Sophos Fusion: Fortschritt oder nur der nächste neue Name?

Sophos Fusion sieht auf den ersten Blick nach einem neuen Produkt aus. Der Name ist groß, die Videos sind dunkelblau, überall leuchten Datenströme, und natürlich darf 2026 der Begriff AI-native nicht fehlen. In dem kurzen Einführungsvideo sieht Fusion alles, verbindet alles und reagiert als Einheit.

Nach 66 Sekunden weiß man trotzdem kaum mehr als vorher.

Muss ich Sophos Fusion kaufen? Ersetzt es Sophos Central? Brauche ich eine neue Lizenz? Wird meine Firewall dadurch besser? Ist das die nächste Generation von XDR und MDR oder nur ein neues Etikett auf Produkten, die bereits da waren?

Die kurze Antwort lautet: Sophos Fusion ist keine neue Lizenz und kein einzelnes Produkt. Es ist der neue Name und die neue Architekturgeschichte rund um Sophos Central. Dahinter stecken echte technische Änderungen, vor allem bei XDR und MDR. Gleichzeitig ist Fusion eine sehr geschickt gebaute Verkaufslogik für weitere Produkte und kostenpflichtige Add-ons.

Beides kann gleichzeitig wahr sein.

Was Sophos Fusion wirklich ist

Sophos beschreibt Fusion als ein AI-Native Cybersecurity Defense System. Das klingt zunächst wie eine neue Produktkategorie, ist aber einfacher zu verstehen, wenn man den Marketingbegriff zerlegt.

Fusion soll Sophos Endpoint, Firewall, E-Mail, Cloud, Netzwerk, Identität, Workspace-Schutz, XDR und MDR mit Daten aus Drittanbieterprodukten in einer gemeinsamen Architektur verbinden. Die Telemetrie landet in einem gemeinsamen Kontextspeicher. Erkennungen sollen nicht in einzelnen Produkten hängen bleiben, sondern automatisierte Reaktionen an anderen Kontrollpunkten auslösen können. KI soll dabei große Mengen an Meldungen untersuchen und in freigegebenen Grenzen reagieren, während Menschen die riskanten Entscheidungen behalten.

Sophos nennt dafür fünf Bestandteile:

• Control Points: Sophos-Produkte und angebundene Drittanbieterwerkzeuge liefern Daten und können Reaktionen ausführen.
• Unified Context Lake: Telemetrie aus diesen Quellen wird mit gemeinsamem Kontext gespeichert und ausgewertet.
• Synchronized Security: Eine Erkennung an einem Ort kann eine Reaktion an einem anderen Ort anstoßen.
• Agentic Autonomy: KI darf innerhalb definierter Grenzen untersuchen und reagieren.
• Compounding Intelligence: Erkenntnisse aus der von Sophos geschützten Kundenbasis sollen den Schutz aller Kunden verbessern.

Das ist nicht nichts. Ein kompromittierter Endpoint, ein auffälliger Benutzer, eine verdächtige E-Mail und eine ungewöhnliche Netzwerkverbindung gehören bei einem echten Angriff oft zum selben Vorgang. Werden diese Signale getrennt betrachtet, muss ein Mensch die Zusammenhänge mühsam herstellen. Werden sie technisch zusammengeführt, können Erkennung und Reaktion schneller und präziser werden.

Neu ist die Grundidee allerdings nicht. Synchronized Security verbindet Sophos Endpoint und Sophos Firewall seit Jahren. Sophos Central war bereits die gemeinsame Verwaltungsebene. XDR sammelt Daten aus mehreren Quellen, MDR untersucht sie als Dienstleistung, und ein Data Lake ist ebenfalls kein Konzept, das erst mit Fusion erfunden wurde.

Fusion ist deshalb weniger die Geburt einer völlig neuen Plattform als die Zusammenführung, Erweiterung und Umbenennung einer bestehenden Strategie. Die Übernahme von Secureworks liefert dafür wichtige Technik, Detektoren und Security-Operations-Erfahrung. Der neue Name liefert die Geschichte, mit der Sophos das alles als einen großen Schritt verkaufen kann.

Ist Fusion ein neues Produkt oder eine neue Lizenz?

