Security+, CEH, CISSP, CISM, OSCP — die Abkürzungen klingen austauschbar, sind es aber nicht. Sie unterscheiden sich in Zielgruppe, Zugangshürde, Prüfungsform und Unterhaltskosten so deutlich, dass die falsche Wahl schnell zwei Jahre kostet. Dieser Überblick sortiert die wichtigsten Zertifikate nach dem, was in der Praxis zählt.
Die erste Frage ist nicht „welches“, sondern „komme ich überhaupt rein“
Der grösste Unterschied zwischen den Anbietern ist die Zugangshürde. Danach sollten Sie zuerst sortieren.
Ohne jede Voraussetzung sofort möglich: Alle CompTIA-Zertifikate und das OSCP. Erfahrungsangaben sind bei CompTIA ausdrücklich Empfehlungen, nie Zulassungsbedingungen. Beim OSCP von OffSec gibt es überhaupt keine Vorbedingungen — die Schwierigkeit ist die einzige Hürde.
Prüfung sofort, Titel später: Bei ISC2 (CISSP, CCSP) und ISACA (CISA, CISM, CRISC) ist die Berufserfahrung keine Zulassungsvoraussetzung zur Prüfung, sondern zur Zertifizierung. Sie treten an, bestehen, und werden bei ISC2 zunächst „Associate of ISC2“ mit sechs Jahren Zeit, die Erfahrung nachzuweisen. Bei ISACA bleiben nach bestandener Prüfung fünf Jahre für den Zertifizierungsantrag — bis dahin dürfen Sie den Titel aber nicht führen.
Genehmigung vor der Prüfung: Beim CEH von EC-Council ist es umgekehrt und strenger. Ohne offizielle Schulung müssen Sie vorab zwei Jahre einschlägige Erfahrung nachweisen, dazu eine nicht erstattbare Antragsgebühr von 100 US-Dollar, Bearbeitung fünf bis zehn Arbeitstage. Wer die offizielle Schulung besucht, ist automatisch prüfungsberechtigt.
Der Einstieg: CompTIA Security+
Aktueller Code ist SY0-701. Maximal 90 Fragen in 90 Minuten, Bestehensgrenze 750 von 900. Gültig drei Jahre, Verlängerung über 50 CEUs. Empfohlen werden Network+ und rund zwei Jahre Praxis, verlangt wird nichts davon.
Security+ ist der pragmatische Einstieg, wenn Sie aus IT-Support, Systemadministration oder Netzwerk kommen und in Richtung Sicherheit gehen wollen. Eine Version 8 ist in Entwicklung, aber ohne offiziell publiziertes Datum. SY0-701 bleibt nach heutigem Stand bis weit ins Jahr 2027 nutzbar — es gibt keinen Grund zu warten.
Die Analystenrolle: CompTIA CySA+
Hier ist die wichtigste Aktualisierung dieses Beitrags: Seit dem 23. Juni 2026 gilt CS0-004. Die Vorgängerversion CS0-003 wird am 22. Dezember 2026 in der englischen Fassung zurückgezogen, Übersetzungen folgen im März 2027. Wer jetzt zu lernen beginnt, sollte direkt die neue Version nehmen.
Neu in Version 4 ist ein eigener KI-Block (KI im SOC, KI-Risiken, KI-Governance), dazu EPSS-basierte Priorisierung von Schwachstellen, SBOM und Zero Trust Network Access. Format: maximal 85 Fragen in 165 Minuten. Zielgruppe sind SOC-Analysten, Vulnerability- und Threat-Intelligence-Analysten.
Offensive Sicherheit: CEH, PenTest+ und OSCP
Diese drei werden häufig verwechselt, obwohl sie kaum unterschiedlicher sein könnten.
CEH v13 von EC-Council ist wissensbasiert: 125 Multiple-Choice-Fragen in vier Stunden. Es gibt zusätzlich CEH Practical — 20 echte Aufgaben auf einer Cyber Range über sechs Stunden. Wer beide besteht, trägt den Titel CEH Master; ein drittes Examen gibt es dafür nicht. Ein Detail für die Budgetplanung: Der Prüfungsgutschein kostet je nach Auslieferungsweg unterschiedlich viel — über Pearson VUE deutlich mehr als über das EC-Council-eigene Prüfungszentrum.
CompTIA PenTest+ (PT0-003) liegt dazwischen: Multiple Choice plus praxisnahe Aufgaben, 165 Minuten, ohne Zugangshürde.
OSCP von OffSec ist die härteste Prüfung dieser Auswahl: 23 Stunden 45 Minuten praktisches Hacking, danach 24 Stunden für die Dokumentation. Drei Einzelmaschinen zu je 20 Punkten plus ein Active-Directory-Set zu 40 Punkten, 70 von 100 Punkten zum Bestehen.
Seit November 2024 gibt es zwei Titel: OSCP läuft nie ab, OSCP+ verfällt nach drei Jahren. Wer die Prüfung besteht, erhält automatisch beide. Läuft das Plus aus, bleibt das OSCP unbefristet bestehen. Das relativiert die verbreitete Aussage, OSCP sei jetzt unterhaltspflichtig geworden — nur das Plus ist es.
