Was bedeutet „wie ein Manager denken“ beim CISSP wirklich?

„Wie ein Manager denken“ heißt nicht, die am wenigsten technische Antwort zu wählen: Es heißt, den geschäftlichen Anforderungen zu folgen, die der Fragetext selbst nennt – Kosten, Frist, Compliance, RTO. Der Rat ist mit Abstand der am häufigsten wiederholte: In drei Jahren ausgewerteter Erfahrungsberichte, von Juli 2023 bis Juli 2026, erwähnen 868 Kandidaten „think like a manager“ oder „manager mindset“, und etwa tausend weitere verwenden die exakte Formel in Kommentaren. Dieser Artikel beschreibt, was die Community tatsächlich unter dem Ausdruck versteht; die Frage, ob das Mantra seinen Ruf verdient, wird gesondert behandelt in think like a manager: beim CISSP überbewertet?.

Was heißt beim CISSP genau „wie ein Manager denken“?

Die am höchsten bewertete Definition der Erfahrungsberichte beginnt mit einer Verneinung, und genau darin liegt ihr Wert: Sie widerspricht der Abkürzung, zu der die Formel spontan verleitet.

„The advice to ‚think like a manager‘ does not mean that you should always opt for the least technical answer. It means you should focus on the needs of the business, which are invariably specified in the question — cost, speed, ROI, regulatory compliance, RTO/RPO…“

„Der Rat, ‚wie ein Manager zu denken‘, bedeutet nicht, dass man stets die am wenigsten technische Antwort wählen sollte. Er bedeutet, dass man sich auf die Anforderungen des Unternehmens konzentrieren sollte, die ausnahmslos in der Frage genannt werden – Kosten, Geschwindigkeit, Kapitalrendite, regulatorische Compliance, RTO/RPO…“

Derselbe Kommentar schlägt eine Diagnosekaskade vor, die anschließend häufig wiederkehrt: Scheitert die Organisation aus Mangel an Führung, lautet die Antwort Richtlinie; werden Tätigkeiten nicht beständig ausgeführt, sind es Verfahren; gibt es die Verfahren, werden sie aber nicht befolgt, ist es Schulung; und liegt es an der Technik, die dem Bedarf nicht genügt, dann lautet die Antwort eine technische Lösung, die auf das Geschäft zugeschnitten ist. Der vierte Zweig ist jener, den der Slogan vergessen lässt.

Es kursieren weitere kompakte Formulierungen: eine Wertentscheidung treffen, die auf Zeit, Geld, Ausrichtung an den Zielen und der Risikohaltung der Organisation beruht; oder sich fragen, welche Antwort den Interessen der Organisation am besten dient – im Gegensatz zu ihren Sicherheitsinteressen, isoliert betrachtet. Ein Beitragender fasst den Test in einem Satz zusammen: Haben Sie versucht, das Problem zu reparieren, oder es zu steuern?

Das meistzitierte Lehrbeispiel besteht aus zwei Reaktionen auf dasselbe Ticket. Sie werden gebeten, eine Abwesenheitsnotiz im Postfach einer Person einzurichten, die seit einem Quartal ausgeschieden ist. Der Techniker richtet die Notiz ein und schließt das Ticket; der Manager fragt, warum dieses Postfach überhaupt noch aktiv ist.

Welche Entscheidungsregeln nennt die Community am häufigsten?

Die Kommentare laufen auf rund ein Dutzend Regeln hinaus. Die Häufigkeiten unten sind Größenordnungen.

Regel	Häufigkeit	Was sie besagt
Die gestellte Frage beantworten, nichts anderes	~35 bis 40 Kandidaten	Nichts annehmen: Was der Fragetext nicht sagt, ist nicht geschehen
Langsam lesen, Schlüsselwörter aufspüren	~30	BEST, FIRST, LEAST, PRIMARY ändern die Antwort
Zuerst das Geschäft, dann die Sicherheit	~27	Menschenleben, Kontinuität, Kosten, dann Risiko
Beraten statt reparieren	~25	Eine Antwort „Hände auf der Tastatur“ ist selten die richtige
Prozess und Richtlinie vor der punktuellen Korrektur	~25	Die Ursache behandeln, nicht das Symptom
Die umfassende Antwort wählen	~22	Zweischneidige Regel, gesondert behandelt
Kosten, Kapitalrendite, Verhältnismäßigkeit	~20	„Best“ ist nicht „most secure“
Der vom Fragetext genannten Persona folgen	~17	Die genannte Rolle legt die erwartete Antwortebene fest
Menschen, Prozesse, Technik, in dieser Reihenfolge	~14	Zum Entscheiden zwischen den letzten beiden Antworten
Nichts ohne Genehmigung	~11	Die Leitung trägt das Risiko
Systematisches Ausschließen, Misstrauen gegen Absolutaussagen	~10	„ALL“, „ALWAYS“, „NEVER“ von vornherein ausscheiden
Vorbeugen, dann erkennen, dann korrigieren	~10	Sicherheit wird von vornherein mitgedacht

Die meistgenannte Regel ist kein Managementprinzip: Sie ist eine Leseregel. Sie hat sogar das Gegenmantra „Just Answer The Question“ hervorgebracht, das ab Ende 2024 vorherrschend wurde – ein Umschwung, dessen Einzelheiten und Argumente dargelegt sind in der Debatte über den tatsächlichen Wert des Mantras.

