Eine verdächtige Anmeldung erscheint im Identity-System.
Kurz darauf meldet der Endpunktschutz einen auffälligen Prozess. Die Firewall erkennt gleichzeitig ungewöhnlichen Datenverkehr. Drei Lösungen sehen Teile desselben Angriffs. Das IT-Team muss daraus jedoch erst ein Gesamtbild bauen.
Genau hier setzt Sophos Fusion an.
Sophos will Security-Produkte nicht nur in einer gemeinsamen Oberfläche anzeigen. Die einzelnen Schutzebenen sollen Daten austauschen, Zusammenhänge erkennen und koordiniert reagieren. Dabei kombiniert Sophos klassische Sicherheitslösungen mit agentischer KI und menschlicher Kontrolle.
Das Ziel klingt einfach: Die Abwehr soll genauso vernetzt handeln wie der Angriff.
Warum einzelne Security-Tools nicht mehr ausreichen
In vielen Unternehmen ist die Security-Landschaft über Jahre gewachsen. Endpoint-Schutz, Firewall, E-Mail-Security, Identitätsschutz und Cloud-Monitoring stammen häufig aus unterschiedlichen Projekten.
Jede Lösung erfüllt ihre Aufgabe. Trotzdem entstehen Lücken zwischen den Systemen.
Ein Alert bleibt im E-Mail-System. Ein zweiter erscheint im Endpoint-Dashboard. Ein dritter landet im SIEM. Erst ein Mitarbeiter erkennt, dass alle drei Warnungen zusammengehören.
Sophos nennt in seiner Produktankündigung durchschnittlich mehr als 45 separate Security-Produkte in Unternehmen. Die Folge seien mehr Dashboards, steigender Verwaltungsaufwand und viel manuelle Korrelationsarbeit.
Sophos Fusion soll dieses Problem nicht durch ein weiteres Einzelprodukt lösen. Stattdessen will Sophos die vorhandenen Schutzebenen zu einem gemeinsamen Abwehrsystem verbinden. Damit stellt Sophos dem bisherigen Einsatz einzelner Security-Produkte ein gemeinsames Abwehrsystem gegenüber. Der entscheidende Unterschied liegt nicht nur in der Anzahl der Werkzeuge. Entscheidend ist, wie Daten, KI, Reaktionen und Integrationen zusammenarbeiten.
Was ist Sophos Fusion?
Sophos Fusion ist laut Hersteller kein separates Produkt, kein Lizenzpaket und keine klassische Security-Plattform.
Es handelt sich um die Weiterentwicklung von Sophos Central. Sophos Central bleibt dabei die bekannte zentrale Verwaltungsebene. Der Name Sophos Fusion soll schrittweise in den bestehenden Konsolen erscheinen. Vorhandene Arbeitsabläufe sollen weiter funktionieren.
Sophos unterscheidet dabei zwischen zwei Begriffen:
- Das Sophos AI-Native Cybersecurity Defense System bezeichnet die technische Architektur.
- Sophos Fusion ist der zentrale Ort, an dem Unternehmen diese Architektur nutzen und ihre Sophos-Lösungen verwalten.
Sobald ein Unternehmen ein Sophos-Produkt einsetzt, erhält es laut Sophos Zugang zu dieser Architektur. Für Sophos Fusion selbst soll keine zusätzliche Lizenz notwendig sein. Welche Funktionen tatsächlich verfügbar sind, hängt jedoch weiterhin von den eingesetzten Produkten, Services und Lizenzen ab.
Das ist für die Einordnung wichtig: Sophos Fusion ist kein neues Komplettpaket, das mit einem Klick sämtliche Security-Aufgaben übernimmt.
