Sophos UTM Nachfolger 2026: 3 Firewalls im Vergleich

Für Sophos UTM (Unified Threat Management, viele Schutzfunktionen in einem Gerät) und die SG-Appliances endete am 30. Juni 2026 der Lebenszyklus. Laut Sophos-Hinweis zum UTM-Ende gibt es Support längstens bis zum 31. Dezember 2026, auch bei längerer Lizenzlaufzeit, und Laufzeitverlängerungen verarbeitet Sophos nicht mehr. Stand 25. Oktober 2026 bleiben bis dahin 67 Tage. Der direkte Sophos UTM Nachfolger ist die Sophos Firewall auf XGS-Hardware. Alternativen sind WatchGuard Firebox und Securepoint. Wer erst im Dezember bestellt, plant Lieferung, Test und Umschaltung unter Zeitdruck. Die Firewalls von Sophos und WatchGuard finden Sie im Firewall-Bereich des Shops.

Welche Firewall ersetzt Sophos UTM (SG) nach dem Support-Ende?

Ersetzen lässt sich Sophos UTM durch die Sophos Firewall auf XGS-Hardware, durch WatchGuard Firebox oder durch Securepoint. Sophos XGS passt zu Betrieben mit Sophos Endpoint, WatchGuard zu mehreren Standorten mit wenig IT-Personal, Securepoint zu Betrieben, die einen deutschen Hersteller wollen. Entscheidend sind Ihre genutzten UTM-Module und die Zeit bis zum 31. Dezember 2026.

Sophos UTM Nachfolger im Überblick: XGS, Firebox, Securepoint

Die Tabelle ordnet die drei Familien nach dem, was beim Umstieg zählt.

Die Preise stehen auf den Produktseiten. Vergleichen Sie Hardware und Lizenz über die gesamte Laufzeit, wie im Beitrag zu den Firewall-Lizenzkosten beschrieben.

Sophos XGS: der Weg, den der Hersteller vorsieht

Die Sophos Firewall nutzt das Betriebssystem SFOS und läuft auf XGS-Hardware. Das ist ein anderes Betriebssystem als bei UTM. Sophos nennt für den Umstieg das Firewall Config Studio mit Migrationstools und einen Migration Guide. Trotzdem bleibt es ein Systemwechsel: Planen Sie Test und Einarbeitung ein wie bei einem Herstellerwechsel.

Der Vorteil liegt im Zusammenspiel: Sophos Endpoint und Firewall tauschen über Synchronized Security Informationen aus, sodass ein auffälliger Rechner automatisch vom Netz getrennt werden kann. Beide Seiten verwalten Sie in Sophos Central. Als Einstieg für kleine Standorte führt der Shop die Sophos XGS 87w mit integriertem WLAN. Das gesamte Sortiment steht im Sophos-Bereich, einen Überblick über die Serie gibt der Beitrag Sophos Firewall XGS im Überblick. Grenze: Setzen Sie Endpoints eines anderen Herstellers ein, schrumpft dieser Vorteil.

WatchGuard Firebox: zentrale Verwaltung für mehrere Standorte

WatchGuard bündelt Schutzfunktionen in Security-Suites und verwaltet die Geräte über WatchGuard Cloud. Das hilft Betrieben mit mehreren Filialen und wenig IT-Personal. Neue Standorte lassen sich laut Produktseite per Zero-Touch-Deployment einrichten: Das Gerät wird nur angeschlossen, die Konfiguration kommt aus der Cloud. Die WatchGuard Firebox T-Serie deckt kleine Standorte von T25 bis T85 ab, größere Netze setzen auf die Firebox M-Serie.

Ihr Regelwerk legen Sie bei WatchGuard neu an. Nutzen Sie das, um Altlasten auszusortieren, wie im Beitrag Firewall Regelwerk aufräumen beschrieben.

Securepoint: der UTM-Gedanke aus Lüneburg

Securepoint bleibt dem UTM-Konzept treu: viele Schutzfunktionen in einem Gerät. Die Securepoint RC100 G5 bringt laut Produktseite Firewall, Web-Filter, Virenschutz-Proxy und Mail-Relay mit Spam-Filter mit. Dazu kommt IDS/IPS, also die Erkennung und Abwehr von Angriffen im Datenverkehr. Das Mail-Relay interessiert Betriebe, die den E-Mail-Verkehr bisher über die UTM filtern. Zum Lieferumfang gehören laut Produktseite eine Infinity-Lizenz (12 Monate, automatische Verlängerung) und Vor-Ort-Service. Das Angebot im Securepoint-Bereich reicht von der Black-Dwarf-Familie über RC100 und RC200 bis zu Rackmount-Modellen und einer Virtual Edition. Die RC100 G5 ist die Einstiegsklasse für Standorte mit bis zu 25 Benutzern, größere Standorte brauchen ein Modell darüber.

