# Speaker auf Cybersecurity-Konferenzen: Themen, Calls und Glaubwürdigkeit

Autor: Marin Niehues, Stage Starter · Veröffentlicht: 2026-07-23
Thema: Konferenzen finden (https://www.stage-starter.de/blog/thema/konferenzen/)
Quelle: https://www.stage-starter.de/blog/speaker-auf-cybersecurity-konferenzen/

Speaker auf einer Cybersecurity-Konferenz wirst du mit einem Vortrag, der eigene Forschung oder belegte Praxis zeigt und frei von Produktwerbung ist. Die meisten Security-Konferenzen besetzen ihr Programm über einen Call for Papers, also die öffentliche Ausschreibung, mit der eine Konferenz Vortragsvorschläge einsammelt. Die Komitees dort zählen zu den strengsten aller Branchen, weil ihr Publikum jede Übertreibung sofort erkennt. Dieser Beitrag erklärt die Konferenzarten der Security, die Themen mit Zusagen und die Regeln, nach denen Glaubwürdigkeit entsteht.

**Auf Security-Bühnen zählt der Beleg: ein reproduzierbares Ergebnis, ein aufgearbeiteter Vorfall oder eine Messung aus dem eigenen Betrieb. Wer Beratung in diesem Feld verkauft, findet die meisten Kunden auf Konferenzen, auf denen Verantwortliche aus Unternehmen sitzen.**

## Welche Cybersecurity-Konferenzen gibt es?

Cybersecurity-Konferenzen lassen sich in fünf Arten ordnen: Forschungs- und Hackerkonferenzen, Community-Konferenzen, Fachmessen mit Vortragsforen, Gipfel für Sicherheitsverantwortliche und die Security-Programmteile von Branchenkonferenzen. Jede Art hat ein eigenes Publikum und einen eigenen Weg ins Programm, und für Beraterinnen und Berater unterscheiden sie sich vor allem darin, wie viele Entscheider im Saal sitzen.

Forschungs- und Hackerkonferenzen wie die Black Hat in Las Vegas suchen neue technische Erkenntnisse über Schwachstellen und Angriffstechniken. Über die Auswahl entscheidet dort ein Review Board aus Fachleuten, das jede Einreichung auf Neuheit, Fachtiefe und Richtigkeit prüft. Der Call der Black Hat schließt Produkt- und Anbieterpräsentationen ausdrücklich aus. Community-Konferenzen wie die weltweit verbreiteten BSides entstehen aus der lokalen Szene, sind günstig oder kostenlos und nehmen auch Fachleute ohne Bühnenhistorie an. BSides Las Vegas betreibt dafür ein eigenes Programm, das Erstredner über mehrere Monate mit erfahrenen Mentoren zusammenbringt.

Fachmessen wie die it-sa in Nürnberg verbinden Ausstellung und Vortragsprogramm. Auf ihren offenen Foren sprechen zu einem großen Teil Aussteller, daneben laufen herstellerneutrale Vorträge von Verbänden und Organisationen sowie ein begleitender Kongress. Gipfel für Sicherheitsverantwortliche richten sich an CISOs, also die Leitungen der Informationssicherheit in Unternehmen, und besetzen ihr Programm überwiegend über Einladung und Partnerschaften. Die fünfte Art sind die Security-Programmteile von Konferenzen für Banken, Gesundheitswesen, Energie oder Produktion. Dort sitzt ein Publikum, das Sicherheitsfragen im eigenen Fachgebiet lösen muss, und das ist für Beratung die Bühne mit der höchsten Dichte an möglicher Kundschaft.

