Migration von KnowBe4 oder SoSafe: Ein Cutover-Runbook

Warum migrieren DACH-Teams jetzt von KnowBe4 oder SoSafe?

Voice-Phishing-Angriffe stiegen zwischen dem ersten und zweiten Halbjahr 2024 um 442 %, so der CrowdStrike 2025 Global Threat Report.^[1] Die M-Trends-2026-Daten von Mandiant zeigen in dieselbe Richtung: Voice Phishing machte 2025 in den untersuchten Fällen 11 % der bestätigten initialen Infektionsvektoren und 23 % der Cloud-bezogenen Kompromittierungen aus, während E-Mail-Phishing global nicht mehr zu den am häufigsten beobachteten initialen Eindringvektoren zählt.^[2] Der Kanal-Mix hat sich schneller verändert als die meisten Awareness-Programme.

Die ShinyHunters-Kampagne 2025 zeigte, wie das in der Praxis aussieht: Angreifer kombinierten Vishing und OAuth-Token-Diebstahl, um in einer einzigen Operation hunderte nachgelagerte Salesforce-Kundenorganisationen zu erreichen.^[3] Der Einstiegspunkt war ein Anruf beim Helpdesk oder eine vertrauenswürdige Integration – kein fehlerhafter Anhang. Ein reines E-Mail-Klickraten-Programm testet nie das Verhalten, das hier versagt hat.

Der zweite Treiber ist gesetzlich. Seit dem 6. Dezember 2025 gilt das novellierte BSI-Gesetz (BSIG) für rund 29.000 deutsche Unternehmen, und § 30 nennt Security-Awareness der Belegschaft gegen Social Engineering und Phishing als erforderliche Risikomanagement-Maßnahme – mit persönlicher Verantwortung der Leitungsorgane nach § 38.^[4] Für diese Unternehmen macht NIS2 kontinuierliches Security-Awareness-Training zu einer gesetzlichen Pflicht statt einer Best Practice.

• Bedrohungslage: Angreifer eröffnen heute mit Voice, SMS, Messenger und Deepfake-Video – Simulationen allein per E-Mail messen das falsche Verhalten.
• Compliance-Druck: § 30 BSIG macht kontinuierliches, dokumentiertes Awareness-Training zur gesetzlichen Pflicht, und Prüfer erwarten Nachweise praktischen Verhaltens statt Teilnahmebescheinigungen.
• Programm-Ermüdung: Jährliches Klickraten-Training ist in vielen Organisationen an ein Plateau gestoßen, und die Führungsebene fragt zunehmend, was es tatsächlich reduziert.

Was muss eine SoSafe-Alternative leisten, bevor Sie sich festlegen?

Der Migrationsaufwand lohnt sich nur, wenn er einen Fähigkeitssprung bringt. Bevor Sie Preisseiten vergleichen, messen Sie jeden Kandidaten an fünf Kriterien. Scheitert ein Anbieter am ersten, ist der Rest der Checkliste Dekoration.

1. Multi-Channel-Simulationen über E-Mail, SMS, Telefon (Vishing), Messenger und Deepfake-Video. Angreifer eröffnen ihre Angriffe heute über deutlich mehr Kanäle als E-Mail – ein Ersatz, der nur bessere E-Mails verschickt, reproduziert also genau die Lücke, die Sie hinter sich lassen wollen.
2. OSINT-getriebene Personalisierung und rollenspezifische Ansprache statt einer statischen Vorlagenbibliothek, sodass jede Simulation die tatsächliche Rolle, Sprache und Angriffsfläche des Empfängers widerspiegelt.
3. Deutschsprachige Inhalte und regionsspezifische Bedrohungsmuster, die über eine übersetzte Oberfläche hinaus kontextualisiert sind.
4. Souveränes Hosting in Deutschland mit DSGVO-konformer Datenverarbeitung, damit Mitarbeiterdaten unter EU-Jurisdiktion bleiben.
5. Betriebsratsfähigkeit nach § 87 Abs. 1 Nr. 6 BetrVG: anonymisierte Berichterstattung auf Gruppenebene mit einer Mindestgruppengröße von 5, vereinbart mit dem Betriebsrat vor der ersten Kampagne – nicht danach.

Zwei dieser Punkte verdienen während des Pilotprojekts eine genaue Prüfung. Voice- und Deepfake-Simulationen erfordern ein Consent-Management und ein Management von Rückrufnummern, das viele Plattformen nie im großen Maßstab betrieben haben. Fragen Sie jeden Kandidaten, wie er die Einwilligung für Voice-Klone dokumentiert und wie er Absender-Domains einschränkt – und nehmen Sie beides in Ihr RFP auf.

