IT-Wissen · IT-Sicherheit

it-sa Expo 2026 für KMU: Sicherheitslösungen anhand konkreter Beschaffungsfragen vergleichen

Kurz zusammengefasst: Die it-sa Expo 2026 bietet kleinen Unternehmen und dem Mittelstand einen konzentrierten Zugang zu IT-Sicherheitsanbietern und Fachinformationen. Der eigentliche Nutzen entsteht jedoch erst, wenn Gespräche am Messestand in nachvollziehbare Beschaffungsentscheidungen übersetzt werden. Dieser Artikel zeigt, wie Unternehmen Sicherheitslösungen anhand konkreter Fragen zu Schutzbedarf, Leistungsumfang, Betrieb, Verantwortlichkeiten, Datenverarbeitung, Reaktion auf Vorfälle und langfristigen Kosten vergleichen.

Warum die it-sa 2026 für KMU relevant ist

Die it-sa Expo&Congress findet vom 27. bis 29. Oktober 2026 in Nürnberg sowie online statt. Sie bündelt Anbieter, Fachforen und Gespräche rund um IT-Sicherheit. Für KMU ist das vor allem dann nützlich, wenn bereits eine konkrete Beschaffungsfrage besteht: etwa zur Absicherung von Microsoft-365-Arbeitsplätzen, zur Überwachung von Netzwerken, zur Datensicherung oder zur Unterstützung bei Sicherheitsvorfällen.

Ein Messebesuch ersetzt keine Risikoanalyse und keine Ausschreibung. Er kann aber die Marktsondierung deutlich strukturieren. Statt sich von Produktnamen, Funktionslisten oder allgemeinen Versprechen leiten zu lassen, sollte ein Unternehmen dieselben Fragen an mehrere Anbieter stellen und die Antworten dokumentieren. So wird aus einem Rundgang eine belastbare Vorauswahl.

• Welche Geschäftsprozesse müssen geschützt werden?
• Welche Folgen hätte ein Ausfall, Datenverlust oder unberechtigter Zugriff?
• Welche Aufgaben übernimmt der Anbieter konkret und welche verbleiben beim Unternehmen?
• Wie werden Wirksamkeit, Reaktionszeit und laufender Betrieb nach Vertragsbeginn überprüft?

Vom Schutzbedarf zur Beschaffungsfrage

Der erste Schritt ist die Beschreibung des eigenen Schutzbedarfs. Das BSI stellt für KMU den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit in den Mittelpunkt. Für die Beschaffung bedeutet das: Nicht die technisch umfangreichste Lösung ist automatisch die passende. Entscheidend ist, welche Risiken für die eigenen Abläufe relevant sind und welches Sicherheitsniveau angemessen ist.

Formulieren Sie deshalb vor dem Messebesuch drei bis fünf konkrete Szenarien. Beispiele sind ein kompromittiertes E-Mail-Konto, ein verschlüsselter Dateiserver, ein verlorenes Notebook oder ein Ausfall eines Cloud-Dienstes. Zu jedem Szenario gehören die betroffenen Systeme, die maximal tolerierbare Unterbrechung, die benötigten Daten und die Frage, wer im Ernstfall handeln muss.

Eine gute Beschaffungsfrage verbindet das Szenario mit einem überprüfbaren Leistungsmerkmal. Aus „Bietet Ihre Lösung Schutz vor Ransomware?“ wird beispielsweise: „Wie wird ein verdächtiger Verschlüsselungsvorgang erkannt, wer erhält die Meldung, welche Reaktionszeit gilt und wie wird die Wiederherstellung praktisch getestet?“

• Welche Systeme, Identitäten, Endgeräte und Daten werden tatsächlich abgedeckt?
• Welche Voraussetzungen müssen erfüllt sein, etwa aktuelle Betriebssysteme, Agenten, Schnittstellen oder Administrationsrechte?
• Welche Schutzfunktionen sind enthalten und welche werden separat berechnet?
• Welche Einschränkungen gelten bei mobilen Geräten, Niederlassungen, Homeoffice oder gemischten Umgebungen?

Anbieter anhand einheitlicher Fragen vergleichen

Für einen fairen Vergleich sollte jedes Gespräch mit demselben Fragenkatalog geführt werden. Die Antworten werden nicht nur als Ja oder Nein erfasst, sondern mit Nachweis, Geltungsbereich und Betriebsverantwortung. Eine Funktion ohne nachvollziehbaren Ablauf ist für die Entscheidung nur eingeschränkt aussagekräftig.

