Zenarmor vs. Sophos: der Sophos-UTM-Nachfolger und die Alternative zu Sophos XGS

Kurze Antwort: Wählen Sie Zenarmor, wenn Sie pro Benutzer bezahlen, Mitarbeitende im Homeoffice mit Agents schützen, keine neue Firewall-Hardware kaufen und Reports lokal oder in einer niederländischen bzw. deutschen Cloud-Region halten möchten. Bleiben Sie bei Sophos, wenn Sie Sophos Endpoint, MDR und Sophos Central bereits intensiv nutzen und Synchronized Security für Sie schwer wiegt. Betreiben Sie noch Sophos UTM 9? Diese ist seit dem 30. Juni 2026 End of Life. Sie müssen also ohnehin migrieren, und genau jetzt lohnt sich ein ehrlicher Vergleich der möglichen Nachfolger.

Secrotec ist unabhängiger ISO 27001 Lead Auditor und offizieller Zenarmor-Partner in den Niederlanden (gelistet im Partnerverzeichnis von Zenarmor). Wir liefern Zenarmor-Lizenzen und -Projekte in ganz Europa und haben zufriedene Zenarmor-Kunden in der gesamten Europäischen Union. Dieser Beitrag vergleicht Zenarmor mit Sophos Firewall (XGS) und enthält einen konkreten Migrationsplan für alle, die noch Sophos UTM einsetzen. Preise sind Richtwerte (Stand Oktober 2026, zzgl. MwSt., Händlerpreise variieren) und mit einer Quelle verlinkt.

Sophos UTM End of Life: Was bedeutet der 30. Juni 2026 für Sie?

Sophos hat den Lebenszyklus von Sophos UTM und den SG-Appliances mit einem End-of-Life-Datum am 30. Juni 2026 abgeschlossen. Betroffen sind UTM auf SG-Hardware, Software-Installationen auf Fremdhardware, virtuelle Installationen und die Home Edition. Seit diesem Datum gibt es keine Sicherheitsupdates, Patches oder neuen Signaturen mehr und keinen technischen Support (Avanet).

Sophos bot UTM-Kunden, die vor dem 30. Juni 2026 eine Sophos Firewall als Ersatz bestellten, bis zu sechs Monate zusätzliche Laufzeit. Laut Sophos selbst ist nach dem 31. Dezember 2026 unter keinen Umständen mehr Support möglich, und Schutzfunktionen hören auf zu arbeiten, sobald die zugehörige Lizenz abläuft. Wer heute noch eine UTM am Netzwerkrand betreibt, arbeitet also mit einem System ohne Updates oder bestenfalls mit einer verlängerten Laufzeit bis Ende 2026.

Welcher Sophos UTM Nachfolger passt zu Ihnen?

• Wechsel zu Sophos Firewall auf XGS-Hardware. Sophos bietet dafür Migrationsaktionen an, meist gekoppelt an ein Abonnement von mindestens drei Jahren. Ein logischer Weg, wenn Sie tief im Sophos-Ökosystem verankert sind.
• Wechsel zu Zenarmor auf OPNsense. Lief Ihre UTM als Software- oder virtuelle Installation, können Sie häufig denselben Server oder Hypervisor weiterverwenden. Sie zahlen pro Benutzer und schützen das Homeoffice mit Agents.
• Nichts tun. Keine Option: Eine Firewall ohne Updates ist eine bekannte Schwachstelle und ein wahrscheinlicher Befund bei einem ISO-27001-Audit oder einer NIS2-Prüfung.

Weiter unten finden Sie einen Migrationsplan in sechs Schritten. Zum regulatorischen Rahmen siehe ISO 27001 und NIS2.

Zenarmor vs. Sophos auf einen Blick

Zenarmor ist eine Security-Engine (NGFW, Secure Web Gateway, SSE und ZTNA), die als Software auf OPNsense, pfSense CE, Linux oder Docker und als Agent auf Windows, macOS, Linux, Android und iOS läuft und zentral in Zenconsole verwaltet wird. Sophos Firewall läuft auf XGS-Appliances oder als Software-/virtuelle Appliance und wird über die lokale Oberfläche oder Sophos Central verwaltet, lizenziert pro Gerät.

