CEH vs. CISSP: Die richtige Wahl für Ihre Cybersecurity-Karriere

• Geht es primär um Pentesting, Schwachstellenanalyse und offensive Security, spricht vieles für CEH.
• Geht es um Sicherheitsarchitektur, Governance, Risiko und Führungsverantwortung, passt CISSP meist besser.
• Liegen noch keine fünf Jahre einschlägige Sicherheitserfahrung vor, kann CEH der realistischere erste Schritt sein.
• Soll die Zertifizierung in Richtung Security Lead, Architect oder CISO-Pfad wirken, ist CISSP langfristig stärker ausgerichtet.

Der zentrale Unterschied zwischen CEH und CISSP liegt in der Karrierefrage, die jede Zertifizierung beantwortet. CEH, der Certified Ethical Hacker des EC-Council, ist stärker technisch und offensiv geprägt. CISSP, der Certified Information Systems Security Professional von ISC2, prüft ein breites Sicherheitsverständnis über Strategie, Architektur, Risiko, Betrieb und Governance hinweg.

Für Fachkräfte in Deutschland, Österreich und der Schweiz ist die Entscheidung deshalb weniger eine Frage, welche Zertifizierung allgemein wertvoller ist. Entscheidend ist, welche Rolle glaubwürdig unterstützt werden soll. Ein Administrator, der in Richtung Red Team oder Penetration Testing wechseln möchte, braucht andere Nachweise als ein Security Engineer, der Architekturentscheidungen vorbereitet oder regulatorische Anforderungen in ein Sicherheitsprogramm übersetzt.

Der Kernunterschied: Portfolio oder Policy

CEH ist näher an Werkzeugen, Angriffstechniken und der Denkweise eines Ethical Hackers. Die Zertifizierung ist für Personen interessant, die Schwachstellen erkennen, technische Kontrollen prüfen und Angriffswege verständlich dokumentieren wollen. In DACH-Stellenanzeigen für Junior Pentester, Vulnerability Analyst oder Security Consultant wird dabei häufig nicht nur nach einem Zertifikat gefragt, sondern nach sichtbaren Nachweisen: Laborübungen, sauber geschriebene Findings, nachvollziehbare Methodik und ein Portfolio aus legalen Übungsumgebungen.

CISSP wirkt anders. Die Zertifizierung signalisiert, dass jemand Sicherheit nicht nur als technische Einzelmaßnahme betrachtet, sondern Zusammenhänge zwischen Risiko, Identitäten, Netzwerken, Softwareentwicklung, Betrieb, Compliance und Organisation versteht. Das ist besonders relevant für Rollen wie Security Architect, Information Security Manager, Security Lead oder Consultant mit Governance-Anteil.

Hiring Manager in DACH achten in vielen Fällen auf diese Trennung. CEH ohne praktische Übungsnachweise kann dünn wirken, weil offensive Security stark vom Vorgehen und Reporting lebt. CISSP ohne ausreichend Praxiskontext kann ebenfalls wenig überzeugend sein, weil die Prüfung breite Erfahrung voraussetzt und viele Fragen nur mit beruflicher Einordnung sinnvoll zu beantworten sind.

Voraussetzungen und Prüfungsrealität

Beim CEH gibt es zwei typische Zugänge. Kandidaten können ein offizielles Training absolvieren oder, ohne Training, einen Eligibility-Antrag über relevante Berufserfahrung stellen. Der EC-Council nennt für diesen Weg in der Regel mindestens zwei Jahre Erfahrung im Bereich Informationssicherheit. Wichtig ist, CEH v12 als Multiple-Choice-Zertifizierung nicht mit CEH Practical oder CEH Master gleichzusetzen, denn diese haben einen stärker praktischen Charakter und andere Anforderungen.

Für Leser mit offensiv-technischem Ziel kann ein strukturiertes CEH v12 Training mit Praxisbezug sinnvoll sein, wenn es nicht beim Lernen von Toolnamen bleibt. Der fachliche Wert entsteht vor allem dann, wenn Übungen in eine saubere Methodik münden: Scope verstehen, Tests kontrolliert durchführen, Ergebnisse priorisieren und Findings so schreiben, dass Technik- und Managementseite damit arbeiten können.

CISSP hat strengere Erfahrungsanforderungen. ISC2 verlangt fünf Jahre bezahlte Vollzeit-Berufserfahrung in mindestens zwei der acht CISSP-Domänen. Ein Jahr kann unter bestimmten Voraussetzungen angerechnet werden, etwa durch anerkannte Abschlüsse oder Zertifizierungen. Wer die Prüfung besteht, aber die Erfahrung noch nicht vollständig nachweisen kann, kann zunächst als Associate of ISC2 geführt werden und später das Endorsement abschließen.

Diese Associate-Option ist strategisch interessant, aber nicht für jede Person gleich sinnvoll. Wer bereits in Security-Projekten arbeitet und absehbar die Erfahrungsanforderung erfüllt, kann durch ein frühes Bestehen zeigen, dass die fachliche Breite vorhanden ist. Wer dagegen noch kaum operative Sicherheitsverantwortung hatte, riskiert, viel Zeit in abstrakte Domains zu investieren, ohne die Konzepte mit echten Entscheidungen verbinden zu können. In diesem Fall ist ein technischer Zwischenschritt oft glaubwürdiger.

