Wie man die falschen Antworten bei CISSP-Fragen ausschließt

Zwei von vier Optionen lassen sich oft schon beim ersten Lesen ausschließen: ein Absolutheitsanspruch, ein erfundener Begriff oder eine Antwort, die zu einer anderen Phase als der verlangten gehört. Die folgende Typologie ist aus 138 Übungsfragen rekonstruiert, die Kandidaten zwischen 2023 und 2026 geteilt haben, und aus den Begründungen, mit denen jede Option ausgeschlossen wurde – Meinungen von Kandidaten, nie offizielle Korrekturen von ISC2, und kein Fragetext wird hier wiedergegeben.

Wie schließt man zwei Antworten in einem einzigen Lesedurchgang aus?

Indem man nach formalen Mängeln sucht, bevor man den Inhalt beurteilt. Drei Signale genügen oft, um die Hälfte der Optionen auszuschließen, und keines davon verlangt vertieftes Fachwissen.

Das erste ist der Absolutheitsanspruch. Eine Option, die all, always oder never enthält, ist fast immer falsch – die Erfahrungsberichte machen daraus eine Ausschlussregel der ersten Sichtung. Der Grund ist begrifflicher Natur: Sicherheit steuert das Risiko, sie beseitigt es nicht. Jede Option, die eine vollständige Garantie, eine lückenlose Abdeckung oder ein ausnahmsloses Verbot verspricht, verstößt gegen dieses Prinzip, und die meisten universellen Aussagen über reale Systeme lassen sich durch ein Gegenbeispiel widerlegen. Eine Frage nach den Mindestanforderungen an den Schutz eines Kommunikationskanals eliminiert so mechanisch die Option, die vorschlägt, alles ohne Unterschied zu verschlüsseln.

Zwei Vorsichtsmaßnahmen begleiten diese Regel. Sie dient dazu, schnell auszuschließen, nie dazu, die richtige Antwort zu bestimmen: Eine eliminierte absolute Option sagt nichts über die drei anderen. Und sie kennt legitime Ausnahmen, auf die die Erfahrungsberichte selbst hinweisen – manche Verpflichtungen, insbesondere ethische und rechtliche, sind tatsächlich ohne Abstufung, und eine Option, die sie in absoluten Worten formuliert, ist dann zutreffend.

Das zweite ist der Begriff, den es nicht gibt. Die Erfahrungsberichte dokumentieren eine Option, die auf einem Ausdruck aufbaut, der einem grundlegenden Prinzip sehr nahekommt, aber im CBK nicht auffindbar ist: Sie klingt richtig und ist an nichts angebunden.

Das dritte ist die falsche Phase. Eine Option, die die Benachrichtigung beschreibt, während die Frage die Eindämmung betrifft, oder die Reaktion, während die Frage die Erkennung betrifft, ist für sich genommen korrekt und hier falsch. Das ist im Übrigen der einzige Gebrauch des berühmten Manager-Mantras, den die Erfahrungsberichte noch gelten lassen:

„I coach my study group that "think like a manager" is a way to eliminate 2 out of the 4 answer choices.“

„Ich bringe meiner Lerngruppe bei, dass ‚wie ein Manager denken‘ ein Weg ist, 2 von 4 Antwortoptionen zu eliminieren.“

Ein viertes Signal hebt sich selbst auf: einen Herstellerpatch auf eine dem Hersteller unbekannte Schwachstelle anwenden oder einen Angriff per Signatur erkennen, der keine hat.

Welches sind die häufigsten Distraktoren?

Die Erfahrungsberichte lassen etwa zehn wiederkehrende Familien erkennen. Sie sind schnell zu erkennen, sobald sie benannt sind.

