Sophos Hardware: Garantie, Support und RMA richtig einordnen

Bei Sophos Hardware sind Garantie, Supportabdeckung und RMA-Verfahren drei getrennte Dinge. Die Basisgarantie begründet einen Anspruch bei einem gedeckten Hardwaredefekt. Ein passender, lückenloser Supportvertrag kann zusätzlich Advance Hardware Replacement ermöglichen. Erst Sophos Support prüft den Fehler und eröffnet bei bestätigtem Anspruch die RMA.

Für die schnelle Einordnung benötigt man deshalb Produktfamilie, Seriennummer, Bestell- oder Kaufnachweis, Supportstatus, Managementart, HA-Rolle und aktuellen Lifecycle. Eine sichtbare Sophos Firewall Base License allein belegt weder Support noch Advance-RMA-Anspruch.

Was die Begriffe bedeuten

• Base Warranty: Herstellergarantie gegen Material- und Verarbeitungsfehler bei dokumentationsgemässer Nutzung.
• Extended Warranty: längere Garantie für ausdrücklich genannte Produktfamilien und grundsätzlich für den ursprünglichen Käufer.
• Supportvertrag: Zugang zu vereinbarten Supportleistungen; je nach Produkt und Lizenzmodell gehört Advance Hardware Replacement dazu.
• Standard Hardware Replacement: Das defekte Gerät geht zuerst an Sophos. Der Ersatz wird nach dessen Eingang versendet.
• Advance Hardware Replacement: Nach genehmigter RMA kann Sophos den Ersatz vor Eingang des defekten Geräts versenden.
• RMA: Return Merchandise Authorization, also die von Sophos freigegebene Rückgabe oder der Austausch.

Für die konkrete Deckungsentscheidung werden Seriennummer, Bestelldatum, Produktfamilie und Supportstatus mit den aktuellen Sophos Hardware Warranty Terms abgeglichen. Das Ergebnis und die verbindliche Rückgabefrist werden anschliessend zusammen mit der schriftlichen RMA-Anweisung im Support Case festgehalten.

Garantiedauer und Umfang

Die Basisgarantie läuft zwölf Monate ab dem Datum, an dem Sophos die Bestellung des Channel Partners verarbeitet hat. Das ist nicht zwingend Kauf-, Liefer- oder Installationsdatum. Rechnung und Lieferschein helfen bei der Zuordnung, der bei Sophos hinterlegte Bestellzeitpunkt entscheidet aber über den Beginn.

Für einzelne Familien nennt Sophos eine Extended Warranty:

• SD-RED und APX Series: fünf Jahre ab verarbeitetem Partnerauftrag, höchstens bis zum End-of-Life-Datum.
• Sophos Switch und AP6 Series: Limited Lifetime Warranty; „Lifetime“ endet bei Sophos am End-of-Life-Datum.
• XGS Appliances, XG und SG: zwölf Monate Basisgarantie. Die EOL-Grenze nennt Sophos dagegen ausdrücklich für verlängerte Garantie- und Supportzeiträume.

Die Garantie deckt Herstellungsfehler, nicht automatisch Software, Konfiguration oder Konfigurationshilfe. Ausgeschlossen sind unter anderem Fehlgebrauch, nicht spezifikationsgerechte Strom- oder Umgebungsbedingungen, Unfall- und Elementarschäden sowie nicht autorisierte Reparaturen oder Veränderungen. Manipulierte oder fehlende Warranty-Sticker können den Anspruch aufheben. Ein Ersatz kann neu, refurbished, repariert oder ein gleichwertiges neueres Modell sein und übernimmt nur die verbleibende ursprüngliche Garantiezeit. Dieselbe SFOS-Version oder Rückwärtskompatibilität ist nicht garantiert.

Vor jedem Renewal oder Austausch wird deshalb zusätzlich der Sophos Product Lifecycle geprüft. Supportverträge dürfen nicht über das EOL-Datum hinaus verlängert werden.