Das folgende Video zeigt den Grundgedanken hinter Sophos Fusion. Es verdeutlicht, warum Sophos nicht mehr nur von einzelnen Produkten spricht, sondern von einem gemeinsamen Cyber-Abwehrsystem:
Die fünf Bausteine von Sophos Fusion
Sophos beschreibt fünf zentrale Elemente, die gemeinsam das Abwehrsystem bilden. Der Aufbau von Sophos Fusion folgt einem klaren Prinzip. Verschiedene Kontrollpunkte liefern Signale. Der Context Lake verbindet die Daten. Darauf bauen koordinierte Reaktionen, agentische KI und gemeinsame Bedrohungsinformationen auf.
1. Kontrollpunkte liefern die Signale
Kontrollpunkte sind alle angebundenen Sicherheits- und IT-Systeme.
Dazu können gehören:
- Endpoint Protection
- EDR und XDR
- Firewalls und Netzwerksicherheit
- E-Mail-Security
- Cloud-Sicherheit
- Identitätsschutz
- Produktivitätslösungen
- SIEM- und IT-Systeme
Neben eigenen Sophos-Produkten sollen sich mehr als 500 Technologien anderer Anbieter einbinden lassen. Diese Systeme liefern Telemetriedaten und können – abhängig von der jeweiligen Integration – an Reaktionsmaßnahmen beteiligt werden.
Die Kontrollpunkte liegen an verschiedenen Stellen der IT-Umgebung. Dazu gehören unter anderem Endpunkte, Identitäten, E-Mail-Systeme, Netzwerke, Cloud-Dienste und SIEM-Daten.
2. Der Context Lake verbindet die Daten
Die Daten der Kontrollpunkte fließen in einen zentralen Context Lake.
Vereinfacht gesagt ist dieser Context Lake ein gemeinsamer Wissensspeicher. Eine Meldung wird nicht nur einzeln betrachtet. Sie erhält den Kontext aus anderen Systemen.
Ein ungewöhnlicher Login kann für sich allein harmlos wirken. Zusammen mit einer auffälligen E-Mail, einem neuen Prozess und einer verdächtigen Verbindung entsteht jedoch ein anderes Bild.
Sophos erklärt, dass die Telemetriedaten in Echtzeit in einer gemeinsamen Datenschicht zusammenlaufen sollen. Dadurch stehen die Informationen nicht nur dem System zur Verfügung, das den ersten Alert erzeugt hat.
3. Synchronized Security koordiniert die Reaktion
Synchronized Security verbindet Erkennung und Reaktion.
Erkennt ein Kontrollpunkt eine Bedrohung, sollen andere Bereiche automatisch reagieren können. Sophos nennt unter anderem folgende Beispiele:
- Ein Endpoint erkennt einen Angriff.
- Die Firewall sperrt die Verbindung.
- Eine kompromittierte Identität verliert den Zugriff.
- Eine verdächtige E-Mail erhöht die Prüfung anderer Ebenen.
Damit soll aus mehreren Einzelreaktionen ein gemeinsamer Ablauf entstehen. Der Angriff wird nicht mehr getrennt nach Endpoint, Netzwerk oder Identität bearbeitet.
4. Agentische KI übernimmt Routinefälle
Sophos spricht bewusst nicht nur von klassischer Automatisierung.
Eine normale Automatisierung folgt festen Regeln: Tritt Ereignis A ein, startet Aktion B. Agentische KI soll dagegen Daten analysieren, Zusammenhänge bewerten und innerhalb definierter Grenzen selbstständig reagieren.
Die Kontrolle soll trotzdem beim Menschen bleiben. Sophos-MDR-Analysten legen fest, welche Entscheidungen die KI selbst treffen darf. Neue, ungewöhnliche oder besonders riskante Fälle sollen weiterhin menschliches Urteilsvermögen erfordern.
Das Ziel ist keine vollständig autonome Security. Es geht um eine Aufgabenverteilung:
- Die KI verarbeitet große Datenmengen.
- Sie priorisiert bekannte Situationen.
- Sie reagiert innerhalb fester Grenzen.
- Menschen übernehmen kritische Entscheidungen.
Auch die Sophos-Lösungsbeschreibung betont diese Kombination aus maschineller Geschwindigkeit und menschlicher Verantwortung.
