Eine passende Cybersicherheitszertifizierung hängt davon ab, ob der nächste Karriereschritt auf breite Security-Architektur, Cloud-Security oder offensiv geprägte Sicherheitsprüfung ausgerichtet ist; CISSP, CCSP und CEH decken genau diese unterschiedlichen Pfade ab.
Die schwierige Frage lautet daher selten, welche Zertifizierung grundsätzlich anerkannt ist. Entscheidend ist, welche Zertifizierung zur Zielrolle, zur vorhandenen Berufserfahrung, zum technischen Schwerpunkt und zum Aufwand für Prüfung und Rezertifizierung passt. In der DACH-Region kommt ein weiterer Faktor hinzu: Regulatorische Anforderungen wie NIS2 und DORA erhöhen den Bedarf an Governance-, Risiko- und Kontrollkompetenz, sodass CISM und CRISC in manchen Fällen die bessere Wahl sein können als ein rein technischer Nachweis.
Zuletzt aktualisiert: 2026. Prüfungsinhalte, Prüfungsoptionen, Sprachen, Gebühren und Rezertifizierungsregeln können sich ändern. Vor der Buchung sollte immer die aktuelle Seite der jeweiligen Zertifizierungsstelle geprüft werden, insbesondere bei ISC2, ISACA und EC-Council.
Der sinnvollste Startpunkt: Zielrolle statt Zertifikatsname
Viele Fehlentscheidungen entstehen, weil Kandidaten mit dem bekanntesten Zertifikatsnamen beginnen. Besser ist der umgekehrte Weg: Zuerst wird die Rolle definiert, dann die Zertifizierung ausgewählt. Wer Penetration Testing, Schwachstellenanalyse oder Red-Team-nahe Aufgaben anstrebt, braucht andere Nachweise als jemand, der Sicherheitsarchitektur, Cloud-Governance oder Risikosteuerung verantwortet.
Ein kompakter Entscheidungsrahmen hilft, die Auswahl einzugrenzen, ohne sich in Marketingbegriffen zu verlieren. Die folgenden Fragen sind besonders nützlich, weil sie technische Tiefe, Seniorität und Alltagsaufwand zusammenführen:
- Zielrolle: Geht es um Red Team, Blue Team, Architektur, Cloud Security, Security Management, Risiko oder Audit?
- Seniorität: Soll die Zertifizierung vorhandene Berufserfahrung belegen oder den nächsten fachlichen Schritt vorbereiten?
- Technik oder Governance: Steht praktische Sicherheitsarbeit im Vordergrund, oder geht es um Programme, Kontrollen, Richtlinien und Risikoentscheidungen?
- Cloud-Fokus: Ist Cloud-Infrastruktur ein Kernbestandteil der aktuellen oder angestrebten Rolle?
- Zeit und CPE: Passt der laufende Rezertifizierungsaufwand realistisch zu Arbeitsalltag, Budget und weiteren Zertifizierungen?
Dieser Rahmen reduziert die Gefahr, eine anspruchsvolle Zertifizierung zu wählen, die im Lebenslauf zwar gut aussieht, aber für die nächste Rolle wenig Hebelwirkung hat. In der Praxis ist beispielsweise CCSP für einen Cloud-Security-Engineer oft naheliegender als CISSP, solange die Karriere noch stark technisch geprägt ist. CISSP wird dagegen stärker, wenn Breite, Architekturverständnis und Security-Programmverantwortung wichtiger werden.
CISSP: Für breite Security-Verantwortung und Architektur
Der Certified Information Systems Security Professional, kurz CISSP, richtet sich an erfahrene Fachkräfte, die Sicherheit über mehrere Domänen hinweg verstehen und verantworten. Er passt besonders gut zu Rollen in Security Architecture, Security Management, Senior Engineering, Consulting und übergreifender Informationssicherheit. Wer sich vertiefend mit dem strategischen Wert des Zertifikats beschäftigen möchte, findet zusätzliche Einordnung in diesem Beitrag zu CISSP als Karriereschritt.