Für einen direkten Vergleich, wie die etablierten DACH-Anbieter bei diesen Kriterien abschneiden, deckt der Plattformvergleich 2026 Kanalabdeckung, Betriebsratsfähigkeit und Datensouveränität in einer Matrix ab.

Was bleibt erhalten – und was muss neu aufgebaut werden?

Setzen Sie die Erwartungen vor Projektbeginn richtig: Das Wichtigste in einem Awareness-Programm ist die Verhaltenshistorie – und die lässt sich zwischen Anbietern selten übertragen. Übertragbar sind die Identitätsschicht und Ihre aggregierten Baselines.

Rechtlich gilt: Artikel 20 DSGVO gibt betroffenen Personen das Recht, personenbezogene Daten, die sie bereitgestellt haben, in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln.^[5] Dieses Recht betrifft personenbezogene Daten, nicht die Analysen des Anbieters: Klickraten, Risikoscores und Schulungshistorien sind abgeleitete Daten – es gibt also keinen Portabilitätsanspruch, der den bisherigen Anbieter zur Herausgabe seines Datenmodells zwingt. Exportieren Sie, was der Anbieter als Berichte anbietet, archivieren Sie es – und gehen Sie weiter.

In der Praxis ist eine frische Baseline ohnehin die gesündere Lösung. Klickraten, die gegen eine statische Vorlagenbibliothek gemessen wurden, sagen wenig darüber aus, wie Mitarbeiter auf einen Voice-Klon Ihres CFO reagieren. Fahren Sie das erste Quartal auf der neuen Plattform als saubere Baseline und vergleichen Sie Melde- und Incident-Raten ab der zweiten Kampagne.

Wie planen Sie den Migrationszeitplan?

Eine typische Implementierung dauert vom Kickoff bis zur ersten Live-Kampagne drei bis vier Wochen. Der Großteil des Aufwands liegt auf der IT-Seite des Kunden – bei Whitelisting und SCIM-Konfiguration. Der Zeitplan hängt also mehr von der Verfügbarkeit Ihres Teams ab als von der des Anbieters.

• Woche 1 bis 2: Admin-Zugriff, Benutzersynchronisation per SCIM oder CSV, SSO-Einrichtung. Bestätigen Sie, welche SCIM-Attribute die Zielansprache steuern (Abteilung, Land, preferredLanguage) und dass die Provisionierung im regulären Synchronisationszyklus des Identity Providers läuft.
• Woche 2 bis 3: Whitelisting von Absender-Domains und URLs der Simulations-Landingpages als getrennte Schritte, Ausrollen des Melden-Buttons, Kontextualisierung mit Logo, E-Mail-Signatur und Voice-Klon-Einwilligung.
• Woche 3 bis 4: Friendly-User-Test mit einer kleinen Gruppe, danach die erste Live-Kampagne.

Legen Sie die Beschaffungsfristen gegen dieses Zeitfenster. Starten Sie das Runbook 60 bis 90 Tage vor der Vertragsverlängerung beim bisherigen Anbieter, damit die Parallelbetriebsphase in Ihre Kündigungsfrist passt und Sie nie für zwei Plattformen zahlen, ohne eine davon zu nutzen. Liegt der Verlängerungstermin näher, verhandeln Sie eine Verlängerung um einen Monat, statt den Pilot zu komprimieren: Ein übersprungener Friendly-User-Test ist der Grund, warum die erste Kampagne in den Spam-Ordnern des gesamten Unternehmens landet.

Die Synchronisationsfrequenz ist für die Planung relevant: Eine geplante SCIM-Synchronisation läuft je nach Identity Provider typischerweise alle 20 bis 60 Minuten – rechnen Sie mit dieser Verzögerung, wenn Sie die Benutzerliste vor dem ersten Versand validieren.^[6]

Wie gelingt der SSO- und SCIM-Umstieg ohne Aussperrung?

SCIM und SSO erfüllen unterschiedliche Aufgaben: SSO authentifiziert Nutzer, während SCIM deren Konten anlegt und aktualisiert.^[6] Stellen Sie beide getrennt um – Provisioning zuerst, Authentifizierung zuletzt.

