Relevanz: CC alle · SSCP alle · CISSP alle
Fünf, sieben oder acht Domänen, dicke Lehrbücher, ein paar hundert Übungsfragen und ein Vollzeitjob nebenher. Wo fängt man da an? Und lohnt es sich, CC, SSCP und CISSP nacheinander zu machen, oder ist das doppelte Arbeit? Die gute Nachricht: Die Prüfungspläne liefern schon einen großen Teil der Antwort. Man muss sie nur zu lesen wissen.
In den letzten Folgen haben wir uns den CC, den SSCP und den CISSP einzeln angeschaut. Heute bringen wir sie zusammen.
Drei Stufen, ein Stoff
Der wichtigste Gedanke vorweg: CC, SSCP und CISSP prüfen nicht drei verschiedene Wissensgebiete, sondern dasselbe Gebiet in drei Tiefen. Zugriffskontrolle kommt im CC als Grundbegriff vor, im SSCP als Umsetzung im Betrieb und im CISSP als Architektur- und Managemententscheidung. Wer nacheinander lernt, fängt also nie bei null an.
| CISSP-Domäne (2027) | Entspricht im SSCP | Entspricht im CC (2026) |
|---|---|---|
| 1 Security Governance and Risk Management | 1 Security Concepts and Practices, 3 Risk Identification | 1 Security Principles, 2 Security Governance |
| 2 Asset Security | 1 Security Concepts and Practices | 2 Security Governance, 5 Security Operations |
| 3 Security Architecture and Engineering | 5 Cryptography, 7 Systems and Application Security | 4 Networking and Cloud (Cloud-Teil) |
| 4 Communication and Network Security | 6 Network and Communications Security | 4 Networking and Cloud Security Concepts |
| 5 Identity and Access Management | 2 Access Controls | 3 IAM Concepts |
| 6 Security Assessment and Testing | 3 Risk Identification, Monitoring and Analysis | – |
| 7 Security Operations | 4 Incident Response and Recovery | 5 Security Operations and Incident Response |
| 8 Software Development Security | 7 Systems and Application Security | – |
Die Zuordnung ist nicht eins zu eins, aber sie zeigt: Der CISSP ist die umfassendste Gliederung. Genau deshalb ist er das Rückgrat dieser Reihe. Neu kommen beim CISSP vor allem Assessment und Testing sowie die Softwareentwicklung dazu.
Welche Reihenfolge ist sinnvoll?
- Ganz neu in der Sicherheit: CC → SSCP → CISSP. Jede Stufe baut auf der vorherigen auf, und die Erfahrungsjahre für SSCP und CISSP sammelt ihr unterwegs.
- Erfahrene IT-Praktiker: SSCP → CISSP. Der CC ist dann eher optional, der SSCP passt gut zu einem technischen Hintergrund.
- Erfahrene Sicherheitsleute mit fünf Jahren Praxis: direkt zum CISSP. Die Zwischenschritte sind kein Muss.
Ich bin den ersten Weg gegangen, mit CC und SSCP als Zwischenstationen. Mein technischer Hintergrund hat mir beim SSCP geholfen, der CISSP ist der nächste Schritt.
Was die Gewichtung verrät
Schaut man auf die Gewichte der drei Prüfungspläne, fällt eines sofort auf: Es gibt keine Domäne, die man getrost vernachlässigen kann.
- SSCP: Sechs von sieben Domänen liegen zwischen 14 und 16 %. Nur die Kryptographie fällt mit 9 % ab, steckt aber indirekt in vielen anderen Themen, etwa bei VPN, PKI oder Authentifizierung.
- CISSP 2027: Alle acht Domänen liegen zwischen 11,2 und 13,6 %. Governance und IAM liegen knapp vorn.
- CC: Fünf Domänen, die in der Breite das Fundament legen. Prüft die aktuellen Gewichte im offiziellen Outline, bevor ihr eure Lernzeit verteilt.
Vom Gewicht zum Lernplan
Die Gewichtung allein reicht als Lernplan aber nicht. Mindestens genauso wichtig ist die Frage: Wo stehe ich selbst? Ein Ansatz, der für alle drei Prüfungen funktioniert:
- Standort bestimmen: Zu Beginn einen Übungstest über alle Domänen machen, ohne vorher zu lernen.