Die Management-Schiene: CISSP, CISM, CISA, CRISC
CISSP ist ausdrücklich kein Einsteigerzertifikat. Fünf Jahre Erfahrung in mindestens zwei von acht Domänen, ein Jahr durch Studium oder anerkannte Zertifizierung ersetzbar. Achtung bei älteren Vorbereitungsbüchern: Die Prüfung läuft seit 2024 mit 100 bis 150 adaptiven Fragen in drei Stunden — nicht mehr 125 bis 175 in vier Stunden, wie fast alle deutschsprachigen Übersichten noch schreiben.
CCSP ist die Cloud-Variante. Ein aktives CISSP ersetzt die gesamte Erfahrungsanforderung. Auch hier gilt: Seit Oktober 2025 adaptives Format statt linearer Prüfung, und seit dem 1. August 2026 ein neues Exam Content Outline. Ältere Vorbereitungsliteratur beschreibt die Prüfung schlicht falsch.
CISM von ISACA richtet sich an Führungskräfte in der Informationssicherheit — Management, nicht Technik. Hier gibt es den einzigen fest terminierten Inhaltswechsel dieser Auswahl: Ab dem 3. November 2026 gilt ein neues Exam Content Outline. Wer im Herbst 2026 einsteigt, sollte bewusst entscheiden, ob er vorher oder nachher antritt — bestehendes Lernmaterial deckt die neuen Inhalte nicht ab.
CISA ist der Klassiker für IT-Revision und Assurance, im Schweizer Banken- und Versicherungsumfeld sowie bei Prüfgesellschaften stark nachgefragt. 150 Fragen in vier Stunden, Bestehensgrenze 450 auf der Skala 200 bis 800. Fünf Jahre Erfahrung, bis zu drei Jahre über Anrechnungen ersetzbar.
CRISC verlangt mit drei Jahren die geringste Erfahrung im ISACA-Portfolio — dafür sind auf der offiziellen Seite keinerlei Anrechnungen ausgewiesen. In dieser Hinsicht ist CRISC also strenger als CISA.
Was die Zertifikate im Unterhalt kosten
Dieser Punkt wird in Vergleichen fast immer übersehen, macht über zehn Jahre aber einen erheblichen Unterschied.
- CompTIA hat keine Jahresgebühr, sondern eine einmalige Gebühr pro Dreijahreszyklus — und die lässt sich vollständig vermeiden, etwa über CertMaster CE oder durch das Bestehen einer höherwertigen Zertifizierung. Im Unterhalt ist CompTIA damit die klar günstigste Familie.
- ISC2 erhebt eine jährliche Gebühr, aber nur einmal — unabhängig davon, wie viele ISC2-Zertifikate Sie halten. Wer CISSP und CCSP hat, zahlt nicht doppelt. Dazu 120 CPE über drei Jahre beim CISSP, 90 beim CCSP.
- ISACA berechnet pro Zertifikat, mit Mengenrabatt ab dem dritten. Wer CISA, CISM und CRISC hält, fährt mit einer ISACA-Mitgliedschaft rechnerisch fast immer besser — sie senkt zusätzlich jeden Prüfungspreis spürbar.
- EC-Council erhebt eine jährliche Weiterbildungsgebühr und verlangt 120 ECE-Credits je Zertifizierung über drei Jahre, gemeldet jeweils bis zum 1. Februar.
- OffSec: null Unterhalt für das OSCP, Jahresgebühr nur für das OSCP+.
Der Trend 2026: KI-Sicherheit
Alle grossen Anbieter bauen derzeit KI-Security-Zertifizierungen. CompTIA hat im Februar 2026 SecAI+ gestartet, ausdrücklich als Ergänzung und nicht als Ersatz für Security+ oder CySA+. ISACA hat AAISM (setzt ein aktives CISM oder CISSP voraus) und seit April 2026 AAIR für KI-Risiko. EC-Council hat im März 2026 COASP für offensive KI-Sicherheit gestartet. ISC2 befindet sich noch in der Definitionsphase, mit Pilotprüfung Ende 2026 und voller Verfügbarkeit voraussichtlich 2027.
Für die Laufbahnplanung heisst das: Diese Titel sind Aufsätze, keine Einstiege. Das Fundament bleibt Security+, CySA+ oder CISSP.
Eine pragmatische Empfehlung
- Quereinstieg in die Sicherheit: Security+, danach CySA+ (direkt CS0-004).
- Richtung Pentest: Security+, dann PenTest+ oder CEH für den Nachweis, OSCP für den Beweis.
- Richtung Führung: CISM oder CISSP, je nachdem, ob Sie eher managen oder eher architektieren.
- Richtung Revision und Compliance: CISA, ergänzt um CRISC.
- Richtung Cloud: CCSP, idealerweise nach dem CISSP.
Alle Angaben in diesem Beitrag stammen von den offiziellen Seiten der jeweiligen Anbieter, Stand August 2026. Prüfungsgebühren und Termine ändern sich; prüfen Sie sie vor der Anmeldung nach.
Sie wissen nicht, welcher Weg zu Ihrem Profil passt? Rufen Sie uns an, wir gehen das in zehn Minuten mit Ihnen durch.