Wann Advance Hardware Replacement gilt

Für Appliances mit SFOS – einschliesslich SFOS 22 – gelten je nach Lizenzierung und HA-Modus unterschiedliche Voraussetzungen:

• Einzelne SG/XG-Geräte und XGS Appliances mit Term License: aktiver Enhanced Support; er ist in Standard Protection und Xstream Protection enthalten.
• Einzelne SG/XG-Geräte und XGS Appliances mit MSP License: aktive Standard Protection oder Xstream Protection im MSP-Modell.
• Active-Active HA: jede Appliance benötigt ihre eigene passende Abdeckung.
• Active-Passive HA: Bei Term Licensing benötigt die Primary Enhanced Plus, bei MSP Licensing Xstream Protection. Dann sind Primary und Auxiliary abgedeckt.
• AP6 und Sophos Switch in Sophos Fusion (ehemals Sophos Central): aktive Support Subscription.
• SD-RED 20/60 und APX über SFOS verwaltet: das verbundene SFOS-Gerät benötigt aktiven Enhanced Plus Support.
• Standalone APX: kein Advance Hardware Replacement.

Bei APX und SD-RED endet diese Advance-RMA-Berechtigung spätestens fünf Jahre nach dem verarbeiteten Partnerauftrag oder am EOL-Datum. Welche Geräte, Komponenten und Zubehörteile zurückgehen, bestimmt die konkrete RMA-Anweisung; der Lieferumfang sollte deshalb nicht nach Vermutung ergänzt oder reduziert werden.

Gerade bei Aussenstandorten ist das relevant: Ein Access Point oder eine SD-RED wirkt im Inventar wie ein kleines Gerät, kann aber den ganzen Standort anbinden. Austauschweg und Notbetrieb werden deshalb mit derselben Sorgfalt geplant wie bei einer Firewall.

Die HA-Lizenzierung ist leicht falsch zu lesen. Darum werden bei einem Cluster immer beide Seriennummern, der Modus sowie Primary- und Auxiliary-Rolle geprüft. Die technischen Rollen erklärt Sophos Firewall HA-Cluster.

Wartezeit nach einer Supportlücke

Wird Support erst mehr als 30 Tage nach Garantieende oder nach Ablauf des vorherigen Vertrags gekauft, kann für Ersatzhardware eine dreimonatige Wartezeit gelten. Die im März 2026 revidierten Warranty Terms nennen dafür XG und XGS; die aktuelle Support-Service-Seite nennt in ihrer Fussnote nur XGS. Da die Warranty Terms bei Konflikten Vorrang beanspruchen, sollte man für eine XG-Reaktivierung keine günstigere Auslegung annehmen, sondern den konkreten Anspruch vor dem Kauf schriftlich bestätigen lassen. Eine kostenpflichtige Reinstatement-Option kann die Wartezeit aufheben.

Support sollte daher nicht erst nach dem Defekt reaktiviert werden. Die Auswirkungen fehlender Firewall-Supportabdeckung ordnet Sophos Firewall: Änderung für Kunden ohne Support-Lizenz ein.

Sophos Switch: Garantie und RMA richtig vorbereiten

Für Sophos Switch gilt die Limited Lifetime Warranty nur bis zum End-of-Life-Datum des jeweiligen Modells. Sie ist keine Zusage für einen zeitlich unbegrenzten Vorabaustausch. Advance Hardware Replacement setzt eine aktive Sophos Switch Support and Services Subscription voraus; ob der konkrete Defekt und Austausch gedeckt sind, bestätigt erst Sophos im Support Case. Ein lokal weiterhin funktionierender Switch beweist weder eine aktive Subscription noch einen Advance-RMA-Anspruch.

Auch nach End of Sale können Hardwarewartung und Support bis EOL weiterlaufen, wenn ein gültiger Garantie- oder Supportvertrag besteht. Ist ein defektes Modell bereits EOL, aber noch durch einen gültigen Supportvertrag gedeckt, kann Sophos nach eigener Wahl dasselbe Modell, sofern verfügbar, oder ein gleich beziehungsweise besser dimensioniertes Ersatzmodell liefern. Das Ersatzgerät kann eine neuere Revision und einen aktuellen Softwarestand haben; dass die bisherige Firmware oder Konfiguration unverändert darauf läuft, ist nicht zugesichert. Modell, Port- und Uplink-Typen, PoE-Budget, Firmware- und Backup-Kompatibilität werden deshalb vor dem Cutover geprüft.

