Wie wird Sophos Fusion lizenziert?
Sophos Fusion (ehemals Sophos Central) ist eine gemeinsame Verwaltungsplattform, aber kein einzelnes Lizenzprodukt. Endpoint, XDR, MDR, Server, Device Encryption, Email, Firewall, Wireless und weitere Dienste haben eigene Nutzungs- und Ablaufregeln.
Die wichtigste Konsequenz: Eine Zahl auf der Central-Licensing-Seite wird nie ohne Produktname und Lizenzvertrag beurteilt. Die im Portal errechnete Nutzung unterstützt die Kontrolle, ersetzt aber weder License Schedule noch EULA.
Die wichtigsten Zählmodelle
| Produkttyp | Typische Zählbasis | Wichtige Besonderheit |
|---|---|---|
| Endpoint, XDR und MDR für Endpoints | meistens Benutzer | Nutzung wird pro Lizenztyp getrennt und aus aktiven Benutzern und Geräten berechnet |
| Device Encryption | Benutzer beziehungsweise aktiv geschütztes Gerät gemäss Vertrag | eine Installation allein muss bei Flex noch keine Nutzung auslösen; die Encryption-Policy ist entscheidend |
| Server Protection | geschützter Server | RDS-Sitzungen werden über Server Protection abgedeckt, nicht als normale Endpoint-Benutzer |
| Sophos Email | geschützte Benutzer und Shared Mailboxes | Aliase, Verteilerlisten und Public Folders benötigen in der Regel keine eigene Lizenz |
| Firewall | Appliance, virtuelle Instanz und Abonnements | Base License, Support und Security-Subscriptions haben getrennte Auswirkungen |
| Wireless, Switch und Access Points | Gerät oder Support-Service | Modell und Laufzeit hängen von Hardwaregeneration und Service ab |
Produkte, Bundles und Namen ändern sich. Für eine Bestellung zählt deshalb immer der aktuelle License Schedule des konkreten Kunden, nicht eine alte Produktliste aus einem Blogpost oder Angebot.
Produktmodelle, die häufig falsch interpretiert werden
Einige Central-Produkte zählen weder wie Endpoint noch wie klassische Hardware. Die folgende Einordnung hilft bei der monatlichen Kontrolle und beim Renewal:
| Produkt | Was zählt | Betriebliche Besonderheit |
|---|---|---|
| Sophos Email | einzelne Benutzer und Shared Mailboxes, für die in den letzten 30 Tagen mindestens eine Nachricht verarbeitet wurde | Aliase, Verteilerlisten und Public Folders zählen nicht; die Anzeige wird etwa alle vier Stunden aktualisiert |
| Sophos Mobile | zugewiesene Benutzer oder Geräte ohne Benutzer | mehrere Geräte desselben Benutzers zählen einmal; nur Geräte mit Synchronisation innerhalb der letzten 30 Tage werden berücksichtigt |
| Sophos Phish Threat | eindeutige Empfänger einer Simulation oder Training-Kampagne | die tägliche Berechnung betrachtet Empfänger der letzten 30 Tage; Löschen oder Beenden einer Kampagne entfernt die Nutzung nicht rückwirkend |
| Sophos AP6 | Support and Services pro über Central verwaltetem AP6 | ohne gültige und mengenmässig ausreichende Subscription bleibt lokale Verwaltung möglich, Central kann den AP aber nicht mehr ändern |
| Sophos Switch | Support and Services pro eingesetztem Switch | Sophos-Fusion-Verwaltung, Firmwareupdates, 24/7-Multichannel-Support und Advanced RMA setzen eine passende Subscription für jedes Gerät voraus |
| Workspace Protection | höchster Komponentenverbrauch | der grösste Wert aus Protected-Browser-Benutzern, ZTNA-Benutzern, DNS-Protection-Geräten und Email-Monitoring-Mailboxen bestimmt die Bundlemenge |
Workspace Protection: Bundle und benötigte Menge
Workspace Protection ist als eigenständige Laufzeitlizenz oder über MSP Flex erhältlich. Das Bundle enthält:
- Sophos Protected Browser,
- Sophos ZTNA,
- Sophos DNS Protection for endpoints,
- Sophos Email Monitoring System.
Die eigenständige Workspace-Protection-Lizenz enthält keinen vollständigen Sophos Endpoint. Wer Endpoint im selben Bundle beziehen möchte, benötigt ausdrücklich Sophos Endpoint Plus Workspace Protection. Für die technische Einrichtung von Sophos DNS Protection for endpoints führt die separate Anleitung Sophos DNS Protection für Endpoints einrichten weiter.
