Wie lange dauert die Vorbereitung auf das CISSP?

Rechnen Sie mit 2 bis 4 Monaten und rund 200 bis 250 Stunden: Das ist die typische Vorbereitung, die sich aus drei Jahren öffentlicher Erfahrungsberichte mehrerer tausend Kandidaten ergibt, darunter 120 im Detail ausgewertete Erfolgsberichte. Im Folgenden steht, was diese Berichte über reale Dauern, über den Rhythmus, der sich durchhalten lässt, und über die Gliederung dieser Monate sagen.

Wie viele Monate braucht die CISSP-Vorbereitung wirklich?

Die Dauer, die die Erfahrungsberichte der Kandidaten deutlich dominiert, liegt bei 2 bis 4 Monaten: Es ist der am häufigsten genannte Wert in den Erfolgsberichten.

Vorbereitungsdauer	Was die Erfahrungsberichte dazu sagen	Betroffenes Profil
Einige Tage bis 3 Wochen	Kommt vor, bleibt aber die Ausnahme	Ausschließlich 10 bis 20 Jahre Erfahrung
2 bis 4 Monate	Modalwert der Erfahrungsberichte	Übliches Profil
4 bis 6 Monate	Einzige Erwähnung in den Berichten: jenseits davon „perhaps the approach needs to change“	Nicht näher angegeben
6 bis 12 Monate	Häufig mit einem zwischenzeitlichen Nichtbestehen verbunden	Gestreckte oder unterbrochene Verläufe

Diese Spanne von 2 bis 4 Monaten deckt sehr unterschiedliche Situationen ab. Sie setzt Regelmäßigkeit voraus: Die Erfahrungsberichte der Kandidaten beschreiben tägliche Einheiten, keine vereinzelten Aufhol-Wochenenden. Sie setzt außerdem voraus, dass Sie mit der von ISC2 geforderten Berufserfahrung starten — fünf Jahre, oder vier mit einem anerkannten Abschluss oder einer anrechenbaren Zertifizierung.

Wie viele Stunden insgesamt, und in welchem Wochenrhythmus?

Der genannte Stundenumfang bewegt sich um 200 bis 250 Stunden, mit Extremwerten von 12 Stunden bis 600 Stunden. Ein Kandidat bezeichnet seine eigenen 232 Stunden als „overkill“: Das obere Ende der Spanne ist kein anzustrebendes Ziel.

Parameter	In den Erfahrungsberichten festgestellter Wert
Gesamtstundenzahl	~200-250 h (genannte Extremwerte: 12 h bis 600 h)
Rhythmus unter der Woche	1 bis 3 h pro Tag
Rhythmus am Wochenende	3 bis 8 h
Bearbeitete Übungsfragen	1.000 bis 3.200, mit einer Häufung bei 1.000-2.000

Der Wochenrhythmus zählt mehr als die Gesamtsumme. Die Erfahrungsberichte der Kandidaten beschreiben eine tägliche Praxis über mehrere Monate, keine vereinzelten intensiven Wochenenden: Die Regelmäßigkeit baut die Lesereflexe auf, die die Prüfung verlangt. Der Fragenumfang ist der zweite nützliche Indikator: Die Erfahrungsberichte verorten den Konvergenzpunkt zwischen 1.000 und 2.000 bearbeiteten Fragen — bearbeitet heißt nachbereitet, nicht bloß angeklickt. Die Streuung dieses Umfangs und ihre Bedeutung sind ausführlich dargestellt in wie viele Fragen vor der Prüfung.

Kann man das CISSP in 1 bis 3 Wochen schaffen?

Ja, und solche Berichte gibt es in den Erfahrungsberichten. Aber sie teilen alle dasselbe Merkmal: Es sind ausschließlich Profile mit 10 bis 20 Jahren Erfahrung in der Sicherheit. Die Auswertung identifiziert die Berufserfahrung als die Variable Nummer eins für das Ergebnis, noch vor der Wahl der Materialien und noch vor der Stundenzahl.