CISSP ist keine Einsteigerzertifizierung. Nach den offiziellen ISC2-Erfahrungsanforderungen werden mehrere Jahre bezahlte Berufserfahrung in relevanten Sicherheitsdomänen verlangt; unter bestimmten Bedingungen kann ein Teil der Erfahrung ersetzt werden. Wer die Prüfung besteht, aber die Erfahrung noch nicht vollständig nachweisen kann, sollte die jeweils aktuellen ISC2-Regeln zum Associate-Status prüfen.
Der Nutzen von CISSP liegt in der Breite. Kandidaten müssen Risiken, Sicherheitsarchitektur, Identitäts- und Zugriffsmanagement, Security Operations, Testverfahren und Softwareentwicklungssicherheit in Beziehung setzen können. Das macht die Zertifizierung besonders wertvoll für Rollen, in denen technische Entscheidungen gegenüber Management, Audit, Datenschutz, Einkauf oder Fachbereichen erklärt werden müssen.
Bei Gehaltsfragen ist Vorsicht angebracht. Internationale Quellen wie ISC2 veröffentlichen regelmäßig Marktdaten und Argumente für die Zertifizierung, etwa in den ISC2-Hinweisen zu CISSP. Für DACH-Entscheidungen sollten solche Angaben jedoch mit regionalen Gehaltsportalen, Branche, Unternehmensgröße, Führungsverantwortung und Standort abgeglichen werden. US-Zahlen lassen sich nicht zuverlässig auf Deutschland, Österreich oder die Schweiz übertragen.
Wer nach der Rollenentscheidung eine strukturierte Vorbereitung sucht, kann einen CISSP-Vorbereitungskurs nutzen. Readynez kann hier als Beispiel für eine geführte Lernumgebung dienen, in der Kandidaten nicht nur Prüfungswissen sammeln, sondern die Domänen miteinander verknüpfen.
CCSP: Für Cloud-Security mit Architektur- und Betriebsbezug
Der Certified Cloud Security Professional, kurz CCSP, ist für Fachkräfte relevant, die Cloud-Umgebungen absichern, Cloud-Architekturen bewerten oder Sicherheitskontrollen in hybriden und Multi-Cloud-Umgebungen gestalten. Während CISSP die Breite der Informationssicherheit abdeckt, konzentriert sich CCSP stärker auf Cloud-Daten, Cloud-Plattformen, Anwendungen, Betrieb, Recht, Risiko und Compliance im Cloud-Kontext.
CCSP passt gut zu Cloud Security Engineers, Security Architects, Cloud Consultants, Infrastrukturverantwortlichen und Security-Fachkräften, die regelmäßig mit Cloud-Architekturentscheidungen arbeiten. In vielen Unternehmen sind Cloud-Migrationen längst kein reines Infrastrukturprojekt mehr. Sie betreffen Identitäten, Verschlüsselung, Logging, Datenklassifizierung, Lieferantensteuerung und Incident Response. Genau an dieser Schnittstelle hat CCSP seinen praktischen Wert.
Ein häufiger Fehler besteht darin, direkt in eine Managementzertifizierung zu springen, obwohl die tägliche Arbeit noch tief in Cloud-Technik und Security Operations liegt. Für technisch orientierte Profile kann CCSP zuerst mehr Wirkung entfalten; CISSP folgt sinnvoll, wenn die Rolle breiter wird und mehr Governance-, Architektur- oder Programmverantwortung hinzukommt. Ein CCSP-Training kann für solche Kandidaten sinnvoll sein, wenn die Cloud-Security-Domänen gezielt systematisiert werden sollen.
Auch bei CCSP sollten Kandidaten die offiziellen aktuellen Anforderungen, Prüfungsoptionen und Rezertifizierungsregeln prüfen. In der EU- und DACH-Praxis können Prüfungssprache, Remote-Proctoring, Testzentren und verfügbare Terminfenster je nach Zertifizierungsstelle und Standort variieren. Wer eine Prüfung auf Deutsch oder in einem bestimmten Zeitfenster ablegen möchte, sollte die Planung nicht bis kurz vor Projekt- oder Budgetende aufschieben.
