Das CISSP ohne Erfahrung in der Cybersicherheit bestehen: was Kandidaten berichten

Ja, man kann die CISSP-Prüfung bestehen, ohne in der Cybersicherheit zu arbeiten, und Kandidaten berichten davon: Hochschulabsolventen, Auditoren, Risikoberater, Quereinsteiger. „Kann man das CISSP ablegen, ohne in der Cybersicherheit zu arbeiten?“ gehört zu den am häufigsten gestellten Fragen deutschsprachiger Kandidaten, und das Archiv aus drei Jahren öffentlicher Erfahrungsberichte erlaubt es, sie mit konkreten Fällen zu beantworten. Eine Klarstellung: Das Bestehen der Prüfung reicht für die Zertifizierung nicht aus, denn ISC2 verlangt darüber hinaus eine Bestätigung der Berufserfahrung, deren Regeln auf isc2.org dargelegt sind. Alles Folgende betrifft die Prüfung selbst.

Kann man die Prüfung bestehen, ohne in der Cybersicherheit zu arbeiten?

Ja. Von den 200 in voller Länge veröffentlichten Berichten stammen rund zehn von Kandidaten, die zum Zeitpunkt der Prüfung nach eigener Angabe keine Position in der Cybersicherheit innehatten — etwa einer von zwanzig Berichten. Es sind freiwillige Berichte, keine Statistik über Kandidaten.

Der deutlichste Titel stammt von einem Kandidaten, der angibt, „keinerlei Erfahrung in der Cybersicherheit“ zu haben und im ersten Anlauf bei 150 Fragen bestanden zu haben, nach vier Wochen Vorbereitung, mit grundlegender IT-Erfahrung und einem gerade abgeschlossenen Master in Cybersicherheit. Ein anderer, seit zwei Jahren IT-Spezialist in einem Krankenhaus, schreibt:

„I wanted to write this to tell everyone who thinks that they shouldn’t take this, or can’t take this, if they don’t have the experience, that you can.“

„Ich wollte das schreiben, um allen zu sagen, die glauben, sie sollten diese Prüfung nicht ablegen oder könnten es mangels Erfahrung nicht: Sie können es.“

Das Gegenteil ist ebenso gut dokumentiert: Die Erfahrungsberichte zum Thema Nichtbestehen enthalten weitaus erfahrenere Kandidaten, die gescheitert sind. Fehlende Erfahrung schließt das Bestehen nicht aus; vorhandene Erfahrung garantiert es nicht.

Welche Profile ohne Erfahrung bestehen in den Berichten?

Die erfassten Fälle lassen sich in vier Gruppen zusammenfassen.

Die Hochschulabsolventen. Ein Kandidat mit einem Bachelor in Rechnungswesen und einem Master in Business Analytics, ganz ohne Berufserfahrung, hat das CISSP abgelegt, bevor er in eine Wirtschaftsprüfungsgesellschaft eintrat. Ein anderer, zwei Jahre allgemeine IT und ein Bachelor in Cybersicherheit, hat es abgelegt, um den Einstieg in das Berufsfeld zu versuchen.

Die Profile aus Governance, Audit und Risiko. Sie sind am zahlreichsten. Ein Berater für Management und unternehmensweites Risikomanagement, zwölf Jahre im Beruf, beschreibt seine Lage ohne Umschweife:

„I’ve never provisioned accounts, troubleshot network issues, or worked with cryptography. However, my experience in risk management helped me understand what’s best for the business.“

„Ich habe nie Konten eingerichtet, nie ein Netzwerkproblem diagnostiziert, nie mit Kryptografie gearbeitet. Dafür hat mir meine Erfahrung im Risikomanagement geholfen zu verstehen, was für das Unternehmen das Beste ist.“

Die angrenzenden Berufe. Ein Pre-Sales-Ingenieur einer Sicherheitsplattform, der die Stelle mit „sehr wenig Sicherheitserfahrung“ angetreten hatte, stellte einen Zehn-Wochen-Plan auf; ein Fachmann für Qualitätsmanagement bei Medizinprodukten, später PLM-Architekt, strebte die Zertifizierung an, um mit seinen Kunden über Sicherheit sprechen zu können.

