Die Fehler, die man bei der CISSP-Vorbereitung vermeiden sollte

Zwölf Fallstricke kehren beständig in drei Jahren öffentlicher Erfahrungsberichte mehrerer tausend Kandidaten wieder, darunter 120 im Detail ausgewertete Erfolgsberichte. Hier sind sie, geordnet nach festgestelltem Schaden, jeweils mit dem Gegenmittel.

Rang	Fallstrick	Was stattdessen zu tun ist
1	Sich auf eine technische Prüfung vorbereiten, obwohl es eine Prüfung des Urteilsvermögens ist	Jeden Begriff in eine Entscheidung übersetzen: Was würde eine verantwortliche Person tun, und warum
2	Alles auf das Mindset setzen und die Technik vernachlässigen	Ein echtes technisches Fundament behalten: Der technische Anteil der gezogenen Fragen schwankt stark
3	Materialien anhäufen (resource fatigue)	Ein bis zwei Hauptquellen, dazu verschiedene Fragenbanken
4	Sich auf Ergebnisse leichter Fragenbanken oder auf KI verlassen, um die eigene Vorbereitung zu beurteilen	Die Fehleranalyse als Indikator nutzen, niemals einen Prozentsatz
5	Den Official Study Guide wie einen Roman lesen	Nur die „Exam Essentials“ lesen, den Rest als gezieltes Nachschlagewerk
6	Mit einer veralteten Auflage lernen	Die Auflage prüfen: Der OSG liegt in der 10. Auflage von 2024 vor
7	Steriles Auswendiglernen und Übervorbereitung	Die Klassiker kennen, dann zu den Fragen übergehen
8	Quantum Exams am Vortag kaufen — oder nie öffnen	Es in die letzten 2 bis 6 Wochen einbauen
9	Videos ganzer Domänen passiv anschauen	Mitschreiben und direkt mit den Fragen der Domäne weitermachen
10	Nach einem Nichtbestehen die Bücher erneut lesen	Auf Fragen, Fehlerprotokoll und Denkweise umschwenken
11	Die Prüfung unbegrenzt aufschieben	Zuerst den Termin buchen, danach lernen
12	Der Fallstrick der Foren	Die Zusammenfassungen lesen, nicht einzelne „unmögliche“ Fragen

Sind die ersten beiden Fallstricke Methodenfehler?

Nein, und deshalb werden sie anderswo behandelt. Fallstrick Nr. 1 — für eine technische Prüfung lernen, obwohl die Prüfung das Urteilsvermögen testet — und sein Gegenstück, Fallstrick Nr. 2, der alles auf „think like a manager“ setzt und die Technik beiseitelässt, betreffen eher die Ausrichtung der Vorbereitung als die Organisation der Arbeit: Es sind die beiden am besten dokumentierten Misserfolgsursachen der Erfahrungsberichte, im Detail analysiert in warum man beim CISSP durchfällt.

Die Regel zum Ausweg passt in einen Satz, den die Community beiden Übertreibungen entgegenhält: „KNOW the material like a technician, then APPLY that knowledge like a manager.“ Alles Folgende betrifft die andere Hälfte des Problems — die Art zu arbeiten, in der zehn weitere Fallstricke stecken.

Wie viele Materialien sollte man nutzen, ohne unterzugehen?

Der dritte Fallstrick trägt in den Erfahrungsberichten einen Namen: resource fatigue. Der Mechanismus ist nicht die Menge, sondern der Widerspruch — zwei Autoren lehren zwei Wege, dieselbe Frage anzugehen, und der Kandidat verliert seinen Halt. „Holding conflicting methodologies will destroy your confidence.“ Die wiederkehrende Anweisung ist von brutaler Einfachheit: „pick something and focus on it.“

Der neunte Fallstrick ist eine Variante davon: Stunden passiv angeschauter Videos anhäufen. Das Hören ganzer Domänen „nebenbei“ zählt in den Berichten nicht als Lernen; was zählt, ist das Mitschreiben und danach der unmittelbare Übergang zu den Fragen der behandelten Domäne.