Beim Leistungsumfang sollten Sie nach Erkennung, Prävention, Protokollierung und Reaktion unterscheiden. Fragen Sie, welche Ereignisse automatisch verarbeitet werden, welche Entscheidungen ein Mensch treffen muss und ob der Anbieter nur Software liefert oder auch Überwachung und Eskalation übernimmt. Bei Managed Services ist außerdem die Abgrenzung zwischen Regelbetrieb, Bereitschaft und Notfallunterstützung wichtig.

ENISA empfiehlt für die Beschaffung von Cloud-Diensten, Sicherheitsrisiken und Chancen mit gezielten Fragen an den Anbieter zu verknüpfen. Dieses Prinzip lässt sich auch auf andere Sicherheitslösungen übertragen: Die Anforderungen werden aus dem eigenen Risiko abgeleitet und anschließend mit konkreten Anbieterantworten geprüft.

• Wie werden Sicherheitsereignisse erkannt, priorisiert und eskaliert?
• Wer arbeitet außerhalb der Geschäftszeiten an einem Vorfall?
• Welche Protokolle und Berichte erhält das Unternehmen regelmäßig?
• Kann der Anbieter die Leistung in einer kontrollierten Demonstration oder einem Pilotbetrieb nachweisen?
• Welche Daten werden verarbeitet, wo werden sie gespeichert und wer kann darauf zugreifen?

Betrieb, Vertrag und Nachweise gehören in den Vergleich

Eine Sicherheitslösung ist nicht mit der Installation abgeschlossen. Für KMU sind laufende Aufwände oft entscheidender als die reine Lizenzfunktion. Prüfen Sie deshalb Einführungsaufwand, Schulung, Pflege, Aktualisierung, Alarmbearbeitung, Vertretungsregelung und Ausstiegsszenarien.

Bei einem externen Dienstleister müssen Zuständigkeiten klar geregelt sein. Der Vertrag sollte den Leistungsumfang, Rollen und Verantwortlichkeiten, Eskalationswege, Messgrößen und die Behandlung von Sicherheitsvorfällen beschreiben. Fragen Sie außerdem nach Kündigungsfristen, Datenexport, Unterstützung beim Anbieterwechsel und dem Umgang mit nicht mehr unterstützten Komponenten.

Nachweise sind wertvoll, ersetzen aber keine Prüfung des konkreten Einsatzes. Lassen Sie sich erklären, worauf Zertifizierungen, Prüfberichte oder unabhängige Bewertungen tatsächlich bezogen sind. Ein Nachweis für den Anbieter oder eine Plattform gilt nicht automatisch für jede Konfiguration und jeden gebuchten Leistungsumfang.

• Welche einmaligen und wiederkehrenden Kosten entstehen einschließlich Migration, Schulung und Support?
• Welche Servicezeiten und verbindlichen Reaktionszeiten gelten?
• Welche Leistungen sind ausdrücklich ausgeschlossen?
• Wie werden Schwachstellen, Patches und Produktänderungen behandelt?
• Wie kann das Unternehmen Daten und Konfigurationen bei Vertragsende zurückerhalten?
• Welche Nachweise werden vor Vertragsabschluss und während der Laufzeit bereitgestellt?

Ein praktikables Bewertungsraster für den Messebesuch

Bewerten Sie Anbieter erst nach dem Gespräch anhand vorher festgelegter Kriterien. Eine einfache Punkteskala kann helfen, darf aber keine Scheingenauigkeit erzeugen. Gewichten Sie die Kriterien nach dem eigenen Schutzbedarf und notieren Sie zu jeder Bewertung die Begründung.

Sinnvolle Hauptkategorien sind fachliche Abdeckung, Integrationsaufwand, Betriebsmodell, Reaktionsfähigkeit, Datenschutz und Vertragsklarheit. Zusätzlich sollte festgehalten werden, ob die Aussage durch Dokumentation, eine Demonstration, einen Pilotbetrieb oder nur durch eine mündliche Beschreibung belegt wurde.

Nach der Messe werden die zwei oder drei passendsten Lösungen in einer eigenen Prüfumgebung oder einem begrenzten Pilotbetrieb betrachtet. Dabei sollten realistische Abläufe getestet werden: Alarmierung, Zuständigkeit, Wiederherstellung, Berichtswesen und die Auswirkungen auf den normalen Arbeitsbetrieb. Erst danach sollte eine Entscheidungsvorlage mit offenen Punkten, Kosten und Risiken erstellt werden.

