IT-Wissen · IT-Sicherheit

it-sa Expo 2026: Welche Sicherheitsfragen sich für KMU aus dem Programm ableiten lassen

Kurz zusammengefasst: Die it-sa Expo 2026 kann kleinen Unternehmen und dem Mittelstand als strukturierter Prüfrahmen dienen. Entscheidend ist nicht, möglichst viele Sicherheitsprodukte kennenzulernen, sondern die Themen des Programms in konkrete Fragen zu Identitäten, Cloud-Diensten, KI, Ransomware, Lieferketten und Notfallprozessen zu übersetzen. So entsteht eine belastbare Grundlage für eigene Prioritäten und Investitionsentscheidungen.

Warum das Programm für KMU mehr ist als ein Veranstaltungshinweis

Die it-sa Expo&Congress findet vom 27. bis 29. Oktober 2026 in Nürnberg statt und wird vor Ort sowie online angeboten. Das offizielle Programm und die Veranstaltungsinformationen nennen unter anderem Cloud-Security, künstliche Intelligenz, Ransomware, Datensicherheit, digitale Souveränität, Resilienz sowie Identitäts- und Zugriffsschutz.

Für KMU liegt der praktische Nutzen nicht darin, möglichst viele Fachbegriffe zu sammeln. Wertvoller ist die Übersetzung der Themen in konkrete Fragen zum eigenen Betrieb: Welche Systeme sind geschäftskritisch? Wer darf worauf zugreifen? Welche Daten werden an externe Dienste übermittelt? Welche Abhängigkeiten bestehen? Und wie kann das Unternehmen bei einem Sicherheitsvorfall handlungsfähig bleiben?

Ein Messeprogramm ersetzt keine Sicherheitsanalyse. Es kann aber eine gute Struktur für eine eigene Prüfagenda liefern. Anbieter sollten nicht nur nach Funktionen gefragt werden, sondern auch nach Betriebsverantwortung, Nachweisen, Wiederherstellbarkeit, Abhängigkeiten und dem geordneten Ausstieg aus einer Lösung.

1. Identitäten und Zugriffe: Wer kann was wirklich nutzen?

Aus den Themenfeldern Identitätsmanagement, Zugriffsschutz und Cyberabwehr lässt sich für KMU eine grundlegende Prüfstrecke ableiten. Für die Aussage, dass Angriffe häufig bestimmte Kontotypen oder Schnittstellen betreffen, liegt in den herangezogenen Quellen keine ausreichende Grundlage für eine allgemeine Häufigkeitsbehauptung vor. Als vorsichtiger Praxishinweis ist es dennoch sinnvoll, Benutzerkonten, privilegierte Zugänge und externe Schnittstellen gesondert zu betrachten.

Zuerst sollte das Unternehmen alle wichtigen Zugänge erfassen: Microsoft-365- oder andere Cloud-Konten, Fernwartung, VPN, Branchensoftware, Administrationskonten und Zugänge von Dienstleistern. Danach ist zu prüfen, ob Mehr-Faktor-Authentisierung für alle relevanten Konten eingesetzt wird, ob privilegierte Konten getrennt geführt werden und ob ausgeschiedene Personen sowie nicht mehr benötigte Dienstleisterzugänge zeitnah entzogen werden.

Die NIS2-Richtlinie nennt unter anderem Zugriffskontrollmaßnahmen, Asset-Management und – soweit angemessen – Mehr-Faktor-Authentisierung als Bestandteile des Risikomanagements für die in ihren Anwendungsbereich fallenden Einrichtungen. Daraus folgt keine pauschale Aussage, dass jedes KMU unmittelbar NIS2-pflichtig ist.

Die entscheidende Frage lautet: Kann das Unternehmen nachvollziehbar zeigen, welche Identität auf welche Ressource zugreifen darf, warum dieser Zugriff erforderlich ist und wie Ausnahmen kontrolliert werden?

Konkrete Prüffragen sind:

• Sind besonders schützenswerte Konten durch Mehr-Faktor-Authentisierung abgesichert?
• Gibt es eine regelmäßige Überprüfung von Rollen, Gruppen und Administrationsrechten?
• Wer genehmigt externe Zugriffe, und wie werden sie protokolliert und beendet?

2. KI und Cloud: Welche Daten verlassen den eigenen Kontrollbereich?

Künstliche Intelligenz kann die Bearbeitung von Dokumenten, Supportanfragen oder Sicherheitsmeldungen unterstützen. Für KMU entsteht daraus zuerst eine Governance-Aufgabe. Bevor Mitarbeitende interne Informationen in ein KI-System eingeben, muss geklärt sein, welche Daten verarbeitet werden, zu welchem Zweck, in welcher Umgebung und mit welchen Aufbewahrungs- und Löschregeln.

