Sophos-XGS-Lizenzierung entwirrt: Welche Lizenz brauchst du für Web-Filtering, IPS und VPN?

Die Sophos-XGS-Lizenzierung ist eigentlich simpel — sie klingt nur kompliziert, weil Sophos seine Bausteine über die Jahre mehrfach umbenannt hat. Die Kurzantwort vorab: Die Base-Lizenz gehört dir dauerhaft und kann mehr, als viele denken — unbegrenztes VPN für alle Benutzer, HA-Cluster ohne Aufpreis, SD-WAN-Kernfunktionen. Aber sobald du Web-Filtering nach Kategorien, IPS oder Sandboxing ernsthaft nutzen willst, führt kein Weg an der Subscription vorbei — und die heißt heute praktisch immer Xstream Protection, das Bundle aus Network Protection, Web Protection, Zero-Day Protection, Central Orchestration und 24/7-Support. Add-ons wie Email Protection und die WAF buchst du nur, wenn du sie wirklich brauchst; ZTNA ist ein separates Produkt mit eigener Benutzer-Lizenz. Dieser Artikel übersetzt die Bundlenamen in Klartext, zeigt die typischen Fehlkäufe und gibt dir konkrete Empfehlungen für drei typische Firmenprofile — damit du beim nächsten Angebot weißt, welche Zeile du hinterfragen solltest.

Das Sophos-XGS-Lizenzmodell im Überblick: Base vs. Xstream Protection

Das Modell besteht aus genau zwei Ebenen. Ebene eins ist die Base Firewall: Sie ist an die Hardware gebunden, unbefristet und läuft niemals ab. Wer eine XGS kauft, besitzt damit dauerhaft eine vollwertige Firewall mit NAT, Routing, Zonenkonzept, VPN und einigen Überraschungen, zu denen wir gleich kommen. Ebene zwei sind die Subscriptions — zeitlich befristete Abos, die der Box ihre Security-Intelligenz geben: Signaturen, Kategorien, Cloud-Analysen und Support. Diese Module hat Sophos früher einzeln und in wechselnden Paketen verkauft; heute läuft im Neugeschäft fast alles über ein einziges Bundle namens Xstream Protection.

Xstream Protection schnürt fünf Module zusammen: Network Protection (IPS, Advanced Threat Protection, Botnet-Erkennung), Web Protection (Kategoriefilter und Application Control), Zero-Day Protection (Cloud-Sandboxing mit ML-Analyse), Central Orchestration (SD-WAN-/VPN-Orchestrierung und erweitertes Reporting in Sophos Central) sowie Enhanced Support mit 24/7-Erreichbarkeit und Hardware-Austausch. Daneben existiert noch das abgespeckte Standard-Protection-Bundle ohne Zero-Day und Orchestrierung — in der Praxis ist der Preisunterschied aber so überschaubar, dass fast jedes Angebot direkt auf Xstream hinausläuft. Die folgende Skizze zeigt den kompletten Baukasten auf einen Blick.

Ein Grundprinzip noch, weil es in Gesprächen erstaunlich oft für Verwirrung sorgt: Die XGS wird pro Appliance lizenziert, nicht pro Benutzer. Es gibt keine User-Staffeln, keine Concurrent-Connection-Pakete und keine böse Überraschung, wenn die Firma wächst — ob hinter der Box 20 oder 200 Leute arbeiten, interessiert die Lizenz nicht. Die Benutzerzahl spielt nur bei der Hardware-Dimensionierung eine Rolle, und das ist eine Sizing-Frage, keine Lizenzfrage. Wer also von Herstellern mit User-basierten Modellen kommt: umdenken, es wird einfacher.

Skizze 1: Base gehört dir für immer, die blauen Abo-Module bündelt Sophos zu Xstream Protection — Mail-Schutz und WAF bleiben Einzeloptionen.

Feature-Zuordnung: was steckt in welchem Baustein

Jetzt zum Teil, der bares Geld wert ist: Was kann die Base wirklich, und wofür brauchst du das Abo? Die Base liefert alles, was mit Verbinden und Strukturieren zu tun hat — Firewall-Regeln, NAT, Routing, VLANs und Zonen, dazu IPsec- und SSL-VPN ohne jede Benutzerbegrenzung. Ja, richtig gelesen: Remote-Access-VPN für die komplette Belegschaft kostet bei Sophos keinen Cent extra, während andere Hersteller dafür fröhlich pro Kopf kassieren. Auch der HA-Cluster aus zwei Geräten braucht keine Zusatzlizenz, die SD-WAN-Kernfunktionen mit Link-Monitoring und Performance-Routing stecken ebenfalls im Betriebssystem, und als WLAN-Controller für Sophos Access Points arbeitet die Box auch noch mit.