Die benötigte Bundlemenge ist nicht die Summe aller vier Produkte, sondern der jeweils höchste gemessene Verbrauch:
- Protected Browser: eindeutige authentifizierte Benutzer innerhalb von 30 Tagen,
- ZTNA: eindeutige authentifizierte Benutzer innerhalb von 30 Tagen,
- DNS Protection for endpoints: Geräte, die DNS Protection verwenden,
- Email Monitoring System: Mailboxen.
Ein Beispiel: 75 ZTNA-Benutzer, 80 Protected-Browser-Benutzer und 100 Geräte mit DNS Protection ergeben eine benötigte Menge von 100, nicht 255. Beim kombinierten Bundle kommt die Zahl der Sophos-Endpoint-Geräte in denselben Vergleich. Sind dort zusätzlich 120 Endpoint-Geräte vorhanden, ist 120 die massgebende Menge.
Bei den benutzerbasierten Komponenten zählt dieselbe authentifizierte Person auch dann einmal, wenn sie sich auf mehreren Geräten anmeldet. Für ZTNA gilt dieselbe Lizenz sowohl für lokale als auch für Sophos Cloud Gateways sowie für agentenbasierten und agentenlosen Zugriff. Bei Sophos Cloud Gateways kommt eine durchschnittliche Bandbreitenberechtigung von 15 GB pro Benutzer und Monat hinzu; sie wird bei der Kapazitätsplanung separat berücksichtigt.
Die Aktivierung und Verwaltung erfolgt in Sophos Fusion über Profile icon > Licensing. Dort wird geprüft, ob Standalone Workspace Protection oder Sophos Endpoint Plus Workspace Protection mit der erwarteten Laufzeit aktiv ist. Anschliessend werden Protected Browser users, ZTNA authenticated users, DNS Protection devices und Email Monitoring mailboxes gegenübergestellt, beim kombinierten Bundle zusätzlich Sophos Endpoint devices. Die Prüfung ist erfolgreich, wenn der höchste angezeigte Wert die bestellte Menge nicht übersteigt. Fehlt die erwartete Lizenz, ist die falsche Variante aktiv oder reicht die Menge nicht aus, werden als Nächstes die angezeigte Lizenzbezeichnung und das Expires-Datum mit dem License Schedule sowie dessen bestellter Menge verglichen; die Verbrauchsanzeige mit dem Höchstwert zeigt, für welche Komponente zusätzlicher Bedarf besteht. Eine abweichende Aktivierung oder Bestellmenge wird anschliessend mit dem Sophos Partner geklärt. Für Workspace Protection ist ein 30-Tage-Trial verfügbar.
Nach Ablauf sind die Workspace-Protection-Produkte in Sophos Fusion nicht mehr verfügbar. Die Konfiguration bleibt erhalten und erscheint nach dem Renewal wieder. Ein Ablauf wird deshalb nicht als Lösch- oder Neuaufbau-Auftrag behandelt: Zuerst werden Lizenzbezeichnung, Expires-Datum und Renewal geprüft.
Xstream Protection einer Sophos Firewall deckt nur das eigenständige DNS Protection ab und berechtigt nicht zu DNS Protection for endpoints. Details zu den Firewall-Bundles liefert Sophos Firewall Bundles und Lizenzen; den eigenständigen DNS-Protection-Dienst erklärt Sophos DNS Protection.
Beim eigenständigen DNS Protection aus Xstream Protection zählt mindestens eine noch gültig lizenzierte Firewall im Tenant. Läuft die letzte passende Lizenz aus oder werden alle lizenzierten Firewalls in einen anderen Central-Tenant übertragen, endet DNS Protection im ursprünglichen Tenant. Entfernt ein MSP die letzte Flex-Firewall, kann der Zugriff innerhalb eines Tages entfallen. Eine Air-Gap-Lizenz unterstützt DNS Protection nicht, weil der Dienst eine in Central aktivierte oder verwaltete Firewall voraussetzt. Bei einer Mischung aus Trial und gekaufter Lizenz bleibt der Dienst verfügbar, solange mindestens eine der beiden Lizenzen gültig ist.
Sophos Switch: lokale Verwaltung oder Sophos Fusion?