Voraussetzungen und Belege vor dem Case

Vor einem Neustart, Reset oder Ausbau werden die Belege gesichert, die den Fehler reproduzierbar machen und den bisherigen Zustand für eine Wiederherstellung erhalten:

• Modell, Hardware-Revision, Seriennummer, Kauf- beziehungsweise Bestelldatum und Standort;
• Sophos-Fusion-Konto, Gerätezuordnung, Status der Switch Support and Services Subscription und aktueller Lifecycle;
• Firmwareversion, Managementart, Site- oder Stack-Zuordnung und letzte bekannte funktionierende Konfiguration;
• Beginn, Häufigkeit und Geschäftsauswirkung des Fehlers sowie betroffene Ports, Uplinks, PoE-Geräte oder Dienste;
• LED-Zustände und Fotos beziehungsweise Video des Defekts;
• Ergebnisse einfacher Gegenprüfungen mit anderer Steckdose oder Stromzuführung, Kabel, Transceiver, Gegenstelle oder Vergleichsport, soweit dies ohne zusätzliches Betriebsrisiko möglich ist;
• Status, Alerts, letzter Kontakt, relevante Portwerte sowie RAM- und Flash-Logs, solange das Gerät erreichbar ist;
• aktuelles, extern verfügbares .cfg-Backup und ein Port-, VLAN-, Uplink- und PoE-Plan für den Ersatz.

Flüchtige RAM-Logs gehen bei Neustart oder Ausschalten verloren. Ein Factory Reset würde zusätzlich die lokale Konfiguration und damit mögliche Fehlerbelege verändern. Deshalb folgt die technische Eingrenzung zuerst dem Runbook Sophos Switch diagnostizieren und Supportdaten sichern; Backup und Restore erklärt Sophos Switch sichern und wiederherstellen.

Supportweg und Leistungsgrenze

Der belastbare Weg für einen Hardwareaustausch ist ein technischer Case im Sophos Support Portal. Nach der Anmeldung mit der Sophos ID beschreibt man dem Sophos Support Assistant den Defekt, beantwortet dessen Diagnosefragen, fordert bei Bedarf ausdrücklich die Case-Erstellung an, prüft die gesammelten Angaben und sendet sie ab. Erst die angezeigte Case-Nummer bestätigt, dass der Fall eröffnet wurde. Bei einem dringenden Ausfall kann man zusätzlich die auf der offiziellen Kontaktseite genannte regionale Telefonnummer verwenden; Case-Nummer und Seriennummer sollten dann bereitliegen. Den aktuellen Portalablauf fasst Sophos Supportticket eröffnen zusammen.

Sophos Support bearbeitet Fehler bei Installation, Administration und Betrieb sowie Abweichungen vom dokumentierten Produktverhalten. Eine neue Netzimplementierung oder vollständige Neukonfiguration gehört nicht zu diesem Break/Fix-Umfang. Ebenso ersetzt der RMA-Prozess weder Backup, Verkabelungsplan, Cutover noch technische Abnahme. Diese Aufgaben bleiben beim Betreiber oder seinem Betriebspartner.

Für die Case-Erstellung werden die oben genannten Nachweise zusammen mit dem RMA-Formular eingereicht. Sophos Support validiert den Defekt und leitet den Fall an Customer Care weiter; erst nach RMA-Erstellung und Compliance-Prüfung koordiniert das RMA-Team den Versand. Ohne Case- und RMA-Nummer, schriftliche Freigabe und bestätigte Lieferadresse wird kein Gerät versendet. Ein Versand am nächsten Geschäftstag oder ein bestimmtes Zustelldatum ist nicht garantiert.

Switch-Ersatz registrieren und abnehmen

Nach Eingang des Ersatzgeräts gilt für Sophos Switch eine wichtige Kontogrenze: Das neue Gerät wird im selben Sophos-Fusion-Konto registriert wie das defekte Gerät. Die Support Subscription wird über das Kundenkonto verwaltet und ist nicht fest an die einzelne Hardwareeinheit gebunden. Das bedeutet jedoch nicht, dass Sophos die Konfiguration automatisch überträgt.

