UEM- und MDM-Migration
mit ISEC7 SPHERE
Warum bei einem UEM-Wechsel jedes Gerät umziehen muss
Ein Smartphone kann immer nur in einer UEM-Umgebung registriert sein. Beim Wechsel der Plattform wird jedes Gerät deshalb in der alten Umgebung abgemeldet und in der neuen registriert. Dazwischen liegt eine Lücke: Laut dem Migrationsleitfaden von Microsoft für Intune (Microsoft Learn, aktualisiert im Juni 2026) erhalten abgemeldete Geräte keine Richtlinien, auch keine Schutzrichtlinien, bis sie in der neuen Umgebung registriert sind.
Wellen statt Stichtag
Quell- und Zielplattform laufen eine Zeit lang parallel, und die Geräte ziehen gruppenweise um, beginnend mit einer ersten Welle aus IT und Power-Usern. Microsoft empfiehlt dasselbe: erst eine Pilotgruppe, dann weitere Gruppen.
Die Anwender wählen den Zeitpunkt
Jeder startet den Umzug seines Geräts selbst, in einem Zeitfenster, das zu seinem Arbeitstag passt. Wo es nötig ist, lässt sich die Migration auch erzwingen.
Die IT sieht jeden Stand
Laufende, geplante und abgeschlossene Migrationen stehen in einer Übersicht. Hängt ein Gerät, sehen Sie es und können die Aktivierungs-E-Mail erneut senden.
So steuern Sie die Migration mit ISEC7 SPHERE
ISEC7 SPHERE ist gleichzeitig mit Quell- und Zielumgebung verbunden und führt die Migration über Migrationsprofile: Sie wählen Nutzer oder Nutzergruppen, ordnen sie Wellen zu und legen fest, wann und unter welchen Bedingungen die Migration startet. Durchgeführt wird sie von den Anwendern selbst, im User Self Service oder in der Migrations-App. Das Werkzeug ist dabei kein neues UEM, sondern die Ebene darüber, die den Wechsel zwischen zwei UEM-Plattformen steuert.
Migrationsprofile und Wellen
Je Migration legen Sie Startzeitpunkt, Benachrichtigungs- oder Aktivierungs-E-Mail, Ablauf, Bedingungen und die Zeitintervalle der Wellen fest. Eine Bedingung kann etwa sein, dass der Mitarbeitende zustimmt, bevor die Migration startet.
Self-Service durch die Anwender
Die Anwender lösen den Umzug selbst aus, in der Regel zu einem Zeitpunkt ihrer Wahl. Self-Service-Portal und App führen sie Schritt für Schritt durch den Wechsel, die IT muss nicht jedes Gerät in die Hand nehmen.
Apps für iOS und Android
Die App ISEC7 SPHERE Device Migration gibt es im App Store und bei Google Play. Adresse und Zugangsdaten verteilt Ihr UEM per App-Konfiguration; ohne diese Verteilung fließen keine Migrationsdaten. Logo, Texte und weitere Sprachen stellen Sie auf demselben Weg ein. Ist Microsoft Intune das Ziel, weist die App auf die Profilaktivierung im Company Portal hin, startet das Company Portal und meldet am Ende die erfolgreiche Migration. Das Company Portal muss dafür auf dem Gerät verfügbar sein.
Überblick für die IT
Ampelschema und Dashboards zeigen, welche Migrationen laufen, geplant oder abgeschlossen sind. Berichte exportieren Sie als CSV, Aktivierungs-E-Mails senden Sie bei Bedarf erneut. Eine hängende Migration hinterlässt ein Gerät, das keine Richtlinie mehr erfüllt; in der Übersicht finden Sie es gezielt.
Welche Migrationen ISEC7 SPHERE abdeckt
Neben dem Wechsel der UEM-Plattform deckt das Migrationsmodul drei weitere Fälle ab: den Umzug von Nutzern zwischen Active-Directory-Domänen, den Wechsel der Mailplattform und den Tausch von Geräten. Alle vier folgen demselben Ablauf aus Migrationsprofil, Quell- und Zielumgebung.
