Wo man kostenlose CPE für seinen CISSP findet

BrightTALK, die virtuellen SANS-Summits und die Inhalte des ISC2-Mitglieder-Dashboards: Das ist das Trio kostenloser Quellen, das die Community zuerst empfiehlt, mit über drei Jahre hinweg bemerkenswert stabilen Antworten. Der Rest — Podcasts, Konferenzen, Zertifizierungen — ist Ergänzung. Ob eine Aktivität anrechenbar ist und welcher Gruppe sie zugeordnet wird, regelt das auf isc2.org veröffentlichte CPE Handbook; die Erfahrungsberichte enthalten einen Fall nachträglicher Umklassifizierung von 20 Stunden aus Gruppe A in Gruppe B.

Ein Punkt, der gleich vorweg zu nennen ist: alle hier erfassten Quellen sind englischsprachig, denn in drei Jahren Archiv wird keine deutschsprachige CPE-Quelle genannt. Die Aufrechterhaltung der Zertifizierung setzt in der Praxis also voraus, dass man sich im Englischen beim Zuhören wie beim Lesen wohlfühlt.

Welche Quelle empfiehlt die Community am häufigsten?

BrightTALK, ohne ernsthafte Konkurrenz. Es ist die Reflexantwort, manchmal ohne jeden weiteren Kommentar gegeben:

„BrightTALK. Nothing else.“

Übersetzung: „BrightTALK. Nichts sonst.“

Der wesentliche Vorteil liegt in der automatischen Gutschrift: Die von ISC2 gesponserten Kanäle buchen die CPE direkt auf das Konto, sobald dort die Mitgliedsnummer hinterlegt ist. Die in den Erfahrungsberichten genannten Kanäle sind ISC2 Think Tank, Knowledge Vault, APAC Secure Webinars und Security Briefings, davon eine EMEA-Variante.

Zwei Vorbehalte kehren wieder. Der erste ist die Menge an Werbe-E-Mails, die auf die Anmeldung folgt — so groß, dass allgemein geraten wird, dafür eine eigene E-Mail-Adresse zu verwenden. Der zweite ist, dass die automatische Gutschrift als launisch beschrieben wird: Sie funktioniert meistens, aber nicht immer.

Welche Quellen schreiben dem ISC2-Konto automatisch gut?

Drei Familien treten hervor: BrightTALK, die virtuellen SANS-Summits und die ISC2-internen Inhalte (Quiz und Webinare des Mitglieder-Dashboards). Die SANS-Summits sind Gegenstand des bestbewerteten Kommentars eines der Threads:

„SANS virtual summits are my main source of CPEs. They're free, always high quality and they register your CPEs with ISC2 automatically“

Übersetzung: „Die virtuellen SANS-Summits sind meine wichtigste CPE-Quelle. Sie sind kostenlos, immer von guter Qualität, und sie melden Ihre CPE automatisch an ISC2.“

Es folgen die genannten kostenlosen Quellen mit den Größenordnungen und Fristen, wie sie in den Erfahrungsberichten wiedergegeben werden.

Quelle (kostenlos)	Größenordnung in CPE	Frist bis zum Erscheinen auf dem Zähler
BrightTALK, von ISC2 gesponserte Kanäle	1 pro Webinarstunde	Automatisch, etwa 1 Woche, wenn die Adresse zum Konto passt
Virtuelle SANS-Summits	12 bis 15 pro zweitägigem Summit	Automatisch, Frist nicht genannt
Webinare des ISC2-Dashboards	Laut einem Kommentar genug, um die 120 abzudecken	15 bis 45 Tage
ISC2 Insights Quiz	2 in Gruppe A pro Quiz, etwa 6 Quiz pro Jahr	15 bis 45 Tage
Podcasts	1 pro Hörstunde	Manuelle Meldung
Microsoft Learn (Lernpfade SC-200, SC-300)	Etwa 40 für einen Lernpfad	Manuelle Meldung
ISO 27001 Lead Auditor, kostenlose Schulung	Etwa 11	Manuelle Meldung
FutureCon, mit kostenlosem Zugangscode	Etwa 10 pro Monat	Manuelle Meldung
SECON, ISC2-Chapter New Jersey, online	5	Manuelle Meldung
Wöchentliche Webcasts von Black Hills / Antisyphon	1 pro Stunde, Bescheinigung wird ausgestellt	Manuelle Meldung
Webinare von Herstellern und Fachmagazinen	1 pro Stunde	Manuelle Meldung
Ehrenamt, Publikationen, Treffen des lokalen Chapters	Variabel	Manuelle Meldung

Die Quiz verdienen eine besondere Erwähnung: Sie werden in Gruppe A gutgeschrieben, die Versuche sind unbegrenzt, und ein halbes Dutzend steht pro Jahr zur Verfügung, also rund ein Dutzend Punkte ohne Aufwand. Ihr einziger Nachteil ist die Erfassungsfrist, die bis zu 45 Tage betragen kann.