Nein. Zumindest nicht direkt.

Sophos sagt ausdrücklich, dass Fusion kein separates Produkt, kein Bundle und keine eigene SKU ist. Bestehende Kunden müssen nichts bestellen, um Teil von Fusion zu werden. Sophos Central wird in den kommenden Monaten schrittweise den Namen Fusion annehmen, während bestehende Workflows weiterlaufen sollen.

Das ist die beruhigende Hälfte der Antwort.

Die andere Hälfte lautet: Rund um Fusion entstehen sehr wohl neue kaufbare Bausteine. Dazu gehören Sophos Next-Gen SIEM, Sophos AI Defense und Sophos CISO Advantage. Die stärkeren XDR- und MDR-Funktionen bleiben an entsprechende Lizenzen gebunden. Wer nur Endpoint Protection oder eine Firewall besitzt, erhält durch die neue Dachmarke nicht plötzlich den Funktionsumfang eines SOC.

Damit entsteht eine typische Plattformlogik:

• Muss Fusion separat gekauft werden? Nein, Fusion selbst ist keine eigene SKU.
• Wird Sophos Central ersetzt? Der Dienst wird weiterentwickelt und schrittweise in Fusion umbenannt.
• Werden alle KI-Funktionen kostenlos? Nein. Ein Teil steckt in bestehenden Produkten, weitere Funktionen kommen als Add-ons oder höherwertige Lizenzen.
• Wird eine einzelne Firewall dadurch automatisch besser? Nein. Der Mehrwert entsteht erst durch Telemetrie, Integrationen, passende Lizenzen und aktivierte Reaktionen.
• Ist Fusion nur Marketing? Nein. Aber das Marketing verspricht deutlich mehr Einheitlichkeit, als ein gemischter Kundentenant heute automatisch liefert.

Fusion ist also keine neue Lizenz. Es ist aber die Architektur, auf der Sophos künftig sehr viele zusätzliche Lizenzen erklären und verkaufen kann.

Der echte Fortschritt steckt in XDR und MDR

Wer Sophos XDR oder Sophos MDR nutzt, bekommt den größten greifbaren Teil der Fusion-Strategie. Die neuen Funktionen sollen für klassische Kunden ab August 2026 schrittweise ausgerollt werden; MSP-Umgebungen folgen später.

Bei Sophos XDR ersetzt eine neue Oberfläche für Security Operations das bisherige Threat Analysis Center. Secureworks-Technik bringt zusätzliche Detektoren und Erkennungslogik. Hinzu kommen eigene Regeln, mehr Integrationen, bidirektionale Reaktionen und SOAR-Funktionen. Ein Analyst soll also nicht nur Daten aus Microsoft 365, Okta oder anderen Quellen sehen, sondern – abhängig von Integration und Berechtigung – auch Maßnahmen zurück in diese Systeme auslösen können.

Das ist ein echter Fortschritt. Eine Integration, die nur Logs importiert, ist nützlich. Eine Integration, die einen Benutzer sperrt, ein Gerät isoliert oder einen anderen Kontrollpunkt ansteuert, ist operativ erheblich wertvoller.

Bei Sophos MDR wird dieselbe Architektur mit dem 24/7-Service verbunden. KI soll einen größeren Teil der Triage, Untersuchung und Reaktion übernehmen. Sophos nennt als eigene Betriebswerte, dass 52 Prozent der Fälle vollständig durch KI bearbeitet würden und zwischen Alarm und automatisierter Reaktion durchschnittlich 89 Sekunden lägen.

Diese Zahlen klingen stark, brauchen aber Kontext. Die 89 Sekunden gelten für Fälle, in denen eine automatisierte Reaktion überhaupt freigegeben und möglich ist. Sie sagen nicht, dass jeder Angriff nach 89 Sekunden gelöst ist. Die 52 Prozent sagen auch nicht, dass die schwierigsten 52 Prozent ohne Menschen auskommen. Sophos selbst betont, dass die übrigen Fälle menschliches Urteilsvermögen benötigen.