Die Subscription übernimmt dagegen alles, was mit Bewerten und Erkennen zu tun hat: Der Kategoriefilter, der eine Webseite als Glücksspiel oder Malware einstuft, lebt von täglich aktualisierten Cloud-Daten. Die IPS-Signaturen, die Angriffe im Verkehr erkennen, ebenso. Das Sandboxing, das verdächtige Dateien in der Cloud detoniert, sowieso. Kurz gesagt: Die Base kennt Wege, das Abo kennt Gefahren. Die Zuordnungs-Skizze fasst zusammen, welche Funktion aus welchem Topf kommt — und die Matrix darunter macht es tabellarisch nachschlagbar.

Skizze 2: Verbinden kann die Base — bewerten, filtern und rund um die Uhr helfen kostet Abo.

Typische Fehlkäufe und Überlizenzierung

Fehlkauf Nummer eins ist ein Klassiker aus der Renewal-Routine: Email Protection auf der Firewall, obwohl der Mailserver längst in Exchange Online liegt. Das Anti-Spam-Modul der XGS ist für On-Prem-Mailserver gedacht — wenn deine Mails über Exchange Online Protection und Defender for Office 365 laufen, filtert die Firewall an dieser Stelle schlicht nichts mehr. Das Abo verlängert sich trotzdem jedes Jahr klaglos mit, weil es »schon immer im Paket war«. Ähnlich beliebt: Web Server Protection, obwohl seit dem Umzug des letzten Webdienstes in die Cloud gar nichts mehr veröffentlicht wird. Die WAF ist ein starkes Modul — aber nur, wenn dahinter auch ein Server steht.

Die zweite Kategorie ist subtiler: bezahlte Features, die nie eingeschaltet wurden. Das teuerste Beispiel ist Xstream Protection auf einer Firewall, bei der TLS-Inspection und IPS aus Bequemlichkeit deaktiviert blieben — dann bezahlst du drei Jahre lang für Signaturen und Sandboxing, die den Verkehr nie zu Gesicht bekommen. Überlizenzierung heißt eben nicht nur »zu viele Module gekauft«, sondern auch »gekaufte Module nicht genutzt«. Und die dritte Variante ist die Unterlizenzierung aus Sparsamkeit: nur die Base bestellt, weil »wir ja bloß eine Firewall brauchen« — bis drei Monate später die Geschäftsführung Web-Filtering und der Versicherer IPS verlangt und das Abo doch nachgekauft wird, nur ohne Bündelrabatt.

Wie findest du solche Leichen im eigenen Angebot? Mit zehn Minuten im Control Center der XGS: Der Lizenz-Status zeigt, welche Module aktiv sind, und die Berichte verraten, ob sie auch arbeiten. Null gefilterte Mails bei aktiver Email Protection, null WAF-Ereignisse bei gebuchter Web Server Protection, ein IPS ohne einen einzigen Treffer seit Monaten — das sind die Kandidaten für die Streichliste oder, im IPS-Fall, für eine überfällige Konfigurationsrunde. Diese Sichtung gehört vor jedes Renewal, nicht danach.

Laufzeiten, Renewals, Trade-ins

Subscriptions gibt es mit ein, drei oder fünf Jahren Laufzeit, und die Preislogik ist simpel: Je länger die Laufzeit, desto günstiger das Jahr. Drei Jahre sind der Sweet Spot — spürbar günstiger pro Jahr als die Einzeljahre und gleichzeitig kurz genug, um flexibel zu bleiben, wenn sich die Anforderungen oder die Hardware-Generation ändern. Fünf Jahre lohnen sich nur, wenn die Hardware frisch gekauft ist; wer einer vier Jahre alten Box noch fünf Jahre Subscription verpasst, verlängert am Ende ein Abo auf ein Gerät, das vorher sein Lebensende erreicht.

