMA; ihre Klausel zur ausbleibenden Rückgabe erlaubt eine mögliche Verrechnung ab 30 Tagen nach Erhalt des Ersatzgeräts. Diese 30 Tage sind keine zusätzliche Betriebsfrist: Man plant konservativ ab RMA-Freigabe und hält sich an das früheste Datum aus RMA-Mail, Label oder schriftlicher Sophos-Anweisung. Die Rücksendung sollte unmittelbar nach Lizenztransfer und erfolgreicher Wiederinbetriebnahme organisiert werden.

Beim Standardaustausch trägt der Kunde die Kosten des Rückversands. Beim Advance-Austausch erfolgt die Rücksendung über den von Sophos bestimmten Carrier auf Sophos-Kosten; Zoll- und lokale Pflichten können je nach Land trotzdem beim Kunden liegen.

DHL-Abholung mit vorhandenem Label

Wenn die RMA-Anweisung DHL nennt und bereits ein gültiges Rücksendeetikett vorhanden ist, kann man die DHL-Abholung buchen. Bei der Frage nach einem Versandlabel wird nur dann Nein gewählt, wenn das Label bereits am Paket angebracht ist.

Die Sendungsnummer steht auf dem Rücksendeetikett und sollte zusammen mit Abholdatum und Bestätigung im RMA-Case dokumentiert werden.

Gerät, Zubehör und Daten

• Defekte Hardware als vollständige Einheit und möglichst im Karton des Ersatzgeräts zurücksenden.
• Interne HDDs, SSDs oder andere Komponenten nicht ausbauen, ausser Sophos erlaubt dies ausdrücklich schriftlich.
• Externes Zubehör wie Netzteile, Transceiver, Flexi-Port-Module, Rackmount-Kits, Antennen und Kabel grundsätzlich behalten, sofern die RMA-Anweisung nichts anderes verlangt.
• Konfiguration sichern und Kundendaten vor dem Versand vollständig gemäss interner Vorgabe löschen. Sophos übernimmt laut Warranty und Replacement Policy keine Verantwortung für Daten auf der defekten Hardware. Ist das Gerät nicht mehr zugänglich, das Datenrisiko im Case dokumentieren und eine schriftliche Sophos-Anweisung anfordern, statt das Gehäuse eigenmächtig zu öffnen.
• Rücksendeetikett, Trackingnummer, Versanddatum und Zustellnachweis aufbewahren.
• Hardware nur nach ausdrücklicher schriftlicher Sophos-Anweisung entsorgen.

Bei verspäteter, unvollständiger oder nicht erfolgter Rücksendung kann Sophos den vollen Preis des Ersatzgeräts oder fehlende Komponenten berechnen. Der Fall gilt erst als abgeschlossen, wenn Sophos die Rücksendung erhalten und geprüft oder eine angeordnete Entsorgung bestätigt hat.

FAQ