Kriterium	Zenarmor	Sophos Firewall (XGS)
Architektur	Software auf eigener x86-Hardware, VM (Proxmox, Hyper-V, VMware), Cloud oder Deciso-Appliance, plus Endpoint-Agents	XGS-Appliances mit Xstream-Architektur; auch als Software-/virtuelle Appliance, lizenziert nach Cores und RAM
Lizenzmodell	Pro Benutzer und Monat (min. 10); erster Standort inklusive, jeder weitere +50 $/Monat	Pro Appliance: Standard oder Xstream Protection; Sophos ZTNA pro Benutzer
Anwendungskontrolle	5.000+ Anwendungen, dynamisch aktualisierte App-Datenbank	Anwendungsfilter (Modul Web Protection)
Webfilter	300+ Millionen Websites in 120+ Kategorien, SafeSearch und YouTube Restricted Mode	Webrichtlinien (Modul Web Protection)
TLS-Inspektion	Leichtgewichtig und vollständig; Add-on bei Unified Secure, enthalten in Unified Secure Plus	TLS/HTTPS-Inspektion auf der Appliance
Threat Protection	IPS, DNS Deep Inspection, Cloud Threat Intelligence, Essential- und Advanced-Security-Regeln	IPS (Network Protection), Machine Learning und Sandbox (Zero-day Protection), MDR-Threat-Feeds in Xstream
Remote-Nutzer / ZTNA	Endpoint-Agents, verschlüsseltes Mesh-VPN, ZTNA mit Device-Posture-Checks	Remote-Access-VPN mit Sophos Connect; Sophos ZTNA pro Benutzer über Sophos Central
Endpoint-Integration	Eigene Agents; kombinierbar mit jedem Endpoint-Schutz	Synchronized Security mit Sophos Endpoint (echte Stärke)
Zentrales Management	Zenconsole: Cloud, mandantenfähig, Policy-Import, Audit-Trail	Sophos Central: eine Konsole für Firewall, Endpoint, E-Mail und mehr
Reporting und Datenresidenz	Lokal (Elasticsearch/SQLite), SIEM/Syslog oder Cloud-Reporting mit Region Niederlande oder Deutschland; 15/30 Tage Aufbewahrung in den Plänen	Berichte auf der Appliance; Central Firewall Reporting 7 Tage kostenlos, bis 1 Jahr mit CFR Advanced
E-Mail und WAF	Nicht enthalten (separat zu lösen)	Module Email Protection und Webserver Protection verfügbar
Lizenz abgelaufen	OPNsense-Firewall, Routing und VPN laufen weiter (Open Source); kostenpflichtige Zenarmor-Funktionen benötigen eine gültige Lizenz	IPS- und Anwendungsrichtlinien nicht mehr angewendet, Webrichtlinien und HTTPS-Entschlüsselung (Proxy-Modus) stoppen, Zero-day Protection aus
Hardware-Lock-in	Keiner: Lizenz pro Benutzer, Plattform frei wechselbar	XGS-Abonnements sind hardwaregebunden
SD-WAN	Größtenteils Roadmap	Verfügbar, mit Orchestrierung über Sophos Central
Preisentwicklung 2026	Neues, öffentlich einsehbares Preismodell seit 30. September 2026	+10 % ab 1. Juli und +10 % ab 1. November 2026 auf XGS-Hardware und hardwaregebundene Abonnements
Richtpreis	Ab 5,00 $ pro Benutzer/Monat (Unified Secure), 9,00 $ (Unified Secure Plus)	XGS 88 817 €, XGS 108 1.249 €, XGS 118 1.811 € inkl. 1 Jahr Xstream; Verlängerung XGS 108 ≈ 536 €/Jahr

Quellen: Zenarmor-Pläne; Sophos-Preise über Software Express (Appliances und Verlängerungen); Lizenzverhalten laut Sophos-Dokumentation; virtuelle Lizenzen nach Cores und RAM. Stand Oktober 2026.