Ein Kommentar geht bei den ISC2-internen Inhalten noch weiter:

„The webinars that are available to you in your membership dashboard are enough to earn all 120 cpes“

Übersetzung: „Die in Ihrem Mitglieder-Dashboard verfügbaren Webinare reichen aus, um sämtliche 120 CPE zu erhalten.“

Wie viele CPE bringt eine Konferenz?

Konferenzen sind die zweite große Quellenfamilie. Sie bieten den besten Ertrag pro Stunde, sind aber nicht alle kostenlos.

Veranstaltung	Kostenlos oder kostenpflichtig	Größenordnung in CPE
ISC2 Security Congress	In den Erfahrungsberichten nicht angegeben	Etwa 70 auf einmal
DefCon	In den Erfahrungsberichten nicht angegeben	20 bis 32
BSides	In den Erfahrungsberichten nicht angegeben	8 bis 16
SecureWorld	Kostenpflichtig, 320 US-Dollar genannt	12
FutureCon	Kostenlos mit Zugangscode	Etwa 10 pro Monat
SECON des ISC2-Chapters New Jersey	Kostenlos, online	5
Treffen des lokalen Chapters	In der Regel kostenlos	Variabel

Beim Nachweis verlangt eine Konferenz keine Förmlichkeit: Ein nach der DefCon geprüftes Mitglied berichtet, es habe Screenshots seiner eigenen, vor Ort verfassten Beiträge eingereicht, und die 35 gemeldeten Punkte seien akzeptiert worden.

Zählen Podcasts, Bücher und Videos wirklich?

Ja, als Selbststudium, und die Community ordnet sie Gruppe A zu. Ein Trio von Podcasts kehrt regelmäßig wieder: Security Now, Darknet Diaries und Paul's Security Weekly.

Zwei praktische Punkte treten hervor. Erstens erfolgt die Meldung Episode für Episode, was die erkennbare Vorliebe für lange Formate erklärt — ein zweistündiger Wochenpodcast bringt bei gleicher Zahl an Eingaben mehr Punkte. Zweitens genügt eine kurze schriftliche Zusammenfassung als Beleg: Ein geprüftes Mitglied berichtet, es habe „einen Screenshot von Spotify als Nachweisdokument“ eingereicht, „und das wurde akzeptiert“.

Dieselben Grundsätze gelten für Bücher, Artikel, Whitepapers und Schulungsvideos. Auch kostenpflichtige Plattformen kehren regelmäßig wieder: Kurse von über zwanzig Stunden, die für rund 10 US-Dollar gekauft wurden, oder ein Abonnement für Online-Weiterbildung, über das ein Mitglied schreibt:

„I binged probably 80 CPEs worth of LinkedIn Learning last year“

Übersetzung: „Ich habe letztes Jahr wohl den Gegenwert von etwa 80 CPE an LinkedIn Learning am Stück geschaut.“

Lässt sich eine andere Zertifizierung in CPE verwandeln?

Das ist eine der ertragreichsten Adern. Die Vorbereitung auf eine Zertifizierung zählt als Lernaufwand, und der Erwerb selbst ist meldbar — vorausgesetzt, er erfolgt nach dem Zertifizierungsdatum, also sobald das Endorsement genehmigt und die Gebühr bezahlt ist. Die beobachtete Größenordnung liegt bei rund 40 CPE für eine Einsteigerzertifizierung eines Cloud-Anbieters.

„My plan is to get one new certification per year. I just recorded my AWS SAA for 40 CPEs.“

Übersetzung: „Mein Plan ist, jedes Jahr eine neue Zertifizierung zu erwerben. Ich habe gerade meine AWS SAA für 40 CPE gemeldet.“

Zwei kostenlose Varianten desselben Mechanismus werden genannt: die Lernpfade von Microsoft Learn, die für einen vollständigen Pfad rund vierzig Punkte bringen, und eine ISO-27001-Auditorenschulung von etwa elf Stunden, die kostenfrei zugänglich ist.

