it-sa 2026: Unser Messe-Nachbericht

Am Donnerstagabend schließt eine Messe, und am Freitagmorgen beginnt das, was über ihren Wert entscheidet: die Nachbereitung. Kein Gespräch auf einer Fachmesse ist ein Ergebnis. Es ist ein Anfang, der in den folgenden zwei Wochen entweder aufgegriffen wird oder verfällt.

Die it-sa Expo&Congress 2026 im Messezentrum Nürnberg liegt hinter uns. Das German Center for CyberSecurity e.V. (GC4C) war vom 27. bis 29. Oktober alle drei Tage vor Ort – ohne Produkt, ohne Angebot, mit einer Frage: Mit wem müssten Sie eigentlich längst mal geredet haben, über Cybersicherheit?

Womit wir nach Nürnberg gefahren sind

Wir sind mit drei Themen angereist, und es lohnt sich, sie vor den Erkenntnissen noch einmal zu nennen – denn an ihnen lässt sich messen, was die drei Tage gebracht haben.

Mitgliedschaft. Das GC4C wurde am 26. August 2025 von neun Gründungsmitgliedern gegründet und ist ein eingetragener, gemeinnütziger Verein mit Sitz in Berlin. Für Anbieter und Fachleute ist die Mitgliedschaft kein Marketingkanal, sondern ein Umfeld, in dem Wettbewerber zusammenarbeiten können, ohne fremden Umsatz zu stärken. Wie das konkret funktioniert, lässt sich in fünf Minuten am Stand kaum erklären – in einem ruhigen Messegespräch schon.

Lotsen. Der Mittelstand steht vor einem unübersichtlichen Markt und hat niemanden, der ihn neutral sortiert: Behörden dürfen keine Dienstleister empfehlen, Anbieter sind naturgemäß nicht unabhängig. Unsere CyberSec-Lotsen schließen genau diese Lücke – Orientierung vor der ersten Kaufentscheidung.

Kooperation. Cyberkriminalität ist arbeitsteilig organisiert, ihre Abwehr in Deutschland häufig nicht. Deshalb suchen wir gezielt das Gespräch mit Sicherheitsbehörden, Kammern und Mittelstandsverbänden – dort, wo Lagewissen und Zugang zum Mittelstand zusammenkommen könnten, es bisher aber zu selten tun.

Drei Tage it-sa

Ein gemeinsames Engagement mit 8 GC4C-Mitgliedern vor Ort, eine Vielzahl von Gesprächen während und am Rande der Messe, – mit Anbietern, Anwenderinnen und Anwendern, Behördenvertretern und alten Bekannten aus dem Netzwerk.

Ein klarer übergreifender Eindruck: Das Bedürfnis nach Orientierung war selten so groß wie heute.

Drei Erkenntnisse aus den Gesprächen

Wir haben uns vorgenommen, aus drei Messetagen nicht dreißig Eindrücke mitzunehmen, sondern drei Erkenntnisse, die unsere Arbeit im kommenden Jahr tatsächlich verändern.

1. Herausforderung ORIENTIERUNG – wer die Wahl hat, hat die Qual. Eine mengenmäßige Wucht an sicher tollen Lösungen, Anbietern, Buzzwords, etc. Aber am Ende steht die Frage „Und was machen wir jetzt konkret damit?“

Dies war vor dem Hintergrund der unglaublichen Menge an Ausstellern die hauptsächliche Reaktion der Gesprächspartner. Gleichwohl wurde die it-sa seitens der Experten auch gerne als Klassentreffen der Security-Gemeinde bezeichnet.

Für uns folgt daraus, dass wir nicht nur das passende Gespür für dieses Thema hatten – es liegt ja tatsächlich auch auf der Hand – aber dass wir hier einen besonderen Fokus in unserer Arbeit gemeinsam mit unseren Mitgliedern und Kooperationspartnern legen müssen. Praktikabel und vor allem verständlich für den Mittelstand!

2. Eine Menge VERUNSICHERUNG im Mittelstand – Regulatorik & Compliance, NIS-2, ganz aktuell jetzt CRA, die Bedeutung von AI für CyberAttack & CyberSec und eine erkennbar wachsende wahrnehmbare Bedrohungslage.

Die Vielfalt an Regulatorik, mit zum Teil auch einigen bis vielen Überschneidungen, ist für viele Unternehmen nur schwer zu verstehen oder zu durchschauen. In dem was sie bewirken sollen eigentlich sinnvoll und gut gemeint, führen all diese Vorschriften recht häufig zu einer schlichten Überforderung der Unternehmer und Unternehmerinnen. Insbesondere wenn es auf der Ebene der Geschäftsführung ankommt, wo die Verantwortung für CyberSecurity als Business-relevantes Thema tatsächlich hingehört, vermischen sich Regularien schnell mit einem Verständnis „Ist alles nur Bürokratie“. Nachvollziehbar irgendwie, aber gefährlich zugleich, sieht man auf die Nachrichtenlage über stetig zunehmender Cyber Attacken.