Sicherheitsfunktionen im Vergleich

Anwendungskontrolle, Webfilter und TLS-Inspektion

Beide Lösungen erkennen Anwendungen, filtern Websites nach Kategorien und können TLS-Verkehr inspizieren. Zenarmor nennt mehr als 5.000 Anwendungen und über 300 Millionen kategorisierte Websites, mit Profilen (Permissive, Moderate, High), SafeSearch-Durchsetzung und einer Bypass-Liste von 80+ Ausnahmen für sensible Kategorien. Richtlinien lassen sich an Interface, VLAN, Gerätekategorie, Benutzer, Gruppe und Zeitplan binden, mit Identitäten aus Entra ID, Google Workspace, Okta oder SAML 2.0. Sophos bietet vergleichbare Web- und Anwendungsfilter im Modul Web Protection. Mehr dazu: Anwendungskontrolle, Webfilter und TLS-Inspektion, DSGVO und Betriebsrat.

Threat Protection

Sophos ist hier stark: Xstream Protection kombiniert IPS, Zero-day Protection mit Machine Learning und Sandboxing sowie Threat-Feeds des eigenen MDR-Teams. Zenarmor setzt auf Cloud Threat Intelligence, IPS, DNS Deep Inspection gegen Tunneling und Security-Regeln unter anderem gegen Malware, Phishing, Botnet-C&C, kompromittierte Websites und neu registrierte Domains. Echtzeit-Dateiscans sind ab den SSE-Plänen enthalten. Für die meisten KMU-Umgebungen ist das Schutzniveau vergleichbar; wer Sophos MDR nutzt, holt mehr aus der Sophos-Integration heraus.

Homeoffice und ZTNA

Bei Sophos läuft der Remote-Zugang über Sophos Connect (VPN) oder Sophos ZTNA, das pro Benutzer lizenziert und in Sophos Central verwaltet wird. Zenarmor setzt die Richtlinie auf dem Gerät selbst durch: Agents für Windows, macOS, Linux, Android und iOS wenden im Büro, zu Hause und unterwegs dieselbe Web-, App- und Security-Richtlinie an. Unified Secure enthält 5 Endpoint- und 5 Mesh-Agents; Unified Secure Plus 2 Agents pro Benutzer und Mesh-VPN für bis zu 20 Standorte.

Synchronized Security: die ehrliche Einordnung

Synchronized Security ist eine echte Stärke von Sophos. Sophos Firewall und Sophos Endpoint tauschen ihren Integritätsstatus aus, sodass ein kompromittiertes Gerät automatisch isoliert werden kann. Wenn Sie Sophos Endpoint und gegebenenfalls MDR intensiv nutzen, verlieren Sie diese Integration beim Austausch der Firewall. Zenarmor bietet keine gleichwertige Kopplung mit Sophos Endpoint; Ihren Endpoint-Schutz können Sie aber selbstverständlich behalten.

Management, Reporting und Datenresidenz

Sophos Central ist eine starke Konsole, wenn Sie mehrere Sophos-Produkte einsetzen. Für Firewall-Reporting gilt: Central Firewall Reporting bietet kostenlos bis zu 7 Tage Aufbewahrung; mit CFR Advanced kaufen Sie Speicher für bis zu ein Jahr hinzu (Sophos CFR FAQ).

Zenarmor verwalten Sie über Zenconsole: ein Cloud-Portal für Gateways und Agents, mandantenfähig für MSPs, mit Policy-Import, Backup und Audit-Trail. Die Aufbewahrung beträgt 15 Tage (Unified Secure) oder 30 Tage (Unified Secure Plus). Reports können vollständig lokal bleiben (Elasticsearch oder SQLite), an Ihr SIEM gestreamt oder in der Zenarmor-Cloud in einer Region Ihrer Wahl gespeichert werden, darunter die Niederlande und Deutschland (Release Notes 2.7). Siehe auch zentrales Management mit Zenconsole.