5. Erkenntnisse sollen allen Kunden helfen
Sophos bezeichnet diesen Ansatz als kombinierte beziehungsweise kumulierende Intelligence.
Bedrohungsdaten aus den von Sophos geschützten Umgebungen fließen in das System zurück. Nach Herstellerangaben schützt Sophos mehr als 625.000 Unternehmen und Organisationen. Neue Erkenntnisse sollen dadurch den Schutz für alle angeschlossenen Umgebungen verbessern.
Sophos nennt außerdem folgende Werte:
- Mehr als 40.000 Kunden nutzen Sophos MDR.
- 52 Prozent der MDR-Fälle würden vollständig durch KI abgeschlossen.
- Bei automatisch bearbeiteten Fällen vergingen durchschnittlich 89 Sekunden zwischen der Fallerstellung und der vollständigen Reaktion.
Die Einschränkung ist entscheidend: Die 89 Sekunden gelten nicht pauschal für jeden Sicherheitsvorfall. Sie beziehen sich auf Fälle im Sophos-MDR-Betrieb, für deren Bearbeitung die KI bereits freigegeben wurde.
Wie könnte Sophos Fusion praktisch reagieren?
Ein beispielhafter Angriff könnte mit einer Phishing-Mail beginnen.
Ein Mitarbeiter öffnet einen Link. Seine Anmeldedaten geraten in falsche Hände. Kurz danach meldet sich der Angreifer aus einer ungewöhnlichen Region an. Anschließend versucht er, Schadsoftware auf einem Endgerät zu starten und eine Verbindung nach außen aufzubauen.
In einer getrennten Security-Landschaft entstehen mehrere Meldungen:
- Das E-Mail-System erkennt die Nachricht.
- Das Identity-System erkennt den Login.
- Der Endpoint-Schutz erkennt den Prozess.
- Die Firewall erkennt die Verbindung.
Das IT-Team muss die Ereignisse prüfen und verbinden.
Im Modell von Sophos Fusion laufen die Signale im Context Lake zusammen. Die gemeinsame Analyse erkennt die Angriffskette. Danach könnten koordinierte Maßnahmen starten:
- Die Identität wird eingeschränkt.
- Das Endgerät wird isoliert.
- Die Verbindung wird blockiert.
- Weitere Postfächer werden durchsucht.
- Das IT-Team erhält einen gemeinsamen Fall.
Ob alle Maßnahmen tatsächlich automatisch möglich sind, hängt von den angebundenen Produkten, den Lizenzen, der Integrationstiefe und den festgelegten Freigaben ab.
In einer vernetzten Architektur bleibt eine Erkennung nicht auf ein einzelnes System beschränkt. Weitere Kontrollpunkte können automatisch einbezogen werden. Das Video zeigt, wie Sophos dieses Zusammenspiel einordnet:
Für welche Unternehmen könnte Sophos Fusion geeignet sein?
Unternehmen mit mehreren Security-Lösungen
Sophos Fusion könnte besonders interessant sein, wenn bereits verschiedene Schutzebenen existieren, diese jedoch nur begrenzt zusammenarbeiten.
Der Nutzen entsteht nicht allein durch eine zentrale Übersicht. Entscheidend ist, ob Daten und Reaktionen wirklich zwischen Endpoint, Firewall, E-Mail, Identität und Cloud ausgetauscht werden können.
Mittelständler mit kleinen IT-Teams
Viele mittelständische Unternehmen verfügen über erfahrene Administratoren, aber nicht über ein eigenes Security Operations Center.
Hier kann eine Kombination aus automatischer Reaktion und Sophos MDR sinnvoll sein. MDR ergänzt die Technik durch eine durchgehend besetzte Erkennungs- und Reaktionseinheit. Sophos positioniert Fusion ausdrücklich auch für Unternehmen ohne eigenes großes Security-Team oder CISO.