Die daraus folgende Regel ist zweiteilig, und man muss beide Hälften behalten: höchstens ein bis zwei Hauptquellen, aber auch nicht von einer einzigen Quelle abhängen. Die Erfahrungsberichte der Kandidaten dokumentieren beide Misserfolge: den des Kandidaten, der fünf widersprüchliche Methoden anhäuft, und den des Kandidaten, der nur ein einziges Buch gelesen hat oder nur kostenlose Videos. In der Praxis bedeutet das ein Buch oder einen Kurs zum Lernen, kostenlose Materialien zur Festigung und mehrere Fragenbanken — wobei die Vielfalt bei den Fragen nützlich, bei der Lehrmeinung schädlich ist. Die Einzelheiten dieser Kombination finden sich in dem Vergleich der Materialien.

Warum sollte man sich weder auf Ergebnisse leichter Fragenbanken noch auf KI verlassen?

Weil keines von beiden misst, was die Prüfung misst. Die Bewertung ist adaptiv und nicht linear, was die Erfahrungsberichte der Kandidaten unumwunden formulieren: „This is why people can score 50% on practice exams and pass, and why people who score 80% fail.“

Das anschaulichste Beispiel ist der Readiness Score von LearnZapp, der häufig als grünes Licht dient: Er reicht bei bestandenen Kandidaten von 48 % bis 97 %, und ein Nichtbestehen wurde bei 88 % festgestellt. Er sagt nichts voraus, und kein Schwellenwert kann an seine Stelle treten — die bei den anderen Fragenbanken erhobenen Spannen sind ausführlich dargestellt in den Ergebnissen in Probeprüfungen.

Generative KI wirft ein verwandtes Problem auf. Die Erfahrungsberichte der Kandidaten beschreiben sie als ausgezeichneten Tutor — 33 Erwähnungen in den 120 ausgewerteten Erfolgsberichten, mit der Nutzung „erklär es mir wie einem Fünfjährigen“ und der Fehleranalyse —, betonen aber zwei Grenzen: Sie ist niemals Richterin über die Vorbereitung, und ihre Halluzinationen zu CISSP-Inhalten sind real und werden berichtet. Der einzige Fortschrittsindikator, den die Erfahrungsberichte der Kandidaten bestätigen, ist qualitativ: sagen zu können, warum die drei falschen Antworten falsch sind, und nicht nur, warum die richtige richtig ist.

Wie liest man den Official Study Guide, ohne Zeit zu verlieren?

Der fünfte Fallstrick besteht darin, den OSG wie einen Roman zu lesen, Seite für Seite. Das Urteil eines Kandidaten ist eindeutig: „the time I spent on it was utterly wasted.“ Das Werk ist im Übrigen das am stärksten polarisierende der Erfahrungsberichte, mit Bewertungen zwischen 0 und 10 von 10 bei 77 Erwähnungen in den 120 ausgewerteten Erfolgsberichten — ein Zeichen dafür, dass das Problem eher in der Nutzung als im Buch liegt.

Die Methode, die bei denen funktioniert, die ihn mit Gewinn nutzen: die Abschnitte „Exam Essentials“ lesen und den Rest als Nachschlagewerk behandeln, das man in den Domänen konsultiert, in denen die Fragen Lücken offenlegen. Die Seitenzahl ist kein Ziel; die Abdeckung der acht Domänen ist es.

Der sechste Fallstrick lässt sich in dreißig Sekunden ausräumen, kostet aber eine Prüfung: die Auflage prüfen. Die Erfahrungsberichte der Kandidaten führen ein Nichtbestehen ausdrücklich auf das Lernen mit einem alten Sybex zurück, obwohl die 10. Auflage bereits 2024 erschienen ist. Die Prüfung gilt für alle Materialien, Bücher wie Videos: Inhalte von vor der letzten Programmänderung kursieren noch immer weithin, oft kostenlos, was sie umso verlockender macht.

Wann wird Auswendiglernen zur Übervorbereitung?

Der siebte Fallstrick ist das sterile Auswendiglernen. Die geduldig gebauten Eselsbrücken werden in vielen Berichten am Prüfungstag nie verwendet. Ein Kandidat bezeichnet seine 232 Stunden als „complete overkill“, und Burnouts in der letzten Woche kommen regelmäßig vor.

Die vorherrschende Haltung der Erfahrungsberichte ist ein Gleichgewicht: die Klassiker kennen — einige Ports, die großen Prozesse, DRP/BCP, die Schritte der Forensik, das Risikomanagement, den SDLC, die Reaktion auf Vorfälle — ohne Wochen darauf zu verwenden. Der maßgebliche Umfang liegt anderswo, nämlich bei den Fragen: 1.000 bis 3.200 bearbeitete Fragen, mit einer Häufung bei 1.000-2.000. Bearbeitet, das heißt im Nachhinein einzeln nachbereitet und nicht bloß angeklickt.