CEH: Für Ethical Hacking, Schwachstellenanalyse und offensive Grundlagen
Der Certified Ethical Hacker, kurz CEH, richtet sich an Fachkräfte, die Angriffswege verstehen, Schwachstellen prüfen und Sicherheitslücken nachvollziehbar berichten möchten. Die Zertifizierung ist besonders relevant für Penetration-Testing-nahe Rollen, Security Analysts, Junior Security Consultants, SOC-Fachkräfte mit Interesse an Angreiferperspektiven und Administratoren, die ihre defensive Arbeit durch offensives Verständnis verbessern wollen.
CEH wird häufig missverstanden, weil die Zulassungsvoraussetzungen verkürzt dargestellt werden. Nach EC-Council-Regelwerk ist in der Regel offizielles Training oder ein Nachweis einschlägiger Berufserfahrung mit Antrag der Weg zur Prüfungszulassung. Die Aussage, dass keinerlei Vorerfahrung erforderlich sei, ist daher zu ungenau und kann zu falscher Planung führen. Wer unsicher ist, sollte die aktuelle EC-Council-Seite und die geltenden Zulassungswege prüfen, bevor Prüfungstermin oder Budget festgelegt werden.
Inhaltlich ist CEH am stärksten, wenn das Ziel praktisches Verständnis von Angriffstechniken, Werkzeugen, Schwachstellen und Gegenmaßnahmen ist. Für Rollen mit klarer Red-Team-Ausrichtung kann später eine tiefere praktische Spezialisierung erforderlich sein. Als strukturierter Einstieg in Ethical-Hacking-Konzepte ist CEH dennoch für viele Kandidaten nützlich, besonders wenn die bisherige Erfahrung aus Administration, Netzwerken oder Security Operations stammt.
Der Karrierebezug sollte realistisch bewertet werden. Ein Überblick zu typischen Möglichkeiten nach der Zertifizierung findet sich in diesem Beitrag zu Rollen mit CEH-Zertifizierung. Internationale Gehaltsseiten wie Comparably können Orientierung geben, ersetzen aber keine DACH-spezifische Recherche nach Region, Branche, Erfahrungsniveau und konkreter Rolle.
Für Kandidaten, die den offiziellen Trainingsweg nutzen möchten, ist ein CEH-Kurs ein möglicher Weg zur strukturierten Vorbereitung. Ergänzend kann ein Blick auf die typischen Inhalte eines CEH-Vorbereitungstrainings helfen, den Unterschied zwischen Tool-Kenntnis und prüfungsrelevantem Verständnis besser einzuschätzen.
Wann CISM oder CRISC besser passen
Nicht jede Security-Karriere führt über CISSP, CCSP oder CEH. Wer Informationssicherheit steuert, Programme aufbaut, Risiken gegenüber Geschäftsleitung oder Aufsicht erklärt oder Kontrollen im Audit-Kontext verantwortet, sollte CISM und CRISC ernsthaft prüfen. Dieser Punkt ist in DACH besonders wichtig, weil regulatorische Anforderungen Security-Organisationen stärker in Richtung Nachweisbarkeit, Governance und Risikokommunikation bewegen.
CISM von ISACA richtet sich an Fachkräfte, die Informationssicherheitsmanagement, Governance, Programmentwicklung, Incident Management und Risikosteuerung verbinden. Es passt zu Security Managern, angehenden CISOs, GRC-Verantwortlichen und Beratern, die weniger tief im operativen Tooling arbeiten und stärker Programme, Verantwortlichkeiten und Entscheidungsprozesse gestalten. Weitere Kontextinformationen bietet dieser Beitrag zu CISM als Managementzertifizierung; die formalen Anforderungen sollten zusätzlich über die offizielle ISACA-Seite zur CISM-Zertifizierung geprüft werden.