Lizenzen, Preiserhöhungen 2026 und Kosten über drei Jahre

Sophos erhöht die Preise 2026 zweimal: +10 % ab 1. Juli 2026 und erneut +10 % ab 1. November 2026 für XGS-Hardware und hardwaregebundene XGS-Abonnements; für MSP-Angebote gilt die zweite Erhöhung ab 1. Januar 2027. Zusammen sind das rund 21 % (Avanet). Prüfen Sie also, ob Ihr Verlängerungsangebot bereits auf der neuen Preisliste beruht.

Zenarmor rechnet pro Benutzer und Monat ab; eine Benutzerlizenz deckt zwei aktiv genutzte Geräte ab, Drucker, Kameras und IoT zählen nicht. Hinzu kommt die Plattform: Die OPNsense Community Edition ist kostenlos, die Business Edition kostet 149 € pro Jahr, Deciso-Appliances beginnen bei 978 € (DEC740), oder Sie nutzen vorhandene Hardware bzw. eine VM (OPNsense-Shop). Eine Zenarmor-Lizenz kaufen Sie direkt oder über einen autorisierten Partner wie Secrotec.

Zenarmor-Plan	10–49 Benutzer	50–99 Benutzer	100–150 Benutzer	Wichtigste Inhalte
Unified Secure	5,00 $	4,50 $	4,00 $	NGFW, IPS, App- und Webfilter, DNS Deep Inspection, 5 Endpoint- + 5 Mesh-Agents, Gateway-HA, 15 Tage Aufbewahrung; TLS-Add-on 3 $ pro Benutzer/Monat
Unified Secure Plus	9,00 $	8,50 $	8,00 $	Alles aus Unified Secure + vollständige TLS-Inspektion, 2 Agents pro Benutzer, Mesh-VPN bis 20 Standorte, 30 Tage Aufbewahrung
SSE / ZTNA / SASE	Auf Anfrage			CASB, Posture-Checks, 90 Tage Aufbewahrung, individuelle Datenresidenz

Zenarmor-Listenpreise in USD pro Benutzer und Monat, zzgl. MwSt., Stand Oktober 2026, ohne Gewähr. Vorauszahlungsnachlass von Zenarmor: −15 % (1 Jahr), −25 % (3 Jahre), −35 % (5 Jahre). Weiterer Standort: 50 $ pro Monat (bis 20 Standorte).

Beispiel 1: rund 25 Benutzer, ein Standort

Kostenposition (3 Jahre)	Zenarmor Unified Secure	Sophos XGS 108 + Xstream
Lizenzen / Abonnement	25 × 5,00 $ × 36 = 4.500 $; mit 3-Jahres-Vorauszahlung 3.375 $	Jahr 1 inkl. Hardware 1.249 € + 2 × Verlängerung ≈ 536 € = ca. 2.321 €
Hardware	0 € (vorhandene Hardware oder VM) oder DEC740 978 €	Im ersten Jahr enthalten
Plattform	OPNsense CE 0 € oder Business Edition 3 × 149 € = 447 €	—
Homeoffice	5 Endpoint- + 5 Mesh-Agents inklusive	Sophos-Connect-VPN; Sophos ZTNA pro Benutzer (Preis auf Anfrage)
Report-Aufbewahrung	15 Tage inklusive	7 Tage kostenlos; länger über CFR Advanced

Ehrlich gesagt: Für einen kleinen Standort ohne Remote-Nutzer ist das Sophos-Bundle zum Listenpreis günstiger, und Verlängerungen nach dem 1. November 2026 können rund 10 % über älteren Angeboten liegen. Zenarmor wird attraktiver, sobald Sie vorhandene Hardware weiterverwenden, Mitarbeitende im Homeoffice mit Agents schützen (Unified Secure Plus: 25 × 9,00 $ × 36 = 8.100 $, mit Vorauszahlung 6.075 $, inklusive vollständiger TLS-Inspektion und 30 Tagen Aufbewahrung) oder den Partnerrabatt über Secrotec einbeziehen.