Beim Sophos Switch müssen Hardware, lokales Management und der zusätzliche Service getrennt betrachtet werden. Der Hardwarekauf umfasst die lokale Verwaltung über Webinterface und CLI. Wird kein Switch mit Sophos Fusion verwaltet, ist dafür keine Sophos Switch Support and Services Subscription erforderlich. Die Entscheidung für lokalen oder zentralen Betrieb sowie die verfügbaren Verwaltungswege erklärt Sophos Switch Modelle und Management auswählen.
Sobald Switches mit Sophos Fusion verwaltet werden, braucht jeder eingesetzte Switch eine passende Support-and-Services-Subscription im Sophos-Fusion-Konto. Sie umfasst:
- alle Sophos-Fusion-Managementfunktionen für Switches, darunter Ports und VLANs verwalten, das Gerät konfigurieren und seinen Status anzeigen,
- Firmwareupdates,
- 24/7-Multichannel-Support,
- Advanced RMA.
Ohne gültige Subscription leitet der Switch den Netzwerkverkehr weiterhin weiter und bleibt lokal verwaltbar. Änderungen über Sophos Fusion sind jedoch nicht möglich. Kostenlose Self-Service-Ressourcen bleiben verfügbar, persönlicher Support per Telefon, Chat oder Support Case durch Sophos setzt dagegen eine gültige Supportlizenz voraus. Diese Lizenzgrenze ist von der Registrierung und der technischen Erreichbarkeit zu trennen: Ein Switch kann registriert sein oder lokal funktionieren, ohne dass sein Fusion-Management gültig lizenziert ist.
Die Lizenz wird in Sophos Fusion über Profile icon > Licensing aktiviert und verwaltet. Deckt die Subscription weniger Geräte als tatsächlich eingesetzt sind, erscheint eine Oversubscription-Warnung. Die zusätzlichen Switches funktionieren weiter, für sie muss aber eine weitere Subscription beschafft werden. Dasselbe gilt nach Ablauf: Der Betrieb endet nicht automatisch, Support und die lizenzgebundenen Leistungen werden aber erst mit einer neuen gültigen Subscription wieder abgedeckt.
Für die Abnahme werden deshalb drei Punkte separat geprüft: Der Switch ist lokal erreichbar, unter Profile icon > Licensing reicht die Subscription-Menge für alle eingesetzten Switches aus, und eine kleine reversible Änderung aus Sophos Fusion wird erfolgreich übernommen. Den vollständigen Ablauf von Registrierung und Statuskontrolle beschreibt Sophos Switch in Sophos Fusion registrieren.
Für AP6 gilt eine ähnliche Trennung zwischen lokalem Betrieb und Central-Service. APX Access Points benötigen jedoch keine AP6-Support-and-Services-Lizenz; APX und AP6 sind lizenztechnisch getrennte Generationen.
Sophos Email nach Ablauf
Sophos Email und Sophos Email Plus bilden unterschiedliche Funktionsstufen. Portal Encryption ist ein zusätzliches Add-on, dessen Menge die gekaufte Sophos-Email-Menge nicht übersteigen darf. Das Add-on wird per Secure-Message-Policy zugewiesen und ist Voraussetzung für eigenes Branding des Verschlüsselungsportals. Ein bestehender Email-Kunde kann Portal Encryption testen, aber nicht gleichzeitig den Basisdienst und das Add-on als Trial starten.
DMARC Manager ist als Add-on für Sophos Email und Sophos Email Monitoring System erhältlich und bereits in Sophos Email Plus enthalten. MSP-Kunden können Sophos Email zudem als Monthly Flex SKU beziehen; die fachlichen Zählregeln bleiben gleich.
Der Report License Usage Summary kombiniert Sophos-Email- und Phish-Threat-Nutzung zu einer eindeutigen Gesamtmenge und weist die beiden Produkte nicht separat aus. Für eine Ursachenanalyse werden deshalb zusätzlich Mailboxbestand, verarbeitete Nachrichten und Phish-Threat-Empfänger geprüft.
Eine Überschreitung der gekauften Email-Menge beendet den Schutz nicht sofort. Central markiert das Konto, erzeugt einen Alert und weist nicht abgedeckte Mailboxen im License Usage Summary aus; alle Mailboxen bleiben zunächst geschützt. Danach muss die Zahl reduziert oder die Lizenzmenge erweitert werden.