Diese Blitzvorbereitungen sind deshalb gar keine Vorbereitungen: Es sind Auffrischungen zum Prüfungsformat und zum ISC2-Vokabular, aufgesetzt auf fünfzehn Jahre Praxis. Wenn Sie gerade erst die geforderten fünf Jahre Erfahrung erreicht haben, sind diese Berichte kein übertragbares Modell. Ein Zitat aus den Erfahrungsberichten fasst die vorherrschende Haltung zusammen: „Focus on your own paper. Some people pass in a week, some in 5 years… Build the plan that works for you, not anyone else.“ Um ein Gefühl für diese Streuung über ganze Verläufe zu bekommen, siehe die Erfolgsberichte.

Warum sind Vorbereitungen von mehr als sechs Monaten ein Problem?

Verläufe von 6 bis 12 Monaten tauchen in den Erfahrungsberichten auf, sind dort aber überwiegend mit einem zwischenzeitlichen Nichtbestehen verbunden — der Kandidat schildert sein Bestehen nach einem ersten gescheiterten Versuch. Die Warnung „Don't spend more than 6 months on this certification“ kommt mehrfach vor.

Drei Mechanismen treten in den Berichten hervor. Der erste ist das Vergessen: Die im zweiten Monat gelernten Domänen halten ohne Wiederholung nicht bis zum zehnten Monat, was die Vorbereitung in eine Schleife verwandelt. Der zweite ist die Veralterung — Prüfung und Materialien entwickeln sich weiter, und die Erfahrungsberichte der Kandidaten führen ein Nichtbestehen ausdrücklich auf das Lernen mit einer überholten Sybex-Ausgabe zurück, obwohl die 10. Auflage bereits 2024 erschienen ist. Der dritte ist das unbegrenzte Aufschieben, illustriert durch diesen Bericht: „I have been trying to get CISSP for 11 years.“

Umgekehrt ist die Ausdauer dokumentiert: Von den 34 verfolgten Berichten über ein Nichtbestehen enden 23 mit einer Glückwunschnachricht. Ein Nichtbestehen ist keine Sackgasse, kostet aber ein bis zwei Monate Verzögerung bis zur Wiederholung.

Wie sieht die häufigste Abfolge in 4 Phasen aus?

Die Auswertung identifiziert eine Struktur, die rund 70 % der ausgewerteten Erfolge gemeinsam haben.

Phase	Dauer	Inhalt	Ziel
1. Grundlagen	4 bis 8 Wochen	EINE Hauptquelle vollständig gelesen oder gesehen, mit Mitschrift	Die 8 Domänen einmal lückenlos abdecken
2. Festigung	Variabel	MindMaps und Exam Cram in Schleife, Karteikarten zu Vokabular und Prozessen	DRP/BCP, OSI, Forensik, Risikomanagement, SDLC, IR verankern
3. Intensives Fragentraining	Letzte 2 bis 6 Wochen	Verschiedene Fragenbanken, Fehlerprotokoll	An Denkweise und Ausdauer arbeiten
4. Letzte Tage	Nicht näher angegeben	Gezielte Wiederholung, keine neuen Inhalte, Ruhe am Vortag	Ausgeruht ankommen

Phase 1 wird Domäne für Domäne gesteuert: Übersichtsvideo zur Domäne, dann das Buchkapitel, dann alle Fragen der Anwendung zu dieser Domäne, dann Nachbereitung der Fehler, bis 70 bis 80 % in genau dieser Domäne erreicht sind. Phase 3 beruht auf einer ausdrücklichen Regel aus den Erfahrungsberichten: verstehen, warum die drei falschen Antworten falsch sind, und nicht nur, warum die richtige richtig ist.

Sollte man den Prüfungstermin buchen, bevor man bereit ist?

Das ist der am häufigsten wiederholte Rat aus allen Erfahrungsberichten der Kandidaten, so formuliert: „No one ever feels 100% ready. Commit to a timeline and stick to it.“ Mehrere Kandidaten, die ihre Prüfung 7 bis 11 Jahre lang aufgeschoben hatten, bestanden erst, nachdem sie zuerst gebucht und danach gelernt hatten.