Genau so sollte man es einordnen: KI ist hier kein digitaler Zauber-SOC, der jeden Angriff versteht. Sie ist ein Beschleuniger für wiederkehrende, ausreichend gut eingegrenzte Arbeit. Das kann sehr wertvoll sein, weil Sekunden bei einer laufenden Kompromittierung zählen. Es ersetzt aber weder saubere Daten noch qualifizierte Analysten oder vernünftige Freigabegrenzen.

Auch die MDR-Namen bewegen sich wieder. Aus MDR Essentials wird MDR, aus MDR Complete wird MDR Plus. Sophos kann das als Vereinfachung erklären. Kunden und Partner dürfen trotzdem genervt sein, wenn Leistungsstufen erneut verglichen, dokumentiert und bei der nächsten Verlängerung erklärt werden müssen.

Was ändert sich für Endpoint- und Central-Kunden?

Für einen Kunden mit Sophos Endpoint ändert sich durch den Namen Fusion zunächst wenig. Der Agent bleibt installiert, Richtlinien bleiben in der zentralen Verwaltung, und Schutzfunktionen verschwinden nicht über Nacht. Der Endpoint wird aber stärker als ein Kontrollpunkt innerhalb des Gesamtsystems dargestellt.

Technisch interessant wird es, wenn Endpoint-Signale mit Identität, E-Mail, Netzwerk und Drittanbieter-Telemetrie korreliert werden. Dann kann aus einem einzelnen Malware-Alarm ein zusammenhängender Fall werden: Der Benutzer hat sich kurz zuvor ungewöhnlich angemeldet, eine verdächtige Nachricht geöffnet und danach eine Verbindung zu einem neuen Ziel aufgebaut. XDR oder MDR sehen idealerweise nicht vier isolierte Ereignisse, sondern einen Angriffspfad.

Aber auch hier gilt: Ein neuer Name erzeugt keine Daten. Wer nur eine Endpoint-Lizenz besitzt, keine zusätzlichen Datenquellen anbindet und keine Response-Aktionen freigibt, bekommt nicht dieselbe Wirkung wie eine vollständig integrierte XDR- oder MDR-Umgebung.

Der Ausdruck „alle Sophos-Kunden sind bereits Teil von Fusion“ ist deshalb formal richtig, aber praktisch irreführend. Alle fahren auf derselben strategischen Plattform. Sie besitzen deshalb noch lange nicht denselben Funktionsumfang.

Was ändert sich für die Sophos Firewall?

Für Firewall-Administratoren ist die wichtigste Antwort erfreulich unspektakulär: Fusion ersetzt SFOS nicht und führt keine neue Firewall-Lizenz ein. Die Firewall bleibt eine Firewall, lokale Regeln bleiben lokale Regeln, und der neue Markenname macht eine bestehende XGS-Appliance weder schneller noch stabiler.

Relevant wird Fusion dort, wo die Firewall als Sensor und Reaktionspunkt in eine größere Kette eingebunden ist. Endpoint-Erkennungen können über Synchronized Security und Active Threat Response Netzwerkzugriffe einschränken. Firewall-Telemetrie kann XDR- und MDR-Untersuchungen ergänzen. Neue APIs schaffen zusätzliche Möglichkeiten für zentrale Verwaltung und für AI Defense, etwa bei Webrichtlinien, URL-Gruppen und Regeln.

Das ist sinnvoll. Gerade eine Firewall sieht Verbindungen, die auf dem Endpoint vielleicht unvollständig oder gar nicht sichtbar sind. Umgekehrt versteht der Endpoint Prozesse und Benutzerkontext, die der Firewall fehlen. Werden beide Perspektiven sauber verbunden, entsteht mehr als die Summe der einzelnen Logs.

Trotzdem sollte niemand eine Firewall kaufen, nur weil auf der Website nun Fusion steht. Die entscheidenden Fragen bleiben dieselben:

• Welche Daten liefert die Firewall tatsächlich an XDR oder MDR?
• Welche Reaktionen können automatisiert ausgelöst werden?
• Welche Lizenzen sind dafür erforderlich?
• Was passiert, wenn Central oder die Internetverbindung nicht verfügbar ist?
• Welche Funktionen bleiben lokal und welche hängen am Cloud-Dienst?