Bestehende Sophos-Central-Kunden
Für Unternehmen, die bereits Sophos Endpoint, Firewall oder weitere Central-Produkte einsetzen, dürfte der Einstieg vergleichsweise naheliegend sein.
Sophos Fusion baut auf Sophos Central auf. Die vorhandene Konsole wird weiterentwickelt und nicht durch ein komplett neues System ersetzt. Je mehr geeignete Sophos-Komponenten vorhanden sind, desto stärker kann die native Abstimmung genutzt werden.
Unternehmen mit Compliance-Anforderungen
Ein gemeinsamer Datenbestand kann auch für Audits und Berichte relevant sein.
Sophos stellt in Aussicht, dass zusammenhängende Telemetriedaten, mehrjährige Speicherung und dokumentierte Reaktionen Nachweise für Auditoren, Aufsichtsbehörden und Versicherer erleichtern. Statt Protokolle aus mehreren Systemen einzeln zusammenzutragen, soll ein durchsuchbarer Datensatz entstehen.
Die technische Lösung ersetzt jedoch keine Compliance-Strategie. Aufbewahrungsfristen, Berechtigungen, Datenschutz und interne Verantwortlichkeiten müssen weiterhin individuell definiert werden.
Unternehmen mit Microsoft-Umgebungen
Sophos hebt seine Microsoft-Integrationen besonders hervor. Nach Angaben des Herstellers sollen diese nicht nur für Microsoft-E5-Pläne verfügbar sein. Auch Daten aus kleineren Microsoft-Plänen könnten in das System eingebunden werden.
Vor einer Entscheidung sollte trotzdem genau geprüft werden, welche Microsoft-Daten einfließen und welche direkten Reaktionsmöglichkeiten die jeweilige Integration bietet.
Welche Probleme und offenen Fragen bleiben?
Sophos Fusion verfolgt einen nachvollziehbaren Ansatz. Trotzdem sollten Unternehmen die Lösung nicht allein anhand der Begriffe „KI-native“ und „500 Integrationen“ bewerten.
1. Eine Integration ist nicht automatisch vollständig
Die Zahl von mehr als 500 Integrationen klingt umfassend. Sie sagt jedoch noch nicht, wie tief jede einzelne Integration reicht.
Bei einer Prüfung sollten Unternehmen fragen:
- Welche Daten werden übernommen?
- Erfolgt die Übertragung in Echtzeit?
- Kann Sophos nur lesen?
- Sind auch Reaktionen möglich?
- Funktioniert die Integration in beide Richtungen?
- Welche Lizenz wird benötigt?
Sophos weist außerdem darauf hin, dass Lösungen anderer Anbieter weiterhin über deren eigene Konsolen verwaltet werden. Fusion ersetzt daher nicht automatisch sämtliche bestehenden Oberflächen.
2. Der größte Nutzen entsteht im Verbund
Bereits ein Sophos-Produkt ermöglicht laut Hersteller den Zugang zu Fusion. Das bedeutet jedoch nicht, dass bereits alle Schutzebenen vernetzt sind.
Wer nur Endpoint Protection einsetzt, erhält keinen vollständigen Austausch zwischen Endpoint, E-Mail, Firewall und Identity. Sophos erklärt selbst, dass jede weitere aktivierte Lösung zusätzliche Bereiche der Architektur nutzbar macht.
Eine mögliche Folge ist eine stärkere Bindung an das Sophos-Portfolio. Die offene Architektur kann diese Abhängigkeit reduzieren, beseitigt sie aber nicht automatisch.
3. „Keine zusätzliche Lizenz“ bedeutet nicht kostenlos
Für Sophos Fusion als Architektur soll keine eigene Zusatzlizenz notwendig sein.
Die einzelnen Produkte und Services bleiben jedoch lizenzpflichtig. Dazu können Endpoint, Firewall, XDR, SIEM, MDR, E-Mail-Security oder Identity-Schutz gehören. Die tatsächlich nutzbaren Funktionen hängen von diesen Lizenzen ab.