Beim Renewal gilt: Der erste Angebotspreis ist eine Verhandlungseröffnung, kein Naturgesetz. Hol das Angebot rund 90 Tage vor Ablauf ein und rechne es immer gegen zwei Alternativen — erstens gegen ein Neugerät mit frischem Dreijahres-Bundle, denn Sophos subventioniert Hardware-Refreshes über Trade-Up-Programme oft so aggressiv, dass die neue, schnellere Box samt Lizenz kaum teurer kommt als das Renewal auf der alten. Und zweitens gegen die um unnötige Add-ons bereinigte Variante, siehe voriges Kapitel. Wer von einem anderen Hersteller kommt, sollte zusätzlich nach Wettbewerbs-Trade-in-Konditionen fragen — auch dafür gibt es Programme. Der Zeitstrahl fasst zusammen, wann im Lizenzleben welche Entscheidung ansteht.

Skizze 3: Die wichtigsten Wegmarken im Lizenzleben — das Renewal wird 90 Tage vorher gewonnen, nicht am Ablauftag.

Lizenz-Empfehlungen nach Einsatzszenario

Zum Schluss die Frage, die in jedem Projekt kommt: Was brauche ich denn nun konkret? Die ehrliche Antwort hat drei Zutaten — dein Firmenprofil, deine veröffentlichten Dienste und deine Compliance-Anforderungen. Statt abstrakter Regeln hier drei typische Profile aus der Praxis, die zusammen einen Großteil des Mittelstands abdecken. Die Modellgröße lasse ich dabei bewusst außen vor, denn die ist eine eigene Wissenschaft mit eigenen Fallstricken.

Auffällig, aber kein Zufall: Xstream Protection taucht in allen drei Profilen auf. Das ist keine Verkäufer-Poesie, sondern schlicht der Umstand, dass eine Firewall ohne aktuelle Bedrohungsdaten heute nur noch die halbe Miete ist — und dass Cyber-Versicherer und Auditoren IPS und Web-Filtering inzwischen als Selbstverständlichkeit abfragen. Der Unterschied zwischen den Profilen liegt in den Add-ons, und genau dort steckt das Sparpotenzial: Mail-Schutz und WAF nur, wenn tatsächlich ein On-Prem-Mailfluss oder ein veröffentlichter Dienst existiert.

FAQ — häufige Fragen zur Sophos-XGS-Lizenzierung

Reicht die Base-Lizenz für Web-Filtering?

Nein — für echtes Web-Filtering nicht. Die Base-Lizenz kann Verkehr über Firewall-Regeln nach Ports, Zielen und statischen Objekten steuern, aber der eigentliche Web-Filter mit seinen Kategorien (Glücksspiel, Malware, Social Media und so weiter) lebt von den laufend aktualisierten Klassifizierungsdaten aus der Web-Protection-Subscription. Ohne aktives Abo gibt es keine Kategoriezuordnung, keine Reputationsbewertung und keine Application Control — du könntest höchstens mühsam von Hand URL-Listen pflegen, und das will wirklich niemand. Wer Web-Filtering ernsthaft betreiben möchte, egal ob aus Sicherheits- oder Jugendschutz- und Richtliniengründen, braucht Web Protection — in der Praxis also das Xstream-Bundle.

Was kostet Xstream Protection ungefähr?

Offizielle Listenpreise veröffentlicht Sophos nicht, verkauft wird über Partner mit Projektpreisen — deshalb hier Größenordnungen statt Centbeträge: Für die kleinen Desktop-Modelle bewegt sich ein Dreijahres-Xstream typischerweise im unteren vierstelligen Bereich, bei den Rackmount-Modellen der Mittelklasse im mittleren vierstelligen bis unteren fünfstelligen Bereich — jeweils grob in der Region des Hardwarepreises oder darüber. Wichtiger als der absolute Betrag ist der Vergleich: Lass dir das Angebot immer mit Laufzeitvarianten und einmal gegen ein Neugerät mit Trade-Up gerechnet geben. Und prüfe die Positionsliste auf Add-ons, die du gar nicht nutzt — dort versteckt sich häufig mehr Sparpotenzial als in jeder Rabattverhandlung.

Brauche ich für SSL-VPN eine Lizenz?

Nein, und das ist eine der angenehmsten Eigenheiten der Sophos-Lizenzierung: SSL-VPN und IPsec-Remote-Access sind vollständig in der Base-Lizenz enthalten — ohne Benutzerlimit, ohne Concurrent-User-Zählerei, ohne Zusatzkosten. Der Sophos-Connect-Client für Windows und macOS ist ebenfalls kostenlos. Ob fünf oder fünfhundert Kollegen sich per VPN verbinden, ändert an der Lizenz nichts; die Grenze setzt allein die Leistungsfähigkeit der Hardware, denn VPN-Verschlüsselung kostet Durchsatz. Wer von Herstellern kommt, die Remote-Access-Benutzer einzeln bepreisen, darf sich an dieser Stelle einmal freuen — und sollte die gesparten Beträge sinnvollerweise in MFA für ebendiese VPN-Zugänge investieren.

