Legacy-IGA abschalten: Was eine Migration wirklich kostet und wie lange sie dauert

Wer ernsthaft über einen Wechsel von einem Legacy-IGA-System nachdenkt, stößt schnell auf ein Problem: Die meisten Kostenkalkulationen, die Anbieter vorlegen, sind schlicht unvollständig. Sie zeigen die Lizenzkosten der neuen Plattform - aber nicht die Gesamtkosten des Übergangs. Und genau dort lauern die Überraschungen, die Projekte ins Stocken bringen oder das Budget sprengen.

Dieser Leitfaden richtet sich an IT- und Security-Verantwortliche, die sich in der Entscheidungsphase befinden: Menschen, die Angebote vergleichen, RFP-Kriterien formulieren und gegenüber Finance-Stakeholdern rechtfertigen müssen, warum ein Wechsel jetzt sinnvoll ist - und was er kostet.

---

Warum Legacy-IGA-Migrationen so teuer werden

Legacy-IGA-Systeme wie SailPoint oder Saviynt wurden für eine andere Ära gebaut: große IT-Teams, stabile App-Landschaften, lange Projektzyklen. Wer heute mit 500 bis 5.000 Mitarbeitenden in einem SaaS-lastigen Umfeld arbeitet, zahlt dafür einen hohen Preis - nicht nur in Euro, sondern in Zeit, Komplexität und gebundenen Ressourcen.

Die Kostentreiber bei einer Legacy-IGA-Migration lassen sich in vier Kategorien einteilen:

1. Lizenz- und Plattformkosten

Legacy-Anbieter rechnen typischerweise pro User/Monat ab - aber die Listenpreise sind selten das, was am Ende auf der Rechnung steht. Hinzu kommen:

• Enterprise-Upgrade-Aufschläge: Viele Kernfunktionen - darunter Automatisierung für bestimmte Apps - sind nur in höheren Pricing-Tiers verfügbar. Was wie ein Standard-Tarif aussieht, wird schnell zum Enterprise-Upgrade.
• SCIM-Steuer / SCIM-Aufschläge: Wer Apps ohne native SCIM-Unterstützung anbinden will, zahlt entweder extra oder muss auf manuelle Prozesse zurückgreifen. Das betrifft einen erheblichen Teil der typischen Applikationslandschaft - Eigenentwicklungen, Legacy-Systeme, Long-Tail-SaaS.
• Connector-Kosten: Individuelle Konnektoren für nicht-standardisierte Apps können schnell fünfstellige Beträge kosten - pro Connector.

2. Implementierungs- und Beratungskosten

Das ist der Posten, der in Anbieter-Präsentationen am häufigsten unterschätzt wird. Bei Legacy-IGA-Projekten sind externe Berater fast immer notwendig - und ihre Tagessätze sind entsprechend.

Realistische Richtwerte für mittelgroße Unternehmen (500-2.000 Mitarbeitende):

• Implementierungspartner: 80.000-250.000 € für eine Basisimplementierung, je nach Komplexität der Applikationslandschaft
• Customizing und Workflow-Konfiguration: 20.000-80.000 € zusätzlich, wenn Approval-Routing, Policy-Verletzungen oder komplexe Lifecycle-Management-Szenarien abgebildet werden müssen
• Schulungen: 5.000-20.000 € für IT-Team und Reviewer

Diese Zahlen sind konservativ. Projekte mit vielen Legacy-Systemen oder Eigenentwicklungen liegen regelmäßig darüber.

3. Interne Personalkosten

Migrationen binden interne Ressourcen - oft mehr, als zu Projektbeginn eingeplant wurde. Typische Kostentreiber:

• Projektleitung: Ein dedizierter interner Projektleiter über 6-18 Monate
• IT-Architektur und Integration: Technische Ressourcen für Connector-Entwicklung, Datenmigration und Testing
• Fachbereiche: Access-Reviews, Datenbereinigung (verwaiste Konten, überprivilegierte Konten) und die Validierung von Richtlinien / Policies binden Zeit in den Fachbereichen - oft unterschätzt

Bei einem Unternehmen mit 1.000 Mitarbeitenden und einer durchschnittlichen Applikationslandschaft von 50-80 SaaS-Tools kann der interne Aufwand leicht 1.000-2.000 Personenstunden übersteigen.

4. Opportunitätskosten und Risiken während der Migration

Das ist der unsichtbarste Kostenblock - und oft der größte. Während eine Migration läuft, passiert Folgendes:

• Parallelbetrieb: Das alte System muss weiterlaufen, bis das neue produktiv ist. Das bedeutet doppelte Lizenzkosten, doppelter Betriebsaufwand.
• Governance-Lücken: In der Übergangsphase entstehen zwangsläufig Lücken. Offboarding läuft möglicherweise nicht vollständig automatisiert, Access-Reviews werden verzögert, veraltete Zugriffe häufen sich an.
• Audit-Risiko: Wer während einer Migration in ein SOC 2 Type II- oder ISO 27001-Audit gerät, hat ein Problem. Lückenhafte Audit-Trails und unvollständige Dokumentation können Zertifizierungen gefährden.