• Anforderung
• Anbieterantwort
• Nachweis
• Offener Punkt
• Verantwortlicher
• Nächster Prüfschritt

Einordnung von Regulierung und Reifegrad

ENISA hat 2026 ein Reifegradmodell für kleine, mittlere und Kleinstunternehmen veröffentlicht, das unter anderem Governance und Dokumentation, Risikomanagement, Schwachstellen- und Patchmanagement, Produktlebenszyklus sowie Kompetenzen betrachtet. Für die Beschaffung ist daraus vor allem eine praktische Konsequenz wichtig: Die Organisation muss nicht nur ein Produkt auswählen, sondern auch zeigen können, wie Sicherheitsaufgaben dauerhaft gesteuert werden.

Das Modell richtet sich primär an Hersteller und Anbieter von Produkten mit digitalen Elementen. Andere Unternehmen können die Themen dennoch als Prüfraster für ihre Lieferanten und eigenen Prozesse verwenden. Ein hoher Reifegrad ist dabei kein automatischer Nachweis rechtlicher Konformität. Rechtliche Pflichten müssen separat bewertet werden.

Für viele KMU ist daher eine schrittweise Beschaffung sinnvoll. Zuerst werden kritische Lücken geschlossen, anschließend werden Überwachung, Reaktion, Dokumentation und Lieferantensteuerung verbessert. Der Maßstab sollte die tatsächliche Betriebsfähigkeit sein, nicht die Anzahl eingekaufter Funktionen.

• Welche Sicherheitsaufgaben sind intern verbindlich zugeordnet?
• Wie wird der Status regelmäßig überprüft?
• Wie werden Schwachstellen und Vorfälle dokumentiert?
• Welche Fähigkeiten fehlen dauerhaft und sollen durch einen Dienstleister ergänzt werden?

Beispiel aus der Praxis

Beispiel: Ein mittelständischer Produktionsbetrieb möchte drei Angebote für Endpoint-Schutz und ergänzende Überwachung vergleichen. Vor dem Messebesuch beschreibt das Unternehmen zwei Szenarien: ein kompromittiertes Benutzerkonto und die Verschlüsselung gemeinsamer Dateien. Am Stand fragt es bei jedem Anbieter nach der Erkennung, der Alarmierung, der Bearbeitung außerhalb der Geschäftszeit, den benötigten lokalen Komponenten, der Datenverarbeitung und dem Ablauf einer Wiederherstellung. Zusätzlich wird geklärt, ob der Anbieter nur eine Software bereitstellt oder einen überwachten Dienst übernimmt. Nach der Messe werden die Antworten in einem identischen Raster bewertet. Zwei Anbieter erhalten anschließend dieselben Testfälle in einem begrenzten Pilotbetrieb. Entscheidend ist am Ende nicht die längste Funktionsliste, sondern ob Schutzumfang, Zuständigkeiten, Reaktionsweg, Kosten und Ausstieg nachvollziehbar zusammenpassen. Das Beispiel beschreibt ein realistisches Vorgehen, aber keine konkrete Kundenreferenz.

Chancen für Unternehmen

• Die it-sa ermöglicht kurze Vergleichsgespräche mit mehreren Anbietern und kann dadurch die Marktsondierung beschleunigen.
• Ein vorbereiteter Fragenkatalog verbessert die Qualität von Anbieterantworten und macht Unterschiede bei Leistungsumfang und Verantwortlichkeiten sichtbar.
• KMU können technische, organisatorische und vertragliche Aspekte gemeinsam betrachten, statt ausschließlich Produktfunktionen zu vergleichen.
• Ein begrenzter Pilotbetrieb schafft eine bessere Entscheidungsgrundlage als eine reine Präsentation.
• Die strukturierte Dokumentation erleichtert eine spätere Entscheidungsvorlage und die Abstimmung mit Geschäftsleitung, IT und Datenschutz.

Grenzen und Prüfpunkte

• Messegespräche zeigen nur einen Ausschnitt des Marktes und sind keine unabhängige Wirksamkeitsprüfung.
• Demonstrationen laufen häufig unter kontrollierten Bedingungen und können den späteren Betriebsaufwand nicht vollständig abbilden.
• Zertifizierungen und Prüfberichte müssen hinsichtlich Geltungsbereich, Aktualität und konkreter Konfiguration geprüft werden.
• Ein Anbieter kann keine Verantwortung für Aufgaben übernehmen, die vertraglich oder organisatorisch beim Unternehmen verbleiben.
• Regulatorische Einordnung, Datenschutz, individuelle Risikoanalyse und technische Integration müssen separat geprüft werden.
• Preisvergleiche sind ohne einheitlichen Leistungsumfang, Vertragslaufzeit, Servicezeiten und Einführungsaufwand nicht belastbar.