Das gilt auch für Cloud-Dienste insgesamt. Zu prüfen sind Anbieter, Mandantentrennung, Berechtigungen, Protokollierung, Schnittstellen und die Frage, welche Verantwortlichkeiten beim Unternehmen verbleiben. Ein Vertrag mit einem Cloud- oder IT-Dienstleister legt Verantwortlichkeiten und Leistungen fest; aus dem bloßen Einsatz eines Dienstleisters lässt sich nicht ableiten, dass sämtliche Aufgaben des Unternehmens entfallen. Die konkrete Zuständigkeit muss anhand von Vertrag, Konfiguration und Betriebsmodell geprüft werden.

Die NIS2-Richtlinie berücksichtigt ausdrücklich Risiken in Beziehungen zu direkten Lieferanten und Dienstleistern. Für Unternehmen außerhalb ihres Anwendungsbereichs bleibt die Prüfung von Abhängigkeiten und Zuständigkeiten trotzdem ein sinnvoller Praxishinweis.

Eine sachliche KI-Regelung sollte freigegebene Anwendungsfälle, Datenklassen und Prüfschritte definieren. Ein pauschales Verbot löst die Fragen nicht. Ebenso wenig genügt die Aussage, dass ein Dienst grundsätzlich sicher sei.

• Welche Datenklassen sind für KI-Anwendungen freigegeben oder ausgeschlossen?
• Kann nachvollzogen werden, wer welches Werkzeug für welchen Geschäftszweck nutzt?
• Wie werden Ausgaben auf Fehler, vertrauliche Inhalte und unzulässige Entscheidungen geprüft?
• Welche Cloud-Dienste sind für den Betrieb kritisch, und wie werden deren Zugänge und Schnittstellen abgesichert?

3. Ransomware und Resilienz: Wie wird aus einem Backup eine Wiederanlaufmöglichkeit?

Ransomware-Schutz besteht nicht nur aus Schadsoftware-Erkennung. Ein KMU muss im Ernstfall auch seine Arbeitsfähigkeit wiederherstellen können. Daraus ergeben sich Fragen zu Backup, Wiederherstellung, Notfallkommunikation und der Priorisierung geschäftskritischer Prozesse.

Die NIS2-Richtlinie nennt für Einrichtungen in ihrem Anwendungsbereich unter anderem Business Continuity, Backup-Management, Disaster Recovery und Krisenmanagement als Bestandteile des Risikomanagements. Sie enthält in diesem Zusammenhang jedoch keine pauschale, für jedes KMU geltende Vorgabe zu einer bestimmten technischen Backup-Trennung, festen Wiederherstellungstest-Intervallen oder einem einheitlichen Notfallplan.

Als allgemeiner Praxishinweis sollte ein Unternehmen seine Wiederherstellungsziele für zentrale Systeme festlegen, die Sicherungen gegen unbefugte Änderung und Löschung schützen und Wiederherstellungen praktisch testen. Ein vorhandener Backup-Job ist kein Beleg dafür, dass Daten vollständig, unverändert und innerhalb eines akzeptablen Zeitraums wiederhergestellt werden können.

Für die wichtigsten Abläufe sollte ein kurzer Notfallplan vorhanden sein, der auch ohne Zugriff auf die normale IT-Umgebung erreichbar ist. Zuständigkeiten, Eskalationswege und Kommunikationsvorlagen sollten bekannt sein. Die konkrete Ausgestaltung hängt von Geschäftsmodell, Systemlandschaft und Risikoanalyse ab.

• Welche drei Geschäftsprozesse müssen zuerst wieder funktionieren?
• Wann wurde die Wiederherstellung zuletzt praktisch getestet und dokumentiert?
• Sind Backups gegen unbefugte Änderung und Löschung angemessen geschützt?
• Wer entscheidet bei einem Ransomware-Verdacht über Isolation, Kommunikation und Wiederanlauf?

4. Lieferkette, Regulierung und Vorfälle: Wo endet die eigene Kontrolle?

KMU beziehen viele sicherheitsrelevante Leistungen von IT-Systemhäusern, Cloud-Anbietern, Softwareherstellern, Hosting-Partnern und spezialisierten Dienstleistern. Das reduziert den eigenen Betriebsaufwand, verlagert die Verantwortung für die eigene Risiko- und Notfallorganisation aber nicht automatisch vollständig nach außen.

Aus dem Fokus auf digitale Souveränität, Lieferkettensicherheit und IT-Regulierung folgt die Frage, welche Abhängigkeiten tatsächlich bestehen. Für jeden kritischen Dienst sollten Ansprechpartner, technische Abhängigkeiten, Datenarten, Notfallverfahren und vertragliche Regelungen bekannt sein. Dazu gehören auch Benachrichtigungswege bei Sicherheitsvorfällen und die Möglichkeit, Zugriffe oder Dienste geordnet zu ersetzen.

