Sophos Consulting: XGS-Beratung für Microsoft-Umgebungen

Kompetenzbereich Sophos auf boddenberg.de

Es gibt viele, die Ihnen eine Sophos-Firewall verkaufen. Es gibt einige, die sie einrichten. Und es gibt sehr wenige, die Ihnen sagen können, warum Teams trotz nagelneuer XGS ruckelt, wieso die AD-Gruppen-Regel nicht greift und was der Azure-Tunnel mit der Gateway-SKU zu tun hat. Genau für diese Fragen gibt es diese Beratung: Sophos-Firewalls im Zusammenspiel mit Active Directory, Entra ID, Microsoft 365 und Azure – beide Welten aus einer Hand, mit rund 30 Jahren Microsoft-Enterprise-Erfahrung im Rücken.

Was Sie hier nicht bekommen: einen Wartungsvertrag, eine Hardware-Bestellung oder einen Ersatz für Ihr Systemhaus. Was Sie bekommen: Architektur, Analyse und klare Vorgaben an der Stelle, an der Firewall- und Microsoft-Wissen zusammenlaufen müssen – dort, wo die meisten Projekte klemmen.

FAKTENKASTEN · Diese Beratung in 30 Sekunden Gegenstand: Sophos XGS Firewalls in Microsoft-Umgebungen (AD, Entra ID, Microsoft 365, Exchange, Azure). Fünf Bausteine: Assessment, Architektur & Sizing, TLS-Inspection-Einführung, Microsoft-Integration, Compliance & NIS2. Arbeitsweise: remote oder vor Ort, herstellerunabhängig honoriert – kein Wiederverkauf, keine Provision, kein Betriebsvertrag. Ergebnis: ein strukturiertes Dokument mit priorisierten Befunden und Click-by-Click-Aktionsplan – kein Ampel-Foliensatz. Berater: Ulrich B. Boddenberg, IT-Consultant und Fachbuchautor, Dortmund – tätig im gesamten deutschsprachigen Raum.

 

Warum diese Beratung anders aufgestellt ist

Die typische Sophos-Landschaft in Deutschland sieht so aus: Ein Systemhaus hat die Firewall geliefert und betreut sie per Wartungsvertrag. Die interne IT betreibt Active Directory, Microsoft 365 und die Server. Beide machen ihren Job ordentlich – aber die spannenden Probleme wohnen dazwischen: in der Schnittmenge, für die sich niemand so richtig zuständig fühlt.

Skizze 1: Die Schnittmenge aus Sophos- und Microsoft-Welt – hier entstehen die zähen Probleme, hier setzt die Beratung an.

Teams-Qualität ist ein Firewall-Thema und ein Microsoft-Thema. Benutzerbasierte Regeln brauchen Firewall-Konfiguration und ein sauberes AD. Exchange-Publishing berührt WAF-Regeln und Exchange-Interna. Wer nur eine Seite kennt, rät bei der anderen – und Raten ist auf Tagessatzbasis ein teures Hobby. Diese Beratung ist darauf gebaut, dass hier niemand raten muss.

AUS DER BERATUNGSPRAXIS · Woran Sie die Schnittstellen-Lücke erkennen Wenn Firewall-Dienstleister und interne IT sich in Tickets gegenseitig die Verantwortung zuschieben, während das Problem seit Wochen besteht – dann liegt es mit hoher Wahrscheinlichkeit in der Schnittmenge. Der schnellste Test: Fragen Sie beide Seiten, wer die Microsoft-365-Ausnahmen auf der Firewall pflegt und wann sie zuletzt gegen die aktuellen Microsoft-Endpunktlisten abgeglichen wurden. Ein Schulterzucken an dieser Stelle ist die Antwort.

 

Die fünf Beratungsbausteine

Die Beratung ist bewusst modular aufgebaut: fünf Bausteine, einzeln buchbar, sinnvoll kombinierbar. Der häufigste Einstieg ist das Assessment – danach wissen Sie schwarz auf weiß, wo Sie stehen und welche der anderen Bausteine sich für Sie überhaupt lohnen.

Skizze 2: Die fünf Bausteine der Sophos-Beratung – vom Review der Bestandsanlage bis zur Audit-Vorbereitung.