Unternehmen sollten deshalb nicht nur den Preis einer einzelnen Komponente betrachten. Entscheidend sind die Gesamtkosten der geplanten Architektur.
4. Die automatische Reaktion benötigt klare Grenzen
Automatische Reaktionen sparen Zeit. Eine falsche Sperrung kann jedoch ebenfalls den Geschäftsbetrieb beeinträchtigen.
Vor dem Einsatz sollten Verantwortliche festlegen:
- Welche Geräte darf das System isolieren?
- Welche Konten darf es sperren?
- Wann muss ein Mensch zustimmen?
- Wer prüft Fehlentscheidungen?
- Wie werden Ausnahmen dokumentiert?
- Wie funktioniert die Rücknahme einer Maßnahme?
Agentische KI ersetzt keine Verantwortung. Sie verschiebt die Verantwortung stärker auf Regeln, Freigaben und Kontrollen.
5. Zentrale Daten erhöhen die Anforderungen
Ein gemeinsamer Context Lake verbessert die Sichtbarkeit. Gleichzeitig werden dort umfangreiche Sicherheits- und Nutzungsdaten zusammengeführt.
Sophos beschreibt Sophos Central beziehungsweise Fusion als cloudnative Lösung. Daten sollen in einer ausgewählten Region gespeichert sowie während der Übertragung und Speicherung verschlüsselt werden. Rollenbasierte Rechte und Mehrfaktor-Authentifizierung sollen Administratorzugänge schützen.
Unternehmen müssen dennoch selbst prüfen:
- Welche Daten werden übertragen?
- Wo befindet sich die gewählte Datenregion?
- Wie lange bleiben die Daten gespeichert?
- Wer darf sie durchsuchen?
- Welche Verträge sind erforderlich?
- Muss der Betriebsrat einbezogen werden?
6. Noch nicht alle angekündigten Funktionen sind verfügbar
Sophos erweitert Fusion schrittweise.
Nach der aktuellen Ankündigung sollen Sophos Next-Gen SIEM, die erweiterten MDR-Funktionen und das neue XDR ab dem 15. August 2026 allgemein verfügbar sein. Sophos AI Defense soll im August in den Early Access starten und im Oktober allgemein verfügbar werden. Sophos CISO Advantage ist ebenfalls für Oktober 2026 angekündigt.
Zum aktuellen Stand Anfang August 2026 ist Sophos Fusion daher teilweise eine bestehende Architektur und teilweise eine Produkt-Roadmap.
Unternehmen sollten klar trennen:
- Was ist heute produktiv nutzbar?
- Was befindet sich im Early Access?
- Was wurde nur angekündigt?
- Welche Funktion fehlt noch?
- Welche Termine sind verbindlich?
7. Herstellerzahlen sind nicht direkt übertragbar
52 Prozent automatisch gelöste Fälle und 89 Sekunden Reaktionszeit sind interessante Betriebsdaten.
Sie stammen jedoch aus dem Sophos-MDR-Modell. Die Werte hängen von der Art der Vorfälle, den eingesetzten Kontrollpunkten und den Freigabegrenzen der KI ab. Ein Unternehmen ohne MDR oder mit wenigen angebundenen Datenquellen kann daraus keine identischen Ergebnisse ableiten.
Welche neuen Bausteine sind angekündigt?
Sophos will Fusion zwischen August und Oktober 2026 deutlich erweitern.
Die offizielle Lösungsbeschreibung fasst Architektur, Vorteile, Integrationen und Einsatzbereiche von Sophos Fusion auf zwei Seiten zusammen.
Sophos Next-Gen SIEM
Das SIEM soll langfristige Speicherung, Analysen und Compliance-Berichte auf Basis derselben gemeinsamen Daten ermöglichen.
Die Preisgestaltung soll sich nach Benutzern und Servern richten. Sophos will damit schwer planbare Kosten vermeiden, die bei anderen SIEM-Modellen vom übertragenen Datenvolumen abhängen können.