Ein echter Lizenzablauf ist kritischer. Sophos kann vorübergehend bis zu 30 zusätzliche Tage Schutz bereitstellen, dies ist aber keine garantierte Grace Period. Im Gateway Mode müssen bei endgültigem Ablauf die MX-Records von Sophos weggeführt werden, sonst werden Nachrichten abgewiesen. Im Mailflow Mode startet Sophos eine automatische Microsoft-365-Bereinigung, trotzdem werden Connectoren und Mailflow-Regeln anschliessend manuell kontrolliert. Ein Renewal innerhalb einer gewährten Übergangszeit beginnt rückwirkend am Ende der vorherigen Lizenz.
Sophos Mobile und Phish Threat
Bei Mobile verbraucht jeder einem verwalteten Gerät zugewiesene Benutzer eine Lizenz, unabhängig von der Zahl seiner Geräte. Ein Gerät ohne Benutzer zählt selbst als eine Lizenz. Die Nutzungsanzeige kann ungenau sein und eine Überschreitung wird deshalb nicht unmittelbar technisch erzwungen; der vertragliche Bedarf bleibt trotzdem massgebend. Unabhängig davon begrenzt Android Enterprise die gleichzeitige Enrollment-Zahl pro Benutzer technisch auf zehn Geräte.
Phish Threat zählt einen Empfänger, sobald eine Kampagnen- oder reine Trainingsmail versendet wird. Derselbe Benutzer benötigt während der Lizenzperiode auch bei vielen Mails nur eine Lizenz. Nach einem Lizenzablauf werden keine neuen Kampagnen oder Reminder versendet; Daten bereits verschickter Kampagnen werden weiterhin erfasst. Bei MSP Flex richtet sich die monatliche Abrechnung nach den Empfängern der im Abrechnungszeitraum versendeten Kampagnen.
Benutzerbasiert bedeutet nicht manuelle Zuweisung
Bei Endpoint wird eine Lizenz nicht wie ein Microsoft-365-Plan per Checkbox einem Benutzer zugeteilt. Sophos Fusion erkennt aktive Benutzer auf geschützten Geräten und ordnet Geräte diesen Identitäten zu.
Ein Benutzer kann mehrere Geräte verwenden. Ein Gerät kann für die Berechnung jeweils nur einem Benutzer zugeordnet sein. Meldet sich dieselbe Person auf zwei Geräten mit unterschiedlichen lokalen Konten an, kann Central zwei Benutzer erkennen und entsprechend doppelt zählen. Logins müssen dann fachlich einem bestehenden Benutzer zugeordnet werden.
Auch Lizenztypen werden unabhängig gezählt. Ein Benutzer mit Endpoint auf Gerät A und XDR auf Gerät B kann je eine Endpoint- und eine XDR-Nutzung erzeugen. Device Encryption folgt wiederum dem eigenen Funktions- und Policy-Status.
Inaktive Geräte und Berechnungsverzögerung
Bei Endpoint werden Geräte nach mehr als 30 Tagen ohne Verbindung vorübergehend nicht mehr für die Lizenznutzung gezählt. Kommt ein Gerät später zurück, wird es wieder berücksichtigt und aktualisiert seine Komponenten.
Das ist eine Rechenregel, keine Lifecycle-Strategie. Veraltete, verlorene oder ausgemusterte Geräte werden trotzdem nach einem dokumentierten Offboarding entfernt. Andernfalls bleiben Inventar, Alerts und Zuständigkeiten unklar.
Die Portalzahl kann zeitversetzt reagieren. Eine sofortige Abweichung nach Installation, Löschung oder Benutzerzuordnung ist deshalb noch kein Beweis für einen Fehler.
Vertragliche Nutzung hat Vorrang
Sophos weist ausdrücklich darauf hin, dass die Berechnung im Produkt von der tatsächlichen Lizenzpflicht gemäss EULA abweichen kann. Unterschätzt Central den Verbrauch, bleibt die reale Nutzung massgebend. Eine technisch angezeigte Zahl ist daher kein Freipass für Unterlizenzierung.
Umgekehrt werden Funktionen nicht in jedem Fall sofort blockiert, nur weil Central eine Überschreitung meldet. Die Abweichung wird untersucht und mit dem Sophos Partner bereinigt, bevor daraus ein Renewal- oder Compliance-Problem entsteht.
Erstkauf, Upgrade und Renewal
Beim Erstkauf wird ein Produkt neu in einem Tenant aktiviert. Ein Upgrade erweitert oder ersetzt den Funktionsumfang während einer laufenden Periode. Ein Renewal verlängert bestehende Nutzungsrechte.