**Security im Konferenzmarkt**
- 86 Konferenzen | mit Hauptthema Security und öffentlichem Call
- 289,2 Mrd. Euro | Schaden für die deutsche Wirtschaft 2025
- 87 Prozent | der befragten Unternehmen waren betroffen

Die erste Zahl stammt aus unserer Auswertung von 2.415 Konferenzen, die für 2026 Vortragsplätze öffentlich ausschreiben, und entspricht 3,6 Prozent davon. Dazu kommen 281 Konferenzen zu Cloud und DevOps, auf denen Security-Vorträge regelmäßig ins Programm gehen. Die beiden anderen Zahlen kommen aus der Studie Wirtschaftsschutz 2025 des Digitalverbands Bitkom unter 1.002 Unternehmen, nach der 70 Prozent des Schadens direkt auf Cyberangriffe zurückgehen und 72 Prozent der Unternehmen die Bedrohungslage als hoch einschätzen. Mit dieser Lage wächst in den Unternehmen der Bedarf an Vorträgen, die zeigen, was im Ernstfall wirkt.

## Woran messen Programmkomitees die Glaubwürdigkeit eines Security-Vortrags?

Programmkomitees messen die Glaubwürdigkeit eines Security-Vortrags an drei Dingen: am Beleg, an der Herstellerneutralität und am verantwortungsvollen Umgang mit heiklen Informationen. Ein Programmkomitee ist die Gruppe von Fachleuten, die alle Einreichungen liest und das Programm zusammenstellt. In der Security besteht es oft aus Forschenden und Praktikern, die selbst auf Bühnen stehen und jede Behauptung gegen ihr eigenes Wissen halten.

Der Beleg ist das stärkste Kriterium. Ein Abstract, also die kurze Beschreibung des geplanten Vortrags, überzeugt, wenn es eine überprüfbare Aussage enthält: eine Schwachstelle, die gemeldet und behoben wurde, die Analyse eines echten Angriffs, Messwerte aus einem Programm zur Erkennung von Angriffen oder die Kosten einer Wiederherstellung nach Ransomware, also nach einem Angriff, bei dem Daten verschlüsselt und nur gegen Lösegeld freigegeben werden. Zertifikate in der Kurzbiografie zeigen Ausbildung, und ein Komitee wertet die nachgewiesene Arbeit höher als jedes Kürzel hinter dem Namen.

Herstellerneutralität ist in der Security strenger geregelt als in fast jedem anderen Feld. Komitees erkennen Werbung am Produktnamen im Titel, an einem Problem, das nur das eigene Werkzeug löst, und an Angstmache ohne Zahlen, die in der Szene als FUD bekannt ist, kurz für Fear, Uncertainty and Doubt. Die Black Hat Europe hat in früheren Calls sogar angekündigt, bei einem offensichtlichen Werbevortrag das Honorar zu streichen und den Sprecher von künftigen Programmen auszuschließen. Wo das Publikum die Grenze zieht, beschreibt der Beitrag [Fachvortrag oder Werbevortrag](/blog/fachvortrag-oder-werbevortrag/).

Der dritte Punkt ist die Verantwortung. Ein Vortrag über eine Schwachstelle gilt als seriös, wenn der Hersteller vorher informiert wurde und Zeit für eine Korrektur hatte, ein Vorgehen, das als koordinierte Offenlegung bezeichnet wird. Fallbeispiele aus Mandaten müssen so anonymisiert sein, dass kein Kunde erkennbar wird, und viele Veranstalter arbeiten mit dem Traffic Light Protocol, einer Kennzeichnung in vier Farben, die festlegt, wie weit Informationen aus einer Session weitergegeben werden dürfen.

**Recht und Vertraulichkeit**
Wer auf der Bühne Angriffstechniken oder Werkzeuge zeigt, bewegt sich in Deutschland im Umfeld von § 202c StGB, der das Vorbereiten des Ausspähens und Abfangens von Daten unter Strafe stellt. Für Fallbeispiele gelten die Vertraulichkeitsvereinbarungen mit deinen Kunden, und eine schriftliche Freigabe vor der Einreichung schützt beide Seiten. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.