Plattformwechsel zwischen UEM-Systemen
Quelle und Ziel müssen beide an ISEC7 SPHERE angebunden sein, die Richtung ist frei. Anbinden lassen sich BlackBerry UEM (On-Premises und Cloud), Ivanti EPMM, Ivanti Neurons for MDM, Omnissa Workspace ONE UEM und Microsoft Intune. Jede Anbindung braucht ein Dienstkonto im jeweiligen System und eine Firewallfreigabe. Jamf ist derzeit nicht angebunden.
Domänenmigration
Ziehen Nutzer in eine neue Active-Directory-Domäne um, migriert ISEC7 SPHERE ihre Konten und Geräte mit. Für Migrationen über mehrere Domänen legen Sie je Domäne ein eigenes Dienstkonto an.
Mailmigration
Auch der Wechsel der Mailplattform läuft über Migrationsprofile, etwa von Exchange im eigenen Rechenzentrum zu Microsoft 365. Profile von ISEC7 MAIL lassen sich ebenfalls migrieren.
Gerätetausch
Bekommen Mitarbeitende ein neues Smartphone, läuft der Umzug nach Profil über Portal oder App, auch in großen Tauschwellen ohne Handgriff der IT an jedem Gerät. Unter Android sichert die App dabei SMS, Anrufliste und lokale Kontakte und stellt sie wieder her, sofern das Gerät im UEM-Modus COBO läuft. In BYOD-Beständen entfällt diese Datenmigration.
Ein verwandter Fall: Acronis Cyber Files bekommt nach dem 31. Dezember 2026 keine Sicherheitsupdates mehr, und Microsoft schaltet NTLM schrittweise ab. Beides betrifft, wie sich Smartphones im eigenen Netz anmelden und an die Dateiablage kommen. Wie ISEC7 dafür Hypergate einführt, lesen Sie auf der Seite zur Hypergate-Migration.
Wie ein Migrationsprojekt mit ISEC7 abläuft
ISEC7 führt Migrationsprojekte in Phasen: erst testen, dann die Produktivumgebung aufbauen, dann in Wellen migrieren. Wie lange das dauert, hängt vor allem von der Zahl der Geräte und der Größe der Wellen ab.
- Proof of Concept: Sie testen das Migrationsmodul vorab in der ISEC7-Testumgebung, begleitet vom ISEC7 Consulting. ISEC7 empfiehlt diesen Schritt immer.
- Produktivumgebung: ISEC7 baut die Umgebung mit Ihnen auf, vorzugsweise in Ihrer eigenen Infrastruktur, auf Wunsch aus der Cloud. Voraussetzung ist die Anbindung an Active Directory oder Entra ID und an die UEM-Systeme.
- Einweisung und Testmigration: Ihr Team lernt das Migrationsmodul kennen. Die erste Migrationskonfiguration und eine Testmigration entstehen gemeinsam.
- Migration in Wellen: Welle 0 mit IT und Power-Usern, danach die übrigen Gruppen.
- Hypercare: ISEC7 kann die Migrationsphase begleiten und den First Level Service übernehmen, wenn Ihnen dafür die Leute fehlen. Der Second Level Support steht immer bereit.
- Betrieb: Wer die neue Umgebung nicht selbst betreiben will, gibt den Betrieb als Managed Service an ISEC7. Mehr dazu unter Endpoint Management.
Zum Weiterlesen
Im Webcast vom 14. Oktober 2025 zeigen ISEC7-Experten den Ablauf mit Live-Demo, aus Sicht der Administration und der Anwender: Aufzeichnung des Webcasts anfordern. Den Hintergrund fasst der Blogbeitrag zur UEM-Migration zusammen. Alle Funktionen der Suite finden Sie auf der Seite zu ISEC7 SPHERE.
Häufige Fragen zur UEM- und MDM-Migration
Wie migriere ich Smartphones von einem UEM auf ein anderes, während sie weiter genutzt werden?
In Wellen: Quell- und Zielplattform laufen eine Zeit lang parallel, und die Geräte ziehen gruppenweise um statt alle an einem Stichtag. ISEC7 steuert diesen Ablauf mit dem Migrationsmodul von ISEC7 SPHERE, das beide Plattformen gleichzeitig angebunden hat. Die Anwender starten den Umzug ihres Geräts selbst, in ihrem Zeitfenster und nach Migrationsprofil, im Self-Service-Portal oder in der Migrations-App für iPhone und Android.