Die NIS2-Richtlinie sieht für Einrichtungen in ihrem Anwendungsbereich Risikomanagementmaßnahmen unter anderem für Lieferkettensicherheit, Vorfallbearbeitung und Geschäftskontinuität vor. Ob und in welchem Umfang ein konkretes Unternehmen direkt betroffen ist, hängt jedoch von Branche, Größe, Rolle in der Lieferkette und den anwendbaren nationalen Regelungen ab. Eine allgemeine Messeaussage ersetzt deshalb keine Einzelfallprüfung.

Unabhängig von einer unmittelbaren gesetzlichen Einordnung bleibt ein sauberer Vorfallprozess sinnvoll: Ereignisse erfassen, Beweise sichern, Entscheidungen dokumentieren, den Wiederanlauf koordinieren und anschließend Maßnahmen nachhalten.

• Welche externen Dienste würden den Betrieb unmittelbar beeinträchtigen, wenn sie ausfallen?
• Welche Nachweise und Meldewege sind vertraglich tatsächlich vereinbart?
• Kann ein kritischer Dienst im Notfall geordnet ersetzt oder überbrückt werden?
• Wer ist während und außerhalb der Geschäftszeiten entscheidungsbefugt?

Vom Messeprogramm zur eigenen Prüfagenda

Ein sinnvoller Messebesuch beginnt mit einer kurzen Liste offener Sicherheitsfragen. Dazu gehören die wichtigsten Geschäftsprozesse, die kritischsten Konten, die größten Abhängigkeiten und die zuletzt festgestellten Schwachstellen. Anbieter sollten diese Punkte an konkreten Szenarien beantworten: Was wird geschützt, wie wird es betrieben, welche Voraussetzungen bestehen und wie wird die Wirksamkeit überprüft?

Nach Gesprächen sollten KMU keine Produktentscheidung allein aus einer Vorführung ableiten. Besser ist eine kleine Bewertungsmatrix mit Anforderungen, Integrationsaufwand, laufender Verantwortung, Nachweisen, Wiederherstellbarkeit und Exit-Möglichkeit. Der vom BSI beschriebene CyberRisikoCheck nach DIN SPEC 27076 kann dabei als Orientierung für eine strukturierte Bestandsaufnahme bei kleinen und mittleren Unternehmen dienen.

So wird aus dem Messeprogramm eine praktische Entscheidungsgrundlage: zuerst kritische Prozesse und Zugänge erfassen, danach Risiken priorisieren, anschließend Maßnahmen testen und Verantwortlichkeiten verbindlich festlegen.

Beispiel aus der Praxis

Beispiel: Ein mittelständischer Betrieb mit Microsoft 365, einer Warenwirtschaft in der Cloud und einem externen IT-Dienstleister stellt fest, dass die wichtigsten Sicherheitsfragen nicht beim Virenschutz beginnen. Zuerst wird erfasst, welche Administrationskonten existieren, ob alle privilegierten Zugänge Mehr-Faktor-Authentisierung nutzen und welche Dienstleisterrechte noch benötigt werden. Anschließend testet das Unternehmen die Wiederherstellung eines geschäftskritischen Datensatzes, dokumentiert die ersten Schritte bei einem Ransomware-Verdacht und prüft, wie der Cloud-Anbieter Sicherheitsvorfälle meldet. Das Ergebnis ist keine pauschale Produktempfehlung, sondern eine priorisierte Liste aus Zugriffsbereinigung, Wiederherstellungstest und verbindlichem Notfallkontakt.

Chancen für Unternehmen

• Das Programm kann helfen, Sicherheitsgespräche von einzelnen Produkten auf konkrete Geschäftsrisiken zu lenken.
• KMU können Anforderungen an Identitäten, KI-Nutzung, Cloud-Dienste, Backups, Dienstleister und Vorfallprozesse in einer gemeinsamen Prüfliste bündeln.
• Gespräche mit mehreren Anbietern ermöglichen einen strukturierten Vergleich von Betriebsmodell, Nachweisen, Verantwortlichkeiten und Integrationsaufwand.
• Die Themen eignen sich als Grundlage für einen abgestimmten Maßnahmenplan zwischen Geschäftsführung, IT und externen Dienstleistern.

Grenzen und Prüfpunkte

• Ein Messeprogramm ersetzt keine Bestandsaufnahme, Risikoanalyse oder rechtliche Einzelfallprüfung.
• Produktvorführungen und Herstellerangaben belegen nicht automatisch die Sicherheit der konkreten eigenen Konfiguration.
• Nicht jede regulatorische Anforderung gilt für jedes KMU; die Anwendbarkeit muss anhand von Branche, Größe und Lieferkettenrolle geprüft werden.
• Ohne dokumentierte Wiederherstellungstests, Berechtigungsprüfungen und Notfallübungen bleibt die tatsächliche Resilienz nur eingeschränkt belegbar.