Auch der neue Hardware-as-a-Service-Ansatz für MSPs passt in diese Strategie. Monatliche Hardware-, Lizenz- und Servicebeziehungen können die Beschaffung vereinfachen. Sie binden Kunden aber auch enger an Sophos und an den betreuenden Partner. Das ist nicht automatisch schlecht. Es sollte nur nicht als technische Notwendigkeit verkauft werden, wenn es in Wahrheit auch ein kommerzielles Betriebsmodell ist.

Switch, Wireless, Workspace, ZTNA, E-Mail und ITDR

Die vielen Sophos-Meldungen rund um den Fusion-Start vermitteln den Eindruck, als würde gerade jedes Produkt gleichzeitig Teil eines großen neuen Systems. Ein Teil davon ist berechtigt.

Sophos Switch und AP6 Access Points liefern über Live Discover zusätzliche Verbindungsdaten in den Data Lake. Workspace Protection kann Daten des Protected Browser sichtbar machen und über XDR abfragbar machen. ITDR berechnet einen Identitätsrisikowert aus Konfiguration, Verhalten und erkannten Problemen. E-Mail-Fälle und Benachrichtigungen werden stärker in die zentrale Security-Operations-Oberfläche gezogen.

Das sind Bausteine, aus denen ein zusammenhängenderes Bild entstehen kann. Besonders Netzwerk- und Identitätssignale sind wertvoll, weil moderne Angriffe selten auf einem einzelnen Endpoint bleiben.

Andere Meldungen aus demselben Monat sind dagegen einfach normale Produktpflege. Multi-Domain-Unterstützung bei ZTNA, macOS-Beta-Kompatibilität, Config Studio 2.6 oder neue Benachrichtigungseinstellungen werden nicht automatisch zu Fusion-Innovationen, nur weil sie zeitgleich erscheinen. Sophos entwickelt seine Produkte weiter. Das ist gut, aber es ist kein Beweis dafür, dass bereits jedes Produkt in Echtzeit mit jedem anderen reagiert.

Hier lohnt sich eine einfache Unterscheidung:

• Telemetrie vorhanden: Ein Produkt liefert Daten.
• Kontext vorhanden: Die Daten werden einem gemeinsamen Fall richtig zugeordnet.
• Reaktion vorhanden: Ein anderes Produkt kann eine sinnvolle Maßnahme ausführen.
• Automatisierung vorhanden: Diese Reaktion darf ohne manuellen Wechsel oder Freigabe ablaufen.

Erst wenn alle vier Ebenen funktionieren, wird aus einer Integration ein echtes Verteidigungssystem. Die Zahl der Logos auf einer Integrationsseite sagt darüber erstaunlich wenig aus.

350 oder 500 Integrationen sind nicht die wichtigste Frage

Die erste öffentliche FAQ sprach von mehr als 350 Drittanbieterintegrationen. Die aktuelle Fusion-Seite nennt mehr als 500 Sophos- und Drittanbieterintegrationen. Solche Zahlen können sich durch neue Connectoren, eine andere Zählweise oder die Einbeziehung eigener Produkte verändern.

Sie zeigen aber auch, warum reine Marketingzahlen vorsichtig gelesen werden sollten.

Eine Integration kann ein vollständiger bidirektionaler Connector sein. Sie kann aber auch nur Ereignisse einlesen, eine Abfrage bereitstellen oder auf einer API basieren, die der Kunde selbst konfigurieren muss. Fünfhundert Integrationen bedeuten nicht fünfhundert gleichwertige Reaktionsmöglichkeiten.

Für einen Kunden sind fünf sauber unterstützte Integrationen in die eigene Umgebung mehr wert als fünfhundert Logos, von denen 490 nie verwendet werden. Vor einer Entscheidung sollte deshalb für jede wichtige Quelle geklärt werden:

• Welche Daten werden übernommen?
• Wie schnell stehen sie zur Verfügung?
• Welche Felder und Aufbewahrungszeiten gelten?
• Ist die Integration im bestehenden Produkt enthalten?
• Kann Fusion nur sehen oder auch reagieren?
• Wer trägt das Risiko einer falschen automatisierten Reaktion?