Ist ZTNA in der XGS-Lizenz enthalten?

Nein. Sophos ZTNA ist ein eigenständiges Produkt mit eigener Subscription, die pro Benutzer lizenziert wird — unabhängig davon, welches Firewall-Bundle du besitzt. Die gute Nachricht: Das ZTNA-Gateway, also die Komponente, die den Zugriff auf deine internen Anwendungen vermittelt, kann seit einigen SFOS-Versionen direkt auf der XGS mitlaufen, ohne zusätzliche Gateway-Kosten und ohne separate VM. Du bezahlst also nur die Benutzer, die tatsächlich per ZTNA zugreifen sollen — was das Modell attraktiv macht, um klein anzufangen, etwa mit externen Dienstleistern oder einer Pilotgruppe, statt gleich die ganze Belegschaft umzustellen.

Lohnt sich die 3-Jahres-Subscription?

In den meisten Fällen ja. Der Preis pro Jahr liegt bei drei Jahren Laufzeit spürbar unter dem Einzeljahr, du frierst die Konditionen gegen zwischenzeitliche Preiserhöhungen ein und ersparst dir zwei Renewal-Runden samt Budgetdiskussionen. Zwei Gegenanzeigen gibt es: Erstens ältere Hardware — einer Box im fünften Lebensjahr noch drei Jahre Subscription zu verpassen, kollidiert gern mit dem End-of-Life-Datum; dann lieber ein Jahr überbrücken und den Hardware-Refresh mit frischem Dreijahres-Bundle planen. Zweitens absehbare Strukturänderungen wie Fusionen oder Standortschließungen. Die Fünfjahres-Variante lohnt fast nur bei taufrischer Hardware und stabilen Verhältnissen — dazwischen bleibt drei Jahre der Sweet Spot.

Was passiert, wenn die Lizenz ausläuft?

Die Firewall fällt auf ihren Base-Umfang zurück: Routing, NAT, Firewall-Regeln und VPN laufen unverändert weiter — der Verkehr fließt also, und genau das macht die Situation tückisch, weil der Ausfall im Alltag unsichtbar bleibt. Gleichzeitig stellen die Abo-Funktionen ihre Arbeit ein: keine neuen IPS-Signaturen, keine Web-Kategorisierung, kein Sandboxing, und der Supportanspruch inklusive Hardware-Austausch ruht ebenfalls. Das Schutzniveau fällt damit schlagartig auf den Stand einer simplen Paketfilter-Box. Verlängerst du später doch, wird die neue Laufzeit üblicherweise rückwirkend ab dem Ablaufdatum gerechnet — die Lücke bezahlst du also mit, ohne geschützt gewesen zu sein. Kurz: Ablauftermin in den Kalender, 90 Tage Vorlauf, fertig.

Fazit: Klartext statt Bundle-Bingo

Die Sophos-Lizenzwelt ist übersichtlicher als ihr Ruf: eine unbefristete Base, die Verbinden kann und mit unbegrenztem VPN, HA und SD-WAN mehr mitbringt als erwartet — und ein Abo-Bundle namens Xstream Protection, das Bewerten und Erkennen übernimmt und im Mittelstand faktisch gesetzt ist. Die eigentlichen Entscheidungen fallen an den Rändern: Add-ons nur bei echtem Bedarf, ZTNA als separates Benutzer-Abo dort, wo gezielter App-Zugriff das breite VPN ersetzen soll, drei Jahre Laufzeit als Standard und das Renewal grundsätzlich 90 Tage vorher gegen Neugerät und bereinigte Positionsliste gerechnet. Wer diese Handgriffe beherzigt, bezahlt für Schutz statt für Gewohnheit.

Von hier aus weiter im Cluster: Das Gesamtbild der XGS in Microsoft-Umgebungen zeichnet der Pillar-Artikel [LINK: Pillar]. Welche Modellgröße zu deiner Benutzerzahl passt — und warum Datenblatt-Durchsatz Laborlyrik ist — klärt der ehrliche Sizing-Guide [LINK: A3]. Und wie du die frisch lizenzierten IPS-Funktionen dann richtig konfigurierst, statt alle Signaturen auf alles zu werfen, zeigt der Artikel zu IPS Best Practices [LINK: A4]. Einen Überblick über alle Beratungsangebote findest du unter [LINK: Beratungspakete].