Welche UTM-Module Sie vor dem Umstieg prüfen

Eine UTM bündelt ihre Funktionen in Modulen. Beim Umstieg müssen Sie wissen, welche davon im Alltag wirklich laufen. Jedes genutzte Modul braucht künftig einen Platz in der Nachfolge-Firewall oder in einem eigenen Dienst.

So kommen Sie bis Ende Dezember ans Ziel

Bis zur Support-Grenze bleibt wenig Luft. Ein Ablauf, der die Feiertage einplant:

1. Bestand aufnehmen (Ende Oktober): Gehen Sie die Module aus der Tabelle durch und notieren Sie, was wirklich läuft. Was niemand nutzt, nehmen Sie nicht mit.
2. Größe festlegen: Erfassen Sie Spitzenlast, Benutzer und Standorte. Die Typbezeichnung der alten SG-Box sagt wenig über das passende Nachfolgemodell, entscheidend ist der Durchsatz mit aktivierter Prüfung.
3. Nachfolger und Lizenz wählen, bestellen (bis Mitte November): Die Lieferzeit richtet sich nach dem gewählten Artikel, fragen Sie sie vorab an.
4. Konfiguration vorbereiten (November): Regelwerk bereinigen und im Testaufbau abbilden.
5. Umschalten (Anfang Dezember): Wählen Sie ein Wartungsfenster außerhalb der Geschäftszeit und halten Sie den Rückweg auf die alte Firewall bereit. Danach prüfen Sie VPN-Tunnel, Web-Filter und Mailfluss. Die Schritte beschreibt der Beitrag Firewall Migration planen.

Unsicher, welche Leistungsklasse zu Ihrer alten SG-Box passt? Schildern Sie Benutzerzahl, Standorte und genutzte Module, und lassen Sie sich kostenlos beraten. Wer den E-Mail-Schutz bisher über die UTM betreibt, prüft dabei gleich, ob ein eigener E-Mail-Security-Dienst die bessere Lösung ist.

Häufige Fragen zum UTM-Ende

Bis wann gibt es noch Support für Sophos UTM?

Sophos unterstützt UTM längstens bis zum 31. Dezember 2026, auch wenn Ihre Lizenz später abläuft. Das Lebensende von UTM und SG-Appliances war der 30. Juni 2026, Laufzeitverlängerungen genehmigt Sophos seitdem nicht mehr.

Lässt sich die UTM-Konfiguration übernehmen?

Die UTM-Konfiguration lässt sich bei Sophos XGS zum Teil übernehmen. Sophos nennt dafür das Firewall Config Studio mit Migrationstools und einen Migration Guide. Wie weit die Übernahme reicht, hängt vom Regelwerk ab, prüfen Sie jede Regel. Bei WatchGuard oder Securepoint legen Sie das Regelwerk neu an. In beiden Fällen gehört die neue Konfiguration vor der Umschaltung getestet.

Ist Sophos XGS der einzige Weg?

Nein, Sophos XGS ist nicht der einzige Nachfolger. WatchGuard Firebox und Securepoint ersetzen eine UTM ebenfalls. Entscheidend sind die genutzten Module, die Zahl der Standorte und Ihre Endpoint-Umgebung.

Ist eine Open-Source-Firewall eine Option?

Ja, eine Open-Source-Firewall wie OPNsense oder pfSense ist technisch möglich. Betrieb, Updates und Dokumentation liegen dann bei Ihnen oder einem Dienstleister. Das lohnt sich nur mit dem nötigen Fachwissen.

Wie viel Zeit braucht der Umstieg?

Der Umstieg braucht je nach Umfang des Regelwerks und Zahl der VPN-Verbindungen einige Tage bis wenige Wochen, inklusive Test und Wartungsfenster. Starten Sie deshalb jetzt und nicht erst im Dezember.

Was passiert nach dem 31. Dezember 2026?

Ab dem 1. Januar 2027 bietet Sophos für UTM keinen Support mehr an. Mit Sicherheitsupdates sollten Sie dann nicht mehr rechnen, und jede neu bekannte Schwachstelle bleibt Ihr eigenes Risiko. Läuft die Lizenz früher ab, können laut Sophos außerdem Schutzfunktionen ausfallen.

Fazit: Jetzt entscheiden statt im Dezember

Der direkte Weg ist Sophos XGS, besonders mit Sophos Endpoint im Haus. WatchGuard passt zu mehreren Standorten mit wenig IT-Personal, Securepoint zu Betrieben, die einen deutschen Hersteller und eine klassische UTM-Box bevorzugen. Welche UTM-Module brauchen Sie auch 2027? Mit der Antwort fordern Sie ein Angebot für Gerät und Lizenz an.