Die Quereinsteiger. Ein Kandidat fasst seinen Weg in drei Worten zusammen — „kein Hintergrund, Quereinstieg“ — und ergänzt, er sei von einem Niveau gestartet, auf dem ihm das Wort „Kernel“ nichts sagte. Er hat im zweiten Anlauf bestanden.

Worin besteht die Schwierigkeit für ein nicht technisches Profil?

Sie konzentriert sich auf die technischen Domänen, und die Verfasser benennen sie. Ein Kandidat aus Governance, Risiko und Compliance, ohne IT-Ausbildung, beschreibt seinen Ausgangspunkt: eine einzige Domäne über der Schwelle, bevor er mit dem Lernen begann — Sicherheit und Risikomanagement. Als die aufwendigsten Domänen werden Architektur, Kommunikations- und Netzwerksicherheit sowie Softwareentwicklung genannt.

Die zweite Schwierigkeit ist psychologischer Art. Das Hochstapler-Syndrom kommt in mehreren dieser Berichte ausdrücklich vor, darunter dem einer Sicherheitsfachfrau, die ihre Besprechungen mit der Ankündigung eröffnete, sie sei „nicht technisch“.

Die dritte Falle ist für diese Profile spezifisch: zu glauben, das Denken „wie ein Manager“ mache technisches Wissen entbehrlich. Ein neunzehnjähriger Kandidat mit rund drei Jahren Erfahrung in der Cybersicherheit hat seine gesamte Vorbereitung auf dieser Annahme aufgebaut und ist bei der hundertsten Frage gescheitert:

„I decided to focus on the mindset foremost […] This was a huge mistake. I was utterly blindsided by questions asking for technical applications of concepts I had never heard of.“

„Ich habe beschlossen, mich vor allem auf die Denkweise zu konzentrieren […] Das war ein riesiger Fehler. Fragen nach technischen Anwendungen von Konzepten, von denen ich nie gehört hatte, haben mich völlig kalt erwischt.“

Die Geschichte endet hier nicht, und das muss gesagt werden, um jede Verwechslung mit den Associate-Berichten zu vermeiden: Derselbe Verfasser hat die Prüfung wiederholt und sie mit zwanzig bestanden, ebenfalls bei der hundertsten Frage, nachdem er sich die Inhalte statt allein der Haltung noch einmal vorgenommen hatte. Da er die geforderten fünf Jahre nicht hatte, wurde er Associate of ISC2 und steht zu diesem Status, der seinem Arbeitgeber genügte. Also ein einziger Kandidat und zwei Etappen: das hier zitierte Nichtbestehen, das dort zitierte Bestehen.

Eine der am häufigsten aufgegriffenen Formulierungen in den Berichten über das Nichtbestehen stammt aus einem Kommentar mit sehr vielen Upvotes: den Stoff beherrschen wie ein Techniker und ihn dann anwenden wie ein Entscheider — beides, nicht das eine oder das andere.

Ein Gegenargument zum Abschluss dieses Abschnitts. Fehlende Erfahrung ist nicht der einzig mögliche Nachteil: Die Erfahrungsberichte zum Nichtbestehen identifizieren im Gegenteil die zu technische Vorbereitung als die am häufigsten selbst diagnostizierte Ursache des Scheiterns, mit Kandidaten mit zehn bis zwanzig Jahren Erfahrung in Netzwerk, Cloud oder Security Operations Center, die scheitern, weil sie wie Ausführende statt wie Berater geantwortet haben. Anders gesagt: Praxiserfahrung entbindet nicht von der Vorbereitung, und ihr Fehlen ist kein Ausschlussgrund. Dieser Aspekt ist nicht Gegenstand dieses Artikels; er wird behandelt in warum man das CISSP nicht besteht.

