Noch ein Zertifikat? Lohnt sich das überhaupt? Diese Fragen habe ich mir auch gestellt, bevor ich mit der Vorbereitung auf den SSCP angefangen habe. Inzwischen stecke ich mittendrin, und die Prüfung soll noch in diesem Jahr stattfinden. Statt meine Notizen in der Schublade verschwinden zu lassen, mache ich daraus eine Beitragsreihe und nehme euch Woche für Woche mit durch alle sieben Prüfungsdomänen.
Bevor wir in die Themen einsteigen, klären wir in dieser Folge die Grundlagen: Was ist der SSCP eigentlich, wo steht er im Vergleich zu anderen Zertifizierungen und warum mache ich ihn?
Was ist der SSCP?
SSCP steht für Systems Security Certified Practitioner. Herausgegeben wird die Zertifizierung von der ISC2, also derselben Organisation, die auch hinter dem bekannten CISSP steht. Das Wort Practitioner verrät schon, worum es geht: Der SSCP richtet sich an alle, die Sicherheit im Betrieb tatsächlich umsetzen. Also Administration, Netzwerk, Security Operations.
Doch was heißt das konkret? Statt Strategie und Governance stehen Fragen im Mittelpunkt wie: Wie richte ich Zugriffskontrollen sinnvoll ein? Was tue ich, wenn ein Sicherheitsvorfall gemeldet wird? Und wie sichere ich ein Netzwerk ab?
Für die volle Zertifizierung braucht man mindestens ein Jahr Berufserfahrung in mindestens einer der sieben Domänen. Wer die Prüfung ohne diese Erfahrung besteht, wird zunächst Associate of ISC2 und hat dann zwei Jahre Zeit, die Erfahrung nachzuholen.
CC, SSCP, CISSP – wer ist wer?
Bei der ISC2 kann man sich die Zertifizierungen gut als Treppe vorstellen. Der SSCP ist dabei die mittlere Stufe:
| Zertifizierung | Ausrichtung | Erforderliche Berufserfahrung |
|---|---|---|
| CC – Certified in Cybersecurity | Einstieg: Grundbegriffe der Informationssicherheit | keine |
| SSCP – Systems Security Certified Practitioner | Praxis: technische und operative Umsetzung | 1 Jahr in einer der 7 Domänen |
| CISSP – Certified Information Systems Security Professional | Management und Architektur | 5 Jahre in mindestens 2 der 8 Domänen |
Wer den CC schon hat, trifft im SSCP viele alte Bekannte wieder. Der Unterschied: Die Begriffe reichen nicht mehr, man muss sie in konkreten Szenarien anwenden können.
Die sieben Domänen
Seit dem 1. Oktober 2025 gilt ein überarbeiteter Prüfungsplan. Schauen wir uns an, wie sich der Stoff verteilt:
| Domäne | Thema | Gewichtung |
|---|---|---|
| 1 | Security Concepts and Practices | 16 % |
| 2 | Access Controls | 15 % |
| 3 | Risk Identification, Monitoring and Analysis | 15 % |
| 4 | Incident Response and Recovery | 14 % |
| 5 | Cryptography | 9 % |
| 6 | Network and Communications Security | 16 % |
| 7 | Systems and Application Security | 15 % |
Was fällt auf? Die Gewichte liegen erstaunlich nah beieinander. Nur die Kryptographie fällt mit 9 % etwas ab, was mich als jemanden, der seine Masterarbeit über Post-Quanten-Kryptographie geschrieben hat, ehrlich gesagt ein bisschen schmerzt. Für die Vorbereitung heißt das aber vor allem: Eine Domäne einfach auszulassen, ist keine Option.
Die Prüfung selbst ist adaptiv aufgebaut (Computerized Adaptive Testing): 100 bis 125 Fragen in zwei Stunden, zum Bestehen braucht man 700 von 1000 Punkten. Was es mit dem adaptiven Testen auf sich hat, schauen wir uns in der nächsten Folge genauer an.
Und warum mache ich das?
Den CC habe ich bereits in der Tasche. Für mich ist der SSCP der nächste Zwischenschritt auf dem Weg zum CISSP. Im Alltag arbeite ich als Berater für Informationssicherheit viel mit IT-Grundschutz, Sicherheitskonzepten und ISMS. Da schreibt man schnell Anforderungen wie „Zugriffe sind zu protokollieren“ in ein Konzept. Der SSCP zwingt mich, genauer hinzuschauen, was technisch dahintersteckt.
Und ehrlich gesagt passt er einfach zu mir. Angefangen habe ich als IT-Systemelektroniker, danach kamen das Informatikstudium, Jahre als Platform and Infrastructure Engineer und später die Arbeit als Cyber Security Engineer. Ich habe Server aufgesetzt, Netzwerke betrieben und Systeme gehärtet, lange bevor ich Sicherheitskonzepte geschrieben habe. Dieser starke technische Hintergrund ist genau das, was der SSCP abfragt. Er ist für mich deshalb die passende Zertifizierung, um dieses Praxiswissen auch offiziell zu belegen.
Wie ich mich vorbereite
Mein Vorgehen ist eigentlich ganz unspektakulär:
- Udemy-Kurse sind mein roter Faden durch alle sieben Domänen.
- Eigene Recherche kommt immer dann ins Spiel, wenn ich bei einem Thema unsicher bin oder einfach mehr darüber wissen will. Genau aus diesen Recherchen entstehen auch die Beiträge dieser Reihe.
- Lücken schließen: Inzwischen bin ich in der heißen Phase der Prüfungsvorbereitung und arbeite an den letzten offenen Punkten.
Was hat das mit IT-Grundschutz zu tun?
Mehr als man denkt. Viele SSCP-Themen haben eine direkte Entsprechung im BSI IT-Grundschutz, nur heißen sie dort anders. Aus „Access Controls“ wird das Identitäts- und Berechtigungsmanagement, aus „Incident Response“ das Sicherheitsvorfallmanagement. Deshalb bekommt jede Folge dieser Reihe einen eigenen Abschnitt, der beide Welten verbindet. Gerade für alle, die in deutschen Organisationen arbeiten, ist das aus meiner Sicht der größte Mehrwert.
Kurzquiz
Habt ihr aufgepasst? Drei kurze Fragen zum Abschluss:
1. Wie viele Domänen umfasst der SSCP-Prüfungsplan?
Sieben. Am höchsten gewichtet sind Security Concepts and Practices sowie Network and Communications Security mit je 16 %.
2. Was passiert, wenn man die Prüfung ohne ein Jahr Berufserfahrung besteht?
Man wird Associate of ISC2 und hat zwei Jahre Zeit, die fehlende Erfahrung nachzuweisen.
3. Welche Domäne hat mit 9 % die geringste Gewichtung?
Cryptography. Unterschätzen sollte man sie trotzdem nicht, denn Kryptographie steckt indirekt auch in vielen Netzwerk- und Anwendungsfragen.
Fazit
Der SSCP ist die Zertifizierung für alle, die Sicherheit nicht nur planen, sondern auch umsetzen. Für mich schließt er die Lücke zwischen den Grundlagen aus dem CC und dem Managementblick des CISSP. Ab jetzt erscheint regelmäßig eine neue Folge. Als Nächstes geht es um das Prüfungsformat. Einen Teil von Domäne 1 gibt es übrigens schon: Die Sicherheitsziele der Informationssicherheit und die CIA-Triade.
Ihr bereitet euch auch gerade auf den SSCP vor oder habt ihn schon? Dann schreibt mir gern in die Kommentare, wie ihr gelernt habt.