Familie	Wie sie auftritt	Wie man sie ausschließt
Der erfundene Begriff	Ein Ausdruck nahe an einem bekannten Prinzip, im CBK nicht vorhanden	Prüfen, ob der genaue Begriff in einer Quelle steht
Der Absolutheitsanspruch	all, always, never	Mit „Minimum“, „verhältnismäßig“, „ohne die Fristen zu sprengen“ konfrontieren
Die themenfremde gute Praxis	Eine wahre Aussage, die das genannte Risiko nicht behandelt	Das Risiko umformulieren und prüfen, ob sie darauf antwortet
Die falsche Phase	Erkennung, wenn die Reaktion verlangt wird, Bericht, wenn die Eindämmung verlangt wird	Die Phase benennen, bevor man die Optionen liest
Außerhalb des Rollenbereichs	Eine Handlung, die nicht zur Person des Fragetexts gehört	Die tatsächliche Befugnis der Persona prüfen
Das verletzte Kriterium	Technisch überlegen, aber einer geschriebenen Vorgabe zuwider	Jedes explizite Kriterium erneut lesen
Der Kategorienreflex	„Erst die Richtlinie“, „erst das Menschenleben“, „eskalieren“	Prüfen, ob die Frage diese Entscheidungsebene verlangt
Die unmögliche Option	Das Unkorrigierbare korrigieren, das Unerkennbare erkennen	Die Machbarkeit im geschriebenen Szenario prüfen
Die Kategoriendopplung	Zwei Maßnahmen desselben Typs, als ergänzend dargestellt	Die tatsächlich verschiedenen Kategorien zählen
Die hohle Umfassende	Das allgemeine Ziel statt des verlangten Mechanismus	Ziel und Mittel unterscheiden

Eine Familie verdient ein zusätzliches Wort, die eleganteste: der Bereich außerhalb der Rolle. Eine Frage versetzt den Antwortenden in die Position eines Sicherheitsfachmanns, der mit einem Antrag auf Zugang zu einem Dokument konfrontiert ist, das oberhalb der Stufe des Antragstellers eingestuft ist. Zwei Optionen sind technisch umsetzbar – das Dokument herabstufen, die Zugangsstufe anheben – und beide sind falsch, weil weder die eine noch die andere zu dieser Rolle gehört. Der Distraktor prüft nicht die Zugriffskontrolle, er prüft die Zuständigkeiten.

Wie erkennt man eine Option, die auf eine andere Frage antwortet?

Indem man die Aufgabe in einem kurzen Satz umformuliert und dann jede Option allein mit diesem Satz konfrontiert. Die Optionen, die an der Frage vorbeigehen, sind oft die verführerischsten, weil sie wahr sind.

Ein klares Beispiel aus den Erfahrungsberichten, zur Übermittlung sensibler Daten an einen externen Partner: Das im Fragetext genannte Risiko ist das Abfangen während der Übertragung. Eine Option schlägt vor, Klassifizierung und Kennzeichnung zu verstärken – ausgezeichnete Praxis, ohne Wirkung auf das Abfangen, und ohnehin bereits erfüllt, da der Fragetext die Daten als sensibel bezeichnet. Eine andere schlägt vor, die Speicherung zu schützen: gute Antwort auf eine andere Frage. Nur eine behandelt den Transport.

Dieselbe Falle beim Verb. Eine Frage danach, wie man eine Exposition vermeidet, verlangt nicht dieselben Optionen wie eine Frage danach, wie man sie verringert: Überwachung und Schulung verringern, nur die Datenminimierung vermeidet.

Der schnelle Test besteht darin, den letzten Satz des Fragetexts erneut zu lesen und die Option darin einzusetzen: Wenn der so entstandene Satz wahr ist, aber nicht mehr vom gestellten Problem spricht, ist die Option ein Distraktor.

Was tut man, wenn zwei Antworten vertretbar bleiben?

Das ist der Normalfall, nicht die Ausnahme. Hier entscheidet sich auch die Zeit, denn diese Abwägungen verbrauchen den Großteil der verfügbaren Minuten – siehe das Zeitmanagement in der Prüfung.