Baustein	Typischer Anlass	Ergebnis
1 · XGS-Assessment	Firewall läuft „irgendwie“, keiner traut sich ran; Übernahme von Vorgängern; diffuses Bauchgefühl	Priorisierte Befunde (kritisch/mittel/niedrig) plus Click-by-Click-Aktionsplan mit Rollback-Wegen
2 · Architektur & Sizing	Neuanschaffung, Standortvernetzung, Azure-Anbindung, Hardware-Generationswechsel	Belastbare Modell- und Architekturentscheidung – bevor bestellt wird, nicht danach
3 · TLS-Inspection	Inspection nie aktiviert, halbherzig aktiviert oder am Betriebsrat gescheitert	Einführungsfahrplan: Betriebsvereinbarung, Zertifikatsverteilung, Bypass-Konzept, stufiger Rollout
4 · Microsoft-Integration	Teams-Probleme, AD-Gruppen-Regeln, Entra-SSO, Exchange-Publishing, M365-Ausnahmen	Saubere Verdrahtung beider Welten nach Herstellervorgaben – dokumentiert und nachvollziehbar
5 · Compliance & NIS2	Audit steht an (ISO 27001, TISAX), NIS2-Betroffenheit, DSGVO-Fragen zu Logs	Logging-Konzept, Regelwerk-Doku, Nachweisfähigkeit aus dem laufenden Betrieb

 

Der Einstieg: Das XGS-Assessment

Das Assessment ist der Baustein, mit dem die meisten Kundenbeziehungen beginnen – aus gutem Grund: Es ist kompakt, hat einen klar umrissenen Umfang und liefert ein Ergebnis, mit dem Sie sofort arbeiten können. Untersucht werden Regelwerk, Schutzfunktionen (IPS, ATP, TLS-Inspection, Webfilter), VPN- und Publishing-Konfiguration – und, das ist der Unterschied zu üblichen Firewall-Audits, konsequent auch die Microsoft-Seite: M365-Ausnahmen, AD-Anbindung, Zertifikatslage, Azure-Tunnel.

1

Skizze 3: Der Assessment-Ablauf in fünf Schritten – vom Kickoff bis zum Ergebnisgespräch.

Das Ergebnisdokument folgt einer festen Struktur: Ausgangslage, technischer Hintergrund mit Skizzen (damit auch Entscheider ohne Firewall-Vergangenheit verstehen, worum es geht), Befunde nach Priorität – und für jeden Befund ein Aktionsplan im Click-by-Click-Format inklusive Erfolgskriterium und Rollback-Weg. Ihre IT oder Ihr Systemhaus kann die Maßnahmen direkt abarbeiten; nichts bleibt im Beraterkopf hängen.

PRAXISTIPP · Was Sie für den Start brauchen Erstaunlich wenig: einen Lesezugriff auf die XGS (oder einen Konfigurations-Export), einen Ansprechpartner für Rückfragen zur Microsoft-Seite – und ein bis zwei Stunden für den Kickoff. Sie müssen vorab nichts aufräumen. Im Gegenteil: Der gewachsene Zustand ist genau das, was untersucht werden soll.

 

Symptome statt Fachbegriffe: Womit Kunden hier ankommen

Niemand ruft an und sagt „unsere SD-WAN-Profile priorisieren den Optimize-Traffic nicht korrekt“. Die Anrufe klingen anders: Teams ruckelt. Das Internet ist seit dem Firewall-Tausch gefühlt langsamer. Der Wirtschaftsprüfer will eine Firewall-Doku sehen, die es nicht gibt. Das ist völlig in Ordnung – die Übersetzung vom Symptom zur Ursache ist Teil der Beratung.

Skizze 4: Typische Symptome, ihre häufigsten Ursachen – und der Baustein, der sie adressiert.

VORSICHT · Das gefährlichste Symptom ist Stille Eine Firewall, über die sich niemand beschwert, ist nicht automatisch eine gute Firewall. Abgeschaltete TLS-Inspection, ein IPS im Einheitsmodus und eine Sammelausnahme „damit es läuft“ erzeugen exakt null Beschwerden – bis zu dem Tag, an dem es ernsthaft kracht. Wenn Ihre XGS seit Jahren „einfach läuft“ und niemand sagen kann, was sie eigentlich prüft: Genau dann ist ein Assessment fällig – nicht erst beim Vorfall.