- Einmal komplett durch: Alle Domänen einmal in der Breite durcharbeiten, mit einem Kurs oder Buch als rotem Faden.
- Lücken schließen: Gezielt die Themen vertiefen, bei denen die Übungsfragen schwach ausfallen.
- Prüfungsmodus üben: Zum Schluss viele Fragen unter Zeitdruck und in der Prüfungssprache.
Für die Zeitplanung gilt: Hohes Gewicht und schwacher Stand bekommen die meiste Zeit. Hohes Gewicht und starker Stand brauchen eher Wiederholung und Übungsfragen. Mit meinem Hintergrund in Risikomanagement und Kryptographie konnte ich beim SSCP zum Beispiel bei Domäne 3 und 5 eher wiederholen, während ich mir andere Themen gezielt neu erarbeiten musste.
Wie ich mich auf den SSCP vorbereitet habe
- Roter Faden: Udemy-Kurse, unter anderem „Ultimate SSCP Certification Mastery 2026“, haben mich durch alle Domänen geführt.
- Recherche: Bei Themen, bei denen ich unsicher war, bin ich tiefer gegangen und habe in Standards und Originalquellen nachgelesen. Daraus ist diese Reihe entstanden.
- Endspurt: In den letzten Wochen vor der Prüfung habe ich gezielt an den letzten Lücken gearbeitet.
Im Oktober 2026 hat es dann geklappt, nachzulesen in Bestanden! Mein SSCP-Prüfungstag. Ein kleiner Bonus-Tipp: Wer ein Thema anderen erklären muss, ob im Blog, im Team oder in einer Lerngruppe, merkt sehr schnell, wo das eigene Verständnis noch wackelt.
Tipps für jede Stufe
- CC: Begriffe sauber lernen. Risiko, Bedrohung, Schwachstelle, Policy, Standard und Procedure müsst ihr sicher unterscheiden können.
- SSCP: Verstehen statt auswendig lernen. Die Fragen sind meist Szenarien aus dem Betrieb. Wer nur Definitionen kennt, tut sich schwer, die beste Antwort zu finden.
- CISSP: Wie ein Manager denken. Die richtige Antwort schützt Menschen, hält Prozesse ein und senkt das Risiko der Organisation am wirksamsten. Nicht unbedingt die technisch eleganteste.
- Für alle: Aus falschen Antworten lernen und lieber jeden Tag ein bisschen als am Wochenende alles auf einmal.
- Sprache: Den SSCP gibt es nicht auf Deutsch, den CISSP schon. Wer auf Englisch prüft, sollte auch auf Englisch üben.
Was hat das mit IT-Grundschutz zu tun?
Für alle, die schon mit dem IT-Grundschutz arbeiten, gibt es einen Vorteil: Viele Konzepte sind bekannt, nur unter anderem Namen. Mein Tipp: Legt euch beim Lernen eine kleine Übersetzungstabelle an, etwa „Identity and Access Management ↔ ORP.4“, „Incident Response ↔ DER.2.1“ oder „Risk Management ↔ BSI-Standard 200-3“. Genau so eine Zuordnung findet ihr in jeder Folge dieser Reihe im Abschnitt zum IT-Grundschutz. Das hilft nicht nur beim Lernen, sondern auch später in der Praxis, wenn man zwischen internationalen Standards und dem Grundschutz übersetzen muss.
Kurzquiz
1. CC-Stufe: Welche Zertifizierung ist die umfassendste Gliederung und dient als Rückgrat der Reihe?
Der CISSP mit seinen acht Domänen.
2. SSCP-Stufe: Warum lohnt sich Kryptographie trotz nur 9 % Gewicht?
Weil sie indirekt in vielen anderen Domänen auftaucht, etwa bei Authentifizierung, VPN und PKI.
3. CISSP-Stufe: Was ist bei Szenariofragen oft die richtige Antwort?
Die Antwort, die Menschen schützt, Prozesse einhält und das Risiko für die Organisation am wirksamsten senkt.
Fazit
CC, SSCP und CISSP bauen aufeinander auf. Ein guter Lernplan kombiniert die Gewichtung des jeweiligen Prüfungsplans mit einer ehrlichen Einschätzung der eigenen Stärken: breit lernen, keine Domäne auslassen, viel üben. In der nächsten Folge geht es darum, was nach dem Bestehen kommt: Endorsement, CPE-Punkte und Jahresgebühr.