Zuerst prüfen, dass kein explizites Kriterium verletzt wird. Das ist die zuverlässigste und am häufigsten übersehene Entscheidungsregel: niedrigste Kosten, Mindestanforderung, Einhaltung der Fristen, keine laufenden Kosten. Eine inhaltlich überlegene Option, die einem geschriebenen Kriterium zuwiderläuft, ist falsch.

Anschließend zwei Projektionstests anwenden. Der erste ist die Umkehrung: Formulieren Sie die Option in der Verneinung und fragen Sie sich, ob Sie sie noch wählen würden. Bei einer Frage zur Auswahl eines Hosting-Standorts genügt es, die Option „akzeptables Risikoniveau“ umzukehren, um zu zeigen, dass dieses Kriterium alle anderen bestimmt. Der zweite ist die Ausschließlichkeit:

„Assume the other good answers will never be done — what if this is the only action taken?“

„Nehmen Sie an, die anderen guten Antworten werden nie umgesetzt – was, wenn dies die einzige ergriffene Maßnahme wäre?“

Erst zuletzt, und wirklich nur zuletzt, auf die aus dem Managementdenken übernommenen Entscheidungsregeln zurückgreifen – Prioritätenhierarchie, Reihenfolge Menschen, Prozesse, Technologie –, deren vollständige Formulierung und erhobene Häufigkeiten unser Artikel über das Manager-Mindset liefert. Diese Regeln sind keine Wahrheiten, sie sind Schiedsrichter: Sie greifen nur, wenn die beiden verbleibenden Optionen alle Kriterien des Fragetexts gleichermaßen erfüllen, was selten ist.

Ist die umfassendste Antwort immer die richtige?

Nein, und das ist der wichtigste Punkt dieses Artikels. Die Regel kursiert in den Erfahrungsberichten der Kandidaten in einer verführerischen Form:

„If answer A looks right but answer A is a step in Answer C, choose answer C.“

„Wenn Antwort A richtig scheint, A aber nur ein Schritt von Antwort C ist, wählen Sie C.“

Sie funktioniert tatsächlich in einer bestimmten Konstellation: wenn die weite Option die enge enthält, ohne etwas Falsches hinzuzufügen. Die Erfahrungsberichte geben dafür ein Beispiel zu Dienstkonten, in dem die Option „unnötige Rechte entziehen“ die Option „interaktive Anmeldung deaktivieren“ umfasst, da Letztere nur ein Recht unter anderen ist.

Aber dieselbe Regel erzeugt in mindestens drei Konstellationen Fehler, und sie sind dokumentiert.

Sie versagt, wenn ein einziges Wort der weiten Option sie falsch macht. Bei einer Frage, die erklärt, warum eine Organisation vor dem Einspielen von Patches wartet, beruft sich die umfassendste Option auf die Verringerung der geschäftlichen Auswirkung – ein Ziel, das alle anderen enthält. Aber sie erwähnt die Auswirkung der Installation, und Warten ändert nichts an dieser Auswirkung: Das Wartungsfenster ist dasselbe. Was man durch Warten gewinnt, ist, dass die Mängel des Patches anderswo entdeckt werden.

Sie versagt, wenn die Frage einen Mechanismus und kein Ziel verlangt: Bei einer Frage zur Verringerung des Risikos durch heruntergeladene Software wird die allgemeinste Option zwar als korrekt, aber als zu wenig spezifisch beurteilt gegenüber derjenigen, die den erwarteten Bewertungsmechanismus beschreibt.

Sie versagt schließlich, wenn die umfassende Option etwas anderes beschreibt als das, was sie zu beschreiben scheint. Bei einer Frage zur Definition der Security Governance, die in den Erfahrungsberichten dreimal wiederkehrt, wirkt die Option, die von der Ausrichtung an den Geschäftszielen spricht, am weitesten – und genau sie schließen die Musterlösungen aus, weil sie ein dokumentiertes Rahmenwerk beschreibt.

Wie prüft man eine Option, bevor man sie bestätigt?