 

Zusammenarbeit mit Ihrem Systemhaus: Ergänzung, nicht Konkurrenz

Die Frage kommt in fast jedem Erstgespräch, deshalb hier in aller Deutlichkeit: Diese Beratung verkauft keine Hardware, vermittelt keine Lizenzen und übernimmt keine Betriebsverträge. Ihr Systemhaus behält seine Rolle – Lieferung, Installation, Betrieb, Support. Was dazukommt, ist eine unabhängige Instanz für Architektur und Schnittstellenfragen, die ausschließlich über Beratungsleistung honoriert wird und deshalb keine Verkaufsinteressen in ihre Empfehlungen mischt.

Skizze 5: Das Rollenmodell – interne IT, Systemhaus und unabhängige Beratung mit klaren Zuständigkeiten.

In der Praxis profitieren übrigens alle drei Seiten: Die interne IT bekommt Entscheidungsgrundlagen statt Bauchgefühl. Das Systemhaus bekommt präzise Vorgaben statt vager Ticketbeschreibungen – und kann sie effizient umsetzen. Und Sie bekommen den Zustand, den Sie eigentlich schon bezahlt haben: eine Firewall, die zu Ihrer Microsoft-Landschaft passt.

AUS DER BERATUNGSPRAXIS · Der Vorgaben-Effekt Ein wiederkehrendes Muster: Nach einem Assessment setzt das Systemhaus die Maßnahmenliste in einem Bruchteil der Zeit um, die vorher für ergebnislose Fehlersuche angefallen war. Nicht, weil dort vorher schlecht gearbeitet wurde – sondern weil jetzt jemand präzise aufgeschrieben hat, was in welcher Reihenfolge zu tun ist und woran der Erfolg gemessen wird.

 

Rahmenbedingungen: So läuft die Zusammenarbeit

Remote oder vor Ort: Der Großteil der Arbeit funktioniert hervorragend remote; für Workshops und Ergebnisgespräche komme ich gern zu Ihnen – tätig im gesamten deutschsprachigen Raum, Basis Dortmund.

Klarer Umfang: Bausteine mit definiertem Ergebnis statt Fass ohne Boden – das Assessment beispielsweise als kompaktes Paket mit fester Struktur.

Verwertbare Dokumente: Jedes Ergebnis kommt als strukturiertes Dokument mit Skizzen, priorisierten Befunden und Click-by-Click-Aktionsplan – verständlich für Techniker und Entscheider.

Vertraulichkeit: Firewall-Konfigurationen und Logs sind sensibel; NDA auf Wunsch selbstverständlich, Datenhaltung nach Absprache.

Kein Lock-in: Ziel jeder Beratung ist, dass Ihre IT und Ihr Systemhaus anschließend selbständig weiterarbeiten können – Wissen wird übergeben, nicht gehortet.

 

FAKTENKASTEN · Hintergrund des Beraters Rund 30 Jahre Microsoft-Enterprise-Praxis: Active Directory, Entra ID, Exchange, SharePoint, SQL Server, Azure. Langjährige Sophos-Praxis in Projekten vom Mittelstand bis zum Konzern-Standort – immer im Microsoft-Kontext. Autor von rund 20 IT-Fachbüchern (u. a. Rheinwerk, Hanser, Microsoft Press) – komplexe Technik verständlich aufzuschreiben ist Berufsalltag, keine Zusatzleistung. Unabhängig: keine Reseller-Verträge, keine Provisionen – Empfehlungen ohne Verkaufsinteresse.

 

FAQ zur Sophos-Beratung

Ersetzt die Beratung mein Systemhaus?

Nein – und das ist Absicht. Lieferung, Installation, Betrieb und Support bleiben beim Systemhaus. Die Beratung liefert das, was in diesem Modell strukturell fehlt: unabhängige Architekturentscheidungen und Expertise an der Schnittstelle zwischen Sophos und Microsoft. In der Praxis arbeitet das Systemhaus mit den Ergebnisdokumenten meist schneller und lieber als mit vagen Ticketbeschreibungen.

Was kostet ein XGS-Assessment?

Das hängt vom Umfang ab – eine einzelne XGS an einem Standort ist etwas anderes als ein Multi-Site-Verbund mit Azure-Anbindung. Nach einem kurzen, unverbindlichen Erstgespräch erhalten Sie ein Festpreisangebot mit klar definiertem Leistungsumfang. Keine offenen Tagessatz-Abenteuer.