## Welche Security-Themen nehmen Programmkomitees an?

Programmkomitees nehmen Security-Themen an, die ein aktuelles Problem mit eigener Erfahrung verbinden, und abgelehnt werden allgemeine Lageberichte, die das Publikum schon aus der Presse kennt. Auf Unternehmensbühnen gehören dazu Berichte über die Reaktion auf einen echten Vorfall, über den Aufbau einer Erkennung mit messbaren Ergebnissen und über die Absicherung von Lieferketten. Seit das NIS2-Umsetzungsgesetz gilt, das die europäische Richtlinie zur Netz- und Informationssicherheit in deutsches Recht überführt, suchen viele Unternehmen Vorträge darüber, wie die neuen Pflichten im Betrieb umgesetzt werden.

Ein wachsendes Feld ist die Sicherheit von KI-Anwendungen. Komitees interessieren sich für Prompt Injection, also Angriffe, bei denen manipulierte Eingaben ein Sprachmodell zu unerwünschten Handlungen bringen, und für die Frage, wie Unternehmen KI-Assistenten absichern, die auf interne Daten zugreifen. Ebenso gefragt sind OT-Sicherheit, also der Schutz von Steuerungstechnik in Produktion und Energieversorgung, und das Identitätsmanagement, weil ein großer Teil der Angriffe über gestohlene Zugangsdaten beginnt.

Auf Forschungskonferenzen gelten andere Maßstäbe. Dort braucht ein Vortrag eine neue technische Erkenntnis, und ein Erfahrungsbericht aus der Beratung, so gut er ist, findet in diesem Programm selten einen Platz. Für Beraterinnen und Berater, die Kunden gewinnen wollen, sind Branchenkonferenzen und Messekongresse deshalb meist die ergiebigeren Bühnen, während die Forschungskonferenzen Ansehen in der Fachszene bringen.

**Ein Security-Thema kommt ins Programm, wenn es ein Problem zeigt, das das Publikum gerade selbst lösen muss, und eine Erfahrung, die es übernehmen kann. Je konkreter der Beleg im Abstract, desto geringer das Risiko, das das Komitee mit der Person eingeht.**

## Wie kommst du als Berater auf eine Security-Bühne vor Entscheidern?

Als Beraterin oder Berater kommst du auf eine Security-Bühne vor Entscheidern, indem du dein Thema auf die Sicht des Publikums zuschneidest und dort einreichst, wo Verantwortliche aus Unternehmen sitzen. Eine Konferenz für Krankenhäuser sucht einen Vortrag darüber, wie eine Klinik nach einem Angriff den Betrieb wiederhergestellt hat, und die Technik dahinter ist dort der Hintergrund. Auf einer Entwicklerkonferenz dagegen trägt der Code die Session, und dasselbe Wissen braucht dort eine ganz andere Fassung.

Dieser Zuschnitt kostet Arbeit, weil jede Konferenzart eigene Titel, Abstracts und Beispiele verlangt. Dazu kommen Fristen über das ganze Jahr: In unserer Auswertung liegen zwischen dem Ende eines Calls und dem Beginn der Konferenz im Median 50 Tage, und wer erst bei der Veröffentlichung des Programms von einer Konferenz erfährt, wartet auf die nächste Ausgabe. Wie ein Call for Papers von der Einreichung bis zur Zusage abläuft, erklärt der Leitfaden zum [Call for Papers](/blog/call-for-papers-leitfaden/).

Diese Arbeit übernimmt [Stage Starter](/) für dich: Wir finden die passenden Calls, schreiben die Einreichung und reichen ein. Dazu gehören der Zuschnitt deines Themas auf Branchenkonferenzen, Messekongresse und Community-Bühnen, die laufende Suche nach Security-Programmteilen in den Branchen deiner Kundschaft und das Nachfassen bis zur Entscheidung. Du lieferst dein Fachwissen, entscheidest, welche Fallbeispiele vertraulich bleiben, und gibst Vortrag und Abstracts frei. Was die Zusammenarbeit für dieses Feld im Einzelnen umfasst, steht im Beitrag über die [Speaker-Agentur für Cybersecurity-Experten](/blog/speaker-agentur-fuer-cybersecurity/).