Wie lange haben diese Kandidaten gelernt?

Die genannten Dauern reichen von sechs Wochen bis über ein Jahr, mit zwei Konstanten.

Berichtetes Profil	Genannte Dauer
Ohne IT-Erfahrung	1,5 Monate intensiv, berufsbegleitend
Hochschulabsolvent ohne Erfahrung	~2 Monate mit ~5 Stunden pro Tag
Ohne technischen Hintergrund	2,5 bis 3 Monate intensiv
Pre-Sales-Ingenieur	Zehn-Wochen-Plan
Audit und Risikoberatung	11 Monate, mit einem Nichtbestehen
Keine Erfahrung im Kernbereich	Mehr als ein Jahr, mit einem Nichtbestehen

Erste Konstante: Diese Vorbereitungen sind länger und dichter als die der erfahrenen Profile derselben Berichtssammlung, in der es Verläufe von zwei bis drei Wochen gibt. Zweite Konstante: Mehrere dieser Kandidaten gehen weit über die hundertste Frage hinaus — 150 kommt in diesen Berichten vor und 175 in den älteren, im Format von vor April 2024. Die Stichprobe ist zu klein, um daraus eine Regel zu machen, sie rechtfertigt es aber, die Prüfung in ihrer langen Fassung einzuplanen, statt auf einen frühen Abbruch zu hoffen.

Sollte man mit einer leichter zugänglichen Zertifizierung beginnen?

Das ist nicht zwingend, und die Berichte liefern Argumente in beide Richtungen.

Dafür. Der oben erwähnte Hochschulabsolvent schließt seinen Bericht, obwohl er bestanden hat, mit einer Warnung:

„Looking back […] the CISSP exam is probably not ideal for fresh graduates. I would recommend starting with something more foundational to build up your knowledge before tackling CISSP.“

„Im Rückblick […] ist die CISSP-Prüfung für frische Absolventen wahrscheinlich nicht ideal. Ich würde empfehlen, mit etwas Grundlegenderem anzufangen, um sich eine Basis aufzubauen, bevor man das CISSP angeht.“

Ein anderer Kandidat, der bereits eine Cloud-Zertifizierung desselben Anbieters besaß, ist der Ansicht, dass ihm eine erste Prüfung dieses Anbieters erspart hat, das Format erst am Prüfungstag kennenzulernen. Mehrere Berichte erwähnen eine schrittweise Abfolge allgemeiner Zertifizierungen vor dem CISSP, dargestellt als das Fundament, das die Vorbereitung erträglich gemacht hat.

Dagegen. Andere Verfasser halten das CISSP für weniger anspruchsvoll im reinen Auswendiglernen als bestimmte Zertifizierungen, die als leichter zugänglich gelten, und ein Kandidat ohne IT-Ausbildung hat es ganz ohne vorherige Zertifizierung bestanden. Der oben zitierte Berater für Risikomanagement richtet eine direkte Botschaft an seinesgleichen: sich weder von einem nicht technischen Profil noch von mittelmäßigen Übungsergebnissen entmutigen lassen, sofern man die Konzepte auf eine Unternehmensentscheidung anwenden kann.

Ein Kandidat ohne unmittelbare Erfahrung rät schließlich, eine Zertifizierung zu besitzen, die auf die Erfahrungsanforderung von ISC2 angerechnet wird, um nach der Prüfung Zeit für den Aufbau des eigenen Werdegangs zu haben. Diese Anrechnung ist laut Community auf insgesamt ein Jahr gedeckelt, unabhängig von den vorgelegten Nachweisen: die für das CISSP erforderliche Berufserfahrung legt dar, was Kandidaten geltend machen konnten. Die geltenden Regeln selbst sind auf isc2.org zu prüfen.

Um diese Fälle in die Gesamtheit der Erfahrungsberichte einzuordnen, siehe die 200 Erfolgsberichte und unsere Methode.