Geht das auch komplett remote?

Ja, in den allermeisten Fällen. Konfigurationsanalyse, Log-Auswertung und die Microsoft-Seite lassen sich vollständig remote bearbeiten – per Lesezugriff oder Konfigurations-Export. Vor-Ort-Termine sind für Workshops und Ergebnisgespräche sinnvoll, aber keine Voraussetzung.

Wir haben gar kein akutes Problem – lohnt sich ein Assessment trotzdem?

Gerade dann. Die teuersten Firewall-Probleme sind die unsichtbaren: nie aktivierte TLS-Inspection, entwertete Schutzfunktionen, vergessene Ausnahmen. Ein Assessment im ruhigen Fahrwasser ist planbar und günstig – dieselbe Analyse während eines Sicherheitsvorfalls ist beides nicht.

Unsere XGS wurde vom Systemhaus eingerichtet – tritt denen ein Review nicht auf die Füße?

Nach meiner Erfahrung: nein. Ein Review bewertet den gewachsenen Zustand, nicht die Arbeit einzelner Personen – und die meisten Befunde entstehen durch Veränderungen über Jahre, nicht durch Fehler bei der Einrichtung. Seriöse Systemhäuser schätzen präzise Vorgaben; wer ein unabhängiges Review scheut, liefert damit selbst ein interessantes Ergebnis.

Können Sie auch bei der Einführung von TLS-Inspection den Betriebsrat-Teil begleiten?

Ja – der organisatorische Teil ist fester Bestandteil des Bausteins: Bypass-Konzept, Argumentationshilfen und die technischen Inhalte für die Betriebsvereinbarung. Die rechtliche Ausgestaltung selbst gehört in die Hand Ihrer Juristen; die technische Substanz dafür liefere ich.

Wir sind ein kleines Unternehmen mit einer einzelnen XGS – ist das nicht zu klein für Beratung?

Nein. Gerade kleinere Umgebungen ohne eigenes Firewall-Know-how profitieren von einem kompakten Review: Der Umfang ist überschaubar, entsprechend schlank ist das Paket. Eine falsch konfigurierte Firewall ist für ein 30-Personen-Unternehmen genauso existenzbedrohend wie für einen Konzern – nur das Budget für den Vorfall ist kleiner.

Beraten Sie auch bei der Neuanschaffung – welche XGS wir kaufen sollen?

Ja, das ist Baustein 2. Sizing nach realen Werten (mit aktivierter TLS-Inspection, nicht nach Datenblatt), Architektur für Standorte und Azure, und eine herstellerunabhängige Empfehlung ohne Verkaufsinteresse – bestellt wird anschließend, wo Sie möchten, gern bei Ihrem bestehenden Systemhaus.

Was unterscheidet Sie von einem Sophos-Partner mit Zertifizierung?

Zwei Dinge. Erstens die Microsoft-Tiefe: rund 30 Jahre Enterprise-Praxis mit AD, Entra ID, Exchange, SQL Server und Azure – die Seite, an der Firewall-Projekte in Microsoft-Umgebungen tatsächlich scheitern. Zweitens die Unabhängigkeit: kein Wiederverkauf, keine Provisionen, keine Betriebsverträge – Empfehlungen müssen hier niemandem gefallen außer Ihrer Umgebung.

Wie schnell können wir starten?

Der erste Schritt ist ein kurzes Erstgespräch – unverbindlich, remote, meist innerhalb weniger Tage möglich. Danach folgt das Festpreisangebot; ein kompaktes Assessment lässt sich in der Regel kurzfristig einplanen.

Der nächste Schritt

Wenn Sie bis hierhin gelesen haben, gibt es vermutlich einen Anlass – ein Symptom, eine anstehende Entscheidung oder das leise Gefühl, dass die Firewall seit Jahren niemand mehr ernsthaft angeschaut hat. Der Einstieg ist bewusst niedrigschwellig: ein kurzes Erstgespräch, in dem wir klären, ob und welcher Baustein zu Ihrer Situation passt. Kostet nichts außer einer halben Stunde – und Sie wissen danach mehr als vorher.

 

KONTAKT Ulrich B. Boddenberg · IT-Consulting · Software Engineering · Technologieseminare boddenberg.de – Kompetenzbereich Sophos · Erstgespräch unverbindlich anfragen