Plattformen für praktisches Training spielen in derselben Liga, mit dem Unterschied, dass für die Verknüpfung mit dem ISC2-Konto ein kostenpflichtiges Abonnement nötig ist:

„Sign up to hackthebox and link your isc2 membership #. Every machine you pwn goes towards your cpe […] I've already earned 250 out of 120 cpes during my first year“

Übersetzung: „Melden Sie sich bei Hack The Box an und verknüpfen Sie Ihre ISC2-Mitgliedsnummer. Jede übernommene Maschine zählt für Ihre CPE. […] Ich habe im ersten Jahr bereits 250 von 120 CPE erworben.“

Eine vergleichbare Plattform wird mit Lernpfaden genannt, die „jeweils 40 bis 50 CPE wert“ seien, sowie mit Meldungen von über vierzig Stunden, die problemlos akzeptiert wurden.

Wie holt man einen rückständigen Zyklus schnell auf?

Zwei typische Hilferufe finden sich in den Erfahrungsberichten: ein Mitglied im dritten Zyklusjahr mit null Punkten und zehn verbleibenden Monaten, ein anderes mit einem einzigen Punkt von den erwarteten 120. In beiden Fällen laufen die Antworten auf dieselbe Methode hinaus.

1. Webinare mit automatischer Gutschrift aneinanderreihen, allen voran BrightTALK, um ohne Meldeaufwand eine Grundlage aufzubauen.
2. Ein oder zwei kostenlose virtuelle Summits einplanen, die je 12 bis 15 Punkte in zwei Tagen einbringen.
3. Eine ertragreiche Veranstaltung anpeilen, wenn der Kalender es zulässt: Der ISC2-Jahreskongress deckt allein mehr als die Hälfte eines Zyklus ab.
4. Rückwirkend melden, was seit dem Zertifizierungsdatum bereits getan wurde: Lektüre, Podcasts, interne Schulungen, für Gruppe B anrechenbare berufliche Besprechungen.
5. Die Quiz des ISC2-Dashboards so früh wie möglich absolvieren, wegen ihrer Erfassungsfrist.

Die Erfahrungsberichte zeigen, dass das Aufholen funktioniert. Sie zeigen auch, was es kostet, nicht aufzuholen: die Fälle verlorener Zertifizierungen enden ausnahmslos mit einer erneut abzulegenden Prüfung — also mit einem weiteren zu bezahlenden Versuch, zu den auf der Seite zum Preis der CISSP-Prüfung erfassten Beträgen, und mit Wochen der Wiederholung, die die Berichte über den zweiten Anlauf als den mühsamsten Teil des Wegs beschreiben.

Wie lange dauert es, bis die Punkte auf dem Zähler erscheinen?

Nur zwei Fristen werden in den Erfahrungsberichten beziffert, und sie genügen, um die Planung auszurichten. Die automatische Gutschrift von BrightTALK trifft nach etwa einer Woche ein, sofern die verwendete E-Mail-Adresse mit dem ISC2-Konto übereinstimmt. Quiz und Webinare von ISC2 werden innerhalb von 15 bis 45 Tagen gutgeschrieben.

Die Konsequenz ist einfach: Verlassen Sie sich nicht auf die letzten Wochen des Zyklus. Eine Ende Dezember absolvierte Aktivität kann bei einem Zyklus, der am 31. Dezember endet, erst im Januar erscheinen. Der am häufigsten wiederholte Rat der Erfahrungsberichte weist im Übrigen in dieselbe Richtung und ist mehr wert als jede Aufholstrategie:

„My advice to a newly minted CISSP is to try to get all the CPE out of the way as early as you can. After mine was issued, I was able to hit my 3 years' worth of CPE within the first 8 months.“

Übersetzung: „Mein Rat an einen frisch gebackenen CISSP lautet, alle CPE so früh wie möglich hinter sich zu bringen. Nachdem meine Zertifizierung ausgestellt war, habe ich den Gegenwert von drei Jahren CPE in den ersten acht Monaten erreicht.“

Für Einzelheiten zur Zählung, zu den Gruppen A und B und zum Ablauf der Audits siehe die Anleitung zu den 120 Punkten.