Vor der Rückgabe des Altgeräts werden mindestens folgende Punkte kontrolliert:

1. Modell, Revision, Seriennummer, Portanzahl, Uplink-Typen, PoE-Budget und Transportschäden gegen RMA und Netzplan prüfen.
2. Vor dem Hinzufügen festlegen, ob die Parent-Vorlage der vorgesehenen Site beziehungsweise des vorgesehenen Stacks oder ein individuelles .cfg-Backup die massgebliche Konfigurationsquelle ist. Zielmodell und Firmwarestand auf Kompatibilität mit diesem Weg prüfen; Vorlage und Backup nicht unkontrolliert gegeneinander anwenden.
3. Erst danach das Ersatzgerät im richtigen Fusion-Konto und in der vorgesehenen Site beziehungsweise im vorgesehenen Stack registrieren; Subscription und Gerätezuordnung kontrollieren.
4. Die festgelegte Konfiguration kontrolliert anwenden und anschliessend Identität, Managementzugang, Fusion-Status, offene Tasks und Alerts prüfen.
5. Uplinks, LAG und STP, VLANs und Management-VLAN, Layer-3-Funktionen, PoE, 802.1X beziehungsweise Port Security sowie SNMP, Syslog und die tatsächlich betroffenen Dienste testen.
6. Neue Seriennummer, Firmware, Restore-Ergebnis, Abnahmezeitpunkt und noch offene Abweichungen im bestehenden Case und in Inventar beziehungsweise CMDB dokumentieren.

Der vollständige Cutover mit Rückfallpunkten, Restore, Konfliktprüfung und Abnahmematrix steht unter Sophos Switch ersetzen oder zurücksetzen. Erst wenn diese Prüfungen bestanden sind und die RMA-Anweisung die Rückgabe verlangt, wird das Altgerät für den Versand vorbereitet. Bleibt der Fehler bestehen, wird der ursprüngliche Case mit den Testergebnissen des Ersatzgeräts ergänzt statt ohne Bezug ein neuer Fall eröffnet.

Daten, Reset und Rücksendung beim Switch

Ein Reset darf weder die Supportdiagnose noch das einzige Backup zerstören. Solange der Switch erreichbar ist, wird zuerst die benötigte .cfg-Datei ausserhalb von Sophos Fusion gesichert. Das ist besonders wichtig, weil Remove from Sophos Fusion die dort gespeicherten Backups dieses Switches löscht. Erst danach und nur soweit die RMA-Anweisung es zulässt, werden Konfiguration und eigene Daten gemäss interner Löschvorgabe entfernt. Ist der Switch nicht mehr erreichbar, wird dies zusammen mit dem Datenrisiko im Case dokumentiert; das Gehäuse wird nicht eigenmächtig geöffnet.

Das Ersatzgerät wird ohne Zubehör geliefert. Vor der Rückgabe müssen daher Transceiver, Connectivity- oder Flexi-Port-Module, Rackmount-Kits, Netzteile und Netzkabel vom defekten Gerät entfernt und für den weiteren Betrieb aufbewahrt werden, sofern Sophos im konkreten Fall nichts anderes schriftlich anweist. Für die defekte Haupteinheit wird möglichst der Karton des Ersatzgeräts verwendet. Rücksendeetikett, Carrier und Frist kommen aus der RMA-Anweisung; der aktuelle Sophos-RMA-Prozess nennt 15 Tage ab Erhalt des Ersatzgeräts. Tracking und Zustellnachweis bleiben bis zum bestätigten Fallabschluss erhalten.

RMA sicher abwickeln

Der vollständige Praxisablauf steht in Sophos Hardwaredefekt und RMA vorbereiten. Für die Anspruchsprüfung genügt dieser Ablauf:

1. Modell, Revision, Seriennummer, Bestelldaten, Supportstatus, Fehlerbild und bei HA beide Nodes dokumentieren.
2. Solange das Gerät erreichbar ist, Logs und ein aktuelles Backup sichern. Bei einer Firewall ein aktuelles Sophos Firewall Backup erstellen und Backup-Passwort sowie gegebenenfalls Secure Storage Master Key bereithalten; bei einem Switch wird die benötigte .cfg-Datei ausserhalb von Sophos Fusion abgelegt.
3. Einen technischen Support Case eröffnen. Nur Sophos Support validiert den Hardwaredefekt und erzeugt die RMA-Nummer; nichts ohne RMA-Anweisung versenden oder entsorgen.
4. Standard- oder Advance-Austausch, Lieferadresse, Zubehör, Carrier, Zollpflichten und Rückgabedatum aus der Freigabe übernehmen. „Versand am nächsten Geschäftstag“ ist nur ein Bemühen nach vollständiger Genehmigung vor regionalem Cut-off, keine Liefergarantie.
5. Ersatzmodell und Firmwarekompatibilität vor dem Restore prüfen. Bei einer Firewall die bezahlte Firewall-Lizenz auf das Ersatzgerät übertragen und danach WAN, LAN, Routing, NAT, VPN, HA, Central, Logs und Monitoring testen. Beim Switch gelten die oben beschriebene Registrierung im selben Fusion-Konto und die Switch-Abnahme.
6. Das defekte Gerät beziehungsweise die bezeichneten Komponenten sicher verpackt und mit der RMA-Nummer gemäss Anweisung zurückgeben. Beim Advance-Austausch verlangen die aktuellen Warranty Terms die Rückgabe innerhalb von 15 Kalendertagen nach Erhalt der RMA. Spätestens wenn das defekte Gerät 30 Tage nach Erhalt des Ersatzgeräts nicht wie verlangt zurück ist, darf Sophos den Ersatz berechnen. Massgeblich bleibt das konkrete Datum in der RMA.

