Die Punktzahl von 700/1000 beim CISSP: was sie misst und was nicht

Das CISSP gilt ab 700 von 1000 Punkten als bestanden. Der natürliche Reflex ist, darin „70 % richtige Antworten“ zu lesen – und das ist das Missverständnis, das von der Kandidaten-Community am beharrlichsten korrigiert wird. Die CISSP-Punktzahl ist keine Zählung: Sie ist eine Schätzung Ihres Niveaus, berechnet von einem statistischen Modell, das die Schwierigkeit jeder gestellten Frage berücksichtigt. Zwei Kandidaten mit gleich vielen richtigen Antworten können daher sehr unterschiedliche Punktzahlen erhalten.

Diese Anhaltspunkte stammen aus Erfahrungsberichten von Kandidaten (unsere Methodik).

Was bedeuten 700/1000 beim CISSP genau?

Es ist die Bestehensgrenze auf einer Skala von 1000 Punkten. Was sie nicht bedeutet, ist klar belegt:

„The exam is not 70%! [...] the 700/1000 is actually based on WHICH questions you answered correctly. It is NOT LINEAR!!!!!!!! One question could be worth 90 points and another 4.“ („Die Prüfung liegt nicht bei 70 %! Die 700/1000 hängen in Wirklichkeit davon ab, welche Fragen Sie richtig beantwortet haben. Das ist nicht linear! Eine Frage kann 90 Punkte wert sein und eine andere 4.“)

Bei einer adaptiven Prüfung mit 100 bis 150 Fragen – dem seit dem 15. April 2024 geltenden Format, zuvor 125 bis 175 Fragen in 4 Stunden – hat keine Frage dasselbe Gewicht wie ihre Nachbarin. Die Gesamtzahl richtiger Antworten ist somit keine verwertbare Information.

Eine Skala, kein öffentlicher Bewertungsschlüssel

Die Begrenzung auf 1000 Punkte, die Festlegung der Schwelle von 700 und das verlangte Zuverlässigkeitsniveau vor einer Entscheidung sind nicht veröffentlicht: Diese Angaben gehören zur Dokumentation von ISC2, siehe isc2.org.

Wie funktioniert die IRT-Bewertung des CAT?

Das CAT stützt sich auf die Item-Response-Theorie (Item Response Theory), ein Modell, das eine Fähigkeit aus den Antworten und den Eigenschaften der Fragen schätzt:

„CAT examinations use something called 'Item Response Theory' for scoring. Essentially, this is a statistical model that considers not only the correctness of answers but also the difficulty of each question and the test-taker's overall ability.“ („CAT-Prüfungen verwenden für die Bewertung die sogenannte Item-Response-Theorie. Im Kern ist das ein statistisches Modell, das nicht nur die Richtigkeit der Antworten berücksichtigt, sondern auch die Schwierigkeit jeder Frage und die Gesamtfähigkeit des Kandidaten.“)

Zwei praktische Folgen. Erstens bringt eine richtige Antwort auf eine leichte Frage wenig: Sie war zu erwarten. Zweitens sucht der Algorithmus permanent die auf Ihrem Niveau aussagekräftigsten Fragen, was erklärt, warum sich ein Kandidat, der besteht, durchgehend überfordert fühlt.

Warum ist die Punktzahl nicht linear?

Weil das Gewicht einer Frage von ihrer kalibrierten Schwierigkeit und ihrer Trennschärfe abhängt, nicht von ihrem Platz in der Reihenfolge. Die Kandidaten ziehen daraus eine kontraintuitive und häufig zitierte Schlussfolgerung:

„This is also why people can score 50% on practice exams and pass, and why people who score 80% fail. This is also why there is no scoring provided to individuals!“ („Das ist auch der Grund, warum manche in Probeprüfungen 50 % erreichen und bestehen, und warum andere mit 80 % durchfallen. Und deshalb wird den Kandidaten auch keine Punktzahl mitgeteilt.“)

Ein von der Community entwickelter CAT-Simulator, der im Mai 2025 in die offene Beta ging, hat diese Nichtlinearität für seine Nutzer sehr sichtbar gemacht:

Erreichte Punktzahl (Simulator)	Anteil richtiger Antworten
722 / 1000	60 % (40 Fehler bei 100 Fragen)
950 / 1000	60 %
1000 / 1000	68 %

Diese drei Ergebnisse stammen aus verschiedenen Sitzungen und sind keine Punktzahlen einer echten Prüfung. Dass zwei Sitzungen mit 60 % richtiger Antworten 722 und 950 ergeben, liegt an den jeweiligen Fragen und am adaptiven Verlauf. Ein Kandidat, der über seine 722 bei 40 Fehlern überrascht war, erhielt diese Antwort:

„Scoring is based on your ability, not how many are right vs wrong; just like the real exam“ („Die Bewertung beruht auf Ihrem Niveau, nicht auf der Zahl richtiger gegen falsche Antworten; genau wie in der echten Prüfung.“)

Kann man aus seinem Prozentsatz in Probeprüfungen auf sein Niveau schließen?

Nicht verlässlich, und die oben beschriebene Nichtlinearität genügt zur Erklärung: Ein Prozentwert aus Übungstests misst einen Durchschnitt an einer festen Stichprobe, während die offizielle Punktzahl ein Niveau schätzt. Die von bestandenen Kandidaten berichteten Werte streuen im Übrigen je nach genutzter Fragenbank stark, und der Richtwert von 85 % in Probetests wird ausdrücklich bestritten. Die beobachteten Spannen und der stattdessen zu beachtende Indikator sind ausführlich beschrieben in welche Punktzahl in CISSP-Probeprüfungen zu erreichen ist.