Bei unseren Einreichungen für Kunden kommen wir auf bis zu 19 Prozent Zusagen je Konferenz, marktüblich sind bei dieser Menge an Einreichungen höchstens 5 Prozent. Grundlage sind 2.189 eingereichte Abstracts, von denen 94 der 1.374 entschiedenen angenommen wurden. Die Chance auf mindestens eine Zusage bei n Einreichungen mit der Quote p liegt bei 1 − (1 − p)^n. Bei acht Konferenzen ergibt das mit 5 Prozent rund 34 Prozent, mit 19 Prozent rund 81 Prozent. Eine Zusage kann keine Agentur garantieren, darüber entscheidet das Programmkomitee.

## Was kostet ein Sprechplatz auf einer Security-Konferenz?

Ein Sprechplatz über einen offenen Call for Papers kostet dich nichts außer Vorbereitung und Reise, und ein gekaufter Platz in einem Sponsorenpaket kostet schnell 10.000 Euro und mehr für einen einzigen Vortragsplatz. Auf Messen und Gipfeln ist der gekaufte Platz verbreitet, weil Aussteller und Partner dort einen Teil der Bühnenzeit mit ihrem Paket erwerben. Diese gesponserten Sessions sind im Programm oft nicht als solche gekennzeichnet, und ein Security-Publikum erkennt sie trotzdem schnell am Inhalt. Wann sich ein solcher Platz rechnet, behandelt der Beitrag [Sponsored Talk und Pay to Speak](/blog/muss-ich-fuer-die-buehne-bezahlen/).

**Wege auf die Security-Bühne**
Aspekt | Selbst einreichen | Pay to Speak | Stage Starter
Kosten | deine Arbeitszeit, Woche für Woche | schnell 10.000 Euro und mehr für einen Platz | ab 990 € netto im Monat für den ganzen Betrieb
Bühnen | die Konferenzen, die du selbst findest | Messen und Gipfel mit Partnerprogramm | Branchenkonferenzen, Messekongresse und Community-Bühnen deiner Kundschaft
Glaubwürdigkeit | Auswahl durch das Komitee | gekaufter Platz, vom Publikum oft erkannt | Auswahl durch das Komitee

Für Beraterinnen und Berater ist der Weg über das Komitee der stärkere, weil die Auswahl durch unabhängige Fachleute die Glaubwürdigkeit bestätigt, auf die es in der Security ankommt. Ein einziger Auftrag aus einem Auftritt ist mehr wert als die Summe, die ein Sponsorenpaket kostet, und als jede Gage, die ein Veranstalter zahlen könnte.

**Auf eine Cybersecurity-Konferenz kommst du mit einem belegten Vortrag ohne Produktwerbung, der heikle Informationen verantwortungsvoll behandelt. Kunden für Beratung sitzen vor allem auf Branchenkonferenzen und Messekongressen, und jede dieser Bühnen verlangt einen eigenen Zuschnitt deines Themas.**

**Grundlage**
- Bitkom: Studie Wirtschaftsschutz 2025, Befragung von 1.002 Unternehmen in Deutschland, vorgestellt im September 2025.
- Auswertung von Stage Starter: 2.415 Konferenzen, die für 2026 Vortragsplätze öffentlich ausschreiben, sowie die eigenen Einreichungen für Kunden.
- Angaben der Veranstalter zu den Calls von Black Hat und BSides Las Vegas sowie zum Programm der it-sa.