Die CISSP-Prüfung wird über Pearson VUE abgewickelt und ist in DACH typischerweise an Testcentern verfügbar. Kandidaten sollten Sprache, Terminverfügbarkeit und Prüfungsregeln direkt auf den offiziellen Seiten prüfen. Viele deutschsprachige Fachkräfte nutzen englische Lernmaterialien, selbst wenn lokalisierte Optionen verfügbar sind, weil Sicherheitsbegriffe, Herstellerdokumentation und viele Projektunterlagen im Berufsalltag ohnehin englisch geprägt sind.

Kosten, Zeitaufwand und laufende Pflichten

Die Gesamtkosten hängen davon ab, ob Kandidaten nur die Prüfung buchen, zusätzlich offizielle Trainings nutzen, Wiederholungsversuche einplanen oder Lernmaterialien erwerben. Für DACH sollten Beträge immer mit Mehrwertsteuer, Wechselkursen und Rechnungsstellung des jeweiligen Anbieters betrachtet werden. Statt einer festen Zahl ist eine realistische Budgetspanne hilfreicher: Mit Prüfung, Vorbereitungsmaterialien und möglicher Schulung können beide Wege von einem niedrigeren vierstelligen Betrag bis zu deutlich höheren Investitionen reichen.

Der Zeitaufwand unterscheidet sich ebenfalls. CEH lässt sich für Personen mit Netzwerk-, Linux-, Web- und Security-Grundlagen meist kompakter vorbereiten, sofern parallel praktisch geübt wird. CISSP braucht häufig mehr Kalenderzeit, weil acht Domänen verstanden und miteinander verknüpft werden müssen. Besonders anspruchsvoll ist nicht das Auswendiglernen einzelner Begriffe, sondern die Fähigkeit, technische, organisatorische und risikobezogene Entscheidungen gegeneinander abzuwägen.

Nach der Prüfung endet der Aufwand nicht. CEH-Inhaber müssen die Zertifizierung über das ECE-Programm des EC-Council aufrechterhalten. CISSP-Inhaber müssen CPEs sammeln und jährliche AMF-Gebühren einplanen. Für Unternehmen ist das ein praktischer Budgetpunkt: Weiterbildung braucht nicht nur Prüfungsbudget, sondern auch Zeitfenster für Konferenzen, interne Projekte, Fachliteratur, Übungen oder Wissensaustausch.

Ein häufiger Fehler besteht darin, Wartungspflichten erst nach bestandener Prüfung zu betrachten. Wer die Zertifizierung beruflich nutzen möchte, sollte schon vorher klären, ob Arbeitgeber Prüfungsgebühren, AMF/ECE-Kosten, Lernzeit oder Rezertifizierungsaktivitäten unterstützen. In regulierten Branchen ist das oft leichter zu begründen, wenn Weiterbildung mit konkreten Sicherheitszielen verbunden wird, etwa besserem Incident Handling, sauberer Risikoanalyse oder belastbarerem Schwachstellenmanagement.

Drei typische Karriereentscheidungen

Der erste Fall ist der Pentester-Pfad. Eine Person kommt aus Systemadministration, Netzwerkbetrieb oder Helpdesk und möchte in offensive Security wechseln. Hier ist CEH meist der bessere Einstieg, sofern die Vorbereitung mit Laborarbeit verbunden wird. Entscheidend ist, dass aus Übungen verwertbare Artefakte entstehen: Notizen, Testberichte, reproduzierbare Findings und ein Verständnis dafür, wie legale Testgrenzen eingehalten werden.

Der zweite Fall ist der Security Engineer, der in Richtung Architect wachsen möchte. Diese Person kennt Firewalls, Identitäten, Cloud-Security oder Endpoint-Kontrollen bereits aus Projekten und möchte stärker an Zielarchitekturen, Risikoentscheidungen und Kontrollmodellen arbeiten. CISSP kann hier die passendere Wahl sein, wenn ausreichend Erfahrung in mehreren Sicherheitsdomänen vorhanden ist. Falls die Praxis noch sehr punktuell ist, kann eine Sequenz sinnvoll sein: zuerst technische Tiefe ausbauen, später CISSP für die breitere Architektur- und Governance-Perspektive.

Der dritte Fall ist der Manager mit Governance-Fokus. Wer Sicherheitsrichtlinien, Lieferantenrisiken, Audits, Business Continuity oder Management-Reporting verantwortet, wird vom CISSP-Stoff näher abgeholt als vom CEH. CEH kann zwar helfen, technische Angriffsszenarien besser zu verstehen, ersetzt aber keine breite Auseinandersetzung mit Risiko, Organisation und Sicherheitsprogramm.