Wozu dienen Probeprüfungen dann?

Zu drei Dingen: die Domänen zu erkennen, in denen man ein Konzept nicht erklären kann, sich an das Tempo und die Ermüdung über 3 Stunden zu gewöhnen und sich mit der adaptiven Mechanik vertraut zu machen – etwa Frage 100 zu überschreiten, ohne in Panik zu geraten. In diesem Sinne verbindet Cybridia einen am CAT ausgerichteten adaptiven Modus mit 8 Probeprüfungen unter Zeitnahme: um am Format und am Lesen der Fragen zu arbeiten, nicht um einen prognostischen Prozentsatz zu erzeugen.

Eine Einschränkung nennt im Übrigen der Entwickler des Community-Simulators: „I can't remove questions you've seen in a CAT exam, as that would be the complete opposite of how a CAT engine should work.“ („Ich kann die Fragen, die Sie in einer CAT-Prüfung schon gesehen haben, nicht entfernen, das wäre das genaue Gegenteil davon, wie eine CAT-Engine arbeiten sollte.“) Ein gewisses Maß an Wiederholung ist im adaptiven Training also unvermeidlich.

Welche Punktzahl erhält man am Ende der Prüfung?

Keine, wenn man besteht. Das Dokument, das beim Verlassen des Pearson-VUE-Centers auf Papier ausgehändigt wird – dessen Ablauf beschrieben ist in dem Prüfungstag im Pearson-VUE-Testcenter – weist einen vorläufigen Status ohne Zahl aus:

„I didn't get any results just that I passed no in-depth breakdown“ („Ich habe kein detailliertes Ergebnis erhalten, nur die Tatsache, dass ich bestanden habe.“)

Bei Nichtbestehen liefert der Bericht dagegen eine Einordnung je Domäne auf drei Stufen:

Element des Berichts	Bestanden	Nicht bestanden
Zahlenwert der Punktzahl	nicht mitgeteilt	nicht mitgeteilt
Einordnung je Domäne	nein	ja (Above / Near / Below Proficiency)
Fragenzahl und Restzeit	nicht dokumentiert	auf dem Dokument ausgewiesen

Ein Beispiel für eine Berichtszeile: „150 Questions — Result: 3 Above, 2 Near, 3 Below — Time Left: 5 minutes“. Ein weiterer nützlicher Punkt: Man kann in einzelnen Domänen unter der Schwelle liegen und trotzdem bestehen – „on real exam you can 'fail' some domains and pass. [...] Every domain will be tested, just not sure what the 'minimum' is.“ („In der echten Prüfung kann man einzelne Domänen ,verfehlen‘ und trotzdem bestehen. Alle Domänen werden geprüft, aber das erforderliche Minimum ist nicht bekannt.“) Dieses Minimum ist nicht öffentlich: bei ISC2 zu erfragen.

Der Status „provisionally passed“ wird erst nach der Prüfung des Antrags durch ISC2 bestätigt: Die beobachteten Fristen sind ausführlich beschrieben in wie lange das CISSP-Endorsement dauert.

Was passiert, wenn die Zeit vor dem Ende abläuft?

Zwei gegensätzliche Ausgänge sind dokumentiert, was jede einfache Regel ausschließt.

Einerseits formuliert ein Kommentar die von einer IRT-Bewertung zu erwartende Logik:

„Running out of time is not detriment, unless you ability estimate is below 700.“ („Zeitmangel ist kein Nachteil, es sei denn, die Schätzung Ihres Niveaus liegt unter 700.“)

Ein konkreter Fall stützt das: Ein Kandidat berichtet, „the system timed me out at question 149 [...] But this time, I passed.“ („Das System hat mich bei Frage 149 wegen Zeitablaufs gestoppt […] aber diesmal habe ich bestanden.“)

Andererseits bleibt das Timeout eine dokumentierte Ursache des Scheiterns: „Last month I ran out of time and failed.“ („Letzten Monat ist mir die Zeit ausgegangen und ich bin durchgefallen.“) Anders gesagt: Von der Uhr gestoppt zu werden, zerstört kein bereits über der Schwelle festgestelltes Niveau, rettet aber auch kein darunterliegendes. Zeitmanagement bleibt daher ein echtes Thema, behandelt in Zeitmanagement bei der CISSP-Prüfung.

Letzte Warnung, die sich aus allem Vorstehenden ergibt: Betrachten Sie keine Punktschwelle als Garantie. Weder 700 als ein während der Prüfung berechenbares Ziel noch einen Prozentwert aus Übungstests als Eintrittskarte. Das einzige Urteil ist das Blatt, das beim Verlassen ausgehändigt wird – und die meisten Kandidaten nehmen es in der Überzeugung entgegen, durchgefallen zu sein, ein Erleben, das dokumentiert ist in dem Gefühl, während der CISSP-Prüfung zu scheitern. Was der Zeitpunkt des Abbruchs bedeutet, wird behandelt in Prüfung bei 100 Fragen beendet: bestanden oder durchgefallen?; zur vollständigen Mechanik des Formats siehe das CAT-Format mit 100 bis 150 Fragen.