Relevanz: CC alle Domänen · SSCP – · CISSP –
Ihr wollt in die Informationssicherheit einsteigen, habt aber noch keine Berufserfahrung in dem Bereich? Oder ihr arbeitet schon lange in der IT und wollt euer Sicherheitswissen einmal sauber sortieren? Dann ist der CC vermutlich genau euer Ding. Und seit dem 1. September 2026 sieht er etwas anders aus als vorher.
Im Neustart der Reihe habe ich angekündigt, dass es ab jetzt um alle drei ISC2-Zertifizierungen geht. Heute fangen wir ganz vorne an, beim Einstieg. Den CC habe ich selbst vor dem SSCP gemacht, der CISSP ist mein nächstes Ziel.
Was ist der CC?
CC steht für Certified in Cybersecurity. Es ist die Einstiegszertifizierung von ISC2, also der Organisation, die auch hinter SSCP und CISSP steht. Der CC prüft kein Spezialwissen, sondern die Grundbegriffe und Zusammenhänge, die jede und jeder in der Informationssicherheit kennen sollte: Schutzziele, Risiko, Zugriffskontrolle, Netzwerke, Betrieb und Incident Response.
Das Besondere: Für den CC braucht ihr keine Berufserfahrung. Damit ist er die einzige der drei Zertifizierungen, die ihr direkt nach der Prüfung vollständig erhaltet, ohne Endorsement durch ein ISC2-Mitglied.
Die Prüfung auf einen Blick
| Format | Computerized Adaptive Testing (CAT) |
| Fragen | 100 bis 125 |
| Dauer | 2 Stunden |
| Bestehensgrenze | 700 von 1000 Punkten |
| Ort | Pearson-VUE-Testcenter |
| Kosten | 191,04 € (EMEA), 199 US-Dollar (Rest der Welt) |
| Berufserfahrung | keine |
Wie das adaptive Format funktioniert und warum sich die Fragen schwer anfühlen dürfen, habe ich in der Folge zum Prüfungsformat bei CC, SSCP und CISSP ausführlich erklärt.
Das neue Outline seit September 2026
Seit dem 1. September 2026 gilt für den CC ein neues Exam Outline. Es bleibt bei fünf Domänen, aber sie sind neu zugeschnitten:
| Nr. | Bisher | Seit 01.09.2026 |
|---|---|---|
| 1 | Security Principles | Security Principles |
| 2 | Business Continuity, Disaster Recovery and Incident Response Concepts | Security Governance |
| 3 | Access Controls Concepts | Identity and Access Management (IAM) Concepts |
| 4 | Network Security | Networking and Cloud Security Concepts |
| 5 | Security Operations | Security Operations and Incident Response |
Drei Dinge fallen auf:
- Governance bekommt eine eigene Domäne. Richtlinien, Rollen, Compliance und Ethik waren bisher eher Randthemen, jetzt stehen sie gleichberechtigt neben der Technik.
- Cloud ist offiziell dabei. Netzwerksicherheit allein reicht nicht mehr, Cloud-Konzepte gehören jetzt zum Grundwissen.
- Incident Response wandert in den Betrieb. BC, DR und IR stehen nicht mehr in einer eigenen Domäne, Incident Response ist jetzt Teil von Security Operations.
ISC2 selbst nennt Governance, Cloud-Sicherheit und Threat Intelligence als Schwerpunkte der Überarbeitung. Wer mit älteren Lernmaterialien arbeitet, sollte deshalb genau hinschauen, ob sie schon zum neuen Outline passen.
Für wen lohnt sich der CC?
- Einsteigerinnen und Einsteiger, die einen anerkannten Nachweis für ihr Grundwissen wollen, etwa für Bewerbungen.
- Quereinsteiger aus der IT, also Admins, Entwicklerinnen oder Netzwerker, die ihr Sicherheitswissen strukturieren wollen.
- Alle, die SSCP oder CISSP anpeilen und erst einmal ein Gefühl für die ISC2-Prüfungen bekommen wollen. Das Format ist bei allen dreien gleich, nur Umfang und Tiefe wachsen.
Ehrlicherweise muss man auch sagen: Wer schon jahrelang in der Informationssicherheit arbeitet, kann den CC auch überspringen und direkt mit SSCP oder CISSP einsteigen. Ein Muss ist er nicht, als Einstieg in die ISC2-Welt aber eine gute Gelegenheit, das Prüfungsformat kennenzulernen.
Nach dem Bestehen
Nach der Prüfung beantragt ihr die Zertifizierung, stimmt dem ISC2 Code of Ethics zu und zahlt die erste Jahresgebühr von 50 US-Dollar. Danach müsst ihr innerhalb von drei Jahren 45 Weiterbildungspunkte (CPE) sammeln. Was das genau bedeutet, schauen wir uns in einer eigenen Folge zum Thema „Zertifiziert bleiben“ an.
Prüfungsfallen
- „Einstieg“ heißt nicht „geschenkt“: Auch beim CC sind die Fragen Szenarien, in denen mehrere Antworten plausibel klingen. Gesucht ist die beste.
- Begriffe genau unterscheiden: Policy, Standard, Procedure und Guideline, oder Risiko, Bedrohung und Schwachstelle, werden gern gegeneinander ausgespielt.
- Altes Material: Übungsfragen zum alten Outline decken Governance und Cloud oft zu dünn ab.
Was hat das mit IT-Grundschutz zu tun?
Der CC deckt in der Breite genau das ab, was man auch für den Einstieg in den IT-Grundschutz braucht. Die neue Domäne Security Governance passt zum ISMS nach BSI-Standard 200-1 und zum Baustein ISMS.1 Sicherheitsmanagement. Die Grundbegriffe aus Domäne 1, also Schutzziele und Risiko, finden sich in der Schutzbedarfsfeststellung und im BSI-Standard 200-3 wieder. Wer den CC gelernt hat, versteht deshalb auch schnell, warum der IT-Grundschutz so aufgebaut ist, wie er ist.
Kurzquiz
1. Wie viel Berufserfahrung braucht man für den CC?
Keine. Der CC ist die einzige der drei Zertifizierungen ohne Erfahrungsvoraussetzung.
2. Welche Domäne ist mit dem neuen Outline neu hinzugekommen?
Security Governance (Domäne 2).
3. Wie viele CPE-Punkte müsst ihr als CC in drei Jahren sammeln?
45 CPE-Punkte.
Fazit
Der CC ist der niedrigschwellige Einstieg in die ISC2-Welt: keine Berufserfahrung, überschaubare Kosten und ein Outline, das seit September 2026 Governance und Cloud deutlich stärker gewichtet. In der nächsten Folge springen wir ans andere Ende der Leiter: Was ist der CISSP, und was ändert sich mit dem neuen Outline ab April 2027?