Zwei Regeln dieser Tabelle werden an anderer Stelle ausgeführt, weil sie eher den Umgang mit den Optionen als die Managementüberlegung betreffen: die umfassende Antwort und das Misstrauen gegenüber Absolutaussagen werden behandelt im Ausschluss der Distraktoren, wo insbesondere gezeigt wird, dass sich die erste häufiger gegen den Kandidaten wendet, als man glaubt.

In welcher Reihenfolge abwägen: Menschen, Kontinuität, Kosten oder Risiko?

Die von etwa 27 Kandidaten genannte Prioritätenfolge ist stabil: das Menschenleben, dann die Geschäftskontinuität, dann Kosten und Erträge, dann die Risikominderung. Die meistzitierte Formulierung ist kategorisch: Sobald ein Aspekt von Gesundheit und Sicherheit auftaucht, hat er Vorrang. Bei einem beginnenden Brand in einem Technikraum evakuiert man die Personen, bevor man den Feuerlöscher sucht – und lange bevor man irgendetwas sichert.

Die Kosten stehen weiter oben, als viele Kandidaten glauben. Zwei Formeln fassen die Logik der Verhältnismäßigkeit zusammen: „Best ≠ most secure“ und „Don’t spend $10,000 to protect $200“ – geben Sie keine 10.000 Dollar aus, um 200 Dollar an Wert zu schützen. Es gibt also eine Übersicherung, und sie ist eine falsche Antwort: Eine dedizierte Hardware-Verschlüsselungslösung und eine ständige Rufbereitschaft zu finanzieren, um ein Dokumentenverzeichnis zu schützen, das die Organisation ohnehin bereits auf ihrer Website veröffentlicht, verbraucht Budget, ohne irgendein reales Risiko zu senken. Die Kosten bleiben bei jeder Antwort im Hintergrund, es sei denn, der Fragetext verlangt ausdrücklich, sie zu ignorieren – und wenn er das verlangt, hat dieses geschriebene Kriterium Vorrang vor allem anderen, wie die Methode zum Lesen eines Fragetexts im Einzelnen darlegt.

Diese Abwägung erklärt auch, warum ein Teil der Misserfolge nicht auf fehlendes Wissen zurückgeht, sondern auf eine unter Druck falsch angewandte Prioritätenfolge – ein wiederkehrendes Motiv der dokumentierten Ursachen des Scheiterns.

Muss man die Richtlinie immer der technischen Lösung vorziehen?

Nein, und das ist die Stelle, an der das Mantra am häufigsten entgleist. Die Regel „Korrigieren Sie den Prozess, nicht das Problem“ ist real und gut dokumentiert: Ein nach einem Austritt aktiv gebliebenes Konto verlangt eine Überarbeitung des Austrittsprozesses, nicht nur die Sperrung des Zugangs; ein verbreitetes Teilen von Passwörtern offenbart ein Richtlinien- und Sensibilisierungsproblem, das die Multi-Faktor-Authentifizierung verdeckt, ohne es zu lösen. Man liest ebenfalls sehr häufig, dass eine Richtlinie existieren muss, bevor man irgendetwas einfordern kann.

Doch die Erfahrungsberichte dokumentieren die spiegelbildliche Entgleisung mit derselben Deutlichkeit.

„TLAM has people answering ‚policy‘ over ‚implement TLS‘ when the question asks for a technical control.“

„Das Mantra bringt Kandidaten dazu, ‚Richtlinie‘ statt ‚TLS einführen‘ zu antworten, obwohl die Frage eine technische Maßnahme verlangt.“

Der Fall einer internen Richtlinie, die ein veraltetes System im Produktivbetrieb wissentlich billigt, veranschaulicht die richtige Nuance: Die Richtlinie hat Vorrang, selbst wenn sie absurd erscheint – es sei denn, das Problem rührt gerade von der Richtlinie her, in welchem Fall die erwartete Antwort lautet, sie von der Leitung überarbeiten zu lassen.

Wie verändert die im Fragetext genannte Persona die Antwort?

Das ist die Verfeinerung, die als am robustesten gilt, genannt von etwa 17 Kandidaten: Die im Fragetext benannte Rolle legt die Ebene fest, auf der zu antworten ist, und dieser eine Filter löst einen guten Teil der mehrdeutigen Fragen. Der zugehörige Lesemechanismus, samt dem Erfahrungsbericht, der ihn formuliert, wird ausgeführt in der Antwortmethode; was hier interessiert, ist seine Folge für das Mindset.