1. Bauen Sie die neue SCIM-Enterprise-Anwendung in Entra ID auf, während die App der Altplattform noch läuft. Prüfen Sie die Attribut-Mappings, bevor Sie Nutzer zuweisen; benutzerdefinierte Felder benötigen explizite SCIM-URN-Pfade, und Standardfelder wie Company oder Business Unit nutzen Enterprise-Schema-Erweiterungen.
2. Schließen Sie Test- und Servicekonten aus dem Provisioning-Scope aus und bestätigen Sie, dass der erste Sync die erwartete Nutzerzahl ohne Duplikate erzeugt.
3. Kontrollieren Sie, dass das SAML-Attribut-Mapping den Role-Claim enthält und die richtigen Gruppen in der Entra-ID-Enterprise-Anwendung zugewiesen sind. Ein fehlender Role-Claim ist die klassische Ursache des Fehlers „no role assigned“ nach der Umstellung auf SAML SSO.
4. Stellen Sie SAML SSO zuletzt um und behalten Sie mindestens einen Break-Glass-Admin, der sich ohne SSO anmelden kann. Ist der Role-Claim falsch, ist dieses Konto Ihr Weg zurück.
5. Definieren Sie Rollback-Punkte schriftlich: nach der SCIM-Sync-Validierung, nach der SSO-Umstellung und nach der ersten Kampagne. Für jeden braucht es einen dokumentierten Weg zurück zur Alt-Konsole, und die SSO-Umstellung sollte 24 bis 48 Stunden lang reversibel bleiben.

Die Entra-ID-Seite davon ist Standard-Integrationsarbeit; die Entra-ID-Integrations-Checkliste fasst SCIM-Provisioning, Defender-Allowlisting und Message-Injection an einem Ort zusammen. Die eine nicht standardmäßige Falle: Wenn die SCIM-App des Altanbieters und die App der neuen Plattform dieselben Nutzer provisionieren, deaktivieren Sie die alte App erst, nachdem der neue Sync verifiziert ist – sonst streiten sich die beiden Provisioning-Engines um Attributwerte.

Wie sequenzieren Sie die erste Kampagne ohne Lücke für die Mitarbeitenden?

Die Go-Live-Sequenz ist bewusst unspektakulär: erst in einer kleinen Gruppe validieren, dann ausweiten, und erst danach automatisieren.

1. Zuerst die Friendly-User-Gruppe: typischerweise 10 bis 50 Personen aus IT und Security, die Simulationen erwarten und False Positives melden statt eskalieren.
2. Pilotkampagne über ein bis zwei Wochen mit zwei bis drei Templates. Validieren Sie Zustellung, Sprache und Kontext, bevor irgendetwas unternehmensweit läuft.
3. Unternehmensweiter Rollout über die automatisierte Kampagnen-Playlist der Plattform, aktiviert erst nach bestandenem Pilot.
4. Lassen Sie die Altplattform parallel laufen, bis der Pilot validiert ist. Dann stilllegen – zuerst ihre SCIM-App, danach ihre SSO-Verbindung, in dieser Reihenfolge, damit die Authentifizierung das Provisioning nie überlebt.
5. Archivieren Sie die exportierten Baseline-Berichte, bevor der Alt-Tenant geschlossen wird; die Audit-Kontinuität unter NIS-2 hängt davon ab, dass Sie die Historie ebenso nachweisen können wie den aktuellen Zustand.

Voice- und Messenger-Szenarien gehören in diesen ersten Rollout: Interaktive Angriffe widerstehen automatisierten technischen Kontrollen auf eine Weise, wie es E-Mail-Lures nicht tun – genau das Verhalten, das ein Pilot messen sollte. Läuft die Playlist erst, übernimmt die Messseite: Melden mit einem Klick in Outlook, Gmail und auf dem Mobilgerät macht Mitarbeitende zu einer aktiven Erkennungsschicht, und die daraus resultierenden Interaktions- und Incident-Daten fließen in auditfähige Berichte. Ab diesem Punkt verfolgt das Programm kontinuierlich Verhaltensmetriken wie die Meldequote.

Eine konkrete nächste Aktion für diese Woche: Legen Sie das Verlängerungsdatum Ihres Altanbieters gegen das obige Drei-bis-vier-Wochen-Runbook und buchen Sie die Friendly-User-Gruppe. Wenn Sie eine Plattformbewertung anhand der Kriterien aus diesem Runbook möchten: Wir bei revel8 begleiten genau diesen Cutover mit Security-Teams im DACH-Raum und können Ihre IT-Verantwortlichen durch die SCIM- und SSO-Sequenz führen, bevor Sie irgendetwas unterschreiben.

Quellen

1. CrowdStrike 2025 Global Threat Report: Beware the Enterprising Adversary, crowdstrike.com
2. M-Trends 2026 reveals threat landscape shaped by faster, coordinated, and industrialized cyberattacks, industrialcyber.co
3. ShinyHunters Threat Actor Profile: TTPs, IoCs & Attacks, huntress.com
4. revel8.ai
5. Art. 20 GDPR – Right to data portability - General Data Protection Regulation (GDPR), gdpr-info.eu
6. What Is SCIM? SCIM Provisioning Explained, authgear.com