Wie man eine CISSP-Frage Schritt für Schritt beantwortet

Eine CISSP-Frage wird in vier Schritten bearbeitet: die eigentliche Aufgabe vor den Optionen lesen, die verlangte Entscheidung und ihren Träger identifizieren, die expliziten Kriterien des Fragetexts buchstabengetreu beachten und keine Annahme hinzufügen. Diese Schritte sind aus 138 Übungsfragen rekonstruiert, die Kandidaten zwischen 2023 und 2026 geteilt haben, und vor allem aus den Begründungen, die sie begleiten – Meinungen von Kandidaten, nie offizielle Korrekturen von ISC2, und kein Fragetext wird hier wiedergegeben.

Womit beginnt man die Lektüre einer CISSP-Frage?

Mit dem Ende. Eine der am häufigsten wiederholten Anweisungen der Erfahrungsberichte besteht darin, zuerst den letzten Satz des Fragetexts zu lesen – den, der die eigentliche Aufgabe trägt –, bevor man das Szenario liest und bevor man die Optionen ansieht. Ein zehnzeiliges Szenario über ein Finanzinstitut, seine Netzsegmentierung und sein jüngstes Audit ist oft nur Kulisse; die Frage steckt in den letzten fünfzehn Wörtern.

Diese umgekehrte Lektüre ist in einer weit verbreiteten Vier-Schritt-Methode formalisiert: den letzten Satz lesen, ausschließen, die zwei verbleibenden Optionen analysieren, entscheiden. Sie geht mit einem Gebot der Langsamkeit einher:

„READ each question S L O W L Y and at least TWICE — a single word often gives away the answer or eliminates two choices.“

„Lesen Sie jede Frage L A N G S A M und mindestens ZWEIMAL – ein einziges Wort verrät oft die Antwort oder eliminiert zwei Optionen.“

Die Erfahrungsberichte der Kandidaten enthalten ein Musterbeispiel für dieses einzelne Wort. Eine Frage will wissen, wo die von einem organisierten Angreifer veröffentlichte Information zu finden ist; der Reflex führt zu den üblichen Kanälen der Bedrohungsaufklärung, während die Präposition alles ändert – was der Urheber eines Angriffs selbst veröffentlicht, findet sich nicht dort, wo die Verteidiger ihre Analysen veröffentlichen. Die Schwierigkeit war nicht das Wissen, sondern die Lektüre.

Eine dritte Formel vervollständigt das Bild: „Read like a lawyer“ – lesen Sie wie ein Jurist. Jedes Wort des Fragetexts ist verbindlich. Sie gehört zum Dreiklang „think like a manager, understand like a technician, read like a lawyer“, der seinerseits die am häufigsten wiederholte Formel der Erfahrungsberichte ist.

Wie erkennt man die tatsächlich verlangte Entscheidung?

Sobald die Aufgabe isoliert ist, muss sie noch qualifiziert werden, bevor man die Optionen ansieht. Das ausgereifteste Raster der Erfahrungsberichte besteht aus vier Fragen, die man sich selbst stellt:

„Identify the decision before looking at the answers: Who owns this decision? What phase am I in — governance, design, implementation, operation, response? What objective is being optimised — risk reduction, continuity, compliance, safety, cost? What authority does the actor actually have?“

„Identifizieren Sie die Entscheidung, bevor Sie die Antworten ansehen: Wem gehört diese Entscheidung? In welcher Phase befinde ich mich – Governance, Konzeption, Umsetzung, Betrieb, Reaktion? Welches Ziel wird optimiert – Risikominderung, Kontinuität, Compliance, Sicherheit von Personen, Kosten? Über welche Befugnis verfügt der Akteur tatsächlich?“

Die Phase ist der ertragreichste Filter. Ein Analyst, der prüft, ob eine Meldung ein True Positive ist, bevor er handelt, befindet sich noch in der Erkennung, nicht in der Reaktion; eine Organisation, die ihre gesetzlichen Meldepflichten bewertet, tut dies im Stadium der Berichterstattung, wenn die Fakten feststehen. In beiden Fällen beschreibt die irrtümlich gewählte Option eine benachbarte und vollkommen korrekte Phase – zum falschen Zeitpunkt.

Das Verb der Aufgabe legt das Ziel fest. Eine Frage, die verlangt, eine Exposition zu vermeiden, erwartet nicht dieselbe Art von Antworten wie eine Frage, die verlangt, sie zu verringern: Im einen Fall setzt sich die Datenminimierung durch, im anderen die Überwachung oder die technische Maßnahme.

Welche Rolle spielt die im Fragetext angegebene Persona?