---

Wie lange dauert eine Legacy-IGA-Migration wirklich?

Die ehrliche Antwort: länger als geplant. Fast immer.

Hier sind realistische Zeitrahmen, aufgeteilt nach Projektphasen:

Phase	Typische Dauer (Legacy-IGA)
Discovery & Scoping	4-8 Wochen
Connector-Entwicklung & Integration	8-24 Wochen
Konfiguration & Workflow-Setup	6-16 Wochen
Testing & UAT	4-12 Wochen
Parallelbetrieb & Cutover	4-8 Wochen
Gesamt	6-18 Monate

Der größte Zeitfresser ist fast immer die Connector-Entwicklung. Legacy-Plattformen bieten zwar vorgefertigte Konnektoren für die gängigsten Apps - aber die Realität in SaaS-lastigen Unternehmen sieht anders aus: Ein erheblicher Teil der genutzten Tools hat keinen nativen Connector, kein SCIM, manchmal nicht einmal eine vollständige API. Jede dieser Lücken bedeutet entweder manuelle Prozesse oder aufwendige Eigenentwicklung.

Warum Projekte ins Stocken geraten

Die häufigsten Gründe für Verzögerungen bei Legacy-IGA-Migrationen:

1. Unvollständige App-Inventur zu Projektbeginn: Niemand weiß genau, wie viele Apps wirklich im Einsatz sind. Shadow-IT, nicht dokumentierte Service-Accounts, OAuth-Berechtigungen - all das taucht erst im Projektverlauf auf.
2. Datenmigration und -bereinigung: Bestehende Identitätsdaten sind selten sauber. Verwaiste Konten, inkonsistente Rollenzuweisungen, fehlende Attribute - die Bereinigung dauert länger als erwartet.
3. Stakeholder-Alignment: Access-Reviews und Policy-Definitionen erfordern Entscheidungen aus den Fachbereichen. Diese Entscheidungen kommen selten schnell.
4. Connector-Engpässe: Wenn der Anbieter für individuelle Konnektoren Wochen oder Monate braucht, blockiert das den gesamten Projektfortschritt.
5. Parallelbetrieb zieht sich: Der geplante Cutover-Termin wird verschoben - und mit ihm die doppelten Betriebskosten.

---

Die Migrationsfallen, vor denen niemand warnt

Falle 1: Die "wir migrieren nur die kritischen Apps"-Strategie

Viele Projekte starten mit einem reduzierten Scope: Erst die wichtigsten 10-15 Apps, der Rest kommt in Phase 2. Das klingt pragmatisch - und führt fast immer dazu, dass Phase 2 nie kommt. Das Ergebnis: ein teures neues System, das nur einen Bruchteil der Applikationslandschaft abdeckt, während der Rest weiterhin manuell verwaltet wird.

Falle 2: SCIM als Vollständigkeitsversprechen

Viele moderne IGA-Tools positionieren sich als "SCIM-basiert" und suggerieren damit vollständige Abdeckung. Die Realität: SCIM deckt typischerweise 30-50 % der Apps in einem mittelgroßen Unternehmen ab. Der Rest - Eigenentwicklungen, Legacy-Systeme, Long-Tail-SaaS ohne SCIM-Support - bleibt außen vor. Wer das nicht vor Vertragsabschluss klärt, kauft eine Teillösung zum Vollpreis.

Falle 3: Feingranulare Zugriffskontrolle als Nachgedanke

SCIM-basierte Provisionierung arbeitet auf Gruppen- und Rollenebene. Wer feingranulare Zugriffskontrolle braucht - also Berechtigungen auf Kanal-, Repository- oder Projektebene - stellt oft fest, dass das neue System das nicht kann. Oder nur mit erheblichem Customizing-Aufwand.

Falle 4: Der Audit-Trail-Gap

Während der Migration gibt es typischerweise eine Phase, in der weder das alte noch das neue System einen vollständigen Audit-Trail liefert. Für Unternehmen, die sich auf SOC 2 Type II oder ISO 27001 vorbereiten, ist das ein ernstes Risiko. Revisionssichere Belege müssen lückenlos sein - auch während eines Systemwechsels.

Falle 5: Die unterschätzte Offboarding-Lücke

Onboarding-Automatisierung ist das, was Anbieter in Demos zeigen. Offboarding ist das, was in der Praxis schiefgeht. Wenn ein Mitarbeitender das Unternehmen verlässt und das neue System noch nicht vollständig produktiv ist, entstehen veraltete Zugriffe und verwaiste Konten - genau das, was die Migration eigentlich verhindern sollte.

---

Wie moderne Plattformen die Migrationskosten komprimieren

Der strukturelle Unterschied zwischen Legacy-IGA und modernen Connector-basierten Plattformen liegt nicht nur in der Benutzeroberfläche - er liegt in der Architektur.