Der zehnte Fallstrick entspringt demselben Reflex, angewandt nach einem Nichtbestehen: die Bücher wieder aufschlagen, um alles noch einmal zu lesen. Die Erfahrungsberichte der Kandidaten raten davon ab und verschreiben das Gegenteil — Fragen, Fehlerprotokoll und Arbeit an der Denkweise. Das vollständige Vorgehen findet sich in das CISSP nach einem Nichtbestehen wiederholen.

Wann sollte man eine schwere Fragenbank einsetzen?

Der achte Fallstrick ist ein Fehler im Zeitplan, und er tritt in zwei entgegengesetzten Formen auf. Quantum Exams am Vortag der Prüfung zu kaufen garantiert Panik und eine schlaflose Nacht: Die Bank ist bewusst schwerer als die Prüfung, und ihre Ergebnisse vierundzwanzig Stunden vor dem Termin zu erfahren lässt keine Zeit, irgendetwas daraus zu ziehen. Sie zu kaufen und dann nie zu öffnen, am anderen Extrem, nützt nichts. Ihr Platz sind die letzten 2 bis 6 Wochen, nach den Grundlagen, wenn die begangenen Fehler verwertbar werden.

Halten wir hier fest, was man wissen muss, um diese Seite zu lesen: Cybridia gibt eine CISSP-Vorbereitung heraus und verkauft sie: Kurs, Glossar und eine Bank erklärter Fragen auf Deutsch. Die in dieser Rangfolge genannten Werkzeuge — LearnZapp, Quantum Exams, DestCert — sind also zum Teil Wettbewerber. Die Urteile über sie stammen aus den Erfahrungsberichten der Kandidaten, nicht von uns, aber die Leserin und der Leser müssen das berücksichtigen können.

Der elfte Fallstrick schließt den Zeitplan-Teil ab: die Prüfung unbegrenzt aufschieben. „I have been trying to get CISSP for 11 years.“ Sein Gegenmittel ist der am häufigsten wiederholte Rat aus allen Erfahrungsberichten der Kandidaten — zuerst den Termin buchen, danach lernen, denn „No one ever feels 100% ready. Commit to a timeline and stick to it.“ Die letzten Tage wiederum folgen einer einzigen Anweisung: keine neuen Inhalte, Ruhe am Vortag. Was während der Prüfung selbst geschieht — Rhythmus, Halt bei der hundertsten Frage, Umgang mit der Uhr — gehört zu einem anderen Thema, behandelt in dem Zeitmanagement in der Prüfung.

Warum sind die Foren selbst ein Fallstrick?

Der zwölfte Fallstrick betrifft die Quelle aller anderen, und es wäre unredlich, ihn in einem darauf aufgebauten Artikel nicht zu erwähnen. Die online geposteten Fragen sind nach ihrer Schwierigkeit ausgewählt: Niemand veröffentlicht eine offensichtliche Frage. Wer eifrig mitliest, schließt daraus, die Prüfung sei eine Mauer, während er in Wahrheit einen Auswahlbias beobachtet. „Don't dive too deep into the Reddit echo chamber.“

Dieselbe Warnung gilt für die dort kursierenden Erfolgszahlen. Die rohe Auszählung weist 915 Kandidaten aus, die ein Bestehen melden, gegenüber 95, die ein Nichtbestehen melden, also rund 90,6 % — eine Zahl, die dadurch aufgebläht ist, dass man ein Bestehen bereitwilliger feiert als ein Nichtbestehen. Umgekehrt stammt die regelmäßig zitierte Quote von „20 % im ersten Versuch“ aus einer einzigen Nachricht ohne Quelle. Beide Eckwerte sind gleichermaßen wenig verlässlich und dürfen nie als tatsächliche Bestehensquote dargestellt werden.

Die nützliche Lesart dieser Gesamtheit von Erfahrungsberichten ist daher die der Muster, nicht die der Einzelfälle, und die am häufigsten wiederholte Schlussfolgerung bleibt persönlich: „Focus on your own paper. Some people pass in a week, some in 5 years… Build the plan that works for you, not anyone else.“ Um diesen Plan aufzustellen, siehe wie viel Zeit einzuplanen ist, und unsere Methodik dazu, was diese Quellen zu behaupten erlauben.