Soll das Ersatzgerät in einen anderen Sophos Account, wird die Zuordnung vor dem Lizenztransfer geklärt. Der Ablauf steht unter Sophos Firewall auf einen anderen Account übertragen.

Auch Versand, Eigentum und Risiko unterscheiden sich: Beim Standardaustausch zahlt der Kunde den Hinversand; beim Advance-Austausch nennt Sophos seinen Carrier und trägt die Fracht. Das Eigentum am defekten Gerät geht beim früheren der beiden Ereignisse auf Sophos über: Erhalt des Ersatzgeräts durch den Kunden oder Eingang des Defektgeräts bei Sophos. Das Eigentum am Ersatz geht erst beim späteren Ereignis über: Versand des Ersatzes oder Eingang des Defektgeräts. Das Verlustrisiko für den Ersatz trägt der Kunde jedoch bereits ab Versand. Deshalb werden RMA-Anweisung, Tracking und bei Bedarf Transportversicherung vorab geklärt.

Konfiguration und Kundendaten schützen

Sophos übernimmt laut Warranty und Replacement Policy keine Verantwortung für Konfigurationen oder Daten auf zurückgesandter Hardware. Der Kunde ist dafür verantwortlich, alle eigenen Daten vor dem Versand zu entfernen. Daraus folgt für die RMA-Vorbereitung:

• Backup und benötigte Logs zuerst sichern und die Wiederherstellung prüfen.
• Danach Daten gemäss eigener Datenschutz- und Löschvorgabe entfernen, solange das Gerät noch bedienbar ist.
• Interne HDDs, SSDs oder andere Komponenten nicht ausbauen; das ist nur mit ausdrücklicher schriftlicher Sophos-Freigabe zulässig.
• Ist das Gerät nicht mehr erreichbar, das Datenrisiko im Case offenlegen und eine schriftliche Anweisung verlangen, statt das Gehäuse zu öffnen oder Warranty-Sticker zu beschädigen.
• Hardware nur entsorgen, wenn Sophos dies schriftlich anordnet. Dann gelten zusätzlich die genannten Vorgaben zu sicherer Löschung, vollständiger Zerstörung, E-Waste und Entsorgungsnachweis.

Eine verspätete, unvollständige oder unbegründet unterlassene Rückgabe kann zur Berechnung des Ersatzgeräts führen. Auch bei „No fault found“ oder fehlenden Komponenten kann Sophos Kosten verrechnen. Tracking, Zustellnachweis und Fallabschluss werden deshalb aufbewahrt.

Prüfliste für Betrieb und Renewal

1. Produktfamilie, Modell, Revision und Seriennummer erfassen.
2. Bei Sophos registriertes Bestelldatum sowie Kauf- und Liefernachweis zuordnen.
3. Account, Lizenzmodell, Supportprodukt und Ablaufdatum kontrollieren.
4. Bei HA beide Appliances, Rollen und Abdeckung prüfen.
5. Bei SD-RED, APX, AP6 oder Switch die Managementart bestimmen.
6. EOS-, Last Renewal- und EOL-Datum prüfen.
7. Backup, Schlüssel, Firmwarekompatibilität und Wiederherstellungsplan testen.
8. Für kritische Standorte HA, Spare oder einen dokumentierten Notfallbetrieb vorsehen.

Garantie und Advance Replacement stellen Hardware bereit, aber keine lauffähige Konfiguration und keine garantierte Wiederanlaufzeit. Genau deshalb gehören Ersatzstrategie und Restore-Test in die Betriebsplanung.

FAQ