Ist keine Rolle genannt, ist die empfohlene Standardhaltung die des Risikoberaters. Hinzu kommt eine Autoritätsregel: In der Welt des CISSP geschieht nichts ohne Genehmigung, und eine Option „die Zustimmung einholen“ oder „die Leitung informieren“ ist oft die richtige. Ein hoch bewerteter Gegenpunkt korrigiert allerdings das entgegengesetzte Übermaß: Wie ein Manager zu denken heißt nicht, aufzuhören zu handeln, sondern die richtige Handlung auf der richtigen Ebene zu wählen – ein Problem an die Leitung zu eskalieren senkt für sich genommen kein Risiko.

Wann nützt das Mindset nichts?

Bei einem erheblichen Teil der Fragen spielt es keine Rolle. Die Erfahrungsberichte nennen mehrere Fallgruppen: reine Wissensfragen, bei denen die erwartete Antwort ein präziser Mechanismus des Entwicklungszyklus ist; Begriffsfragen, bei denen alle vier Optionen vernünftig sind, aber nur eine der verlangten Kategorie entspricht, etwa eine mindernde statt einer vermeidenden Maßnahme; und Werkzeugfragen, bei denen ein verschlüsseltes Administrationsprotokoll schlicht die einzige richtige Option ist. Ein Kommentar entscheidet die Sache: Wie ein Manager zu denken berechtigt Sie nicht, die technischen Antworten auszuschließen.

Die jüngeren Erfahrungsberichte beziffern den Anteil technisch fundierter Fragen auf 50 bis 70 %, wobei die individuellen Schilderungen von 10–20 % bis etwa 70 % reichen – Eindrücke nach einer adaptiven Prüfung, deren Spannweite vor allem die Variabilität der Fragenauswahl misst. Zwei dokumentierte Misserfolge werden im Übrigen einer auf das Mindset ausgerichteten Vorbereitung zugeschrieben. Die Überlegung ersetzt niemals das Wissen.

Wie trainiert man diese Denkweise, ohne sie zum Reflex zu machen?

Das fortgeschrittenste Raster der Erfahrungsberichte spricht überhaupt nicht mehr von Managern: Es verlangt, die Entscheidung, ihren Träger und ihre Phase zu identifizieren, noch bevor man die Optionen ansieht, und seine vollständige Formulierung findet sich in der Antwortmethode. Sein Verfasser zieht daraus einen Schluss, der für diesen ganzen Artikel gilt: Die Prüfung fragt nicht, ob Sie Manager oder Ingenieur sind, sondern ob Sie erkennen können, welche Entscheidung getroffen wird, von wem und unter welchen Rahmenbedingungen. Genau das erfordert auch das adaptive Format der Prüfung, das niemals zu einer bereits bestätigten Frage zurückkehren lässt.

In der Praxis finden sich bei jenen, die es nutzen, ohne sich selbst eine Falle zu stellen, drei Gewohnheiten. Das Mindset als Ausschlusswerkzeug behandeln: Ein Beitragender erklärt, er bringe seiner Lerngruppe bei, damit zwei von vier Antworten auszuscheiden, niemals die richtige zu bestimmen. Hinterher prüfen, ob man erklären kann, warum die drei falschen Antworten falsch sind – das Gegenteil, sich die richtige Antwort ohne ihren Grund zu merken, gehört zu den teuersten Lernfehlern. Und sich den meistwiederholten Dreiklang der Erfahrungsberichte merken, der die Technik wieder an ihren Platz rückt: „Think like a manager, understand like a technician, read like a lawyer“ – denken Sie wie ein Manager, verstehen Sie wie ein Techniker, lesen Sie wie ein Jurist. Diese letzte Fähigkeit trainiert man vor allem an den Schlüsselwörtern der Fragetexte, und die Materialien, die sie vermitteln, werden verglichen in unserer Übersicht der Mindset-Ressourcen.

Die zweite dieser Gewohnheiten ist in der Praxis die anspruchsvollste: Sie setzt eine Lösung voraus, die die drei falschen Antworten behandelt und nicht nur die richtige. Das ist das Format, das für die 4.298 Fragen von Cybridia — unserem Produkt — gewählt wurde: Jede Erklärung benennt auf Deutsch, welche Entscheidung getroffen wird, von wem und in welcher Phase, während der Fragetext auf Englisch bleibt, wie in der Prüfung.

Dieses Raster gilt für den gesamten Weg und nicht für einen einzelnen Baustein: Der Kurs zu allen 8 Domänen, das Glossar und die 8 Probeprüfungen lesen eine Frage genauso wie die Erklärungen, in einer einzigen Anwendung. Und die Fragenbank entsteht im Kreuzen der Ansätze von 14 verschiedenen Fachleuten, was den Kandidaten vierzehn Arten gegenüberstellt, eine Managemententscheidung zu fassen: die Bandbreite, die die Prüfung übt, im Voraus versammelt statt durch den Kauf mehrerer Fragenbanken zusammengesetzt.