Der Grund liegt darin, dass es keine Alternative gibt: Es existiert kein verlässlicher Bereitschaftsindikator. Der Readiness Score von LearnZapp, den viele als grünes Licht verwenden, reicht von 48 % bis 97 % bei bestandenen Kandidaten, und ein Nichtbestehen wurde bei 88 % festgestellt: Er sagt nichts voraus. Die für jede Fragenbank beobachteten Spannen finden sich in den Ergebnissen in Probeprüfungen.

Die Erklärung liegt im Format: Die Bewertung der adaptiven Prüfung ist nicht linear, und die Erfahrungsberichte der Kandidaten formulieren es direkt — „This is why people can score 50% on practice exams and pass, and why people who score 80% fail.“ Auf einen Schwellenwert zu warten heißt also, auf ein Signal zu warten, das nicht kommen wird. Ein gebuchter Termin dagegen legt das Ende von Phase 3 fest.

Wie passt man diesen Plan an das eigene Profil an?

Da die Berufserfahrung die Hauptvariable ist, bestimmt der Ausgangspunkt, wo die Stunden hingehen — nicht, wie viele nötig sind.

Profil	Vorherrschend gemeldete Schwierigkeit	Von den Erfahrungsberichten nahegelegte Anpassung
GRC, Audit, Compliance	Domänen 3 und 4: Kryptografie, Netzwerk	Phase 1 auf den technischen Domänen verlängern
Engineering, Netzwerk, Pentest	Themenfeld Governance und Risikomanagement	Phase 3 stark mit Beurteilungsfragen bestücken
10 bis 20 Jahre Erfahrung	Format und ISC2-Vokabular	Kurze Vorbereitung möglich, auf Fragen ausgerichtet
Gerade erst fünf Jahre Erfahrung	Abdeckung der 8 Domänen	Beim Modalwert von 2 bis 4 Monaten bleiben, ohne Verdichtung

Zwei Punkte gelten für alle Profile. Der Prüfungstermin wird früh gebucht, ganz gleich wie hoch das Vertrauen ist. Und wenn ein erster Versuch scheitert, sind die Erfahrungsberichte der Kandidaten eindeutig: nicht die Bücher noch einmal lesen, sondern auf Fragen, Fehleranalyse und die Arbeit an der Denkweise umschwenken — die Kandidaten, die im Wiederholungsversuch bestehen, ändern zwei Dinge: Sie schließen die echten technischen Lücken und hören auf, eine einzige Heuristik zu überdehnen.

Zur Wahl der Materialien für jede Phase siehe den Vergleich der CISSP-Materialien; zu dem, was einen Lernplan entgleisen lässt, siehe die 12 klassischen Fallstricke.

Ein Wort zum Werkzeug, mit dem Hinweis, dass Cybridia unser Produkt ist. Das Muster, das sich aus den Erfahrungsberichten ergibt, greift auf drei getrennte Bausteine zurück — „OSG builds knowledge, LearnZapp builds reps, QE trains thinking" —, also auf drei Abonnements, drei Oberflächen und drei getrennte Fortschrittsverläufe. Wir haben unseres so gebaut, dass es diese Rollen an einem Ort und über diese zwei bis vier Monate hinweg trägt: ein Kurs mit 226 Abschnitten zu allen 8 Domänen, ein Glossar mit 318 Einträgen, 398 Lernkarten und 4.298 erklärte Fragen, geschrieben im Kreuzen der Ansätze von 14 verschiedenen Fachleuten, darunter 8 Probeprüfungen mit Zeitmessung und ein am CAT orientierter adaptiver Modus — alles auf Deutsch.

Genau das verlangt die übergreifende Regel der Erfahrungsberichte: ein bis zwei Hauptquellen, kein Stapel. Und der Vier-Phasen-Plan muss nicht mehr von Hand geführt werden. Die Wiederholungsliste füllt sich selbst — falsch beantwortete, markierte und als geraten eingestandene Fragen kommen sofort zurück, gekonnte später —, die Auswertung je Domäne benennt die noch schwache, und die 8 Probeprüfungen schalten sich nach Schwierigkeitsstufe frei. Das ist der Unterschied zwischen einem Plan, den man schreibt, und einem Weg, der sich steuern lässt.