Das ist die solideste Verfeinerung der Erfahrungsberichte und diejenige, die die meisten Mehrdeutigkeiten auflöst:

„The role given in the question is your cue. CISO or senior leadership → think governance. Architect or engineer → think technical and operational. That single filter resolved a lot of ambiguous questions for me.“

„Die in der Frage genannte Rolle ist Ihr Hinweis. CISO oder oberste Leitung → denken Sie Governance. Architekt oder Ingenieur → denken Sie technisch und operativ. Dieser eine Filter hat für mich viele mehrdeutige Fragen geklärt.“

Wenn keine Rolle angegeben ist, ist die von den Erfahrungsberichten gewählte Standardposition die des Risikoberaters. Wenn aber eine Rolle angegeben ist, hat sie Vorrang vor jedem Reflex, auch vor Prioritäten, die man für absolut hält. Auffälliger Fall aus den Erfahrungsberichten: Ein Vorfall setzt ein lebenswichtiges Gerät in einer Einrichtung außer Betrieb, in der schutzbedürftige Personen untergebracht sind, und der Fragetext bezeichnet den Antwortenden als Mitglied des Incident-Response-Teams. Der Reflex „Menschenleben zuerst“ drängt zur Evakuierung – aber die Evakuierung ist nicht die Entscheidung dieses Teams, sie obliegt dem Pflegepersonal. Der Vorrang der Personen ist nicht ausgesetzt; es ist die Befugnis der Persona, die ihn nicht abdeckt.

Dieser Filter erklärt auch, warum das Mantra „think like a manager“ nach 2024 an Boden verloren hat: Es funktioniert, wenn die Persona eine Managementrolle ist, und erzeugt sonst falsche Antworten. Zwei Beitragende, die sich als Verfasser von Fragen für ISC2 vorstellen, gehen weiter und widersprechen dem Konzept selbst; ihre Aussagen und die Vorbehalte, die selbsterklärte Identitäten verlangen, werden in der Debatte über das Mantra untersucht. Für die hier behandelte Lektüre lässt sich die Lehre in einer Zeile zusammenfassen: Die im Fragetext geschriebene Rolle wird gelesen, nicht erraten.

Welche expliziten Kriterien darf man niemals ignorieren?

Alle. Ein im Fragetext geschriebenes Kriterium hat Vorrang vor jeder Heuristik, auch vor der spontanen Vorliebe für die sicherste Lösung. Die Erfahrungsberichte machen daraus eine schroffe Regel:

„You cannot just ignore explicitly stated key criteria like "lowest cost".“

„Sie können explizit genannte Schlüsselkriterien wie ‚die niedrigsten Kosten‘ nicht einfach ignorieren.“

Das ursprüngliche Beispiel lohnt die Übertragung. Stellen Sie sich in einem Logistikunternehmen ein Filter-Gateway vor, das regelmäßig neu startet und dabei jedes Mal rund zwanzig Minuten nicht verfügbar bleibt; der Fragetext verlangt, die Verfügbarkeit zu den niedrigsten Kosten aufrechtzuerhalten, und präzisiert, dass andere Maßnahmen denselben Datenfluss abdecken. Die robustesten Optionen – Redundanz, automatische Umschaltung – erfüllen die Verfügbarkeit, verletzen aber das zweite, schwarz auf weiß geschriebene Kriterium. Zwei Kriterien wurden gesetzt: Die Antwort muss beide erfüllen.

Die Wörter, die die Antwort verändern, sind wenige und kehren ständig wieder: BEST, MOST, FIRST, NEXT, LEAST, PRIMARY, PREVENT, MINIMUM. Die Erfahrungsberichte zu diesen Fragen fügen ein neuntes, besonders trennscharfes hinzu: Eine Frage danach, wer „ultimately“ rechenschaftspflichtig ist, sucht nicht denjenigen, der ausführt, sondern denjenigen, der nicht delegieren kann. Und „minimum“ disqualifiziert jede Option, die alles ohne Unterschied schützt.

Auch das Gegenstück zählt: Die Kosten bleiben im Hintergrund, selbst wenn sie nicht erwähnt werden. „Best ≠ most secure“ – die beste Antwort ist nicht die sicherste.

Welche Annahmen muss man sich unbedingt verbieten?

Alle. Das ist der am besten dokumentierte Fehler der Erfahrungsberichte, und er ist die direkte Ursache der meisten Meinungsverschiedenheiten zwischen einem Kandidaten und einer Musterlösung. Die Regel passt in einen Satz:

„If the question didn’t say it, it didn’t happen.“

„Wenn die Frage es nicht gesagt hat, ist es nicht geschehen.“

Ihre mnemotechnische Variante ist härter: „Think like a pedantic auditor“ – denken Sie wie ein pedantischer Auditor. Weder das Budget, das Sie sich als knapp vorstellen, noch der nie erwähnte Service-Level, noch die Architektur, die Sie im Kopf ergänzen, existieren.