## Häufige Fragen

### Wie werde ich Speaker auf einer Cybersecurity-Konferenz?

Speaker auf einer Cybersecurity-Konferenz wirst du über eine Einreichung im Call for Papers oder über eine direkte Anfrage beim Veranstalter. Entscheidend ist ein Abstract mit einem überprüfbaren Beleg, etwa einer gemeldeten Schwachstelle, einem aufgearbeiteten Vorfall oder Messwerten aus dem Betrieb. Produktvorstellungen lehnen die meisten Security-Komitees schon im ersten Durchgang ab.

### Brauche ich Zertifikate wie CISSP, um auf einer Security-Konferenz zu sprechen?

Für einen Vortrag auf einer Security-Konferenz brauchst du kein Zertifikat. Komitees bewerten den Inhalt der Einreichung und die nachgewiesene Arbeit der Person. Zertifikate dürfen in der Kurzbiografie stehen und zeigen Ausbildung, sie ersetzen aber keinen Beleg im Abstract.

### Welche Security-Konferenzen eignen sich für den ersten Auftritt?

Für den ersten Auftritt eignen sich Community-Konferenzen wie die BSides und die Security-Programmteile von Branchenkonferenzen. Viele BSides nehmen ausdrücklich Erstredner an und bieten teils eigene Mentorenprogramme. Branchenkonferenzen bringen dazu den Vorteil, dass mögliche Kunden im Saal sitzen.

### Kann ich als Anbieter einer Security-Lösung einen Vortrag halten?

Als Anbieter kannst du einen Vortrag halten, wenn er dem Publikum auch ohne dein Produkt nützt. Die Black Hat schließt Produkt- und Anbieterpräsentationen in ihrem Call ausdrücklich aus, und andere Komitees verfahren ähnlich. Ein Bericht aus einem Kundenprojekt mit übertragbaren Erkenntnissen hat dagegen gute Chancen.

### Darf ich auf der Bühne über Vorfälle bei meinen Kunden sprechen?

Über Vorfälle bei Kunden darfst du sprechen, wenn der Kunde zugestimmt hat oder das Beispiel so anonymisiert ist, dass niemand ihn erkennt. Maßgeblich sind die Vertraulichkeitsvereinbarungen aus dem Mandat. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.

### Wird man als Speaker auf Security-Konferenzen bezahlt?

Speaker aus einem offenen Call bekommen auf den meisten Security-Konferenzen kein Honorar, oft aber ein freies Ticket und teilweise die Reisekosten. Einzelne große Forschungskonferenzen zahlen ein Honorar, und eingeladene Keynotes werden auf Gipfeln und Firmenveranstaltungen bezahlt. Für Beraterinnen und Berater ist ein Auftrag aus dem Publikum ohnehin mehr wert als jede Gage, wie der Beitrag über [Speaker-Honorar und Gage](/blog/speaker-honorar-und-gage/) zeigt.

### Wie viele Security-Konferenzen mit Call for Papers gibt es?

In unserer Auswertung von 2.415 Konferenzen, die für 2026 Vortragsplätze öffentlich ausschreiben, haben 86 das Hauptthema Security. Dazu kommen 281 Konferenzen zu Cloud und DevOps sowie die Security-Programmteile zahlreicher Branchenkonferenzen und Messen. Insgesamt umfasst unsere Datenbank rund 22.700 Konferenzen.

### Muss ich auf einer Security-Konferenz live hacken?

Live-Vorführungen sind auf Forschungs- und Hackerkonferenzen verbreitet und auf Branchenbühnen die Ausnahme. Vor Entscheidern wirkt eine nachvollziehbare Darstellung von Ablauf, Ursache und Folgen eines Angriffs stärker als eine Vorführung. Wer live zeigt, hält eine Aufzeichnung als Ersatz bereit, weil sich das Netz vor Ort selten kontrollieren lässt.

Ob dein Security-Thema und deine Zielkunden zu den Bühnen passen, auf denen wir einreichen, klären wir in einem [Erstgespräch](/erstgespraech/).