Beispiel 2: rund 100 Benutzer, drei Standorte, hybrides Arbeiten

Kostenposition (3 Jahre)	Zenarmor	Sophos
Abonnement und Hardware	Unified Secure: (100 × 4,00 $ + 2 × 50 $) × 36 = 18.000 $, mit Vorauszahlung ca. 13.500 $. Unified Secure Plus: 32.400 $, mit Vorauszahlung ca. 24.300 $. Hardware 0 € (Wiederverwendung/VM) oder DEC850 + 2 × DEC740 = 3.604 €	Zentrale XGS 118: 1.811 € + 2 × 901 € = 3.613 €; zwei Filialen XGS 108: 2 × 2.321 € = 4.642 €; zusammen ca. 8.255 €. Bei mehr Durchsatz eine XGS 128/138 (2.532 €/3.552 € im ersten Jahr)
HA in der Zentrale	Zweites Gateway (Hardware oder VM); HA ist in der Lizenz enthalten	Zweite Appliance; HA-Lizenzbedingungen über Ihren Händler
Homeoffice / ZTNA	Plus: 2 Agents pro Benutzer und Mesh-VPN inklusive	Sophos ZTNA für ca. 100 Benutzer (Preis auf Anfrage)
Report-Aufbewahrung	15 oder 30 Tage inklusive; lokal oder SIEM möglich	7 Tage kostenlos; CFR Advanced für längere Aufbewahrung

Rein nach Hardware- und Bundlepreis ist die Sophos-Konfiguration in diesem Beispiel günstiger als Zenarmor Unified Secure Plus zum Listenpreis. Der Abstand schrumpft, wenn Sie ZTNA für 100 Benutzer, längere Report-Aufbewahrung und ein größeres Modell in der Zentrale einrechnen und die Preiserhöhungen 2026 in Ihre Verlängerungen einfließen. Arbeiten Mitarbeitende im Homeoffice per VPN ins Büro (OPNsense unterstützt WireGuard, IPsec und OpenVPN ohne Aufpreis), genügt oft Unified Secure. Ein Angebot über Secrotec enthält zusätzlich einen Partnerrabatt. Die Vorauszahlungsbeträge setzen voraus, dass der Zenarmor-Nachlass auf das gesamte Abonnement gilt.

Was passiert, wenn die Lizenz abläuft?

Laut Sophos-Dokumentation werden bei abgelaufener Network-Protection-Lizenz keine IPS-Signaturen mehr geladen und keine IPS-Richtlinien mehr angewendet. Bei Web Protection werden Anwendungssignaturen und Anwendungsfilter-Richtlinien nicht mehr angewendet, im Proxy-Modus stoppen Webrichtlinien und HTTPS-Entschlüsselung. Zero-day Protection wird abgeschaltet, und Central Firewall Reporting fällt auf 7 Tage zurück. Bei Zenarmor laufen die Open-Source-Firewall, das Routing und das VPN von OPNsense weiter; die kostenpflichtigen Zenarmor-Funktionen erfordern eine aktive Lizenz.

Compliance: Nachweise für ISO 27001, NIS2 und TISAX

Eine Firewall macht Sie nicht compliant; sie liefert Nachweise. Sophos und Zenarmor können beide Maßnahmen aus ISO 27001:2022 Anhang A unterstützen, etwa A.8.20 (Netzwerksicherheit), A.8.22 (Trennung von Netzwerken), A.8.23 (Webfilterung), A.8.15 (Protokollierung) und A.8.16 (Überwachung), ebenso die Maßnahmen nach NIS2 Artikel 21 und deren nationale Umsetzungen, etwa das niederländische Cyberbeveiligingswet (in Kraft seit 15. August 2026). Eine UTM nach End of Life führt dagegen bei einem Audit nahezu sicher zu einem Befund unter A.8.8 (Management technischer Schwachstellen).