Die Fälle der Erfahrungsberichte sind lehrreich, weil sie alle in gutem Glauben erfolgen. Ein Kandidat bestreitet eine Musterlösung zur Migration von Servern in ein externes Hosting: Er hatte angenommen, die Server befänden sich bereits dort, was der Fragetext nicht sagte. Ein anderer verwirft bei einer Frage zur Wiederherstellung des Geschäftsbetriebs die günstigste Option, obwohl der Fragetext das Wiederanlaufziel angab: Es war ein nie erwähnter Service-Level, der den Einwand ausgelöst hat. In beiden Fällen war das Wissen vorhanden; es war die hinzugefügte Information, die die falsche Antwort erzeugt hat.

Das Gegenmantra, das Ende 2024 aus den Erfahrungsberichten hervorgegangen ist, heißt schlicht Just Answer The Question, und es zielt genau auf diese Abweichung: Eine verborgene Absicht zu suchen bedeutet, dem Text hinzuzufügen, was er nicht enthält. Seine meistzitierte Formulierung und die Art, wie es das Manager-Mantra entthront hat, werden in unserem Artikel über die Debatte berichtet.

Die hinzugefügte Annahme ist im Übrigen einer der hartnäckigsten Vorbereitungsfehler, weil sie sich mit wachsender Berufserfahrung verstärkt: Sie steht weit oben unter den Fehlern, die man beim Lernen vermeiden sollte.

Antwortet man nach der Praxiserfahrung oder nach dem CBK?

Nach dem CBK, jedes Mal, wenn beide auseinandergehen – und sie gehen oft auseinander. Ein Fragetext will wissen, wie man verhindert, dass ein Angreifer, der das Alltagskonto eines Administrators kompromittiert hat, erhöhte Rechte erlangt: Die kontrollierte Rechteerhöhung steht zwar unter den Optionen, aber die moderne Lösung, die sie absichert – die Multi-Faktor-Authentifizierung –, wird nicht angeboten, und die erwartete Antwort besteht darin, die Privilegien strikt vom Arbeitskonto zu trennen. Alle Kommentierenden des Threads erkennen an, dass dies im Produktivbetrieb schlechte Praxis ist, und schließen daraus, dass man auf das Anliegen antworten muss, wie es formuliert ist.

Derselbe Mechanismus anderswo: Ein Kandidat wendet ein, dass man bei einem schweren Vorfall im wirklichen Leben die Behörden fast sofort benachrichtigt; die Logik des CBK setzt diese Bewertung in eine spätere Phase und setzt sich durch.

Das Umgekehrte gilt genauso, und es ist die Nuance, die Kandidaten am häufigsten verfehlen: Das CBK ist nicht technikfeindlich. Eine Frage nach einem Fernzugriff per Kommandozeile auf ein Netzwerkgerät erwartet eine präzise technische Antwort, keine Richtlinie. Die Formel, die entscheidet:

„Thinking like a manager doesn’t mean you should discard technical answers.“

„Wie ein Manager zu denken bedeutet nicht, dass man technische Antworten verwerfen sollte.“

Deshalb besteht wirksames Wiederholen nicht darin, richtige Antworten auswendig zu lernen, sondern darin, sagen zu können, warum jede falsche Option falsch ist – der Schritt, den Cybridia systematisiert hat: Für jede seiner 4.298 Fragen legt die Erklärung dar, warum die Distraktoren falsch sind. Das ist auch der Grund, warum ein Prozentwert aus einem Probeexamen wenig über das tatsächliche Niveau aussagt, wie unser Richtwert zu den Ergebnissen von Probeprüfungen erläutert.

Was tut man, wenn die Frage schlecht formuliert scheint?

Das kommt vor, auch in angesehenen Werken. Die Erfahrungsberichte dokumentieren eine Frage zu den Nachrichten eines Protokolls zur Adressvergabe, deren offizielle Antwort weithin für einen Redaktionsfehler gehalten wird, der von Auflage zu Auflage nie korrigiert wurde. Eine andere wird für nicht beantwortbar erklärt: Ohne Angabe einer Rolle lassen sich alle vier Optionen verteidigen.

Das empfohlene Vorgehen besteht aus drei Schritten. Jede Frage „in ihrem eigenen Vakuum“ behandeln, ohne Kohärenz mit einer anderen Frage derselben Serie zu suchen. Die am wenigsten schlechte Option nach dem genauen Wortlaut des Fragetexts wählen. Dann zur nächsten übergehen: Die wahre Gefahr einer schlechten Frage ist nicht der verlorene Punkt, sondern der Zweifel, den sie für den Rest der Prüfung sät. Dieser Mechanismus ist derselbe wie der, der in dem Gefühl, während der Prüfung zu scheitern beschrieben wird, und er wird auf dieselbe Weise bekämpft: indem man jede Frage hinter sich schließt.

Bleibt, die Optionen ausschließen zu können. Das ist Gegenstand des Ausschlusses der Distraktoren, und wenn sich zwei ernsthafte Musterlösungen widersprechen, der Entscheidung zwischen Fragenbanken.