Die Bezeichnung offene Architektur klingt nach geringer Herstellerbindung. Tatsächlich kann eine Plattform offen für Datenquellen und gleichzeitig stark bindend für den Betrieb sein. Je mehr Erkennungslogik, Aufbewahrung, Workflows und Response-Aktionen in Fusion liegen, desto schwieriger wird ein späterer Wechsel.

Offen beim Import ist nicht automatisch offen beim Exit.

Was steckt wirklich hinter der KI?

Sophos verwendet KI seit Jahren für Malware-Erkennung, Klassifikation, Priorisierung und Threat Hunting. Fusion ergänzt diese Verfahren um agentische Abläufe: Das System soll Informationen sammeln, Hypothesen bilden, weitere Abfragen ausführen und innerhalb festgelegter Grenzen reagieren.

Das ist wesentlich interessanter als ein Chatfenster mit hübschen Zusammenfassungen. Ein System, das einen Alarm mit Identitäts- und Netzwerkdaten anreichert, bekannte harmlose Muster verwirft und bei ausreichend hoher Sicherheit einen Endpoint isoliert, kann Analysten tatsächlich entlasten.

Aber „AI-native“ beantwortet die wichtigsten Sicherheitsfragen nicht:

• Welche Modelle oder Verfahren treffen welche Entscheidung?
• Wie werden Fehlentscheidungen erkannt?
• Welche Aktionen benötigen eine menschliche Freigabe?
• Wie werden Prompt Injection und manipulierte Telemetrie behandelt?
• Welche Kundendaten fließen in Training oder laufende Verbesserung?
• Welche Belege bleiben für Audit und Forensik erhalten?

Der Sophos AI Security 2026 Report ist an dieser Stelle interessanter als die Fusion-Werbung. Die eigene Forschung beschreibt KI nicht als neue magische Angriffsklasse. KI verkürzt Abläufe, skaliert bestehende Methoden und erschwert die Verteidigung durch Geschwindigkeit und Menge. Gleichzeitig bleibt der Nachweis konkreter KI-Nutzung bei vielen Angriffen schwierig.

Diese nüchterne Sicht sollte auch für die Verteidigung gelten. KI kann Untersuchung und Reaktion beschleunigen. Sie macht schlechte Telemetrie nicht gut, ersetzt kein Identitätskonzept und heilt keine ungepatchte Schwachstelle. Wer Agenten Aktionen erlaubt, braucht besonders saubere Berechtigungen, Protokollierung und Grenzen.

Die Preisfrage, die Sophos noch nicht beantwortet

Aktuell gibt es keine angekündigte Fusion-Gebühr. Bestehende Kunden werden nicht allein wegen des neuen Namens auf eine neue Lizenz gezwungen. Das sollte man klar sagen.

Ebenso klar ist aber: Sophos baut Fusion als Wachstumsmaschine. Öffentliche Partnerinformationen sprechen über zusätzliche Lösungen, wiederkehrende Umsätze, Ausbau bestehender Kunden und neue Services. Next-Gen SIEM ist ein Add-on. AI Defense wird ein Add-on für Kunden mit EDR, XDR oder MDR. CISO Advantage soll als strukturierter, wiederkehrender MSP-Service verkauft werden.

Das ist ein legitimes Geschäftsmodell. Sophos ist kein gemeinnütziger Verein. Wenn SIEM mehr Daten speichert, AI Defense generative KI im Unternehmen sichtbar und kontrollierbar macht oder ein CISO-Service echte Arbeit übernimmt, darf das Geld kosten.

Problematisch wird es, wenn KI-Funktionen erst in bestehende Produkte integriert und später als Begründung für höhere Grundpreise verwendet werden – auch bei Kunden, die diese Funktionen weder angefragt haben noch sinnvoll nutzen können.

Dass diese Sorge nicht aus der Luft gegriffen ist, zeigt Microsoft. Microsoft integrierte Copilot 2025 in Microsoft 365 Personal und Family und erhöhte in den USA gleichzeitig den Preis um drei Dollar pro Monat. Es gab Ausweichmöglichkeiten auf Pläne ohne Copilot, aber die Richtung war klar: KI wurde Teil eines bestehenden Abonnements und Teil der Begründung für einen höheren Preis.