Diese Unterscheidung ist technisch relevant. Eine gekaufte Lizenz wird unter Profile icon > Licensing mit dem Schlüssel aus dem License Schedule aktiviert, sofern dies nicht der Sophos Partner übernimmt. Je nach Ansicht heisst die Aktion Apply Activation Code oder Apply License Key. Ein Upgrade kann neue Agent-Komponenten installieren oder Policies verfügbar machen. Sophos kann die betroffenen Geräte nach einer Lizenz- oder Softwareänderung unmittelbar aktualisieren, auch wenn geplante Updates eingerichtet sind. Die Aktivierung wird deshalb wie ein technischer Change vorbereitet und nicht nur als kaufmännischer Schritt behandelt.
Ein Renewal sollte dagegen vor allem die Laufzeit verlängern, kann bei geänderter Edition aber ebenfalls Funktionen verändern. Bereits 30 Tage vor dem Ablauf zeigt Central allen berechtigten Administratoren bei der Anmeldung einen wiederkehrenden Hinweis. Sind schliesslich alle Lizenzen abgelaufen, kann der Zugriff auf Licensing beschränkt werden und der Tenant riskiert später eine Löschung. Das produktspezifische Ablaufverhalten wird deshalb vor dem Enddatum geprüft; ein abgelaufenes Nutzungsrecht bedeutet nicht bei jedem Produkt dieselbe technische Reaktion.
Für ein Renewal vor Ablauf ist der Sophos Partner oder der Ihnen zugewiesene Sophos-Renewals-Kontakt zuständig. Sind die Lizenzen bereits abgelaufen, wenden Sie sich an Ihren Sophos-Sales-Ansprechpartner oder Partner, um die Wiederherstellung der Lizenz und des Schutzes einzuleiten. Ist Ihnen nicht bekannt, wer Ihr Partner oder Account Owner ist, hilft Customer and Partner Care dabei, den zuständigen Kontakt für das Renewal zu ermitteln.
Auch Kundentypen wie Commercial, Education und Government können unterschiedliche Bezugsbedingungen besitzen. Die Berechtigung wird vor der Bestellung mit dem Sophos Partner geklärt und nicht allein aufgrund der Organisationsbezeichnung angenommen.
Trials und Datenregion vor dem Kauf klären
Ein Central-Trial läuft regulär 30 Tage und benötigt zunächst keinen Aktivierungsschlüssel. Unter Profile icon > Licensing beginnt seine Nummer mit C statt L; die Spalte Expires zeigt das Enddatum. Mehrere Produkt-Trials können zu unterschiedlichen Zeitpunkten parallel laufen, solange sich ihre Funktionen nicht überschneiden. Ein Trial-Tenant ist auf 1'000 Einträge je Objekttyp begrenzt, beispielsweise Benutzer, Gruppen, Shared Mailboxes, Public Folders oder Geräte. Nach der Umstellung auf eine bezahlte Lizenz entfällt dieses Verzeichnislimit.
Ein bereits regulär lizenziertes Produkt wird nicht nochmals als Trial angeboten. Nach Ablauf muss man 30 Tage warten, bevor derselbe Produkt-Trial selbst erneut gestartet werden kann; eine Verlängerung klärt der Sophos Partner oder Account Manager. Vor dem Start gehören daher Kaufentscheid, Testende und Rückbau in den Pilotplan.
Auch die Datenregion ist Teil der Lizenzplanung. Sophos nennt für Australien, Brasilien, Kanada, Indien und Japan Einschränkungen bei einzelnen Produkten, darunter ITDR, Sophos Mobile und APX Access Points; die Regionen USA und EU unterstützen laut aktueller Übersicht alle Sophos-Produkte. Besteht bereits eine inkompatible Lizenz in einer solchen Region, muss der Sophos Partner sie stornieren und einen neuen Schlüssel für einen passenden neuen Tenant erzeugen. Die Region wird deshalb vor Tenant-Erstellung und Kauf anhand des geplanten Produktportfolios gewählt.
Monatliche Lizenzkontrolle
Eine belastbare Kontrolle vergleicht:
- Lizenzprodukt, Edition und Laufzeit auf der Licensing-Seite,
- tatsächliche Benutzer, Geräte, Server oder Mailboxen,
- installierte und aktivierte Produktkomponenten,
- inaktive, doppelte oder falsch zugeordnete Objekte,
- bestellte Anzahl und vertragliche Zählbasis,
- bevorstehende Änderungen durch Wachstum, Projekte oder M&A.
Die technische Durchführung von Aktivierung, Nutzungskontrolle und Renewal steht in Sophos Fusion Lizenzen aktivieren, prüfen und erneuern.