Sophos XDR Powered by Secureworks
Nach der Übernahme von Secureworks integriert Sophos dessen Taegis-Analytik.
Das neue XDR soll zusätzliche Detektoren, eine neue Arbeitsumgebung für Analysten und integrierte SOAR-Automatisierung bieten. SOAR bezeichnet Abläufe, mit denen Sicherheitsmaßnahmen systemübergreifend organisiert und automatisiert werden.
Erweiterungen für Sophos MDR
Sophos MDR soll kontinuierliches, KI-gestütztes Threat Hunting erhalten.
Zudem sollen mehr Reaktionsmöglichkeiten über Endpoint, Firewall, Cloud, E-Mail und Identity hinweg zur Verfügung stehen. Unternehmen könnten diese Fähigkeiten nutzen, ohne selbst ein rund um die Uhr besetztes SOC aufzubauen.
Sophos AI Defense
Sophos AI Defense soll Unternehmen einen Überblick über genutzte KI-Anwendungen geben.
Dazu gehört auch sogenannte Schatten-KI: Anwendungen, die Mitarbeiter verwenden, ohne dass sie offiziell freigegeben wurden. Außerdem kündigt Sophos Richtlinienkontrollen und Schutz für Daten an, auf die KI-Anwendungen zugreifen.
Sophos CISO Advantage
CISO Advantage richtet sich an Unternehmen, die strategische Unterstützung für Security und Compliance benötigen.
Geplant sind unter anderem Kontrollvalidierung, Compliance-Zuordnung, Risikobewertungen und Vergleiche mit ähnlichen Unternehmen. Die Bereitstellung soll über das MSP-Netzwerk von Sophos erfolgen und KI mit menschlicher Beratung verbinden.
Unsere Einschätzung zu Sophos Fusion
Der interessante Teil von Sophos Fusion ist nicht allein die KI.
Entscheidend ist der Versuch, Erkennung, Kontext und Reaktion über mehrere Schutzebenen zu verbinden. Genau dort entstehen in vielen Unternehmen heute Verzögerungen und hoher manueller Aufwand.
Sophos Fusion könnte daher eine sinnvolle Entwicklung sein, wenn:
- mehrere Security-Bereiche zusammengeführt werden sollen,
- ein kleines Team viele Systeme betreut,
- bestehende Sophos-Produkte genutzt werden,
- ein MDR-Service eingebunden werden soll,
- Compliance-Nachweise viel Zeit beanspruchen,
- vorhandene Drittanbieter-Tools weiterlaufen müssen.
Die Lösung sollte trotzdem nicht nach dem Prinzip „möglichst viel Sophos“ geplant werden.
Zuerst muss klar sein, welche Risiken bestehen. Danach folgt die Frage, welche Kontrollpunkte fehlen, welche vorhandenen Lösungen gut funktionieren und welche Integrationen tatsächlich einen Mehrwert liefern.
Eine zentrale Architektur hilft nur, wenn sie zur realen IT-Landschaft passt.
Sophos Fusion mit netmon24 bewerten
Als Sophos-Partner unterstützt netmon24 bei der Einordnung der neuen Architektur.
Dabei betrachten wir nicht nur einzelne Produkte. Wir prüfen gemeinsam mit Ihnen:
- Welche Systeme sind bereits vorhanden?
- Wo fehlen Zusammenhänge?
- Welche Integrationen funktionieren sinnvoll?
- Welche Reaktionen dürfen automatisch erfolgen?
- Welche Lizenzen werden wirklich benötigt?
- Welche Daten müssen gespeichert werden?
- Ist MDR, XDR oder SIEM der richtige Einstieg?
So entsteht kein weiteres Tool-Sammelsurium. Stattdessen erhalten Sie eine Security-Strategie, die zu Ihrem Unternehmen, Ihrem Team und Ihrem Budget passt. Jeden Sie mit uns.