Mit einer kurzen Prüfliste, die nur auf die zuletzt verbliebene Option angewendet wird. Fünf Prüfungen genügen, und jede dauert wenige Sekunden: Ist jedes Wort der Option zutreffend, wobei ein einziger falscher Begriff sie ungültig macht? Setzt die Option etwas voraus, das im Fragetext fehlt – Budget, Service-Level, implizite Architektur? Fällt sie in die Befugnis der genannten Person? Beachtet sie alle expliziten Kriterien, auch das zweite, das man vergisst? Behandelt sie das genannte Problem und nicht ein benachbartes?

Das ist die Wiederholungsübung, die die Erfahrungsberichte der Kandidaten empfehlen, und diejenige, die Cybridia systematisiert hat: Für jede seiner 4.298 Fragen gibt die Erklärung an, warum jede falsche Antwort falsch ist. Die drei Gründe für den Ausschluss benennen zu können ist der einzige Fortschrittsindikator, den die Erfahrungsberichte gelten lassen – weit mehr als ein Prozentwert, an dessen begrenzte Vorhersagekraft unser Richtwert zu den Ergebnissen von Probeprüfungen erinnert. Das Kriterium für die Wahl eines Lernmittels folgt unmittelbar daraus: Eine Fragenbank, die ihre Lösungen nicht erklärt, nützt nichts, und das ist das Raster, das in unserem Vergleich der CISSP-Ressourcen angewendet wird.

Warum können zwei Zwillingsfragen entgegengesetzte Antworten haben?

Weil sich das entscheidende Kriterium geändert hat, oft um ein einziges Wort. Die Kandidaten, die solche Paare entdecken, schließen zuerst auf eine Inkohärenz der Fragenbanken; das ist selten der Fall.

Das deutlichste Paar betrifft den Bandbreitenverbrauch. Im ersten Szenario tritt die Sättigung außerhalb der Geschäftszeiten in einem Dienstleistungsunternehmen auf, und der Antwortende ist der Sicherheitsverantwortliche: Die erwartete Antwort ist eine Nutzungsrichtlinie samt Überwachung, weil noch nichts beweist, welcher Verkehr die Ursache ist, und weil eine Vergrößerung der Leitung die Verschwendung belohnen würde. Im zweiten Szenario tritt die Sättigung zu Spitzenzeiten in einer Einrichtung auf, in der ein Ausfall der Systeme die Sicherheit von Personen berührt: Die erwartete Antwort ist die Erhöhung der Kapazität. Zwei verschiedene entscheidende Kriterien – der Zeitpunkt und das, was auf dem Spiel steht.

Ein zweites Paar, aus demselben Kapitel desselben Werks, stellt zwei Fragen zur physischen Zugangskontrolle gegenüber. In der einen wird ein zum Ausweis hinzugefügter Geheimcode als unzureichend beurteilt, um die Identität des Trägers zu garantieren, weil die Frage ausdrücklich die beste Identitätsgarantie verlangt. In der anderen wird dieselbe Kombination gewählt, weil die Frage eine Vorgabe ohne laufende Kosten hinzufügt, die jede auf Personal beruhende Lösung ausschließt. Beide Musterlösungen sind stimmig: Nur die Kriterien unterscheiden sich.

Die Lehre taugt als Fazit. Die Erfahrungsberichte formulieren sie an einem ganz anderen Beispiel – einer Frage zur Verwaltung einer mobilen Geräteflotte, bei der der Managementreflex zu einer Lösung für die Endgeräteverwaltung drängte, die für sich genommen nichts verschlüsselt:

„Why are you "thinking like a manager"? Just. Answer. The. Question.“

„Warum ‚denken Sie wie ein Manager‘? Beantworten. Sie. Einfach. Die. Frage.“

Daher die abschließende Anweisung: jede Frage in ihrem eigenen Vakuum behandeln, ohne Kohärenz mit der vorherigen zu suchen. Zur Lektüre des Fragetexts, die diesem Ausschluss vorausgeht, siehe die Antwortmethode; und wenn die Musterlösungen selbst voneinander abweichen, siehe die Entscheidung zwischen Fragenbanken.