Bei Apple wird über ähnliche Schritte rund um iCloud+ und zusätzliche KI-Nutzung spekuliert. Bestätigt ist bisher nur, dass höhere KI-Limits an bestimmte iCloud+-Pläne gekoppelt werden. Eine allgemeine iCloud-Preiserhöhung wegen KI ist zum Zeitpunkt dieses Artikels kein Fakt und sollte auch nicht als einer dargestellt werden.

Für Sophos-Kunden ist deshalb nicht die Frage entscheidend, ob Fusion heute eine neue Lizenz ist. Entscheidend ist, was bei der nächsten Verlängerung passiert:

• Bleiben bestehende XDR- und MDR-Funktionen im bisherigen Preis?
• Welche Fusion-Funktionen wandern in kostenpflichtige Add-ons?
• Werden alte Pakete weiter angeboten oder in neue Stufen überführt?
• Lassen sich AI-Funktionen abwählen, wenn sie keinen Nutzen bringen?
• Wie werden Datenvolumen, Aufbewahrung und Automatisierung künftig berechnet?

Ich würde keine unbelegte Preiserhöhung behaupten. Aber ich würde mir bei mehrjährigen Verträgen Preisgrenzen, genaue Leistungsbeschreibungen und ein Kündigungs- beziehungsweise Exportkonzept schriftlich geben lassen. Wer nur auf das Versprechen vertraut, Fusion sei „kein neues Produkt“, beantwortet die falsche Frage.

Die eigentliche Gefahr ist die wachsende Abhängigkeit

Der Nutzen von Fusion steigt, je mehr Datenquellen und Reaktionspunkte angebunden sind. Genau dadurch steigt auch die Abhängigkeit.

Wer Endpoint, Firewall, E-Mail, Identity, Switch, Wireless, XDR, MDR und SIEM von Sophos bezieht, kann tatsächlich von enger Korrelation und automatisierter Reaktion profitieren. Gleichzeitig wandern Betriebswissen, Erkennungsregeln, historische Daten, Prozesse und Verträge zu einem einzigen Hersteller.

Das ist der klassische Plattformtausch: weniger Integrationsarbeit heute gegen höhere Wechselkosten morgen.

Sophos wirbt damit, dass bestehende Drittanbieterprodukte weiter genutzt und über offene Integrationen eingebunden werden können. Das ist positiv. Trotzdem sollte niemand „offen“ mit „austauschbar“ verwechseln. Ein Connector erleichtert den Datenimport. Er garantiert nicht, dass Fälle, Kontext, Abfragen, Automationen und langjährige Telemetrie verlustfrei in eine andere Plattform exportiert werden können.

Gerade bei Sophos ist Skepsis verständlich, weil Produktnamen, Pakete und strategische Schwerpunkte immer wieder verschoben wurden. Aus Sophos Cloud wurde Sophos Central. MTR wurde zu MDR. MDR-Stufen werden erneut umbenannt. Aus der lang gerittenen Intercept-X-Geschichte wurde die MDR-Geschichte, und nun soll Fusion der Begriff sein, unter dem alles zusammenläuft.

Die zugespitzte Behauptung, Sophos halte keinen Produktnamen länger als drei Jahre, stimmt allerdings nicht. Sophos Central wurde 2023 bereits zehn Jahre alt, und Intercept X begleitet den Markt ebenfalls seit vielen Jahren. Das Problem ist nicht, dass jeder Name sofort verschwindet. Das Problem ist, dass Kunden regelmäßig neue Paketlogiken, Bezeichnungen, Add-ons und strategische Schwerpunkte einordnen müssen.

Für Partner ist das jedes Mal eine neue Präsentation. Für Kunden ist es jedes Mal die Frage, ob die bestehende Lizenz noch das Produkt enthält, das sie ursprünglich gekauft haben.

Was Kunden und Admins jetzt konkret prüfen sollten

Fusion ist kein Grund für einen hektischen Produktwechsel. Es ist aber ein guter Anlass, die eigene Sophos-Architektur nüchtern zu inventarisieren.

Zuerst sollte geklärt werden, welche Produkte und Lizenzen tatsächlich vorhanden sind. Nicht welche Fusion-Folie sie theoretisch abdeckt, sondern welche Datenquellen im eigenen Tenant aktiv sind, welche Aufbewahrung gilt und welche Reaktionen heute funktionieren.