CRISC ist enger auf IT-Risiko, Kontrollen und Informationssystemsteuerung ausgerichtet. Es ist besonders relevant für Risk Manager, IT-Auditoren, Compliance-Fachkräfte, Governance-Rollen und Security-Verantwortliche, die technische Risiken in Geschäftsrisiken übersetzen müssen. Wer in Projekten regelmäßig Kontrolldesign, Risikobewertung, Audit-Feststellungen oder regulatorische Nachweise bearbeitet, kann mit einer CRISC-Schulung oft näher an der Zielrolle arbeiten als mit einer rein technischen Zertifizierung.
Die Abgrenzung zu CISSP ist dabei nicht absolut. CISSP kann für erfahrene Security-Generalisten und Architekten weiterhin passend sein, während CISM und CRISC stärker die Management- und Risikoseite betonen. Wer bereits technische Zertifikate besitzt und nun in Governance, Risk and Compliance wechseln möchte, sollte eher CISM oder CRISC prüfen als automatisch die nächste technische Prüfung zu buchen. Eine CISM-Schulung kann hier helfen, Managementperspektive und Prüfungslogik zusammenzuführen.
Vergleich nach Rollenfit, Aufwand und DACH-Praxis
Die folgende Gegenüberstellung ersetzt keine offizielle Prüfungsseite, bietet aber eine praktische Orientierung. Sie zeigt, welche Zertifizierung typischerweise zu welcher Richtung passt und wo Kandidaten vor der Buchung genauer prüfen sollten.
| Zertifizierung |
Typischer Rollenfit |
Besonders sinnvoll, wenn |
Wichtige Prüfung vor der Buchung |
| CISSP |
Security Architect, Senior Security Engineer, Consultant, Security Manager |
breites Security-Verständnis und mehr Verantwortung über mehrere Domänen gefragt sind |
Erfahrungsanforderungen, Domänen, Associate-Option und CPE-Regeln bei ISC2 |
| CCSP |
Cloud Security Engineer, Cloud Architect, Security Consultant |
Cloud-Architektur, Cloud-Betrieb und Cloud-Compliance den Arbeitsalltag prägen |
Cloud-Erfahrung, Prüfungsoptionen, Sprache und Rezertifizierung bei ISC2 |
| CEH |
Security Analyst, Penetration-Testing-nahe Rolle, Junior Consultant, Administrator mit Security-Fokus |
Angreiferperspektive, Schwachstellen und Ethical-Hacking-Grundlagen relevant sind |
Zulassungsweg über offizielles Training oder Berufserfahrung mit Antrag bei EC-Council |
| CISM |
Security Manager, GRC Lead, angehender CISO, Security Consultant |
Governance, Programme, Verantwortlichkeiten und Managementkommunikation im Vordergrund stehen |
Erfahrungsnachweis, jährliche Mindest-CPE und ISACA-Regeln |
| CRISC |
IT Risk Manager, Auditor, Compliance-Fachkraft, Control Owner |
Risiko, Kontrollen, Audit und regulatorische Nachweise zentral sind |
Erfahrungsanforderungen, CPE-Pflichten und Rollenbezug bei ISACA |
Für DACH-Kandidaten ist außerdem wichtig, Kosten nicht nur als Prüfungsgebühr zu betrachten. Reise zum Testzentrum, Wiederholungsgebühren, Trainingsbudget, Lernzeit, Mitgliedschaften, jährliche Gebühren und CPE-Aktivitäten können die Gesamtplanung deutlich beeinflussen. Da sich Gebühren ändern, sollten konkrete Euro-Beträge immer mit Datum und offizieller Quelle dokumentiert werden.
Rezertifizierung realistisch planen
Der Aufwand endet nicht mit der bestandenen Prüfung. CISSP, CCSP, CEH, CISM und CRISC verlangen laufende Weiterbildung und Nachweise. Wer mehrere Zertifizierungen hält, kann Lernaktivitäten oft für mehrere Bodies nutzen, sofern sie thematisch passen und regelkonform dokumentiert werden. Genau hier entstehen in der Praxis aber häufig Probleme: Die Aktivität ist fachlich relevant, doch Nachweis, Kategorie, Datum oder Zuordnung fehlen.