Diese Szenarien zeigen, warum ein direkter Siegervergleich selten sinnvoll ist. CEH baut Glaubwürdigkeit für technische Sicherheitsprüfung auf. CISSP baut Glaubwürdigkeit für Sicherheitsverantwortung über mehrere Domänen hinweg auf. Wer langfristig sowohl technische als auch leitende Rollen anstrebt, kann beide Zertifizierungen kombinieren, sollte aber die Reihenfolge an Erfahrung und Zielrolle ausrichten.

Vorbereitung: woran Kandidaten oft scheitern

Bei CEH liegt das Risiko darin, sich zu stark auf Tools zu konzentrieren. Toolwissen veraltet schnell, während Methodik länger trägt. Gute Vorbereitung verbindet deshalb Netzwerkgrundlagen, Web- und Systemverständnis, Bedrohungsmodelle, rechtliche Grenzen und Reporting. Wer im Bewerbungsprozess nur Zertifikat und Toolliste nennt, wirkt schwächer als jemand, der strukturiert erklären kann, wie ein Test vorbereitet, durchgeführt und dokumentiert wurde.

Bei CISSP liegt der Fehler oft in der falschen Flughöhe. Die Prüfung belohnt nicht reines Faktenlernen, sondern die Fähigkeit, aus Sicht von Risiko, Geschäftszielen und Sicherheitsprinzipien zu denken. Kandidaten, die jede Frage wie ein rein technisches Troubleshooting-Problem behandeln, wählen häufig zu operative Antworten. Eine CISSP Schulung und Prüfungsvorbereitung sollte deshalb nicht nur Domänen abdecken, sondern die Denkweise hinter den Antwortoptionen trainieren.

Für Personen, die noch zwischen mehreren Security-Richtungen wählen, kann ein Blick auf verwandte Cybersecurity-Themen helfen. Offensive Security, Cloud Security, Governance, Incident Response und Identity Security entwickeln sich in vielen Organisationen parallel. Eine neutrale Übersicht über EC-Council-Zertifizierungen oder breitere Security-Trainingsoptionen kann dabei unterstützen, nicht vorschnell in eine einzelne Prüfung zu investieren.

CEH oder CISSP: Entscheidung nach Zielrolle

In der DACH-Praxis lässt sich die Entscheidung oft auf drei Fragen verdichten. Soll die nächste Rolle Systeme aktiv prüfen oder Sicherheitsprogramme gestalten? Gibt es bereits ausreichend Erfahrung über mehrere Sicherheitsdomänen hinweg? Wird im Bewerbungsprozess eher ein technisches Portfolio oder ein Nachweis für breite Verantwortung erwartet? Die Antworten führen meist klarer zur passenden Zertifizierung als ein abstrakter Vergleich von Bekanntheit oder Gehalt.

FAQ zu CEH vs. CISSP

Ist CEH leichter als CISSP?

Für viele Kandidaten ist CEH enger gefasst und dadurch leichter planbar. CISSP ist breiter und verlangt mehr berufliche Einordnung über mehrere Sicherheitsdomänen. Leichter bedeutet jedoch nicht automatisch besser, denn die passende Zertifizierung hängt von Zielrolle und Erfahrung ab.

Kann man CISSP ohne fünf Jahre Erfahrung machen?

Die Prüfung kann bestanden werden, bevor die volle Erfahrung nachgewiesen ist. Wer die Voraussetzungen für die Zertifizierung noch nicht erfüllt, kann als Associate of ISC2 geführt werden und später das Endorsement abschließen. Für die volle CISSP-Zertifizierung bleibt die geforderte Berufserfahrung erforderlich.

Welche Zertifizierung passt besser für Pentesting?

Für Pentesting und offensive Security passt CEH meist näher zur Zielrolle. Wichtig ist aber, die Zertifizierung mit praktischen Laboren, methodischem Vorgehen und verständlichen Reports zu ergänzen. Ohne solche Nachweise bleibt der Nutzen im Bewerbungsprozess begrenzt.

Welche Zertifizierung passt besser für Security Management?

Für Security Management, Architektur, Governance und Risiko ist CISSP in der Regel passender. Die Inhalte decken ein breiteres Sicherheitsprogramm ab und sind stärker auf Entscheidungen ausgelegt, die über einzelne technische Kontrollen hinausgehen.

Der sinnvolle nächste Schritt

Die bessere Wahl ist die Zertifizierung, die zur nächsten glaubwürdigen Rolle passt. CEH lohnt sich, wenn technische Angriffsperspektive, Schwachstellenprüfung und praktische Nachweise im Vordergrund stehen. CISSP lohnt sich, wenn vorhandene Erfahrung in Richtung Architektur, Governance und Sicherheitsverantwortung gebündelt werden soll.

Readynez kann bei der strukturierten Vorbereitung unterstützen, wenn bereits klar ist, welcher Weg zur Rolle passt. Sinnvoll ist zuerst eine ehrliche Standortbestimmung: vorhandene Erfahrung, Zielrolle, verfügbare Lernzeit, Budget und die Frage, ob das nächste Bewerbungsgespräch eher praktische Findings oder strategische Sicherheitsentscheidungen prüfen wird.