Danach lohnt sich ein Test mit einem realistischen Angriffsszenario. Wird ein Endpoint isoliert? Sperrt die Firewall den Zugriff? Erscheinen Identitäts- und E-Mail-Signale im selben Fall? Muss der Analyst trotzdem zwischen mehreren Oberflächen wechseln? Wie gut ist die Erklärung der automatisierten Entscheidung?

Für XDR- und MDR-Kunden ist außerdem der Übergang auf die neue Security-Operations-Oberfläche relevant. Bestimmte Response-Integrationen, unter anderem für Microsoft 365 und Okta, können eine erneute Autorisierung verlangen. Auch bestehende Berichte und Workflows sollten geprüft werden, weil Sophos einzelne MDR-Reports ablöst und neue Self-Service-Berichte erst später bereitstellt.

Vor der nächsten Verlängerung gehören schließlich die kommerziellen Grenzen auf den Tisch: heutiger Preis, erwarteter Verlängerungspreis, enthaltene Fusion-Funktionen, Kosten für SIEM-Speicher und Aufbewahrung, AI Defense, MDR-Stufe sowie Exportmöglichkeiten.

Und zuletzt braucht es einen Exit-Plan. Nicht weil Sophos morgen verschwinden wird, sondern weil jede gute Architektur einen Herstellerwechsel überleben sollte. Welche Logs können exportiert werden? Welche Firewall- und Endpoint-Funktionen arbeiten ohne Cloud-Verbindung weiter? Wie viel Historie geht verloren? Welche Integrationen müssten neu gebaut werden?

Wer diese Fragen beantworten kann, nutzt Fusion bewusst. Wer sie nicht beantworten kann, wird von Fusion genutzt.

Mein Fazit

Sophos Fusion ist mehr als ein neues Logo, aber weniger als die Revolution, die das Marketing daraus macht.

Der echte Mehrwert liegt in der engeren Verbindung von Telemetrie, Kontext und Reaktion. Besonders XDR- und MDR-Kunden können von Secureworks-Detektoren, mehr Integrationen, SOAR, bidirektionalen Aktionen und schnellerer automatisierter Untersuchung profitieren. Auch zusätzliche Netzwerk-, Workspace- und Identitätssignale können aus einzelnen Alarmen ein besseres Gesamtbild machen.

Für einen Kunden mit einer einzelnen Sophos Firewall oder einer einfachen Endpoint-Lizenz ändert der Begriff Fusion dagegen wenig. Die Produkte werden nicht automatisch intelligenter, nur weil sie nun Teil eines „Defense Systems“ genannt werden. Ohne passende Lizenzen, Datenquellen, Konfiguration und freigegebene Reaktionen bleibt Fusion vor allem eine neue Überschrift über Sophos Central.

Meine größere Sorge ist deshalb nicht die Technik. Die Technik ist in vielen Teilen sinnvoll.

Meine Sorge ist die Kombination aus Dachmarke, Add-ons, Abo-Modellen und wachsender Herstellerbindung. Sophos kann künftig fast jede Erweiterung als fehlenden Baustein des Fusion-Systems verkaufen. Je mehr davon ein Kunde kauft, desto besser kann die gemeinsame Abwehr funktionieren – und desto teurer und schwieriger wird der Ausstieg.

Fusion sollte deshalb nicht mit der Frage bewertet werden: „Ist da KI drin?“

Die besseren Fragen lauten: Welche konkrete Erkennung wird besser? Welche Reaktion wird schneller? Welche Arbeit fällt für mein Team weg? Welche Funktion kostet zusätzlich? Welche Daten kann ich wieder mitnehmen? Und was passiert mit dem Preis bei der nächsten Verlängerung?

Wenn Sophos diese Fragen sauber beantwortet und die technischen Versprechen im Alltag erfüllt, kann Fusion eine starke Weiterentwicklung von Central sein.

Wenn nicht, ist Fusion vor allem das nächste große Wort, mit dem ein Hersteller bekannte Produkte, neue Add-ons und alte Abhängigkeiten in eine modernere Verpackung steckt.

Bis zum nächsten Mal,
Euer Joe

FAQ