Besonders bei ISACA-Zertifizierungen sollten jährliche Mindestanforderungen beachtet werden. Wer die CPE-Planung erst am Ende eines Zyklus beginnt, riskiert unnötigen Stress, Budgetprobleme oder unpassende Weiterbildungsaktivitäten. Sinnvoller ist ein einfacher Jahresplan mit fachlichen Schwerpunkten, Nachweisordner, Teilnahmebescheinigungen und kurzer Begründung, welche Lernaktivität zu welcher Zertifizierung passt.
Mehrfach-Zertifizierungen sind dann stark, wenn sie ein konsistentes Profil ergeben. CISSP plus CCSP kann beispielsweise Architekturbreite und Cloud-Tiefe verbinden. CISM plus CRISC kann Governance und Risiko schärfen. CEH plus eine defensive oder Cloud-orientierte Zertifizierung kann zeigen, dass Angreiferperspektive und Absicherung zusammen gedacht werden. Ohne klare Rollenlogik wirken viele Zertifikate dagegen schnell wie eine ungeordnete Sammlung.
Häufige Fragen zur Wahl zwischen CISSP, CCSP und CEH
Ist CISSP besser als CCSP?
CISSP ist breiter, CCSP ist cloud-spezifischer. Für Security-Architektur, Managementnähe und domänenübergreifende Verantwortung ist CISSP oft passender. Für Cloud-Security-Engineering, Cloud-Architektur und Cloud-Compliance kann CCSP der direktere Nachweis sein.
Ist CEH eine gute erste Cybersicherheitszertifizierung?
CEH kann ein sinnvoller Einstieg in Ethical Hacking und Schwachstellenanalyse sein, ist aber nicht automatisch die richtige erste Zertifizierung für jede Security-Karriere. Wer defensiv, governance-orientiert oder cloud-zentriert arbeiten möchte, sollte prüfen, ob ein anderer Nachweis besser zur Zielrolle passt.
Welche Zertifizierung passt zu Governance, Risk and Compliance?
Für Governance, Risk and Compliance sind CISM und CRISC häufig näher an den tatsächlichen Aufgaben als CEH oder CCSP. CISSP kann ergänzend sinnvoll sein, wenn eine breite Security-Basis und Architekturverständnis gefordert werden.
Sollten mehrere Zertifizierungen kombiniert werden?
Mehrere Zertifizierungen sind sinnvoll, wenn sie ein klares Profil unterstützen. Eine Kombination aus CISSP und CCSP kann etwa für Cloud-Security-Architektur passen, während CISM und CRISC für Management- und Risikorollen naheliegen. Wichtig ist, den CPE-Aufwand und die Belegführung vorab realistisch zu planen.
Die passende Entscheidung für den nächsten Karriereschritt
Die richtige Wahl hängt weniger vom Ruf einzelner Zertifizierungen ab als von der nächsten Rolle. CISSP eignet sich für erfahrene Security-Fachkräfte mit breiter Verantwortung, CCSP für Cloud-Security-Profile, CEH für offensive Grundlagen und Ethical Hacking. CISM und CRISC werden wichtig, sobald Governance, Risiko, Audit und regulatorische Nachweise den Arbeitsalltag prägen.
Ein praktischer nächster Schritt ist, die gewünschte Zielrolle mit aktuellen Stellenanzeigen, offiziellen Zertifizierungsanforderungen und dem eigenen Erfahrungsprofil abzugleichen. Wenn danach klar ist, welche Richtung passt, kann eine strukturierte Vorbereitung bei Readynez den Lernplan verdichten, ohne die eigentliche Entscheidung zu ersetzen: Die Zertifizierung sollte zur Arbeit passen, die tatsächlich übernommen werden soll.