Für uns folgt daraus, dass es Guidance durch den Dschungel der Vorschriften braucht, gepaart mit Aufklärung und Sinnvermittlung. Nicht zuletzt aber, dass gerade hier das Richtige und wirklich Notwendige für das individuelle Unternehmen im Vordergrund stehen muss, und nicht eine Goldrand-Lösung die komplett oversized ist. Das ist in erster Linie eine Haltungsfrage, gepaart mit der notwendigen Kompetenz bei den Anbietern. Dies im Rahmen der zwei strategischen Säulen Mindset und Qualitätssicherung für Schutz suchende Unternehmen so gut wie möglich sicherzustellen, muss unser Fokus sein!

3. NEUGIER an der Rolle der unabhängigen „Cyber Security Lotsen“, so wie wir sie bei der GC4C definiert haben, und dem „WHY“, „HOW“ & „WHAT“ des German Center for CyberSecurity e.V. (GC4C)

Die Darstellung unseres Vereins, seines Ursprungs im German Competence Center against CyberCrime (G4C), welches auf eine Initiative des BKA und BSI zurück ging, die Mission die wir verfolgen und insbesondere unsere Überlegungen WAS es dafür braucht und WIE wir es umsetzen wollen, hat uns viele aufmerksame Gesprächspartner und zustimmendes Kopfnicken beschert. Wir sind dankbar für dieses Feedback!

Für uns folgt daraus, unser Vereinskonzept mit klarem Blick nach vorne genauso weiterzuverfolgen, jedoch ständig im Dialog und auf Augenhöhe mit den Akteuren, in der Überzeugung „Sicherheit gibt es nur gemeinsam!“

Warum ein gemeinnütziger Verein auf Messen geht

Diese Frage wurde uns in Nürnberg mehrfach gestellt, und sie ist berechtigt. Auf einer Fachmesse haben fast alle Anwesenden etwas zu verkaufen; wir haben nichts. Als gemeinnütziger Verein vermitteln wir keine Aufträge gegen Provision und empfehlen keine einzelnen Anbieter – Unabhängigkeit ist der erste unserer fünf Grundsätze der Identität.

Der Grund für unsere Präsenz liegt in der vierten strategischen Säule: Orchestrierung. Deutschland liegt laut dem Sicherheitstacho der Deutschen Telekom auf Platz 2 der weltweit meistangegriffenen Länder, 80 Prozent der angezeigten Angriffe treffen kleine und mittlere Unternehmen (KMU), und 83 Prozent aller deutschen Unternehmen haben weniger als zehn Mitarbeitende. Diese Betriebe erreicht man nicht mit einer weiteren Fachveranstaltung, sondern über Verbindungen – zu Anbietern, zu Kammern und Verbänden, zu Behörden. Solche Verbindungen entstehen dort, wo alle Beteiligten gleichzeitig am selben Ort sind. Drei Tage im Jahr ist das die it-sa.

Wie es jetzt weitergeht

Für alle, mit denen wir in Nürnberg gesprochen haben: Die zugesagten Unterlagen und Folgetermine gehen in den kommenden Tagen heraus. Falls etwas untergegangen ist – auf einer Messe passiert das –, melden Sie sich bitte kurz bei uns, wir holen es nach.

Für Unternehmen, die eine Mitgliedschaft prüfen: Wir nehmen uns für dieses Gespräch bewusst mehr Zeit, als eine Messe hergibt. Für Betriebe mit Orientierungsbedarf: Der Kontakt zu einem unabhängigen CyberSec-Lotsen läuft weiter, unabhängig von Messeterminen. Und für Behörden, Kammern und Verbände: Die begonnenen Kooperationsgespräche setzen wir in den kommenden Wochen fort.

Wer das Gespräch in Nürnberg verpasst hat, hat nichts Grundsätzliches verpasst. Unser Netzwerk steht das ganze Jahr offen – die Messe war nur der Ort, an dem es für drei Tage besonders sichtbar wurde.

Danke an alle, die sich Zeit für uns genommen haben.

Und ein herzliches Dankeschön an den GENOVERBAND, AWADO Gruppe mit der CALPANA Business Consulting GmbH, auf deren Stand wir unsere Präsenz zeigen und dem GC4C auch ein oder mehrere Gesichter geben durften.