Muss ein Gerät bei einem MDM-Wechsel neu registriert werden?
In der Regel ja. Ein Gerät kann nur in einer UEM-Umgebung gleichzeitig registriert sein, deshalb wird es in der alten abgemeldet und in der neuen registriert. Für Apple-Geräte gibt es ab iOS 26, iPadOS 26 und macOS 26 einen eigenen Weg: Geräte aus Automated Device Enrollment lassen sich über Apple Business zu einem anderen Verwaltungsdienst migrieren, verwaltete Apps und Daten können dabei erhalten bleiben (Apple Platform Deployment, 2026). Ob dieser Weg zu Ihrem Bestand passt, klären wir im Gespräch.
Gehen SMS, Anrufliste und Kontakte beim Gerätewechsel verloren?
Unter Android nicht, wenn das Gerät im UEM-Modus COBO läuft: Die App ISEC7 SPHERE Device Migration sichert SMS, Anrufliste und lokale Kontakte und stellt sie auf dem Zielgerät wieder her. In BYOD-Beständen entfällt diese Datenmigration.
Können wir von Ivanti, Workspace ONE oder BlackBerry UEM zu Microsoft Intune wechseln?
Ja. ISEC7 SPHERE bindet Ivanti EPMM, Ivanti Neurons for MDM, Omnissa Workspace ONE UEM, BlackBerry UEM und Microsoft Intune an, und die Richtung der Migration zwischen zwei angebundenen Systemen ist frei. Quell- und Zielsystem müssen dafür immer beide angebunden sein. Ist Intune das Ziel, muss das Company Portal auf den Geräten verfügbar sein; die Migrations-App startet es und führt die Anwender durch die Profilaktivierung.
Wie behalte ich während der Migration den Überblick über hängende Geräte?
Die Migrationsübersicht von ISEC7 SPHERE zeigt laufende, geplante und abgeschlossene Migrationen mit Ampelschema und Dashboards. Bleibt ein Gerät hängen, senden Sie die Aktivierungs-E-Mail erneut oder sprechen den Anwender direkt an. Den Stand jeder Welle exportieren Sie als CSV-Bericht.
Kann ich Nutzer zwischen Active-Directory-Domänen migrieren?
Ja. Die Cross-Domain-Migration zieht Nutzer und ihre Geräte von einer Domäne in eine andere um, nach demselben Ablauf mit Migrationsprofil und Self-Service wie beim Plattformwechsel. Für Migrationen über mehrere Domänen braucht jede Domäne ein eigenes Dienstkonto.
Kann ich das Migrationswerkzeug vor dem Projekt testen?
Ja. ISEC7 empfiehlt vor jedem Migrationsprojekt einen Proof of Concept in der ISEC7-Testumgebung, begleitet vom ISEC7 Consulting. Die Migrations-App hat zusätzlich einen Demomodus, der ohne Konfiguration läuft.
Wo läuft ISEC7 SPHERE, und was braucht die Installation?
Im eigenen Rechenzentrum auf Windows Server 2016 bis 2025 (64 Bit) mit SQL Server 2016 bis 2022, oder ISEC7 rollt die Umgebung aus der Cloud aus. Voraussetzung ist die Anbindung an Active Directory oder Entra ID und an die UEM-Systeme, jeweils mit Dienstkonto und Firewallfreigabe. Den Check Before Installation Guide erhalten Sie auf Anfrage.
Stand der Angaben: 08.10.2026 · Microsoft Learn, Migrationsleitfaden für Microsoft Intune · Apple, Migration verwalteter Geräte
Planen Sie Ihre UEM-Migration mit ISEC7
Sie wollen die UEM-Plattform wechseln, Nutzer in eine neue Domäne umziehen oder einen Gerätetausch vorbereiten? Schildern Sie uns kurz Ihre Ausgangslage: Quell- und Zielsystem, ungefähre Gerätezahl, iOS oder Android. Wir zeigen Ihnen den Ablauf in einer Demo und besprechen, ob ein Proof of Concept für Sie sinnvoll ist.