Plattformen wie Iden sind darauf ausgelegt, ohne monatelange Implementierungsprojekte produktiv zu werden. Das hat konkrete Auswirkungen auf Kosten und Zeitplan:

180+ Konnektoren direkt verfügbar - ohne Enterprise-Upgrade, ohne SCIM-Steuer / SCIM-Aufschläge. Das bedeutet: Der größte Zeitfresser bei Legacy-Migrationen - die Connector-Entwicklung - entfällt weitgehend.

Individuelle Konnektoren in 48 Stunden - für Apps, die nicht im Standard-Katalog sind. Kein wochenlanger Entwicklungsaufwand, kein Blockieren des Gesamtprojekts.

Go-Live in ~24 Stunden statt in Monaten - weil die Plattform für schlanke IT-Teams gebaut ist, nicht für dedizierte IAM-Funktionen mit externen Beratern.

Kein Parallelbetrieb über Monate - weil der Cutover schnell geht, reduzieren sich die Kosten für den Doppelbetrieb erheblich.

Feingranulare Zugriffskontrolle ohne Customizing - Berechtigungen auf Kanal-, Repository- und Projektebene sind Teil der Plattform, nicht ein teures Add-on.

Das bedeutet nicht, dass jede Migration trivial ist. Datenmigration, Stakeholder-Alignment und Policy-Definitionen brauchen immer Zeit. Aber der strukturelle Enterprise-Overhead - Connector-Entwicklung, Beratereinsatz, Parallelbetrieb - lässt sich mit der richtigen Plattformwahl erheblich reduzieren.

---

Was ein realistischer Kostenvergleich zeigt

Für ein Unternehmen mit 1.000 Mitarbeitenden und 60 Apps im Stack:

Kostenblock	Legacy-IGA (typisch)	Moderne Connector-Plattform
Lizenz (Jahr 1)	80.000-150.000 €	30.000-60.000 €
Implementierung / Beratung	100.000-250.000 €	0-20.000 €
Interne Personalkosten	50.000-100.000 €	10.000-25.000 €
Parallelbetrieb	20.000-50.000 €	< 5.000 €
Gesamt Jahr 1	250.000-550.000 €	40.000-110.000 €

Diese Zahlen sind Richtwerte, keine Garantien. Aber sie zeigen die Größenordnung des Unterschieds - und warum die Lizenzkosten allein ein schlechter Vergleichsmaßstab sind.

---

Die praktische Checkliste für den Anbieterwechsel

Bevor Sie einen Vertrag unterschreiben, sollten Sie diese Fragen beantwortet haben:

• App-Abdeckung: Wie viele Ihrer Apps sind im Standard-Connector-Katalog? Was passiert mit den anderen?
• SCIM-Abhängigkeit: Welche Funktionen setzen SCIM voraus? Was kostet die Anbindung von Apps ohne SCIM?
• Feingranulare Zugriffskontrolle: Kann die Plattform Berechtigungen unterhalb der Gruppen-/Rollenebene verwalten?
• Connector-Entwicklungszeit: Wie lange dauert ein individueller Konnektor? Wer entwickelt ihn - Anbieter oder Partner?
• Implementierungsaufwand: Wie viele externe Beratertage sind realistisch notwendig? Wer trägt diese Kosten?
• Audit-Trail-Kontinuität: Wie wird der Audit-Trail während der Migration sichergestellt?
• Offboarding-Abdeckung: Ist Offboarding-Automatisierung ab Tag 1 vollständig verfügbar - für alle Apps?
• Parallelbetrieb: Wie lange müssen beide Systeme gleichzeitig betrieben werden?
• Total Cost of Ownership: Was kostet das System in Jahr 1, Jahr 2 und Jahr 3 - inklusive aller Aufschläge?

---

Fazit: Der Wechsel lohnt sich - wenn Sie die richtigen Fragen stellen

Legacy-IGA-Systeme sind nicht nur teuer in der Anschaffung. Sie sind teuer im Betrieb, teuer in der Migration und teuer in den Lücken, die sie hinterlassen. Wer heute wechselt, hat die Chance, nicht nur Kosten zu senken, sondern auch die strukturellen Probleme zu lösen, die Legacy-Plattformen nie wirklich adressiert haben: unvollständige App-Abdeckung, fehlende feingranulare Zugriffskontrolle, manueller Aufwand für alles jenseits von SCIM.

Die entscheidende Frage ist nicht "Können wir uns den Wechsel leisten?" - sondern "Können wir uns leisten, noch länger auf dem alten System zu bleiben?"

Wenn Sie gerade Angebote vergleichen und wissen wollen, wie Iden in Ihrer konkreten Applikationslandschaft abschneidet: Demo vereinbaren - wir zeigen Ihnen die Abdeckung für Ihren Stack, nicht für einen Musterkunden.