Secrotec ist Auditor und Umsetzer zugleich: Wir konfigurieren Zenarmor so, dass Richtlinien, Segmentierung, Logging und Reports auf Ihre Erklärung zur Anwendbarkeit (SoA) einzahlen. Für Automobilzulieferer unterstützen wir die TISAX®-Vorbereitung (Gap-Review gegen VDA ISA, Selbstbewertung, Umsetzung); das Assessment selbst führt ein von ENX zugelassener Prüfdienstleister durch. Mehr über Reporting als Nachweis, TISAX und Netzwerksicherheit oder eine ISO 27001 Gap-Analyse.

Wann ist Sophos die bessere Wahl?

• Sie nutzen Sophos Endpoint und gegebenenfalls Sophos MDR, und Synchronized Security ist für Sie eine wichtige Maßnahme.
• Sie möchten Firewall, Endpoint und E-Mail in einer Herstellerkonsole (Sophos Central).
• Sie benötigen tatsächlich den E-Mail-Schutz oder die Webserver Protection (WAF) der Firewall.
• SD-WAN mit zentraler Orchestrierung über viele Standorte ist eine Kernfunktion.
• Sie können eine Sophos-Migrationsaktion mit scharfem Drei-Jahres-Preis nutzen oder haben bereits ein mehrjähriges Xstream-Abonnement.

Wann ist Zenarmor die bessere Wahl?

• Ihre UTM ist End of Life und Sie möchten nicht erneut in hardwaregebundene Abonnements investieren; Sie verwenden lieber Ihren Server oder Hypervisor weiter.
• Sie wünschen planbare Kosten pro Benutzer, unabhängig von Hardwarezyklen und den Preiserhöhungen 2026.
• Ihre Mitarbeitenden arbeiten hybrid, und Sie möchten im Büro, zu Hause und unterwegs dieselbe Richtlinie über Agents.
• Sie möchten Reports lokal oder in einer niederländischen bzw. deutschen Cloud-Region halten.
• Sie verwalten mehrere Standorte oder Kunden (MSP) aus einer mandantenfähigen Konsole.
• Sie möchten Cloud-Aktionen kontrollieren, etwa Uploads zu WeTransfer blockieren; siehe SSE, CASB und DLP.

Mehr zur Plattform: wie Zenarmor mit SSE, ZTNA und CASB über NGFW hinausgeht.

Partnerrabatt über Secrotec: Schicken Sie uns Ihr Sophos-Verlängerungsangebot

Als offizieller Zenarmor-Partner in den Niederlanden liefern wir Lizenzen auf Basis der oben genannten Listenpreise, mit Partnerrabatt. In Zenarmor-Projekten ist der Preis immer verhandelbar. Haben Sie ein Sophos-Verlängerungsangebot oder ein XGS-Migrationsangebot für Ihre UTM erhalten? Schicken Sie es uns. Wir erstellen einen fairen Vergleich: dieselben Benutzer, Standorte, Remote-Nutzer und Aufbewahrungsfristen, mit klarer 3-Jahres-TCO. Ist Sophos für Ihre Situation die bessere Wahl, sagen wir Ihnen das.

Fordern Sie ein Angebot mit Partnerrabatt an, sehen Sie sich den vollständigen Zenarmor-Preisvergleich an oder lesen Sie Zenarmor vs. Fortinet FortiGate. Lieber alles abgeben? Unser Managed-Firewall-Service kombiniert Zenarmor mit Betrieb und Monitoring.

Sophos, Sophos Firewall, Sophos UTM, Sophos Central, Xstream und Synchronized Security sind Marken der Sophos Ltd. Zenarmor ist eine Marke der Sunny Valley Cyber Security Inc. OPNsense ist eine Marke der Deciso B.V. Alle Preise sind Richtwerte, Stand Oktober 2026, zzgl. MwSt.; Händlerpreise und Wechselkurse variieren. Dieser Vergleich beruht auf öffentlichen, im Text verlinkten Quellen und ist keine Aussage von Sophos oder Zenarmor.